--- id: CP-087 slug: ataques-canal-auxiliar-spectre-meltdown lang: es title: Ataques de canal auxiliar description: "Spectre y Meltdown: cómo un código malicioso lee secretos a través del procesador, sin mostrar nada en pantalla, y cómo protegerse." canonical_url: https://startbrain.io/cyberpedia/es/articles/ataques-canal-auxiliar-spectre-meltdown/ markdown_url: https://startbrain.io/cyberpedia/es/articles/ataques-canal-auxiliar-spectre-meltdown.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Ataques de canal auxiliar», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/ataques-canal-auxiliar-spectre-meltdown/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-054 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/ataques-canal-auxiliar-spectre-meltdown/ fr: https://startbrain.io/cyberpedia/fr/articles/attaques-canal-auxiliaire-spectre-meltdown/ en: https://startbrain.io/cyberpedia/en/articles/side-channel-attacks-spectre-meltdown/ de: https://startbrain.io/cyberpedia/de/articles/seitenkanalangriffe-spectre-meltdown/ it: https://startbrain.io/cyberpedia/it/articles/attacchi-canale-laterale-spectre-meltdown/ sources: - "n": 1 title: Meltdown and Spectre Side-Channel Vulnerability Guidance publisher: CISA url: https://www.cisa.gov/news-events/alerts/2018/01/04/meltdown-and-spectre-side-channel-vulnerability-guidance published: "2018-01-04" accessed: "2026-11-03" - "n": 2 title: Multiples vulnérabilités de fuite d'informations dans des processeurs publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/alerte/CERTFR-2018-ALE-001/ published: "2018-01-04" accessed: "2026-11-03" - "n": 3 title: "Spectre Attacks: Exploiting Speculative Execution" publisher: arXiv url: https://arxiv.org/abs/1801.01203 published: "2018-01-03" accessed: "2026-11-03" - "n": 4 title: Multiples vulnérabilités dans les produits VMware publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/avis/CERTFR-2018-AVI-006/ published: "2018-01-04" accessed: "2026-11-03" - "n": 5 title: Vulnerability management guidance publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/vulnerability-management/guidance accessed: "2026-11-03" --- # Ataques de canal auxiliar Un ataque de canal auxiliar observa un efecto secundario del cálculo, por ejemplo el tiempo que tarda en completarse una lectura en memoria, y deduce de él información que el atacante no tiene derecho a leer. Spectre y Meltdown, hechas públicas el 4 de enero de 2018 [2], son dos ejemplos. Afectan al propio procesador. Spectre concierne a casi todos los dispositivos [1], mientras que Meltdown no afecta a AMD [2]. No aparece nada en la pantalla del empleado: su papel es mantener sus dispositivos actualizados e instalar los parches solo desde fuentes oficiales [2]. ## En 30 segundos - Dónde ocurre: en un ordenador, un teléfono o un servidor cuyo procesador esté afectado, en cuanto se ejecuta en él código ajeno (JavaScript, publicidad maliciosa, suplantación de identidad o phishing) [1]. - Qué quiere el atacante: leer memoria que no es para él, es decir, pulsaciones de teclado, contraseñas o claves de cifrado [1]. - El reflejo: instalar los parches de seguridad lo antes posible, y solo desde las fuentes oficiales de los fabricantes [2]. - Si ya lo hizo: aplique de todos modos las actualizaciones siguientes, porque algunos primeros parches eran parciales [2]. ## Preguntas directas ### ¿Vería algo si me atacaran? No, las fuentes citadas aquí no describen ninguna señal visible en pantalla. Un antivirus clásico se basa en firmas y puede no detectar estas vulnerabilidades [1]. No obstante, el CERT-FR publicó reglas Yara para detectar los binarios vinculados a una biblioteca pública de demostración de Meltdown, algo que concierne a los equipos de seguridad, no a los empleados [2]. ### ¿Hay que hacer clic en algo para ser atacado? El atacante debe antes conseguir que se ejecute código en la máquina. La CISA cita el JavaScript malicioso, la publicidad maliciosa y el phishing como medios para lograrlo [1]. ### ¿Qué dispositivos están afectados? Spectre afecta a casi todos los dispositivos: ordenadores de sobremesa y portátiles, servidores en la nube y teléfonos [1]. Los investigadores hablan de procesadores Intel, AMD y ARM utilizados en miles de millones de dispositivos [3]. Según el CERT-FR, AMD es vulnerable a Spectre pero no a Meltdown [2]. ### ¿Basta con un parche? No siempre. Para Spectre, la CISA indica que el fallo está en la arquitectura del procesador y no en un software, que es difícil de corregir, pero más difícil de explotar [1]. Los autores del artículo de investigación estiman que las soluciones sólidas exigirán modificar el diseño de los procesadores [3]. ## En la piel del atacante El atacante quiere los datos que otro programa guarda en memoria. En un puesto de trabajo, es la memoria del sistema operativo, que según la CISA contiene pulsaciones de teclado, contraseñas y claves de cifrado [1]. El punto de partida es un código que logra hacer ejecutar: JavaScript malicioso, publicidad maliciosa o phishing [1]. Una vez instalado ese código, el CERT-FR explica que Meltdown permite acceder, desde un programa de usuario, a la memoria del sistema operativo [2]. La CISA añade que un atacante también podría elevar sus privilegios para explotar estos fallos [1]. El impacto es mayor donde se comparten recursos. El CERT-FR señala que, desde un contenedor (Docker, LXC), podría ser posible acceder a los datos de la máquina física que lo aloja [2]. ## Lo que ve en la pantalla Nada en particular. Las fuentes citadas aquí no describen ningún mensaje ni ralentización como señal de alerta. El único efecto visible está del lado de la defensa: tras la corrección, el rendimiento puede variar según el uso, y la CISA pide a los administradores que lo vigilen en las aplicaciones críticas [1]. En cambio, existe una trampa alrededor del tema, y es visible: los falsos parches (véase más abajo). ## Bajo el capó Los procesadores modernos buscan ir deprisa. El CERT-FR describe dos técnicas. En la ejecución llamada out-of-order, las instrucciones se ejecutan según la disponibilidad de los recursos de cálculo y no de forma estrictamente secuencial [2]. En la ejecución especulativa, el procesador formula hipótesis sobre resultados que todavía no están disponibles y sigue trabajando; si la hipótesis es falsa, se anulan los efectos [2]. Meltdown explota una debilidad de la primera: una instrucción puede ejecutarse sin que se compruebe correctamente el nivel de privilegio requerido. Su resultado no se valida después, pero la información puede recuperarse por un canal oculto [2]. Spectre explota la segunda. Los efectos de una ejecución especulativa errónea sobre la caché persisten, y midiendo los tiempos de acceso a zonas de memoria se conoce el estado de la caché. El atacante deduce de ahí los resultados intermedios de la ejecución errónea [2]. Los autores del artículo de investigación lo describen como inducir a la víctima a ejecutar de forma especulativa operaciones que normalmente no se producirían y cuya información se filtra por un canal auxiliar [3]. Tres identificadores designan los fallos iniciales: CVE-2017-5753 y CVE-2017-5715 para Spectre, CVE-2017-5754 para Meltdown [2]. ## Autopsias ### 3 y 4 de enero de 2018: la revelación La CISA indica que tuvo conocimiento de Meltdown y Spectre el 3 de enero de 2018 [1]. El artículo de investigación sobre Spectre se deposita ese mismo día [3]. El CERT-FR fecha el 4 de enero de 2018 la publicación de las dos vulnerabilidades [2], y publica ese mismo día un aviso sobre los productos de VMware: ESXi, Workstation y Fusion están afectados mientras no se instalen los parches [4]. ### Un falso parche con el nombre de la BSI El CERT-FR constata una campaña de correo basura que aprovecha la situación. Unos atacantes que se hacen pasar por la BSI, el equivalente alemán de la ANSSI, invitan a los destinatarios a visitar una copia de su sitio web. La alerta está modificada en ella: se invita al usuario a instalar un parche que en realidad es un software malicioso [2]. El CERT-FR recuerda que los parches solo deben instalarse desde las fuentes oficiales de los fabricantes [2]. ### Abril de 2018: «Total Meltdown» Según la CISA, los usuarios de Windows 7 de 64 bits o Windows Server 2008 R2 de 64 bits con procesador Intel que habían instalado el parche de enero o febrero de 2018 debían instalar el último parche sin esperar. Según el investigador Ulf Frisk, los parches anteriores contenían un fallo que permitía leer y escribir en la memoria del núcleo [1]. Lleva el identificador CVE-2018-1038 [1]. ### Mayo de 2018: nuevas variantes El 21 de mayo de 2018 se publican dos nuevas vulnerabilidades basadas en principios similares, CVE-2018-3639 y CVE-2018-3640 [2]. ## Lo que usted hace - Instale las actualizaciones del sistema y del navegador. Para el firmware de Intel, el CERT-FR recomienda una mayor prudencia, incluso esperar a la versión final, y probar los parches en entornos controlados antes de desplegarlos [2]. - Instale solo software de confianza. Descargue parches y firmware directamente desde el sitio del fabricante [1]. - Si su equipo lo gestiona la empresa, deje que el servicio informático dirija las actualizaciones. El NCSC recomienda una política de actualización por defecto, con aplicación de los parches lo antes posible e idealmente de forma automática [5]. - No siga un correo que le pida instalar un «parche»: acuda a las fuentes oficiales [2]. ## Las trampas La primera trampa es creer que el antivirus protege. La CISA invita a comprobar con el fabricante del antivirus la compatibilidad con los parches [1]. Según el CERT-FR, los parches de Microsoft dependen de los antivirus instalados [2]. Otra trampa: fiarse de un primer parche. Varios fabricantes solo habían publicado parches parciales [2], y el caso «Total Meltdown» muestra que un parche puede contener a su vez un fallo [1]. Por último, el retraso en las actualizaciones de las actualizaciones también plantea un problema: el NCSC precisa que decidir no actualizar es una decisión de riesgo a nivel de la dirección [5]. ## Fuentes 1. CISA, «Meltdown and Spectre Side-Channel Vulnerability Guidance», 4 de enero de 2018. https://www.cisa.gov/news-events/alerts/2018/01/04/meltdown-and-spectre-side-channel-vulnerability-guidance (consultado el 3 de noviembre de 2026) 2. CERT-FR (ANSSI), «Multiples vulnérabilités de fuite d'informations dans des processeurs», 4 de enero de 2018. https://cert.cyber.gouv.fr/alerte/CERTFR-2018-ALE-001/ (consultado el 3 de noviembre de 2026) 3. arXiv, «Spectre Attacks: Exploiting Speculative Execution», 3 de enero de 2018. https://arxiv.org/abs/1801.01203 (consultado el 3 de noviembre de 2026) 4. CERT-FR (ANSSI), «Multiples vulnérabilités dans les produits VMware», 4 de enero de 2018. https://cert.cyber.gouv.fr/avis/CERTFR-2018-AVI-006/ (consultado el 3 de noviembre de 2026) 5. NCSC (Royaume-Uni), «Vulnerability management guidance». https://www.ncsc.gov.uk/collection/vulnerability-management/guidance (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/ataques-canal-auxiliar-spectre-meltdown/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.