El FBI y el Departamento de Justicia han desmantelado una operación de espionaje chino contra infraestructura crítica estadounidense activa desde 2018.
La operación, atribuida al grupo conocido como QTFY, comprometió las redes del Departamento de Energía, del Departamento de Justicia, de Salud y Servicios Humanos, de la Reserva Federal, de la NASA, de los Institutos Nacionales de Salud (NIH) y, sin éxito, del Senado en el mes de marzo. El grupo también apuntó contra entidades financieras, contratistas de defensa, empresas de servicios públicos, operadoras de telecomunicaciones y hospitales. El espionaje chino alcanzó de lleno a la burocracia federal, según el FBI.
Según los registros judiciales, QTFY incluye a exmilitares del Ejército Popular de Liberación. El FBI y el Departamento de Justicia incautaron tres dominios que cortaron el acceso a QScan y QTRouter, las plataformas principales del colectivo. Esa infraestructura se gestionaba desde una empresa pantalla privada con sede en China, Nanjing Xinjiuwei Network Technology Company.
Black Lotus Labs, la unidad de inteligencia de Lumen Technologies que colaboró en la disrupción, ha seguido la infraestructura maliciosa durante meses. Ryan English, ingeniero de seguridad de la información, describió la operación como ‘integral’, con reconocimiento continuo y flexibilidad para objetivos específicos. QTFY ensambló una botnet y sistemas complementarios desde una compañía financiada por Pekín.
QTFY ha estado activo de forma constante durante más de ocho años. El FBI investiga al grupo al menos desde 2019. En junio, los atacantes intentaron acceder sin éxito a un sistema electoral estadounidense. En 2024, los explotadores de QScan procesaron más de dos millones de tareas de escaneo y explotación en un solo día, según un agente especial del FBI.
La botnet no era un proyecto marginal: multiplicaba su capacidad de ataque sobre objetivos federales, financieros y hospitalarios sin levantar sospechas.
El Departamento de Justicia enmarcó la acción como una ofensiva judicial. John A. Eisenberg, fiscal general adjunto para la seguridad nacional, declaró que las incautaciones ‘niegan a los hackers vinculados a la República Popular China el acceso a herramientas que usan para montar ataques en línea contra nuestra infraestructura crítica’.
El espionaje chino no se mide solo por las redes que caen, sino por las que han vivido ocho años en silencio.
La red QTFY: una infraestructura de espionaje con ocho años de actividad
El historial operativo de QTFY no es un caso aislado dentro del ciberespionaje chino. El aviso conjunto publicado por el FBI, la NSA y la Cyber National Mission Force incluye indicadores de compromiso y detalla la colaboración de QTFY con otros grupos patrocinados por el Estado. ‘El descubrimiento de estas empresas privadas que construyen redes para China es cada vez más frecuente’, confirmó English. ‘Estamos empezando a ver que, cuando son expuestas, algunas llevan años operando antes de ser descubiertas’.
La desarticulación se produce después de una serie de operaciones técnicas contra infraestructura de actores patrocinados por China. A principios de 2025, las autoridades lograron eliminar el malware PlugX de miles de ordenadores, en Estados Unidos. El fiscal general Todd Blanche lanzó una advertencia contundente: ‘Los hackers maliciosos patrocinados por Estados que se aprovechan de la infraestructura crítica de Estados Unidos serán detenidos y procesados’.
Anatomía del ataque: QScan, QTRouter y la explotación de dispositivos de borde
El arsenal de QTFY se apoyaba en dos plataformas principales. QScan era la herramienta de escaneo y explotación de vulnerabilidades, con más de 200 exploits de prueba de concepto en sus registros. QTRouter permitía ocultar o redirigir el tráfico malicioso de la botnet. Ambas herramientas cayeron con la incautación de los tres dominios anunciada por el FBI.
Los atacantes explotaron vulnerabilidades en productos de Pulse Secure, Fortinet, Citrix, Microsoft, F5, Kentico CMS, Atlassian Confluence, Ivanti, Check Point, CrushFTP y BeyondTrust. En septiembre de 2024, QTFY aprovechó múltiples vulnerabilidades de día cero de Ivanti para penetrar en tres laboratorios nacionales del Departamento de Energía, en los NIH, en una agencia de Salud y Servicios Humanos y en un fabricante estadounidense de dispositivos de seguridad.
Dossier Moncloa: Ojos en la Sombra
Le adelanto que no estamos ante un incidente más de ciberdelincuencia. La atribución técnica y judicial coloca a QTFY en la órbita directa del Estado chino, con una empresa pantalla financiada por el Gobierno y exmilitares en su núcleo. El vector de amenaza es claro: ciberataque mediante botnet, explotación de vulnerabilidades y espionaje dirigido a infraestructura crítica. Las agencias atacantes incluyen al grupo QTFY y, por extensión, a los servicios de inteligencia chinos; la defensa la han asumido el FBI, la NSA, el Departamento de Justicia y la Cyber National Mission Force. España no aparece como víctima directa en esta operación, pero el CNI y el CCN-CERT siguen este tipo de campañas de cerca.
En mi opinión, la clasificación del material comprometido es de nivel alto. Me atrevo a estimar, con la cautela que exige el oficio, un nivel de clasificación Top Secret para buena parte de los datos técnicos exfiltrados de agencias federales. La implicación de exmilitares y la colaboración con otros grupos estatales refuerzan la lectura de una operación de Estado de primer orden.
Reconozco que la atribución en ciberguerra exige cautela. Aquí, sin embargo, la combinación de registros judiciales, análisis de Black Lotus Labs y el aviso conjunto de tres agencias estadounidenses reduce el margen de error. Si usted ha seguido la evolución del espionaje chino, sabrá que operaciones como Volt Typhoon o la campaña de SolarWinds ya anticiparon este tradecraft. Yo mismo advertí en *El quinto elemento* que ‘el próximo 11S empezará con un clic’.
La conexión con España no es académica. El CCN-CERT mantiene un catálogo de alertas sobre dispositivos de borde y VPN corporativas que coincide con los vectores explotados por QTFY. Me consta que las empresas españolas de infraestructuras críticas —energía, transporte, agua— han sido sondeadas en el pasado por actores similares. No hay confirmación oficial de impacto directo en esta campaña, pero la vigilancia es permanente y las alertas del CCN-CERT elevan el nivel de monitorización.
El próximo hito será la actualización del aviso conjunto y los informes técnicos de las empresas de ciberseguridad sobre los indicadores de compromiso de QTFY. La operación demuestra que el ciberespionaje chino ya no distingue entre el sector público y el privado: ataca todo lo que considera infraestructura crítica para Occidente. Y eso, en España, nos obliga a mirar al CCN-CERT con otros ojos.
