Un grave fallo en la seguridad operativa del grupo vinculado al Estado ruso, FancyBear, ha brindado a los investigadores de seguridad una visión inusualmente clara de una campaña de espionaje activa dirigida a organizaciones gubernamentales y militares en toda Europa. El 11 de marzo de 2026, la firma de inteligencia de amenazas Hunt.io publicó hallazgos sobre una campaña que rastrea como Operación Roundish, basada en un directorio abierto expuesto

Un grave fallo en la seguridad operativa del grupo de hacking vinculado al Estado ruso FancyBear ha brindado a los investigadores de seguridad una visión inusualmente clara de una campaña de espionaje activa que apunta a organizaciones gubernamentales y militares en toda Europa.

El 11 de marzo de 2026, la firma de inteligencia de amenazas Hunt.io publicó hallazgos sobre una campaña que rastrea como Operation Roundish, basada en un directorio abierto expuesto detectado por primera vez el 13 de enero de 2026.

FancyBear —también conocido como APT28, Forest Blizzard y Sednit— es evaluado por el NCSC del Reino Unido como la Unidad 26165 de Inteligencia Militar (GRU) de Rusia.

Lo que comenzó como una campaña focalizada de explotación de webmail había estado operando en silencio durante más de un año antes de que el grupo dejara inadvertidamente la puerta de su servidor completamente abierta.

La exposición se originó en un servidor privado virtual (VPS) de NameCheap ubicado en Estados Unidos, operando en la dirección IP 203.161.50.145.

Este mismo servidor había sido atribuido públicamente a FancyBear por el CERT-UA de Ucrania desde septiembre de 2024, sin embargo, el grupo continuó operando desde él durante más de 500 días sin cambiar su infraestructura.

Dentro del directorio abierto, los investigadores descubrieron 2.800 correos electrónicos gubernamentales y militares exfiltrados, 240 conjuntos de credenciales robadas —incluyendo contraseñas y secretos de autenticación en dos factores (2FA) TOTP—, 140 reglas de reenvío de correo silenciosas y 11.500 direcciones de contacto extraídas de las libretas de direcciones de las víctimas en múltiples países objetivo.

Los analistas de Ctrl-Alt-Intel descubrieron un segundo directorio abierto expuesto en el mismo servidor, uno que no fue capturado en el archivo de enero de 2026 de Hunt.io.

En su interior se encontraba el código fuente completo de comando y control (C2) de FancyBear, cargas útiles adicionales en JavaScript, registros de telemetría de la campaña y datos exfiltrados que proporcionaron una imagen casi completa de toda la operación.

Las víctimas abarcaban Ucrania, Rumanía, Bulgaria, Grecia, Serbia y Macedonia del Norte, con direcciones de correo electrónico vinculadas a cuatro estados miembros de la OTAN —incluida la infraestructura de la propia sede de la OTAN— recuperadas directamente de los datos de contacto robados.

El patrón geopolítico de los objetivos era claramente deliberado. Los fiscales regionales de Ucrania, probablemente vinculados a investigaciones de crímenes de guerra, formaban el grupo de víctimas más grande.

También fueron comprometidos la Fuerza Aérea de Rumanía, el Estado Mayor de Defensa Nacional de Grecia, el Ministerio de Defensa de Serbia y entidades gubernamentales búlgaras.

Rumanía, Bulgaria y Grecia habían firmado un acuerdo de movilidad militar en julio de 2024, y Grecia había estado involucrada en el entrenamiento de pilotos ucranianos de F-16, hechos que apuntan fuertemente a una selección de objetivos basada en inteligencia en lugar de intrusiones oportunistas aleatorias.

Cómo FancyBear eludió el 2FA sin que las víctimas lo supieran

El descubrimiento más técnicamente alarmante en esta campaña fue el método de FancyBear para robar secretos de 2FA basados en TOTP de víctimas que creían que sus cuentas estaban completamente protegidas.

El grupo desplegó un módulo JavaScript llamado keyTwoAuth.js, que se ejecutaba por completo dentro de la sesión de webmail Roundcube ya autenticada de la víctima —sin requerir ningún clic adicional ni un inicio de sesión separado por parte del objetivo.

Una vez que se activaba la carga útil XSS, keyTwoAuth.js enviaba una solicitud HTTP a la página de configuración de 2FA de Roundcube para el plugin twofactorgauthenticator.

Luego analizaba el HTML devuelto, extraía cinco campos ocultos de contraseña —un secreto TOTP y cuatro códigos de recuperación—, codificaba todo en base64 y entregaba silenciosamente el paquete al servidor C2 de FancyBear en zhblz.com usando el prefijo de registro ktfu.

Con la contraseña de la víctima y el secreto TOTP asegurados, FancyBear podía generar códigos de autenticación válidos en cualquier momento futuro, eludiendo por completo la protección de dos factores sin necesidad de acceso físico al dispositivo de la víctima.

Ctrl-Alt-Intel recuperó 516 entradas de registro bajo el prefijo ktfu en 108 direcciones de víctimas únicas. De estas, 256 cuentas tenían secretos TOTP reales robados, afectando a objetivos como la Fuerza Aérea de Rumanía, el GEETHA de Grecia, la Agencia de Recuperación de Activos de Ucrania y el Ministerio de Defensa de Serbia. Las 260 restantes devolvieron "nokey", lo que significa que esas cuentas no tenían 2FA configurado, haciéndolas aún más fáciles de acceder.

Las organizaciones que utilizan Roundcube con el plugin twofactorgauthenticator deben tratar todos los secretos TOTP existentes como potencialmente comprometidos y rotarlos sin demora.

Se recomienda a los administradores auditar las reglas de filtrado de correo Sieve en busca de entradas de reenvío no autorizadas —especialmente aquellas llamadas "SystemProtect" o "SystemHealthChek"— y bloquear todas las conexiones a la dirección IP del C2 203.161.50.145 y al dominio zhblz.com.

Aplicar el parche para la vulnerabilidad CVE-2023-43770 de Roundcube y monitorear la infraestructura de webmail en busca de signos de inyección XSS siguen siendo los pasos defensivos más críticos que cualquier organización afectada puede tomar en este momento.