¿Qué es Salt Typhoon?
Salt Typhoon es un sofisticado agente de amenazas persistentes avanzadas (APT), atribuido al Ministerio de Seguridad del Estado de China, conocido por ejecutar campañas de ciberespionaje de gran repercusión dirigidas contra infraestructuras críticas y activos estratégicos, especialmente en Estados Unidos.
Los ataques Salt Typhoon de 2024 fueron ciberataques calculados y sofisticados que explotaron vulnerabilidades sistémicas y comprometieron infraestructuras de comunicaciones críticas en todo el mundo. Los autores demostraron su destreza técnica, lo que pone de relieve la evolución del panorama de las amenazas y subraya la urgente necesidad de defensas resilientes, soberanas y adaptables.
Últimas noticias sobre Salt Typhoon
- 5 de septiembre de 2025: Los piratas informáticos apoyados por China "casi con toda seguridad" apuntaron a Canadá durante el robo de datos de millones de estadounidenses (CBC News)
- 4 de septiembre de 2025: Ciberatacantes chinos "sin control" podrían haber robado datos de casi todos los estadounidenses (NYTimes)
Características de los ataques de Salt Typhoon
Salt Typhoon encarnaba un nuevo escalón de ciberamenazas. Entre las principales características de los ataques se incluyen:
1. Compromiso de la cadena de suministro
Las amenazas se infiltraron en las cadenas de suministro, incrustando cargas maliciosas en actualizaciones de firmware y equipos de telecomunicaciones. Estos ataques burlaron las medidas de seguridad tradicionales, permitiendo a los agresores acceder a las operaciones de la red a un nivel fundamental.
2. Explotación de vulnerabilidades de día cero
Los atacantes aprovecharon los exploits de día cero para penetrar profundamente en los sistemas de telecomunicaciones, atacando vulnerabilidades tanto de hardware como de software. Al atacar puntos débiles no parcheados, se aseguraron de que la infiltración inicial pasara desapercibida.
3. Movimiento lateral y escalada de privilegios
Se emplearon herramientas personalizadas para el movimiento lateral dentro de las redes, con el objetivo de controlar los sistemas centrales de enrutamiento, las bases de datos de abonados y los datos operativos confidenciales. Las técnicas de escalada de privilegios permitieron a los atacantes acceder a áreas restringidas críticas para la infraestructura de telecomunicaciones.
4. Interrupción selectiva
Los atacantes Salt Typhoon interrumpieron el servicio reconfigurando protocolos vitales, interceptando comunicaciones y obteniendo acceso no autorizado a los sistemas de gestión de red. Estas medidas pusieron en peligro tanto las comunicaciones de los consumidores como las operaciones industriales.
5. Sigilo y persistencia
El malware avanzado con técnicas de ofuscación permitió a los atacantes pasar desapercibidos durante largos periodos. La persistencia de estas amenazas aumentó la complejidad de las estrategias de respuesta.
Repercusiones Salt Typhoon en las redes de telecomunicaciones
Las consecuencias de los ataques Salt Typhoon abarcaron ámbitos operativos, normativos y de reputación. Los operadores de telecomunicaciones de todo el mundo informaron de impactos significativos, incluyendo:
Inestabilidad de la red
Las modificaciones no autorizadas de los protocolos de encaminamiento desestabilizaron las redes, interrumpiendo el flujo de datos y la disponibilidad de los servicios. La integridad de la infraestructura de comunicaciones se resintió, mermando la fiabilidad de las bases de usuarios.
Exfiltración de datos
El amplio robo de datos incluía información sobre abonados, tokens de autenticación y configuraciones de red patentadas. La exposición de estos datos sensibles tuvo importantes repercusiones financieras y de confianza para las organizaciones afectadas.
Interrupciones del servicio
Los ataques coordinados provocaron interrupciones prolongadas de los servicios esenciales en regiones de Asia, Europa y Norteamérica. Las empresas y los sectores críticos, que dependen de servicios de telecomunicaciones ininterrumpidos, fueron especialmente vulnerables.
Consecuencias reglamentarias
Los organismos reguladores, como la Comisión Federal de Comunicaciones (FCC) y la Agencia de Ciberseguridad de la Unión Europea (ENISA), intensificaron el escrutinio de los operadores afectados. Las organizaciones se enfrentaron a una mayor responsabilidad, incluida la obligación de revelar información y la imposición de sanciones severas.
Cronología de las campañas del Salt Typhoon de 2024
Enero de 2024: Se detectó actividad de reconocimiento inicial, con vulnerabilidades de punto final SS7 utilizadas para realizar sondeos limitados.
Marzo de 2024: Ataques coordinados dirigidos a las cadenas de suministro de telecomunicaciones, insertando componentes maliciosos en infraestructuras esenciales.
Junio de 2024: Se desplegó malware personalizado dentro de las redes centrales, lo que permitió un acceso persistente al tiempo que evadía los mecanismos de detección.
Septiembre de 2024: Los intentos de exfiltración de volúmenes importantes de datos fueron mitigados por algunos operadores mediante la mejora de la segmentación y los controles de acceso.
Estos sucesos demostraron la capacidad de los delincuentes para adaptar sus estrategias, lo que aumentó la complejidad de las tácticas de atenuación eficaces.
Estrategias de defensa y mitigación
La respuesta a Salt Typhoon requirió medidas de seguridad innovadoras y de varios niveles diseñadas para contrarrestar las ciberamenazas avanzadas. Las respuestas eficaces se centraron en lo siguiente:
1. Implantación de la arquitectura de confianza cero
Los modelos de confianza cero minimizaron el movimiento lateral estableciendo entornos de red altamente segmentados. Los permisos de acceso se restringieron rigurosamente a identidades y dispositivos verificados, lo que redujo significativamente las superficies de ataque.
2. Gestión mejorada de la vulnerabilidad
Las organizaciones adoptaron evaluaciones continuas de vulnerabilidades y estrategias aceleradas de despliegue de parches, abordando las debilidades explotables antes de que los adversarios pudieran sacar provecho de ellas.
3. Inteligencia sobre amenazas en tiempo real
Las herramientas automatizadas de inteligencia sobre amenazas proporcionaban una supervisión constante del tráfico de red en busca de patrones anómalos. La detección proactiva de comportamientos anómalos permitió responder de inmediato a posibles intrusiones.
4. Gestión de identidades y accesos (IAM)
Se aplicaron los principios de mínimos privilegios y sistemas de autenticación multifactor (AMF) en todos los sistemas críticos, lo que redujo las posibilidades de acceso no autorizado.
5. Sistemas avanzados de supervisión
Las plataformas SIEM mejoradas con aprendizaje automático permitieron una sólida vigilancia de las actividades en toda la red, mejorando la detección de incidentes y la eficacia de la respuesta.
Respuestas normativas y de colaboración
Los reguladores mundiales y los gobiernos colaboraron para hacer frente a los retos planteados por Salt Typhoon. Sus medidas estratégicas incluían:
- Notificación obligatoria de incidentes: Unos plazos más estrictos para la divulgación de infracciones garantizaron respuestas oportunas a las amenazas emergentes.
- Intercambio transfronterizo de inteligencia: La coordinación transnacional permitió a los operadores intercambiar buenas prácticas e indicadores de amenazas en tiempo real.
- Normalización y cumplimiento: Las organizaciones adoptaron marcos del sector, como ISO/IEC 27001 y NIST SP 800-53, reforzando la seguridad e infundiendo resistencia operativa.
Estudio de casos clave
Organismos reguladores como la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) facilitaron la colaboración entre varias agencias, trabajando con operadores privados para realizar análisis forenses en profundidad y construir defensas procesables contra futuros incidentes.
Aumentar la resiliencia en el futuro
Salt Typhoon presentó un caso convincente para reevaluar la resistencia de las redes de telecomunicaciones. El camino a seguir requiere una vigilancia inquebrantable e inversiones en tecnología y mano de obra.
Las organizaciones deben establecer prioridades:
- Cifrado seguro a nivel cuántico: La transición a métodos de cifrado resistentes al descifrado a nivel cuántico garantiza la confidencialidad a largo plazo.
- Seguridad basada en blockchain: La tecnología blockchain puede reforzar la seguridad del intercambio y la integridad de los datos.
- Desarrollo del personal: La formación del personal en detección, mitigación y adhesión a marcos de cumplimiento actualizados garantiza la competencia operativa.
- Gobernanza adaptable: Unas estructuras de gobernanza integrales y adaptadas a la evolución de los problemas de seguridad permiten afrontar las amenazas de forma proactiva.