Desde febrero de 2026, Storm-2945 ha estado desplegando operaciones aumentadas con inteligencia artificial, incluyendo campañas de phishing dirigidas a códigos de dispositivo y OAuth para la adquisición de datos de Microsoft 365. No obstante, fue a principios de mayo de 2026 cuando Microsoft Threat Intelligence observó una escalada significativa: Storm-2945 comenzó a manipular el tráfico DNS y HTTP de redes equipadas con portales cautivos. Los atacantes redirigen a las víctimas hacia infraestructuras maliciosas que sirven para distribuir malware o páginas de phishing. Estas páginas suelen imitar portales legítimos de inicio de sesión de Microsoft 365 o actualizaciones críticas del sistema operativo o del navegador, engañando a los usuarios para que entreguen sus credenciales o instalen software malicioso.
Entre los programas maliciosos identificados se encuentra “CornFlake”, un troyano de acceso remoto (RAT) para Windows, escrito en Go, que ostenta capacidades de registro de teclas, captura de pantalla y vigilancia de audio/video. Otro malware mencionado es “ChocoShell”. Además, existen indicios claros de que los atacantes también están dirigiendo sus esfuerzos hacia dispositivos Android. Microsoft ha reportado “compromisos generalizados de redes Wi-Fi en organizaciones relacionadas con la hotelería y otras redes atendidas por equipos de portal cautivo en varios países”. Un informe de la firma de seguridad ReliaQuest, citado por Microsoft, ha documentado actividad en múltiples ciudades de Estados Unidos, así como en India y Arabia Saudita. El blanco principal son las cuentas de viajeros corporativos, que a menudo manejan información sensible y tienen acceso a redes empresariales.
Análisis de la tendencia
La campaña “CaptiveCrunch” representa una evolución preocupante en las tácticas de los actores estatales. En lugar de depender exclusivamente de exploits de día cero, los atacantes están aprovechando la confianza implícita de los usuarios en la infraestructura de red pública. La sofisticación del phishing es notable, con la capacidad de replicar entornos de inicio de sesión de Microsoft 365 con gran fidelidad, o de simular avisos de actualización del sistema operativo o del navegador, aprovechando un comportamiento común de los usuarios. Esto refleja una tendencia hacia la ingeniería social altamente contextualizada, combinada con la explotación de puntos débiles en la infraestructura de terceros.
El uso reportado de inteligencia artificial por parte de Storm-2945 en sus campañas de phishing más amplias subraya cómo los adversarios están integrando tecnologías avanzadas para escalar y perfeccionar sus ataques. La focalización en viajeros corporativos es estratégica, ya que estos individuos a menudo acceden a redes sensibles desde entornos menos seguros, actuando como un puente involuntario para infiltrar organizaciones. Esta campaña destaca la persistencia y adaptabilidad de grupos como Midnight Blizzard, que continuamente buscan nuevas vías para el ciberespionaje y el robo de datos, fusionando la explotación del entorno físico (red Wi-Fi del hotel) con sofisticados vectores de ataque digital.
Contexto regional
Aunque los informes específicos sobre “CaptiveCrunch” no han nombrado explícitamente a países o empresas latinoamericanas como víctimas directas hasta la fecha, la región no es en absoluto inmune a este tipo de ciberataques dirigidos al sector hotelero y a los viajeros. De hecho, existe un precedente claro: ya en septiembre de 2025, Kaspersky emitió una alerta sobre el grupo “RevengeHotels”, que también utilizaba inteligencia artificial para lanzar ataques dirigidos a huéspedes de hoteles en varias naciones latinoamericanas (incluyendo Brasil, Argentina, Bolivia, Chile, Costa Rica y México) así como en España, con el objetivo de robar datos de tarjetas de crédito. Esto demuestra la vulnerabilidad y el atractivo de la región para este tipo de ciberdelincuencia.
La ciberseguridad en redes Wi-Fi públicas es un desafío persistente en Latinoamérica. Un estudio de Kaspersky de noviembre de 2024 reveló un dato alarmante: el 18% de los usuarios en la región se conecta a redes Wi-Fi públicas sin siquiera verificar su seguridad, lo que crea una superficie de ataque significativa y de fácil acceso para adversarios. El sector hotelero en México y el resto de Latinoamérica ha sido objeto de numerosos ciberataques en los últimos años, un hecho que se explica por la gran cantidad de datos confidenciales de clientes y sistemas de pago que manejan.
En el ámbito regulatorio, Latinoamérica está experimentando un “crecimiento en regulación en materia de ciberseguridad”. Brasil, por ejemplo, exige a los proveedores de internet público almacenar los registros de conexión de los usuarios por un mínimo de doce meses, lo que puede ayudar en la investigación forense. Colombia, por su parte, cuenta con el Decreto 338/2022, diseñado para fortalecer la gobernanza de la Seguridad Digital. Estas iniciativas demuestran una creciente conciencia y esfuerzo por parte de los gobiernos regionales para mitigar los riesgos, aunque la implementación efectiva sigue siendo un reto.
Perspectiva a futuro
De cara al futuro, es previsible que los actores de amenazas continúen perfeccionando sus técnicas, explotando la conveniencia de las redes públicas y la confianza de los usuarios. La combinación de inteligencia artificial en la creación de ataques de phishing y la manipulación de infraestructuras básicas como los portales cautivos se volverá una estrategia más común y difícil de detectar. Los dispositivos móviles, cada vez más utilizados por los viajeros corporativos, serán un objetivo prioritario, requiriendo soluciones de seguridad más robustas y específicas. La industria hotelera, a su vez, enfrentará una presión creciente para reforzar sus medidas de ciberseguridad, incluyendo la segmentación de redes, la implementación de cifrado avanzado y la capacitación de su personal.
Para los usuarios, la adopción de una mentalidad de “confianza cero” hacia las redes Wi-Fi públicas es esencial. Expertos de Microsoft y ReliaQuest han compartido recomendaciones clave: asumir que las redes Wi-Fi públicas son inherentemente no confiables; optar por conexiones privadas como datos móviles, eSIM o puntos de acceso personales; evitar descargar actualizaciones o software ofrecido a través de portales cautivos (buscar actualizaciones directamente desde fuentes oficiales); no reutilizar contraseñas laborales en registros de hotel y abstenerse de acceder a información sensible en redes públicas. La autenticación multifactor (MFA) debe activarse siempre que sea posible, y el uso de una Red Privada Virtual (VPN) con túnel completo es una medida protectora fundamental al cifrar los datos. Finalmente, verificar el nombre exacto de la red Wi-Fi con el personal del establecimiento antes de conectarse y realizar un análisis de seguridad post-viaje son pasos cruciales. La vigilancia y la educación en ciberseguridad serán los pilares para mitigar estas amenazas en evolución.
