DeadLock se traslada a Polygon, la ciberpolicía ucraniana desmanteló una red de casas de cambio falsas y otros eventos clave de la semana en el ámbito de la ciberseguridad.
La semana estuvo repleta de eventos en el mundo de la ciberseguridad. Analicé los incidentes clave, desde esquemas fraudulentos a gran escala hasta ataques innovadores contra infraestructuras críticas. Estas son mis principales conclusiones.
Ucrania: desmantelamiento de la red de casas de cambio falsas Money 24/7
La ciberpolicía ucraniana asestó un duro golpe al fraude cripto organizado. Se presentaron cargos contra el organizador de una red que se hacía pasar por un servicio de cambio legítimo. El esquema estaba meticulosamente planeado: los delincuentes crearon sitios web de calidad, gestionaban activamente un canal de Telegram, registraron una marca comercial e incluso alquilaron una oficina con caja registradora. Atraían a los clientes con la promesa de un tipo de cambio ventajoso, los invitaban a la oficina, donde les quitaban el efectivo, pero nunca transferían las criptomonedas. Para disuadir a las víctimas de acudir a la policía, utilizaban tácticas de dilación con pagos parciales y "garantías por escrito". Durante más de 20 allanamientos en siete regiones del país, se incautaron más de 20 millones de grivnas en efectivo y equipos. El organizador se enfrenta a hasta 12 años de prisión con confiscación de bienes.
El FBI advierte sobre una ola de ataques a fotos íntimas
La oficina estadounidense registra un aumento de ciberataques dirigidos al robo de fotos y videos explícitos de redes sociales y almacenamientos en la nube. Se presta especial atención a los estudiantes deportistas. La mecánica de los ataques es estándar: SMS o correos electrónicos de phishing con la solicitud de "restablecer la contraseña". Al encontrar material comprometedor, los hackers exigen un rescate, amenazando con hacerlo público. Es notable que, incluso después del pago, los datos de las víctimas a menudo se venden en la dark web, lo que provoca una nueva ola de acoso y extorsión.
Ataque a bordo de Delta Air Lines: hackers de DEF CON ponen a prueba el Wi-Fi
El incidente en un vuelo de Delta Air Lines, que viajaba de Las Vegas a Atlanta, es un claro ejemplo de ciberataques en el mundo físico. Los pasajeros que regresaban de la conferencia de hackers DEF CON se enfrentaron a paquetes de datos falsos que forzaban la desconexión de sus dispositivos del Wi-Fi legítimo. Paralelamente, los atacantes desplegaron una red falsa "Delta WiFi Fast" con una página de autenticación de phishing. La tripulación se vio obligada a cortar la energía del Wi-Fi a bordo durante 30 minutos. Tras el aterrizaje, la policía interrogó a los sospechosos e incautó su equipo. Este caso subraya la vulnerabilidad de los sistemas de aviación a ataques dirigidos a la recopilación de datos, aunque los sistemas de navegación, afortunadamente, están aislados.
Jewelbug: la doble vida de los hackers chinos
Los analistas de Symantec revelaron el grupo Jewelbug (Earth Alux), que combinaba el ciberespionaje gubernamental con un fraude cripto a gran escala. Por un lado, atacaban estructuras gubernamentales y militares en Oriente Medio y Asia, pirateando el correo web a través de un hosting comprometido. Por otro, utilizaban redes neuronales para generar artículos falsos y cientos de dominios falsos que se hacían pasar por Binance y OKX, y las botnets los posicionaban en los primeros resultados de los motores de búsqueda. En la base del grupo se descubrieron más de un millón de registros, 580,000 cookies robadas y miles de credenciales. Incluso usaban un troyano personalizado en Rust y ocultaban cargas maliciosas en Google Docs. Ya no son solo hackers, sino un "conglomerado empresarial criminal" en toda regla.
DeadLock: el extorsionador que se fue a la blockchain
El evento tecnológicamente más interesante de la semana es la transición del grupo de extorsionadores DeadLock a una infraestructura descentralizada basada en la blockchain de Polygon. En lugar de servidores tradicionales, utilizan contratos inteligentes para rotar las direcciones de los servidores proxy. La nota de rescate es una aplicación HTML autónoma con chat integrado y un explorador de datos robados. Si las fuerzas del orden bloquean el servidor, los hackers simplemente actualizan el registro en el contrato inteligente. Esto crea "infinitas variantes" para evadir bloqueos. Técnicamente, el malware utiliza criptografía híbrida Curve25519 y XChaCha20, y también enmascara hábilmente su actividad, pausando el proceso bajo alta carga del sistema. Esta es una señal alarmante: vemos cómo los ciberdelincuentes se adaptan a las tecnologías descentralizadas, haciendo que su infraestructura sea prácticamente invulnerable.
Polonia: primer ataque histórico a una planta de cogeneración a través de una red celular privada
CERT Polska reveló los detalles de un ataque a una planta de cogeneración que suministra calor a unos 50,000 residentes. La singularidad del caso radica en el vector de penetración: a través de la red celular privada del operador local de redes eléctricas. La cadena de ataques incluyó el pirateo de un parque eólico sin MFA, la penetración a través de un router Teltonika y un controlador WAGO con contraseña de fábrica. Finalmente, los hackers pusieron los controladores industriales Siemens S7 en modo stop, lo que provocó la detención física de la turbina de vapor. Destruyeron metódicamente las pruebas, restableciendo la configuración del equipo. Este es el primer caso documentado del uso de un vector similar en un ataque real a una instalación industrial, lo que obliga a replantear los enfoques de seguridad en el sector energético.
Mi análisis: La principal conclusión de la semana es que la ciberdelincuencia es cada vez más profesional y diversificada. Vemos la fusión del espionaje estatal con el fraude financiero, así como la transición de los extorsionadores a plataformas descentralizadas "insumergibles". Los reguladores y las empresas tendrán que revisar radicalmente sus estrategias de protección, apostando por la monitorización proactiva y la autenticación multifactor no solo para los empleados, sino también para todos los equipos conectados.