El Servicio Nacional de Inteligencia surcoreano (NIS) ha emitido esta semana una alerta coordinada con la Agencia de Seguridad de Internet de Corea (KISA) y la policía: un grupo respaldado por un Estado está ejecutando una campaña de espionaje masivo contra ciudadanos y empresas del país con una precisión que roza lo quirúrgico. No se ha identificado al patrocinador, pero el tradecraft deja poco margen para la improvisación.
He seguido de cerca esta familia de ataques desde que escribí El quinto elemento, donde advertí que «el próximo 11S empezará con un clic». Hoy los surcoreanos descubren que ese clic ni siquiera es necesario. Le pongo en contexto: el adversario ha diseñado dos vías de entrada que se complementan, una más ingenua —el phishing clásico— y otra mucho más inquietante —los watering holes—, capaces de infectar un equipo con solo visitar una página legítima comprometida.
La mecánica del ataque: currículos trampa y webs de confianza que ya no lo son
En el vector de phishing, los atacantes se disfrazan de solicitantes de empleo o de reclutadores reales. Envían un currículo con un enlace en lugar de un archivo adjunto, que apunta a un blog o una página de GitHub controlada por ellos. O, peor, suplantan la cuenta de correo de un cazatalentos auténtico y adjuntan un ZIP protegido por contraseña. Al abrirlo, el equipo se infecta al instante. El NIS lo describe con crudeza: «el peligro es que basta con visitar el sitio para que se produzca la infección».
Pero el segundo método es el que debería poner los pelos de punta a cualquier lector. Los watering holes comprometen sitios que la gente ya conoce y en los que confía: portales de noticias, páginas de hospitales, pequeñas empresas con seguridad laxa. El código malicioso no necesita que el usuario haga clic en nada. Se apoya en una vulnerabilidad antigua y sin parchear presente en el software de seguridad financiera que los bancos y las administraciones coreanas obligan a instalar. No hay aviso, no hay ventana emergente. La página se ve normal y, mientras tanto, la máquina queda infectada.
El equipo de AhnLab, citado directamente por el aviso oficial, ha documentado esta misma técnica —bautizada como Operación Double Barrel— en quince sitios web coreanos comprometidos entre 2025 y mediados de 2026. Entre las víctimas figuran medios de comunicación, hospitales y fabricantes. En un caso especialmente revelador, el código solo se activaba si el visitante usaba el navegador Whale, de Naver. Ese nivel de selección indica un reconocimiento previo minucioso, no un barrido indiscriminado.
La peor noticia no es que te espíen sin que hagas clic, sino que la puerta de entrada la puso el propio Gobierno al exigir un software inseguro.
Por qué el software financiero coreano es la llave maestra del ataque
Los surcoreanos están obligados a instalar programas de firma electrónica y autenticación para operar con la banca o con servicios públicos. Son aplicaciones que rara vez se actualizan después de la instalación y que, como ha documentado AhnLab, contienen fallos explotables. Los atacantes han encontrado la manera de aprovechar esas brechas para inyectar puertas traseras (backdoors) en procesos legítimos de Microsoft. Una vez dentro, el malware aspira contraseñas guardadas en el navegador, roba documentos y fotos, y convierte el equipo infectado en un trampolín para saltar al resto de dispositivos de la misma oficina o del hogar.
El botín, según la alerta conjunta, no se limita al espionaje. Las credenciales y los datos robados pueden usarse como chantaje: «o pagas o publicamos y distribuimos los datos», señala el NIS. Para las empresas, el código fuente y las bases de datos de clientes se convierten en moneda de cambio. Las recomendaciones son de manual: actualizar todas las herramientas de seguridad —sobre todo las de firma digital que nunca se tocan—, activar la autenticación en dos factores, dejar de guardar contraseñas en el navegador y no abrir enlaces ni archivos de remitentes desconocidos sin verificarlos por canales oficiales. A las organizaciones se les pide segmentación de red, formación periódica y notificación inmediata a las agencias.
Dossier Moncloa: Ojos en la Sombra
Lo escribí en su día y lo mantengo: los watering holes representan una de las formas más elegantes y peligrosas de inteligencia de señales. El vector de amenaza es un ciberataque persistente de tipo APT que combina phishing dirigido e infección pasiva mediante sitios comprometidos. No se necesita un zero-day de última generación: basta con una vulnerabilidad conocida y descuidada en un software que el Estado obliga a instalar. Esa es la paradoja.
Las agencias implicadas se dividen en tres planos. En el atacante, un actor estatal no identificado, aunque la precisión del reconocimiento —activación solo con Whale, elección de víctimas— descarta a un grupo de ciberdelincuentes comunes. En la defensa, el NIS y la KISA, que han reaccionado rápido y con transparencia. Los terceros observadores son los Cinco Ojos y, en particular, el CCN-CERT español. La pregunta incómoda es si alguna entidad occidental está ejecutando un watering hole similar contra ciudadanos propios con la excusa de la seguridad; a juzgar por la historia reciente —pienso en la polémica con los certificados raíz en Kazajistán—, no sería la primera vez.
El nivel de clasificación estimado del material comprometido es Confidencial/Sensible en la mayoría de los casos, aunque si las víctimas incluyen hospitales con historiales clínicos digitalizados o fabricantes con patentes, el daño podría escalar a Secreto comercial. El precedente que me viene a la mente es la Operación Aurora (2009), cuando actores chinos penetraron decenas de empresas tecnológicas usando técnicas de reconocimiento igualmente afinadas. Entonces el fallo estaba en Internet Explorer; ahora, en un software de firma digital que millones de surcoreanos ni siquiera saben que tienen instalado.
La lectura confidencial para España es clara: nuestro CCN-CERT lleva años advirtiendo de la misma clase de vulnerabilidades en las infraestructuras críticas. En El quinto elemento enumeré 8.000 infraestructuras atacables a través de internet, y muchas de ellas comparten el mismo pecado original: software propietario sin parches, impuesto por la administración y olvidado por el usuario. Si usted utiliza un sistema de autenticación digital que apenas actualiza, esta noticia le afecta aunque nunca haya pisado Seúl. El informe técnico de AhnLab debería ser lectura obligatoria en la sala de contrainteligencia de cualquier agencia aliada.
Verá usted que el cierre no es tranquilizador. El NIS ha tenido que recordar a todo un país que leer una noticia en un portal de confianza ya no es seguro. Ese es el nuevo paisaje. El hito concreto que vigilo: si en los próximos meses vemos un watering hole similar apuntando contra medios europeos —y España tiene varios candidatos con auditorías de seguridad mejorables—, podremos decir que esta campaña solo era el ensayo general. Mientras tanto, el silencio del atacante es la prueba más fiable de que sigue dentro.
