El grupo APT28, asociado al GRU ruso (inteligencia militar), ha aprovechado debilidades en routers TP-Link antiguos para infiltrarse en redes de todo el mundo.
La Oficina Federal para la Protección de la Constitución alemana (BfV) lidera este aviso, respaldado por agencias como el FBI o el Centro Nacional de Seguridad Cibernética británico (NCSC).
La amenaza no tiene como objetivo un país concreto, sino que afecta a múltiples regiones, incluyendo Europa del Este, países nórdicos y Norteamérica.
Cómo funciona el ataque: secuestro del DNS y robo de credenciales
El método utilizado por APT28 se basa en el secuestro del sistema de nombres de dominio, conocido como DNS. Este sistema actúa como una especie de guía que traduce direcciones web en direcciones IP.
Cuando los atacantes comprometen este proceso, pueden redirigir el tráfico de los usuarios sin que estos lo perciban.
En la práctica, esto permite interceptar datos clave como credenciales de acceso, contraseñas o tokens de autenticación.
Los usuarios creen estar accediendo a servicios legítimos, pero en realidad están introduciendo su información en plataformas controladas por los atacantes. Este tipo de técnica resulta especialmente peligrosa en entornos corporativos o institucionales.
Miles de dispositivos afectados en todo el mundo
Las investigaciones apuntan a que varios miles de routers han sido comprometidos a nivel global.
En el caso de Alemania, se han identificado alrededor de 30 dispositivos vulnerables, algunos de los cuales ya han confirmado intrusiones reales.
El factor clave en estos ataques es el uso de hardware obsoleto o mal configurado. Muchos de estos routers no cuentan con actualizaciones de seguridad recientes, lo que los convierte en un punto de entrada ideal para actores maliciosos.
La exposición directa a internet de estos dispositivos incrementa aún más el riesgo.
Infraestructuras críticas en el punto de mira
Los sectores más sensibles, agrupados bajo el término Kritis en Alemania, son los principales objetivos de esta campaña. Esto incluye áreas como energía, transporte, telecomunicaciones, sanidad, agua o alimentación.
El interés estratégico de estos ataques no es casual. Acceder a este tipo de infraestructuras permite obtener información valiosa, pero también abre la puerta a posibles sabotajes o interrupciones de servicios esenciales.
Antecedentes del grupo APT28
APT28, también conocido como Fancy Bear, no es un actor nuevo en el panorama de la ciberseguridad.
Se le atribuyen operaciones de alto impacto en los últimos años, como el ataque al Bundestag alemán en 2015, incidentes contra el partido SPD en 2023 o acciones dirigidas al control del tráfico aéreo en 2024.
Este historial confirma un patrón de actividad constante y orientado a objetivos estratégicos. Además, su capacidad para adaptarse a nuevas vulnerabilidades demuestra un alto nivel técnico y una clara vinculación con intereses estatales.
Las autoridades alemanas han iniciado campañas de concienciación dirigidas a operadores de redes para mitigar el impacto de estos ataques. Entre las medidas recomendadas se incluyen la sustitución de routers antiguos, la actualización de firmware y la revisión de configuraciones de seguridad. Y cómo no. La cooperación internacional también juega un papel clave, ya que permite compartir inteligencia y mejorar la capacidad de respuesta.
Acerca del autor
