Tifón de sal

En septiembre de 2024, surgieron los primeros informes de que un ciberataque grave había comprometido los sistemas de telecomunicaciones de EE. UU. Funcionarios estadounidenses declararon que la campaña probablemente llevaba en marcha entre uno y dos años antes de su descubrimiento, y que varias docenas de países se vieron afectados por el ataque, incluidos los de Europa y el Indo-Pacífico . ^{[ 9 ]} Según los informes, la campaña estaba "diseñada como un programa de espionaje chino centrado en funcionarios gubernamentales clave [y] propiedad intelectual corporativa clave". ^{[ 3 ] [ 10 ]}

A finales de 2024, funcionarios estadounidenses anunciaron que piratas informáticos afiliados a Salt Typhoon habían accedido a los sistemas informáticos de nueve empresas de telecomunicaciones estadounidenses , entre las que posteriormente se reconoció que se encontraban Verizon , AT&T , T-Mobile , Spectrum , Lumen , Consolidated Communications y Windstream . ^{[ 11 ] [ 12 ] [ 13 ]} El ataque se dirigió a las redes de banda ancha estadounidenses, en particular a los componentes centrales de la red, incluidos los enrutadores fabricados por Cisco , que enrutan gran parte de Internet. ^{[ 3 ] [ 4 ]} En octubre de 2024, funcionarios estadounidenses revelaron que el grupo había comprometido los sistemas de proveedores de servicios de Internet (ISP) utilizados para cumplir con las solicitudes de CALEA utilizadas por las agencias de inteligencia y de aplicación de la ley estadounidenses para realizar escuchas telefónicas autorizadas por un tribunal . ^{[ 12 ]}

Los piratas informáticos pudieron acceder a los metadatos de las llamadas y mensajes de texto de los usuarios , incluyendo marcas de fecha y hora, direcciones IP de origen y destino , y números de teléfono de más de un millón de usuarios; la mayoría de los cuales se encontraban en el área metropolitana de Washington D.C. En algunos casos, los piratas informáticos pudieron obtener grabaciones de audio de llamadas telefónicas realizadas por personas de alto perfil. ^{[ 14 ]} Según se informa, entre estas personas se encontraban miembros del personal de la campaña presidencial de Kamala Harris de 2024 , así como teléfonos pertenecientes a Donald Trump y JD Vance . ^{[ 15 ]} Según la asesora adjunta de seguridad nacional Anne Neuberger , un "gran número" de las personas cuyos datos fueron accedidos directamente eran "objetivos de interés del gobierno". ^{[ 14 ]}

En marzo de 2025, el Comité de Seguridad Nacional de la Cámara de Representantes de Estados Unidos solicitó al Departamento de Seguridad Nacional (DHS) que entregara documentos sobre la respuesta del gobierno federal al ciberataque. ^{[ 16 ]}

La segunda administración Trump despidió a todos los miembros de la Junta de Revisión de Seguridad Cibernética antes de que pudiera completar su investigación de la intrusión. ^{[ 17 ]} En abril de 2025, la Oficina Federal de Investigación (FBI) anunció una recompensa de 10 millones de dólares por información sobre personas asociadas con Salt Typhoon. ^{[ 18 ]}

En diciembre de 2024, Verizon y AT&T anunciaron que habían contenido el incidente y que el atacante ya no tenía acceso a sus redes. ^{[ 19 ]} El 12 de junio de 2025, la senadora Maria Cantwell , miembro de mayor rango del Comité de Comercio, Ciencia y Transporte del Senado , escribió cartas a los directores ejecutivos de AT&T y Verizon solicitando información detallada sobre las investigaciones de ciberseguridad realizadas en ambas compañías. La senadora Cantwell solicitó una lista de todas las vulnerabilidades identificadas que permitieron el acceso de los atacantes, así como planes de remediación y documentación que respaldara la afirmación de que Salt Typhoon ya no estaba presente en sus redes. ^{[ 20 ]}

Ocho meses después, en febrero de 2026, la senadora Cantwell envió una carta al presidente del comité, Ted Cruz, solicitándole que convocara una audiencia en la que se interrogaría a los directores ejecutivos de AT&T y Verizon sobre la seguridad actual de sus redes. La carta afirma que ambas compañías contrataron a Mandiant para realizar evaluaciones de seguridad, pero que Mandiant no proporcionó los informes generados por dichas evaluaciones tras ser solicitados. ^{[ 21 ]}

El 11 de junio de 2025, el DHS publicó un informe titulado Salt Typhoon: Data Theft Likely Signals Expanded Targeting (Tifón de Sal: El robo de datos probablemente indica una ampliación de los objetivos ). En el informe, la agencia describe cómo el grupo de ciberdelincuentes comprometió la red de la Guardia Nacional del Ejército de un estado estadounidense no identificado . ^{[ 22 ]}

En agosto de 2025, el FBI declaró que Salt Typhoon había hackeado al menos 200 empresas en 80 países. ^{[ 1 ]}

En diciembre de 2025, se detectaron intrusiones en varios comités de la Cámara de Representantes de los Estados Unidos y posteriormente se atribuyeron a Salt Typhoon. ^{[ 23 ]}

En noviembre de 2025, el director general de la Organización Australiana de Inteligencia de Seguridad, Mike Burgess, declaró que piratas informáticos vinculados al gobierno y al ejército chinos habían intentado acceder a la infraestructura crítica de Australia, incluidas las redes de telecomunicaciones. Identificó a los grupos Salt Typhoon y Volt Typhoon , que también se infiltraron en sistemas estadounidenses con fines de espionaje y posible sabotaje, y advirtió que se habían producido sondeos similares en Australia. ^{[ 24 ] [ 25 ]}

Para obtener acceso inicial a sus objetivos, se ha observado que el grupo explota vulnerabilidades conocidas en cortafuegos, enrutadores y productos VPN: ^{[ 34 ] [ 35 ]}

Salt Typhoon emplea muchas técnicas para mantener el acceso a sus objetivos y evitar ser detectado. ^{[ 34 ]}

• Modificar las listas de control de acceso (ACL) para agregar direcciones IP.
• Se exponen servicios como SSH , RDP o FTP para facilitar el acceso remoto o la exfiltración de datos. Estos servicios se ejecutan en puertos estándar y no estándar para evitar ser detectados. También se ha observado que el grupo añade claves a servicios SSH existentes.
• Creación de túneles sobre protocolos como Generic Routing Encapsulation (GRE) o IPsec en dispositivos de red.
• Ejecutar comandos dentro de contenedores Linux en dispositivos de red Cisco a través de la consola de invitado. Esto permite al atacante instalar herramientas, procesar datos y moverse lateralmente por la red sin ser detectado, ya que las actividades dentro del contenedor generalmente no se supervisan.
• Utilizar herramientas de pivote de múltiples saltos de código abierto para retransmitir comandos desde servidores de comando y control .