Los hackers y la IA: lecciones sobre ciberresiliencia a partir del ataque a ConnectWise
¿Qué revelan los ataques dirigidos contra la NASA y otras agencias estadounidenses sobre la seguridad empresarial? Rob Nidschelm, de Getronics, analiza las lecciones que se pueden extraer en relación con los sistemas vulnerables, la detección de amenazas y la respuesta ante ellas.
Habla con un experto
Una campaña cibernética dirigida contra importantes instituciones estadounidenses pone de relieve un reto al que se enfrentan todas las empresas: los atacantes pueden ocultarse tras un tráfico de Internet de apariencia normal, mientras que los sistemas vulnerables les brindan oportunidades para infiltrarse.
En unas declaraciones a la revista Cyber Magazine, Rob Nidschelm, director global de seguridad operativa de Getronics, explica por qué resulta útil desarticular la infraestructura de los atacantes y por qué las organizaciones siguen teniendo que evaluar su propia vulnerabilidad.
¿Qué ha pasado?
El 26 de agosto de 2026, el Departamento de Justicia de EE. UU. y el FBI anunciaron la incautación de dominios que daban soporte a dos plataformas de piratería informática, QScan y QTRouter. Las autoridades estadounidenses relacionaron estas plataformas con QTFY, un grupo vinculado a China que tiene como objetivo infraestructuras críticas y otras redes sensibles.
El comunicado del Departamento de Justicia menciona a la NASA, la Reserva Federal y varios departamentos del Gobierno de EE. UU. entre los objetivos.
El hecho de haber sido objeto de un ataque no significa necesariamente que una organización haya sufrido una brecha de seguridad. La revista «Cyber Magazine» informa de intrusiones exitosas en algunas instituciones, al tiempo que las distingue de los intentos fallidos citados contra la NASA y el Senado de los Estados Unidos.
Cómo ocultaron los atacantes su actividad
La operación combinó herramientas para detectar sistemas vulnerables con una infraestructura diseñada para ocultar el origen de los ataques.
Según el aviso de seguridad conjunto publicado por la NSA, QScan facilitaba las tareas de reconocimiento y explotación, incluidos los ataques a dispositivos vulnerables del Internet de las cosas. QTRouter combinaba los dispositivos comprometidos con otras infraestructuras para que la actividad maliciosa pasara desapercibida entre el tráfico legítimo.
El aviso también ofrece una descripción detallada de una vulnerabilidad de Ivanti aprovechada por QTFY. El grupo utilizó dicha vulnerabilidad para acceder a dispositivos Ivanti Connect Secure expuestos, implementar shells web y establecer persistencia. Esto ilustra cómo un dispositivo conectado a Internet puede convertirse en un punto de entrada para actividades de mayor alcance, especialmente cuando los parches no están disponibles, se retrasan o no se aplican correctamente.
Para los defensores, la implicación práctica es clara: una ubicación en la red aparentemente conocida no basta para determinar que una actividad sea fiable.
Las interrupciones brindan una oportunidad a los defensas
Las incautaciones de dominios interrumpieron la infraestructura de la que dependían las plataformas. Rob acoge con satisfacción esta interrupción, pero advierte de que no hay que interpretarla como el fin definitivo de la amenaza.
«Las incautaciones de dominios suponen una interrupción significativa, ya que han eliminado una infraestructura compartida que podía dar servicio a varios operadores».Rob Nidschelm
La respuesta dentro de una organización sigue siendo importante. Los equipos de seguridad deben determinar si se ha accedido a los sistemas expuestos, qué pruebas históricas siguen estando disponibles y si los intentos fallidos revelan puntos débiles que requieran atención.
Tres medidas para los equipos de seguridad
Acción | Qué hay que comprobar |
|---|---|
Dar prioridad a los sistemas expuestos | Identifica los dispositivos y servicios conectados a Internet, confirma quién es su propietario y comprueba su estado de actualización. Da prioridad a las vulnerabilidades que se están explotando activamente y sigue las instrucciones del proveedor cuando se sospeche que se ha producido una intrusión. |
Consultar el historial de actividad | Examina los registros disponibles en busca de accesos sospechosos, conexiones inusuales y indicios de una posible intrusión previa. Utiliza la información relevante sobre amenazas para orientar la investigación e identificar lagunas en las pruebas. |
Analizar los intentos fallidos | Analiza los intentos de acceso bloqueados o fallidos junto con los incidentes confirmados. Los intentos repetidos pueden revelar qué sistemas están sondeando los atacantes y dónde es necesario realizar una investigación más exhaustiva o reforzar la protección. |
Estas medidas vinculan la información sobre amenazas cibernéticas con la detección y la respuesta prácticas. La información resulta más útil cuando los equipos pueden relacionarla con sus propios sistemas y actuar en función de lo que descubren.
¿Qué conclusiones deberían extraer las organizaciones?
El hecho de que una operación de eliminación haya tenido éxito no garantiza que todos los entornos afectados estén seguros. Las organizaciones siguen teniendo que evaluar los riesgos, investigar las actividades sospechosas y asegurarse de que los hallazgos en materia de seguridad se traduzcan en medidas concretas.
Para los responsables de seguridad, hay tres preguntas que constituyen un punto de partida útil:
- ¿Sabemos qué sistemas conectados a Internet podrían servir de punto de acceso?
- ¿Podemos investigar la actividad que tuvo lugar antes de la última alerta?
- ¿A quién corresponde la decisión de investigar, contener y subsanar el problema?
Lee el artículo completo de Cyber Magazine para conocer más detalles sobre la campaña y la opinión de Rob.
Sobre el autor
Rob Nidschelm
Director global de seguridad operativa
Rob Nidschelm dirige los equipos globales de seguridad operativa de Getronics, que abarcan las operaciones de seguridad, la gestión de identidades y accesos privilegiados, la inteligencia sobre amenazas, la ingeniería de seguridad y la respuesta ante incidentes. Con una trayectoria en ciberseguridad desde 2005, ayuda a las organizaciones a vincular la estrategia de seguridad con controles prácticos, una responsabilidad clara y la resiliencia operativa.
www.linkedin.com/in/robnid/
