La operación conjunta del FBI y el Departamento de Justicia incautó dominios y bloqueó plataformas que el APT vinculado a China usaba para infiltrar objetivos estratégicos estadounidenses.
El FBI y el Departamento de Justicia de Estados Unidos anunciaron el desmantelamiento de la infraestructura operativa de Flax Typhoon, un grupo de amenaza persistente avanzada vinculado a China. La operación incluyó la incautación de varios dominios y el bloqueo de acceso a plataformas que el grupo utilizaba para escanear e infiltrar infraestructura crítica estadounidense. Aunque las agencias no detallaron el número exacto de dominios incautados ni los sectores específicos afectados, la acción marca una de las disrupciones más directas contra operaciones de ciberespionaje atribuidas a actores estatales chinos en lo que va del año.
Cómo operaba la infraestructura desmantelada
Flax Typhoon utilizaba los dominios incautados como puntos de comando y control para coordinar actividades de reconocimiento sobre objetivos de infraestructura crítica en Estados Unidos. Las plataformas bloqueadas funcionaban como nodos intermedios que permitían al grupo escanear redes objetivo sin exponer directamente la infraestructura de origen del atacante. Este modelo de operación — común en grupos APT con respaldo estatal — dificulta la atribución inmediata y permite mantener acceso persistente incluso después de que se detecta actividad sospechosa en un objetivo específico.
La estrategia de escaneo masivo seguido de infiltración selectiva es característica de campañas de ciberespionaje enfocadas en mapear capacidades antes de ejecutar operaciones de mayor impacto. En este caso, el FBI no confirmó si se llegó a producir exfiltración de datos o si la operación se limitó a fases de reconocimiento, pero el uso del término «infiltrar» en el anuncio oficial sugiere que al menos algunos objetivos fueron comprometidos más allá del escaneo inicial.
Por qué la incautación de dominios no detiene al grupo
La incautación de dominios y el bloqueo de plataformas interrumpen la infraestructura actual de Flax Typhoon, pero no eliminan la capacidad operativa del grupo. Los actores APT con respaldo estatal típicamente mantienen infraestructura de respaldo y pueden reconfigurar sus operaciones en cuestión de días o semanas. Lo que la operación del FBI sí logra es forzar al grupo a reconstruir su red de comando y control desde cero, lo que genera costos operativos, aumenta el riesgo de detección durante la reconfiguración y obliga a revisar procedimientos de seguridad operacional que podrían haber sido comprometidos durante la investigación que llevó a la incautación.
Este tipo de disrupciones también envía señales políticas: Estados Unidos está dispuesto a actuar directamente contra infraestructura de ciberespionaje atribuida a adversarios estatales, incluso cuando esas acciones no resultan en arrestos ni en el desmantelamiento permanente de las capacidades del atacante. La efectividad real de estas operaciones se mide en términos de fricción operativa generada, no en la eliminación definitiva de la amenaza.
Qué significa para América Latina la focalización en infraestructura crítica de EE.UU.
Aunque la operación de Flax Typhoon se enfocó en objetivos estadounidenses, el patrón de escaneo masivo de infraestructura crítica tiene implicancias directas para América Latina. Grupos APT vinculados a China han mostrado interés sostenido en sectores estratégicos de la región — energía, telecomunicaciones, puertos — especialmente en países con inversión china significativa en infraestructura. Brasil, Chile, Perú y Argentina, que tienen proyectos de infraestructura crítica con participación de empresas chinas, enfrentan un escenario donde la misma lógica de reconocimiento masivo podría aplicarse para mapear dependencias tecnológicas y puntos de acceso a redes estratégicas.
La diferencia clave es que América Latina no cuenta con capacidades de respuesta equivalentes a las del FBI para detectar y desmantelar este tipo de infraestructura de ataque. La mayoría de los países de la región dependen de alertas de terceros — agencias de EE.UU., Europa o proveedores de seguridad privados — para identificar campañas de APT en sus redes. Esto genera una ventana de exposición prolongada entre el inicio de las operaciones de reconocimiento y su detección, ventana que grupos como Flax Typhoon explotan sistemáticamente.
El patrón de disrupciones sin arrestos que define la respuesta de EE.UU. a APTs estatales
La operación contra Flax Typhoon sigue el patrón establecido en casos anteriores de disrupciones contra grupos APT vinculados a China, Rusia, Irán y Corea del Norte: incautación de infraestructura, bloqueo de plataformas, anuncios públicos de atribución, pero sin arrestos ni consecuencias legales directas para los operadores. Esto refleja la realidad operativa de enfrentar actores que operan desde jurisdicciones donde Estados Unidos no tiene capacidad de aplicar la ley. Las disrupciones técnicas se convierten entonces en el único mecanismo de respuesta disponible, complementado con sanciones económicas y acusaciones formales que rara vez resultan en juicios.
El FBI no reveló si la investigación que llevó a la incautación de dominios incluyó cooperación de proveedores de infraestructura o si se basó exclusivamente en inteligencia de señales y análisis de tráfico. Tampoco se confirmó si se notificó a las organizaciones que fueron objetivo de escaneo o infiltración, aunque el protocolo estándar del FBI en casos de infraestructura crítica incluye notificaciones a las víctimas identificadas.
Nuestro análisis
La disrupción de Flax Typhoon confirma que el escaneo masivo de infraestructura crítica sigue siendo la fase inicial de campañas de ciberespionaje estatal, independientemente del actor. Lo que diferencia a grupos con respaldo de China de otros APT es la escala del reconocimiento: no se trata de objetivos puntuales sino de mapeo sistemático de sectores completos, lo que sugiere preparación para escenarios de conflicto o coerción futura más que operaciones de inteligencia inmediatas. El hecho de que el FBI haya priorizado la disrupción pública — en lugar de mantener la operación bajo vigilancia silenciosa para recolectar inteligencia — indica que la actividad de Flax Typhoon había alcanzado un nivel de riesgo que justificaba la interrupción inmediata, incluso a costa de perder visibilidad sobre las tácticas del grupo.
Lo que no sabemos es cuánto tiempo operó Flax Typhoon antes de la disrupción, cuántos objetivos fueron comprometidos más allá del escaneo inicial, y si el grupo logró establecer acceso persistente en alguna red crítica antes de que se bloqueara su infraestructura. Tampoco está claro si la operación del FBI incluyó la remoción de implantes o backdoors que Flax Typhoon pudiera haber dejado en sistemas comprometidos — la incautación de dominios interrumpe el comando y control, pero no necesariamente elimina el acceso si el grupo dejó mecanismos de persistencia independientes de esa infraestructura.
¿Cuánto tiempo le tomará a Flax Typhoon reconstruir su red de operaciones y volver a los mismos objetivos con infraestructura nueva que el FBI aún no haya mapeado?
—
*Nota generada por IA y verificada por el equipo editorial de CiberseguridadLatam.*