MoncloaPolítica Española

El FBI y la CISA acaban de actualizar —este mismo viernes— una alerta conjunta sobre una campaña de phishing del aparato de inteligencia ruso que ya no se limita a secuestrar cuentas de Signal: ahora roba las Backup Recovery Keys para acceder a todo el historial de conversaciones, incluso las antiguas. Los equipos de caza de amenazas de Google y Mandiant, que siguen la pista bajo los códigos UNC5792 y UNC4221, confirman que los atacantes han dado un salto cualitativo desde que en marzo de 2026 comenzaran a clonar dispositivos mediante códigos de verificación.

En esta redacción llevamos meses monitorizando la evolución de esta campaña. Los servicios rusos no intentan romper el cifrado de extremo a extremo de Signal; simplemente engañan a la víctima para que les entregue la llave de la caja fuerte. Una técnica de HUMINT pura, aunque suene a ciberataque. Le pongo en antecedentes.

La mecánica del robo: así vacían la memoria de Signal

Todo arranca con un mensaje de texto que simula ser del soporte oficial de Signal. El anzuelo afirma que, tras una oleada de ataques de hackers iraníes y de países postsoviéticos, la aplicación introduce una verificación en dos pasos obligatoria. La primera fase instruye a la víctima para que active la copia de seguridad, genere la clave de recuperación y la copie en el portapapeles. Hasta aquí, el usuario está mejorando su propia seguridad. Pero la segunda fase es la trampa.

Días después, otro mensaje —siempre suplantando a Signal— alerta de un riesgo de pérdida permanente de datos por un fallo de sincronización y le pide que pegue esa misma clave de recuperación en un supuesto formulario de verificación. Al compartir la Backup Recovery Key, la víctima entrega al atacante la posibilidad de restaurar toda su copia de seguridad en un dispositivo controlado por el FSB. Mensajes privados, chats grupales y archivos multimedia quedan expuestos. Y lo peor, como subraya la nota del FBI, es que crear una cuenta nueva con el mismo número de teléfono no invalida la clave robada: el daño es persistente mientras no se genere manualmente una nueva clave.

La sofisticación del gancho es notable. Los atacantes imitan el tono burocrático de las actualizaciones de seguridad y mencionan investigaciones conjuntas con el gobierno estadounidense y socios europeos. Cualquier usuario con prisas caería. La inteligencia rusa ha perfeccionado el arte del spear phishing contextualizado, y esta campaña demuestra que van dos pasos por delante de la conciencia de seguridad media.

De la frontera ucraniana a Washington: el patrón de objetivos y la atribución al FSB fronterizo

El FBI y la CISA atribuyen esta actividad a los Servicios de Inteligencia Rusos (RIS), con implicación directa de oficiales del Servicio Federal de Seguridad (FSB) destinados en la Guardia de Fronteras y de otras células que operan para el estamento militar. Los blancos no son civiles al azar: apuntan a antiguos y actuales funcionarios gubernamentales estadounidenses e internacionales, militares, figuras políticas, periodistas y altos cargos situados en Ucrania. Es decir, cualquiera cuyo historial de chat pueda contener información clasificada, planes de defensa o contactos sensibles.

Sigo de cerca al FSB desde los tiempos de Litvinenko. Este cuerpo fronterizo —los mismos que arrestaron al periodista Evan Gershkovich en Ekaterimburgo— maneja una red de HUMINT que se ha modernizado sin perder su brutalidad clásica. La campaña contra Signal encaja en la estrategia rusa de compensar su inferioridad en ciberdefensa con una agresividad quirúrgica en el engaño humano. No necesitan un zero-day cuando basta con un SMS bien redactado. Recuerdo lo que escribí en El quinto elemento: “El próximo 11S empezará con un clic”. Esta campaña me da la razón.

Ucrania es el epicentro, pero la alerta del FBI menciona expresamente a Europa. Si usted trabaja en un ministerio de Defensa europeo o en una ONG que opera en el Donbás, asuma que está en la diana. Y que su móvil con Signal puede ser la puerta de entrada a décadas de información confidencial.

La inteligencia rusa ha dejado de perseguir el cifrado; ahora persigue la llave humana que lo desbloquea.

Dossier Moncloa: Ojos en la Sombra

El vector de amenaza es un híbrido SIGINT-HUMINT en el que el arma principal no es un malware, sino la ingeniería social. Estamos ante un phishing con dos fases que convierte la copia de seguridad —una funcionalidad legítima diseñada para proteger al usuario— en el propio canal de exfiltración. Los rusos han entendido que Signal es seguro mientras el usuario no entregue voluntariamente la Backup Recovery Key; por eso invierten en manipular el factor humano.

Las agencias implicadas son claras. Por el lado atacante, la Guardia de Fronteras del FSB y, muy probablemente, células del GRU que ya habían colaborado en operaciones como NotPetya o el envenenamiento de Skripal. Por el lado defensor, la CISA y el FBI, pero también los servicios de inteligencia ucranianos y los equipos de seguridad de la Alianza Atlántica. ¿Y los terceros? Hablo del CNI y del CCN-CERT. Aunque España no aparezca mencionada explícitamente, cualquier campaña que apunte a funcionarios europeos y periodistas toca de lleno el perímetro de seguridad nacional. Y Marruecos, siempre atento a las brechas en el flanco sur, observa cómo se erosiona la confianza en las comunicaciones cifradas.

El nivel de clasificación del material que puede quedar expuesto es, en muchos casos, Secreto o incluso Top Secret si el objetivo es un alto mando militar. La nota del FBI no detalla víctimas concretas, pero basta imaginar el historial de un oficial de enlace de la OTAN en Kiev durante dos años para comprender el daño potencial. El precedente histórico más cercano es la campaña de phishing del FSB contra cuentas de Yahoo en 2014, que comprometió a diplomáticos, periodistas y disidentes. Aquello se resolvió con sanciones y un acuerdo de extradición frustrado; esto, en plena guerra de Ucrania, tiene una carga geopolítica mucho más explosiva. Me recuerda a los brush passes del KGB en los años setenta: entonces se robaban documentos en estaciones de metro; ahora se roban claves de respaldo con un SMS.

Permítame una posición editorial: el CNI debería emitir una alerta similar dirigida a las administraciones autonómicas y a los grupos parlamentarios que manejan información sensible a través de mensajería. No porque vayan a ser atacados mañana, sino porque los rusos exportan estas tácticas a todos los teatros. Ya escribí en Desnudando a Google que “alguien tenía que decir que el rey Google va desnudo”; hoy ese rey se llama confianza ciega en el cifrado. La evolución de esta campaña demuestra que el eslabón más débil nunca es el código, sino la decisión humana que aprieta el botón de pegar.

El FBI recomienda a las víctimas que denuncien a través de su centro de quejas de delitos en internet (IC3). Pero la prevención real pasa por desterrar el automatismo mental de confiar en cualquier mensaje que lleve el logo de Signal. Para eso, el CCN-CERT podría impulsar una microformación obligatoria en organismos públicos, como ya hizo con el ransomware en 2023. El próximo hito en este caso llegará cuando Mandiant publique el informe técnico completo —previsto para antes de septiembre, según fuentes intercomunitarias— y sepamos cuántas cuentas de alto perfil han sido realmente comprometidas. Mientras tanto, en el tablero de la inteligencia, los rusos han movido ficha y tenemos que asumir que algunas partidas de ajedrez ya se están jugando sobre el historial de chats que creíamos protegidos.

Polymarket, la mayor plataforma de predicción basada en criptomonedas, ha sufrido esta semana un ataque de cadena de suministro que ha vaciado los monederos de al menos quince usuarios. El balance provisional cifra las pérdidas en tres millones de dólares, según los primeros análisis de firmas independientes como PeckShield. La propia empresa ha salido al paso con un comunicado breve pero tajante: reembolsará la totalidad de los fondos sustraídos. Le adelanto que, más allá del susto económico, este incidente vuelve a poner sobre la mesa la fragilidad de las supply chains digitales y la creciente sofisticación del cibercrimen que opera sin cara visible.

El modus operandi: un script malicioso en el frontend a través de un proveedor externo

No ha habido que forzar cerraduras. El atacante no ha vulnerado los servidores de Polymarket ni ha roto su arquitectura de contratos inteligentes. El golpe ha sido quirúrgico y ha pivotado sobre la confianza en un tercero: un proveedor de servicios frontend comprometido que inyectó un fragmento de JavaScript malicioso en la web oficial de la plataforma. Ese código se encargaba de sustituir, en tiempo real, las direcciones de los contratos que el usuario aprobaba con su monedero, redirigiendo los fondos a una cartera controlada por el atacante.

La mecánica, explica la firma de seguridad blockchain PeckShield, fue una campaña de phishing dirigida, incrustada en una experiencia de usuario que parecía legítima. A los ojos de la víctima, todo ocurría dentro de Polymarket.com: el dominio era el correcto, el certificado SSL intacto y la interfaz idéntica a la de siempre. Solo el payload del ataque —una modificación sutil del destino de la transacción— delataba la operación, pero para entonces los fondos ya estaban volando hacia la red de Ethereum.

Según los datos de Bubblemaps, firma especializada en análisis visual de la cadena, el incidente afectó a menos de quince cuentas, una selectividad que apunta a un atacante con inteligencia previa sobre los monederos objetivo. Los fondos sustraídos —alrededor de 3 millones de dólares en la stablecoin ParyonUSD— se pasearon primero por Polygon, se puentearon luego a Ethereum y finalmente se convirtieron en 1.893 Ether, la criptomoneda que, por liquidez y opacidad relativa, sigue siendo el refugio favorito de los ciberdelincuentes.

Polymarket ha insistido en que su infraestructura central y sus servidores no fueron tocados. Es un detalle que, lejos de tranquilizar, subraya la naturaleza del ataque: el eslabón más débil no era el código interno, sino la cadena de confianza con un socio externo. Y ese es, precisamente, el talón de Aquiles de la economía digital actual.

El atacante no forzó la cerradura: pidió educadamente que le abrieran la puerta desde dentro, y la puerta se abrió.

De hecho, Polymarket no ha detallado qué proveedor fue el comprometido ni cuánto tiempo estuvo activo el código malicioso. La ausencia de información técnica pública impide, por ahora, una atribución sólida. Pero la lógica del oficio me invita a descartar el simple oportunismo: una infraestructura temporal de phishing masivo no selecciona quince cuentas con esa precisión. Aquí hay trabajo de reconocimiento previo, probablemente semanas de vigilancia sobre los hábitos de las víctimas.

El historial de los ataques a la cadena de suministro y el ecosistema cripto

Ya advertí en El quinto elemento que el próximo 11S empezará con un clic y se incubará en el software de un proveedor que nadie audita. El ataque contra Polymarket no es un cisne negro; es la enésima reedición de un patrón que el oficio conoce bien: SolarWinds en 2020, el sabotaje de Kaseya en 2021 o el compromiso de 3CX en 2023. En todos los casos, la confianza depositada en un tercero se convirtió en el vector de entrada. Lo peculiar aquí es que el objetivo no era una agencia gubernamental ni una multinacional, sino un mercado de predicción que mueve miles de millones de dólares y que, por su naturaleza, se ha convertido en un barómetro informal de la geopolítica y la macroeconomía.

Polymarket, valorada en 9.000 millones de dólares y con un volumen de operaciones que ya rivaliza con algunas exchanges medianas, ha sido utilizada por analistas, periodistas e incluso por servicios de inteligencia como fuente de señales sobre eventos mundiales. Atacar su frontend no solo busca dinero rápido; el daño reputacional a una plataforma que vive de la percepción de integridad puede ser, a largo plazo, mucho más valioso para un adversario paciente.

Dicho sea de paso, la comunidad de seguridad blockchain ha reaccionado con la velocidad esperable: PeckShield y Bubblemaps publicaron sus análisis en cuestión de horas. Pero la atribución última, esa que permitiría señalar a un grupo concreto —ya sea un sindicato criminal, Lazarus Group o un actor estatal encubierto— sigue pendiente. Sin la colaboración activa de Polymarket con las fuerzas de seguridad, el rastro se enfriará en los mixers de Ethereum y en los exchanges descentralizados.

Mientras tanto, los usuarios afectados verán reembolsados sus fondos gracias a la decisión de la empresa. Es un gesto que pocas plataformas centralizadas han asumido en los últimos años y que, en mi opinión, obedece menos a la generosidad que a la necesidad de salvar el modelo de negocio. Si la confianza en la integridad del frontend se evapora, la liquidez de Polymarket se esfumará con ella. Así de sencillo.

Dossier Moncloa: Ojos en la Sombra

La operación contra Polymarket es un ciberataque de cadena de suministro (supply chain attack) ejecutado mediante la inyección de un script malicioso en el frontend a través de un proveedor de servicios comprometido. El atacante no buscaba el robo masivo indiscriminado, sino la exfiltración quirúrgica de fondos de una pequeña cohorte de monederos, lo que sugiere un trabajo de inteligencia previo y un conocimiento detallado de la plataforma. Estimo, por tanto, que el nivel de clasificación del material involucrado —los registros de acceso al proveedor, los logs del frontend y los informes internos de la investigación— alcanzaría al menos la categoría de Confidencial, si no superior, dada la sensibilidad del incidente para la estabilidad de los mercados de predicción.

En cuanto a las agencias implicadas, la defensora evidente es el equipo de seguridad de Polymarket, junto con las firmas forenses como PeckShield y Bubblemaps que han mapeado el flujo de fondos. El atacante, sin atribución oficial, podría encajar en el perfil de un actor criminal con recursos —tal vez afiliado a un grupo de habla rusa o al ecosistema Lazarus—, aunque no descarto la posibilidad de una false flag destinada a minar la credibilidad de una plataforma que, en los últimos meses, ha anticipado con una precisión incómoda movimientos geopolíticos sensibles. Los terceros que miran con atención son obvios: la Unidad de Ciberinteligencia del CCN-CERT, que monitoriza este tipo de incidentes para proteger las infraestructuras críticas españolas, y las agencias de la alianza Five Eyes, siempre atentas a cualquier debilidad en la arquitectura financiera descentralizada.

Si tuviera que apostar —y valga la ironía—, diría que el verdadero beneficiario de este ataque no es quien se llevó los 1.893 Ether, sino quien consiga erosionar la fiabilidad de un mercado que, a ojos de ciertos Estados, ofrece demasiada transparencia predictiva. En el tablero del ciberespionaje económico, desacreditar un oráculo vale más que robar un millón de dólares. Y ese riesgo, sin pruebas tangibles, es el que me obliga a mantener todas las hipótesis abiertas.

Termino con un hito concreto: la próxima publicación del informe anual del Centro Criptológico Nacional (CCN-CERT) sobre amenazas en el sector fintech —prevista para septiembre de este año— probablemente elevará el nivel de alerta sobre ataques a proveedores de servicios digitales. Si para entonces Polymarket no ha desvelado la identidad del proveedor comprometido, la comunidad de inteligencia seguirá moviéndose en la penumbra. Como casi siempre.