Hackers presumen «hemos destruido todo», empresas lo achacan a un «fallo de Microsoft»: ¿quién está realmente detrás de los ciberataques iraníes?

Los hackers iraníes actúan con más sigilo de lo que se suele pensar. En lugar de ataques sonoros, mantienen durante años el acceso a sistemas ajenos para usarlo en espionaje, presión o sabotaje en el momento oportuno.

Así lo concluyeron los especialistas de SentinelLABS, que analizaron la actividad cibernética relacionada con Irán durante los primeros meses del conflicto. Según su evaluación, la principal amenaza no proviene de intrusiones aisladas y llamativas, sino de cuentas ya comprometidas, sistemas de administración remota, servicios en la nube y proveedores con amplios privilegios.

Los hackers iraníes no son una estructura única. Las operaciones las llevan a cabo unidades del Ministerio de Inteligencia y Seguridad Nacional, la inteligencia del Cuerpo de Guardianes de la Revolución Islámica y sus unidades cibernéticas, así como grupos vinculados al Estado y atacantes independientes. Cada participante tiene sus propias tareas: desde espionaje y vigilancia de la oposición hasta borrado de datos y ataques a sistemas industriales.

Los grupos MuddyWater, APT34 y APT42 se centran con mayor frecuencia en la recolección encubierta de información. Para infiltrarse usan ofertas de empleo falsas, comunicaciones suplantando a personas de confianza, cuentas en la nube y acceso de proveedores de servicios técnicos. Un buzón de correo comprometido puede revelar vínculos internos de la organización y ayudar a atacar a otros empleados.

Un papel aparte lo desempeñan agrupaciones públicas como Handala Hack Team, Homeland Justice y Karma. Los especialistas las consideran parte de un sistema vinculado a los servicios especiales iraníes. Estos grupos no solo publican datos robados, sino que amenazan a empleados de empresas, exageran la magnitud del daño y tratan de orientar la reacción pública.

En marzo Handala declaró haber atacado al fabricante de equipos médicos Stryker. La empresa confirmó interrupciones en los servicios de Microsoft que afectaron pedidos, producción y entregas. Sin embargo, Stryker no confirmó las afirmaciones de los atacantes sobre la destrucción de un gran número de dispositivos ni sobre una pérdida masiva de datos.

Las amenazas reales también incluyen ataques a sistemas industriales. En abril agencias estadounidenses informaron que atacantes vinculados a Irán interfirieron en el funcionamiento de controladores programables de Rockwell Automation y Allen-Bradley. Los incidentes afectaron instalaciones gubernamentales, el suministro de agua y el sector energético, y en varios casos causaron fallos y pérdidas financieras.

El acceso al panel de control no prueba, por sí solo, que los atacantes hayan logrado modificar el proceso físico. Para confirmar consecuencias graves se necesitan registros de eventos, declaraciones de los operadores y datos de los equipos. Los grupos iraníes con frecuencia publican imágenes de sistemas industriales sin pruebas de control real sobre ellos.

SentinelLABS considera que en el futuro próximo los operadores iraníes seguirán robando credenciales, comprometiendo servicios en la nube y aprovechando el acceso confiable de los proveedores. Un ataque a gran escala contra el sistema energético de Estados Unidos sigue siendo un escenario menos probable. No existen pruebas públicas de preparación para dejar fuera de servicio varias industrias simultáneamente.

Los especialistas aconsejan a las empresas buscar puntos de acceso creados hace tiempo, verificar las autorizaciones de los proveedores y separar los sistemas de respaldo de la infraestructura principal. Precisamente una cuenta corriente con privilegios excesivos puede convertir una intrusión desapercibida en una herramienta de presión durante un conflicto.