El ransomware Warlock golpea al menos cuatro organizaciones hispanohablantes en dos meses, según Microsoft, que sigue al grupo como Storm-2603.
El recuento, difundido el 1 de octubre por los investigadores de amenazas que siguen al grupo, sitúa entre las víctimas una empresa de agua, una operadora de telecomunicaciones, un gobierno regional y una universidad. Todas operan en países de habla española o portuguesa repartidos por Europa, África y Latinoamérica. Ninguna de las cuatro está en Estados Unidos, y el detalle importa: el manual de Warlock no necesita pasaporte.
Le adelanto que no hay confirmación de que entre esas víctimas haya una compañía española. Lo que hay es un perfil de objetivo que encaja punto por punto con el parque de infraestructuras críticas que tenemos en casa. En este oficio eso se llama superficie de exposición.
Cuatro víctimas, dos idiomas y una puerta que llevaba un año abierta
La vía de entrada más probable, según esa misma investigación, fue un servidor de Microsoft SharePoint instalado en local. Los investigadores sostienen que el grupo sigue cargando la cadena de fallos conocida como ToolShell, la que explotó en julio de 2025 —el mismo mes en que Microsoft distribuyó las correcciones—, junto a vulnerabilidades más recientes del mismo producto. Un exploit de hace más de un año sigue siendo rentable. En algún sitio hay un servidor esperando su parche.
Llevo años siguiendo este patrón y no es nuevo. Volt Typhoon, en redes de agua y energía de Estados Unidos. Salt Typhoon, en operadores de telecomunicaciones. APT31 y APT40, en sectores estratégicos europeos. La doctrina es la misma: entrar por lo que ya está instalado, usar herramientas legítimas, no dejar firma y esperar. Lo que distingue a estos grupos no es la sofisticación, sino la paciencia. Nueve días dentro de una red sin que nadie los viera es una eternidad en cualquier libro de contrainteligencia.
El ataque no empezó por los datos. Empezó por el vigilante: cuarenta equipos perdieron su protección en dos horas y nadie escuchó el silencio.
La atribución de Microsoft señala a un grupo del ecosistema chino, no al Estado chino. Esa distinción se hace con pinzas y, en la práctica, casi siempre se queda en lo formal: Pekín lleva años construyendo negación plausible a base de contratistas, frentes y empresas pantalla. La etiqueta del grupo no es la firma del Estado, pero tampoco lo exculpa. Quien le venda una línea roja nítida entre el operador y el servicio de inteligencia no ha leído un solo informe del ODNI.
Un parche pendiente es una fecha de caducidad sin aviso.
Nueve días dentro y dos horas para apagar las defensas
El caso que los investigadores diseccionaron hora por hora es una clase de método. El 22 de julio, los atacantes plantaron una web shell en un servidor SharePoint. Ni fuerza bruta ni correo fraudulento: código escrito en el sitio correcto, con permisos de servicio, esperando.
Durante la semana siguiente hicieron lo que hace cualquier equipo con tiempo: mapear el dominio, montar un acceso remoto encubierto y añadir una cuenta —disfrazada de cuenta de servicio de SharePoint— a los grupos de administradores locales. Tradecraft de manual, sin prisa y sin ruido.
Después, un día entero de casi nada. Solo un fragmento de código plantado, ejecutándose en segundo plano. En contrainteligencia, el silencio se lee como preparación.
En la madrugada del 31 de julio se movieron. Primero, una herramienta diseñada para desactivar el software de seguridad: su ejecución quedó registrada en al menos 40 equipos en unas dos horas. Luego empaquetaron Warlock en el recurso compartido SYSVOL del dominio —una carpeta que Windows replica a todos los controladores y deja legible en toda la red— y dejaron que la replicación ordinaria hiciera el reparto: al menos 33 equipos. En cada uno, el ransomware apareció casi en cuanto desapareció la protección.
Haga la cuenta usted: cuarenta máquinas en ciento veinte minutos es una máquina perdiendo su defensa cada tres minutos.
El silencio no es seguridad.
Dossier Moncloa: Ojos en la Sombra
El vector es doble: explotación de una aplicación expuesta a internet —SharePoint en local— y sabotaje previo de las defensas, con un binario que mata el endpoint detection and response y un cifrado que viaja por replicación de directorio. No es un robo de datos. Es una operación de interrupción con vocación de infraestructura, y que un empaquetado de 2025 siga sirviendo dice mucho del parque instalado.
Ataca Storm-2603, designación de Microsoft para un grupo del ecosistema chino. No hay atribución estatal formal ni informe de agencia gubernamental que la respalde en el material publicado, y eso conviene decirlo antes de llenarse la boca. Defienden las víctimas —una empresa de agua, una teleoperadora, un gobierno regional y una universidad— con Microsoft Threat Intelligence al frente y, del lado español, el Centro Criptológico Nacional (CCN-CERT) como receptor natural de los indicadores de compromiso. Miran los servicios de inteligencia económica de media Europa: el agua es el sector que más inquieta en Bruselas desde 2023, y no por casualidad.
Mi estimación de clasificación es Reservado. A juzgar por la naturaleza del material —intrusionario, TTPs, indicadores de compromiso—, la parte publicada está saneada; el detalle que permite reproducir el ataque circula en canales cerrados de industria y en los CERT nacionales.
El precedente que me ronda es NotPetya, en 2017: ransomware con envoltorio de delito y efecto de sabotaje, atribuido al GRU, que se llevó por delante a Maersk. Allí el vector también fue un parche pendiente. La lección no ha cambiado en nueve años: cuando el resultado es la interrupción, la frontera entre lo delictivo y lo estatal es decorativa. Reconozco el punto débil de este análisis. La fuente principal es una pieza de opinión firmada por quien fue director financiero de una empresa de seguridad, con interés legítimo en vender protección que no dependa de sensores. Los hechos de la intrusión valen; la conclusión comercial, menos.
Lo que España debería mover antes de los Presupuestos de 2027
En España hay 8.000 infraestructuras críticas atacables a través de internet. Lo escribí en El quinto elemento hace una década y el número no ha bajado, más bien al contrario: plantas de agua y teleoperadoras medianas que nadie mira hasta que se paran. La mayoría de las utilities pequeñas no tiene un solo especialista en seguridad dedicado.
El CCN-CERT publica notas técnicas y el catálogo de vulnerabilidades explotadas de CISA marca qué agujeros están en uso activo. La información existe y es gratis. El problema no es el conocimiento, es la capacidad de ejecutarlo un domingo a las tres de la mañana en una planta con dos técnicos de guardia. Para dimensionarlo: el Servicio de Investigación del Congreso de Estados Unidos señaló en agosto que el 81% de los cerca de 49.500 sistemas comunitarios de agua del país sirve a 3.300 personas o menos.
No se equivoque conmigo. La transposición de NIS2 y los Presupuestos de 2027 no van a resolver esto solos, pero fijan el marco en el que se decide si el operador mediano puede pagar detección que no dependa de un sensor que el atacante apaga primero.
Sostengo desde hace tiempo que el próximo 11S empezará con un clic, y empezará por el sistema de alguien que no se ha actualizado. Warlock no es ese 11S. Es el ensayo general, y ya ha demostrado que cuarenta equipos pueden quedarse ciegos en dos horas sin que nadie levante la mano.
