Triple chantaje bajo el manto del anonimato: cómo una banda se hace pasar por tres grupos distintos

Los ciberataques cada vez con más frecuencia superan el escenario habitual, donde los protagonistas son los programas maliciosos y las vulnerabilidades. Una nueva investigación muestra que hoy el impacto de un hackeo a menudo se produce no tanto por los medios técnicos, sino por un manejo inteligente de la agenda informativa y de la atención pública.

Los analistas de DomainTools llegaron a la conclusión de que los grupos Homeland Justice, Karma y Handala no son organizaciones aisladas. Se trata de una única ecosistema relacionado con el Ministerio de Inteligencia y Seguridad de Irán. Los distintos nombres funcionan solo como máscaras que permiten cambiar con flexibilidad la retórica, los objetivos y el nivel de responsabilidad, manteniendo al mismo tiempo la infraestructura común y los métodos de trabajo.

La campaña comenzó a manifestarse en 2022 en el contexto de ataques contra Albania. Ya entonces se conformó un modelo en el que la intrusión servía solo como primer paso. Tras obtener acceso, los atacantes extraían datos, alteraban el funcionamiento de los sistemas y casi de inmediato publicaban información en fuentes abiertas, amplificando el efecto a través de los medios y las redes sociales. Con el tiempo el enfoque se complicó: a los métodos básicos se sumaron herramientas de vigilancia y canales de control mediante Telegram.

Los especialistas prestan atención por separado a cómo cambia la propia lógica de los ataques. En las nuevas operaciones la intrusión, la vigilancia, la filtración y la presión informativa ocurren simultáneamente. Un ejemplo fue el ataque a Stryker, donde los atacantes combinaban el acceso a datos con el control de la infraestructura corporativa y la difusión paralela de comunicados en el espacio público.

Telegram ocupó un lugar central en este esquema. La plataforma se utiliza tanto para controlar sistemas infectados como para difundir mensajes y publicar datos robados. Gracias a esto se reduce la dependencia de la propia infraestructura y aumenta la resiliencia de las operaciones.

Al mismo tiempo, los resultados técnicos reales de los ataques a menudo quedan por detrás del efecto que se genera a su alrededor. Muchas declaraciones permanecen parcialmente confirmadas o no se confirman en absoluto; sin embargo, el mero hecho de su publicación obliga a las organizaciones a reaccionar y lleva a los medios a cubrir activamente los incidentes. Como resultado, incluso un acceso limitado a una cuenta o un pequeño volumen de datos se convierte en un suceso con serias consecuencias reputacionales.

Los autores del informe subrayan que los atacantes rara vez emplean vulnerabilidades complejas. Con más frecuencia recurren a adivinación de contraseñas, phishing o explotación de configuraciones de acceso débiles. La diferencia clave no reside en la forma de penetración, sino en cómo los datos obtenidos se transforman en una herramienta de presión informativa.

Este modelo muestra un giro en la evolución de las ciberoperaciones. La parte técnica sigue siendo importante, pero la capacidad para gestionar la atención y moldear la percepción de lo ocurrido juega un papel decisivo. En las nuevas condiciones, incluso una filtración pequeña puede convertirse en un incidente a gran escala si se integra de forma adecuada en la agenda informativa.