En pocas palabras: el 8 de octubre de 2026, el gobierno de Estados Unidos, con orden de un juez, tomó el control de varias direcciones de internet que usaba una empresa china llamada Integrity Technology Group. Desde esas direcciones la empresa manejaba dos herramientas: una que revisa miles de sistemas en internet buscando puertas mal cerradas, y otra que envía correos engañosos para meter programas espía en las computadoras de las víctimas. Ese mismo día, agencias de seguridad de varios países publicaron una alerta que explica cómo trabaja esta empresa. Lo importante no es solo que se cortó una operación de espionaje. Es que quien atacaba no era un grupo escondido de piratas informáticos, sino una empresa con contratos con el gobierno chino que vende esa capacidad de atacar como si fuera un servicio. Para cualquier organización de América Latina, eso significa que el riesgo ya no viene solo de «hackers» sueltos, sino de un mercado organizado de proveedores de ataques.
En inteligencia estratégica hay una distinción que el mercado suele borrar. Un grupo de amenazas puede ser un equipo estatal, una milicia o una banda. Un proveedor es otra cosa: una empresa con clientes, catálogo, infraestructura y, a menudo, contratos con el Estado. Cuando el proveedor es quien arma, alquila o opera las herramientas del ataque, el problema deja de ser solo técnico. Pasa a ser un problema de cadena de suministro ofensiva, es decir, de toda la cadena de empresas que fabrican, venden y alquilan las herramientas para atacar: quién vende la capacidad, a quién, y con qué apariencia de normalidad.
El 8 de octubre de 2026, Estados Unidos y sus socios volvieron a poner esa distinción sobre la mesa.
8 de octubre: MicroScan, FishHub y el aviso AA26-281A
Ese jueves, el Departamento de Justicia y el FBI anunciaron incautaciones autorizadas por un tribunal del Distrito Oeste de Pensilvania. El objetivo eran dos herramientas atribuidas a personas que trabajan para Integrity Technology Group (Integrity Tech), una empresa con sede en la República Popular China y con contratos con el gobierno chino: MicroScan (o Microscan), usada para explorar sistemas ajenos y detectar sus puntos débiles —lo que en el oficio se llama «escaneo de vulnerabilidades», es decir, buscar fallas de seguridad conocidas que permiten entrar—, y FishHub, usada para entrar en redes mediante correos engañosos dirigidos a personas concretas (spear phishing) y luego instalar programas maliciosos adicionales.
Según el comunicado oficial del Departamento de Justicia, MicroScan se apoyaba, entre otras cosas, en una botnet: una red de miles de aparatos conectados a internet (cámaras, routers y otros dispositivos domésticos o de oficina) que fueron infectados sin que sus dueños lo supieran y que se controlan a distancia como un ejército. Esos aparatos estaban infectados con una variante de Mirai, un programa malicioso conocido justamente por secuestrar este tipo de dispositivos. Los objetivos del escaneo incluyen una empresa eléctrica de Carolina del Sur, una ONG multinacional, aeropuertos en Japón y Polonia, empresas taiwanesas de gas y electricidad (lo que se llama infraestructura crítica: los servicios de los que depende la vida diaria de un país) y dos universidades taiwanesas. Integrity Tech entraba a MicroScan a través de uno de los dominios incautados —un dominio es la dirección de un sitio en internet, como «real-oneamerica.org»—: c0cc[.]cc.
FishHub, siempre según la misma fuente, servía para aprovechar el acceso una vez que la víctima ya había caído en la trampa: descargaba programas maliciosos que daban a los clientes de Integrity Tech control remoto no autorizado de la computadora, o buscaba archivos concretos y los enviaba a servidores controlados por la empresa. Las víctimas confirmadas de esa actividad incluyen unas 20 universidades taiwanesas. Cinco de los dominios incautados ayudaban a entregar esos programas: 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com y linkedinns[.]net. Varios imitan nombres de servicios conocidos (Outlook, YouTube, LinkedIn) para parecer confiables.
El mismo día, el FBI, CISA (la agencia de ciberseguridad del gobierno estadounidense), la NSA y socios de Reino Unido, Australia, Canadá, Japón, Nueva Zelanda y España publicaron el aviso conjunto AA26-281A. El documento no se limita a celebrar la incautación. Describe un patrón: actores vinculados al gobierno chino, apoyados por Integrity Tech, combinan revisiones automáticas a gran escala, redes de aparatos secuestrados y trabajo manual de intrusión para robar datos sensibles, también de sectores críticos estadounidenses (servicios gubernamentales, manufactura crítica, salud y tecnología). El aviso atribuye a MicroScan más de 1.300 scripts —pequeños programas que prueban automáticamente si un sistema tiene una falla concreta— dirigidos a programas muy usados en empresas (OpenSSL, Oracle WebLogic, WordPress, Jenkins, Apache Struts, entre otros). También detalla cómo los atacantes se quedaban dentro de las redes usando un programa de conexión privada legítimo (la VPN SoftEther), cómo probaban contraseñas comunes en masa contra los servidores de correo Microsoft Exchange con una herramienta llamada EBurst (password spraying), y cómo se llevaban el correo de las víctimas.
Esa es la pieza que importa para un director de seguridad en Hispanoamérica: no solo se cortó un canal. Se documentó un modelo de negocio dedicado a atacar.
Lo que ya se sabía de Integrity Tech
La acción del 8 de octubre no nace de la nada. En septiembre de 2024, el Departamento de Justicia anunció que había desarticulado una red de aparatos secuestrados (botnet Mirai) asociada a Integrity Tech con más de 200.000 dispositivos de consumo en Estados Unidos y el mundo. El aviso conjunto FBI/NSA del 18 de septiembre de 2024 precisó que, a junio de 2024, esa red superaba los 260.000 dispositivos —routers de casa y pequeña oficina, cortafuegos, discos de almacenamiento en red y otros aparatos conectados— observados en Norteamérica, Sudamérica, Europa, África, el Sudeste Asiático y Australia. Solo en Sudamérica el conteo público del aviso era de unos 800 aparatos.
El 3 de enero de 2025, el Tesoro de Estados Unidos sancionó a Integrity Technology Group por su apoyo al grupo de atacantes vinculado a China conocido públicamente como Flax Typhoon. El Departamento de Justicia recuerda ahora que la operación de octubre de 2026 es la segunda vez que desmonta públicamente la infraestructura técnica de esa empresa.
En paralelo, el ecosistema chino de hackers a sueldo quedó documentado con otra pieza judicial. El 5 de marzo de 2025, el Departamento de Justicia acusó a empleados de i-Soon (Anxun Information Technology) y a oficiales del Ministerio de Seguridad Pública chino. Según ese comunicado, i-Soon cobraba a los ministerios de Seguridad Pública y de Seguridad del Estado entre unos 10.000 y 75.000 dólares por cada bandeja de correo que lograba invadir, además de vender datos robados a decenas de oficinas provinciales. No es el mismo expediente que Integrity Tech, pero sí el mismo tipo de arquitectura: la capacidad de atacar empaquetada como servicio o producto, con el Estado como cliente principal.
Cómo funciona, según las autoridades
Lo instructivo del expediente de octubre no es el nombre del grupo, sino la forma de trabajo en tres capas.
La primera es el reconocimiento a escala industrial, es decir, la exploración previa de los posibles blancos. MicroScan no es un buscador de fallas improvisado: es una aplicación con un enorme catálogo de pruebas contra programas concretos. El aviso AA26-281A añade que los atacantes usan también herramientas gratuitas y públicas de exploración (Nmap, masscan, dirsearch, wpscan y otras) y se concentran en los «puertos» —las puertas de entrada de un servidor— que se usan habitualmente para administrar sistemas y para páginas web. El valor no está en descubrir una falla nueva cada día, sino en revisar masivamente lo que ya se sabe aprovechar.
La segunda es la entrega con apariencia legítima. FishHub funciona con correos engañosos dirigidos y, una vez que logra entrar, instala programas que permiten controlar el equipo a distancia o sacar información (lo que se llama exfiltración). El aviso describe además una trampa en páginas web (un ataque XSS, que inserta código malicioso en una página aparentemente normal) que muestra casillas falsas para escribir usuario y contraseña, descarga un programa (live700_v1.exe) que se disfraza con el nombre de un componente real de Windows (DiagTrack.exe) y se comunica con servidores atribuidos a Integrity Tech. Para quedarse dentro de la red, los atacantes instalaban SoftEther —un programa de conexión privada (VPN) legítimo— con nombres de instalador que imitan archivos del propio sistema (conhost.exe, dllhost.exe). No hace falta una técnica exótica si la víctima acepta lo que parece mantenimiento o una utilidad conocida.
La tercera es el objetivo: el correo y la identidad digital. El aviso documenta intentos masivos de adivinar contraseñas contra los accesos web y móviles del correo Microsoft Exchange (ECP, EWS, OWA, ActiveSync y otros) con la herramienta EBurst; programas automáticos dirigidos a la interfaz de Exchange que permite leer buzones (EWS); herramientas para copiar el directorio de usuarios y contraseñas de la organización (Active Directory, mediante una técnica llamada DCSync); y un programa, office-cli, para descargar en automático buzones de Microsoft 365. En otras palabras: una vez dentro, lo que se busca no es solo el servidor, sino la bandeja de entrada, las contraseñas y las relaciones de confianza que esas cuentas abren.
Lo que no está probado
Hay que separar con claridad lo verificado de lo que solo se deduce.
Las autoridades estadounidenses presentan Integrity Tech como empresa china con contratos gubernamentales que opera y usa esas herramientas; asocian esa actividad con atacantes rastreados públicamente como Flax Typhoon (y, en el aviso, también con otros nombres que usan empresas privadas de seguridad, como Ethereal Panda y Red Juliett, con la advertencia de que esos nombres no siempre coinciden uno a uno con los del gobierno). Eso no equivale a una sentencia judicial firme sobre cada víctima nombrada ni sobre cada persona involucrada: son acusaciones de documentos judiciales y hallazgos de investigaciones del FBI recogidos en una alerta de ciberseguridad.
El aviso no afirma que Integrity Tech haya dirigido una campaña específica y confirmada contra una empresa o ministerio de Perú, México, Colombia o Chile en octubre de 2026. Lo que sí documenta es un patrón global con víctimas en Norteamérica, el Sudeste Asiático y África, y una red de aparatos secuestrados previa con presencia también en Sudamérica. Quien lea el caso desde Lima o Ciudad de México no debe inventar una víctima local inexistente; debe entender el modelo.
Tampoco debe mezclarse sin matices con otras campañas vinculadas a China en la región. El 17 de septiembre de 2026, la empresa de seguridad ESET documentó que el grupo FamousSparrow —distinto de Flax Typhoon— instaló desde al menos agosto de 2025 un programa espía de acceso oculto (backdoor) llamado SparroWocky en entidades gubernamentales de Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela, y que entre mediados de 2025 y 2026 el 90 % de los objetivos registrados por sus sistemas de monitoreo estaban en América Latina. Es un dato regional relevante de contexto, no una prueba de que MicroScan o FishHub estén detrás de esos incidentes.
Lectura REAL
Para un director de seguridad (CSO) o un director de inteligencia corporativa en Hispanoamérica, el caso de octubre enseña cuatro cosas concretas.
La primera es tratar al proveedor de ataques como una amenaza en sí misma. Muchas listas de riesgo siguen registrando solo grupos de atacantes (los que se conocen con nombres como APT-X o Typhoon-Y). El expediente Integrity Tech obliga a preguntar también: ¿quién les vende la herramienta de exploración, el sistema para enviar correos engañosos, la red de aparatos secuestrados o los servidores? En la revisión de terceros (debida diligencia), eso cambia el alcance: no basta con mirar al proveedor de software legítimo; hay que mirar a la cadena de empresas que puede estar fabricando en serie el acceso contra tu sector.
La segunda es asumir que el correo sigue siendo el trofeo. El aviso insiste en Exchange y Microsoft 365, es decir, en los sistemas de correo corporativo. En la región, donde muchas organizaciones aún concentran decisiones, contratos y revisiones de socios en el buzón del gerente o del área legal, que alguien adivine una contraseña de correo no es un incidente técnico menor: es una fuga de inteligencia de negocios. La solución no es solo el antivirus de cada computadora; es una verificación en dos pasos que no se pueda engañar con correos falsos (MFA resistente a phishing), revisar qué aplicaciones tienen permiso para entrar al correo y detectar descargas de buzones fuera de lo normal.
La tercera es no confundir VPN legítima con canal seguro. SoftEther aparece aquí como forma de quedarse dentro de la red precisamente porque es un programa real. El control útil no es «prohibir las VPN»; es tener un inventario de qué programas de conexión privada están autorizados, alertar cuando aparecen instaladores con nombres de archivos del sistema y revisar conexiones hacia direcciones de internet que la empresa no reconoce.
La cuarta es leer América Latina dentro del mismo mercado de ataques. La red de aparatos secuestrados de 2024 ya tenía equipos en Sudamérica. FamousSparrow, en 2025-2026, concentró casi todos sus objetivos observados en gobiernos de la región. No hace falta forzar una atribución única: basta con aceptar que la región ya no es periferia de estos catálogos. Energía, minería, puertos, telecomunicaciones y administración pública son objetivos naturales cuando la competencia geopolítica y la inteligencia económica se cruzan.
Implicancias para América Latina
Un director de seguridad en minería peruana, en un banco mexicano o en una operadora logística del Cono Sur no necesita esperar a aparecer en un comunicado del Departamento de Justicia para actuar. El paquete de octubre le deja una lista sobria:
- Cerrar puertas innecesarias: apagar servicios y puertos que no se usan; evitar que las páginas de acceso muestren qué versión de programa usan; instalar primero las actualizaciones que corrigen las fallas (CVE) que el aviso marca como aprovechadas por los atacantes.
- Proteger la identidad primero: verificación en dos pasos (MFA) en correo, VPN y cuentas con permisos altos; depender menos de contraseñas; revisar las cuentas que usan los sistemas automáticos y las aplicaciones con acceso a buzones.
- Vigilar lo «normal» usado para mal: VPN que no están en el inventario, programas con nombres de archivos del sistema guardados en lugares extraños, copias inesperadas del directorio de usuarios (Active Directory) y picos de información saliendo desde computadoras que casi nunca envían datos.
- Hacer inteligencia sobre los proveedores de ataques: usar alertas como AA26-281A no solo como lista de señales técnicas para detectar intrusiones (indicadores de compromiso o IoC), sino como mapa de quién habilita a quién. Eso sirve tanto para buscar atacantes dentro de la red como para la lectura geopolítica que necesita la alta dirección.
Juicio REAL
La lección de Integrity Tech no es que «China ataca». Eso ya estaba en la doctrina. La lección es más incómoda para quien diseña seguridad corporativa: la capacidad de atacar se compra y se alquila, a veces con fachada de empresa de ciberseguridad, y el Estado cliente amplía lo que el mercado de contratistas fabrica en serie. Incautar dominios corta un tubo. No apaga el modelo.
Para Hispanoamérica, la pregunta útil no es si el próximo comunicado mencionará a su país. Es si su organización sigue defendiéndose solo contra «hackers» anónimos mientras ignora a los proveedores que convierten la exploración de blancos, los correos engañosos y el robo de correo en una línea de productos.
Pregunta al gremio: si mañana publicaran las señales técnicas (IoC) de un contratista extranjero que vende exploración de sistemas y acceso a correos, ¿su equipo sabría decir en 24 horas qué proveedores, VPN no autorizadas y buzones con permisos altos tendrían que revisar primero?
Video recomendado
FBI Deals Blow to Chinese Hacking Operation with Seizure of Tools (TaiwanPlus News, 11 de octubre de 2026, 1 minuto). Resumen en inglés de la incautación de herramientas atribuida a la operación china vinculada a Flax Typhoon / Integrity Tech.
Términos clave
- Active Directory: el directorio central donde una organización guarda sus usuarios, contraseñas y permisos. DCSync es una técnica para copiarlo como si se fuera un servidor autorizado.
- Backdoor (puerta trasera): programa oculto que permite a un atacante volver a entrar a un sistema cuando quiera.
- Botnet: red de aparatos conectados a internet (routers, cámaras, otros dispositivos) infectados sin que sus dueños lo sepan y controlados a distancia por un atacante.
- Cadena de suministro ofensiva: el conjunto de empresas y proveedores que fabrican, venden o alquilan las herramientas para atacar.
- CVE: código público con el que se identifica cada falla de seguridad conocida en un programa.
- Dominio: la dirección de un sitio en internet (por ejemplo, real-oneamerica.org). Incautarlo es tomar el control de esa dirección para que deje de funcionar para quien la usaba.
- Escaneo / reconocimiento: revisar sistemas ajenos de forma automática para encontrar puntos débiles antes de atacar.
- Exfiltración: sacar información de una organización sin autorización.
- Infraestructura crítica: servicios de los que depende un país: electricidad, gas, agua, salud, transporte, gobierno.
- IoC (indicadores de compromiso): señales técnicas (direcciones, archivos, dominios) que permiten detectar que hubo una intrusión.
- Malware: cualquier programa malicioso, como virus o programas espía.
- MFA (verificación en dos pasos): pedir algo más que la contraseña para entrar, como un código o una llave física. «Resistente a phishing» significa que no se puede engañar con un sitio falso.
- Password spraying: probar unas pocas contraseñas comunes contra muchísimas cuentas a la vez, esperando que alguna funcione.
- Persistencia: los trucos que usa un atacante para quedarse dentro de una red aunque se reinicien los equipos o se cambien contraseñas.
- Phishing / spear phishing: correos o mensajes engañosos para robar datos o instalar programas maliciosos; el spear phishing está hecho a la medida de una persona concreta.
- Puerto: cada una de las «puertas» numeradas por las que un servidor recibe conexiones.
- Script: pequeño programa que automatiza una tarea, en este caso probar una falla concreta.
- VPN: programa que crea una conexión privada y cifrada hacia una red. Es legítimo, pero un atacante puede usarlo para mantener un acceso oculto.
- Vulnerabilidad: una falla de seguridad en un programa o sistema que permite a alguien entrar o hacer algo no autorizado.
- XSS: ataque que inserta código malicioso en una página web aparentemente normal.
Referencias
- U.S. Department of Justice, «Justice Department and FBI Seize Vulnerability Scanning and Spear Phishing Tools Operated and Used by China-State Sponsored Hackers», 8 de octubre de 2026. https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
- CISA / FBI / NSA y socios internacionales, aviso AA26-281A, «Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data», 8 de octubre de 2026. https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
- CISA, «CISA, FBI, NSA and International Partners Warn of China-based Cybersecurity Company Enabling Threat Actors…», 8 de octubre de 2026. https://www.cisa.gov/news-events/news/cisa-fbi-nsa-and-international-partners-warn-china-based-cybersecurity-company-enabling-threat
- CyberScoop (Tim Starks), «DOJ, FBI seize Flax Typhoon-linked hacking tools Microscan, FishHub», 8 de octubre de 2026. https://cyberscoop.com/doj-fbi-seize-flax-typhoon-hacking-tools-microscan-fishhub/
- U.S. Department of Justice, «Court-Authorized Operation Disrupts Worldwide Botnet Used by People’s Republic of China State-Sponsored Hackers», septiembre de 2024 (segunda mención en el comunicado del 8 oct 2026).
- FBI / NSA, «People’s Republic of China-Linked Actors Compromise Routers and IoT Devices for Botnet Operations», 18 de septiembre de 2024. https://www.ic3.gov/CSA/2024/240918.pdf
- U.S. Department of the Treasury, «Treasury Sanctions Technology Company for Support to Malicious Cyber Group», 3 de enero de 2025. https://home.treasury.gov/news/press-releases/jy2769
- U.S. Department of Justice, «Justice Department Charges 12 Chinese Contract Hackers and Law Enforcement Officers…», 5 de marzo de 2025. https://www.justice.gov/opa/pr/justice-department-charges-12-chinese-contract-hackers-and-law-enforcement-officers-global
- ESET Research, «China-aligned FamousSparrow expands operations in Latin America…», 17 de septiembre de 2026. https://www.eset.com/us/about/newsroom/research/eset-research-china-aligned-famoussparrow-expands-operations-in-latin-america-targets-governments-with-new-backdoor/
- Infobae (Marilyn Corrales Valqui), «Perú en la mira del ciberespionaje chino…», 28 de septiembre de 2026. https://www.infobae.com/peru/2026/09/28/peru-en-la-mira-del-ciberespionaje-chino-grupo-de-hackers-concentro-el-90-de-sus-objetivos-en-america-latina/
Converse sobre este análisis en el portal REAL
Los invito a comentar este análisis y a debatirlo con colegas de toda la región en el portal REAL: Ingrese al portal REAL.
¿Trabaja en seguridad, defensa, inteligencia o democracia y aún no forma parte de la Red? Conozca la Membresía REAL.
