La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) ha alertado sobre cómo ciberatacantes del FSB ruso están explotando routers vulnerables o mal configurados a nivel global. Estos dispositivos son utilizados como proxies residenciales para ocultar el origen de sus operaciones, afectando redes de infraestructuras críticas. La advertencia conjunta con otros países subraya la urgencia de fortalecer la seguridad de estos equipos.
Aunque a menudo pasan desapercibidos, los routers, esos equipos esenciales que conectan nuestros hogares y oficinas a Internet, se han convertido en una herramienta valiosa para quienes buscan operar de forma encubierta. El riesgo no reside en su función visible, sino en las vulnerabilidades que surgen de configuraciones débiles o firmware desactualizado, un problema que ahora trasciende el ámbito de los especialistas en seguridad.
La posibilidad de que un router sirva como escondite dejó de ser una advertencia teórica el 13 de julio de 2026. CISA, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos, emitió una alerta indicando que actores del Centro 16 del FSB, el servicio de seguridad ruso, continúan explotando dispositivos de red vulnerables o mal configurados en diversas naciones. Según el comunicado, esta actividad ya ha comprometido redes en varios sectores de infraestructuras críticas. La alerta fue difundida en colaboración con organismos de Australia, Dinamarca, Nueva Zelanda y el Reino Unido.
El objetivo principal no es simplemente acceder al router, sino utilizarlo como intermediario para llevar a cabo otras operaciones. Cuando el tráfico pasa a través de un dispositivo instalado en una vivienda o una pequeña oficina, la conexión puede aparentar ser la de un usuario legítimo. Este método se conoce como proxy residencial: una conexión doméstica empleada para disimular la verdadera ubicación del atacante. Para los sistemas de defensa de una organización, diferenciar a primera vista entre una conexión normal y una actividad maliciosa se vuelve considerablemente más complejo.
Para localizar nuevos dispositivos, los atacantes escanean rangos de direcciones IP en busca de routers con agentes SNMP activos, un protocolo utilizado para consultar y administrar equipos conectados a una red. El peligro surge cuando este servicio está expuesto y acepta credenciales predeterminadas o fácilmente adivinables. En tal escenario, el equipo puede responder a individuos que no deberían tener acceso. El primer paso, por lo tanto, consiste en identificar qué routers continúan anunciándose en Internet con una configuración débil.
Encontrar un router expuesto no es suficiente para controlarlo. Según CISA, los atacantes envían tráfico malicioso con direcciones IP de origen suplantadas y aprovechan el agente SNMP mal configurado para ejecutar malware en el dispositivo. Esto se realiza, además, desde redes compuestas por otros routers ya comprometidos, creando un sistema que se autoalimenta. El proceso consta de tres fases: primero, localizan el equipo; luego, explotan su configuración; y finalmente, lo integran a la red desde la cual seguirán buscando nuevos objetivos.
Una vez integrado en esta red, el router comienza a funcionar como un nodo de salida, es decir, como el último punto visible antes de que el tráfico alcance su destino. Para el receptor de la conexión, la actividad no parece originarse en sistemas vinculados al FSB, sino de una dirección IP de apariencia legítima. Esta cobertura puede disminuir las probabilidades de bloqueo automático y dificulta la labor de quienes intentan rastrear la ruta hasta los responsables de la operación.
La utilidad de esta red de intermediarios se comprende mejor al considerar sus posibles objetivos. CISA menciona redes de comunicaciones, defensa, energía, servicios financieros y organismos públicos, todos ellos sectores donde una conexión aparentemente legítima puede facilitar sondeos o ataques posteriores. Este fenómeno no es reciente: actores rusos y chinos llevan años compitiendo y reutilizando routers comprometidos. Aunque gobiernos y empresas han logrado desinfectar dispositivos y desarticular botnets, sus operadores suelen reconstruirlas incorporando nuevos equipos.
CISA recomienda desactivar SNMP 1 y 2, versiones que carecen de cifrado de contraseñas y protecciones actuales, y utilizar SNMP 3 únicamente cuando sea indispensable. Si este protocolo no se emplea para la administración de la red, la opción más segura es deshabilitarlo por completo. El organismo también aconseja desactivar Cisco Smart Install, reemplazar las credenciales débiles, instalar las actualizaciones de firmware y limitar otros protocolos de red innecesarios. El router puede pasar desapercibido durante años, pero esto no implica que debamos permitir que funcione sin el mantenimiento adecuado.
