Los servicios de inteligencia canadienses desmantelaron por primera vez botnets en los routers de ciudadanos: la semana de ciberseguridad en cifras
La ciberseguridad sigue demostrando su complejidad y multifacética naturaleza: desde operaciones estatales para limpiar botnets hasta ataques absurdos pero reveladores contra sistemas de alerta de emergencia. Como analista, veo en estos eventos una tendencia general: los atacantes se vuelven cada vez más ingeniosos, aprovechando tanto vulnerabilidades en equipos obsoletos como trucos psicológicos, llegando incluso a la manipulación de sistemas de IA.
Canadá: precedente de limpieza remota de dispositivos
El Servicio de Inteligencia y Seguridad de Canadá obtuvo, por primera vez en la historia, una orden judicial para intervenir de forma remota en dispositivos infectados de ciudadanos. Se trata de servidores, enrutadores domésticos y dispositivos IoT: timbres, cámaras, televisores. Los botnets que operan bajo un esquema de retransmisión utilizaban equipos comprometidos para enmascarar ataques contra infraestructuras críticas, incluido el sector energético y agencias gubernamentales. El tribunal federal desclasificó la orden recién a mediados de junio de 2026, aunque la orden se emitió hace más de dos años. Se destaca que no se interceptaron datos personales y que la información recopilada accidentalmente fue destruida.
Enrutadores D-Link obsoletos bajo el ataque de AryStinger
Especialistas de XLab descubrieron el botnet AryStinger, dirigido a modelos antiguos de D-Link DIR-850L y DIR-818LW. Durante la campaña, se comprometieron más de 4000 enrutadores, convertidos en servidores proxy para retransmitir tráfico. El malware no solo utiliza los dispositivos como plataforma de lanzamiento para ataques, sino que también intercepta solicitudes DNS, sesiones de navegador y todo el tráfico de red. Alrededor del 48% de las infecciones se concentraron en Corea del Sur, China, Suecia, Malasia y Singapur. Esto confirma una vez más: los equipos obsoletos con contraseñas de fábrica son el principal vector para los botnets modernos.
macOS Gaslight: errores falsos contra el análisis de IA
Investigadores de SentinelOne identificaron un nuevo infostealer para macOS llamado Gaslight, que ataca específicamente herramientas automatizadas de análisis de código basadas en IA. Dentro del archivo se oculta un cargador de 3,5 KB que contiene 38 mensajes de sistema falsificados, formateados en Markdown. Estas líneas imitan registros de desarrolladores, errores de desbordamiento de memoria y advertencias de caducidad de tokens. El objetivo es hacer que el modelo LLM interrumpa el análisis, recorte el informe o se niegue a procesar la muestra "dañada". Los hackers, probablemente de Corea del Norte, utilizan inyecciones de prompts para eludir la verificación automática.
Europol: desmantelamiento de la red de distribución de Amadey y StealC
Europol, en colaboración con fuerzas del orden de una decena de países y Microsoft, desmanteló la red de distribución de los malwares SocGholish, Amadey y StealC. El troyano Amadey obtenía acceso inicial, tras lo cual se desplegaba el infostealer StealC, especializado en robar contraseñas, datos de tarjetas de crédito y frases semilla de criptomonederos. Los resultados de la operación son impresionantes: se incautaron 326 servidores y 142 dominios, se congelaron activos criptográficos por valor de más de 47 millones de dólares, se incautó una base de datos con 27 millones de credenciales robadas y se limpiaron alrededor de 15 000 sitios en WordPress utilizados para la distribución oculta de virus.
Brasil: hackers advierten sobre un "ataque extraterrestre"
En la noche del 19 al 20 de junio de 2026, el sistema nacional de alertas de emergencia de Brasil, Defesa Civil Alerta, sufrió un ciberataque. Los atacantes comprometieron las cuentas de empleados de la Defensa Civil y enviaron 10 mensajes de máxima prioridad (Alerta Extremo), que eludían las restricciones de sonido del sistema de los teléfonos inteligentes. Residentes de varios estados recibieron notificaciones con texto incoherente que contenía la palabra "misantropía", y en algunas regiones, advertencias sobre un "ataque extraterrestre". Para detener el ataque de spam, las autoridades tuvieron que apagar forzosamente los servidores a la 1:30 de la madrugada. La plataforma se restauró parcialmente, pero el derecho de envío se dejó solo al Centro Nacional de Gestión de Riesgos.
ZachXBT revela la identidad de un hacker polaco
Las fuerzas del orden europeas, con el apoyo del FBI, arrestaron a cuatro miembros de un grupo de hackers sospechosos de ataques de suplantación de SIM, robo de activos digitales de intercambios de criptomonedas y lavado de dinero. Los atacantes utilizaron ingeniería social para comprometer la infraestructura de TI de empresas de telecomunicaciones, clonaron los números de teléfono de las víctimas y eludieron la autenticación de dos factores. El monto total de fondos lavados se estima en decenas de millones de zlotys polacos. El investigador on-chain ZachXBT identificó a uno de los detenidos como Wojtek Kulish, conocido bajo el alias Merry, al comparar artículos de diseño con el video del allanamiento y su cuenta de Instagram.
Mi análisis: Esta semana muestra que las ciberamenazas se vuelven cada vez más sofisticadas, desde la manipulación de la IA hasta el uso de sistemas de alerta gubernamentales. Especialmente preocupante es la vulnerabilidad de los dispositivos IoT y los equipos obsoletos: mientras los usuarios no actualicen los firmware ni cambien las contraseñas de fábrica, estos botnets seguirán proliferando. El ataque a Defesa Civil Alerta es un claro ejemplo de cómo incluso la infraestructura crítica puede ser utilizada para sembrar el caos, y esto exige una revisión inmediata de los protocolos de seguridad.