Introducción
Un operador de telecomunicaciones europeo comprometido, trece organizaciones alojadas en sus centros de datos expuestas en cadena, millones de historiales de pacientes exfiltrados, todo ello en más de dos semanas, sin que se disparara ninguna alerta crítica. Este es el escenario documentado por investigadores de seguridad en el informe Operation Snowball, publicado a principios de noviembre de 2026. La campaña ilustra con una claridad inquietante un riesgo que los equipos de TI aún tienen dificultades para cuantificar: el del proveedor de hosting como vector de intrusión transversal.
El núcleo de la red como puerta de entrada
El ataque se apoyó en una vulnerabilidad de tipo XXE (XML External Entity) no autenticada en Cisco BroadWorks XSP, un componente central de las plataformas de telefonía empresarial. Este tipo de fallo en una infraestructura de telecomunicaciones no es menor: BroadWorks está desplegado en decenas de operadores en todo el mundo para gestionar la señalización y las identidades de los suscriptores. Una explotación exitosa permite extraer credenciales, claves SSL y archivos de configuración, elementos que, combinados, abren el acceso a los sistemas adyacentes.
Los investigadores pudieron reconstruir la cronología completa de la intrusión gracias a unas sesenta transcripciones de sesión recuperadas en un servidor de staging que el atacante había dejado expuesto. El arsenal desplegado era extenso: framework C2 tunelizado detrás de Cloudflare, webshells Java, herramientas de movimiento lateral, escáneres de red intranet de alto rendimiento y ataques de fuerza bruta sobre los servicios de autenticación. Un conjunto de herramientas propio de un proveedor ofensivo profesional, operado en gran medida sin intervención humana.
El efecto cascada: del operador a sus clientes alojados
Aquí es donde la campaña adquiere toda su dimensión. Una vez comprometida la infraestructura del operador, los atacantes pivotaron hacia las trece organizaciones alojadas en sus centros de datos. Portales Liferay, servidores JBoss, instancias Citrix NetScaler, appliances PAN-OS, bases de datos Oracle y SAP HANA, el espectro de sistemas afectados refleja la diversidad de inquilinos característica de un proveedor de hosting compartido de tamaño intermedio.
Entre los datos exfiltrados figuran millones de historiales de pacientes procedentes de un software de gestión hospitalaria, claves privadas RSA, configuraciones de supervisión de red y credenciales de Active Directory de organizaciones del sector sanitario. Activos que no pertenecen al operador de telecomunicaciones en sí, pero que circulaban sobre su infraestructura.
Este esquema, compromisión del proveedor de infraestructura seguida de la exposición automática de sus clientes, difiere estructuralmente de un ataque dirigido directamente contra la organización víctima. El firewall del cliente alojado es sorteado no por una vulnerabilidad en su propio perímetro, sino por una entrada del lado de la red del proveedor.
Lo que revela la duración de la campaña
Más de dos semanas de actividad sin detección coordinada: este lapso merece atención. Los registros recuperados muestran que algunas soluciones de endpoint sí bloquearon intentos de explotación puntuales, forzando una adaptación de los vectores de ataque. Sin embargo, estas alertas no desencadenaron una respuesta global. La capacidad para eludir las medidas defensivas en tiempo real, cambiando de herramienta o de técnica sin interrupción, plantea una pregunta de fondo sobre la adecuación de las arquitecturas de detección actuales frente a campañas que se adaptan de forma continua.
Las preguntas que debe formular a su proveedor de hosting
Para los CIO y CISO cuyas organizaciones están alojadas en un operador de telecomunicaciones o en un proveedor de infraestructura externo, este caso plantea preguntas concretas e inmediatas:
- ¿Qué aislamiento de red existe entre la infraestructura del proveedor y los entornos de cada cliente?
- En caso de compromisión de la red del proveedor, ¿qué mecanismos de detección operan del lado del inquilino?
- ¿Los SLA de seguridad incluyen un compromiso sobre los plazos de notificación ante incidentes en la infraestructura compartida?
- ¿Los flujos de administración entre el proveedor y los sistemas alojados están auditados y segmentados?
Albergar los sistemas en un operador de telecomunicaciones ofrece garantías de conectividad y disponibilidad. Pero no exime de construir una defensa en profundidad que no dé por sentada la integridad de la infraestructura subyacente.