:quality(90):no_upscale()){kind=logo}
Tres gobiernos advierten, de forma independiente, de que las aplicaciones de mensajería para consumidores están siendo objeto de ataques
ESTADO: Aviso coordinado entre varias administraciones públicas GRAVEDAD: 6/10 DESTINATARIOS: Responsables de seguridad de las administraciones públicas, la defensa y las infraestructuras críticas
12 de octubre de 2026
·Blog
·Comunicaciones seguras
:quality(90):no_upscale())
En unos avisos coordinados publicados esa misma semana, el FBI, el Centro Nacional de Ciberseguridad del Reino Unido y el servicio de inteligencia AIVD de los Países Bajos advirtieron que los actores patrocinados por Estados están utilizando ahora las plataformas de mensajería para consumidores como vector principal de ataque, y no como un método más entre muchos otros. Los avisos de estas tres agencias aliadas señalan que el acceso inicial se produce a través de aplicaciones de mensajería para consumidores, en las que cualquier persona que disponga de un número de teléfono o un nombre de usuario puede iniciar una conversación y pasar semanas ganándose la confianza de la víctima antes de que aparezca ningún archivo.
¿Qué pasó?
El Centro Nacional de Ciberseguridad del Reino Unido (NCSC), el FBI de EE. UU. y el Servicio General de Inteligencia y Seguridad de los Países Bajos (AIVD) publicaron el 15 de septiembre de 2026 un aviso conjunto sobre CHOSEN BRICK, una familia de spyware para Windows utilizada contra disidentes, activistas y periodistas en los tres países (y en el extranjero) desde al menos 2025. El aviso no cita ningún CVE. No se aprovecha ninguna vulnerabilidad de la cadena. El acceso inicial es el tema central del análisis. Cada aviso detallaba el mismo patrón: suplantación de identidad de contactos de confianza, malware distribuido directamente a través de aplicaciones de chat populares y vigilancia continua llevada a cabo a través de los mismos canales que utilizan las víctimas para comunicarse.
Los atacantes investigan al objetivo y, a continuación, inician una conversación en WhatsApp, Telegram o las redes sociales haciéndose pasar por un contacto conocido o por el servicio de asistencia técnica, ganándose la confianza de la víctima a lo largo de días o semanas antes de que aparezca ningún archivo. La carga útil es un ejecutable de Windows camuflado como algo habitual: Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, KeePass y, en algunos casos, resultados de resonancias magnéticas. Al ejecutarlo, aparece una pantalla verosímil que coincide con el señuelo, mientras el componente principal se instala en segundo plano.
Ninguna aplicación de mensajería fue vulnerada en esta cadena. El aspecto que aprovecharon los atacantes es la accesibilidad. Una plataforma de consumo está diseñada de tal forma que cualquier persona que disponga de un número o un nombre de usuario puede iniciar una conversación, y la única forma que tiene la víctima de saber quién está al otro lado es basándose en su propio criterio. El aviso señala que ese criterio falla tras semanas de contacto paciente. El diseño de los ataques es deliberado. El tráfico hacia servicios de mensajería para consumidores cifrados y de uso generalizado se mimetiza con la actividad normal de la red, eludiendo a los equipos de seguridad y evitando la detección que, de otro modo, se produciría al utilizar una infraestructura desconocida.
La entrega sigue la misma lógica. La entrega inicial suele dirigirse al dispositivo de trabajo o corporativo y, cuando eso falla, o cuando se considera que el riesgo de detección en ese dispositivo es significativo, el atacante pide a la víctima que abra el archivo en un dispositivo personal. El atacante nunca comprueba exhaustivamente los controles del dispositivo. En su lugar, dirige a la víctima hacia un dispositivo en el que dichos controles no se aplican.
En el equipo infectado, CHOSEN BRICK persiste mediante una clave «Run» en HKCU y añade una exclusión en Microsoft Defender. El sistema de comando y control funciona a través de Telegram con un ID de bot distinto para cada dispositivo de la víctima, de modo que la detección de uno no pone en peligro a los demás. La exfiltración se realiza a Telegram y a servicios de almacenamiento en la nube de uso general. Entre sus capacidades se incluyen la captura de pantalla, la captura de audio del micrófono, el robo de correos electrónicos y de datos de Telegram y WhatsApp. Las agencias no observaron ningún movimiento lateral automatizado; el malware se centra en dispositivos individuales. Ninguna agencia ha publicado el número de víctimas. Los datos personales de algunas de las primeras víctimas han aparecido en sitios web de filtraciones, lo que pone en riesgo la seguridad física, además de la pérdida de datos.
Lo que descubrieron y qué significa
Conclusión | Qué significa | Consecuencias operativas | Pregunta abierta |
Tres organismos de seguridad nacional, de tres países distintos, confirmaron de forma independiente el mismo patrón: actores respaldados por el Estado utilizan aplicaciones de mensajería para consumidores como principal vector de ataque. | Tres servicios de inteligencia distintos, cada uno de los cuales partía de su propio panorama nacional de amenazas, llegaron a la misma conclusión de forma independiente, en lugar de que un solo país señalara un problema regional aislado. | Una tendencia confirmada por tres organismos nacionales independientes tiene más peso que el informe de amenazas de un único proveedor y merece el nivel de atención institucional correspondiente. | ¿Cuántos otros servicios de seguridad nacional están observando el mismo patrón, pero aún no han publicado un aviso coordinado al respecto? |
La cadena de ataque comienza suplantando la identidad de un contacto de confianza dentro de una aplicación de mensajería y estableciendo una relación de confianza antes de enviar malware camuflado como un archivo normal. | Esto elude el instinto en el que se basa la mayor parte de la formación en seguridad —la desconfianza hacia los remitentes desconocidos—, ya que el contacto parece ser alguien a quien la víctima ya conoce. | La formación en sensibilización, centrada en reconocer remitentes desconocidos o mensajes claramente sospechosos, no aborda un ataque que se haga pasar específicamente por alguien en quien ya se confía. | Si la formación en concienciación sobre seguridad de una organización aborda específicamente la suplantación de identidad de contactos conocidos, en lugar de limitarse únicamente a los desconocidos o sospechosos. |
Una variante de malware detectada utiliza la propia infraestructura de una conocida aplicación de mensajería como canal de mando y control, y canaliza los datos robados a través de la misma plataforma que la víctima utiliza para sus conversaciones habituales. | El tráfico malicioso diseñado de esta forma se crea específicamente para pasar desapercibido entre la actividad normal de la red, en lugar de llamar la atención de las herramientas de detección que vigilan los destinos inusuales. | La supervisión de la red basada en la detección de tráfico dirigido a infraestructuras desconocidas o sospechosas puede que no detecte nada, ya que el destino del tráfico es un servicio legítimo y muy utilizado. | Si la supervisión actual de la red permite distinguir el uso malintencionado de la infraestructura de una plataforma de mensajería legítima del tráfico habitual de la propia plataforma. |
Por qué es importante
La antigua Asunción | La realidad actual | Respuesta de BlackBerry |
La coordinación sensible puede ejecutarse en una aplicación de mensajería para consumidores siempre que la aplicación esté cifrada. | El cifrado se mantuvo durante toda esta campaña. Lo que los atacantes necesitaban era poder iniciar una conversación con el objetivo, algo que una plataforma de consumo permite a cualquier persona que disponga de un número o un nombre de usuario. | BlackBerry® SecuSUITE® limita los contactos a las identidades que la organización ha habilitado. No existe ninguna forma de que una persona no registrada pueda iniciar una conversación con un usuario de BlackBerry SecuSUITE . BlackBerry ofrece a las organizaciones un canal diseñado específicamente para ese tipo de coordinación informal y rápida que, actualmente, suele realizarse a través de aplicaciones de mensajería para consumidores. |
Formar al personal para que se muestre cauteloso ante remitentes desconocidos permite mitigar los riesgos asociados a las aplicaciones de mensajería. | El método consiste en que una cuenta se hace pasar por un contacto conocido o por el servicio de asistencia técnica, tras días o semanas de relación, y el archivo muestra una pantalla de señuelo que funciona correctamente. No se sospecha de los desconocidos. | BlackBerry SecuSUITE , abarca teléfonos, tabletas, portátiles y estaciones de trabajo, incluido BlackBerrySecuSUITE para Windows Desktop, por lo que ningún tipo de dispositivo obliga al personal a recurrir a una aplicación de consumo. |
La gestión de dispositivos determina el grado de vulnerabilidad de la organización ante los ataques de ingeniería social dirigidos. | Cuando parece probable que el dispositivo de la empresa bloquee o inhabilite el archivo, el atacante pide a la víctima que lo abra en un dispositivo personal, fuera del entorno gestionado. | BlackBerry®UEM controla qué aplicaciones están permitidas en los dispositivos gestionados, y la contenedorización de Dynamics mantiene los datos y las cuentas de trabajo separados del ámbito personal. |
Medidas recomendadas
INMEDIATO | Busca los artefactos del host que se mencionan en el aviso: clave de persistencia en HKCU, exclusiones de Defender añadidas al margen del control de cambios y tráfico saliente de la API del bot de Telegram desde hosts sin justificación empresarial. |
INMEDIATO | Informa al personal sobre la necesidad de denegar la solicitud cuando un contacto conocido, o alguien que se presente como persona de apoyo, afirme que no puede abrir un archivo en el ordenador del trabajo o sugiera intentarlo en un dispositivo personal. |
A CORTO PLAZO | Designa el canal oficial para la coordinación de asuntos sensibles y ponlo a disposición en todos los dispositivos que utilice el personal (incluidos los portátiles y las estaciones de trabajo). Ten en cuenta que eliminar aplicaciones de consumo sin un canal sustitutivo probablemente desviará el tráfico hacia los dispositivos personales. |
A CORTO PLAZO | Identifica al personal cuyo perfil de exposición coincida con el grupo de víctimas mencionado en el aviso, incluyendo a quienes mantengan contacto con periodistas, ONG colaboradoras y una amplia variedad de contactos. Infórmales de forma individual, en lugar de hacerlo mediante un correo electrónico general de sensibilización. |
EN CURSO | Las aplicaciones de mensajería para consumidores deben considerarse una vía de acceso inicial en la modelización de amenazas, del mismo modo que se tratan los archivos adjuntos de correo electrónico y los soportes extraíbles, como las memorias USB. |
Puesto de comunicaciones seguras en BlackBerry
El cifrado no es el punto débil. El malware se excluye a sí mismo del antivirus del host y ejecuta las funciones de comando y control a través de un servicio que ya existe en la red. Las organizaciones que siguen tratando esa aplicación como algo independiente de su verdadera estrategia de seguridad están trazando una línea que los actores patrocinados por Estados ya han dejado de respetar. La adquisición de soluciones no debería centrarse en qué producto bloquea qué archivos o ataques. La solución a estos ataques pasa, ante todo, por conceder permiso para conectarse, comunicarse y ponerse en contacto con su personal.
Referencias:
El Reino Unido y sus aliados desenmascaran un programa espía utilizado por agentes estatales iraníes para atacar a disidentes, activistas y periodistas (Centro Nacional de Ciberseguridad del Reino Unido, 15 de septiembre de 2026).
Ataques cibernéticos iraníes contra disidentes, activistas y periodistas (Aviso del Centro Nacional de Ciberseguridad del Reino Unido, 15 de septiembre de 2026).
:quality(90):no_upscale())