Los ciberdelincuentes están utilizando currículums falsos, fotografías generadas con inteligencia artificial y sitios web que simulan portafolios profesionales para infiltrarse en empresas y obtener información confidencial. Kaspersky identificó una nueva campaña de ciberespionaje denominada Operación FlashHole, atribuida al grupo Lazarus, que combina técnicas de engaño con programas maliciosos y mecanismos avanzados para evadir los sistemas de seguridad.
La investigación, realizada por el Equipo Global de Investigación y Análisis de Kaspersky (GReAT), señala que la operación permanece activa desde al menos julio de 2025 y ha afectado a organizaciones de distintos sectores en Asia.
Aunque no se han confirmado víctimas de esta campaña en México o América Latina, la compañía advierte que las técnicas identificadas podrían utilizarse contra empresas de la región, donde Lazarus cuenta con antecedentes de actividad maliciosa.
Uno de los aspectos más relevantes del hallazgo es que los atacantes no dependen exclusivamente de engañar a los empleados. También aprovechan una posible vulnerabilidad en un programa legítimo de seguridad y autenticación para comprometer los equipos.
¿Cómo funciona la nueva campaña de ciberespionaje de Lazarus?
La Operación FlashHole utiliza una combinación de ingeniería social, inteligencia artificial y explotación de posibles vulnerabilidades tecnológicas.
De acuerdo con Kaspersky, los responsables de la campaña desarrollaron sitios web que aparentaban pertenecer a profesionales interesados en oportunidades laborales.
Estas páginas contenían currículums, portafolios y fotografías de supuestos candidatos, algunas generadas mediante inteligencia artificial para aumentar su credibilidad.
Posteriormente, los atacantes distribuían enlaces a estos sitios mediante correos electrónicos personalizados.
La técnica, conocida como spear-phishing o phishing dirigido, busca adaptar el engaño a una persona u organización específica para aumentar las probabilidades de que el destinatario confíe en el mensaje.
Los investigadores también consideran posible que la inteligencia artificial se haya utilizado para personalizar los sitios fraudulentos según las características de las víctimas, aunque ese uso adicional no se presenta como un hecho confirmado.
LEE: Empresas invierten en tecnología, pero 87% enfrenta problemas con la calidad de sus datos
Las principales técnicas identificadas
| Técnica | Función dentro de la campaña |
|---|---|
| Perfiles profesionales falsos | Simular candidatos y generar confianza |
| Fotografías creadas con IA | Dar apariencia de autenticidad a identidades fraudulentas |
| Correos personalizados | Dirigir a las víctimas hacia sitios maliciosos |
| Posible vulnerabilidad en CrossWeb EX | Facilitar la infección de los equipos |
| Malware TouchHub y ClientHub | Ejecutar instrucciones y mantener acceso a los sistemas |
| Uso de Dropbox | Ocultar comunicaciones mediante un servicio legítimo |
| Criptografía poscuántica | Proteger las comunicaciones del malware frente a su análisis |
Fuente: Kaspersky, investigación sobre la Operación FlashHole, octubre de 2026.
La combinación de estas técnicas permite que un contacto aparentemente relacionado con un proceso de reclutamiento se convierta en una vía de acceso a sistemas empresariales.
Sitios de empleo falsos pueden aprovechar vulnerabilidades de software legítimo
Uno de los hallazgos centrales de Kaspersky es el posible aprovechamiento de una vulnerabilidad en CrossWeb EX, una herramienta legítima de seguridad y autenticación utilizada en Asia.
Los investigadores encontraron indicios de que visitar uno de los sitios fraudulentos podía activar esa vulnerabilidad e iniciar la instalación de programas maliciosos.
El mecanismo es especialmente relevante porque la infección no dependería únicamente de que el usuario descargara voluntariamente un archivo sospechoso.
La presencia de una falla de seguridad en una aplicación legítima podría facilitar el compromiso del dispositivo al acceder a una página preparada por los atacantes.
Kaspersky describe el hallazgo como una posible vulnerabilidad, por lo que no corresponde presentarlo como una falla confirmada en todas las versiones del programa.
La investigación tampoco identifica en el comunicado una clave CVE específica ni proporciona información sobre el número de dispositivos comprometidos mediante este mecanismo.
TouchHub y ClientHub: las herramientas utilizadas para infiltrarse en empresas
Durante el análisis de FlashHole, los especialistas identificaron dos herramientas maliciosas que no habían sido documentadas anteriormente: TouchHub y ClientHub.
Ambas permiten mantener comunicación con los atacantes y realizar actividades dentro de los equipos comprometidos.
Entre sus capacidades se encuentran la ejecución de instrucciones y la instalación de nuevas amenazas informáticas.
Kaspersky también detectó una variante que utiliza Dropbox como canal de comunicación.
Esta técnica aprovecha un servicio de almacenamiento en la nube legítimo para intercambiar información y dificultar que las conexiones maliciosas sean identificadas únicamente por el dominio o la plataforma utilizada.
Para los equipos de seguridad empresarial, el desafío consiste en diferenciar las actividades autorizadas de aquellas que utilizan herramientas habituales para ocultar comportamientos sospechosos.
Lazarus incorpora criptografía poscuántica para ocultar sus ataques
La investigación también identificó el uso de criptografía poscuántica, una tecnología diseñada para proteger información frente a determinadas capacidades de las futuras computadoras cuánticas.
Aunque estos mecanismos tienen aplicaciones legítimas en la protección de comunicaciones, Lazarus los está utilizando para dificultar el análisis del intercambio de información entre los equipos infectados y la infraestructura de los atacantes.
Kaspersky señala que esta capacidad se remonta al menos a septiembre de 2024.
Sojun Ryu, investigador sénior de seguridad del equipo GReAT de Kaspersky, explicó que Lazarus continúa modificando sus herramientas e incorporando nuevas capacidades a sus operaciones.
“Lo que merece especial atención es la adopción, por parte de Lazarus, de criptografía diseñada para resistir futuras amenazas cuánticas”.
El investigador señaló que los hallazgos permiten rastrear el uso de esta tecnología hasta septiembre de 2024, más de un año antes de la divulgación de la investigación.
La operación también incorpora mecanismos de evasión y técnicas para ejecutar código malicioso sin generar archivos convencionales en los dispositivos.
Estas características pueden complicar la detección mediante herramientas que dependen principalmente de identificar archivos maliciosos conocidos.
¿Por qué esta amenaza representa un riesgo para las empresas mexicanas?
Aunque los casos documentados de la Operación FlashHole se concentran en Asia, las técnicas utilizadas no dependen exclusivamente de herramientas regionales.
Los correos electrónicos, los portafolios profesionales y los servicios de almacenamiento en la nube forman parte de las actividades habituales de numerosas organizaciones.
En México, las áreas de recursos humanos, reclutamiento, tecnología y administración pueden recibir documentos y enlaces de candidatos, proveedores o colaboradores externos.
Estos intercambios representan posibles puntos de exposición cuando los mensajes provienen de identidades fraudulentas.
El riesgo puede aumentar si los dispositivos utilizados para revisar información externa también tienen acceso a documentos confidenciales, sistemas administrativos o recursos internos de la compañía.
Sin embargo, Kaspersky no reporta en este comunicado ataques confirmados de FlashHole contra empresas mexicanas, ni proporciona cifras de pérdidas económicas asociadas con la campaña.
La advertencia para América Latina es preventiva y se basa en la posibilidad de que las técnicas identificadas sean utilizadas en otras regiones.
¿Qué consecuencias financieras puede tener un ataque de ciberespionaje?
El ciberespionaje empresarial puede comprometer información estratégica y generar costos operativos cuando los atacantes consiguen acceso a sistemas internos.
Las consecuencias potenciales dependen de los permisos obtenidos, el tipo de información expuesta y el tiempo durante el cual permanece activa la intrusión.
Entre los riesgos para las organizaciones se encuentran:
- Robo de información confidencial: acceso a documentos comerciales, datos de clientes o información estratégica.
- Interrupciones operativas: afectaciones a sistemas utilizados por distintas áreas de la empresa.
- Costos de investigación y recuperación: recursos destinados a identificar la intrusión, contenerla y restaurar los sistemas.
- Riesgos contractuales y regulatorios: posibles consecuencias cuando se comprometen datos sujetos a obligaciones de protección.
- Pérdida de confianza: afectaciones comerciales si un incidente compromete información de clientes o socios.
Estas consecuencias describen riesgos posibles de una intrusión empresarial; no son daños que Kaspersky haya cuantificado específicamente para la Operación FlashHole.
La investigación tampoco ofrece estimaciones sobre el número total de organizaciones afectadas ni sobre el valor económico de la información comprometida.
¿Cómo proteger a una empresa de currículums falsos y ataques de Lazarus?
Kaspersky recomienda fortalecer los mecanismos de verificación y protección de los dispositivos utilizados para interactuar con personas externas.
Las medidas no deben limitarse a reconocer mensajes fraudulentos, ya que algunas campañas también pueden aprovechar vulnerabilidades de aplicaciones legítimas.
Seis medidas para reducir los riesgos de ciberespionaje
- Verificar perfiles y portafolios profesionales. Confirmar la autenticidad de los candidatos y revisar cuidadosamente los enlaces recibidos mediante correo electrónico.
- Mantener actualizados los sistemas. Instalar parches de seguridad y revisar las vulnerabilidades de las aplicaciones utilizadas por la organización.
- Restringir los permisos de acceso. Evitar que los empleados y aplicaciones dispongan de más privilegios de los necesarios para realizar sus actividades.
- Supervisar las conexiones a servicios en la nube. Identificar patrones inusuales de comunicación y uso de plataformas de almacenamiento.
- Implementar capacidades de detección y respuesta. Utilizar herramientas de seguridad que permitan investigar comportamientos sospechosos y contener incidentes.
- Capacitar al personal y consultar inteligencia de amenazas. Mantener informados a los empleados sobre nuevas modalidades de phishing y actualizar los procedimientos de prevención.
Las empresas que reciben un volumen considerable de solicitudes laborales también pueden establecer procedimientos para revisar enlaces y archivos externos en entornos controlados.
La verificación de identidades resulta especialmente relevante cuando una comunicación solicita acceder a sitios desconocidos o ejecutar acciones fuera del proceso habitual de reclutamiento.
Inteligencia artificial y ciberseguridad: un desafío para las empresas
La Operación FlashHole muestra cómo las herramientas de inteligencia artificial pueden utilizarse para mejorar la apariencia de campañas de ingeniería social.
Las fotografías generadas digitalmente y los sitios que simulan perfiles profesionales permiten construir identidades fraudulentas que pueden resultar convincentes a primera vista.
Sin embargo, la investigación también evidencia que los ataques avanzados combinan el engaño con otras capacidades, como la explotación de vulnerabilidades, el uso de servicios legítimos y mecanismos sofisticados para ocultar las comunicaciones.
Para las empresas mexicanas, la principal medida de prevención consiste en fortalecer sus controles sobre los accesos, los dispositivos y la información que circula mediante plataformas externas.
La identificación de FlashHole no confirma una nueva ola de ataques contra México, pero sí documenta la evolución de las herramientas utilizadas por Lazarus. La combinación de inteligencia artificial, malware especializado y criptografía poscuántica amplía los desafíos para detectar actividades de ciberespionaje antes de que comprometan información empresarial.
