El Departamento de Justicia y el FBI revelaron el martes que llevaron a cabo una operación técnica, autorizada por una corte, para neutralizar parte de una red de routers de pequeñas oficinas y oficinas domésticas en Estados Unidos, que habían sido controlados por una unidad de inteligencia militar rusa.
La Unidad Militar Rusa 26165 —también conocida como APT28, Grupo Sofacy, Forest Blizzard, Pawn Storm, Fancy Bear y Sednit— forma parte de la Dirección Principal de Inteligencia del Estado Mayor ruso y ha comprometido routers para ejecutar operaciones maliciosas de secuestro del Sistema de Nombres de Dominio (DNS) en todo el mundo.
Su objetivo eran miembros individuales del ejército estadounidense, el gobierno de Estados Unidos e infraestructura crítica de la que el gobierno ruso esperaba obtener información de inteligencia.
El fiscal federal David Metcalf del Distrito Este de Pensilvania declaró que se habían sustraído datos críticos.
"Ante la continua agresión de nuestros adversarios estatales, el gobierno de Estados Unidos responderá con la misma contundencia", afirmó Metcalf. "En colaboración con el FBI y nuestros socios en todo el mundo, estamos comprometidos a desarticular y exponer estas amenazas a la ciberseguridad de nuestra nación".
El subdirector Brett Leatherman de la División Cibernética del FBI indicó que se habían comprometido enrutadores estadounidenses y globales, y que el FBI seguirá utilizando sus facultades para identificar y sancionar a los actores patrocinados por estados que atacan al pueblo estadounidense.
"Dada la magnitud de esta amenaza, dar la voz de alarma no era suficiente", declaró Leathernan. "El FBI llevó a cabo una operación autorizada por una corte para reforzar la seguridad de los routers comprometidos en todo Estados Unidos".
Historias relacionadas
La operación del FBI, denominada Operación Mascarada, es la acción más reciente de Estados Unidos para contrarrestar las constantes ciberamenazas patrocinadas por el Estado ruso que explotan dispositivos de consumo cotidianos.
Desde 2024, los atacantes del GRU han explotado vulnerabilidades conocidas en routers TP-Link en todo el mundo para robar credenciales administrativas. Posteriormente, obtuvieron acceso no autorizado a los dispositivos y modificaron su configuración para redirigir las consultas DNS a servidores DNS maliciosos controlados por el GRU.
Los atacantes configuraron filtros automatizados para identificar el tráfico de alto valor antes de interceptarlo. Los servidores DNS maliciosos devolvieron registros DNS fraudulentos que parecían corresponder a servicios legítimos, como Microsoft Outlook Web Access.
Esto permitió realizar ataques de intermediario sobre lo que las víctimas creían que era tráfico de red cifrado. El GRU logró obtener contraseñas sin cifrar, tokens de autenticación, correos electrónicos y otros datos confidenciales de los dispositivos en la red del router comprometido.
La operación contó con la colaboración técnica de Black Lotus Labs en Lumen, Microsoft Threat Intelligence y el Laboratorio Lincoln del MIT.
"Masquerade fue liderada por la oficina del FBI en Boston. Representa el ejemplo más reciente de cómo defendemos nuestra patria del GRU ruso, que utilizó routers de ciudadanos estadounidenses desprevenidos en más de 23 estados para robar información confidencial del gobierno, el ejército y la infraestructura crítica", declaró Ted E. Docks, agente especial a cargo de la oficina del FBI en Boston.
Señaló que el FBI empleó tecnología de vanguardia y contó con la colaboración del sector privado y socios internacionales para combatir la actividad maliciosa y reparar los routers.
Los documentos judiciales del caso, presentados en el Distrito Este de Pensilvania, detallan cómo el FBI desarrolló y probó comandos enviados únicamente a los routers afectados en Estados Unidos.
Los comandos revelaron evidencia de las tramas del GRU, restablecieron la configuración DNS de los dispositivos a servidores DNS legítimos de proveedores de servicios de internet y desactivaron los puntos de acceso no autorizados originales. El firmware y la configuración de hardware de los routers TP-Link confirmaron que la operación no interrumpiría el funcionamiento normal del router ni recopilaría datos personales de los usuarios.
Los propietarios legítimos pueden cambiar la configuración mediante un restablecimiento de fábrica con el botón físico o restaurándola manualmente a través de la interfaz web del router.
El FBI también ha estado colaborando con los proveedores de servicios de internet para informar a los usuarios afectados.
Se recomienda a los propietarios de routers para pequeñas oficinas y oficinas domésticas que reemplacen los dispositivos obsoletos o sin soporte, actualicen el firmware a la versión más reciente, verifiquen que los servidores DNS sean los mismos que los proporcionados por el proveedor de servicios de internet y revisen las reglas del firewall para evitar el acceso remoto innecesario a la administración.
La Unidad 26165 del GRU fue objeto de un informe conjunto de mayo de 2025 de la Agencia de Seguridad de Infraestructura y Ciberseguridad, así como de socios internacionales, que describía cómo la unidad atacó a empresas occidentales de logística y tecnología que suministraban ayuda a Ucrania. La campaña, que se remonta a 2022, afectó a organizaciones en 13 países, incluidos Estados Unidos, Alemania y Francia.
En abril de 2025, las autoridades francesas afirmaron que una serie de ciberataques ocurridos desde 2021 eran obra de la misma unidad del GRU.
"El servicio de inteligencia militar ruso (GRU) lleva varios años desplegando un modus operandi ciber-ofensivo denominado APT28 contra Francia. Ha atacado a unas diez entidades francesas desde 2021", escribió Jean-Noël Barrot, ministro de Asuntos Exteriores francés, en la red social X.
En febrero de 2024, el Departamento de Justicia desmanteló una botnet controlada por el GRU que había atacado cientos de routers de pequeñas empresas y oficinas domésticas en todo el mundo con malware. El FBI utilizó el mismo malware para copiar y eliminar datos robados, además de modificar las reglas del cortafuegos para impedir el acceso de gestión remota.
