Buenas Melsion
Como te digo la IP no era de Movistar, con lo que me hace pensar que fuese un problema del propio equipo, ya fuese infectado con un malware que estuviese proxeando la conexión, alguna suite de seguridad instalada... a saber.
Cambiar el puerto es con mucho la forma más eficiente de evitar ataques. Sí, un escáner de puertos integral te revelaría el servidor SSH en cualquier caso, pero nadie hace eso a menos que sea un ataque dirigido, y si es un ataque dirigido en cualquier caso no tienes nada que hacer, y menos con el Router de un ISP. Los ataques dirigidos son por lo general efectuados solo a objetivos llamemos "de importancia", ya sean gobiernos, infraestructuras importantes etc etc, no un usuario más o menos doméstico.
El principal problema no son ese tipo de ataques, sino el "ruido de fondo" de Internet, es decir, miles o decenas de miles de redes zombie, de malware que busca 24/7 cualquier objeto en Internet que pueda ser vulnerable. Ese tipo de ataques no escanean todo el rango de puertos de un objetivo, si es que los escanea, no sería viable en tiempo ni sería práctico!! En vez de eso es mucho más rápido y efectivo centrarse en puertos conocidos donde pueden hacer funcionar servicios vulnerables. Es por esto que es la mejor forma de evitar todo ese ruido.
Por otro lado, no tengo del todo claro lo que te refieres con "clave compartida". Para iniciar sesión por SSH se requiere una identificación, con total independencia del cifrado usado. Esta identificación puede hacerse por medio de login, o por medio de claves asimétricas. Pero la identificación poco o nada tiene que ver con la encriptación, que en SSH se hace por medio de clave compartida, aká cifrado simétrico. Es decir, primero se cifra el canal por medio de una clave simétrica que es negociada generalmente por medio de una clave asimétrica. Y una vez el canal está cifrado se requiere la autentificación, que se hace por login y/o claves asimétricas.
En cualquier caso, esto no es relevante en cuanto a la exposición de un dispositivo. Sí, por supuesto, hace mucho más seguro el sistema ante cualquier intento fraudulento de acceso por credenciales, ya sea fuerza bruta o simplemente intento de adivinación. Pero ese no es el problema, el problema son las vulnerabilidades a las que cualquier servicio que está detrás está expuesto. O dicho de otro modo, da igual lo complejo que sea el candado y las combinaciones posibles que pueda tener, como si pones una trampa que en cuanto pongas una combinación mala llamas a la policía!! Puesto que si llevas un cortafríos y cortas el candado directamente, no te hace falta saber la combinación exacta, ni disparas alarma alguna. ESE es el problema.
-----------
A menos que uno tenga conocimientos avanzados sobre redes y dispositivos configurados para cualquier tipo de contingencia, tapando todos los posibles problemas derivados de, JAMAS se debe de exponer un servicio interno a sus puertos por defecto, máxime cuando además se puede evitar sin ningún tipo de contrapartida, esto es una regla de oro.
---------
El motivo por otro lado por el que los HGU usan dicho puerto, es porque lo usan para uso interno, igual que el 80 o el 443. Algunos HGU permiten modificarlos, otros no. Personalmente siempre he dicho que de rebote me parece una medida de seguridad buena, para evitar que usuarios menos avispados cometan insensateces, que no será ni el primero ni el último que ve como se le cuelan hasta en la cocina.
Saludos compañero.
