Un banco europeo fue vulnerado a través de una pasarela de terceros mal asegurada. Posteriormente, el atacante intentó explotar la infraestructura de Windows Server Update Services (WSUS) de la entidad. Este incidente demuestra que el robo de credenciales y los controles de acceso deficientes pueden poner en riesgo los sistemas centrales de un banco sin necesidad de una cadena de ataque compleja.

Un banco europeo fue vulnerado a través de una pasarela de terceros mal asegurada antes de que un atacante intentara explotar su infraestructura de Servicios de Actualización de Servidores de Windows (WSUS).

El caso muestra cómo los datos de inicio de sesión robados y los controles de acceso débiles pueden poner en riesgo los sistemas centrales de software de un banco sin necesidad de una cadena de ataque compleja.

El equipo de seguridad del banco descubrió intentos de acceso no autorizados a la VPN que se extendieron durante varios meses tras detectar actividad inusual en su sistema informático central.

Los investigadores rastrearon la intrusión hasta una pasarela externa gestionada por un tercero, donde no se había aplicado correctamente una autenticación estricta.

Investigadores de Unit 42 identificaron la intrusión y su intento de ejecución de código, pero su informe no menciona ninguna familia de malware.

Publicada el 13 de octubre de 2026, la investigación describe a un atacante oportunista cuyas acciones ruidosas expusieron brechas de seguridad básicas, en lugar de una operación de espionaje avanzada y confirmada.

Atacantes vulneran un banco europeo

El atacante utilizó credenciales comprometidas para iniciar sesión en los sistemas internos a través de la pasarela. Unit 42 no nombró al proveedor del dispositivo ni explicó cómo se obtuvieron inicialmente esas credenciales.

El punto de entrada confirmado fue la autenticación débil en el dispositivo gestionado externamente, no un exploit de software de la pasarela revelado. Esa distinción es importante porque las cuentas válidas pueden dar acceso a un intruso sin requerir una vulnerabilidad nueva.

Informes anteriores sobre ataques de fuerza bruta contra VPN describen incidentes separados que involucran contraseñas débiles y dispositivos que carecen de autenticación multifactor, lo que demuestra por qué los ajustes de acceso remoto merecen una revisión detallada. Esos incidentes no están vinculados a este banco.

Una vez dentro, el intruso escaneó repetidamente hosts y redes a través de varios protocolos, interactuando con miles de sistemas.

En lugar de seguir silenciosamente un camino estrecho, el atacante buscó ampliamente más oportunidades para ganar acceso. Unit 42 señaló que el volumen de escaneo y el uso de identificadores de sistema comunes mostraron poco esfuerzo por permanecer oculto.

Durante varios meses, el atacante también llevó a cabo repetidas campañas de adivinación de contraseñas contra sistemas internos, centrándose principalmente en las cuentas de administrador.

Estos intentos buscaban acceso adicional mientras el intruso exploraba el entorno. Coberturas separadas sobre ataques automatizados de inicio de sesión en VPN ilustran cómo las pruebas repetitivas de credenciales pueden amenazar los servicios de acceso remoto, aunque la adivinación de contraseñas reportada en el banco ocurrió internamente.

La actividad se extendió más allá de los inicios de sesión. Solicitudes web automatizadas extrajeron páginas y adjuntos internos, mientras el atacante buscaba en carpetas compartidas operativas y de red.

Esto expuso documentación durante la intrusión. Sin embargo, el informe no indica el volumen de datos robados, no identifica a los clientes afectados ni confirma que se hayan sustraído registros bancarios de clientes.

Intento de exploit de WSUS detenido

Posteriormente, el atacante se dirigió a una vulnerabilidad de ejecución remota de código en WSUS en el servidor de gestión de configuración central del banco.

Ese servidor gestionaba la distribución de software en toda la organización, lo que lo convertía en un lugar atractivo para buscar privilegios más altos y acceso duradero. El control de un servicio tan central podría haber ampliado el impacto del incidente.

Unit 42 no reveló el identificador CVE de la vulnerabilidad. Aunque informes separados sobre la explotación activa de vulnerabilidades de WSUS cubren la CVE-2025-59287, ese identificador no puede asignarse a este incidente bancario basándose en la evidencia publicada.

Mantener estos casos separados evita convertir un riesgo técnico relacionado en un hallazgo no respaldado. Cortex XDR detectó el intento de ejecutar código no autorizado y contuvo la amenaza antes de que escalara.

Unit 42 informó que se impidió que el atacante estableciera un acceso persistente o se propagara más por la red. Esta contención ocurrió después del escaneo inicial, los intentos de autenticación y el acceso a la documentación interna; no evitó la brecha inicial.

Los equipos de respuesta revisaron los registros de los endpoints en miles de sistemas y los logs de docenas de servidores Windows y Linux. No encontraron presencia adicional del atacante ni puertas traseras persistentes.

Los directivos del banco revisaron la documentación expuesta y rotaron todas las credenciales comprometidas. El banco también amplió su cobertura de Cortex XDR y Cortex XSIAM, así como el soporte de respuesta a incidentes.

La investigación resalta la autenticación, el parcheo oportuno y la detección de endpoints como salvaguardas fundamentales. La gestión por parte de terceros no eliminó la exposición del banco a una configuración débil de la pasarela, mientras que la contención y la búsqueda posterior ayudaron a limitar los daños.

Para los equipos de seguridad, la lección es revisar el acceso gestionado por proveedores con el mismo cuidado que los sistemas internos. El informe pide controles de identidad estrictos, actualizaciones oportunas y monitoreo de endpoints. Comprobar estos controles en conjunto es importante porque, de lo contrario, un inicio de sesión válido puede convertir una pasarela externa en acceso interno.