Robo de datos dirigido a organizaciones políticas europeas: Caso GTG-50029

Qué sucedió

La IA ha ayudado a cerrar la brecha de capacidades, convirtiendo a los «hacktivistas» de bajo nivel en amenazas persistentes avanzadas. Como muestran repetidamente nuestros estudios de caso, la capacidad de la IA eleva la línea de base al tiempo que reduce los requisitos de recursos para los operadores cibernéticos ofensivos. En esta sección, proporcionamos detalles de una campaña hacktivista que investigamos e interrumpimos, donde operaciones pequeñas pero motivadas pudieron lograr objetivos significativos debido a que la IA se integró en sus operaciones.

En la primavera de 2026, se observó a un actor de habla francesa utilizando Claude para dirigirse a partidos políticos, medios, think tanks europeos y los proveedores de software como servicio (SaaS) que utilizan estas organizaciones.

El actor construyó su propio escáner personalizado basado en Rust diseñado para escanear y validar claves API expuestas en contenedores públicos. Una vez que una clave era validada, las herramientas del actor estaban diseñadas para rotar el uso de la clave a través de una capa de proxy local. Esto permitió al actor mezclar su tráfico con el tráfico del propietario legítimo de la clave API robada. Como vimos en los estudios de caso anteriores, obtener APIs expuestas elimina las barreras de entrada para los actores maliciosos.

GTG-50029 proporciona otro ejemplo de un actor que adopta el uso de la IA en toda la cadena de destrucción. El actor utilizó las capacidades de codificación de agentes de la IA dentro de un marco que le ayudaba a gestionar subagentes; los propios subagentes eran responsables del reconocimiento previo y posterior a la autenticación, la revisión de código y la verificación cruzada de hallazgos de diferentes modelos de IA.

Qué hizo la IA

Explotaciones novedosas y herramientas personalizadas: la técnica característica de la campaña para acceder inicialmente a los sistemas objetivo fue la explotación de una condición de carrera de reinstalación de WordPress no documentada previamente que creaba una cuenta de administrador no autorizada sin credenciales válidas. El actor utilizó Claude para desarrollar y depurar la explotación en la misma sesión, incluida la creación de un marco de pruebas experimental. Se dirigió con éxito a al menos cuatro sitios web de víctimas.

En un caso, el actor irrumpió en una plataforma de gestión de campañas políticas a través de un punto de conexión de búsqueda expuesto. El actor instruyó a su agente para iterar a través del punto de conexión, exfiltrando finalmente unos 140.000 registros, incluidas las opiniones políticas de los usuarios.

Contra otro objetivo, el actor implantó una webshell oculta dentro de un recurso de fuente (una webshell es un pequeño script colocado en un servidor web que permite a un atacante enviar comandos de forma remota para que el servidor los ejecute, efectivamente una puerta trasera accesible a través del propio sitio web). El actor construyó la webshell sobre la marcha cuando identificó una vulnerabilidad que permitía la carga de archivos. También utilizaron un plugin de WordPress «de uso obligatorio» —un plugin que se ejecuta en cada carga de página y no puede desactivarse desde el panel de administración— que recopilaba las credenciales enviadas, las cifraba con una clave pública por sitio y las ponía a disposición para su recuperación. Además, GTG-50029 alteró las copias de seguridad de la víctima, probablemente para mantener la persistencia. Si la víctima restauraba un entorno anterior desde la copia de seguridad, volvería a infectarse.

Finalmente, el actor irrumpió en una organización de medios desplegando un marco de mando y control (C2) de explotación de navegadores que enganchaba a los lectores de la organización a través de scripts inyectados. Esto permitió al actor tomar huellas digitales de miles de navegadores visitantes. Observamos al actor buscando específicamente sesiones y credenciales del personal editorial a través de este marco.

La herramienta característica del actor fue «fafsearch», una plataforma personalizada de doxxing. La plataforma proporcionaba un motor de búsqueda compilado, completo con una tubería de ingesta, la capacidad de cruzar referencias de volcados de filtración de datos personales con datos exfiltrados, normalización de números de identidad nacional y números de teléfono, lógica de clasificación, pruebas y despliegue contenerizado. El actor cargó decenas de millones de filas de datos en la plataforma, incluida información como identificadores nacionales de salud y datos de filtraciones del sistema judicial, y los fusionó con material obtenido de sus propias intrusiones. Publicaron los resultados como un conjunto de servicios de red oscura alojados de forma anónima donde las personas asociadas con campañas políticas objetivo podían ser consultadas por nombre.

Este es uno de los casos más claros que hemos visto de ingeniería de software asistida por IA aplicada directamente a ataques de privacidad a gran escala —y toda la plataforma fue creada por una sola persona.

Qué observó el informe

De las 42 entidades objetivo rastreadas, el actor obtuvo acceso interno a al menos 14. El actor accedió y exfiltró un estimado de 12 a 26 GB de volcados de bases de datos, incluida información sobre donantes y miembros de partidos políticos, un buzón de 15.000 mensajes, registros de solicitudes de estudiantes (incluidos datos de menores) y datos de proveedores de pagos. El actor también configuró la interceptación de credenciales en tiempo real. Utilizando los datos exfiltrados, el actor puso a disposición archivos cifrados para cada víctima en un sitio de filtración de Tor operado por el actor.

El informe enumera los indicadores de compromiso relacionados (IPs, dominios, etc.) al final para que los defensores los investiguen. Según los límites de seguridad de este sitio, no se reproducen los valores específicos de los indicadores.

Confirmado y desconocido

Respuesta de la plataforma

Anthropic afirma que investigó e interrumpió la campaña. Este sitio no reproduce las IPs, dominios ni campos de identificación personal del informe.

Límites de la respuesta：Interrumpir las cuentas de la plataforma no significa que se hayan recuperado todos los datos robados, ni que todos los sistemas de las víctimas hayan sido limpiados.