Dos millones de descargas – nadie reaccionó: así se oculta la nueva ciberdelincuencia

Cuando el enemigo se oculta en la caja de herramientas

Imagina que descargas un paquete para tu proyecto de software. Se ve legítimo – cuenta de GitHub bien mantenida, historial de versiones confiable, cientos de miles de otros desarrolladores usando la misma herramienta. No sospechas nada. Esa es exactamente la situación que afectó a millones de desarrolladores cuando el paquete de código malicioso indexed-btree se propagó en el ecosistema NPM, según la empresa de seguridad Checkmarx.

Lo que hace notable este caso no es que haya sucedido – sino cómo sucedió. En lugar de secuestrar un paquete ya popular, lo que suele resultar en propagación rápida pero también en detección rápida, el atacante eligió la paciencia. El código malicioso se incrustó en la función central del paquete, BTree.prototype.set, en lugar de en un script de instalación. Las soluciones de seguridad convencionales, que escanean durante la instalación, lo pasaron por alto completamente. El resultado: dos millones de descargas por semana, y un programa malicioso que extraía información del sistema y la enviaba a canales codificados en Slack y Telegram – antes de conectarse a un contrato inteligente en la cadena de bloques Sepolia para obtener el siguiente paso del ataque y luego borrar sus propias huellas.

Es un ataque a la cadena de suministro de software en su forma más sofisticada. Y está muy lejos de ser un caso aislado.

Corea del Norte opera fraude informático como industria estatal

Simultáneamente, autoridades japonesas, en colaboración con el FBI, el servicio de inteligencia australiano y colegas alemanes, han desmantelado por primera vez una granja de portátiles norcoreana en territorio japonés. Detrás de la operación está el grupo WaterPlum – también conocido como Contagious Interview – que según las autoridades responde al estado mayor de la dictadura norcoreana.

El método es casi impresionante en su minuciosidad: trabajadores informáticos norcoreanos se hacen pasar por representantes de empleadores legítimos en inteligencia artificial, criptovaluta y tecnología de cadena de bloques. Se ponen en contacto con desarrolladores de software y especialistas en TI, los reclutan – y luego controlan de forma remota ordenadores ubicados en manos de cómplices para ocultar su ubicación real. Entre diciembre de 2025 y julio de 2026, el grupo habría infectado al menos 30 000 dispositivos en más de 100 países, vaciado más de 7 000 billeteras de criptografía y transferido a Corea del Norte el equivalente a más de 10,7 millones de dólares estadounidenses.

No es ciberdelincuencia en el sentido tradicional. Es una fuente de ingresos industrializada, financiada por el estado – y está operando en medio de los ecosistemas digitales en los que las empresas occidentales confían cada día.

El capital ve lo que la política aún no ha regulado

Ante este telón de fondo, no sorprende que la empresa de ciberseguridad Cyera haya sido valorizada recientemente en más de 12 mil millones de dólares – equivalente a más de 120 mil millones de coronas suecas – tras recaudar otros 400 millones de dólares con Goldman Sachs Alternatives como inversor. El capital total recaudado por la empresa supera ahora los 2,7 mil millones de dólares.

Cyera ofrece visibilidad en tiempo real sobre información sensible en entornos en la nube, bases de datos y sistemas locales. La plataforma conecta continuamente el grado de sensibilidad de los datos con los derechos de acceso de los usuarios y detecta configuraciones incorrectas y permisos demasiado amplios antes de que puedan dar lugar a incidentes. A medida que la inteligencia artificial se utiliza cada vez más en entornos empresariales – con datos que se introducen en grandes modelos de lenguaje y conjuntos de datos de entrenamiento gestionados por sistemas automatizados – la necesidad de este tipo de protección ha aumentado significativamente.

Los inversores rara vez cometen errores con su dinero. Que Goldman Sachs decida invertir 400 millones de dólares en una única empresa de ciberseguridad es una señal de mercado clara: el nivel de amenaza es suficientemente grave, y el mercado lo bastante grande, para justificar esa valorización.

Tres noticias, un patrón

Los tres eventos están conectados de una manera que vale la pena pausar para considerar. Los atacantes en el caso NPM utilizaron infraestructura de cadena de bloques para ocultar su centro de comando. WaterPlum se enmascaró detrás de empresas de IA y criptovaluta. Los casos de uso que más rápido crecen en Cyera tienen que ver con proteger datos en sistemas de IA. Las amenazas y las defensas se mueven en la misma dirección – hacia entornos cada vez más avanzados, asistidos por IA e integrados digitalmente.

No es una coincidencia. Es un cambio sistémico.