Mientras el mundo discute agentes de inteligencia artificial y ataques que ocurren en segundos, esta semana una operación internacional tuvo que viajar 23 años al pasado para apagar uno de los monstruos más persistentes de Internet.
Se llama Sality. Quienes llevamos años en esta industria lo recordamos por una operación que todavía cuesta creer. Durante doce días de febrero de 2011, coordinó desde aproximadamente tres millones de direcciones IP un barrido sigiloso de prácticamente todo el espacio público de Internet, buscando servidores SIP, la tecnología que sostiene muchas llamadas por Internet. No puso en la mira a una empresa famosa. Puso en la mira a Internet entero.
Sality había nacido en 2003, cuando todavía se grababan archivos en CD y conectarse a la red hacía ruido. Infectaba computadoras con Windows, se propagaba por carpetas compartidas y dispositivos removibles, robaba información y convertía cada equipo en un soldado invisible capaz de enviar spam, tumbar servicios o robar criptomonedas.
Su genialidad criminal era no tener un solo cerebro. Funcionaba como una red de vecinos: cada máquina infectada recibía y transmitía órdenes a las demás. Si las autoridades cerraban una puerta, el resto del barrio seguía conversando.
El lunes 31 de agosto de 2026, ante una audiencia en el encuentro de inteligencia Day Zero, celebrado en Las Vegas, CrowdStrike comenzó a desmantelar esa red junto con el FBI, el Departamento de Justicia de Estados Unidos, la fundación Shadowserver y otros aliados. El operativo incluyó acciones contra infraestructura vinculada con Sality en Estados Unidos, Bulgaria, Hungría y Rumania. La botnet todavía podía distribuir cargas maliciosas a más de 15.000 computadoras infectadas alrededor del mundo.
Los investigadores no se limitaron a desconectar servidores. Sembraron información falsa dentro de la botnet, alteraron las listas que utilizaban las máquinas para localizarse entre ellas y lograron que los equipos infectados dejaran de escuchar a su controlador. También neutralizaron direcciones desde las cuales Sality descargaba nuevas cargas maliciosas. Usaron la fortaleza del monstruo para volverlo contra sí mismo.
Pero la historia todavía conserva un misterio: el monstruo no tiene rostro. CrowdStrike rastrea a sus operadores bajo el nombre Salty Spider y considera probable que actúen desde Bashkortostán, una república rusa cercana a Kazajistán. Las primeras versiones contenían la firma “Sector” y referencias a Salavat City, ciudad de donde probablemente nació el nombre Sality. También aparecieron los alias iMAGER y Alien-Z, pero ninguno ha sido vinculado públicamente con una identidad real.
Después de 23 años, ni el FBI ni otra agencia han revelado quién escribió el código original ni quién controlaba finalmente la red. Lograron encontrar y desconectar la máquina, pero todavía no al hombre detrás de ella.
La noticia también le habla a América Latina. Brasil ya figuraba entre los principales focos de actividad de Sality en mediciones de 2015. Pero la lección regional no es estadística, sino cultural: miramos la ciberseguridad por el parabrisas, fascinados con la amenaza más nueva, y olvidamos revisar el retrovisor. Muchas veces el peligro no está en una inteligencia artificial futurista, sino en aquella computadora vieja que “todavía funciona”, el programa que nadie se atreve a actualizar o el equipo que no aparece en ningún inventario.
Venezuela tampoco es virgen en esta cancha. Entre 2017 y 2023, organizaciones dedicadas a la defensa de los derechos digitales documentaron ataques DDoS que sacaron de línea a distintos portales periodísticos venezolanos. Dentro de esa secuencia, Espacio Público reportó que el 4 de marzo de 2019 una oleada negó el acceso a varios sitios, entre ellos Caraota Digital.
Pero el caso institucional más emblemático ocurrió el 15 de septiembre de 2021, cuando el Banco de Venezuela sufrió una interrupción que el Ejecutivo identificó como un ataque DDoS contra los puertos 80 y 443, las puertas habituales de navegación web. Según EFE, restaurar completamente los servicios requirió unas 130 horas de trabajo. La información de los clientes fue protegida, pero millones de usuarios quedaron temporalmente sin poder realizar sus operaciones habituales.
No existe evidencia pública que relacione ese episodio con Sality ni que permita confirmar quién estuvo detrás. En criollo: aquí no somos ningunos recién llegados; ya han intentado bajarle la santamaría digital a un banco y a varias redacciones a punta de tráfico basura.
Para quien tema tener una computadora infectada, Microsoft recomienda mantener actualizada la protección, ejecutar un análisis completo y eliminar la amenaza con Defender. En una empresa hay que ir más lejos: aislar los equipos sospechosos, revisar qué otros programas pudieron descargarse, retirar sistemas sin soporte, segmentar los que no puedan reemplazarse y vigilar comunicaciones inusuales.
CrowdStrike advierte que la interrupción impide que Sality reciba nuevas cargas, pero no elimina el malware que ya vive dentro de las computadoras. Además, este virus puede desactivar herramientas de seguridad. Borrar un archivo y seguir trabajando sería como sacar al ladrón sin revisar si dejó una copia de la llave.
Si el temor es que una botnet ataque una página o servicio, la defensa es distinta. Un cortafuegos de aplicaciones y una protección anti-DDoS permanentemente activa, mediante soluciones especializadas como las de Cloudflare o Fortinet, pueden detectar, filtrar y absorber el tráfico malicioso antes de que alcance la infraestructura. Pero ese escudo no limpia una computadora infectada. Una cosa protege la puerta; la otra saca al intruso que ya está adentro.
Durante 23 años, Sality fue como una gotera en el techo de Internet: todos sabían que estaba allí, pero terminaron acostumbrándose al balde en el piso. CrowdStrike, el FBI y sus aliados decidieron hacer algo distinto. No cambiaron el balde ni se limitaron a secar el agua. Subieron al techo y comenzaron a cerrar la filtración. Esa es la lección más sencilla de esta historia: convivir con un peligro no significa haberlo vencido. Y cuando un patrón viejo reaparece en las estadísticas, hacerse la vista gorda no lo convierte en pasado: lo convierte en la próxima crisis.
Para quienes quieran profundizar en esta manera de anticiparse, los invito a conocer mi nuevo libro, La próxima crisis no avisará, recién publicado en Amazon para lectores de todo el mundo. Allí desarrollo cómo reconocer las señales antes del impacto, prepararse para lo inesperado y convertir la continuidad y la resiliencia en verdaderas decisiones de liderazgo.
Disponible en Amazon:
https://www.amazon.com/dp/980799229X
La próxima crisis no avisará. Prepararse no es tener miedo: es saber liderar.
Rafael Núñez Aponte
CEO @MasQueSeguridad
Columnista Radar Cibernético