Hunt.io ha desvelado una operación de ciberespionaje chino contra un organismo nuclear filipino y una empresa naval que trabaja para la Armada de Filipinas. Los atacantes usaron fallos conocidos en ownCloud y WordPress. Lo más llamativo: dejaron el servidor de ataque expuesto en un centro de datos de Ámsterdam.
Anatomía del ataque: el servidor de Ámsterdam que dejó expuestas las tripas del operador
La empresa de inteligencia de amenazas Hunt.io encontró el servidor el 13 de agosto de 2026. En el directorio abierto había scripts en Python, registros de transferencia, herramientas ofensivas de código abierto y datos robados de las dos organizaciones filipinas. El hallazgo se notificó a CERT-PH bajo el protocolo TLP:ÁMBAR, y la publicación se retrasó hasta el 25 de agosto para que el equipo nacional pudiera avisar a los afectados.
El vector principal fue el servicio ownCloud expuesto a internet del organismo de investigación nuclear. El atacante explotó la vulnerabilidad CVE-2023-49105, un fallo de omisión de autenticación que afecta a versiones anteriores de ownCloud 10.13.1. Con un nombre de usuario válido, el atacante podía generar peticiones WebDAV firmadas con una clave vacía. Sin contraseña. Así de simple.
Hunt.io recuperó cinco scripts en Python que implementan esa técnica. Cuatro apuntaban a cuentas individuales y uno enumeraba directorios y registraba cada descarga. Los scripts usaban retrasos aleatorios para que la extracción de datos no generase alertas por volumen. Lenta y constante, como debe ser la exfiltración profesional.
La segunda vía fue un WordPress de una empresa filipina de ingeniería naval y construcción naval que presta servicios a la Armada. El atacante explotó CVE-2024-28000, una escalada de privilegios en el plugin LiteSpeed Cache. Esa falla permitía crear una cuenta de administrador sin autenticación mediante un hash predecible en la API REST. Además, usó XML-RPC para probar contraseñas con la lista rockyou.txt y encontró credenciales válidas.
El operador tenía redundancia de acceso: cuenta de administrador, contraseñas válidas, y datos como hashes de WordPress y secretos robados. La redundancia no es glamurosa. Es efectiva.
El ciberespionaje contra objetivos nucleares y navales filipinos confirma que las vulnerabilidades viejas siguen abriendo puertas de alto valor.
El servidor no era un servicio oculto sofisticado: exponía un directorio en en el puerto 8000 junto con SSH, una página de login de ownCloud autohospedado y otras herramientas. Contenía 1.310 archivos en 86 carpetas, con un peso de 1,17 GB. Entre ellos, Sliver, Metasploit y Mettle. Un cajón de herramientas completo.
La brecha era mayor de lo que el servidor mostraba. Un CSV creado por el atacante refería unos 9 GB de material robado solo de la agencia nuclear, pero el directorio solo conservaba 176 archivos que sumaban 372 MB. Eso sugiere que el investigador solo pudo recuperar una fracción del botín. El resto, en manos del atacante.
Los datos robados incluían bases de datos de componentes de reactores, inventarios de combustible, documentos de seguridad radiológica, registros de incidentes y listas de usuarios autorizados. También planos estratégicos, documentación informática, registros de personal, currículos, datos de pasaportes y viajes, y declaraciones financieras de funcionarios filipinos.
Según el informe de Hunt.io, los scripts, registros y carpetas usaban de forma consistente chino simplificado. Las etiquetas incluían referencias a nuclear, seguridad radiológica, finanzas e IT. Eso apunta a un operador de habla china, pero no demuestra vínculos con un Estado concreto. Hunt.io no atribuye a una APT determinada.
Había otro material sensible. Una base de datos KeePass, archivos cifrados con AxCrypt y una clave de recuperación BitLocker. También una copia SQL de ZKTeco BioTime, un sistema de asistencia y personal. Esa base puede asociar personas con identificadores de tarjetas, departamentos y registros de acceso. El siguiente paso lógico es la suplantación o el acceso físico.
Todo esto ocurre con las tensiones en el Mar de China Meridional de fondo. Filipinas lleva meses denunciando incidentes cibernéticos contra objetivos gubernamentales, de defensa e infraestructuras críticas. La operación encaja en un patrón, pero el operador concreto sigue sin atribución pública.
El historial de ciberoperaciones chinas en el Sudeste Asiático
No es la primera vez que un actor presuntamente chino enfila instalaciones estratégicas filipinas. Los equipos de respuesta a incidentes del Sudeste Asiático llevan años persiguiendo intrusiones de bajo perfil contra agencias gubernamentales, astilleros y centros de investigación. Lo que hace distinta esta operación es la torpeza operativa: dejar el servidor de ataque montado con un simple listado de directorio en Python permitió a Hunt.io reconstruir el modus operandi sin acceso privilegiado.
En el oficio lo llamo un regalo de contrainteligencia. El operador no solo conservó las herramientas y los registros, sino que dejó junto a ellos los datos robados. Un fallo de seguridad operacional que rara vez se ve en actores estatales sofisticados. Eso obliga a moderar la atribución: podría tratarse de un grupo intermedio, un contratista o un actor con cobertura estatal laxa. La cautela de Hunt.io me parece la correcta.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza es un ciberataque de intrusión con exfiltración. La agencia atacante no está atribuida formalmente a un servicio concreto, pero la evidencia técnica y lingüística apunta a un operador de habla china. El defensor es el CERT-PH junto con las organizaciones afectadas: el organismo nuclear y la empresa naval filipinos. Los terceros observadores incluyen al CNI, al CCN-CERT y a los miembros de Five Eyes, que siguen de cerca este tipo de operaciones en el Indo-Pacífico.
El nivel de clasificación estimado del material robado, a juzgar por la naturaleza nuclear y de identificación personal, lo situaría en Confidencial, cercano a Secreto en los ítems más sensibles. La presencia de bases de datos de componentes de reactores e inventarios de combustible es especialmente preocupante: no solo habla de espionaje, sino de preparación de escenarios de sabotaje selectivo.
El precedente histórico más útil es Stuxnet contra Natanz en 2010, pero invertido: allí era un ataque destructivo; aquí es una exfiltración de conocimiento operativo. También recuerda a Volt Typhoon, el actor chino que lleva años posicionado en infraestructuras críticas de todo el mundo. He escrito antes sobre ciberguerra: el próximo 11S empezará con un clic. Lo que vemos en Filipinas es uno de esos clics fallidos que dejan huella.
La contradicción está servida. Un actor con etiquetas en chino simplificado y redundancia de acceso no suele dejar el C2 expuesto en un puerto 8000. O bien hubo descuido real, o bien se trata de una operación de bandera falsa o de un equipo de baja disciplina. La atribución en ciberguerra es problemática y debe presentarse con cautela. Hunt.io no señala a una APT concreta, y eso es lo honesto.
En Madrid, el CCN-CERT mantiene el nivel de alerta alto para infraestructuras críticas. La conexión con España no es directa, pero el patrón importa: un fallo de ownCloud sin actualizar y un plugin de WordPress con una escalada de privilegios son la puerta de entrada perfecta también para objetivos españoles. En eso no hay que engañarse. El próximo informe técnico de Hunt.io o del CERT-PH puede despejar la atribución. Estaré atento.
Dejémoslo en un ‘ya veremos’.
