Tres agencias de ciberseguridad occidental formalizan la atribución de una campaña de espionaje que lleva al menos un año activa y que usa ingeniería social prolongada para infectar dispositivos personales.
El National Cyber Security Centre del Reino Unido, el FBI y la AIVD de los Países Bajos publicaron una asesoría conjunta que identifica formalmente a Chosen Brick, una familia de malware Windows utilizada por servicios de inteligencia iraníes para rastrear disidentes, periodistas y activistas. La campaña ha estado activa desde al menos 2025 y ha afectado a individuos en el Reino Unido, Estados Unidos y los Países Bajos. El malware recopila información sobre contactos, correos electrónicos y mensajes de redes sociales de los objetivos, lo que permite rastrear sus movimientos y relaciones. En algunos casos, los datos personales robados han aparecido en sitios de filtración pro-iraníes, transformando lo que podría ser una intrusión cibernética convencional en una herramienta de acoso con implicancias físicas para las víctimas.
Cómo funciona una operación que empieza semanas antes de enviar el archivo malicioso
Los actores iraníes no empiezan con un correo de phishing genérico. Contactan inicialmente a los objetivos a través de aplicaciones de mensajería como WhatsApp o Telegram y dedican tiempo a construir confianza antes de intentar entregar el malware. La ingeniería social es personalizada y se basa en información detallada recopilada durante investigación previa, una técnica catalogada como T1589 en el marco MITRE. Los atacantes a menudo se hacen pasar por individuos previamente conocidos por el objetivo o por personal de soporte técnico de las plataformas de mensajería. Esta combinación de reconocimiento, suplantación y uso de canales de comunicación confiables hace que los mensajes maliciosos resulten más convincentes y aumenta las probabilidades de infección exitosa.
Los archivos señuelo se disfrazan como instaladores de software legítimo (Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, KeePass) o, en algunos casos, como resultados de estudios médicos por imágenes. Mientras la víctima ve una pantalla de señuelo realista relacionada con el tema del archivo, el payload real se instala silenciosamente en segundo plano. Si el intento inicial falla o los atacantes sospechan que pueden ser detectados en el dispositivo de trabajo del objetivo, intentan mover el ataque a un dispositivo personal, donde los controles de seguridad corporativos no tienen alcance.
Por qué Telegram aparece dos veces en esta operación — como cebo y como infraestructura
Telegram no es solo el canal donde los atacantes construyen rapport con las víctimas. También funciona como infraestructura de comando y control del malware. Cada dispositivo infectado se vincula a su propio bot ID de Telegram, lo que mantiene a las víctimas separadas y dificulta las investigaciones. En marzo de 2025, el FBI ya había reportado que actores iraníes utilizaban Telegram como infraestructura de comando para dirigirse a disidentes, con actividad que se remonta a finales de 2023. La asesoría conjunta actual agrega un nombre formal, una atribución compartida entre tres agencias y un análisis más detallado de cómo opera el malware.
Chosen Brick establece persistencia a través de una clave de registro Run para sobrevivir reinicios del sistema e intenta agregar sus propias exclusiones a Microsoft Defender para evitar ser detectado. Las versiones más recientes también utilizan proxies HTTPS o SOCKS5, añadiendo otra capa entre el malware y el monitoreo de red. Hasta ahora, todos los ataques observados han afectado exclusivamente sistemas Windows.
El patrón iraní de usar ciberoperaciones como preludio de amenazas físicas
La asesoría señala que los servicios de inteligencia iraníes han sido vinculados a complots que involucran el secuestro o asesinato de opositores percibidos en el extranjero. Para las víctimas de Chosen Brick, el riesgo puede extenderse más allá de la intrusión cibernética. Los datos personales robados de algunas víctimas han aparecido en sitios de filtración pro-iraníes, lo que potencialmente las expone a acoso adicional, intimidación o amenazas físicas. La publicación de esos datos podría aumentar los riesgos enfrentados por individuos ya señalados por actores iraníes. Un dispositivo comprometido deja de ser solo un problema de datos y se convierte en un problema de seguridad física para la persona que lo posee.
Este patrón no es nuevo en el repertorio iraní, pero la formalización conjunta de tres agencias occidentales marca un cambio en cómo se documenta y atribuye públicamente la actividad. La asesoría no solo nombra el malware — también establece un marco compartido para que defensores en múltiples jurisdicciones puedan correlacionar actividad que antes rastreaban bajo nombres diferentes. Para organizaciones que trabajan con poblaciones en riesgo (medios independientes, ONG de derechos humanos, grupos de activismo), esto significa que un ataque dirigido a un empleado puede tener como objetivo real el acceso a su red de contactos y no necesariamente a la infraestructura corporativa.
Nuestro análisis
Chosen Brick representa un caso donde la línea entre ciberespionaje y operaciones de influencia física se vuelve deliberadamente difusa. La combinación de ingeniería social prolongada, uso de plataformas de mensajería cifrada como vector de ataque y posterior filtración de datos robados en sitios pro-iraníes no es accidental — es una cadena operativa diseñada para maximizar el impacto psicológico y la exposición de las víctimas. La decisión de tres agencias occidentales de emitir una asesoría conjunta con atribución formal sugiere que la actividad ha alcanzado un volumen o una sofisticación que justifica coordinar la respuesta pública.
Lo que todavía no está claro es cuántas víctimas han sido comprometidas sin que sus datos aparezcan en sitios de filtración — es decir, cuántos casos permanecen como operaciones de inteligencia pura sin el componente de acoso público. La asesoría tampoco especifica si las agencias han observado intentos de Chosen Brick contra objetivos en América Latina, donde comunidades de disidentes iraníes existen en países como Argentina, Brasil y México. Dado que el malware opera a través de plataformas de mensajería globales y no requiere infraestructura local para funcionar, la exposición estructural existe independientemente de que se hayan reportado casos específicos en la región. ¿Cuánto tiempo más puede sostenerse una operación de vigilancia que depende de que las víctimas confíen en mensajes de personas que creen conocer, antes de que esa confianza se erosione lo suficiente como para volverse ineficaz?