Las sanciones golpearon a las empresas, pero no a las direcciones IP: Qurium rastrea el resurgir de la red Aeza

Cerrar la empresa resultó más fácil que desactivar la infraestructura a través de la cual operan los ciberdelincuentes. El proveedor de alojamiento Aeza, cuyos servidores se vinculaban con la distribución de malware y la actividad de extorsionadores, conservó una parte significativa de los recursos de red tras las sanciones de Estados Unidos. Además, la investigación de Qurium Media Foundation mostró que el espacio de direcciones vinculado al proveedor creció más de 20 veces en cuatro años.

Aeza proporcionaba servidores y direcciones IP para alojar sitios y servicios en línea. Sin embargo, las autoridades estadounidenses acusaron a la empresa de ofrecer el llamado «alojamiento a prueba de balas». Ese tipo de servicio permite a los propietarios de infraestructura maliciosa ignorar durante más tiempo las quejas sobre fraude, propagación de virus y otras infracciones. Un proveedor habitual en esos casos puede desconectar al cliente, mientras que un servicio «a prueba de balas» hace todo lo posible por mantener los servidores en funcionamiento.

En julio de 2025 el Departamento del Tesoro de EE. UU. impuso sanciones contra Aeza Group y empresas relacionadas. Las autoridades estadounidenses afirmaron que la infraestructura del proveedor era utilizada por operadores de programas que roban información, como Meduza y RedLine, así como por el extorsionador BianLian. Las sanciones limitaron las operaciones con las entidades mencionadas para personas y organizaciones estadounidenses. En noviembre se añadieron otras empresas a las restricciones que, según las autoridades, ayudaban a Aeza a eludir las prohibiciones.

Un año después, Qurium decidió comprobar si las sanciones habían logrado destruir realmente la infraestructura del proveedor. Los autores de la investigación rastrearon la historia de las direcciones IP, las rutas de internet y las empresas que gestionan los recursos de red. Descubrieron que la base técnica no había desaparecido, sino que continuó operando bajo otros nombres y a través de nuevas personas jurídicas.

La escala resultó inesperada. A finales de 2022 la red principal de Aeza contaba con alrededor de 6 400 direcciones IPv4. Para septiembre de 2026 Aeza International y la empresa vinculada NetCrafters utilizaban juntas más de 137 000 direcciones, agrupadas en 536 rangos de red. Qurium estableció once personas jurídicas a través de las cuales se distribuyen más de dos tercios del espacio de direcciones. No obstante, el crecimiento en cuatro años no implica que todas las direcciones nuevas hayan aparecido después de las sanciones.

La posibilidad de transferir recursos de red entre empresas desempeñó un papel clave. Tras las primeras restricciones, parte de las direcciones fueron reasignadas a través de Smart Digital Ideas, y más tarde algunos rangos pasaron a Hypercore. Los proveedores de telecomunicaciones continuaron prestando servicio a la infraestructura que, formalmente, pertenecía a otras personas jurídicas. La historia de enrutamiento permitió detectar vínculos técnicos anteriores.

La investigación no demuestra que las más de 137 000 direcciones sirvan a delincuentes ni que el número de ciberataques aumentara tras las sanciones. Qurium determinó otra cosa: el cambio de propietarios y de nombres no priva necesariamente a una infraestructura peligrosa del acceso a internet. Para combatir el alojamiento malicioso, bloquear una sola persona jurídica puede resultar insuficiente, ya que los servidores, las direcciones y las conexiones de red pueden seguir funcionando bajo una nueva marca.