Estimado Internet:
Ayer publiqué un artículo sobre cómo Shai-Hulud fue una de las mejores cosas que le han pasado a la seguridad de la cadena de suministro. La tesis era deliberadamente provocativa. Porque, en última instancia, los « ataques a la cadena de suministro » que hemos visto durante el último año, y especialmente en los últimos seis meses, han causado daños y trastornos significativos tanto a empresas como a particulares.
La avalancha de ataques a la que hemos sido testigos, especialmente por parte de TeamPCP, ha causado un daño increíble. Aunque algunas de las consecuencias a largo plazo puedan, en última instancia, fortalecer el ecosistema, nadie debería confundir eso con que los ataques en sí mismos sean algo positivo.
Hoy, sobre todo, me siento aliviado tras conocer las noticias de la Policía Federal Australiana (AFP), el FBI y la Policía de Australia Occidental (WAPF). En su comunicado indican que han detenido a dos hombres de unos veinte años, a quienes se acusa de estar detrás del grupo TeamPCP.
Sobre Shai-Hulud
Antes de profundizar en la noticia que ha salido hoy a la luz: no hay absolutamente ningún indicio de que TeamPCP estuviera detrás de los ataques originales de S1ngularity y Shai-Hulud que vimos en el verano de 2025. Sin embargo, sí que clonaron el gusano, y se informó con frecuencia de que estaban detrás de los ataques de Shai-Hulud. Quiero dejar claro que se trata de ataques distintos. Todavía no sabemos quién estuvo detrás de los ataques originales, y puede que nunca lo sepamos.
Un suspiro de alivio
Los últimos seis meses han sido bastante surrealistas. En mi caso personal, todo dio un giro extraño el 21 de marzo de 2026, cuando estaba investigando un ataque y vi esto:
Podrías sentirte halagado. Yo no lo estaba. Desde que empecé mi carrera en el ámbito de la seguridad, he tenido que lidiar con grupos del crimen organizado, y no hay nada «bonito» ni «halagador» en llamar su atención. Estos individuos pueden ser volátiles, impredecibles y perfectamente capaces de hacerte la vida imposible si deciden fijarse en ti.
Eso es lo que hace que estas dinámicas parasociales resulten tan incómodas. Son unilaterales, inestables y potencialmente peligrosas. Que los delincuentes se fijen en uno puede confundirse fácilmente con una especie de estatus o reconocimiento. En realidad, lo que significa sobre todo es que personas de las que preferirías mantenerte alejado han decidido prestarte atención.
Un extraño agente malicioso
TeamPCP nunca encajó del todo en los esquemas habituales. No era realmente un actor estatal, ni del todo una organización de ciberdelincuencia, ni tampoco un grupo puramente ideológico. Parecía situarse en algún punto intermedio entre los tres, mezclando dinero, política, desestabilización, ego y ansia de atención de formas que lo hacían difícil de predecir.
Tampoco eran especialmente sofisticados. Lo que los hacía peligrosos era su capacidad para tomar exploits, técnicas, investigaciones e ideas de malware de dominio público y ponerlas en práctica rápidamente. Los modelos de lenguaje grande (LLM) parecen haber contribuido a acortar la distancia entre detectar una técnica de ataque y desplegarla a gran escala. Una mayor capacidad, sin mayor moderación, es probablemente la forma más sencilla de describir por qué TeamPCP supuso un problema tan grave.
Las instituciones son más importantes
A medida que los modelos de lenguaje grande (LLM) aceleran el aprendizaje, la experimentación, el desarrollo de herramientas y la ampliación de escala, los actores relativamente inexpertos pueden llegar a ser capaces de causar graves daños mucho más rápido que antes. TeamPCP demostró cuánta daño puede causar un grupo muy pequeño en un periodo de tiempo sorprendentemente corto. Esto hace que las instituciones dedicadas a la seguridad cobren aún más importancia.
Las medidas de seguridad técnicas pueden contener un incidente, pero por sí solas no bastan para garantizar la rendición de cuentas. Por eso valoro tanto a las autoridades australianas implicadas en este asunto. Gran parte de este trabajo es difícil, minucioso e invisible desde fuera, pero, en última instancia, son las instituciones que funcionan las que nos permiten pasar de limitarnos a reaccionar ante los ataques a imponer consecuencias reales.
Pero las instituciones avanzan lentamente
Lo preocupante es que los atacantes y las instituciones operan ahora con plazos radicalmente diferentes. Un puñado de personas que cuenten con las herramientas adecuadas pueden pasar de una idea a una nueva campaña en cuestión de horas o días, mientras que recabar pruebas, coordinarse a nivel transfronterizo y alcanzar un resultado duradero puede llevar meses o años.
Los modelos de lenguaje a gran escala (LLM) no harán más que agravar el problema. Estamos reduciendo el tiempo que se tarda en adquirir capacidades y en convertir las ideas en acciones, mientras que los sistemas encargados de responder a esos daños no pueden simplemente acelerarse al mismo ritmo. Será cada vez más importante averiguar cómo cerrar esa brecha sin sacrificar las garantías procesales.
¿Qué vendrá después?
Si hay algo que he aprendido de los últimos seis meses, es que este no será el último grupo como TeamPCP. Las barreras son cada vez menores, las herramientas son cada vez mejores y los equipos pequeños están adquiriendo capacidades que, hace solo unos años, habrían requerido mucha más experiencia e infraestructura.
Las condiciones que hicieron posible la creación de TeamPCP no van a desaparecer. De hecho, están empeorando. Es probable que la brecha entre la rapidez con la que los atacantes pueden adquirir capacidades y la rapidez con la que nuestras instituciones pueden responder se amplíe aún más. El reto consiste en garantizar que el ecosistema y los sistemas que lo rodean puedan adaptarse con la suficiente rapidez a un mundo en el que grupos muy pequeños, inmaduros e impredecibles pueden causar un daño desproporcionado.
Para mí, sin embargo, hoy no se trata tanto de ese futuro como de cerrar un capítulo. TeamPCP me ha quitado mucho sueño, muchos fines de semana y mucho más espacio mental del que me hubiera gustado. Sé que, tarde o temprano, habrá otro incidente, otro grupo y otra larga noche.
Pero espero que no sea este fin de semana.
