Más allá del cortafuegos: cómo Rusia ataca el WiFi de los hoteles y las elecciones alemanas en una nueva ofensiva híbrida
Rusia lanza una ofensiva híbrida que combina el ciberespionaje contra redes WiFi de hoteles y una campaña de desinformación dirigida a las elecciones alemanas, explotando vulnerabilidades en los espacios entre instituciones.
Las dos operaciones recurren a tácticas diferentes, pero siguen la misma lógica estratégica: evitar las defensas más sólidas y explotar los espacios donde los gobiernos y las empresas occidentales son más difíciles de proteger.
Convertir el WiFi de los hoteles en una herramienta de inteligencia
La operación, conocida como "CaptiveCrunch", supone un paso más en la evolución de Midnight Blizzard, el grupo de espionaje patrocinado por el Estado ruso, también rastreado como Storm-2945 y vinculado a NOBELIUM y Cozy Bear.
En lugar de intentar vulnerar los sistemas corporativos fuertemente protegidos, el grupo ha centrado su atención en algo mucho menos seguro: las redes públicas que los viajeros de negocios utilizan a diario.
Según Microsoft, los atacantes se apoderan de las páginas legítimas de inicio de sesión de los portales cautivos, las pantallas que los usuarios encuentran antes de conectarse al WiFi del hotel o de la conferencia. Una vez que las víctimas introducen sus datos, las credenciales de Microsoft 365 pueden ser robadas antes de que el ataque pase a su siguiente fase.
Esa segunda fase depende menos de la sofisticación técnica que de la persuasión.
Se pide a las víctimas que instalen lo que parece ser una actualización rutinaria de Windows o del navegador. En realidad, la descarga entrega un software malicioso que establece silenciosamente un acceso a largo plazo al dispositivo.
La campaña utiliza dos herramientas principales. El troyano de acceso remoto CornFlake permite a los atacantes mantener un control persistente, mientras que el infostealer de PowerShell ChocoShell está diseñado para robar credenciales, cookies de sesión y archivos. También puede registrar pulsaciones de teclado, activar micrófonos y cámaras, y apuntar a dispositivos Android.
Para los servicios de inteligencia, el robo inmediato de contraseñas es solo parte de la recompensa.
Las cuentas comprometidas de Microsoft 365 pueden proporcionar una vía de acceso al entorno de nube más amplio de una organización, dando a los atacantes un acceso que se extiende mucho más allá del portátil conectado a la red del hotel. Un empleado puede abandonar la conferencia, volver al trabajo y seguir utilizando el mismo dispositivo, sin saber que la vigilancia continúa.
Eso hace que la estancia en el hotel sea solo el comienzo de la operación, no su final.
El nuevo perímetro está en todas partes
Durante años, la estrategia de ciberseguridad se centró en defender la infraestructura corporativa de la intrusión externa. A medida que esas defensas se volvieron más resistentes, los atacantes se adaptaron.
CaptiveCrunch ilustra ese cambio. En lugar de enfrentarse directamente a redes endurecidas, los operadores rusos apuntan a las personas que se mueven entre ellas.
Los viajes de negocios se han convertido en parte del perímetro de seguridad empresarial, aunque las empresas tienen poco control sobre la infraestructura en la que confían sus empleados cuando están fuera de la oficina.
Eso cambia la naturaleza de la ciberdefensa.
La suposición tradicional -que un usuario de confianza dentro de la red es inherentemente menos arriesgado que alguien externo- se ha vuelto cada vez más difícil de sostener. Las organizaciones se ven empujadas hacia la verificación continua de usuarios y dispositivos, independientemente de dónde se conecten.
La campaña también pone de relieve una realidad más simple: las personas siguen siendo más fáciles de manipular que los sistemas bien defendidos.
Una actualización de software convincente presentada en el momento adecuado puede lograr lo que meses de sondeo contra un cortafuegos corporativo no pueden.
Las elecciones alemanas se convierten en parte del mismo campo de batalla
La campaña cibernética se desarrolla junto a otra operación rusa que apunta a una vulnerabilidad diferente: la confianza pública.
Las agencias de seguridad alemanas dicen que están monitoreando una campaña de desinformación ampliada, conocida como "Matryoshka" o "Overload", antes de las elecciones estatales de septiembre en Berlín, Sajonia-Anhalt y Mecklemburgo-Pomerania Occidental. Mientras que CaptiveCrunch busca acceso a la información, Matryoshka está diseñada para dar forma al entorno político en el que existe esa información.
La campaña está organizada centralmente desde Rusia a través de empresas intermediarias especializadas. Más de 180 publicaciones y videos fabricados ya han aparecido en X, Bluesky y TikTok, según funcionarios alemanes y medios europeos.
El enfoque es familiar, pero cada vez más pulido.
En lugar de depender de cuentas anónimas de propaganda, la operación imita a organizaciones de noticias de confianza. Las publicaciones llevan la marca de medios como BBC, ARD, Deutsche Welle y Frankfurter Allgemeine Zeitung, haciendo que las historias falsas parezcan creíbles a primera vista. Esas historias acusan a políticos de los partidos gobernantes de Alemania -CDU, SPD, Verdes y FDP- de delitos que van desde la mala conducta financiera hasta el acoso sexual.
El objetivo no es tanto convencer a los votantes de que cada acusación es verdadera, sino crear un flujo constante de dudas en torno a las figuras políticas dominantes.
Esa dinámica beneficia inevitablemente a Alternativa para Alemania (AfD), cuyo liderazgo ha argumentado repetidamente a favor de restablecer los lazos políticos con Moscú.
El momento no es casual. Las elecciones regionales de septiembre podrían dar a la AfD su mejor resultado hasta la fecha, particularmente en Sajonia-Anhalt, donde el partido tiene una oportunidad real de liderar un gobierno estatal.
Para los funcionarios europeos, eso plantea preocupaciones que van mucho más allá de la política interna alemana.
A principios de este año, diplomáticos europeos advirtieron que la participación de la AfD en los gobiernos estatales podría crear nuevas oportunidades para la inteligencia rusa. El sistema federal de Alemania da a las administraciones regionales acceso a material sensible de la UE a través de estructuras legislativas y gubernamentales, lo que hace que las elecciones a nivel estatal sean estratégicamente más importantes de lo que podrían parecer.
Dos campañas, una estrategia
Vistos de forma independiente, un WiFi de hotel hackeado y un video político falso tienen poco en común.
Vistos juntos, revelan un patrón consistente.
En lugar de intentar dominar directamente a las instituciones occidentales, la inteligencia rusa explota los sistemas que las conectan. Los funcionarios que viajan dependen de redes que no controlan. El debate democrático depende cada vez más de plataformas comerciales de redes sociales que luchan por mantener a raya la desinformación coordinada.
Esos espacios se han vuelto atractivos precisamente porque están fuera del perímetro de seguridad tradicional.
Irrumpir en la red de un ministerio es difícil. Comprometer el portátil de un diplomático que se aloja en un hotel puede ser considerablemente más fácil. Manipular el recuento de votos probablemente desencadenaría una crisis política inmediata; inundar las redes sociales con escándalos fabricados puede erosionar gradualmente la confianza sin tocar nunca la infraestructura electoral en sí.
Ese cambio ha difuminado la vieja distinción entre seguridad externa e interna.
Las redes empresariales ahora se extienden a los vestíbulos de los hoteles y los centros de conferencias. Las elecciones regionales, antes consideradas en gran medida asuntos internos, se han convertido en otro escenario donde se desarrolla la competencia geopolítica.
Las defensas de Europa tienen que adaptarse
Los funcionarios de los Ministerios del Interior y de Asuntos Exteriores de Alemania dicen que están siguiendo activamente la campaña Matryoshka a medida que se acercan las elecciones regionales. Su respuesta se desarrolla junto a un debate más amplio en Bruselas sobre cómo Europa debe lidiar con la interferencia extranjera que ya no encaja perfectamente ni en la ciberseguridad ni en la ley electoral.
El Parlamento Europeo ha pedido repetidamente una aplicación más estricta de la Ley de Servicios Digitales, un mayor monitoreo de la manipulación e interferencia de la información extranjera (FIMI) a través del Servicio Europeo de Acción Exterior, y sanciones más amplias contra las herramientas utilizadas en operaciones híbridas. Se espera que esas propuestas alimenten las discusiones en torno al vigésimo paquete de sanciones de la UE.
La dimensión cibernética está cambiando igual de rápido.
Proteger la sede de una empresa ya no es suficiente si los empleados trabajan regularmente desde aeropuertos, hoteles y lugares de conferencias. Se espera cada vez más que las organizaciones construyan seguridad en torno al usuario en lugar de la oficina, confiando en la autenticación multifactor resistente al phishing, conexiones VPN cifradas, enrutadores de viaje dedicados y controles más estrictos sobre las actualizaciones de software fuera de los entornos gestionados.
Midnight Blizzard ha sido vinculado a algunas de las operaciones de espionaje ruso más significativas de los últimos años, incluido el compromiso de SolarWinds. CaptiveCrunch apunta a una evolución más silenciosa de ese manual. En lugar de buscar una sola brecha espectacular, el grupo parece favorecer innumerables interacciones rutinarias que atraen poca atención por sí solas, pero que pueden proporcionar acceso duradero a sistemas gubernamentales y corporativos.
El mismo principio subyace a la campaña Matryoshka.
Ninguna de las dos operaciones depende de atacar la parte más fuerte del sistema. Ambas buscan los vacíos entre las instituciones: la red del hotel en la que confía un funcionario de viaje, el feed de redes sociales en el que confía un votante, el logotipo de noticias familiar que hace que una historia fabricada parezca auténtica.
Eso se está convirtiendo en una de las características definitorias del conflicto híbrido moderno. La contienda ya no se limita a las redes gubernamentales o la infraestructura militar. Cada vez se desarrolla más a través de los servicios digitales ordinarios que gobiernos, empresas y ciudadanos utilizan a diario, donde la línea entre conveniencia y vulnerabilidad a menudo es difícil de ver hasta que ya se ha cruzado.