Este miércoles, un frente inusualmente amplio de organismos de seguridad, encabezado por la Agencia de Seguridad Nacional (NSA), la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) y el FBI, en colaboración con agencias de inteligencia socias, como el CNI español, publicó una advertencia técnica conjunta sobre una campaña de intrusión de “gran escala y alcance global” asociada al aparato de inteligencia de la República Popular China.
El documento, presentado como Asesoría de Ciberseguridad, detalla tácticas, técnicas y procedimientos, y va acompañado de recomendaciones urgentes de mitigación para operadores públicos y privados. La publicación fue coordinada con socios del denominado “Five Eyes” (Australia, Canadá, Estados Unidos, Reino Unido y Nueva Zelanda) y con varios países europeos, entre ellos España, y asiáticos, en una demostración de que el fenómeno trasciende fronteras y sectores.
La advertencia llega tras meses de investigaciones que, según las autoridades, revelan un salto cualitativo: los actores respaldados por el Estado chino habrían pasado de operaciones de ciberespionaje focalizadas a un acceso profundo y persistente a infraestructuras críticas, con especial énfasis en telecomunicaciones, transporte, alojamiento, servicios públicos, incluida la energía y el agua, así como redes gubernamentales y militares.
A diferencia de campañas de “robo puntual” de información, las técnicas observadas buscan vivir dentro de las redes (“living off the land”), camuflándose en herramientas administrativas legítimas, estableciendo puntos de reingreso y reportando configuraciones de dispositivos para compromisos futuros.
Fuentes policiales y de inteligencia indicaron que la campaña, que en su origen afectó a un puñado de compañías estadounidenses, se ha extendido hasta impactar a más de 200 organizaciones en Estados Unidos y a redes en 80 países. Estas intrusiones habrían permitido extraer de forma encubierta datos de comunicaciones, como registros de llamadas, e incluso directivas internas sensibles, afectando a figuras políticas y a múltiples sectores civiles. La advertencia de este miércoles sostiene que el objetivo no es solo la obtención de inteligencia, sino la construcción de una base estratégica para operaciones futuras, incluida la posibilidad de disrupción en momentos de tensión.
La coalición internacional fue más allá de las generalidades y señaló con nombre y apellido a tres empresas chinas, Sichuan Juxinhe Network Technology, Beijing Huanyu Tianqiong Information Technology y Sichuan Zhixin Ruijie Network Technology, por su presunta participación en apoyo de los servicios de inteligencia, entre ellos el Ejército Popular de Liberación y el Ministerio de Seguridad del Estado.
Washington ya había sancionado a una de ellas por su relación con el grupo conocido como “Salt Typhoon”, vinculado a intrusiones masivas en telecomunicaciones. Pekín, por su parte, rechazó las acusaciones, como es habitual en estos casos. La explicitación de empresas privadas como eslabones del ecosistema de ciberoperaciones introduce un elemento económico y legal que podría escalar tensiones comerciales.
El documento técnico de CISA y sus socios, publicado este miércoles, describe con detalle el “modus operandi”: explotación de dispositivos de red, en particular routers y equipos perimetrales de proveedores extendidos en telecomunicaciones, uso de credenciales robadas o débiles, y despliegue de herramientas nativas del sistema para evadir la detección.
Señala también superposiciones parciales con operaciones atribuidas previamente a “Salt Typhoon”, y ofrece un inventario de indicadores de compromiso, así como pasos de respuesta inmediata para los equipos de seguridad. Aunque la advertencia está cargada de jerga técnica, el mensaje político es inequívoco: se considera una amenaza sistémica a la seguridad nacional y económica de los países aliados.
China, en el ojo del huracán
La lectura que hacen analistas del sector es que esta advertencia no aparece en el vacío, sino que consolida un consenso gestado en los últimos años, el programa cibernético de la RPC es “el desafío más integral” para democracias occidentales, con un abanico que va del espionaje a la influencia y la represión transnacional. Evaluaciones nacionales recientes, como la de Canadá para 2025-2026, ya habían situado a China en el centro del mapa de amenazas por su capacidad de vigilancia y su ambición estratégica sobre propiedad intelectual y procesos críticos. La novedad de este miércoles es el nivel de coordinación pública y la concreción de los blancos y herramientas.
Desde la óptica europea, y particularmente para países como España, la advertencia tiene lecturas inmediatas. Europa es un mosaico de regulaciones y dependencias tecnológicas en telecomunicaciones y nube; decisiones nacionales sobre proveedores en 5G, cableado y equipamiento de red se convierten en variables de riesgo si los actores estatales hostiles buscan persistencia en capas de infraestructura.
Informes recientes del entorno transatlántico ya alertaban de vulnerabilidades derivadas de contratos con fabricantes chinos en nodos críticos. Para los operadores de comunicaciones, aeropuertos, puertos y gestores de agua y energía, el texto de CISA y de la NSA funciona como una “lista de tareas” que prioriza endurecer perímetros, revisar accesos heredados y segmentar redes operativas.
El enfoque de la advertencia conjunta también revela un giro en la diplomacia de la ciberseguridad: no solo se comparten firmas o hashes, sino se construye un relato público que habilita respuestas coordinadas, desde sanciones hasta vetos regulatorios, y prepara a la opinión pública para eventuales medidas de defensa activa. La mención explícita de empresas chinas presuntamente implicadas no es menor, pues abre la puerta a acciones legales, presiona a intermediarios globales y complica el acceso de esos actores a mercados y capital fuera de China. Se trata, en suma, de una batalla de larga duración por la seguridad de la cadena de suministro digital.
Técnicamente, los investigadores describen un enemigo paciente que explota lo cotidiano, esto es, servicios de administración remota, contraseñas por defecto, dispositivos sin parchear y registros insuficientes. El adversario no ‘rompe puertas’ con malware ruidoso; se sienta en la sala de máquinas, observa, mueve pequeñas piezas y se asegura de poder volver cuando haga falta.
Esta forma de operar, que algunos expertos comparan con “ocupar el terreno alto” en comunicaciones, maximiza el valor de inteligencia y, llegado el caso, deja preparada la posibilidad de interrumpir comunicaciones o degradar servicios esenciales sin anunciarse. La asesoría publicada este miércoles ofrece indicadores y pasos concretos para cazar esa presencia fantasma.
En términos de impacto económico, el sector de telecomunicaciones concentra la mayor exposición, pero no es el único. Cadenas hoteleras, operadores de transporte y utilities figuran entre los objetivos señalados, lo que implica riesgos para el turismo, la logística y la continuidad de negocio. La cifra de 80 países afectados y cientos de organizaciones impactadas dibuja un mapa de interdependencias en el que una intrusión en un eslabón, por ejemplo, un proveedor de roaming o un mayorista de tránsito, puede tener efectos en cascada. Para mercados abiertos y altamente conectados, la resiliencia ya no es un atributo técnico: es una política de Estado.
Pekín ha negado de forma reiterada que patrocine campañas de ciberespionaje, y previsiblemente replicará que se trata de acusaciones “politizadas”. Sin embargo, la coordinación multilateral que se vio este 27 de agosto y la profundidad técnica de la asesoría dotan de una narrativa común a gobiernos que, en ocasiones, han discrepado en la manera de abordar la competencia tecnológica con China.
Para los próximos meses, cabe esperar que esta advertencia se traduzca en auditorías aceleradas de equipos de red, nuevas sanciones selectivas y, quizá, en reformas regulatorias que endurezcan los requisitos para proveedores en sectores críticos. La coherencia, o la falta de ella, entre países socios determinará si esta alerta queda como un gesto o marca un punto de inflexión.
Desde la trinchera operativa, el mensaje a las organizaciones es claro: identifique y cierre accesos heredados, fortalezca autenticación, audite equipos de red en busca de configuraciones anómalas, active registros a nivel de dispositivo y red, y establezca planes de respuesta que contemplen un adversario persistente. La asesoría incluye listas de dispositivos, técnicas y medidas de contención que los defensores pueden aplicar de inmediato, así como indicadores para búsqueda proactiva. Si en 2023 el caso “Volt Typhoon” ya había servido de aviso, la publicación de este miércoles oficializa que la amenaza ha madurado y se ha expandido. La defensa, por tanto, debe hacerlo también.
Estas son las agencias detrás de este aviso, entre ellas el CNI español:
- Agencia de Seguridad Nacional de los Estados Unidos (NSA)
- Agencia de Seguridad Cibernética y de Infraestructura de los Estados Unidos (CISA)
- Oficina Federal de Investigaciones de los Estados Unidos (FBI)
- Centro de Delitos Cibernéticos del Departamento de Defensa de los Estados Unidos (DC3)
- Centro Australiano de Ciberseguridad de la Dirección de Señales de Australia (ACSC de ASD)
- Centro Canadiense de Ciberseguridad (Centro Cibernético)
- Servicio Canadiense de Inteligencia de Seguridad (CSIS)
- Centro Nacional de Ciberseguridad de Nueva Zelanda (NCSC-NZ)
- Centro Nacional de Ciberseguridad del Reino Unido (NCSC-UK)
- Agencia Nacional de Ciberseguridad y Seguridad de la Información de la República Checa (NÚKIB)
- Servicio de Seguridad e Inteligencia de Finlandia (SUPO)
- Servicio Federal de Inteligencia de Alemania (BND)
- Oficina Federal para la Protección de la Constitución (BfV) de Alemania
- Oficina Federal de Seguridad de la Información de Alemania (BSI)
- Agencia Italiana de Inteligencia y Seguridad Exterior (AISE)
- Agencia Italiana de Inteligencia y Seguridad Interna (AISI)
- Oficina Nacional de Ciberseguridad de Japón (NCO)
- Agencia Nacional de Policía de Japón (NPA)
- Servicio de Inteligencia y Seguridad de Defensa de los Países Bajos (MIVD)
- Servicio General de Inteligencia y Seguridad de los Países Bajos (AIVD)
- Servicio de Contrainteligencia Militar Polaco (SKW)
- Agencia de Inteligencia Exterior de Polonia (AW)
- Centro Nacional de Inteligencia de España (CNI)
