Fallas de 2015 todavía abren la puerta: agencias de siete países alertan que una red ligada a China roba correo con parches que tienen diez años

Hay una idea muy común en las PyMEs: "las fallas peligrosas son las nuevas, las de la semana". El aviso que publicaron el jueves 8 de octubre de 2026 diez agencias de seguridad de siete países dice lo contrario. La vulnerabilidad más vieja de su lista es de 2014 y la más reciente, de 2023. Todas tienen parche desde hace años. Y todas están sirviendo, hoy, para robar correo.

El aviso se llama AA26-281A y lo firman FBI, CISA y NSA de Estados Unidos, el NCSC de Reino Unido, el ASD's ACSC de Australia, el Centro Canadiense de Ciberseguridad, la Agencia Nacional de Policía y la Oficina Nacional de Ciberseguridad de Japón, el NCSC de Nueva Zelanda y el Centro Nacional de Inteligencia (CNI) de España.

Quién está detrás y qué busca

Según el aviso, el grupo opera con apoyo de Integrity Technology Group, una empresa con sede en China y vínculos con su gobierno. Sus técnicas coinciden con las de grupos conocidos como Flax Typhoon, Ethereal Panda y Red Juliett. Según el aviso, el grupo entra a redes de víctimas desde al menos enero de 2021, usa su escáner propio desde 2017 y algunos indicadores se remontan a 2016.

Lo que buscan es concreto: correo y credenciales. El aviso describe que extraen buzones completos, calendarios, contactos y credenciales del directorio activo, tanto de servidores propios como de servicios en la nube. Incluso mantienen una aplicación web que da acceso a terceros al correo robado: basta pasar ciertos parámetros en la dirección para leer los mensajes de una cuenta.

Los blancos que menciona incluyen gobierno, manufactura crítica, salud y TI en Estados Unidos, además de policías, escuelas y organizaciones religiosas, y organizaciones en el sudeste asiático, África y Norteamérica. No menciona víctimas en México, pero el método no elige por país.

Las ocho fallas, todas viejas

Cinco de estas fallas (ProFTPD, BIND, Struts, ONLYOFFICE y Strapi) no estaban en el catálogo de vulnerabilidades explotadas de la CISA y entraron el mismo 8 de octubre, con plazo de corrección de tres días para las dependencias federales de Estados Unidos. Las otras tres ya estaban en esa lista: Pulse Connect Secure y GitLab desde noviembre de 2021, y Bash desde octubre de 2025.

Cómo entran

El aviso describe un proceso en dos tiempos:

1. Escaneo masivo y automático. Usan herramientas abiertas (masscan, Nmap, dirsearch, wpscan y otras) y una aplicación propia llamada MicroScan, con más de 1,300 scripts de ataque contra servicios como OpenSSL, WebLogic, WordPress, Jenkins y Struts. Se fijan sobre todo en los puertos 21 (FTP), 22 (SSH), 53 (DNS), 80 y 443 (web) y 1080 (SOCKS).
2. Trabajo manual sobre lo que encontraron. Con la falla aprovechada, inyectan código en sitios web vulnerables para mostrar formularios falsos de usuario y contraseña que, una vez llenados, ofrecen un ZIP con contraseña que trae malware. Contra Exchange hacen rociado de contraseñas con una herramienta llamada EBurst, probando claves comunes en Outlook Web, EWS y el panel de control. Ya dentro, copian el directorio activo con DCSync y montan túneles SoftEther VPN disfrazados de procesos de Windows (conhost.exe, dllhost.exe).

El correo robado se sube a servidores remotos con nombres inocentes como 001.gif, Css.js o M2k.js.

Qué hacer esta semana

El aviso pone tres medidas por delante: apagar servicios y puertos que no se usan, validar lo que los usuarios capturan en las aplicaciones web y controlar identidades y accesos, con segundo factor. Las traduzco, junto con otras que también recomienda, a tareas para una PyME:

1. Mira tu red desde afuera. Haz la lista de todo lo que responde desde internet: FTP, DNS, correo web, VPN, servidor de documentos, GitLab, paneles de administración. Lo que nadie usa, se apaga. Lo que sí se usa y es viejo, se actualiza o se reemplaza. Si tienes ProFTPD, BIND, ONLYOFFICE, Strapi o GitLab instalados en algún servidor, revisa su versión hoy.
2. Verificación en dos pasos en todo lo que da acceso. Correo web, VPN y paneles críticos. El rociado de contraseñas no sirve contra una cuenta con segundo factor. Si aún no lo tienes, empieza con esta guía para activar el 2FA y revisa si ya hay contraseñas de tu empresa filtradas.
3. Reemplaza lo que está fuera de soporte. El aviso lo dice textual: sustituir productos al final de su vida por alternativas con soporte. Si tu correo corre en Exchange 2016 o 2019, ese es el caso: su soporte pagado termina el 31 de octubre y Microsoft ya empezó a frenar su correo.
4. Busca señales. Revisa inicios de sesión fuera de horario o desde lugares imposibles, replicación del directorio activo desde equipos que no son controladores de dominio, y procesos conhost.exe o dllhost.exe fuera de su ruta normal en System32.
5. Ten un respaldo fuera de línea. El aviso lo recomienda explícitamente, protegido con contraseña y desconectado de la red.

Para los servidores Linux que sí necesitas publicar, una pasada de endurecimiento básico cierra buena parte de lo que este grupo busca.

La lección

Octubre es el mes de la ciberseguridad y casi toda la conversación gira en torno a la falla de la semana. Este aviso recuerda algo menos vistoso: el riesgo más grande de una PyME suele ser el servidor que se instaló hace años y del que ya nadie se acuerda. Un inventario honesto de lo expuesto vale más que cualquier herramienta nueva.