La operación Serengeti III, liderada por INTERPOL, culminó con la interrupción de más de diez mil redes de cibercrimen y la captura de 1,462 sospechosos en 21 naciones. Las autoridades recuperaron fondos ilícitos superiores a 105 millones de dólares, evidenciando la magnitud del ecosistema financiero que sustentaba estas actividades. El despliegue incluyó acciones simultáneas contra infraestructuras de comando y control, servidores de phishing y plataformas de criptomonedas usadas para lavar ganancias. Este esfuerzo conjunto marca uno de los mayores operativos transnacionales contra el delito cibernético en la historia reciente.

Qué sabemos hasta ahora

Los equipos de investigación identificaron que la mayoría de los grupos intervenidos operaban bajo modelos de ransomware‑as‑a‑service (RaaS) y esquemas de fraude bancario en línea. Las redes comprometidas utilizaban servidores de alojamiento en la nube y dominios de alta reputación para evadir detección. Además, se detectó una infraestructura de lavado de criptomonedas que movilizaba los fondos robados a través de mixers y exchanges sin KYC.

Las detenciones abarcaron a operadores de nivel técnico y a administradores de infraestructura, lo que sugiere que la operación apuntó a la cadena de suministro completa, desde los desarrolladores de malware hasta los facilitadores financieros. Las autoridades subrayaron que la cooperación internacional fue clave para sincronizar los arrestos y evitar la fuga de datos críticos.

Análisis técnico

Los investigadores observaron que los atacantes empleaban técnicas de movimiento lateral basadas en credenciales robadas, utilizando herramientas como mimikatz y scripts de PowerShell para escalar privilegios. Los vectores de infección inicial incluían campañas de phishing con documentos maliciosos que ejecutaban macros y descargaban payloads a través de Invoke-WebRequest. Una vez dentro, los operadores desplegaban ransomware cifrando volúmenes con cryptsetup y exigiendo rescate en criptomonedas.

En la fase de exfiltración, se observaron transferencias de datos a servidores C2 alojados en IPs dinámicas, a menudo rotadas mediante servicios de DNS dinámico. Los logs revelan el uso de netstat -an para mapear puertos abiertos y ssh con claves RSA para establecer túneles persistentes. Los equipos forenses también encontraron hashes SHA‑256 de binarios modificados, aunque los valores exactos no fueron divulgados públicamente.

"La coordinación entre 21 países permitió desarticular una infraestructura que había generado cientos de millones en ganancias ilícitas", declaró el secretario general de INTERPOL.

Impacto y alcance

El operativo de INTERPOL reveló que las redes desmanteladas operaban en múltiples sectores, entre los que se encuentran la banca, el comercio electrónico, la salud y la infraestructura crítica. Los atacantes utilizaban técnicas de ransomware, phishing y fraude financiero, lo que expone a organizaciones de cualquier tamaño a la pérdida de datos sensibles y a interrupciones operativas.

Si bien la investigación no ha divulgado exploits públicos específicos, sí se confirmó que varios de los grupos utilizaban herramientas de acceso remoto y kits de explotación que ya estaban disponibles en la darknet. Esto implica que cualquier entidad que no haya reforzado sus defensas frente a esas herramientas está potencialmente en riesgo.

¿Cómo afecta esto a LATAM?

En América Latina, la investigación señaló vínculos con actores con base en México, Colombia y Argentina, tanto como objetivos como posibles colaboradores de algunas de las redes desmanteladas. Empresas regionales que dependen de plataformas de gestión de pagos y de servicios en la nube podrían estar expuestas a los mismos vectores de ataque que se observaron en otras partes del mundo.

Además, la presencia de infraestructura de telecomunicaciones y proveedores de servicios de internet en la región facilita la propagación de campañas de phishing y ransomware que aprovechan la confianza de los usuarios locales. La falta de una coordinación homogénea en la respuesta a incidentes aumenta la vulnerabilidad de los ecosistemas digitales latinoamericanos.

Qué deben hacer los equipos de seguridad

  • Realizar un inventario actualizado de todos los activos críticos y mapear las dependencias de software y servicios.
  • Aplicar de forma inmediata los parches de seguridad publicados para los sistemas operativos y aplicaciones que se sabe son objetivo de los kits de explotación identificados.
  • Implementar autenticación multifactor (MFA) en todas las cuentas con privilegios y en accesos a recursos sensibles.
  • Monitorear el tráfico de red en busca de indicadores de compromiso (IoC) asociados a ransomware y herramientas de acceso remoto usadas por los grupos investigados.
  • Establecer y probar planes de respuesta a incidentes que incluyan la contención rápida de ransomware y la recuperación de copias de seguridad offline.
  • Capacitar a los usuarios finales en la detección de correos de phishing y en buenas prácticas de higiene digital.

Reflexión

¿Estamos preparados para enfrentar una ola de ataques que ya no distingue fronteras, o seguimos confiando en defensas fragmentadas que dejan brechas abiertas? La respuesta de hoy determinará si la próxima gran noticia será otro operativo internacional o una nueva ola de víctimas en nuestras propias ciudades.