El ciberataque TeamPCP comprometió el software de más de mil empresas. Google infiltró a un analista en la banda para frenarlo desde dentro.
La operación, desvelada por el equipo de inteligencia de amenazas del gigante estadounidense, coloca la seguridad de la cadena de suministro en el centro del debate empresarial. Cientos de programas de código abierto quedaron contaminados con malware que después llegó, sin que ninguna compañía lo tocara, a los sistemas de sus clientes finales.
Claves de la operación
- Un analista infiltrado desde el arranque. Mandiant, la filial de ciberseguridad de Google, mantuvo a un investigador encubierto en el círculo íntimo de TeamPCP desde casi el comienzo de su etapa de mayor actividad.
- Más de mil empresas comprometidas. La banda contaminó cientos de programas abiertos, robó cuentas de desarrolladores y liberó un gusano autorreplicante de temática Dune para automatizar la propagación.
- Dos detenidos en Australia. Google rastreó los errores operativos de uno de los presuntos líderes y entregó a la policía los detalles que permitieron identificarlo.
Cómo una banda convirtió el código abierto en un arma de escala industrial
El guion de TeamPCP no era nuevo, pero su ejecución sí. En lugar de atacar empresa por empresa, la banda se colocó en el eslabón anterior: los programas de código abierto que miles de compañías instalan a diario como dependencias de sus propias aplicaciones. Quien controla una dependencia controla a todos los que la usan, y esa asimetría es exactamente la que explotó el grupo.
El método tuvo tres fases. Primero, la contaminación de proyectos abiertos con código malicioso. Después, el robo de cuentas de desarrolladores para conservar el acceso y seguir publicando versiones envenenadas sin levantar sospechas. Y, por último, un gusano de propagación automática que trasladaba la infección de un repositorio a otro sin intervención humana. El resultado declarado: más de mil compañías afectadas.
Las detenciones de dos presuntos miembros destacados del grupo en Australia llegaron hace unas semanas. La investigación que condujo a ellas tuvo una vía poco convencional. Google siguió la pista de los errores operativos que habría cometido uno de los acusados y trasladó a las fuerzas de seguridad los datos clave para identificarlo.
Una dependencia comprometida no es un fallo de una empresa: es un fallo simultáneo de todas las que la instalaron esa misma semana.
Google vigiló la campaña desde dentro y avisó a las víctimas
Austin Larsen, investigador de Google Threat Intelligence Group, ha detallado la investigación en LABScon, la conferencia que organiza el fabricante de seguridad SentinelOne. Su relato describe meses de seguimiento de una campaña caótica y difícil de acotar, en la que los atacantes cambiaban de objetivo casi tan rápido como publicaban nuevas versiones infectadas.
La pieza más llamativa no es el trabajo forense, sino la infiltración. Mandiant, la subsidiaria de ciberseguridad de Google, tenía a un analista encubierto dentro del círculo íntimo del grupo desde casi el inicio. El propio Larsen aclara que no era él, lo que convierte la operación en un dispositivo de inteligencia sostenido en el tiempo y no en un episodio puntual.
Esa posición permitió tres cosas: observar la campaña desde dentro, avisar a los objetivos antes de que recibieran el golpe, y contribuir a frustrar los intentos de explotación de las víctimas ya comprometidas. A esa información se sumó la que llegó desde ShinyHunters, otro grupo criminal que colaboró con TeamPCP antes de girarse contra él.
La dependencia del código abierto abre un frente regulatorio en Europa
El caso deja una pregunta incómoda para el tejido empresarial español. La mayoría de las compañías del IBEX 35 no sabe qué porcentaje de su software crítico procede de proyectos abiertos mantenidos por una o dos personas. Esa opacidad es la que convirtió a TeamPCP en un problema sistémico y no en un incidente aislado.
En ciberseguridad, Indra compite con Thales y Leonardo por contratos de ciberdefensa en Europa, pero el grosor del negocio no está en los grandes integradores: está en la base. Un banco español o una teleco pueden auditar a su proveedor y seguir sin ver el componente abierto que arrastra el fallo. Telefónica Tech y el resto de integradores venden servicios de detección, aunque la raíz del problema es de gobernanza, no de herramienta.
Bruselas ya mueve ficha con el Reglamento de Ciberresiliencia, que escala obligaciones de seguridad sobre el software que se comercializa en la UE, y con NIS2 en el terreno de los servicios esenciales. El detalle que nos interesa: ninguna norma obliga todavía a declarar la dependencia real de un producto respecto a proyectos abiertos. La información que la agencia europea de ciberseguridad ENISA publica sobre amenazas se apoya en datos agregados, no en inventarios verificables por empresa.
Google ha demostrado que la inteligencia humana dentro del adversario rinde más que el escaneo automático. También ha dejado claro el límite de esa vía: la filial Mandiant puede vigilar a un grupo criminal, pero no puede sustituir la auditoría de miles de dependencias que las empresas instalan sin revisar. Ahí no hay analista encubierto que valga.
El siguiente hito está en los tribunales australianos, donde se sustanciará la causa contra los dos presuntos miembros, y en la letra pequeña del Reglamento de Ciberresiliencia. Si Europa no obliga a declarar qué se instala, la próxima banda no necesitará un gusano con nombre de novela para tumbar mil empresas a la vez.
La entrada Google infiltra un analista en TeamPCP: así frenó el ciberataque que golpeó a 1.000 empresas aparece primero en Moncloa.
