El 28 de febrero de 2026, Estados Unidos e Israel lanzaron una ofensiva coordinada —denominada Operación Epic Fury por EE.UU. y Operación Roaring Lion por Israel— que desencadenó un conflicto cibernético de gran alcance que se extendió por Oriente Medio y más allá.

En cuestión de horas, Irán respondió con una campaña de represalia multivectorial, involucrando a grupos hacktivistas, actores alineados con el Estado y ciberdelincuentes oportunistas, convirtiéndose en uno de los enfrentamientos cibernéticos más intensos de los últimos tiempos.

Uno de los primeros desarrollos más significativos fue la casi total pérdida de acceso a internet en Irán. Para la mañana del 28 de febrero, la conectividad disponible dentro del país había caído a entre un 1% y un 4%.

Esta repentina interrupción aisló a las unidades cibernéticas alineadas con el Estado iraní de sus redes de mando y control, limitando severamente su capacidad para coordinar y ejecutar ciberataques sofisticados a corto plazo.

Las células cibernéticas iraníes han pasado a operar en aislamiento operativo, lo que podría generar desviaciones impredecibles de sus patrones de ataque establecidos.

Los analistas de Unit 42 de Palo Alto Networks identificaron una campaña activa de phishing casi inmediatamente después de la ofensiva, en la que los atacantes desplegaron una réplica maliciosa de la aplicación de alertas de emergencia RedAlert del Mando del Frente Interno israelí.

Distribuida como un Android Package Kit (APK) a través de mensajes de phishing por SMS, engaña a los usuarios para que descarguen malware con fines de vigilancia móvil y exfiltración de datos.

Los atacantes explotan el miedo público para distribuir malware bajo la apariencia de una herramienta de seguridad confiable durante el conflicto en curso.

A pesar de la interrupción en la propia infraestructura de Irán, la actividad hacktivista fuera del país se disparó rápidamente.

Para el 2 de marzo de 2026, aproximadamente 60 grupos individuales —incluyendo colectivos prorrusos— estaban activamente involucrados en operaciones dirigidas contra activos israelíes, occidentales y regionales.

Muchos de estos grupos operan bajo la recién formada “Sala de Operaciones Electrónicas”, establecida el 28 de febrero de 2026. Estos grupos han reivindicado ataques que van desde asaltos DDoS a bancos y sitios gubernamentales hasta compromisos completos de infraestructuras que afectan a sistemas energéticos, de pagos y de defensa.

El alcance del conflicto se ha extendido mucho más allá de las fronteras de Irán. Ciberdelincuentes en los Emiratos Árabes Unidos lanzaron estafas de vishing suplantando al Ministerio del Interior para robar números de identificación nacional.

El grupo de ransomware-as-a-service Tarnished Scorpius (también conocido como INC Ransomware) incluyó a una empresa israelí de maquinaria industrial en su sitio de filtraciones, reemplazando el logo de la compañía con una esvástica.

La velocidad y amplitud de estos ataques reflejan un conflicto que ha evolucionado más allá de una dinámica Estado contra Estado hacia una guerra cibernética de múltiples actores.

Dentro del ecosistema de amenazas hacktivistas

La “Sala de Operaciones Electrónicas” se ha convertido en el principal centro de coordinación para las operaciones hacktivistas alineadas con Irán desde el inicio del conflicto.

Handala Hack, una entidad vinculada al Ministerio de Inteligencia y Seguridad de Irán (MOIS), ha emergido como el actor más activo, reivindicando la brecha a una empresa israelí de exploración energética, el compromiso de los sistemas de combustible de Jordania y amenazando con muerte a influencers iraní-estadounidenses e iraní-canadienses —incluyendo la divulgación de sus direcciones personales a operativos físicos—.

Este paso de la disrupción digital a la intimidación física marca una peligrosa escalada en el comportamiento hacktivista.

Otros actores incluyen a la Resistencia Cibernética Islámica —un colectivo paraguas que coordina grupos como RipperSec y Cyb3rDrag0nzz— que afirmó haber comprometido un sistema de defensa de drones e infraestructura de pagos israelí.

El Equipo FAD reportó acceso no autorizado a múltiples sistemas SCADA y PLC en Israel, mientras que DieNet atacó aeropuertos y bancos en Bahréin, Arabia Saudita, Jordania y los Emiratos Árabes Unidos.

Grupos prorrusos como NoName057(16) y la “Legión Rusa” se unieron al conflicto, esta última afirmando tener acceso al sistema de radar del Cúpula de Hierro israelí, aunque estas afirmaciones siguen sin verificarse.

Las organizaciones deberían almacenar al menos una copia de los datos críticos sin conexión para protegerse contra ataques de ransomware y wipers. Todos los activos expuestos a internet deben mantenerse totalmente parcheados y reforzados.

Los empleados deben recibir formación sobre phishing e ingeniería social, y las organizaciones deberían considerar el bloqueo geográfico de IPs para regiones de alto riesgo.

Los planes de continuidad de negocio deben actualizarse, establecerse procesos de verificación de reclamaciones de brechas y monitorearse de cerca las orientaciones de CISA y el Centro Nacional de Ciberseguridad del Reino Unido.

Indicadores de Compromiso (IoCs)