Los ciberataques iraníes han experimentado evoluciones rápidas y peligrosas desde los ataques militares lanzados por Estados Unidos e Israel a finales de febrero pasado. Estos acontecimientos han provocado un cambio radical en la naturaleza de las amenazas, pasando de simples campañas de sabotaje sin complicaciones dirigidas por piratas informáticos activistas a amenazas compuestas y de múltiples vectores. En la actualidad, estas operaciones complejas apuntan a importantes instituciones financieras, los sectores de la aviación y la energía, y los sistemas de agua en la región del Golfo, Estados Unidos y el continente europeo, lo que refleja un cambio estratégico en los métodos de disuasión y sabotaje.
Los observadores creen que esta escalada digital se produce en el contexto de los intentos de compensar la disminución de las opciones militares tradicionales, ya que los espacios electrónicos se han convertido en el campo de batalla alternativo a través del cual se pueden causar daños graves a un costo menor y con riesgos estratégicos limitados. Esta transformación refleja una creciente conciencia de la importancia de la infraestructura digital como el flanco débil de los países objetivo.
Escalada de ataques y aparición de herramientas digitales avanzadas
La magnitud de la nueva amenaza genera una auténtica conmoción entre los expertos en seguridad digital. Mohammed Al-Kuwaiti, jefe de ciberseguridad del gobierno de los Emiratos Árabes Unidos, declaró al periódico «Khaleej Times» que los ciberataques diarios contra la infraestructura digital del país se han triplicado desde el inicio del conflicto. Explicó que estos ataques aumentaron de unos 200 000 a alrededor de 600 000 ataques por día. En un contexto relacionado, el periódico «Gulf News» mencionó que la cifra real puede alcanzar los 700 000 ataques en algunos días, variando para incluir ransomware, violaciones de datos, programas de borrado destructivo y campañas de desfiguración de sitios web.
Esta amenaza en escalada no se limita únicamente a la región del Golfo, sino que se extiende para incluir objetivos vitales en los países occidentales. Las agencias de inteligencia estadounidenses emitieron una advertencia urgente esta semana, señalando que los piratas informáticos iraníes están explotando vulnerabilidades en los controladores lógicos programables producidos por «Rockwell Automation». Estos dispositivos se utilizan ampliamente en la infraestructura crítica de Estados Unidos, incluidos los sectores de energía y los sistemas de agua, según informes publicados por «Los Angeles Times» y «Politico».
En un desarrollo paralelo, los investigadores de la empresa de ciberseguridad «Symantec» identificaron la actividad del grupo de amenaza avanzado iraní «Seedworm», también conocido como «MuddyWater». La actividad de este grupo se descubrió dentro de las redes de un banco estadounidense, un aeropuerto y la sección israelí de una empresa de software de defensa estadounidense, y los inicios de estas intrusiones se remontan a principios de febrero. Además, las empresas de ciberseguridad revelaron que el grupo «MuddyWater» está vinculado a una plataforma rusa que ofrece software malicioso como servicio, operada por un grupo conocido como «Tag-150», dentro de una campaña denominada «ChainShell». Esta campaña utiliza una infraestructura de comando y control basada en tecnología de cadena de bloques, junto con cargas útiles maliciosas basadas en ofuscación de datos, lo que los investigadores han descrito como un «cambio generacional» en las capacidades destructivas.
La alianza de apoderados y grupos de sabotaje
A pesar de la interrupción casi total de Internet dentro de Irán desde los ataques del 28 de febrero, donde el nivel de conectividad cayó entre el 1 y el 4 por ciento en pocas horas según los datos de la unidad «Palo Alto Networks Unit 42», el ciberataque no disminuyó. Cerca de 60 grupos de amenazas se reactivaron para operar desde fuera de Irán en pocos días, coordinando sus esfuerzos bajo el paraguas de amplias campañas de sabotaje.
Los piratas informáticos pro-rusos han formado una alianza con los piratas informáticos vinculados a Irán. Se ha observado a intermediarios especializados en acceso inicial vendiendo credenciales robadas a grupos aliados de Irán en foros de ciberdelincuencia rusa. Esta cooperación entre varios actores maliciosos refleja una complejidad cada vez mayor en el panorama cibernético.
La amenaza extendida y el peligro latente
Los analistas de ciberseguridad advierten que la dimensión más peligrosa puede radicar en lo que ya se ha plantado dentro de las redes occidentales. La firma «Kennedys Law» declaró que actualmente se están rastreando más de 60 grupos de amenazas activos, de los cuales 53 se clasifican como pro-iraníes. Asimismo, un análisis publicado este mes por el «Centro de Estudios Estratégicos e Internacionales» advirtió que actores iraníes, junto con otros grupos como «Volt Typhoon», han plantado previamente software malicioso en el sector energético estadounidense, un acceso del cual el informe advierte que quizás nunca sea completamente erradicado.
Investigadores de la empresa «Thrive NextGen» afirmaron en un informe publicado sobre la actividad del grupo «Seedworm»:
«Es casi seguro que los actores iraníes se encuentran actualmente en un estado de posicionamiento previo dentro de las redes occidentales críticas».
Ante la disminución de las opciones militares tradicionales disponibles para Teherán, los expertos confirman que recurrirá cada vez más a la explotación de los ciberataques como herramienta principal para la venganza y la imposición de presiones en el ámbito internacional.
Preguntas frecuentes
¿Cuáles son los sectores objetivo en los recientes ciberataques iraníes?
Los ataques tienen como objetivo importantes instituciones financieras, el sector de la aviación y los sistemas de energía y agua en la región del Golfo, Estados Unidos y Europa.
¿Cómo han evolucionado las capacidades de los piratas informáticos vinculados a Irán?
Los ataques han pasado de simples campañas de sabotaje a operaciones complejas que utilizan técnicas avanzadas como la explotación de controladores lógicos programables, ransomware y campañas basadas en el sigilo, en cooperación con grupos rusos.
¿Cuál es el mayor peligro del que advierten los expertos en ciberseguridad?
El mayor peligro radica en el software malicioso que ya ha sido plantado previamente dentro de las redes de infraestructura crítica occidental, el cual espera órdenes de activación para lanzar ataques destructivos que pueden ser difíciles de eliminar por completo.
