Redes vinculadas al Estado chino habrían explotado vulnerabilidades para infiltrarse en servidores on‑premise de grandes organizaciones públicas y privadas
Redmond / Washington, julio de 2025 — Microsoft ha identificado a grupos cibernéticos asociados al gobierno chino como responsables de una sofisticada campaña de intrusión en servidores autohospedados de SharePoint. Entre los atacantes señalados figuran colectivos como Linen Typhoon, Violet Typhoon y Storm‑2603, conocidos por operaciones persistentes de ciberespionaje en sectores estratégicos.
La vulnerabilidad principal explotada permitió ataques de tipo spoofing y ejecución remota de código, lo que facilitó la instalación de web shells, el robo de claves criptográficas y accesos prolongados a redes corporativas. Investigaciones independientes revelaron que al menos 100 organizaciones en Norteamérica, Europa y Asia podrían haber sido comprometidas.
El fallo afectó a versiones locales de SharePoint Server 2016, 2019 y Subscription Edition, mientras que la versión en la nube permaneció segura. Microsoft emitió un parche inicial a mediados de mes, pero los expertos en ciberseguridad detectaron que no cubría todos los vectores posibles, lo que obligó a un segundo parche de emergencia.
Diversas agencias, incluyendo el Departamento de Seguridad Nacional de Estados Unidos y firmas privadas como Mandiant, CrowdStrike y Eye Security, confirmaron la actividad de actores vinculados al Estado chino. Estos grupos utilizaron técnicas de sigilo y persistencia similares a las vistas en ataques anteriores como el de Exchange Server en 2021.
El impacto potencial es severo: entre los objetivos figuran organismos gubernamentales, infraestructuras críticas, universidades y consorcios tecnológicos. Documentos confidenciales, claves de autenticación y mapas de red pudieron haber sido comprometidos, generando un riesgo de accesos persistentes incluso después de aplicar los parches.
Microsoft, en colaboración con CISA y otros organismos internacionales, ha recomendado medidas urgentes como la rotación de claves, el escaneo con herramientas antimalware avanzadas y, en casos extremos, la desconexión temporal de servidores vulnerables. También se aconseja revisar los registros de actividad buscando patrones asociados a ToolPane.aspx y rutas anómalas que denoten presencia de puertas traseras.
Este episodio revive el debate sobre la seguridad de las infraestructuras autogestionadas frente a las soluciones en la nube. Mientras algunos sectores acusan a Microsoft de priorizar sus productos cloud sobre los legacy, otros subrayan que el verdadero problema es la exposición constante a actores estatales que operan con niveles de sofisticación y financiamiento propios de una guerra híbrida digital.
China, por su parte, ha rechazado en múltiples ocasiones las acusaciones de ciberespionaje, calificándolas como infundadas o parte de una campaña de desinformación occidental. Sin embargo, informes independientes y análisis OSINT han vinculado repetidamente estos ataques con unidades del Ejército Popular de Liberación y con redes de proxies digitales con base en Asia-Pacífico.
A corto plazo, se espera que las investigaciones deriven en nuevas sanciones, reforzamiento de los protocolos de ciberdefensa y una reevaluación de los estándares de seguridad en plataformas empresariales clave. Pero lo más preocupante es que esta operación parece formar parte de un patrón más amplio de exploración cibernética sistemática que apunta a vulnerar no solo sistemas informáticos, sino también la confianza institucional en la integridad digital.
Con base en fuentes abiertas, reportes oficiales y contrastes verificables, Phoenix24 presenta este análisis como parte de su ejercicio informativo profesional y autónomo.
Based on open sources, official reports, and verifiable contrasts, Phoenix24 presents this analysis as part of its professional and autonomous journalistic work.