El 1 de marzo de 2026, menos de 24 horas despu\u00e9s del inicio de la guerra entre Estados Unidos e Israel contra Ir\u00e1n \u2014bautizada como ‘Operaci\u00f3n Furia \u00c9pica’\u2014, se produjo un hito hist\u00f3rico en el \u00e1mbito de los conflictos armados: el ataque dirigido y deliberado contra centros de datos comerciales. Drones iran\u00edes alcanzaron tres instalaciones de Amazon Web Services (AWS) en los Emiratos \u00c1rabes Unidos y Bar\u00e9in, interrumpiendo la infraestructura de nube cr\u00edtica y derribando aplicaciones financieras y herramientas empresariales no solo en todo el Golfo P\u00e9rsico, sino tambi\u00e9n en regiones muy alejadas del conflicto. Este ataque demostr\u00f3 de forma contundente que la distancia f\u00edsica de una zona de guerra ya no ofrece ninguna garant\u00eda de inmunidad frente a los impactos de la guerra cin\u00e9tica.<\/p>\n
Para la mayor\u00eda de las organizaciones, sin embargo, el riesgo m\u00e1s inmediato se despliega en el ciberespacio e involucra a todo tipo de actores maliciosos. A las pocas horas del inicio de las hostilidades, los ciberactores vinculados a Ir\u00e1n se movilizaron en masa. La unidad de inteligencia de amenazas de Palo Alto Networks<\/a>, Unit 42, contabiliz\u00f3 m\u00e1s de 60 grupos hacktivistas proiran\u00edes activos. Simult\u00e1neamente, las agencias de ciberseguridad del Reino Unido y Canad\u00e1 emitieron advertencias sobre el aumento del nivel de amenaza, advertencias que pronto fueron secundadas por Europol y el Departamento de Seguridad Nacional de Estados Unidos.<\/p>\n El estallido de un conflicto cin\u00e9tico suele ampliar tanto el volumen como el repertorio de los ciberactores involucrados. La actividad hacktivista, ruidosa y a menudo envuelta en fanfarroner\u00eda, suele surgir primero. Las operaciones de Amenazas Persistentes Avanzadas (APT), que implican reconocimiento y acceso inicial, se ejecutan en paralelo o muy cerca. Una vez que se establecen puntos de apoyo y se mapean los objetivos, el escenario est\u00e1 listo para el prop\u00f3sito real de la operaci\u00f3n, ya sea espionaje, disrupci\u00f3n, sabotaje u otros fines.<\/p>\n Las l\u00edneas divisorias no son n\u00edtidas. Algunas t\u00e1cticas pueden desplegarse en t\u00e1ndem: una desfiguraci\u00f3n de sitio web o un ataque de denegaci\u00f3n de servicio distribuido (DDoS) que parece una operaci\u00f3n hacktivista de bajo nivel podr\u00eda ser una distracci\u00f3n deliberada de un ataque real que explota silenciosamente el objetivo a trav\u00e9s de un vector diferente. Este fen\u00f3meno, cuyas ra\u00edces se remontan al incidente de Saudi Aramco en 2012, se conoce como \u00abfaketivism\u00bb o activismo falso, seg\u00fan la Agencia de la Uni\u00f3n Europea para la Ciberseguridad (ENISA<\/a>).<\/p>\n Los grupos vinculados a Ir\u00e1n se encuentran entre los m\u00e1s activos y resourceful del mundo alineados con estados, y sus capacidades y herramientas ciberofensivas han madurado notablemente en los \u00faltimos a\u00f1os. La amenaza es especialmente aguda para las organizaciones con relaciones en la cadena de suministro en Oriente Medio u otros v\u00ednculos con la regi\u00f3n, sin mencionar a aquellas con dependencias en la nube en esa zona.<\/p>\n Las superposiciones operativas entre distintos grupos son profundas. La campa\u00f1a del grupo CyberAv3ngers contra plantas de agua y aguas residuales en Estados Unidos y otros pa\u00edses en 2023 ilustr\u00f3 c\u00f3mo se operacionaliza esa l\u00f3gica de ataque. El mensaje que dejaban en los sistemas comprometidos \u2014\u00bbHan sido hackeados, abajo Israel. Todo equipo ‘fabricado en Israel’ es un objetivo legal para CyberAv3ngers\u00bb\u2014 parec\u00eda la salida de un hacktivista, pero se determin\u00f3 r\u00e1pidamente que el grupo operaba bajo la direcci\u00f3n del estado iran\u00ed. Los investigadores de ESET<\/a> han documentado v\u00ednculos estrechos entre varios actores APT alineados con Ir\u00e1n. En particular, MuddyWater ha trabajado estrechamente con Lyceum, un subgrupo de OilRig, y probablemente ha actuado como un corredor de acceso inicial (IAB) para otros grupos.<\/p>\n MuddyWater, que antes era conocido por ataques automatizados y ruidosos, se est\u00e1 inclinando cada vez m\u00e1s hacia operaciones sigilosas y refinadas que implican actividades ‘manos al teclado’ en entornos objetivo. El grupo tambi\u00e9n ha pivotado hacia el abuso de software leg\u00edtimo de Monitoreo y Gesti\u00f3n Remota (RMM) para mezclarse con el tr\u00e1fico de red leg\u00edtimo y complicar la detecci\u00f3n. Adem\u00e1s, es conocido por favorecer el spearphishing interno desde buzones ya comprometidos, una t\u00e9cnica que tiene una alta tasa de \u00e9xito por razones obvias: los correos provienen de la cuenta de un colega, no de un remitente externo. El spearphishing con archivos adjuntos y enlaces sigue siendo la t\u00e9cnica de acceso inicial m\u00e1s popular entre la mayor\u00eda de los grupos APT iran\u00edes, incluidos OilRig y APT33.<\/p>\n La amenaza se expande a\u00fan m\u00e1s con la entrada en escena de varios grupos hacktivistas prorrusos que se han unido a la contienda en apoyo de Ir\u00e1n. Tambi\u00e9n hay informes de grupos vinculados a Ir\u00e1n que interact\u00faan con corredores de acceso inicial en foros de ciberdelincuencia rusos, lo que expande tanto las herramientas disponibles como el rango de objetivos alcanzables.<\/p>\n La infraestructura cr\u00edtica es uno de los ‘trofeos’ m\u00e1s codiciados por todo tipo de adversarios. La telemetr\u00eda reciente de ESET muestra que los actores alineados con Ir\u00e1n atacan desproporcionadamente a entidades que operan en los sectores de ingenier\u00eda y manufactura. Cuando el objetivo es la represalia, la destrucci\u00f3n tiende a tener prioridad sobre la extorsi\u00f3n mediante ransomware. El malware de limpieza de datos (wiper) es una caracter\u00edstica consistente de las operaciones modernas adyacentes a conflictos, como han demostrado repetidamente los grupos alineados con Rusia en Ucrania.<\/p>\n En cuanto a los ataques que ofrecen una alta rentabilidad, el compromiso de la cadena de suministro suele reinar supremo. En 2022, ESET Research document\u00f3 c\u00f3mo el grupo Agrius, alineado con Ir\u00e1n, despleg\u00f3 un wiper destructivo llamado Fantasy a trav\u00e9s de un ataque a la cadena de suministro que abus\u00f3 de un desarrollador de software israel\u00ed, alcanzando objetivos en varios sectores verticales y mucho m\u00e1s all\u00e1 de Israel. El radio de explosi\u00f3n de un ataque a la cadena de suministro puede llegar a organizaciones que nunca fueron atacadas directamente y no tienen una conexi\u00f3n obvia con el conflicto.<\/p>\n Un riesgo relacionado concierne a los proveedores de servicios gestionados (MSP) y sus clientes. Tambi\u00e9n en 2022, ESET document\u00f3 una campa\u00f1a en la que el adversario comprometi\u00f3 a un MSP para obtener acceso a sus objetivos finales. En lugar de infiltrarse directamente en los objetivos, dejaron que las v\u00edas de acceso del MSP hicieran el trabajo. La campa\u00f1a fue orquestada por MuddyWater.<\/p>\n Como tambi\u00e9n se\u00f1al\u00f3 el Grupo de An\u00e1lisis de Amenazas (TAG) de Google en su an\u00e1lisis de la ciberactividad en torno a la guerra entre Israel y Ham\u00e1s, \u00ablas capacidades cibern\u00e9ticas son una herramienta de primer recurso\u00bb. Esta observaci\u00f3n sigue siendo relevante y se ejemplific\u00f3 con el primer ciberataque importante desde que comenz\u00f3 la guerra, ocurrido el 12 de marzo de 2026. Un ataque de limpieza de datos, perpetrado por el grupo hacktivista proiran\u00ed Hamdala contra la empresa de tecnolog\u00eda m\u00e9dica estadounidense Stryker, provoc\u00f3 que los sistemas de la compa\u00f1\u00eda se apagaran a nivel mundial.<\/p>\n Las amenazas van desde campa\u00f1as oportunistas de DDoS y desfiguraci\u00f3n de sitios web hasta incursiones dirigidas de limpieza de datos y ciberespionaje con largos periodos de permanencia, pasando por da\u00f1os en la cadena de suministro que no perdonar\u00edan a organizaciones sin conexi\u00f3n directa con el conflicto. Las medidas que se describen a continuaci\u00f3n ser\u00e1n familiares para la mayor\u00eda de los equipos de seguridad. El enfoque se centra en d\u00f3nde los actores alineados con Ir\u00e1n han encontrado hist\u00f3ricamente los puntos d\u00e9biles.<\/p>\n Comience por identificar y asegurar todo lo que est\u00e9 expuesto a Internet: accesos remotos, aplicaciones web, pasarelas VPN y dispositivos OT\/ICS conectados a Internet. Las credenciales predeterminadas deben cambiarse en todos los dispositivos. Si un dispositivo no admite autenticaci\u00f3n s\u00f3lida, considere si deber\u00eda estar conectado a la Internet p\u00fablica en absoluto. La campa\u00f1a de CyberAv3ngers en 2023 se dirigi\u00f3 a controladores l\u00f3gicos programables (PLC) que a\u00fan ten\u00edan contrase\u00f1as de f\u00e1brica.<\/p>\n Los entornos OT\/ICS plantean un desaf\u00edo espec\u00edfico: dispositivos desplegados hace d\u00e9cadas sin requisitos de seguridad. Las credenciales predeterminadas y la exposici\u00f3n a Internet son los problemas m\u00e1s obvios, pero la cuesti\u00f3n m\u00e1s amplia es que muchos de estos sistemas nunca fueron dise\u00f1ados para ser asegurados despu\u00e9s del despliegue. Desconecte los dispositivos OT\/ICS de la Internet p\u00fablica siempre que sea operativamente factible. Aplique todos los parches disponibles. Cuando no sea posible, imponga la segmentaci\u00f3n de la red entre los entornos de TI y OT y establezca l\u00edneas de base de comportamiento para los protocolos industriales.<\/p>\n La mayor\u00eda de los grupos patrocinados por el estado iran\u00ed han hecho del compromiso de la identidad su enfoque consistente. Una advertencia conjunta de CISA<\/a>, FBI y NSA de octubre de 2024 document\u00f3 una campa\u00f1a de un a\u00f1o en la que actores iran\u00edes utilizaron rociado de contrase\u00f1as y bombardeo de notificaciones de autenticaci\u00f3n multifactor (MFA push-bombing) para violar organizaciones en los sectores de salud, gobierno, energ\u00eda y TI. Para contrarrestar la amenaza, imponga MFA resistente al phishing en todos los sistemas orientados al exterior y audite las configuraciones MFA existentes para detectar registros no autorizados.<\/p>\n Audite todas las v\u00edas de acceso de terceros y remotas. Dado que grupos como CyberAv3ngers buscan espec\u00edficamente equipos OT fabricados en Israel, revise si alguno de sus equipos entra en esa categor\u00eda. Si depende de MSP, pregunte c\u00f3mo aseguran sus herramientas de acceso remoto. La explotaci\u00f3n por parte de MuddyWater de la herramienta SimpleHelp en los MSP demostr\u00f3 que la postura de seguridad de su proveedor es efectivamente parte de su superficie de ataque.<\/p>\nLa movilizaci\u00f3n de los ciberactores iran\u00edes: de los hacktivistas a los grupos APT<\/h2>\n
La evoluci\u00f3n de las t\u00e1cticas: de MuddyWater a la explotaci\u00f3n de la cadena de suministro<\/h2>\n
El ataque a la infraestructura cr\u00edtica como trofeo de guerra<\/h3>\n
El ataque como primera herramienta: la materializaci\u00f3n de la amenaza<\/h2>\n
Resiliencia pr\u00e1ctica: d\u00f3nde concentrar los esfuerzos de defensa<\/h2>\n
Identificar y asegurar la superficie de exposici\u00f3n<\/h3>\n
Reducir la superficie de ataque en entornos OT\/ICS<\/h3>\n
Cerrar las brechas de identidad: defensa contra el bombardeo MFA<\/h3>\n
Auditar la cadena de suministro y el acceso de terceros<\/h3>\n
Vigilar el phishing interno en un contexto de conflicto<\/h3>\n