El pasado 19 de octubre, una banda de encapuchados logró robar una colección imperial del Museo del Louvre en apenas cuatro minutos. Este suceso se convirtió en uno de los robos más destacables de la historia de Francia. La operación tuvo lugar en un museo que presentaba graves carencias en ciberseguridad, algo señalado previamente por organismos como la Agencia Nacional de Seguridad de la Información (ANSSI) de Francia.
Deficiencias detectadas años atrás
Documentos filtrados recientemente revelan las graves deficiencias que sufría el museo desde hace más de una década. El medio Libération, a través de CheckNews, detalla una serie de errores de seguridad graves que afectaban al museo.
Contraseñas débiles y sistemas obsoletos
Uno de los problemas más destacados era el uso del mismo nombre del Louvre como contraseña para servicios críticos. Por ejemplo, para acceder al servidor que gestionaba la videovigilancia, solo se necesitaba introducir «LOUVRE», el nombre del museo.
Además, para acceder a uno de los programas críticos del sistema, la contraseña era THALES. Este software, utilizado para la supervisión de la videovigilancia analógica y el control de accesos, fue comprado por el museo en 2003 y ya no se desarrolla.
La ANSSI señaló que la red de oficinas del Museo incluía sistemas tan antiguos como Windows 2000. Estos sistemas, junto con otros obsoletos, eran imposibles de actualizar según los informes.
Auditorías y recomendaciones
La ANSSI realizó una auditoría de sistemas informáticos en 2014, durante la cual se descubrieron numerosas vulnerabilidades tanto en las aplicaciones como en las redes de seguridad del museo. Los expertos aprovecharon esta oportunidad para infiltrarse en las redes desde varios puntos concretos.
El organismo concluyó que era posible comprometer la red de seguridad y modificar los derechos de acceso al comprometer la base de datos utilizada por el sistema de control de acceso. También se señaló que era posible dañar el sistema de videovigilancia con solo comprometer unos servidores internos, considerados obsoletos.
La ANSSI recomendó al museo implementar contraseñas más seguras, aplicar correcciones a las vulnerabilidades y actualizar los sistemas. Aunque se realizó una nueva auditoría en octubre de 2015, el informe de 2017 no fue mucho mejor.
Problemas recurrentes
El informe señalaba que, aunque el museo parecía estar relativamente a salvo, era imposible ignorar la amenaza potencial de un ataque cuyas consecuencias podrían ser dramáticas. Se mencionaron problemas recurrentes como Windows 2000 y Windows XP como sistemas operativos, contraseñas débiles y otros aspectos.
Según documentos posteriores de 2021 y 2025, se establecieron hasta 8 programas obsoletos que eran imposibles de actualizar. Estos programas gestionaban áreas sensibles como el control de acceso, los servidores o la videovigilancia.
Conciencia del problema
La dirección del Louvre era consciente de todos estos problemas durante años, según una auditoría realizada en 2025. Sin embargo, no hay pruebas fehacientes que relacionen estos problemas de ciberseguridad con el reciente robo del Louvre.
Es importante destacar que los documentos, así como las auditorías, son de carácter confidencial. No es posible determinar de forma tajante qué medidas recomendadas tanto por la ANSSI como por el Instituto se llevaron a cabo.