Una campaña masiva de ciberataques ha comprometido más de 7.500 sitios web de comercio electrónico impulsados por Magento desde finales de febrero de 2026, con atacantes subiendo archivos maliciosos ocultos en directorios web públicamente accesibles de miles de dominios. El ataque se ha extendido a más de 15.000 nombres de host, afectando a marcas comerciales, agencias gubernamentales, universidades y organizaciones sin fines de lucro en múltiples países, convirtiéndolo en uno de los incidentes más graves de los últimos años.

Una campaña de ciberataque masiva ha comprometido más de 7.500 sitios web de comercio electrónico impulsados por Magento desde finales de febrero de 2026, con atacantes subiendo archivos maliciosos ocultos a directorios web públicamente accesibles en miles de dominios.

El ataque se ha extendido a más de 15.000 nombres de host, afectando a marcas comerciales, agencias gubernamentales, universidades y organizaciones sin fines de lucro en múltiples países, convirtiéndolo en una de las campañas más extensas dirigidas a Magento observadas en los últimos años.

Magento es una de las plataformas de comercio electrónico más desplegadas en el mundo, impulsando desde pequeñas tiendas independientes hasta grandes escaparates empresariales.

Su amplia adopción la convierte en un objetivo especialmente atractivo para los atacantes que buscan comprometer muchos sitios web a la vez con un esfuerzo mínimo. Una vez que se descubre un método de explotación confiable, los actores de amenazas pueden escalarlo rápidamente, lo que es exactamente lo que sucedió aquí, con miles de dominios únicos cayendo víctimas en cuestión de semanas después de que comenzara la campaña.

Investigadores de Netcraft identificaron la primera actividad de la campaña el 27 de febrero de 2026 y han continuado rastreando su crecimiento desde entonces.

Entre las víctimas más notables se encuentran organizaciones reconocidas a nivel mundial, como Toyota, Fiat, Citroën, Asus, Diesel, Fila, Bandai, FedEx, BenQ, Yamaha y Lindt.

Aunque la mayoría de los compromisos involucraron subdominios, entornos de staging o escaparates regionales en lugar de sistemas de producción principales, algunos sitios web orientados al cliente en vivo se vieron brevemente afectados antes de que se implementaran esfuerzos de remediación.

El alcance de la campaña se extendió mucho más allá del mundo comercial. Los investigadores también encontraron defacements en dominios de servicios gubernamentales regionales, sitios web universitarios en América Latina y Qatar, infraestructura de organizaciones sin fines de lucro internacionales y varios dominios asociados con la Organización Trump, incluyendo trumpstore.com, trumphotels.com y booktrump.com.

A pesar de la naturaleza de alto perfil de algunos de estos nombres, las pruebas sugieren que estos sitios no fueron elegidos deliberadamente. Simplemente quedaron atrapados en un barrido amplio e indiscriminado que apuntaba a infraestructuras vulnerables de Magento dondequiera que se encontraran.

La mayoría de las páginas defaceadas contenían archivos de texto simples que mostraban los nombres de usuario de los atacantes — L4663R666H05T, Simsimi, Brokenpipe y Typical Idiot Security — junto con mensajes de "greetz", una práctica común en la comunidad de defacement donde los atacantes mencionan a sus colaboradores y aliados.

Un conjunto más pequeño de defacements, que apareció solo el 7 de marzo de 2026, incluía mensajes geopolíticos. Los analistas concluyeron que este breve brote de contenido político no era la motivación central de la campaña, sino más bien una exhibición aislada que se salió del patrón normal de actividad.

Cómo entraron los atacantes: la vulnerabilidad de subida de archivos

El ataque parece depender de una vulnerabilidad de subida de archivos sin autenticación que afecta a algunos entornos de Magento.

Este tipo de fallo es peligroso porque permite a un atacante escribir archivos directamente en un servidor web sin necesidad de tener credenciales de cuenta legítimas. Sin inicio de sesión, sin contraseña: solo un camino directo para depositar archivos donde la vulnerabilidad lo permita.

Investigadores de Netcraft confirmaron este comportamiento al subir con éxito un archivo .txt a una instancia de prueba de Magento Community 2.4.9-beta1, la versión más reciente disponible de la plataforma en el momento de la publicación.

Este hallazgo mostró que incluso las instalaciones de Magento recién actualizadas pueden seguir expuestas bajo ciertas configuraciones del servidor. El alcance vulnerable cubre Magento Open Source, Magento Enterprise, Adobe Commerce y Adobe Commerce con el módulo B2B.

Aunque Adobe publicó un boletín de seguridad para múltiples vulnerabilidades de Adobe Commerce en ese período, el comportamiento específico observado en esta campaña no parece coincidir directamente con esas correcciones publicadas.

Los analistas también señalaron que esta campaña comparte similitudes con la vulnerabilidad de Magento SessionReaper de octubre de 2025, que también involucraba acceso no autorizado a archivos.

Muchas de las páginas comprometidas fueron auto-reportadas a Zone-H, un archivo público de defacements, por el notificador "Typical Idiot Security", el mismo alias encontrado en el contenido del defacement, lo que apunta a un actor que documenta deliberadamente su propia actividad para ganar reputación dentro de la comunidad de defacement.

Se recomienda encarecidamente a las organizaciones que ejecutan infraestructura basada en Magento que revisen de inmediato todos los puntos finales de subida de archivos expuestos, apliquen sin demora las actualizaciones de seguridad de Adobe Commerce disponibles, monitoreen activamente los directorios web en busca de adiciones no autorizadas de archivos e investiguen a fondo cualquier archivo inesperado encontrado en rutas de servidor públicamente accesibles.

Dado que nuevos sitios comprometidos seguían apareciendo en el momento de redactar esta noticia, es esencial actuar con rapidez.