El cibercrimen moderno ya no necesita levantar servidores ocultos ni operar desde la sombra de la dark web. En muchos casos, basta con aprovechar la infraestructura que otros han construido: sitios web legítimos, mal mantenidos y distribuidos por todo el planeta. Una nueva investigación de Check Point® Software Technologies Ltd. ha logrado poner nombre y rostro a esta estrategia al analizar por dentro la operación StopAndProtect, una red criminal que logró infectar más de 5.000 ordenadores en todo el mundo utilizando cerca de 2.000 dominios WordPress comprometidos como soporte. Lo más llamativo, sin embargo, no es la escala de la operación, sino la forma en que quedó expuesta: una serie de errores de seguridad operativa cometidos por los propios atacantes.
El informe, publicado por Check Point Research, ofrece una visión inédita del funcionamiento interno de una organización de cibercrimen. Gracias a la exposición accidental de su infraestructura, los investigadores pudieron acceder a registros de víctimas, capturas de pantalla, código fuente, herramientas internas y documentación confidencial. Es un golpe de suerte investigador poco frecuente que permite entender, desde dentro, cómo se organiza y opera una campaña criminal a escala global.
Qué es StopAndProtect y por qué su exposición es un hito para la ciberseguridad
StopAndProtect no es un malware concreto ni un grupo con nombre propio al estilo de los grandes carteles del ransomware. Es una operación criminal completa, con su propia infraestructura, sus herramientas y sus protocolos internos. Su modelo de negocio combina la distribución de malware, la vigilancia de víctimas, el robo de información y la preparación de campañas de ransomware. Lo que la hace especialmente relevante es que toda esa maquinaria se apoya sobre una base inesperada: miles de sitios web WordPress comprometidos.
Los ciberdelincuentes no alquilaron servidores dedicados ni construyeron redes propias. En su lugar, comprometieron sitios WordPress vulnerables y los convirtieron en nodos de una red de mando y control distribuida. Cada sitio infectado podía alojar malware, entregar cargas maliciosas adicionales, comunicarse con los equipos ya infectados o almacenar documentos robados, capturas de pantalla y registros de actividad. Esta arquitectura permitía que la operación se mezclara con el tráfico legítimo de Internet, dificultando enormemente su detección.
Para los analistas de seguridad, el hallazgo es un antes y un después. La mayoría de las investigaciones de cibercrimen reconstruyen los ataques desde la perspectiva de las víctimas: qué malware se instaló, cómo se propagó, qué datos se robaron. En este caso, la perspectiva es completamente distinta. Los investigadores pudieron observar cómo se organiza una infraestructura criminal moderna desde dentro, incluyendo los errores que llevaron a su caída parcial.
El error operativo que dejó al descubierto toda la red
La caída de StopAndProtect no fue consecuencia de una vulnerabilidad técnica explotada por las autoridades o por investigadores externos. Fue una cadena de errores humanos cometidos por los propios operadores de la red. Los ciberdelincuentes dejaron expuestos archivos internos que contenían información crítica sobre su infraestructura: herramientas de administración, registros operativos y evidencias de las víctimas comprometidas.
Este tipo de fallo es más común de lo que parece, incluso entre organizaciones criminales sofisticadas. La seguridad operativa —conocida en el ámbito técnico como OPSEC— es uno de los eslabones más débiles de cualquier operación ilegal. Un administrador que olvida restringir el acceso a un directorio, una credencial almacenada en un archivo público o un panel de control sin proteger pueden bastar para tumbar toda la estructura.
Check Point Research aprovechó este descuido para acceder a un volumen de información inusualmente amplio. Los datos obtenidos no solo revelan el alcance de la campaña —5.000 ordenadores infectados y cerca de 2.000 dominios comprometidos— sino también los métodos internos del grupo: cómo seleccionaban las víctimas, cómo gestionaban los sitios infectados y cómo se comunicaban entre ellos.
El caso demuestra que ninguna organización criminal es invulnerable. Por muy avanzada que sea su tecnología, depende siempre de la disciplina humana para mantener sus secretos. Un único descuido operativo puede proporcionar a los investigadores una visibilidad excepcional y acelerar la identificación de sus métodos, sus recursos y, en última instancia, de sus responsables.
WordPress: la plataforma legítima convertida en arma
Uno de los aspectos más relevantes de la investigación es la elección de WordPress como base de la infraestructura criminal. WordPress es el sistema de gestión de contenidos (CMS) más utilizado del mundo: según datos de mercado citados en el informe, representa más del 43% del mercado mundial de gestores de contenidos en 2026. Esa popularidad lo convierte en un objetivo enormemente atractivo para los ciberdelincuentes, no solo por el gran número de sitios vulnerables disponibles, sino también por la dificultad que supone distinguir el tráfico legítimo de WordPress del tráfico malicioso.
StopAndProtect utilizaba los sitios comprometidos de forma modular. Algunos servían como repositorios de malware, alojando los archivos que luego se distribuían a las víctimas. Otros actuaban como canales de comunicación, transmitiendo instrucciones a los equipos infectados. Y otros funcionaban como almacenes de datos robados, acumulando capturas de pantalla, documentos y registros de actividad. Cada sitio desempeñaba un papel específico dentro del ciclo del ataque, lo que permitía a los operadores escalar la campaña sin necesidad de construir infraestructura propia.
Esta estrategia convierte a páginas web aparentemente inocuas en piezas fundamentales de una red criminal resiliente. Un sitio comprometido puede pasar desapercibido durante meses o incluso años, mientras su propietario sigue publicando contenido con normalidad. Para el visitante ocasional, no hay nada sospechoso. Para los atacantes, sin embargo, es un nodo operativo más dentro de un entramado global.
Qué funciones desempeñaban los sitios WordPress comprometidos
La investigación identificó al menos cuatro funciones diferenciadas para los sitios comprometidos:
- Alojamiento y distribución de malware: los sitios servían como puntos de descarga para los archivos maliciosos que se instalaban en los equipos de las víctimas.
- Entrega de cargas maliciosas adicionales: una vez establecido el acceso inicial, los atacantes utilizaban los mismos sitios para enviar nuevas herramientas o módulos de ataque.
- Comunicación con los equipos infectados: los sitios funcionaban como canales de mando y control, transmitiendo instrucciones y recibiendo información de los dispositivos comprometidos.
- Almacenamiento de información robada: los sitios alojaban documentos, capturas de pantalla y registros de actividad extraídos de las víctimas.
Esta modularidad explica la resiliencia de la operación. Si un nodo era descubierto o desactivado, el resto de la red seguía funcionando. Además, al utilizar sitios legítimos comprometidos, los atacantes reducían drásticamente el riesgo de ser detectados por los filtros de seguridad tradicionales, que tienden a confiar en dominios con historial y reputación conocida.
El problema de fondo: miles de sitios WordPress desactualizados
La investigación de StopAndProtect pone el foco sobre un problema persistente en el ecosistema digital: la falta de actualización de WordPress y sus complementos. Durante el análisis, los investigadores de Check Point Research encontraron un sitio comprometido que seguía ejecutando una versión de WordPress publicada en 2021 y que acumulaba casi 40 vulnerabilidades conocidas. Este caso ilustra de forma contundente cómo una única página desatendida puede acabar formando parte de una operación criminal internacional sin que su propietario sea consciente de ello.
El problema no es nuevo, pero su magnitud sigue siendo alarmante. Miles de instalaciones en todo el mundo continúan funcionando con software obsoleto, muchas veces porque sus administradores han abandonado el proyecto, han perdido las credenciales de acceso o simplemente desconocen los riesgos. Cada una de esas instalaciones es una puerta de entrada potencial para grupos especializados en comprometer sitios web legítimos.
Los atacantes no necesitan buscar vulnerabilidades de día cero. Les basta con escanear Internet en busca de sitios que ejecuten versiones antiguas de WordPress, plugins desactualizados o temas con fallos conocidos. Una vez identificado el objetivo, la explotación de una vulnerabilidad pública es relativamente sencilla y apenas requiere conocimientos técnicos avanzados. El resultado es una economía criminal en la que los sitios web desactualizados funcionan como materia prima barata y abundante.
Lecciones para las empresas: cómo reducir la exposición frente a este tipo de campañas
El caso StopAndProtect no es un incidente aislado. Representa una tendencia estructural del cibercrimen actual: la conversión de infraestructura legítima en soporte para actividades ilegales. Frente a esta realidad, las organizaciones necesitan adoptar un enfoque preventivo que reduzca su superficie de ataque y, al mismo tiempo, les permita detectar señales de compromiso antes de que sea demasiado tarde.
Check Point Software recomienda a las organizaciones reforzar la protección de sus activos digitales mediante cinco medidas prioritarias:
- Mantener WordPress y sus plugins siempre actualizados, aplicando parches de seguridad tan pronto como estén disponibles. La actualización es la medida más básica y, a la vez, la más eficaz para cerrar las puertas de entrada más comunes.
- Supervisar la integridad de los sitios web para detectar modificaciones no autorizadas o archivos sospechosos. Un cambio inesperado en un archivo del servidor puede ser el primer indicio de que el sitio ha sido comprometido.
- Desconfiar de CAPTCHAs que soliciten copiar, pegar o ejecutar comandos fuera del navegador. Esta técnica de ingeniería social ha sido observada en campañas recientes de distribución de malware y puede formar parte de ataques a usuarios finales.
- Actualizar periódicamente los dispositivos y las soluciones de seguridad, reduciendo la exposición frente a vulnerabilidades conocidas en el sistema operativo, el navegador o las aplicaciones instaladas.
- Implementar monitorización continua y detección de anomalías, especialmente en servidores web accesibles desde Internet. La visibilidad sobre el tráfico y los cambios en los archivos es esencial para identificar compromisos en fases tempranas.
Estas medidas no son nuevas, pero el caso StopAndProtect les da una urgencia renovada. La investigación demuestra que los ciberdelincuentes no necesitan inventar métodos sofisticados cuando todavía existen miles de sitios web vulnerables a su disposición. La prevención sigue siendo la herramienta más poderosa para desactivar este tipo de redes.
La ingeniería social como vector de entrada: el CAPTCHA malicioso
Uno de los hallazgos más sorprendentes de la investigación tiene que ver con el uso de CAPTCHAs falsos como puerta de entrada al sistema de las víctimas. Los operadores de StopAndProtect empleaban una técnica de ingeniería social en la que se pedía a las víctimas que copiaran y ejecutaran comandos directamente en sus equipos para verificar que eran humanos. Automatizar este tipo de verificación es sencillo. Lo que no es tan sencillo, y por eso resulta interesante, es la eficacia que sigue teniendo este método entre usuarios que, en teoría, tienen conocimientos suficientes para detectar un intento de ataque.
La premisa es simple: el usuario visita un sitio web comprometido y se encuentra con un CAPTCHA aparentemente normal. En lugar de pedirle que seleccione imágenes o escriba un texto, se le pide que abra la consola del navegador, pegue un comando y pulse Enter. El comando, naturalmente, descarga e instala malware en el sistema. Para el usuario, la acción parece una verificación de seguridad más. Para los atacantes, es una manera de saltarse por completo las protecciones del navegador y conseguir ejecución de código en el equipo.
Eli Smadja, Head of Research de Check Point Research, lo resume con claridad: “StopAndProtect demuestra cómo los ciberdelincuentes pueden transformar miles de sitios WordPress mal mantenidos en una infraestructura distribuida para distribuir malware, realizar tareas de vigilancia, robar información y lanzar campañas de ransomware. A partir de nuestros hallazgos, recomendamos a las organizaciones desconfiar de los CAPTCHAs inesperados que solicitan copiar o ejecutar comandos, mantener actualizados los dispositivos y el software de seguridad, y abandonar inmediatamente cualquier sitio web que pida realizar acciones inusuales fuera del navegador”.
Esta recomendación es especialmente relevante en un contexto en el que los ataques de ingeniería social están aumentando en sofisticación. Los usuarios ya están acostumbrados a interactuar con CAPTCHAs en su día a día, lo que los convierte en una herramienta perfecta para el engaño. La concienciación del usuario final, combinada con soluciones de seguridad de extremo a extremo, sigue siendo la mejor defensa frente a este tipo de vectores de ataque.
El reto de la visibilidad en la infraestructura del cibercrimen
La investigación de StopAndProtect abre una ventana a un fenómeno más amplio que está redefiniendo el panorama de la ciberseguridad. La infraestructura del cibercrimen ya no depende exclusivamente de servidores ocultos, redes clandestinas o protocolos anónimos. Cada sitio web desactualizado puede convertirse en un eslabón involuntario de una campaña global. Este cambio de paradigma plantea un reto importante para los equipos de seguridad: cómo detectar y desarticular redes que se esconden dentro del tráfico legítimo.
Para las organizaciones, la clave está en la visibilidad. No basta con proteger el perímetro de la red corporativa; es necesario supervisar también la infraestructura web propia, los servidores de aplicaciones y los sistemas de gestión de contenidos, que a menudo quedan fuera del foco de los equipos de seguridad. Un sitio WordPress aparentemente inocuo que funciona como nodo de mando y control de una red criminal es, a todos los efectos, una filial no declarada de la organización delincuente.
La regulación europea en materia de ciberseguridad, como la directiva NIS2, ya obliga a muchas organizaciones a reforzar la gestión de riesgos y la notificación de incidentes. Sin embargo, la seguridad de la cadena de suministro digital —y WordPress forma parte de ella— sigue siendo una asignatura pendiente. Las empresas no siempre son conscientes de los riesgos que asumen al delegar la gestión de sus sitios web en terceros o al mantener proyectos heredados sin supervisión técnica.
El futuro de las campañas criminales basadas en infraestructura legítima
StopAndProtect no desaparecerá por completo. La exposición de su infraestructura ha permitido a los investigadores desmantelar gran parte de la operación, pero los métodos que utilizaba seguirán disponibles para otros grupos. La lección más profunda de esta investigación es que la seguridad del ecosistema digital depende, en gran medida, del mantenimiento de la base instalada de WordPress y otros sistemas de gestión de contenidos que sostienen una parte significativa de Internet.
Para las empresas, la recomendación es clara: la ciberseguridad no puede limitarse a la protección perimetral. Debe incluir una gestión rigurosa del ciclo de vida de todo el software, desde la instalación hasta su retirada. Cada plugin sin actualizar, cada sitio abandonado y cada credencial olvidada son una puerta potencial al servicio de una red criminal. La reducción de la superficie de ataque, la monitorización continua y la formación de los usuarios son las tres palancas que, combinadas, pueden marcar la diferencia entre ser víctima o no de una campaña como StopAndProtect.
El caso también demuestra que los ciberdelincuentes, por muy sofisticados que sean, no son infalibles. Sus errores operativos pueden proporcionar a los investigadores la visibilidad necesaria para desmantelar sus redes. Pero confiar en que los atacantes cometan errores no es una estrategia de seguridad. La responsabilidad de proteger los activos digitales sigue recayendo en cada organización, y la urgencia de seguir invirtiendo en higiene digital —actualización, monitorización y concienciación— nunca ha sido tan evidente.
