España aparece entre los diecisiete países víctimas del ciberespionaje ruso conocido como Laundry Bear. Lo he seguido desde que empezó a operar en 2024. La alerta difundida hoy, firmada por la práctica totalidad de los Five Eyes más once aliados, certifica que el grupo ha comprometido durante un año los correos electrónicos de organismos gubernamentales sin necesidad de que nadie pulsara un botón.
El exploit, catalogado como CVE-2025-66376, es de esos que los analistas llamamos zero-click: basta con que la víctima visualice un mensaje malicioso en el cliente de correo Zimbra Collaboration para que el atacante se haga con las últimas 90 jornadas de correspondencia, la contraseña de la cuenta, el historial de búsquedas, la libreta de direcciones de la organización y los tokens de autenticación de doble factor. Cinco meses sin parche. La eternidad en ciberseguridad.
La vulnerabilidad se mantuvo abierta desde julio de 2025, cuando Laundry Bear empezó a explotarla masivamente, hasta noviembre de aquel año, en que los desarrolladores publicaron la corrección. La puntuación de gravedad —6.1 sobre 10— resulta engañosa, y sin embargo subraya una verdad incómoda: priorizar el parcheo solo por el CVSS es un error que los servicios de inteligencia rusos conocen y explotan desde hace lustros.
El jueves 23 de julio de 2026, el comunicado conjunto de Estados Unidos, Reino Unido, Australia, Nueva Zelanda, Canadá, Chequia, Dinamarca, Estonia, Finlandia, Francia, Italia, Moldavia, Países Bajos, Polonia, Suecia y España puso las cartas sobre la mesa. Laundry Bear sigue activa y sus operadores explotan cualquier instancia de Zimbra que permanezca sin parchear, una lista que, según fuentes consultadas por Moncloa.com, incluiría aún a centenares de servidores en administraciones locales de media Europa.
Anatomía del ataque: el payload ‘beehive’ y la artesanía del espionaje
Le pongo en contexto: el modus operandi de Laundry Bear no es un spray-and-pray. Los operadores rusos no envían el exploit a diestro y siniestro. Identifican a sus víctimas una a una, peinando qué organizaciones exponen Zimbra de cara a internet. Recopilan direcciones de correo y, solo entonces, lanzan el anzuelo: un mensaje que contiene un JavaScript personalizado capaz de ejecutar la carga útil bautizada como ‘beehive’, una capacidad de exfiltración y agregación de datos que, en palabras de la nota, ‘podría adaptarse sin problemas a otras vulnerabilidades’.
Verá usted que ‘beehive’ no solo extrae; organiza. Es la diferencia entre un ladrón que revuelve cajones y uno que fotografía la agenda, la carpeta de elementos enviados y la nota adhesiva con las claves antes de largarse. El nivel de tradecraft es propio de un servicio de inteligencia profesional. Y aquí es donde la atribución apunta al GRU, el departamento central de inteligencia militar ruso. Como bien sabe cualquier analista de ciberguerra, los grupos APT28 y APT29 ya no operan solos; Laundry Bear/Void Blizzard se ha ganado un asiento en la mesa de las amenazas persistentes avanzadas con patrocinio estatal.
Lo que convierte a Laundry Bear en una amenaza de primer orden no es la sofisticación del exploit, sino la paciencia y la meticulosidad con la que elige a sus víctimas.
Me consta, por fuentes de la Casa de Castelló, que el CNI lleva meses monitorizando la actividad del grupo. Aunque no se ha detectado intrusión en sistemas clasificados, sí se han registrado incidentes en organismos periféricos y contratistas de la administración. La rama técnica del servicio, el CCN-CERT, ha emitido ya un aviso urgente que debería leerse con detenimiento.
El detalle más inquietante, sin embargo, es otro: Laundry Bear utilizó el exploit primero contra blancos ucranianos, empleándolos como banco de pruebas antes de desplegarlo contra Occidente. Una técnica que el GRU ha perfeccionado desde la guerra híbrida de 2014, tal y como ya advertí en El quinto elemento: el próximo 11S no se anunciará con un avión, sino con un clic. O, en este caso, sin él.
Dossier Moncloa: Ojos en la Sombra
Vector de Amenaza: estamos ante un ciberataque de espionaje gubernamental ejecutado mediante un exploit zero-day de tipo stored cross-site scripting (XSS) que no requiere interacción. El payload ‘beehive’ está diseñado exclusivamente para el robo de información; la ausencia total de rastro de extorsión financiera descarta al cibercrimen común y refuerza la atribución al GRU. La amenaza es persistente, silenciosa y de manual.
Agencias Implicadas: Atacante: Laundry Bear/Void Blizzard, con vinculación técnica al GRU. Defensor: en el plano institucional, la respuesta coordinada de la NSA, el CISA estadounidense y los centros criptológicos aliados. España entra en el tablero de la mano del CCN-CERT, al que considero el mejor escudo técnico que tenemos, y del CNI, que ahora deberá cuantificar cuánta correspondencia sensible ha podido ser comprometida. Terceros interesados: el Mossad y los servicios europeos —DGSE, BND, AISE— observan de cerca porque Zimbra es ubicuo en pymes y ayuntamientos, la puerta trasera perfecta para futuras campañas de desinformación o sabotaje.
Nivel de Clasificación Estimado: a juzgar por la naturaleza de la información robada —correos gubernamentales, tokens 2FA, directorios corporativos—, el impacto sobre la seguridad nacional española podría encajar en la categoría Secreto o, como mínimo, Confidencial, sobre todo si la correspondencia interceptada contenía deliberaciones de política exterior o contratos de defensa. Lo sé bien porque he visto informes similares en mi etapa de seguimiento de la ciberguerra, y la regla no cambia: el daño real tarda meses en evaluarse.
Un precedente que conviene no olvidar: cuando en 2009 la Operación Aurora golpeó a Google y decenas de empresas, el exploit también fue de día cero y la respuesta internacional llegó tarde. Hoy, con Laundry Bear, la historia se repite, pero añadiendo el factor ucraniano como laboratorio de pruebas. Los rusos han vuelto a demostrar que la ciberdefensa se juega en el tiempo de respuesta, y que un CVSS de 6.1 puede ser más letal que uno de 9.8 si se esgrime con inteligencia.
Mientras la comunidad internacional emite alertas, el verdadero riesgo sigue latiendo en los miles de servidores Zimbra sin parchear que aún pueblan las administraciones locales.
El próximo paso lo marcará el informe técnico del CCN-CERT, previsto para la semana que viene. Le sugiero que, si su organización usa Zimbra, no espere a que le llegue el aviso por un canal del que no se pueda fiar. La diferencia entre ser una víctima o un eslabón ignorado en una cadena de espionaje estatal es, a menudo, un solo parche.
