Las amenazas XSS resurgen: el hackeo de servidores de correo por actores rusos
En pleno 2025, cuando pensábamos que ciertas vulnerabilidades eran cosa del pasado, los ataques de tipo XSS (Cross-Site Scripting) han vuelto a la primera plana de la ciberseguridad. Un grupo de hackers, probablemente respaldados por el gobierno ruso, ha explotado este tipo de fallos para comprometer servidores de correo de alto valor en todo el mundo. Y no, no estamos en 2005.
El retorno de un viejo conocido: XSS
El Cross-Site Scripting (XSS) es como ese virus que pensabas que había sido erradicado pero que, de repente, reaparece en una variante más problemática. Estas vulnerabilidades, que permiten a los atacantes ejecutar código malicioso en los navegadores de los usuarios que visitan un sitio afectado, tuvieron su momento de gloria hace casi dos décadas.
¿Recuerdas MySpace? En 2005, el famoso gusano Samy consiguió añadir más de un millón de «amigos» a un usuario y dejó fuera de combate a la red social. Durante la siguiente década, los ataques XSS fueron el pan de cada día para los profesionales de seguridad. Y aunque su prevalencia ha disminuido en años recientes, parece que algunos actores maliciosos siguen encontrándolos útiles.
Operación RoundPress: el ataque a cuatro frentes
Según reportó la firma de seguridad ESET, un grupo conocido como Sednit (también seguido como APT28, Fancy Bear, Forest Blizzard y Sofacy) ha conseguido acceder a cuentas de correo de alto valor mediante la explotación de vulnerabilidades XSS en software de servidores de correo de cuatro fabricantes diferentes: Roundcube, MDaemon, Horde y Zimbra.
No es casualidad que estos ataques hayan apuntado a contratistas de defensa en Bulgaria y Rumania, algunos de los cuales producen armamento de era soviética para Ucrania en su defensa contra la invasión rusa. También se han visto afectadas organizaciones gubernamentales de esos países, así como gobiernos en África, la Unión Europea y Sudamérica.
El método de infección: emails de phishing
Lo que me parece más interesante de todo esto es que estos actores maliciosos no usaron técnicas súper avanzadas, sino que recurrieron al clásico phishing con un toque XSS. Los atacantes enviaron correos electrónicos aparentemente inofensivos que contenían código HTML especialmente diseñado. Este código explotaba vulnerabilidades en los servidores de correo objetivo.
Por ejemplo, en septiembre de 2024, un objetivo ucraniano recibió un email supuestamente informativo sobre la detención de un banquero que trabajaba para servicios de inteligencia enemigos en Járkov. El mensaje contenía extractos en ucraniano y enlaces a artículos del Kyiv Post, un conocido periódico de Ucrania. Nada sospechoso a simple vista, pero el código malicioso estaba oculto en el HTML del cuerpo del mensaje.
JavaScript: el arma silenciosa
Los atacantes incluyeron JavaScript en las porciones HTML de los correos para explotar vulnerabilidades integradas en los diferentes servidores de correo. En 2023, ESET observó cómo Sednit explotaba la vulnerabilidad CVE-2020-43770 en Roundcube (ya parcheada). Un año después, les vio atacar distintas vulnerabilidades XSS en Horde, MDaemon y Zimbra.
Es especialmente preocupante que una de estas vulnerabilidades, concretamente en MDaemon, era un zero-day en el momento de ser explotada. Es decir, una vulnerabilidad desconocida para el fabricante y, por tanto, sin parche disponible.
¿Qué consiguieron los atacantes?
El código de Sednit provocaba que los clientes de correo enviaran contactos y emails anteriores a servidores controlados por los atacantes. En algunos casos, incluso creaba una regla que reenviaba automáticamente todos los futuros correos a una dirección bajo control de Sednit.
Un detalle técnico importante: como la mayoría de explotaciones XSS, el JavaScript de Sednit solo se ejecutaba cuando alguien veía el email malicioso desde una instancia webmail vulnerable. Esto significa que las infecciones no tenían persistencia en sí mismas, aunque el JavaScript podía ejecutarse una y otra vez mientras se reabriera el correo.
Un recordatorio incómodo sobre el mantenimiento de sistemas
Lo que me resulta más frustrante de todo este asunto es que algunas de las vulnerabilidades explotadas en la Operación RoundPress habían sido parcheadas años atrás, pero ignoradas por algunas de las organizaciones objetivo. Es el eterno problema del parcheo y la actualización de sistemas.
Es como si supieras que la puerta de tu casa tiene una cerradura defectuosa, el fabricante te hubiera enviado una nueva gratis, pero la dejaras en un cajón sin instalar. Y luego, efectivamente, alguien entra en tu casa.
La paradoja temporal de la ciberseguridad
Que Sednit se apoye en exploits XSS para robar secretos de correo electrónico suena más a algo de hace una o dos décadas. Estos tipos de exploits ya no son tan comunes hoy en día, pero siguen existiendo, especialmente en bases de software antiguas.
Y aquí está la paradoja: mientras la industria avanza hacia tecnologías cada vez más sofisticadas como IA generativa, computación cuántica o blockchain, muchas organizaciones siguen siendo vulnerables a ataques que considerábamos superados. Es como si en 2025 siguieras preocupándote por los virus en disquetes.
Esta situación nos recuerda que en ciberseguridad, lo viejo nunca muere del todo. Solo queda temporalmente fuera de la vista hasta que alguien decide desempolvarlo y comprobar cuántas puertas siguen abiertas.
Mientras tanto, la recomendación es clara y tan vieja como los propios ataques: mantén tus sistemas actualizados, no ignores los parches de seguridad, y recuerda que incluso las vulnerabilidades «pasadas de moda» pueden seguir siendo letales en las manos adecuadas.
