Hackers rusos bajo el paraguas de Moscú: el espionaje desde la propia infraestructura
Si alguna vez has pensado que la ciberseguridad es solo cosa de antivirus y contraseñas seguras, lo siento, pero hay un mundo mucho más oscuro ahí fuera. Microsoft acaba de confirmar lo que muchos sospechábamos: Rusia está utilizando sus propios proveedores de internet para espiar embajadas extranjeras desde dentro. Y no, no es ciencia ficción ni una película de espías. Es la realidad de 2025.
El ataque perfecto: hackers rusos controlando el proveedor de internet
Imagínate que estás en tu embajada, revisando documentos, enviando correos que crees seguros, conectado a un ISP local… y todo ese tráfico pasa por manos de hackers estatales rusos. Eso es exactamente lo que Microsoft ha destapado. El grupo de hackers, al que llaman «Secret Blizzard» (y que tiene más nombres que un agente encubierto), no solo está infiltrándose en sistemas – está operando directamente a nivel de proveedor de internet.
Este grupo no es nuevo en el barrio de la ciberseguridad. Lleva activo desde al menos 1996 y, según la Agencia de Ciberseguridad e Infraestructura de EE.UU., es una unidad del Servicio Federal de Seguridad ruso. Lo verdaderamente preocupante es que ahora han confirmado que tienen capacidad para operar al nivel del ISP, algo que antes solo se sospechaba.
El malware ApolloShadow y su método de infección
Lo que buscan estos atacantes es instalar un malware llamado ApolloShadow. ¿Cómo lo hacen? Mediante un ataque de tipo «adversario en el medio» (AitM). Básicamente, se colocan entre la embajada y los sitios web que visitan sus empleados.
El proceso de infección es sorprendentemente sofisticado:
- Primero ponen a la víctima detrás de un portal cautivo (como los que ves en hoteles o aeropuertos para conectarte al WiFi)
- Este portal inicia un proceso legítimo de Windows que comprueba la conectividad a internet
- Cuando el sistema intenta acceder a msftconnecttest.com (un dominio legítimo de Microsoft), los atacantes redirigen al usuario a un dominio malicioso
- La página maliciosa muestra un error de certificado y sugiere descargar «ApolloShadow»
- Si el usuario lo ejecuta, el malware comprueba si tiene privilegios de administrador
- Si no los tiene, se hace pasar por un instalador de Kaspersky (ironía rusa, supongo) y pide permisos elevados
¿Para qué tanto esfuerzo? Espionaje de alto nivel
Una vez instalado, ApolloShadow hace algo especialmente peligroso: instala un certificado raíz de TLS. Esto permite a los atacantes suplantar criptográficamente sitios web seguros. En cristiano: pueden hacerse pasar por cualquier web que visites, incluyendo servicios de correo o plataformas gubernamentales, sin que salten alarmas de seguridad.
Además, el malware configura todas las redes a las que se conecta el dispositivo como «privadas», lo que relaja las reglas del firewall y facilita compartir archivos. Como señala Microsoft: «Aunque no vimos intentos directos de movimiento lateral, la razón principal de estas modificaciones probablemente sea reducir la dificultad de moverse lateralmente por la red».
Unas implicaciones que van más allá de las embajadas
Este caso no es solo relevante para el personal diplomático en Moscú, sino que nos enseña mucho sobre cómo funciona la ciberseguridad al más alto nivel. Los estados están librando guerras silenciosas en el ciberespacio, y lo hacen con niveles de sofisticación que superan con creces lo que la mayoría de nosotros consideramos «hackeo».
Como ya comentamos en la sección anterior, la ciberseguridad moderna ya no se limita a proteger dispositivos individuales. Estamos hablando de ataques que comprometen la infraestructura misma sobre la que circula nuestra información.
Protegerse cuando el ISP es el enemigo
Microsoft recomienda a las organizaciones en Moscú, especialmente a las sensibles como embajadas, que canalicen su tráfico a través de túneles cifrados que conecten con proveedores de confianza. En esencia: no confíes en los ISP locales.
Esta situación plantea una pregunta más amplia: ¿qué hacemos cuando la infraestructura básica de internet no es de fiar? La respuesta, aunque técnicamente compleja, pasa por crear capas adicionales de cifrado y verificación que no dependan de la infraestructura local.
Para el ciudadano medio, esto refuerza algo que los expertos en ciberseguridad llevan años diciendo: una VPN de confianza no es un lujo, es una necesidad, especialmente cuando viajas a ciertos países. Y no, no todas las VPN ofrecen el mismo nivel de protección.
El caso de Secret Blizzard nos recuerda que en el mundo de la ciberseguridad, a veces el enemigo no está intentando entrar en tu red – ya controla la red misma. Y esa es quizá la posición de ataque más poderosa que existe.
