40 000 descargas de código malicioso: mientras llegan miles de millones a una industria que aun así pasa por alto lo evidente

Llegan miles de millones, pero las grietas siguen ahí

Septiembre de 2026 quedará registrado en la historia de la industria. Según SecurityWeek, se anunciaron nada menos que 39 adquisiciones y fusiones en ciberseguridad durante un solo mes, una cifra que deja claro dónde ven los inversores el futuro. Palo Alto Networks compró la plataforma de automatización Console por unos 500 millones de dólares. IBM adquirió la consultora británica de defensa e infraestructuras Logiq Consulting. Dragos completó sus compras de NetRise y runZero, como parte de la apuesta de Accenture por 4,1 mil millones de dólares en seguridad para tecnología operativa. Y, por último, NetSPI y Synack unen sus operaciones para formar un actor ofensivo con unos ingresos superiores a 200 millones de dólares.

Son cifras impresionantes. Y me entusiasma de verdad lo que la consolidación puede lograr: menos brechas entre herramientas, plataformas mejor integradas, una automatización más profunda. Es precisamente el tipo de transformación estructural que necesita la industria.

Pero luego leo la otra noticia de la misma semana, y eso enfría un poco el entusiasmo.

40 000 descargas de código malicioso puro, sin una sola alerta

La empresa de seguridad Checkmarx informa sobre una campaña a la que ha bautizado como MALFEX: una distribución coordinada de código malicioso a través del registro npm, el ecosistema en el que confían cada día millones de desarrolladores de software en todo el mundo. La campaña lleva activa desde agosto de 2023. El actor de amenazas, desconocido, ha publicado doce paquetes, de los cuales ocho son maliciosos, y estos han acumulado más de 40 000 descargas.

Lo que realmente se queda grabado es el paquete function-flag. Ha sido malicioso de forma abierta desde julio de 2025, es decir, durante más de un año, y se ha descargado más de 37 000 veces. Sin que el registro marcara ninguna advertencia. Tres de los paquetes seguían pudiéndose instalar sin restricciones todavía el 1 de octubre de este año.

El código malicioso de este tipo no es ninguna minucia. Checkmarx identifica tres vías de distribución separadas dentro de la campaña. Una instala la herramienta de control remoto Overlord RAT, un programa que da al atacante control total sobre el sistema afectado, incluida la grabación de pantalla, la interceptación del teclado y el acceso remoto a un entorno de escritorio oculto. Otra vía instala directamente el programa de robo de información movinlike en el momento en que se carga el paquete.

Dos imágenes de la misma industria

Estas dos noticias no existen en universos paralelos: describen la misma industria, el mismo momento. Y juntas ofrecen una imagen más compleja y más honesta de lo que cualquiera de las dos historias podría transmitir por sí sola.

La consolidación es real y necesaria. Las herramientas de seguridad fragmentadas son un problema bien conocido; demasiadas organizaciones intentan remendar su protección con docenas de proveedores que no se comunican entre sí. Las grandes adquisiciones que vemos ahora tratan de construir plataformas cohesionadas con una automatización más profunda, y ese es el camino correcto.

Pero la consolidación no resuelve otro problema fundamental: la vulnerabilidad del ecosistema abierto. npm es una piedra angular del desarrollo de software moderno. Millones de proyectos, comerciales, gubernamentales e de infraestructura crítica, usan a diario paquetes de este registro. Que una campaña pueda operar a la vista durante más de tres años y acumular decenas de miles de descargas sin ser detenida no es un fallo técnico. Es un fallo sistémico.

Esto tiene que ver con la priorización, la revisión y la responsabilidad. ¿Quién es realmente responsable de la seguridad de los recursos compartidos sobre los que descansa toda la economía digital?

El lado de las oportunidades

No quiero terminar en el pesimismo: no es mi estilo y tampoco sería justo. El hecho de que Checkmarx haya identificado y documentado MALFEX demuestra que el análisis de amenazas se está afinando. El análisis de código impulsado por IA y la monitorización del comportamiento en los registros de paquetes son un área que crece con rapidez, y los recursos que ahora llegan al sector a través de estas adquisiciones récord pueden financiar exactamente ese tipo de mecanismos de protección proactivos.

Pero para ello hay que poner la mirada en el lugar correcto. Comprar la siguiente plataforma e integrar la siguiente herramienta no basta si la infraestructura básica, los ecosistemas abiertos en los que todos se apoyan, se deja como una puerta trasera abierta.