Un actor de amenazas asegura haber comprometido sistemas relacionados con la Agencia Espacial Española (AEE) y haber obtenido información sensible vinculada a la infraestructura del telescopio espacial XMM-Newton, una misión científica de la Agencia Espacial Europea (ESA) dedicada al estudio de rayos X en el universo.
Según la publicación realizada por el supuesto atacante en un foro de la dark web frecuentado por ciberdelincuentes, entre los datos presuntamente sustraídos habría archivos de calibración utilizados en las operaciones del telescopio, herramientas internas de análisis, entornos de simulación científica y sistemas empleados para desarrollo y pruebas.
El lote de información también incluiría detalles sobre la infraestructura de red, nombres de usuario internos, datos relacionados con accesos y certificados SSL internos. Este tipo de certificados se utilizan habitualmente para proteger comunicaciones y autenticar servicios dentro de una organización.
El atacante, apodado ‘blacknet00’, afirma que llegó a hackear el servidor principal de la agencia en Sevilla. Asegura haber entrado explotando las debilidades de la propia infraestructura de la agencia, ya que el servidor utilizaba programas muy desactualizados y llenos de fallos. Además, dice haber robado el certificado de seguridad de la web (el famoso candado digital que encripta las conexiones), nombres de usuario y herramientas internas que los programadores españoles habían desarrollado para organizar sus archivos desde el año 2006.
El pirata informático ha puesto toda esta -supuesta- información exfiltrada a la venta por 10.000 dólares y afirma que estos datos pueden usarse para chantajear a la agencia, venderlos a otros países o espiar la investigación espacial europea.
Por el momento no existe confirmación oficial sobre la autenticidad de la filtración ni sobre el alcance real del supuesto acceso no autorizado. Tampoco se ha aclarado si los sistemas afectados pertenecen directamente a la Agencia Espacial Española, a la ESA o a algún proveedor o entidad colaboradora vinculada al proyecto XMM-Newton.
ACTUALIZACIÓN 14.00h- Desde Escudo Digital hemos contactado con la agencia para confirmar el incidente. Un portavoz de su departamento de comunicación ha asegurado que sus técnicos han estado toda la mañana investigando y constatan que no han tenido ningún ciberataque. Además, el responsable señala que lo que aparece en el tweet es «completamente falso» y que no han encontrado ningún acceso no autorizado en sus servidores. También le hemos preguntado si puede haberse dado un incidente que afecte a sus datos indirectamente mediante un proveedor, pero señalan que desconocen esa información e insisten en que «nosotros no hemos sufrido ningún ciberataque».
Hay deficiencias, pero no secretos de estado
Desde el punto de vista de la ciberseguridad, el incidente -de confirmarse- sería grave, porque expone debilidades en la infraestructura de la agencia (servidores desactualizados, fuga de credenciales y un presunto certificado comprometido).
Sin embargo, desde el punto de vista del ‘secreto de estado’, la inmensa mayoría de los datos que menciona (como el software SAS, los datos de calibración, las imágenes FITS de XMM-Newton) son, por naturaleza, datos científicos que la ESA y la comunidad astronómica internacional suelen hacer públicos pasado un tiempo para que cualquier científico del mundo pueda investigar.
BLACKNET-00 es una plataforma de ransomware como servicio (RaaS) descrita por la firma KELA Cyber que permite crear y desplegar ransomware de forma automatizada sin conocimientos técnicos, integrando funciones como cifrado, exfiltración de datos y evasión básica. El Infrastructure Destruction Squad (IDS) es un supuesto actor asociado que, actúa principalmente como canal de distribución y promoción de esta herramienta en entornos clandestinos, más que como un grupo cibercriminal estructurado.
El interés de los grupos APT y los ciberdelincuentes por la información aeroespacial está creciendo notablemente en los últimos años. Las agencias espaciales y entidades asociadas han sido objetivos recurrentes de intentos de espionaje, robo de credenciales o intrusiones en sus sistemas a lo largo de los últimos años.
En diciembre la Agencia Espacial Europea (ESA) confirmó una brecha de seguridad que afectó a un número reducido de servidores externos. Según su comunicado, estos sistemas estaban fuera de la red corporativa principal y daban soporte a actividades de ingeniería colaborativa no clasificadas. La ESA indicó que inició un análisis forense, aplicó medidas de contención y notificó a los actores implicados, subrayando que el impacto fue limitado y sin afectación a operaciones críticas.
Acerca del autor
