El 1 de marzo de 2026, menos de 24 horas después del inicio de la guerra entre Estados Unidos e Israel contra Irán —bautizada como ‘Operación Furia Épica’—, se produjo un hito histórico en el ámbito de los conflictos armados: el ataque dirigido y deliberado contra centros de datos comerciales. Drones iraníes alcanzaron tres instalaciones de Amazon Web Services (AWS) en los Emiratos Árabes Unidos y Baréin, interrumpiendo la infraestructura de nube crítica y derribando aplicaciones financieras y herramientas empresariales no solo en todo el Golfo Pérsico, sino también en regiones muy alejadas del conflicto. Este ataque demostró de forma contundente que la distancia física de una zona de guerra ya no ofrece ninguna garantía de inmunidad frente a los impactos de la guerra cinética.
Para la mayoría de las organizaciones, sin embargo, el riesgo más inmediato se despliega en el ciberespacio e involucra a todo tipo de actores maliciosos. A las pocas horas del inicio de las hostilidades, los ciberactores vinculados a Irán se movilizaron en masa. La unidad de inteligencia de amenazas de Palo Alto Networks, Unit 42, contabilizó más de 60 grupos hacktivistas proiraníes activos. Simultáneamente, las agencias de ciberseguridad del Reino Unido y Canadá emitieron advertencias sobre el aumento del nivel de amenaza, advertencias que pronto fueron secundadas por Europol y el Departamento de Seguridad Nacional de Estados Unidos.
La movilización de los ciberactores iraníes: de los hacktivistas a los grupos APT
El estallido de un conflicto cinético suele ampliar tanto el volumen como el repertorio de los ciberactores involucrados. La actividad hacktivista, ruidosa y a menudo envuelta en fanfarronería, suele surgir primero. Las operaciones de Amenazas Persistentes Avanzadas (APT), que implican reconocimiento y acceso inicial, se ejecutan en paralelo o muy cerca. Una vez que se establecen puntos de apoyo y se mapean los objetivos, el escenario está listo para el propósito real de la operación, ya sea espionaje, disrupción, sabotaje u otros fines.
Las líneas divisorias no son nítidas. Algunas tácticas pueden desplegarse en tándem: una desfiguración de sitio web o un ataque de denegación de servicio distribuido (DDoS) que parece una operación hacktivista de bajo nivel podría ser una distracción deliberada de un ataque real que explota silenciosamente el objetivo a través de un vector diferente. Este fenómeno, cuyas raíces se remontan al incidente de Saudi Aramco en 2012, se conoce como «faketivism» o activismo falso, según la Agencia de la Unión Europea para la Ciberseguridad (ENISA).
Los grupos vinculados a Irán se encuentran entre los más activos y resourceful del mundo alineados con estados, y sus capacidades y herramientas ciberofensivas han madurado notablemente en los últimos años. La amenaza es especialmente aguda para las organizaciones con relaciones en la cadena de suministro en Oriente Medio u otros vínculos con la región, sin mencionar a aquellas con dependencias en la nube en esa zona.
La evolución de las tácticas: de MuddyWater a la explotación de la cadena de suministro
Las superposiciones operativas entre distintos grupos son profundas. La campaña del grupo CyberAv3ngers contra plantas de agua y aguas residuales en Estados Unidos y otros países en 2023 ilustró cómo se operacionaliza esa lógica de ataque. El mensaje que dejaban en los sistemas comprometidos —»Han sido hackeados, abajo Israel. Todo equipo ‘fabricado en Israel’ es un objetivo legal para CyberAv3ngers»— parecía la salida de un hacktivista, pero se determinó rápidamente que el grupo operaba bajo la dirección del estado iraní. Los investigadores de ESET han documentado vínculos estrechos entre varios actores APT alineados con Irán. En particular, MuddyWater ha trabajado estrechamente con Lyceum, un subgrupo de OilRig, y probablemente ha actuado como un corredor de acceso inicial (IAB) para otros grupos.
MuddyWater, que antes era conocido por ataques automatizados y ruidosos, se está inclinando cada vez más hacia operaciones sigilosas y refinadas que implican actividades ‘manos al teclado’ en entornos objetivo. El grupo también ha pivotado hacia el abuso de software legítimo de Monitoreo y Gestión Remota (RMM) para mezclarse con el tráfico de red legítimo y complicar la detección. Además, es conocido por favorecer el spearphishing interno desde buzones ya comprometidos, una técnica que tiene una alta tasa de éxito por razones obvias: los correos provienen de la cuenta de un colega, no de un remitente externo. El spearphishing con archivos adjuntos y enlaces sigue siendo la técnica de acceso inicial más popular entre la mayoría de los grupos APT iraníes, incluidos OilRig y APT33.
La amenaza se expande aún más con la entrada en escena de varios grupos hacktivistas prorrusos que se han unido a la contienda en apoyo de Irán. También hay informes de grupos vinculados a Irán que interactúan con corredores de acceso inicial en foros de ciberdelincuencia rusos, lo que expande tanto las herramientas disponibles como el rango de objetivos alcanzables.
El ataque a la infraestructura crítica como trofeo de guerra
La infraestructura crítica es uno de los ‘trofeos’ más codiciados por todo tipo de adversarios. La telemetría reciente de ESET muestra que los actores alineados con Irán atacan desproporcionadamente a entidades que operan en los sectores de ingeniería y manufactura. Cuando el objetivo es la represalia, la destrucción tiende a tener prioridad sobre la extorsión mediante ransomware. El malware de limpieza de datos (wiper) es una característica consistente de las operaciones modernas adyacentes a conflictos, como han demostrado repetidamente los grupos alineados con Rusia en Ucrania.
En cuanto a los ataques que ofrecen una alta rentabilidad, el compromiso de la cadena de suministro suele reinar supremo. En 2022, ESET Research documentó cómo el grupo Agrius, alineado con Irán, desplegó un wiper destructivo llamado Fantasy a través de un ataque a la cadena de suministro que abusó de un desarrollador de software israelí, alcanzando objetivos en varios sectores verticales y mucho más allá de Israel. El radio de explosión de un ataque a la cadena de suministro puede llegar a organizaciones que nunca fueron atacadas directamente y no tienen una conexión obvia con el conflicto.
Un riesgo relacionado concierne a los proveedores de servicios gestionados (MSP) y sus clientes. También en 2022, ESET documentó una campaña en la que el adversario comprometió a un MSP para obtener acceso a sus objetivos finales. En lugar de infiltrarse directamente en los objetivos, dejaron que las vías de acceso del MSP hicieran el trabajo. La campaña fue orquestada por MuddyWater.
El ataque como primera herramienta: la materialización de la amenaza
Como también señaló el Grupo de Análisis de Amenazas (TAG) de Google en su análisis de la ciberactividad en torno a la guerra entre Israel y Hamás, «las capacidades cibernéticas son una herramienta de primer recurso». Esta observación sigue siendo relevante y se ejemplificó con el primer ciberataque importante desde que comenzó la guerra, ocurrido el 12 de marzo de 2026. Un ataque de limpieza de datos, perpetrado por el grupo hacktivista proiraní Hamdala contra la empresa de tecnología médica estadounidense Stryker, provocó que los sistemas de la compañía se apagaran a nivel mundial.
Resiliencia práctica: dónde concentrar los esfuerzos de defensa
Las amenazas van desde campañas oportunistas de DDoS y desfiguración de sitios web hasta incursiones dirigidas de limpieza de datos y ciberespionaje con largos periodos de permanencia, pasando por daños en la cadena de suministro que no perdonarían a organizaciones sin conexión directa con el conflicto. Las medidas que se describen a continuación serán familiares para la mayoría de los equipos de seguridad. El enfoque se centra en dónde los actores alineados con Irán han encontrado históricamente los puntos débiles.
Identificar y asegurar la superficie de exposición
Comience por identificar y asegurar todo lo que esté expuesto a Internet: accesos remotos, aplicaciones web, pasarelas VPN y dispositivos OT/ICS conectados a Internet. Las credenciales predeterminadas deben cambiarse en todos los dispositivos. Si un dispositivo no admite autenticación sólida, considere si debería estar conectado a la Internet pública en absoluto. La campaña de CyberAv3ngers en 2023 se dirigió a controladores lógicos programables (PLC) que aún tenían contraseñas de fábrica.
Reducir la superficie de ataque en entornos OT/ICS
Los entornos OT/ICS plantean un desafío específico: dispositivos desplegados hace décadas sin requisitos de seguridad. Las credenciales predeterminadas y la exposición a Internet son los problemas más obvios, pero la cuestión más amplia es que muchos de estos sistemas nunca fueron diseñados para ser asegurados después del despliegue. Desconecte los dispositivos OT/ICS de la Internet pública siempre que sea operativamente factible. Aplique todos los parches disponibles. Cuando no sea posible, imponga la segmentación de la red entre los entornos de TI y OT y establezca líneas de base de comportamiento para los protocolos industriales.
Cerrar las brechas de identidad: defensa contra el bombardeo MFA
La mayoría de los grupos patrocinados por el estado iraní han hecho del compromiso de la identidad su enfoque consistente. Una advertencia conjunta de CISA, FBI y NSA de octubre de 2024 documentó una campaña de un año en la que actores iraníes utilizaron rociado de contraseñas y bombardeo de notificaciones de autenticación multifactor (MFA push-bombing) para violar organizaciones en los sectores de salud, gobierno, energía y TI. Para contrarrestar la amenaza, imponga MFA resistente al phishing en todos los sistemas orientados al exterior y audite las configuraciones MFA existentes para detectar registros no autorizados.
Auditar la cadena de suministro y el acceso de terceros
Audite todas las vías de acceso de terceros y remotas. Dado que grupos como CyberAv3ngers buscan específicamente equipos OT fabricados en Israel, revise si alguno de sus equipos entra en esa categoría. Si depende de MSP, pregunte cómo aseguran sus herramientas de acceso remoto. La explotación por parte de MuddyWater de la herramienta SimpleHelp en los MSP demostró que la postura de seguridad de su proveedor es efectivamente parte de su superficie de ataque.
Vigilar el phishing interno en un contexto de conflicto
Dado que MuddyWater y otros grupos a menudo se basan en enfoques centrados en el ser humano, como los mensajes de spearphishing desde cuentas internas comprometidas, los empleados deben verificar todas las solicitudes a través de canales separados, particularmente aquellas que involucran credenciales, cambios de acceso, «actualizaciones de seguridad» urgentes y cualquier cosa que haga referencia al conflicto actual. Los adversarios utilizan herramientas comunes de IA para generar señuelos de phishing matizados e investigar vulnerabilidades.
Mapear las dependencias en la nube
Mapa qué proveedores de software como servicio (SaaS) utiliza y averigüe dónde está alojada su infraestructura. Incluso si no ejecuta cargas de trabajo en Oriente Medio, sus proveedores podrían hacerlo. Tras los ataques a AWS, múltiples proveedores, incluidos Snowflake y Red Hat, emitieron avisos de conmutación por error, recordando a sus clientes que las interrupciones regionales de la nube se propagan a través de la cadena de suministro.
Prepararse para la destrucción, no solo para el robo
Durante las operaciones adyacentes a conflictos, los actores alineados con estados tienden a favorecer los wipers sobre el ransomware. Asegúrese de que al menos una copia de las copias de seguridad críticas esté fuera de línea y aislada (air-gapped). Pruebe si su plan de recuperación ante desastres cubre una interrupción completa de una región de la nube. Verifique que las copias de seguridad realmente se restauren, ya que el wiper y otro malware a veces se dirigen específicamente a los sistemas de respaldo.
Todo vale en un conflicto sin fronteras cibernéticas
El panorama de amenazas seguirá cambiando a medida que se desarrolle el conflicto. El ruido hacktivista puede intensificarse o desvanecerse, mientras que las operaciones APT tienden a moverse más lentamente y a salir a la superficie más tarde. Las organizaciones que mejor se desenvuelven en este entorno son, por lo general, aquellas que ya habían cerrado las brechas básicas antes de que la amenaza se volviera aguda. Si el trabajo fundamental, como un inventario de activos, sigue pendiente, la situación actual es razón suficiente para acelerarlo. Para aquellas organizaciones con acceso a inteligencia de amenazas e investigación de primer nivel, ahora es el momento de mantener una estrecha vigilancia. El ataque a los centros de datos de AWS en los Emiratos Árabes Unidos y Baréin no es un incidente aislado, sino el presagio de una nueva realidad donde la guerra cinética y la ciberguerra se fusionan, y donde la infraestructura digital crítica, sin importar dónde esté alojada, se convierte en un objetivo militar legítimo. La pregunta que cada organización debe hacerse no es si será atacada, sino si su resiliencia está a la altura de un conflicto que ya no reconoce fronteras geográficas.
