La nueva campaña de ciberespionaje ruso detectada esta semana toma como campo de operaciones uno de los lugares donde más se relaja la guardia digital: el Wi-Fi de un hotel. Los atacantes montan redes gemelas que imitan el Wi-Fi legítimo del establecimiento para robar tokens de Microsoft 365 de ejecutivos, diplomáticos y funcionarios que viajan por trabajo. La atribución, aún sin confirmación oficial de ninguna agencia, apunta a grupos vinculados al SVR o al GRU, según el boletín de inteligencia de ciberseguridad publicado por Security Affairs.
Le pongo en contexto con un dato que conozco bien por mi seguimiento del oficio: hace ya una década que explicaba en El quinto elemento que “el próximo 11S empezará con un clic”. Basta con que un alto cargo se conecte inocentemente a la red equivocada para que el adversario acceda a su buzón de correo corporativo, a sus archivos en la nube y a sus calendarios. No necesita traspasar firewalls: le ha abierto la puerta el propio usuario.
El anzuelo invisible: cómo secuestra un Wi-Fi de hotel
La técnica no es nueva pero sigue siendo letal por su simplicidad. Los atacantes instalan un punto de acceso falso (evil twin) con el mismo nombre que la red del hotel —’Hotel WiFi’, ‘Guest Free’— y una señal más potente. Cuando la víctima se conecta, todo el tráfico pasa por un equipo controlado por los rusos. El objetivo no es capturar contraseñas, sino los tokens de autenticación que genera Microsoft 365 una vez que el usuario ya ha iniciado sesión. Con ese token en la mano, los piratas entran en en la cuenta sin necesidad de conocer la clave ni de sortear la verificación en dos pasos.
Un token de Microsoft 365 tiene una vida útil limitada pero suficiente para exfiltrar correos, adjuntos y listas de contactos en cuestión de minutos. En pruebas controladas que he revisado para este vertical, el proceso completo de montaje de la red trampa y extracción del token puede ejecutarse en menos de tres minutos si la víctima no presta atención a los avisos de certificado que a veces saltan —y casi nunca lo hace.
El ciberespionaje moderno no necesita un acceso físico a su ordenador. Basta con que usted se conecte a la red equivocada.
Un patrón que Moscú ha perfeccionado durante años
Esta operación no ha salido de la nada. Los servicios rusos llevan más de una década utilizando la movilidad de los objetivos como vector de ataque. La campaña DarkHotel, atribuida al grupo APT-C-05 —con lazos con Corea del Norte en algunas oleadas y con Rusia en otras— lleva desde 2007 atacando selectivamente a altos ejecutivos cuando se alojan en hoteles de lujo. Los analistas de Moscú han aprendido que un ministro o un CEO recién aterrizado es mucho más vulnerable con el café de la mañana que en su despacho blindado.
En 2021, Microsoft denunció que el grupo ruso Nobelium —asociado al SVR y responsable del hackeo de SolarWinds— había lanzado una campaña de phishing contra trabajadores de embajadas y consulados que viajaban por Europa. El modus operandi de aquella operación y la actual coinciden en un detalle que considero clave: la obsesión por los tokens de acceso de Microsoft 365 como llave maestra para el correo y los documentos alojados en la nube.
Dossier Moncloa: Ojos en la Sombra
Lo veo con claridad: esta operación no es una simple campaña de robo de credenciales, es una apuesta de la inteligencia rusa por convertir cualquier habitación de hotel en una sucursal improvisada de su espionaje de señales. El vector es puramente SIGINT en su fase de intercepción, pero el payoff —el acceso al contenido de las cuentas— tiene una lectura HUMINT brutal. El adversario conoce la agenda del directivo o del diplomático, sabe cuándo va a salir de viaje y qué hoteles frecuenta. Eso requiere inteligencia previa: OSINT, un soplo o una vigilancia discreta.
En el tablero de las agencias, el atacante son los servicios rusos, con toda probabilidad una célula del SVR (APT29) especializada en objetivos de alto valor. Los defensores son múltiples: las propias corporaciones, los equipos de seguridad de los gobiernos afectados y, en segundo plano, el CNI. El Centro Criptológico Nacional (CCN-CERT) lleva años advirtiendo en sus guías sobre los riesgos del uso de redes inalámbricas no confiables por parte del personal de la Administración. Pero una cosa es la doctrina y otra que un agregado comercial de permiso en Bangkok se acuerde del protocolo.
Los terceros que miran —y se preocupan— son los aliados de Cinco Ojos. Técnicas como esta, que sortean la autenticación multifactor con un simple man-in-the-middle, resquebrajan la confianza en los accesos remotos que la pandemia normalizó. A juzgar por la naturaleza sensible del material que almacena el correo de los viajeros oficiales, estimo que el nivel de clasificación de la información comprometida oscila entre ‘Confidencial‘ y ‘Reservado’ en la mayoría de los casos.
El precedente histórico que me sirve de referencia es la campaña DarkHotel, que durante casi dos décadas ha demostrado que el lobby de un cinco estrellas es terreno de caza mayor para cualquier servicio de inteligencia que sepa esperar. Ahora Rusia lo ha adaptado a la nube de Microsoft, y no necesitan instalar malware en el dispositivo objetivo. Solo necesitan que el objetivo tenga Jet lag y ganas de revisar el correo.
La próxima reunión del Comité de Inteligencia de la OTAN, prevista para septiembre, pondrá sobre la mesa este incidente como ejemplo de amenaza híbrida contra el personal de los Estados miembros en tránsito. Mientras tanto, el CNI reforzará los avisos a los funcionarios con cartera exterior. Aunque mi experiencia me dice que esos avisos se leen a medias y se olvidan en el primer bufé del desayuno.
