{"id":31975,"date":"2026-04-07T08:00:18","date_gmt":"2026-04-07T06:00:18","guid":{"rendered":"https:\/\/www.kaspersky.es\/blog\/?p=31975"},"modified":"2026-04-07T11:56:28","modified_gmt":"2026-04-07T09:56:28","slug":"supply-chain-attacks-in-2025","status":"publish","type":"post","link":"https:\/\/www.kaspersky.es\/blog\/supply-chain-attacks-in-2025\/31975\/","title":{"rendered":"Los ataques a la cadena de suministro m\u00e1s notables de 2025"},"content":{"rendered":"

Los ataques a la cadena de suministro han sido una de las categor\u00edas m\u00e1s peligrosas de incidentes de ciberseguridad durante a\u00f1os<\/a>. Y si el 2025 nos ha ense\u00f1ado algo, es que los ciberdelincuentes los est\u00e1n llevando al siguiente nivel. En este an\u00e1lisis en profundidad, examinamos los ataques a la cadena de suministro ocurridos en 2025 que, aunque no siempre fueron los m\u00e1s costosos, sin duda fueron los m\u00e1s inusuales y llamaron la atenci\u00f3n del sector.<\/p>\n

Enero de 2025: se encuentra un RAT en el repositorio de GitHub de DogWifTools<\/h2>\n

Como \u201cprecalentamiento\u201d despu\u00e9s de las fiestas, los ciberdelincuentes colocaron sistem\u00e1ticamente varias versiones de DogWifTools en puertas traseras<\/a>. Esta es una utilidad dise\u00f1ada para lanzar y promover monedas meme<\/a> basadas en Solana en Pump.fun. Despu\u00e9s de vulnerar el repositorio privado de GitHub para DogWifTools, los atacantes esperaron a que los desarrolladores cargaran una compilaci\u00f3n nueva, le inyectaron un RAT y luego cambiaron el programa leg\u00edtimo por su versi\u00f3n maliciosa solo unas horas m\u00e1s tarde. Seg\u00fan los desarrolladores, los actores de la amenaza lograron insertar troyanos en las versiones\u00a01.6.3 a 1.6.6 de DogWifTools para Windows.<\/p>\n

La fase culminante se desencaden\u00f3 a finales de enero. Despu\u00e9s de usar el RAT para recolectar una cantidad masiva de datos de dispositivos infectados, los atacantes vaciaron las carteras de criptomonedas de sus v\u00edctimas. Si bien las v\u00edctimas estiman que el bot\u00edn total super\u00f3 los 10 millones de d\u00f3lares en criptomonedas, los propios atacantes han rebatido<\/a>\u00a0esa cifra, aunque no llegaron a revelar exactamente cu\u00e1nto se hab\u00edan llevado en realidad.<\/p>\n

Febrero de 2025: el atraco de Bybit por 1500\u00a0millones de d\u00f3lares<\/h2>\n

Si enero fue un precalentamiento, febrero fue un colapso total. El hackeo del cambio de criptomonedas de Bybit<\/a> eclips\u00f3 por completo los incidentes anteriores, convirti\u00e9ndose en el atraco de criptomonedas m\u00e1s grande de la historia. Los atacantes lograron vulnerar el software Safe{Wallet}, la soluci\u00f3n de almacenamiento en fr\u00edo de m\u00faltiples firmas en la que se basaba el cambio para administrar sus activos.<\/p>\n

Los empleados de Bybit pensaron que estaban firmando una transacci\u00f3n rutinaria; en realidad, estaban autorizando un contrato inteligente malicioso. Una vez ejecutado, vaci\u00f3 una cartera fr\u00eda principal y dispers\u00f3 los fondos entre varios cientos de direcciones controladas por el atacante. El bot\u00edn final super\u00f3 los 400 000 ETH\/stETH, con un asombroso valor total de aproximadamente\u2026 \u00a11500 millones de d\u00f3lares!<\/p>\n

Marzo de 2025: Coinbase fue el objetivo de una vulneraci\u00f3n en cascada de GitHub\u00a0Actions<\/h2>\n

La primavera de 2025 comenz\u00f3 con un ataque sofisticado en el cual se vulneraron m\u00faltiples GitHub\u00a0Actions<\/a> (los patrones de flujo de trabajo utilizados para automatizar las tareas est\u00e1ndar de DevOps) como su mecanismo de entrega principal. Todo comenz\u00f3 con el atraco de un token de acceso personal que pertenec\u00eda a un encargado del mantenimiento de la herramienta de an\u00e1lisis de SpotBugs. Mediante este punto de apoyo, los atacantes publicaron un proceso malicioso y lograron secuestrar un token de un encargado del mantenimiento del flujo de trabajo de reviewdog\/action-setup, que tambi\u00e9n estuvo involucrado en el proyecto.<\/p>\n

A partir de ah\u00ed, vulneraron una dependencia, el flujo de trabajo tj-actions\/changed-files, y lo modificaron para ejecutar un script de Python malicioso. Este script se dise\u00f1\u00f3 para buscar secretos de alto valor, como claves de AWS, Azure y Google\u00a0Cloud, tokens de GitHub y NPM, credenciales de base de datos y claves privadas RSA. Curiosamente, el script redact\u00f3 todo lo que encontr\u00f3 directo en registros de compilaci\u00f3n de acceso p\u00fablico. Esto signific\u00f3 que los datos filtrados no solo estaban disponibles para los atacantes, sino para cualquier persona lo suficientemente inteligente como para mirar.<\/p>\n

El objetivo original de esta operaci\u00f3n era un repositorio perteneciente al cambio de criptomonedas de Coinbase. Afortunadamente, los desarrolladores detectaron la amenaza a tiempo y evitaron la vulneraci\u00f3n. Despu\u00e9s de darse cuenta de que estaban a punto de perder el control de los flujos de procesos tj-actions\/changed-files, los atacantes tomaron un enfoque de ataque indiscriminado. Esto puso a 23 000 repositorios en riesgo de filtraci\u00f3n de secretos. Al final, se expusieron las credenciales confidenciales de varios cientos<\/a> de esos repositorios al p\u00fablico.<\/p>\n

Abril de 2025: una puerta trasera en 21\u00a0extensiones de Magento<\/h2>\n

En abril, se descubri\u00f3<\/a> una infecci\u00f3n en toda una variedad de extensiones para Magento, una de las plataformas m\u00e1s populares para crear tiendas en l\u00ednea. La puerta trasera se integr\u00f3 en 21\u00a0m\u00f3dulos desarrollados por tres proveedores: Tigren, Meetanshi y MGS. Estas extensiones formaban parte de la infraestructura de varios cientos de empresas de comercio electr\u00f3nico, incluida al menos una corporaci\u00f3n multinacional.<\/p>\n

Seg\u00fan los investigadores que lo descubrieron, la puerta trasera en realidad se plant\u00f3 en 2019. En abril de 2025, los atacantes finalmente la activaron para vulnerar sitios web y cargar shells web. Esto se logr\u00f3 a trav\u00e9s de una funci\u00f3n incrustada en las extensiones que ejecutaba c\u00f3digo arbitrario extra\u00eddo de un archivo de licencia.<\/p>\n

Ir\u00f3nicamente, los m\u00f3dulos infectados inclu\u00edan MGS GDPR y Meetanshi CookieNotice. Como sugieren los nombres, estas extensiones fueron dise\u00f1adas para ayudar a los sitios a cumplir con las regulaciones de privacidad del usuario y procesamiento de datos. Al final, en lugar de garantizar la privacidad, lo m\u00e1s probable es que su uso haya dado lugar al robo de datos de los usuarios y activos financieros a trav\u00e9s del web skimming<\/a>.<\/p>\n

Mayo de 2025: ransomware distribuido a trav\u00e9s de un proveedor de servicios gestionados vulnerado<\/h2>\n

En mayo, los actores de ransomware de la banda DragonForce obtuvieron acceso<\/a> a la infraestructura de un proveedor de servicios gestionados (MSP) no identificado y lo usaron para distribuir su ransomware y robar datos de las organizaciones cliente del MSP.<\/p>\n

Al parecer, los atacantes aprovecharon varias vulnerabilidades (incluida un fallo cr\u00edtico) en SimpleHelp, la herramienta de supervisi\u00f3n y gesti\u00f3n remota utilizada por el MSP. Estas vulnerabilidades se descubrieron en 2024 y se dieron a conocer p\u00fablicamente y se parchearon en enero de 2025<\/a>. Por desgracia, parece que el MSP decidi\u00f3 no acelerar el proceso de actualizaci\u00f3n, un retraso que la banda de ransomware no dud\u00f3 en aprovechar.<\/p>\n

Junio de 2025: una puerta trasera en m\u00e1s de una docena de paquetes de npm populares<\/h2>\n

A principios del verano, los atacantes hackearon la cuenta de uno de los encargados del mantenimiento de la biblioteca de Gluestack y usaron un token de acceso robado para inyectar puertas traseras en 17\u00a0paquetes de npm<\/a>. El m\u00e1s popular de estos paquetes, @react-native-aria\/interactions, tuvo 125 000 descargas semanales, mientras que todos los paquetes vulnerados combinados sumaron m\u00e1s de un mill\u00f3n.<\/p>\n

Lo que es particularmente interesante en este caso son los pasos que tomaron los desarrolladores de Gluestack despu\u00e9s del incidente<\/a>: primero, restringieron el acceso al repositorio de GitHub para los colaboradores secundarios; en segundo lugar, activaron la autenticaci\u00f3n de dos factores (2FA) para publicar nuevas versiones; y en tercer lugar, prometieron implementar pr\u00e1cticas de desarrollo seguras como el flujo de trabajo basado en solicitudes de extracci\u00f3n, revisiones sistem\u00e1ticas de c\u00f3digo, registros de auditor\u00eda, etc. En otras palabras, antes del incidente, un proyecto con cientos de miles de descargas semanales no contaba con dichas medidas.<\/p>\n

Julio de 2025: paquetes de npm populares infectados a trav\u00e9s de un ataque de phishing<\/h2>\n

En julio, los paquetes de npm volvieron a ser<\/a> las estrellas del espect\u00e1culo, incluido el paquete \u201cis\u201d, de nombre corto pero ampliamente utilizado, que cuenta con 2,7\u00a0millones de descargas semanales. Esta biblioteca de utilidades de JavaScript proporciona una amplia gama de funciones de verificaci\u00f3n de tipo y validaci\u00f3n de valores. Para llevar a cabo un ataque de phishing contra uno de los propietarios del proyecto, los atacantes utilizaron con \u00e9xito el truco m\u00e1s antiguo del libro: typosquatting<\/a> (usaron el dominio npnjs.com en lugar de npmjs.com) y un clon del sitio web oficial de npm.<\/p>\n

Luego usaron la cuenta vulnerada para publicar varias de sus propias versiones del paquete con una puerta trasera integrada. La infecci\u00f3n pas\u00f3 desapercibida durante seis horas: tiempo de sobra para que una gran cantidad de desarrolladores descargaran los paquetes de npm maliciosos.<\/p>\n

La misma t\u00e1ctica de phishing tambi\u00e9n se implement\u00f3 contra otros desarrolladores. Los atacantes aprovecharon varias cuentas de desarrollador vulneradas para distribuir diferentes variantes de su carga maliciosa<\/a>. Tambi\u00e9n existe una firme sospecha de que pueden haber guardado parte de su bot\u00edn para futuros ataques.<\/p>\n

Agosto de 2025: el ataque de s1ngularity y una filtraci\u00f3n de cientos de secretos de desarrolladores<\/h2>\n

A finales de agosto, un incidente denominado \u201cs1ngularity\u201d<\/a> continu\u00f3 la tendencia de apuntar a los desarrolladores de JavaScript. Los atacantes vulneraron Nx, un sistema de compilaci\u00f3n popular y una herramienta de optimizaci\u00f3n de procesos de CI\/CD. El c\u00f3digo malicioso inyectado en los paquetes busc\u00f3 en sistemas de desarrolladores infectados una amplia gama de datos confidenciales, como claves de carteras de criptomonedas, tokens de npm y GitHub, claves SSH, claves de API y m\u00e1s.<\/p>\n

Curiosamente, los atacantes utilizaron herramientas de inteligencia artificial instaladas localmente, como Claude\u00a0Code, Gemini\u00a0CLI y Amazon\u00a0Q, para detectar secretos en las m\u00e1quinas de las v\u00edctimas. Todo lo que encontraron se public\u00f3 en los repositorios p\u00fablicos de GitHub creados con los nombres de las v\u00edctimas, usando los t\u00edtulos \u201cs1ngularity-repository\u201d, \u201cs1ngularity-repository-0\u201d y \u201cs1ngularity-repository-1\u201d. Como habr\u00e1s adivinado, de ah\u00ed viene el nombre del ataque.<\/p>\n

En consecuencia, los datos privados de cientos de desarrolladores terminaron a la vista, al alcance no solo de los atacantes, sino de cualquier persona con conexi\u00f3n a Internet.<\/p>\n

Septiembre de 2025: un ladr\u00f3n de criptomonedas vulnera paquetes de npm que tienen 2600\u00a0millones de descargas semanales<\/h2>\n

La tendencia de vulneraciones de paquetes de npm lleg\u00f3 hasta septiembre. Despu\u00e9s de una nueva campa\u00f1a de phishing dirigida a los desarrolladores de JavaScript, los atacantes lograron inyectar c\u00f3digo malicioso en unas pocas docenas de proyectos de alto perfil. Algunos de estos, espec\u00edficamente \u201cchalk\u201d y \u201cdebug\u201d, cuentan con cientos de millones<\/em> de descargas semanales. En conjunto, los paquetes infectados acumulaban m\u00e1s de 2600\u00a0millones de descargas por semana<\/a> en el momento de la filtraci\u00f3n, y solo se han vuelto m\u00e1s populares desde entonces.<\/p>\n

La carga era un ladr\u00f3n de criptomonedas: malware dise\u00f1ado para interceptar transacciones de criptomonedas y redirigirlas a las carteras de los atacantes. Afortunadamente, a pesar de haber infectado con \u00e9xito algunos de los proyectos m\u00e1s populares del mundo, los atacantes de alguna manera lograron arruinar la etapa final de su operaci\u00f3n. Al final, se fueron con unos miserables 925\u00a0d\u00f3lares<\/a>.<\/p>\n

Solo una semana despu\u00e9s, ocurri\u00f3 otro incidente importante: la primera ola del malware Shai-Hulud de autopropagaci\u00f3n<\/a>, que infect\u00f3 alrededor de 150\u00a0paquetes de npm, incluidos proyectos de CrowdStrike. Sin embargo, la segunda ola, que golpe\u00f3 varios meses despu\u00e9s, result\u00f3 ser mucho m\u00e1s destructiva. Analizaremos Great Worm en mayor profundidad un poco m\u00e1s adelante.<\/p>\n

Octubre de 2025: GlassWorm infecta el ecosistema de Visual Studio Code<\/h2>\n

Aproximadamente un mes despu\u00e9s del ataque de Shai-Hulud, un malware de autopropagaci\u00f3n similar denominado GlassWorm<\/a> comenz\u00f3 a infectar las extensiones de Visual Studio Code tanto en el Registro Open VSX como en el Marketplace de extensiones de Microsoft. Los atacantes buscaban cuentas de GitHub, Git, npm y Open\u00a0VSX, as\u00ed como claves de carteras de criptomonedas.<\/p>\n

Los creadores de GlassWorm adoptaron un enfoque muy creativo para su infraestructura de comando y control: usaron una cartera de criptomonedas en la cadena de bloques (blockchain) de Solana como su C2 principal, con Google\u00a0Calendar como canal de comunicaci\u00f3n de respaldo.<\/p>\n

M\u00e1s all\u00e1 de simplemente vaciar las carteras de criptomonedas de las v\u00edctimas y secuestrar sus cuentas para propagar a\u00fan m\u00e1s el gusano, los atacantes tambi\u00e9n colocaron un RAT llamado Zombi en los dispositivos infectados, lo que les otorg\u00f3 un control total sobre los sistemas vulnerados.<\/p>\n

Noviembre de 2025: la campa\u00f1a IndonesianFoods y 150\u00a0000\u00a0paquetes de spam en npm<\/h2>\n

En noviembre, surgi\u00f3<\/a> una nueva molestia dentro del registro de npm. Los atacantes usaron una campa\u00f1a maliciosa coordinada denominada IndonesianFoods para inundar el registro con decenas de miles de paquetes in\u00fatiles.<\/p>\n

El objetivo principal aqu\u00ed era jugar con el sistema para inflar las m\u00e9tricas y los farm tokens en tea.xyz, una plataforma de cadena de bloques (blockchain) dise\u00f1ada para recompensar a los desarrolladores de c\u00f3digo abierto. Para lograrlo, los atacantes construyeron una red masiva de proyectos interdependientes con nombres que hacen referencia a la cocina indonesia, como zul-tapai<\/a>9-kyuki o andi-rendang<\/a>23-breki.<\/p>\n

Los creadores de esta campa\u00f1a no se molestaron en robar cuentas. Estrictamente hablando, los paquetes de spam ni siquiera conten\u00edan una carga maliciosa, a menos que cuentes un script dise\u00f1ado para generar de forma autom\u00e1tica nuevos paquetes cada siete segundos. Sin embargo, el incidente funcion\u00f3 como un claro recordatorio de lo vulnerable que es la infraestructura de npm a las campa\u00f1as de spam a gran escala.<\/p>\n

Diciembre de 2025: Shai-Hulud\u00a02.0 y la filtraci\u00f3n de 400\u00a0000\u00a0secretos de desarrolladores<\/h2>\n

El principal protagonista del a\u00f1o, no solo para los ataques a la cadena de suministro, sino probablemente para todo el campo de la ciberseguridad, fue el malware autopropagado Shai-Hulud<\/a> (tambi\u00e9n conocido como Sha1-Hulud) dirigido a desarrolladores.<\/p>\n

Este malware fue la evoluci\u00f3n l\u00f3gica del ataque de s1ngularity que mencionamos anteriormente: tambi\u00e9n rastrea los sistemas en busca de todo tipo de secretos y los publica en repositorios abiertos de GitHub. Sin embargo, Shai-Hulud a\u00f1adi\u00f3 un mecanismo de autopropagaci\u00f3n a esta l\u00ednea de base: el gusano infecta los proyectos controlados por desarrolladores ya vulnerados mediante el uso de sus credenciales robadas.<\/p>\n

La primera ola de Shai-Hulud ocurri\u00f3 en septiembre e infect\u00f3 varios cientos de paquetes de npm. Pero, hacia finales de a\u00f1o lleg\u00f3 una segunda ola, denominada Shai-Hulud\u00a02.0<\/a>.<\/p>\n

Esta vez, el gusano se actualiz\u00f3 con funcionalidad de wiper. Si el malware no encontraba tokens de npm o GitHub v\u00e1lidos en un sistema infectado, desencadenaba una carga destructiva que borraba los archivos del usuario.<\/p>\n

Aproximadamente 400\u00a0000\u00a0secretos<\/a> se filtraron en total como resultado del ataque. Vale la pena se\u00f1alar que, al igual que con s1ngularity, todos estos datos confidenciales terminaron en repositorios p\u00fablicos donde podr\u00edan ser descargados no solo por los atacantes sino por cualquier otra persona. Y es muy probable que las secuelas de este ataque se sientan durante mucho tiempo.<\/p>\n

Uno de los primeros casos confirmados de un exploit que utiliza secretos filtrados por Shai-Hulud fue un robo de criptomonedas dirigido a varios miles de usuarios de Trust\u00a0Wallet. Los atacantes utilizaron estos secretos en la v\u00edspera de Navidad para cargar una versi\u00f3n maliciosa de la extensi\u00f3n Trust\u00a0Wallet, completa con un drenador de criptomonedas<\/a> integrado, a Chrome Web Store. Al final, lograron huir con 8,5\u00a0millones de d\u00f3lares en criptomonedas.<\/p>\n

C\u00f3mo protegerse contra ataques a la cadena de suministro<\/h2>\n

Cuando preparamos una retrospectiva similar para 2024<\/a>, descubrimos que era bastante f\u00e1cil ce\u00f1irse a una estructura de una amenaza por mes. Para 2025, sin embargo, fue mucho pedir. El a\u00f1o pasado se produjeron tantos ataques masivos a la cadena de suministro que simplemente no pudimos incluirlos todos en esta descripci\u00f3n general.<\/p>\n

El a\u00f1o 2026 se prev\u00e9 igual de intenso, por lo que te recomendamos que leas nuestra publicaci\u00f3n espec\u00edfica sobre c\u00f3mo prevenir los ataques a la cadena de suministro<\/a>. Mientras tanto, aqu\u00ed tienes los puntos clave:<\/p>\n