La semana del 18 al 24 de agosto dejó cinco episodios de espionaje estatal e infraestructura crítica que, leídos juntos, dibujan un mapa incómodo: el ataque ya no entra solo por el servidor expuesto, sino por el hardware que compraste, por el hipervisor que administra todo y por la red del vecino.
Eslovaquia encontró una puerta trasera rusa en cámaras de control de velocidad recién compradas, un aviso conjunto del FBI y CISA elevó a más de 500 el número de organizaciones de infraestructura crítica golpeadas por el ransomware Medusa, y el jefe de ciberseguridad de T-Mobile contó cómo terminó una intrusión estatal china con una tijera en la mano.
Eslovaquia: 279 cámaras de tránsito que se abren con un SMS
La autoridad nacional de seguridad de Eslovaquia (NBÚ) emitió una alerta contra las cámaras de control de velocidad NERO R-ONE, 279 unidades compradas dentro de un proyecto de unos 30 millones de euros financiado con fondos europeos para el sistema nacional de fiscalización vial.
El hallazgo central del informe técnico es un módulo no documentado con doce números telefónicos rusos hardcodeados en el firmware, de las regiones de San Petersburgo y Kémerovo. Un SMS enviado desde cualquiera de esos números le abre al remitente acceso de shell y de red al dispositivo.
El resto del informe no mejora el cuadro. El NBÚ documentó además:
- Secure Boot desactivado, con lo cual nunca se valida el origen del firmware que corre el equipo.
- Transmisión de video en vivo accesible sin contraseña para cualquiera que conozca la IP del dispositivo.
- Múltiples vulnerabilidades en el portal web de administración.
La NERO R-ONE sería una versión rebrandeada de la cámara rusa CORDON PRO.M, del fabricante Semicon, con sede en San Petersburgo. La compra se canalizó a través de una sociedad pantalla en Chipre que presentó certificaciones falsas.
El Ministerio del Interior desactivó las cámaras ya instaladas, frenó el despliegue del resto y encargó una auditoría independiente para confirmar los hallazgos. Hay reportes de equipos del mismo origen desplegados en Croacia y en otros países de Europa del Este.
Reino Unido: una planta eléctrica cuatro días fuera de servicio
El 22 de agosto The Telegraph publicó que un grupo vinculado a Irán dejó una planta eléctrica británica fuera de servicio durante cuatro días en julio de 2026. Sería la primera vez que actores afiliados al régimen iraní logran detener una instalación de ese tipo en Reino Unido.
La planta es chica y la caída no afectó el suministro eléctrico nacional. El incidente se reportó al Centro Nacional de Ciberseguridad británico (NCSC).
Acá conviene bajar un cambio, porque el caso llegó a los titulares con más certeza de la que tiene. Ni el gobierno británico ni el NCSC confirmaron públicamente el episodio ni la atribución, y especialistas en seguridad industrial como Robert M. Lee pidieron cautela: el contexto geopolítico no alcanza para asignar autoría sin trabajo de inteligencia que lo respalde.
Lo que sí está en el registro público es el momento. El corte coincidió con una tanda coordinada de ataques contra más de treinta prestadoras comunitarias de agua en Estados Unidos, en una escalada de actividad iraní contra objetivos occidentales.
vCenter: 361 víctimas en 47 países por una falla parcheada en julio
La vulnerabilidad CVE-2026-59310 (CVSS 9.8) es un directory traversal en VMware vCenter que permite ejecutar código arbitrario con privilegios de root. Broadcom publicó el parche el 29 de julio de 2026, y la explotación masiva arrancó cinco días después.
La firma alemana de respuesta a incidentes QUIRSO contabilizó 361 direcciones IP víctimas en 47 países, con Alemania (55), Estados Unidos (41), Turquía (38), Irán (26) y Francia (25) a la cabeza. En paralelo también se explota CVE-2026-59309, un bypass de autenticación.
La persistencia que dejan los atacantes es de manual de APT, no de banda de ransomware apurada:
- Un backdoor
linuxFileque abre conexiones WebSocket para ejecución remota de comandos. - Binarios de SSH inverso para acceso interactivo.
- Tareas cron que se hacen pasar por servicios legítimos de VMware.
- Un webshell JSP desplegado como
vmware-perf-update.jsp.
En al menos un caso aparecieron archivos parcialmente cifrados en hosts ESXi con la extensión .babyk, asociada a variantes derivadas del ransomware Babuk. Aun así, QUIRSO no cree que el cifrado fuera el objetivo principal de la campaña.
La atribución es de confianza moderada a un actor de habla china, apoyada en artefactos en chino dentro de los scripts, reutilización de investigación publicada en medios de seguridad chinos, herramientas en ese idioma y actividad en horario UTC+08:00.
Un detalle habla del nivel de disciplina operativa: los atacantes usaron un repositorio público de GitHub (pikpak0066/tmpclean) para borrar sistemáticamente los artefactos que iban quedando en /tmp, ajustando su operación a medida que se publicaban los indicadores.
Medusa: de 300 a más de 500 organizaciones de infraestructura crítica
El 18 de agosto el FBI, CISA y el Departamento de Salud de Estados Unidos actualizaron el aviso conjunto AA25-071A de la campaña #StopRansomware dedicado a Medusa.
El número corregido es el que importa: al mes de abril de 2026 la operación acumula más de 500 víctimas en sectores de infraestructura crítica, contra las más de 300 que reportaba la versión de marzo de 2025.
Los sectores golpeados incluyen salud pública, base industrial de defensa, manufactura crítica, servicios y dependencias de gobierno, tecnología de la información y servicios financieros.
Medusa se identificó en junio de 2021 y desde 2023 opera como ransomware como servicio, reclutando intermediarios de acceso inicial en foros criminales con pagos que van de 100 dólares a un millón.
Lo que cambió en la actualización del aviso es la velocidad. Los afiliados aprovechan exploits recién publicados dentro de las 24 horas y en algunos casos usaron fallas hasta una semana antes de su divulgación pública, apuntando a productos expuestos como ScreenConnect, Fortinet EMS, Fortra GoAnywhere y BeyondTrust.
El resto del arsenal es deliberadamente común: phishing para robar credenciales, PowerShell, Mimikatz, y software legítimo de acceso remoto como AnyDesk y SimpleHelp. El cifrador gaze.exe apaga servicios de backup y de seguridad antes de renombrar los archivos con extensión .medusa.
La extorsión es doble y con reloj: la víctima tiene 48 horas para responder antes de que la contacten en forma directa y publiquen sus datos, y puede comprar un día adicional pagando 10.000 dólares en criptomonedas.
Las mitigaciones del aviso son las de siempre y siguen sin aplicarse: parchear sistemas expuestos a internet, segmentar la red para frenar el movimiento lateral y bloquear el acceso externo no confiable a los servicios de administración remota.
T-Mobile: cuando la contención es una tijera
Jeff Simon, jefe de ciberseguridad de T-Mobile, le contó a Bloomberg cómo la operadora expulsó en noviembre de 2024 a Salt Typhoon, el grupo respaldado por el gobierno chino que estuvo dentro de buena parte de las telcos estadounidenses.
El equipo pasó meses buscando intrusos con inteligencia compartida por agencias del gobierno y por otras operadoras, sin resultado. La pista apareció como comportamiento anómalo en un sistema propio, cuyo origen se rastreó hasta un router de otra empresa de telecomunicaciones conectada a su red: los atacantes habían entrado apoyándose en la infraestructura de un socio.
Identificado el equipo comprometido, Simon y tres colegas manejaron hasta el centro de datos cercano a la sede de Bellevue, en el estado de Washington, y le cortaron el cable con una tijera. El pedazo de cable amarillo quedó enmarcado en la oficina.
La frase con la que Simon lo resumió («no hay nada que reemplace cortar el cable») es simpática, pero el caso deja una lección más seria: T-Mobile se salvó de una brecha masiva porque detectó temprano, no porque tuviera una herramienta mágica.
La campaña de Salt Typhoon comprometió a cientos de organizaciones, entre ellas AT&T, Verizon, Viasat, Charter y Windstream, con el objetivo de juntar registros telefónicos e información sobre funcionarios de alto rango y candidatos presidenciales de Estados Unidos.
Vale la aclaración temporal: el episodio es de 2024 y se conoció recién ahora, cuando la empresa decidió contarlo. Consultada por la prensa, T-Mobile no hizo comentarios adicionales.
¿Sabés quién fabricó los aparatos que están colgados de tu red?
Los cinco casos se tocan en un punto: el perímetro dejó de ser el firewall hace rato. Una cámara comprada por licitación, un hipervisor sin parchear, el enlace con un socio y una consola de acceso remoto son hoy la superficie de ataque real.
Para una organización argentina o latinoamericana el traslado es directo. Las compras de equipamiento de red, videovigilancia y control industrial casi nunca pasan por una revisión de seguridad, los inventarios de dispositivos conectados suelen estar desactualizados y las interconexiones con proveedores rara vez se monitorean como red propia.
¿Tenés inventariado qué dispositivos «mudos» (cámaras, sensores, controladores, appliances) están conectados a tus redes, quién los fabricó y qué firmware corren? Te leemos en los comentarios.
Fuentes
- Risky Business — Risky Bulletin: Slovakia finds Russian backdoor in traffic speed cameras
- Tom’s Hardware — Slovakia discovers Russian backdoors in 279 new traffic cameras
- Security Affairs — Slovakia Warns of Cyber Risks in Road Speed Cameras
- SecurityWeek — Iran-Linked Hackers Shut Down UK Power Plant for Four Days
- Help Net Security — Suspected Iran-linked attack knocked UK power plant offline for days
- The Hacker News — Suspected China-Nexus Actor Exploits VMware vCenter Flaw, Deploys Babuk-Derived Ransomware
- CISA — #StopRansomware: Medusa Ransomware (AA25-071A)
- BleepingComputer — CISA: Medusa ransomware hit over 500 critical infrastructure orgs
- Help Net Security — Medusa ransomware gang has hit over 500 organizations, CISA warns
- TechCrunch — T-Mobile ‘chopped a cable’ to expel Chinese hackers from its network
- Mobile World Live — T-Mobile US CIO recounts hunt for Salt Typhoon hackers
