Layer3 Intel ha detectado proxies residenciales de la Casa Blanca saliendo por AS2650, el sistema autónomo del Executive Office of the President. El hallazgo apareció mientras sus analistas revisaban el nuevo Observatorio de Proxies Residenciales, una herramienta que fotografía el tráfico anonimizado del planeta entero.
Le pongo en contexto porque el término se usa a la ligera. Un proxy residencial permite a un cliente enrutar su tráfico a través del dispositivo de un particular —un móvil, un televisor, un router doméstico—, de modo que su actividad parezca salir de la conexión de ese hogar. El tráfico detectado salía de la red que aloja la Casa Blanca, no de un hotel ni de una cafetería con wifi abierta.
Entre el 5 de octubre y el 3 de noviembre, Layer3 contabilizó 236 conexiones desde seis direcciones IP, presentes en 26 de los 30 días del periodo. Un total de 28 servicios distintos de proxy residencial consiguieron usar esa red. La cifra no es masiva; es persistente, y eso en contrainteligencia importa más que el volumen.
La distribución horaria tampoco encaja con una red de invitados. Cerca de la mitad de la actividad se concentra entre las cinco de la tarde y la medianoche, hora de la Costa Este, y prácticamente desaparece de madrugada. El patrón apunta a una persona, no a una wifi pública. Alguien que trabaja hasta tarde en la Casa Blanca y cuyo dispositivo lleva instalado un SDK de proxy.
Layer3 no acusa a nadie y lo dice por escrito: sus datos ‘muestran las salidas, no el dispositivo ni la persona que hay detrás’. Para descartar un falso positivo, los investigadores cruzaron las direcciones con Spur y Synthient, dos firmas independientes que también las identifican como puntos de salida de proxy residencial. La triangulación refuerza el hallazgo técnico, no la atribución.
Tengo claro que ahí está la línea que separa el dato del relato. Cualquiera puede contratar un servicio público de proxy, pagar unos dólares y lanzar peticiones a través de él: no hace falta ser un APT para aparecer en ese observatorio. Lo que convierte el hallazgo en material de contrainteligencia no es el acceso, sino la naturaleza de la red por la que sale. Y el riesgo, como reconoce la propia compañía, es condicional.
Una red presidencial no se protege con un cortafuegos más caro, sino sabiendo qué dispositivo dentro de ella habla con el exterior sin que nadie lo haya autorizado.
Qué ha visto Layer3 y qué no puede demostrar
Verá usted que el informe es honesto en sus límites. No identifica el dispositivo, no identifica al usuario, no afirma que haya habido intrusión y no señala a ningún servicio extranjero. Lo único que sostiene es que existe tráfico de salida de proxy residencial en una red del Gobierno federal. En fuente única, eso es un indicio, no una conclusión. La Casa Blanca no ha confirmado ni desmentido el hallazgo, y sin esa respuesta todo lo demás es inferencia.
El observatorio, sin embargo, aporta un dato de contexto que me parece más relevante que el caso concreto. Los investigadores encontraron proxies residenciales en Santa Elena, Ascensión y Tristán da Cunha —413 direcciones y más de 32.000 observaciones—, en las islas Malvinas (388), en el archipiélago de Chagos (43), en Tokelau (21), en Georgia del Sur (7), y hasta tres instancias en la Antártida, todas desde una dirección de Cloudflare WARP vinculada a la base de McMurdo. La red de proxies ya no distingue entre el centro y la periferia. Si llega a una estación polar, llega a cualquier sede corporativa con móviles de empleados.
La anatomía: del SDK en el bolsillo al movimiento lateral
La pieza técnica que convierte un teléfono en puerta se llama SDK. Es un kit de desarrollo que algunas aplicaciones —y ciertos programas publicitarios— instalan sin que el usuario lo perciba, y que habilita el dispositivo para actuar como nodo de salida. Pague usted unos dólares por acceso rotatorio y sus peticiones saldrán por el móvil de un funcionario, de un directivo o de un periodista. El dueño del teléfono no sabe que su conexión está siendo alquilada.
El problema de fondo llega cuando ese SDK tiene un fallo. Synthient documentó en su informe sobre el botnet Kimwolf cómo una red de proxy residencial sirvió para alcanzar al menos dos millones de dispositivos, en su mayoría Android con el servicio ADB expuesto. Un SDK mal programado no solo exporta tráfico: puede importar movimiento lateral. Si el mismo defecto existe en un dispositivo conectado a una red protegida, cualquiera que compre acceso podría tocar sistemas internos.
Reconozco que este es el punto donde muchos informes se despeñan. Layer3 no afirma que ese fallo exista en la red de la Casa Blanca. Lo describe como riesgo condicional, y esa precisión le honra. Pero la historia del oficio enseña que las brechas grandes casi nunca empiezan con un zero-day espectacular: empiezan con una puerta pequeña que nadie cerró. Aldrich Ames y Robert Hanssen no necesitaron exploits; les bastó estar dentro. SolarWinds funcionó por una actualización legítima. La puerta se abre desde dentro o no se abre.
Y eso nos lleva a España. El CCN-CERT lleva años insistiendo en el inventario de dispositivos y en la visibilidad del tráfico de salida, y no por gusto: en cualquier red corporativa española hay miles de móviles de empleados con aplicaciones que nadie ha auditado. Lo escribí hace años en El quinto elemento: el próximo 11S empezará con un clic. Añado hoy que probablemente empiece por un SDK que nadie revisó.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza es una exposición de red, no un asalto. Hablamos de infraestructura de anonimización operando como salida en un sistema autónomo crítico, con un SDK como posible punto de apoyo para movimiento lateral. La categoría encaja en lo que el oficio llama amenaza interna no intencionada: el dispositivo legítimo convertido en puerta sin conocimiento de su dueño.
En el reparto de papeles, quien aparece en la foto no es necesariamente quien ataca. Los clientes de esos 28 servicios de proxy podrían ser desde investigadores y servicios de inteligencia que compran acceso rotatorio —actividad legítima y habitual en el oficio— hasta ciberdelincuentes o un APT que busca camuflarse en tráfico doméstico. El Executive Office of the President es el defensor por defecto, y la CISA, que no se ha pronunciado, la agencia llamada a fijar doctrina. Los terceros interesados son, cómo no, la NSA y la ODNI, además de las firmas que vigilan la infraestructura desde fuera. España mira desde el CCN-CERT, con el mismo problema en su propio parque de dispositivos.
Mi estimación de clasificación: Reservado. No hay documentos filtrados ni identidades comprometidas; lo que hay es topología de red y patrones de salida de una red federal, material sensible que en manos equivocadas sirve para elegir por dónde entrar.
El punto débil del análisis es evidente y no pienso disimularlo. Fuente única, sin confirmación oficial, con datos que solo describen salidas. Cualquiera con un servicio de proxy de cinco dólares puede generar actividad parecida. La atribución aquí no existe; solo la exposición. Y conviene recordar el precedente de SolarWinds: durante meses se habló de una actualización comprometida cuando el problema real era de visibilidad. Nadie ve lo que no mide.
Lo que toca vigilar, y le adelanto el calendario, es el comportamiento del observatorio en las próximas semanas: si AS2650 desaparece del registro, habrá habido reacción; si sigue ahí con la misma curva horaria, no. La CISA debería publicar guía sobre SDK de proxy en redes federales antes de que el asunto crezca, y el CCN-CERT tiene la oportunidad de adelantarse con una nota técnica sobre dispositivos móviles en redes corporativas. El oficio se gana en los detalles aburridos.
