El Departamento de Justicia de EE. UU. y el FBI han desmantelado con éxito una enorme red de ciberespionaje en una operación autorizada por los tribunales denominada “Operación Mascarada”. Anunciada el 7 de abril de 2026, la operación técnica neutralizó miles de routers SOHO (pequeñas oficinas/oficinas en casa) comprometidos que habían sido secuestrados por la inteligencia militar rusa para espiar a objetivos globales.

El Departamento de Justicia de EE.UU. y el FBI han desmantelado con éxito una masiva red de ciberespionaje en una operación autorizada por los tribunales llamada “Operación Mascarada”.

Anunciada el 7 de abril de 2026, la operación técnica neutralizó miles de routers domésticos y de pequeñas oficinas (SOHO) comprometidos que habían sido secuestrados por la inteligencia militar rusa para espiar a objetivos globales.

La intervención se dirigió contra una unidad de hacking dentro de la Dirección Principal de Inteligencia de Rusia (GRU), ampliamente rastreada por investigadores de ciberseguridad como APT28, Fancy Bear, Forest Blizzard y Sednit.

Desde al menos 2024, estos hackers patrocinados por el Estado han explotado activamente vulnerabilidades de seguridad conocidas para robar credenciales de miles de routers TP-Link en todo el mundo.

Operación de secuestro de routers rusos

Una vez que los actores de la GRU obtenían acceso no autorizado a un router, manipulaban su configuración del Sistema de Nombres de Dominio (DNS). Esto redirigía efectivamente el tráfico de internet de la víctima a resolutores DNS maliciosos controlados por los atacantes.

Aunque los compromisos iniciales de los routers fueron indiscriminados, los hackers utilizaron un sistema de filtrado automatizado para identificar objetivos de alto valor en los sectores militar, gubernamental e infraestructuras críticas.

Para estos objetivos seleccionados, los resolutores DNS maliciosos proporcionaban registros fraudulentos que imitaban servicios en línea legítimos, como Microsoft Outlook Web Access.

Esto permitió a la GRU ejecutar ataques de Actor-en-el-Medio (AitM) contra el tráfico de red cifrado.

Al redirigir el tráfico a través de sus servidores, los atacantes lograron robar contraseñas sin cifrar, tokens de autenticación, correos electrónicos y otros datos sensibles de dispositivos conectados a las redes comprometidas.

Para detener la campaña de espionaje, el FBI desarrolló y desplegó una serie de comandos remotos en los routers comprometidos en 23 estados.

Estos comandos recopilaron pruebas vitales, eliminaron los resolutores DNS maliciosos de la GRU y restauraron la configuración predeterminada legítima de los proveedores de servicios de internet (ISP).

Los comandos también bloquearon a los atacantes al parchear los medios originales de acceso no autorizado.

El gobierno probó exhaustivamente estas acciones junto con el Laboratorio Lincoln del MIT para garantizar que no afectaran la funcionalidad normal de los routers ni accedieran a datos privados de los usuarios.

El esfuerzo de interrupción fue un éxito colaborativo que involucró a las oficinas de campo del FBI en Boston y Filadelfia, con inteligencia crítica sobre amenazas proporcionada por Microsoft y Black Lotus Labs de Lumen.

Pasos recomendados para la remediación

Aunque el FBI ha asegurado los dispositivos comprometidos, la agencia insta a todos los propietarios de routers SOHO a tomar medidas proactivas para proteger sus redes:

• Reemplaza inmediatamente cualquier router al final de su vida útil (EoL) o sin soporte.
• Actualiza el hardware al firmware más reciente disponible del fabricante.
• Verifica la autenticidad de los resolutores DNS listados en la configuración de tu router.
• Revisa y actualiza las reglas del firewall para evitar la exposición pública de servicios de gestión remota.

El FBI está trabajando directamente con los proveedores de servicios de internet para notificar a los usuarios afectados.

Si crees que tu router fue comprometido, se te recomienda revisar el centro oficial de descargas de TP-Link para obtener guías de configuración adecuadas y presentar un informe en el Centro de Quejas de Delitos en Internet (IC3) del FBI.