Fotos de Kash Patel filtradas en el ciberataque de Handala

A medida que Irán intensifica sus ataques de represalia contra Estados Unidos e Israel con misiles y drones, acercándose a una quinta semana de guerra, sus guerreros cibernéticos están comenzando a hacer lo mismo.

Un destacado grupo de hackers consiguió un momento particularmente llamativo el viernes, comprometiendo una antigua dirección de correo electrónico personal perteneciente al director del FBI, Kash Patel, y publicando muchos de sus contenidos en línea, incluido un antiguo currículum y fotografías de él fumando cigarros y posando en un espejo con una botella de ron.

A medida que Irán intensifica sus ataques de represalia contra Estados Unidos e Israel con misiles y drones, acercándose a una quinta semana de guerra, sus guerreros cibernéticos están comenzando a hacer lo mismo.

Un destacado grupo de hackers consiguió un momento particularmente llamativo el viernes, comprometiendo una antigua dirección de correo electrónico personal perteneciente al director del FBI, Kash Patel, y publicando muchos de sus contenidos en línea, incluido un antiguo currículum y fotografías de él fumando cigarros y posando en un espejo con una botella de ron.

Un portavoz del FBI reconoció que el correo electrónico de Patel había sido atacado. «La información en cuestión es de naturaleza histórica y no involucra información gubernamental», dijo el portavoz. Política exteriorañadiendo que la agencia había ofrecido una recompensa de hasta 10 millones de dólares por información sobre el grupo, conocido como Handala Hack Team, que está vinculado al Ministerio de Inteligencia y Seguridad de Irán.

La violación del correo electrónico de Patel fue la última salva en un intercambio de ojo por ojo durante la semana pasada en el que el Departamento de Justicia de Estados Unidos confiscó cuatro sitios web pertenecientes a Handala el 19 de marzo, una semana después de que Handala se atribuyera el mérito de un ciberataque masivo contra el fabricante estadounidense de equipos médicos Stryker. La compañía todavía estaba trabajando para restaurar completamente los sistemas hasta el martes.

«Estamos trabajando estrechamente con nuestros sitios de fabricación globales a medida que las operaciones mejoran constantemente hacia la capacidad total», dijo un portavoz de Stryker en un comunicado enviado por correo electrónico. «La capacidad de fabricación está aumentando rápidamente con la restauración de la mayoría de nuestros sitios y líneas críticas».

Handala, que también dijo recientemente que filtró información personal de varios ingenieros de Lockheed Martin con base en Israel, es uno de varios grupos de hackers vinculados al régimen iraní que han atacado a funcionarios y empresas estadounidenses durante la semana pasada. Otro grupo, conocido como APT Irán, afirmó haber robado 375 terabytes de datos del contratista de defensa estadounidense, según la firma de inteligencia de amenazas Flashpoint. Esas violaciones no han sido confirmadas oficialmente y la compañía dijo Política exterior que «no hay evidencia que indique un impacto en los sistemas, operaciones o datos de Lockheed Martin en este momento».

Pero para los grupos de hackers iraníes, la confusión es a menudo el punto, dijo Cynthia Kaiser, quien se desempeñó como subdirectora adjunta de la división cibernética del FBI hasta mayo de 2025.

«Has visto a Handala hacer esto muchas veces… es una mezcla de mentiras y ataques reales, lo que dificulta analizar qué está sucediendo exactamente», dijo Kaiser, quien ahora es vicepresidente senior de investigación de ransomware en la firma de ciberseguridad Halcyon. «Pero si el objetivo final es demostrar que puedes tomar represalias, ya sea para una audiencia interna iraní o para aquellos cuyas actividades estás tratando de disuadir, hacerlo público es importante», añadió, describiendo tales operaciones como «una especie de campañas de relaciones públicas cibernéticas».

Handala y otros grupos también han atacado repetidamente a Israel, y la Dirección Nacional Cibernética de Israel dijo que los piratas informáticos vinculados a Irán habían borrado datos de al menos 60 empresas israelíes mediante los llamados ataques de “limpieza”.

“Las fronteras entre el Estado-nación y los ciberdelincuentes son muy claras en el caso de los actores iraníes”, dijo David Carmiel, director ejecutivo de la empresa israelí de ciberseguridad Kela. Kela y Halcyon encontraron evidencia en la web oscura de que el grupo de ransomware Pay2Key, vinculado a Irán, ofrece el 80 por ciento de las ganancias a piratas informáticos que apuntan a «enemigos» de Irán (un aumento con respecto a su recorte anterior del 70 por ciento), que describió como «[s]Condiciones especialmente ventajosas para los amigos de Irán”.

Carmiel dijo que, a diferencia de los grupos de ransomware típicamente vinculados a Rusia, cuyas perturbaciones se centran en gran medida en ganar dinero tomando acceso a los sistemas y luego restaurándolos a cambio de pagos multimillonarios, los grupos de ransomware iraníes se centran en el daño. «Se trata menos de ayudarlo a recuperarse y más de obtener alguna ganancia financiera y causar daños de manera destructiva a su infraestructura».

Las represalias cibernéticas iraníes fueron relativamente silenciosas en los primeros días del conflicto, cuando las fuerzas estadounidenses e israelíes utilizaron tanto operaciones cibernéticas ofensivas como ataques aéreos cinéticos para matar a altos líderes del régimen iraní y destruir un centro de comando cibernético.

«Pero cualquiera que tenga una computadora portátil podría encontrar una manera de volver a conectarse; no es que haya algo mágico en el edificio», dijo Mieke Eoyang, quien se desempeñó como subsecretaria adjunta de defensa de Estados Unidos para política cibernética hasta abril de 2025 y ahora es profesora visitante en el Instituto de Estrategia y Tecnología de la Universidad Carnegie Mellon. «De todos modos, gran parte de la infraestructura en la que operan los actores maliciosos es virtual, por lo que esperaría que veamos ese tipo de operaciones con el tiempo», agregó. «No necesariamente necesitan tener ese tipo de estructura estricta de comando y control para generar una interrupción significativa».

Nada de lo que los expertos cibernéticos han visto hasta ahora por parte de grupos iraníes es realmente fuera de lo común: Irán tiene una larga historia de perseguir a Washington y sus aliados en el ciberespacio, incluido el compromiso de infraestructura crítica de Estados Unidos, como plantas de tratamiento de agua.

Esos ataques aún podrían ocurrir mientras Irán se atrinchera en la guerra y encuentra su base cibernética. «Este es el manual iraní», dijo Kaiser. «Ven el ciberataque como un medio para tomar represalias; es un poco menos gradual que un ataque de tipo físico o cinético, pero les permite decir que han tomado represalias».

También significa que incluso en el improbable caso de que se negocie el fin de la guerra, la amenaza cibernética de Irán no necesariamente se disipará.

«Incluso si hay algún tipo de alto el fuego, lo cibernético continuará porque en muchos casos pasa desapercibido», dijo Carmiel. «El universo objetivo de los grupos iraníes acaba de hacerse más grande».