Hackers chinos pasaron 18 meses dentro de Microsoft 365 sin ser detectados

Durante alrededor de año y medio, un grupo de hackers chinos vinculados a un Estado leyó correos corporativos, abrió archivos internos y se movió por redes de empresas mientras parecía, ante cualquier herramienta de vigilancia, un empleado más entrando a trabajar. La intrusión, documentada por la firma de seguridad Volexity, no rompió Microsoft 365. Suplantó a quienes ya tenían las llaves.

Esa diferencia lo es todo, y explica por qué la brecha afecta a cualquiera cuyo trabajo viva dentro de una cuenta en la nube. Microsoft 365 es donde la mayoría de las empresas guarda hoy su correo, sus documentos y la identidad de inicio de sesión único que abre todo lo demás. Los atacantes nunca tuvieron que vencer ese sistema. Tomaron prestado un acceso válido y entraron por la puerta principal, y las defensas pensadas para preguntar «¿de verdad eres tú?» decidieron que sí.

El grupo figura como UNC5221, también conocido como VerdantBamboo, una operación de origen chino que los investigadores siguen desde hace años por atacar los dispositivos que están en el borde de las redes corporativas. Su campaña reciente golpeó a despachos de servicios jurídicos, empresas de software, proveedores de externalización de procesos y compañías tecnológicas. No son objetivos al azar: son organizaciones que custodian secretos de otras organizaciones, desde expedientes de clientes hasta código fuente y las claves que llegan a terceros.

El arsenal explica por qué el acceso fue invisible tanto tiempo. La pieza central es una puerta trasera llamada Brickstorm, escrita primero en el lenguaje Go y reconstruida después en Rust, instalada en equipos de red que casi nunca ejecutan software de seguridad ni se inspeccionan. En un caso los atacantes entraron por un sistema de sincronización de archivos Egnyte accesible a través de la VPN de la empresa. Desde ese punto silencioso, la función de proxy de Brickstorm les permitió encaminar su actividad por la propia red de la víctima, de modo que al llegar a Microsoft 365 con credenciales robadas la conexión parecía local y legítima. Volexity sostiene con alta confianza que fue deliberado, una forma de mezclarse con el tráfico normal y esquivar las reglas de acceso condicional que habrían marcado un inicio de sesión desde un lugar equivocado. Dos piezas más mantuvieron la puerta abierta: una puerta trasera en .NET bautizada como Plenet, que daba a los operadores una consola interactiva y control de archivos, y un shell inverso en Python llamado AgentPSD, guardado como recurso de reserva. La redundancia era el plan. Estaba hecho para sobrevivir al descubrimiento, no para evitarlo eternamente.

El dato más incómodo es la cuenta del tiempo. La detección llegó unos dieciocho meses después de la primera entrada. En campañas de este estilo los investigadores han medido una permanencia media de bastante más de un año, suficiente para que en muchos casos los registros que documentaban el acceso original ya se hubieran borrado por las políticas de retención antes de que nadie supiera que debía mirar. Los atacantes no solo se escondieron: duraron más que las pruebas.

El alcance fue más allá de la primera víctima. En al menos un caso el grupo comprometió a un proveedor de servicios gestionados, la empresa externa de informática que opera la tecnología de decenas de clientes pequeños, y colocó una versión de Brickstorm en su cortafuegos. Una sola intrusión ahí se convierte en una llave maestra para todos los clientes que dependen de él. Esa es la parte de la historia que viaja más allá de Estados Unidos, donde se concentran casi todos los objetivos conocidos. Cualquier empresa que externaliza su informática, es decir, casi todas, hereda la seguridad de un proveedor cuyo interior no puede ver.

Nada de esto es un fallo de Microsoft 365 que un parche vaya a cerrar. Las vías de entrada fueron equipos de terceros y credenciales robadas, y la nube se comportó exactamente como estaba diseñada en cuanto llegó un acceso de confianza. Ese es el problema difícil que deja el caso. Las organizaciones sin software de detección en sus servidores y equipos casi no tuvieron forma de ver la actividad, y las que lo tenían se enfrentaron a una operación diseñada para parecer rutina. Como se trataba de espionaje y no de ransomware, no hubo pantalla bloqueada ni nota de extorsión que forzara la alarma: solo datos saliendo en silencio durante todo el tiempo que los operadores quisieron seguir mirando.

Las intrusiones salieron a la luz hacia marzo de 2025 y las alertas se han multiplicado desde entonces. Entre agosto de 2025 y enero de 2026, el FBI, la NSA y la agencia estadounidense de ciberseguridad CISA publicaron una serie de avisos sobre intrusiones patrocinadas por el Estado chino, y CISA ha señalado por separado el uso de Brickstorm contra servidores VMware. El consejo práctico de los investigadores es estrecho y poco vistoso: conservar los registros más tiempo del que los atacantes pueden esconderse y poner detección en los dispositivos callados del borde de la red, esos donde, al final, prefieren vivir los fantasmas.

Etiquetas: ciberseguridad