Frutícola Olmué aparece en una presunta publicación de ransomware atribuida a Qilin

El grupo de ransomware Qilin habría incluido a Frutícola Olmué dentro de publicaciones recientes asociadas a posibles víctimas de operaciones ransomware.

La información observada relaciona a la organización con Chile e incluye referencias a infraestructura aparentemente asociada al dominio corporativo de la empresa.

Hasta el momento, no existen antecedentes públicos confirmados respecto al alcance real del eventual incidente, posible afectación operacional o compromiso de información. La información disponible corresponde a publicaciones realizadas por terceros y no ha sido verificada de forma independiente por este medio.

Actividad asociada al grupo Qilin

Qilin es un actor vinculado a operaciones de ransomware y doble extorsión. Este tipo de grupos suele publicar nombres de organizaciones presuntamente afectadas en sitios utilizados para ejercer presión extorsiva.

Las operaciones ransomware normalmente consideran:

• Accesos remotos comprometidos
• Abuso de credenciales filtradas
• Movimiento lateral dentro de la red
• Exfiltración de información
• Cifrado de sistemas

La sola aparición de una organización en sitios de filtración no permite confirmar de manera independiente el nivel de compromiso o impacto asociado.

Indicadores de Compromiso (IoC)

Dominios observados

Direcciones IP observadas

Observables

Riesgos para empresas del sector alimenticio y productivo

Las empresas vinculadas a producción de alimentos, logística y distribución pueden enfrentar impactos relevantes frente a campañas ransomware debido a la dependencia de plataformas administrativas, sistemas productivos y operaciones logísticas críticas.

Un eventual incidente de este tipo podría afectar:

• Continuidad operacional
• Sistemas administrativos y productivos
• Procesos logísticos y distribución
• Información corporativa sensible
• Relación con proveedores y clientes

Las organizaciones con accesos remotos expuestos, controles débiles sobre privilegios administrativos o segmentación insuficiente suelen presentar mayor superficie de exposición frente a este tipo de amenazas.

Medidas de mitigación específicas

• Aplicar MFA: exigir autenticación multifactor en VPN, correo corporativo y accesos administrativos.
• Restringir exposición remota: limitar RDP, paneles administrativos y accesos publicados hacia Internet.
• Monitorear credenciales comprometidas: revisar exposición de cuentas corporativas y accesos privilegiados.
• Segmentar redes: separar entornos administrativos, productivos y servidores críticos.
• Fortalecer EDR/XDR: detectar comportamiento asociado a ransomware y movimiento lateral.
• Actualizar sistemas expuestos: priorizar parchado de VPN, firewalls y aplicaciones críticas.
• Validar respaldos: mantener copias offline o inmutables y probar regularmente su recuperación.
• Monitorear actividad anómala: revisar autenticaciones sospechosas y uso anómalo de cuentas privilegiadas.
• Preparar respuesta a incidentes: definir procedimientos de contención, análisis forense y continuidad operacional.

Fuente

La información fue observada en publicaciones asociadas a monitoreo de ransomware:

https://www.ransomware.live/id/RnJ1dGNvbGEgT2xtdcOpQHFpbGlu

Nota editorial: La información presentada se basa en fuentes abiertas y publicaciones realizadas por terceros. Este medio no ha verificado de forma independiente la ocurrencia, alcance o impacto del incidente descrito.

Rodrigo Zamora Nelson

Rodrigo Zamora Nelson desarrolla su trabajo en torno a la ciberseguridad, la seguridad de la información y la gestión de riesgos tecnológicos. Su enfoque combina análisis técnico, visión de gobierno y comprensión del impacto que los incidentes de seguridad pueden generar en la operación, continuidad y reputación de una empresa.

Sus principales áreas de interés incluyen la respuesta estratégica a incidentes, la evaluación de controles de seguridad, el análisis de amenazas, la auditoría de seguridad, la continuidad operacional y la definición de lineamientos para fortalecer capacidades defensivas en entornos corporativos.

También participa en programas de formación profesional vinculados a ciberseguridad, ciberdefensa y respuesta a incidentes, aportando a la transferencia de conocimiento técnico y estratégico hacia profesionales del área.

alldefense.cl

APT73 dice haber comprometido a seit.cl en Chile

El grupo identificado como APT73 habría publicado a seit.cl como presunta víctima dentro de registros asociados a operaciones de ransomware.

La información observada relaciona a la organización con Chile y con infraestructura aparentemente asociada al dominio corporativo de la compañía. Según los antecedentes publicados por la fuente consultada, seit.cl correspondería a una empresa vinculada al sector tecnológico y servicios TI.

Hasta el momento, no existen antecedentes públicos confirmados respecto al alcance real del eventual incidente, posible afectación operacional o compromiso de información. La información disponible corresponde a publicaciones realizadas por terceros y no ha sido verificada de forma independiente por este medio.

Actividad atribuida a APT73

APT73 es un actor que habría sido asociado a operaciones de ransomware y extorsión digital. Este tipo de grupos suele publicar nombres de organizaciones presuntamente afectadas en sitios de filtración utilizados como mecanismo de presión.

Las operaciones atribuidas a actores ransomware generalmente incluyen:

• Compromiso de accesos remotos
• Abuso de credenciales filtradas
• Movimiento lateral dentro de la red
• Exfiltración de información
• Cifrado de sistemas y presión extorsiva

La publicación de una organización dentro de un sitio de filtración no permite confirmar de forma independiente el nivel de compromiso o impacto asociado.

Indicadores de Compromiso (IoC)

Dominios observados

Direcciones IP observadas

Observables

Riesgos para empresas tecnológicas y proveedores TI

Las empresas del sector tecnológico y proveedores de servicios TI suelen representar objetivos atractivos para actores ransomware debido al acceso privilegiado que pueden mantener sobre infraestructura de clientes, plataformas corporativas y servicios críticos.

Un eventual compromiso de este tipo podría impactar:

• Continuidad operacional
• Disponibilidad de plataformas y servicios
• Información corporativa y técnica
• Relación con clientes y terceros
• Infraestructura administrada remotamente

Las organizaciones que operan servicios remotos, VPN, herramientas RMM o accesos administrativos centralizados suelen enfrentar un mayor nivel de exposición frente a campañas ransomware.

Medidas de mitigación específicas

• Aplicar MFA: exigir autenticación multifactor en VPN, correo corporativo, paneles administrativos y plataformas críticas.
• Restringir accesos remotos: limitar exposición de RDP, SSH y herramientas administrativas hacia Internet.
• Monitorear credenciales comprometidas: revisar filtraciones de cuentas corporativas y accesos privilegiados.
• Segmentar redes: separar infraestructura administrativa, servidores críticos y entornos de clientes.
• Fortalecer EDR/XDR: detectar comportamiento asociado a ransomware, movimiento lateral y ejecución remota.
• Actualizar sistemas expuestos: priorizar parchado de VPN, firewalls, hipervisores y plataformas web.
• Validar respaldos: mantener copias offline o inmutables y probar regularmente los procesos de recuperación.
• Monitorear actividad sospechosa: revisar autenticaciones anómalas, conexiones fuera de horario y uso indebido de privilegios.
• Preparar respuesta a incidentes: definir procedimientos para contención, análisis forense y continuidad operacional.

Fuente

La información fue observada en publicaciones asociadas a monitoreo de ransomware:

https://www.ransomware.live/id/c2VpdC5jbEBhcHQ3Mw

Nota editorial: La información presentada se basa en fuentes abiertas y publicaciones realizadas por terceros. Este medio no ha verificado de forma independiente la ocurrencia, alcance o impacto del incidente descrito.

Rodrigo Zamora Nelson

Rodrigo Zamora Nelson desarrolla su trabajo en torno a la ciberseguridad, la seguridad de la información y la gestión de riesgos tecnológicos. Su enfoque combina análisis técnico, visión de gobierno y comprensión del impacto que los incidentes de seguridad pueden generar en la operación, continuidad y reputación de una empresa.

Sus principales áreas de interés incluyen la respuesta estratégica a incidentes, la evaluación de controles de seguridad, el análisis de amenazas, la auditoría de seguridad, la continuidad operacional y la definición de lineamientos para fortalecer capacidades defensivas en entornos corporativos.

También participa en programas de formación profesional vinculados a ciberseguridad, ciberdefensa y respuesta a incidentes, aportando a la transferencia de conocimiento técnico y estratégico hacia profesionales del área.

alldefense.cl

El grupo de ransomware Qilin habría publicado a Calidra como presunta víctima dentro de sus registros recientes asociados a operaciones de ransomware.

La información observada relaciona a la organización con Chile e incluye referencias a infraestructura aparentemente asociada al dominio corporativo de la empresa.

Hasta el momento, no existen antecedentes públicos confirmados respecto al alcance real del eventual incidente, posible afectación operacional o compromiso de información. La información disponible corresponde a publicaciones realizadas por terceros y no ha sido verificada de forma independiente por este medio.

Actividad atribuida a Qilin

Qilin es un grupo asociado a operaciones de ransomware y doble extorsión. Este tipo de actores suele publicar nombres de organizaciones presuntamente afectadas en sitios de filtración utilizados como mecanismo de presión.

Las campañas atribuidas a grupos ransomware generalmente consideran:

• Acceso inicial mediante credenciales comprometidas
• Explotación de servicios expuestos a Internet
• Movimiento lateral dentro de la red
• Exfiltración de información
• Cifrado de sistemas

La sola publicación de una organización en un sitio de filtración no permite confirmar de manera independiente el nivel de compromiso o impacto asociado.

Indicadores de Compromiso (IoC)

Dominios observados

Direcciones IP observadas

Observables

Riesgos asociados a campañas ransomware

Las operaciones ransomware continúan afectando organizaciones de distintos sectores en Latinoamérica. Este tipo de incidentes puede impactar:

• Continuidad operacional
• Disponibilidad de sistemas críticos
• Información corporativa sensible
• Procesos productivos y administrativos
• Relación con clientes y proveedores

Las organizaciones con servicios remotos expuestos, controles débiles sobre privilegios administrativos o deficiencias en monitoreo suelen enfrentar mayor nivel de exposición frente a este tipo de amenazas.

Medidas de mitigación específicas

• Aplicar MFA: exigir autenticación multifactor en VPN, correo, accesos administrativos y servicios críticos.
• Restringir RDP: evitar exposición directa de escritorios remotos hacia Internet.
• Monitorear credenciales filtradas: revisar exposición de cuentas corporativas en filtraciones públicas.
• Segmentar redes: limitar movimiento lateral entre estaciones de trabajo y sistemas críticos.
• Fortalecer EDR/XDR: detectar comportamiento asociado a ransomware y cifrado masivo.
• Validar respaldos: mantener copias offline o inmutables y probar regularmente su restauración.
• Actualizar sistemas expuestos: priorizar parchado de VPN, firewalls y aplicaciones publicadas.
• Monitorear actividad anómala: revisar autenticaciones sospechosas y uso anómalo de cuentas privilegiadas.
• Preparar respuesta a incidentes: contar con procedimientos de contención, análisis forense y recuperación.

Fuente

La información fue observada en publicaciones asociadas a monitoreo de ransomware:

https://www.ransomware.live/id/Q2FsaWRyYUBxaWxpbg

Nota editorial: La información presentada se basa en fuentes abiertas y publicaciones realizadas por terceros. Este medio no ha verificado de forma independiente la ocurrencia, alcance o impacto del incidente descrito.

Rodrigo Zamora Nelson

Rodrigo Zamora Nelson desarrolla su trabajo en torno a la ciberseguridad, la seguridad de la información y la gestión de riesgos tecnológicos. Su enfoque combina análisis técnico, visión de gobierno y comprensión del impacto que los incidentes de seguridad pueden generar en la operación, continuidad y reputación de una empresa.

Sus principales áreas de interés incluyen la respuesta estratégica a incidentes, la evaluación de controles de seguridad, el análisis de amenazas, la auditoría de seguridad, la continuidad operacional y la definición de lineamientos para fortalecer capacidades defensivas en entornos corporativos.

También participa en programas de formación profesional vinculados a ciberseguridad, ciberdefensa y respuesta a incidentes, aportando a la transferencia de conocimiento técnico y estratégico hacia profesionales del área.

alldefense.cl

Campañas SHADOW-AETHER utilizan IA agéntica en operaciones ofensivas

Dos campañas identificadas como SHADOW-AETHER-040 y SHADOW-AETHER-064 han sido asociadas al uso de inteligencia artificial agéntica para ejecutar operaciones ofensivas contra organizaciones de Latinoamérica.

Según la información analizada, SHADOW-AETHER-040 habría comprometido entidades gubernamentales mexicanas entre diciembre de 2025 y enero de 2026, mientras que SHADOW-AETHER-064 habría dirigido operaciones contra instituciones financieras brasileñas desde abril de 2026.

Ambas campañas representan un escenario preocupante para la ciberseguridad regional, ya que evidencian el uso de agentes de inteligencia artificial capaces de ejecutar acciones directamente dentro de redes comprometidas, adaptando herramientas y comandos según el entorno encontrado.

Uso de IA agéntica dentro de redes comprometidas

A diferencia del uso tradicional de inteligencia artificial como apoyo para generación de código o análisis de información, estas operaciones habrían utilizado agentes capaces de actuar de manera autónoma o semiautónoma dentro de las redes de las víctimas.

El análisis indica que los operadores establecieron túneles SOCKS5 utilizando ProxyChains y SSH, permitiendo que los agentes ejecutaran comandos directamente desde infraestructura comprometida.

Este enfoque reduce la necesidad de herramientas precompiladas y permite generar scripts, payloads y utilidades de manera dinámica, dificultando la detección mediante soluciones basadas exclusivamente en firmas o hashes conocidos.

Herramientas y técnicas observadas

Las campañas comparten múltiples herramientas utilizadas habitualmente en operaciones de post-explotación, tunneling y movimiento lateral.

Las similitudes tácticas sugieren un nivel de coordinación o reutilización de metodologías, aunque el análisis disponible indica que podrían tratarse de actores distintos diferenciados principalmente por idioma y región objetivo.

Diferencias entre SHADOW-AETHER-040 y SHADOW-AETHER-064

SHADOW-AETHER-040 presenta actividad vinculada a operadores hispanohablantes y objetivos gubernamentales mexicanos, mientras que SHADOW-AETHER-064 muestra actividad en portugués y orientación hacia instituciones financieras brasileñas.

Los sectores mencionados dentro de la inteligencia asociada incluyen:

• Gobierno
• Finanzas
• Retail
• Aeroespacial

Esto sugiere una expansión progresiva del modelo operativo hacia múltiples industrias críticas de la región.

Indicadores de Compromiso (IoC)

Dominios observados

Direcciones IP observadas

Hashes SHA256 observados
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Observables

Riesgos para organizaciones de Latinoamérica

Estas campañas reflejan una evolución significativa en el uso ofensivo de inteligencia artificial dentro de operaciones de intrusión. La capacidad de generar herramientas dinámicamente, adaptar comandos y operar desde túneles persistentes puede reducir la efectividad de controles basados únicamente en firmas estáticas.

Las organizaciones gubernamentales, financieras y empresas con infraestructura crítica deberían considerar este tipo de operaciones como un escenario emergente de amenaza avanzada.

Medidas de mitigación específicas

• Monitorear túneles SOCKS5 y SSH: detectar conexiones persistentes y túneles reversos no autorizados.
• Bloquear herramientas ofensivas conocidas: generar reglas de detección para Chisel, Neo-reGeorg, CrackMapExec e Impacket.
• Reforzar EDR/XDR: utilizar detección basada en comportamiento y no únicamente en firmas.
• Controlar PowerShell y scripting: monitorear ejecución dinámica de scripts y herramientas compiladas temporalmente.
• Aplicar MFA: proteger VPN, accesos administrativos y servicios críticos.
• Segmentar redes: limitar movimiento lateral entre usuarios, servidores y sistemas críticos.
• Restringir SSH saliente: permitir conexiones solo desde activos autorizados.
• Realizar threat hunting: buscar webshells, túneles HTTP/SOCKS y actividad lateral sospechosa.
• Monitorear credenciales privilegiadas: identificar autenticaciones anómalas y accesos fuera de horario.

Fuente

OpenCTI / inteligencia asociada a SHADOW-AETHER-040 y SHADOW-AETHER-064.

Observables STIX exportados asociados al análisis. :contentReference[oaicite:0]{index=0}

Exportación de indicadores y observables técnicos STIX. :contentReference[oaicite:1]{index=1}

Rodrigo Zamora Nelson

Rodrigo Zamora Nelson desarrolla su trabajo en torno a la ciberseguridad, la seguridad de la información y la gestión de riesgos tecnológicos. Su enfoque combina análisis técnico, visión de gobierno y comprensión del impacto que los incidentes de seguridad pueden generar en la operación, continuidad y reputación de una empresa.

Sus principales áreas de interés incluyen la respuesta estratégica a incidentes, la evaluación de controles de seguridad, el análisis de amenazas, la auditoría de seguridad, la continuidad operacional y la definición de lineamientos para fortalecer capacidades defensivas en entornos corporativos.

También participa en programas de formación profesional vinculados a ciberseguridad, ciberdefensa y respuesta a incidentes, aportando a la transferencia de conocimiento técnico y estratégico hacia profesionales del área.

alldefense.cl

Lotus Wiper es una amenaza destructiva de tipo wiper identificada en una campaña dirigida contra el sector energético y de utilities en Venezuela. A diferencia de un ransomware, su objetivo no sería obtener un pago ni presionar a la víctima mediante extorsión, sino destruir información, afectar la operación y reducir las posibilidades de recuperación de los sistemas comprometidos.

La campaña resulta especialmente relevante porque combina acceso previo al dominio, uso de scripts batch, abuso de herramientas legítimas de Windows y una carga final diseñada para eliminar mecanismos de recuperación, sobrescribir discos físicos y borrar archivos de forma sistemática.

Resumen ejecutivo

Descripción de la amenaza

Lotus Wiper fue identificado como la fase final de una cadena de ataque previamente preparada. La actividad comienza con scripts batch que coordinan la ejecución en equipos unidos al dominio, debilitan defensas, alteran condiciones operativas y preparan el ambiente para ejecutar el malware destructivo.

La amenaza utiliza una lógica distinta a la de un ransomware tradicional. No se observan instrucciones de pago, portales de negociación ni mecanismos de extorsión. Su comportamiento apunta a impedir la recuperación mediante la eliminación de puntos de restauración, la destrucción de datos en discos físicos, el borrado de archivos y la limpieza de registros del sistema de archivos.

Cadena de ataque observada

Observables técnicos

Entidades asociadas

Técnicas MITRE ATT&CK asociadas

Por qué no debe tratarse como ransomware

Un error frecuente en la respuesta a incidentes destructivos es asumir que todo cifrado, pérdida de datos o indisponibilidad corresponde a ransomware. En este caso, el comportamiento descrito corresponde a un wiper: una amenaza cuyo propósito principal es destruir información y dejar sistemas inutilizables.

Esta diferencia es crítica para la toma de decisiones. En un ransomware, la empresa puede enfrentar una negociación, filtración de datos o doble extorsión. En un wiper, el foco principal debe estar en contención, preservación de evidencia, recuperación desde respaldos confiables y reconstrucción segura de la infraestructura afectada.

Señales de alerta para detección

Recomendaciones defensivas

Implicancias para empresas de la región

Aunque el caso observado se concentra en Venezuela y en el sector energético, la técnica resulta relevante para cualquier empresa con infraestructura Windows, dominios Active Directory, recursos compartidos, sistemas legacy o dependencia operacional de respaldos locales.

La principal lección es que un atacante con acceso prolongado al dominio puede preparar una acción destructiva con anticipación, abusar de herramientas legítimas y ejecutar la fase final en un periodo reducido. Por ello, la defensa no debe depender únicamente de indicadores de compromiso, sino también de la detección de comportamiento anómalo, control de privilegios, monitoreo de cambios administrativos y capacidad real de recuperación.

Conclusión

Lotus Wiper representa una amenaza destructiva de alto impacto, especialmente para sectores donde la continuidad operacional es crítica. Su comportamiento muestra una campaña planificada, con preparación previa del entorno, uso de recursos de dominio y ejecución de una carga final orientada a dejar los sistemas en un estado difícil de recuperar.

Para enfrentar amenazas de este tipo, la empresa debe priorizar respaldos recuperables, monitoreo de acciones administrativas, control estricto de privilegios, segmentación de red y procedimientos de respuesta específicos para incidentes destructivos. En estos casos, la pregunta principal no es si existe una nota de rescate, sino si la empresa puede contener, reconstruir y volver a operar con evidencia y respaldos confiables.

Rodrigo Zamora Nelson

Rodrigo Zamora Nelson desarrolla su trabajo en torno a la ciberseguridad, la seguridad de la información y la gestión de riesgos tecnológicos. Su enfoque combina análisis técnico, visión de gobierno y comprensión del impacto que los incidentes de seguridad pueden generar en la operación, continuidad y reputación de una empresa.

Sus principales áreas de interés incluyen la respuesta estratégica a incidentes, la evaluación de controles de seguridad, el análisis de amenazas, la auditoría de seguridad, la continuidad operacional y la definición de lineamientos para fortalecer capacidades defensivas en entornos corporativos.

También participa en programas de formación profesional vinculados a ciberseguridad, ciberdefensa y respuesta a incidentes, aportando a la transferencia de conocimiento técnico y estratégico hacia profesionales del área.

alldefense.cl

Resumen Ejecutivo

Se ha identificado una campaña maliciosa que utiliza un sitio falso de soporte de Windows para distribuir malware orientado al robo de credenciales y datos financieros. La operación se dirige principalmente a usuarios de habla francesa, buscando obtener contraseñas, información bancaria y otros datos sensibles.

La campaña se apoya en técnicas de suplantación de marca para simular servicios legítimos de soporte, generando confianza en las víctimas y facilitando la ejecución del malware.

Descripción General

El ataque utiliza infraestructura web fraudulenta que imita servicios oficiales de soporte técnico. Una vez que el usuario accede al sitio, es inducido a descargar o ejecutar contenido malicioso que instala software diseñado para capturar información sensible.

El malware desplegado presenta capacidades de evasión, ofuscación y persistencia, lo que dificulta su detección mediante controles tradicionales.

Técnicas Asociadas (MITRE ATT&CK)

Entidades Identificadas

Países asociados

Infraestructura asociada

Observables

Evaluación de Riesgo

La campaña representa un riesgo significativo debido a su capacidad de suplantar servicios legítimos ampliamente utilizados. La combinación de ingeniería social y malware especializado permite comprometer credenciales y datos financieros, afectando la confidencialidad y potencialmente la integridad de la información de las víctimas.

Medidas de Mitigación

• Bloquear el dominio identificado en controles de seguridad perimetral.
• Implementar soluciones EDR con capacidades de detección de comportamiento.
• Restringir la ejecución de archivos descargados desde fuentes no confiables.
• Aplicar autenticación multifactor en servicios críticos.
• Capacitar a usuarios para identificar sitios fraudulentos y suplantación de marca.
• Monitorear accesos anómalos y uso indebido de credenciales.

Conclusión

La campaña analizada evidencia el uso de suplantación de marca como vector principal para la distribución de malware orientado al robo de información. La efectividad de este tipo de ataques radica en la confianza del usuario en servicios conocidos, lo que refuerza la necesidad de fortalecer controles técnicos y procesos de concientización.

Rodrigo Zamora Nelson

Rodrigo Zamora Nelson desarrolla su trabajo en torno a la ciberseguridad, la seguridad de la información y la gestión de riesgos tecnológicos. Su enfoque combina análisis técnico, visión de gobierno y comprensión del impacto que los incidentes de seguridad pueden generar en la operación, continuidad y reputación de una empresa.

Sus principales áreas de interés incluyen la respuesta estratégica a incidentes, la evaluación de controles de seguridad, el análisis de amenazas, la auditoría de seguridad, la continuidad operacional y la definición de lineamientos para fortalecer capacidades defensivas en entornos corporativos.

También participa en programas de formación profesional vinculados a ciberseguridad, ciberdefensa y respuesta a incidentes, aportando a la transferencia de conocimiento técnico y estratégico hacia profesionales del área.

alldefense.cl

Resumen Ejecutivo

Se ha identificado una campaña de phishing dirigida a cuentas de TikTok for Business mediante técnicas de adversario en el medio (AitM). La operación utiliza páginas fraudulentas que simulan portales legítimos, incorporando mecanismos como Cloudflare Turnstile para aumentar la credibilidad y evadir controles básicos de detección.

El objetivo principal de la campaña es capturar credenciales de acceso y tomar control de cuentas empresariales, lo que puede derivar en fraude, uso indebido de plataformas publicitarias y afectación reputacional.

Descripción General

La campaña corresponde a una operación estructurada de phishing orientada a usuarios con acceso a plataformas de negocio. Se apoya en infraestructura con múltiples dominios de apariencia legítima, diseñados para simular procesos relacionados con empleo, validaciones o accesos corporativos.

El uso de técnicas AitM permite interceptar credenciales y potencialmente sesiones autenticadas, incrementando significativamente el impacto del ataque.

Técnicas Asociadas (MITRE ATT&CK)

Entidades Identificadas

Sectores

País

Infraestructura asociada

Observables

Evaluación de Riesgo

La campaña representa un riesgo significativo para cuentas corporativas en plataformas digitales. La combinación de ingeniería social, infraestructura distribuida y técnicas AitM permite la captura de credenciales y potencialmente de sesiones activas, comprometiendo la confidencialidad de la información y el control de cuentas empresariales.

Medidas de Mitigación

• Implementar autenticación multifactor resistente al phishing.
• Aplicar controles de acceso condicional basados en contexto.
• Bloquear los dominios identificados en controles perimetrales.
• Capacitar a usuarios en identificación de phishing avanzado.
• Monitorear accesos y cambios en cuentas empresariales.
• Revisar sesiones activas y dispositivos autorizados.
• Implementar detección de secuestro de sesión.

Conclusión

La campaña analizada evidencia una operación de phishing avanzada orientada al compromiso de cuentas de negocio mediante técnicas AitM. La sofisticación de los mecanismos utilizados requiere fortalecer tanto los controles técnicos como la concientización de usuarios, especialmente en entornos donde se gestionan activos digitales críticos.

Rodrigo Zamora Nelson

Rodrigo Zamora Nelson desarrolla su trabajo en torno a la ciberseguridad, la seguridad de la información y la gestión de riesgos tecnológicos. Su enfoque combina análisis técnico, visión de gobierno y comprensión del impacto que los incidentes de seguridad pueden generar en la operación, continuidad y reputación de una empresa.

Sus principales áreas de interés incluyen la respuesta estratégica a incidentes, la evaluación de controles de seguridad, el análisis de amenazas, la auditoría de seguridad, la continuidad operacional y la definición de lineamientos para fortalecer capacidades defensivas en entornos corporativos.

También participa en programas de formación profesional vinculados a ciberseguridad, ciberdefensa y respuesta a incidentes, aportando a la transferencia de conocimiento técnico y estratégico hacia profesionales del área.

alldefense.cl