Una ola de ataques de *relleno de credenciales* ha revelado un preocupante cambio en la forma en que los actores de amenazas acceden a las redes corporativas: no explotando vulnerabilidades de software, sino simplemente iniciando sesión con contraseñas robadas. En el centro de esta campaña se encuentran familias de malware infostealer, que recopilan silenciosamente credenciales de dispositivos infectados de empleados.

Una ola de ataques de relleno de credenciales ha revelado un cambio preocupante en la forma en que los actores de amenazas acceden a las redes corporativas: no explotando vulnerabilidades de software, sino simplemente iniciando sesión con contraseñas robadas.

En el centro de esta campaña se encuentran familias de malware infostealer, que recopilan silenciosamente credenciales de dispositivos infectados de empleados y las utilizan en ataques de fuerza bruta contra puertas de enlace corporativas de Single Sign-On (SSO), especialmente interfaces de F5 BIG-IP.

La actividad salió a la luz por primera vez el 23 de febrero de 2026, cuando el grupo de inteligencia de amenazas Defused Cyber alertó públicamente sobre una importante campaña de relleno de credenciales dirigida a dispositivos F5.

Sus honeypots capturaron solicitudes POST desde una única dirección IP de origen —219.75.254.166, registrada bajo OPTAGE Inc. en Japón—, donde el atacante enviaba combinaciones de correos electrónicos corporativos y contraseñas a gran escala.

Lo que hizo destacar este ataque no fue su volumen, sino su precisión: las credenciales parecían logins reales y funcionales vinculados a grandes empresas multinacionales y agencias gubernamentales.

Los analistas de Infostealers identificaron el verdadero origen de esas credenciales tras comparar los datos capturados con la base de datos global de cibercrimen de Hudson Rock.

De las 70 combinaciones únicas de correo y contraseña observadas en el ataque, 54 coincidieron directamente con registros conocidos de infecciones por infostealer, una tasa de acierto superior al 77%.

No se trataba de credenciales filtradas en una brecha tradicional de F5. Habían sido robadas de dispositivos de empleados infectados con malware infostealer y luego reutilizadas contra infraestructuras externas, incluyendo ADFS (Active Directory Federation Services), STS (Security Token Service) y portales OWA, lo que confirmaba que los infostealers habían evolucionado más allá del robo de datos para convertirse en herramientas de intrusión coordinada en redes.

El alcance de las organizaciones afectadas fue significativo. Entre las empresas cuyos credenciales de empleados aparecieron en el ataque estaban Rolls-Royce, Johnson & Johnson, Ericsson, Deloitte, Cellebrite, la Policía Belga y la Policía de Queensland.