El router sigue funcionando. Las luces parpadean, el wifi llega al cuarto y nadie le pide explicaciones. Que opere con normalidad no dice quién más puede usarlo.
El 28 de octubre, Black Lotus Labs, el equipo de investigación de Lumen, publicó Silent Train, un sistema de rutas encubiertas que Volt Typhoon, grupo atribuido por las autoridades estadounidenses a patrocinio estatal chino, ha empleado desde finales de 2023. Los operadores toman routers y otros equipos comprometidos en varios países como intermediarios. La conexión pasa por varias escalas antes de llegar al objetivo. Pueden armar una ruta en menos de dos minutos y desmontarla al terminar, retirando herramientas para dificultar la investigación.
La ruta es desechable. El acceso que buscan conservar en el destino no lo es. Hawái, California y Texas aparecen con frecuencia entre las zonas afectadas. Entre los objetivos están las plataformas que permiten administrar muchos equipos desde un mismo lugar. Comprometer una de ellas amplía el alcance de una intrusión más allá del dispositivo individual.
El FBI y otras agencias estadounidenses han señalado que Volt Typhoon prepara accesos que podrían usarse para interrumpir servicios esenciales en Estados Unidos durante una crisis. Es una evaluación sobre uso futuro: entrar hoy y conservar la posibilidad de actuar después.
El mismo día se conoció otro caso. WIRED informó de la difusión de registros atribuidos a más de 41.000 empleados y contratistas del Departamento de Seguridad Nacional de Estados Unidos. Incluían datos de contacto y referencias a la organización interna. Reuters corroboró parte del material; no pudo verificar el conjunto completo ni la vía de obtención. El DHS reconoció una posible brecha.
No hay vínculo establecido entre ambos casos. La exposición importa por la confianza que se deposita en la información: un mensaje que conoce el cargo de alguien y el nombre de su jefe puede parecer legítimo. Que los datos sean correctos no demuestra que quien escribe esté autorizado para pedir algo.
La inteligencia artificial puede facilitar el aprovechamiento posterior de esos datos, al permitir redactar mensajes más precisos y con menos errores evidentes. INTERPOL señaló este mes que estas herramientas reducen señales habituales del engaño. Ni el informe de Lumen ni la cobertura del DHS atribuyen estos episodios a la IA. El riesgo es de uso posterior.
Desde Venezuela y el resto de América Latina sería un error tratar estas noticias como problemas exclusivamente ajenos. Quien vende por internet, administra un negocio o trabaja desde casa también depende de conexiones y cuentas. El tamaño de una institución no le otorga inmunidad, y la modestia de un negocio no lo vuelve irrelevante para un atacante.
Cada incidente debería llevar a exigir explicaciones y correcciones. Acostumbrarse a que se filtre otra base de datos es una forma de renunciar a esa exigencia.
De estos temas hablaré este viernes 30 de octubre, a las 11:00 a. m., en el XVII Congreso de Gestión de Proyectos de PMI Venezuela, en la UCAB.
Cómo protegerte
Pide a tu proveedor que confirme que el router está actualizado y que limite quién puede administrarlo a distancia. Si el equipo dejó de recibir correcciones del fabricante, hay que sustituirlo.
Activa las passkeys o claves de acceso cuando estén disponibles. Están vinculadas al servicio legítimo y están diseñadas para resistir páginas que lo suplantan. Donde no puedas usarlas, emplea contraseñas distintas y verificación en dos pasos. Empieza por el correo principal.
Que un mensaje conozca tu cargo y el nombre de tu jefe no demuestra que quien escribe esté autorizado. Ante una petición inesperada de dinero o información, detén la conversación y confirma por un número que ya conocías. No entregues contraseñas ni códigos. Si cediste el control de una cuenta, contacta al servicio afectado. Si entregaste datos financieros o autorizaste un pago sospechoso, avisa al banco por sus canales oficiales y conserva los mensajes.
Una solicitud legítima admite una segunda comprobación. La urgencia de quien escribe no debería decidir por nosotros.
Rafael Núñez Aponte
CEO @MasQueSeguridad
Columnista Radar Cibernético