Hackers patrocinados por el estado chino apuntan a periodistas y grupos de la sociedad civil

Investigadores de Citizen Lab y el Consorcio Internacional de Periodistas de Investigación (ICIJ) han expuesto una operación de espionaje digital a gran escala vinculada a China que apuntó sistemáticamente a periodistas, activistas uigures y tibetanos, y funcionarios del gobierno de Taiwán. La campaña utilizó más de 100 dominios maliciosos y mensajes de phishing generados por inteligencia artificial diseñados para robar credenciales de inicio de sesión y obtener acceso no autorizado a cuentas de correo electrónico, archivos y listas de contactos.

La escala y sofisticación de esta operación la ubican entre las campañas de vigilancia patrocinadas por el estado más significativas documentadas en los últimos años. También plantea serias preguntas sobre la vulnerabilidad de los grupos de la sociedad civil, las organizaciones de medios independientes y las comunidades de minorías étnicas que habitualmente operan bajo presión estatal.

Cómo funcionó el ataque

Los atacantes dependieron en gran medida del phishing, un método que engaña a los objetivos para que entreguen sus nombres de usuario y contraseñas haciéndose pasar por servicios o contactos de confianza. Lo que hace notable a esta campaña es el uso reportado de mensajes generados por inteligencia artificial, que permiten a los atacantes producir comunicaciones altamente convincentes y gramaticalmente correctas a escala, reduciendo una de las barreras tradicionales para un phishing efectivo.

Una vez obtenidas las credenciales, los atacantes podían acceder silenciosamente a las bandejas de entrada del correo electrónico, recopilar listas de contactos y leer archivos confidenciales sin activar alertas evidentes. Este tipo de acceso es particularmente dañino para los periodistas de investigación, cuyas comunicaciones con fuentes y documentos no publicados pueden quedar expuestos, y para los activistas cuyas redes de contactos podrían ser identificadas y puestas en riesgo.

El uso de más de 100 dominios maliciosos sugiere una operación con abundantes recursos. Distribuir la infraestructura entre muchos dominios hace más difícil que los equipos de seguridad bloqueen la campaña apuntando a una sola fuente, y permite a los atacantes rotar rápidamente si se detectan dominios individuales.

Quiénes fueron los objetivos y por qué importa

Los objetivos de esta campaña comparten un hilo conductor: todos son grupos que las autoridades chinas tienen fuertes motivaciones políticas para vigilar. El ICIJ es conocido principalmente por publicar grandes investigaciones financieras, incluidos los Papeles de Panamá y los Papeles de Pandora. Las comunidades uigures y tibetanas han sido objeto de vigilancia digital durante mucho tiempo, con Citizen Lab documentando múltiples campañas anteriores contra ambos grupos. Los funcionarios del gobierno de Taiwán representan un objetivo geopolíticamente sensible dada la continua tensión en el estrecho.

Este no es un incidente aislado. Citizen Lab, con sede en la Universidad de Toronto, ha documentado docenas de campañas a lo largo de los años dirigidas a disidentes, periodistas y grupos minoritarios con vínculos con China. Lo que ilustra este último caso es que los métodos están evolucionando. La incorporación de herramientas de inteligencia artificial en las operaciones de phishing sugiere que incluso los objetivos digitalmente cautelosos pueden tener más dificultades para distinguir los mensajes maliciosos de los legítimos.

Para las organizaciones de la sociedad civil, las implicaciones van más allá de las cuentas individuales. Cuando la bandeja de entrada de un periodista es comprometida, las fuentes pueden ser identificadas. Cuando se recopila la lista de contactos de un activista, toda una red se vuelve visible para un actor estatal hostil. El daño rara vez se limita a la persona directamente atacada.

Qué significa esto para usted

Si trabaja en periodismo, activismo o cualquier campo donde las comunicaciones sensibles son habituales, esta campaña es un recordatorio claro de que el robo de credenciales es una de las herramientas más efectivas disponibles para los atacantes patrocinados por el estado. No es necesario ser un objetivo de alto perfil para quedar atrapado en una amplia red de vigilancia.

Varios pasos prácticos pueden reducir significativamente su exposición:

  • Use llaves de seguridad de hardware o autenticación de dos factores basada en aplicaciones. Los ataques de phishing que roban contraseñas son mucho menos efectivos cuando se requiere un segundo factor para completar un inicio de sesión. Las llaves de hardware en particular son muy resistentes al phishing.
  • Sea escéptico ante solicitudes de inicio de sesión inesperadas. Los mensajes de phishing generados por inteligencia artificial pueden parecer convincentes, pero la solicitud en sí misma —pedirle que verifique sus credenciales o inicie sesión a través de un enlace desconocido— es la señal de alerta.
  • Use herramientas de comunicación cifradas para conversaciones sensibles. El correo electrónico es inherentemente difícil de proteger. Las aplicaciones de mensajería con cifrado de extremo a extremo ofrecen una protección significativamente más sólida para las comunicaciones con fuentes y la coordinación confidencial.
  • Audite el acceso a sus cuentas con regularidad. Compruebe qué dispositivos y aplicaciones tienen acceso a su correo electrónico y almacenamiento en la nube. Revoque todo lo que no reconozca.
  • Considere usar una VPN al acceder a cuentas sensibles en redes públicas o no confiables. Una VPN no previene el phishing, pero sí protege su tráfico de la interceptación a nivel de red, lo cual importa cuando su modelo de amenazas incluye actores a nivel estatal.

Las campañas de phishing patrocinadas por el estado como esta están diseñadas para ser invisibles. Las credenciales son robadas, el acceso se mantiene silenciosamente y los objetivos a menudo no tienen idea de que han sido comprometidos hasta que ya se ha producido un daño significativo. Comprender cómo funcionan estas operaciones es el primer paso para protegerse a usted mismo y a su red.

Para periodistas, activistas y cualquier persona cuyo trabajo los ponga en la mira de un adversario motivado, la seguridad digital no es un aspecto técnico secundario. Es una parte fundamental de operar con seguridad. Revisar sus prácticas de autenticación y sus hábitos de comunicación ahora, antes de que ocurra un incidente, es la defensa más efectiva disponible.