Notepad++ fue comprometido durante meses: cómo comprobar si estás en riesgo
Notepad++ fue comprometido durante meses: cómo comprobar si estás en riesgo
Notepad++ es uno de los editores de texto más utilizados por desarrolladores, administradores de sistemas y profesionales IT en todo el mundo. Ligero, rápido y gratuito, se ha convertido en una herramienta básica en miles de entornos de trabajo.
Por eso, cuando se detecta que ha estado comprometido durante meses, la noticia no es menor.
Pero más allá del titular alarmante, lo realmente importante es entender qué ocurrió, por qué es grave y qué podemos aprender de ello.
¿Qué significa que Notepad++ haya sido “hackeado”?
En este tipo de incidentes normalmente no hablamos de que el programa en sí tenga un fallo crítico, sino de algo más preocupante: un posible compromiso en la cadena de suministro (Supply Chain Attack).
Un ataque a la cadena de suministro ocurre cuando:
- Se compromete el servidor desde el que se distribuye el software.
- Se manipulan instaladores oficiales.
- Se modifica el proceso de actualización.
- O se infiltra código malicioso en una versión aparentemente legítima.
Esto es especialmente peligroso porque el usuario descarga el software desde una fuente que considera confiable.
Y ese es el verdadero problema: la confianza implícita.
¿Por qué es grave este tipo de ataque?
Notepad++ no es una herramienta cualquiera:
- Lo utilizan desarrolladores.
- Lo usan administradores de sistemas.
- Está presente en entornos corporativos.
- Se instala en servidores y equipos críticos.
Si un atacante consigue distribuir una versión manipulada, puede:
- Instalar malware.
- Robar credenciales.
- Obtener acceso remoto.
- Moverse lateralmente dentro de una red corporativa.
Este tipo de incidentes ya lo hemos visto antes en casos como:
- SolarWinds
- 3CX
- CCleaner
El patrón es siempre el mismo: comprometer una herramienta de confianza para acceder a miles de víctimas.
Cómo comprobar si estás usando una versión segura
1️⃣ Comprueba tu versión instalada
En Notepad++:
? → About Notepad++
Anota el número de versión.
Después, compárala con la última versión publicada en la web oficial o en el repositorio oficial de GitHub del proyecto.
2️⃣ Descarga siempre desde fuentes oficiales
Evita:
- Páginas de terceros.
- Portales de descarga genéricos.
- Versiones “modificadas”.
Siempre que sea posible, descarga directamente desde:
- La web oficial del proyecto.
- El repositorio oficial en GitHub.
3️⃣ Verifica el hash del instalador (nivel profesional)
Una práctica poco utilizada pero altamente recomendable es verificar el hash del archivo descargado.
En Windows puedes hacerlo con PowerShell:
Get-FileHash .\npp.x.x.x.Installer.exe -Algorithm SHA256
Compara el resultado con el hash oficial publicado por los desarrolladores.
Si no coincide, no lo ejecutes.
4️⃣ Comprueba la firma digital
En Windows:
- Botón derecho sobre el ejecutable.
- Propiedades.
- Pestaña “Firmas digitales”.
Una firma válida indica que el archivo no ha sido modificado desde que fue firmado por el desarrollador.
La verdadera lección: el problema no es Notepad++, es el modelo de confianza
Este incidente vuelve a demostrar algo importante:
No basta con confiar en el nombre del software. Hay que confiar en el proceso de distribución.
En entornos profesionales y cloud deberíamos aplicar medidas como:
- Uso de repositorios internos validados.
- Control de integridad de archivos.
- EDR o soluciones de detección avanzada.
- Gestión centralizada de actualizaciones.
- Principios de Zero Trust aplicados también al software.
En muchas pymes todavía se descarga software manualmente desde el navegador sin ningún tipo de verificación. Ese es el verdadero riesgo.
¿Estamos preparados para detectar un software comprometido?
Algunas preguntas incómodas:
- ¿Verificamos hashes realmente?
- ¿Sabemos identificar una firma digital válida?
- ¿Tenemos monitorización que detecte comportamiento anómalo tras una instalación?
- ¿Sabemos qué versiones están instaladas en nuestros equipos?
La mayoría de las veces, la respuesta es no.
Y ahí es donde está la oportunidad de mejora.
Conclusión
El caso de Notepad++ no es un simple susto puntual. Es un recordatorio de que incluso herramientas open source, ampliamente confiables y utilizadas, pueden verse afectadas por incidentes de seguridad.
No se trata de dejar de usarlas.
Se trata de usarlas con criterio.
En ciberseguridad moderna, la confianza no es automática.
Es verificable.