El actor persistente de amenazas BlueDelta, vinculado a la inteligencia militar rusa (GRU), ha evolucionado de forma notable sus campañas de robo de credenciales durante 2025, consolidando esta técnica como uno de sus principales métodos para obtener acceso a información sensible. Así lo recoge un informe reciente de Recorded Future’s Insikt Group, que analiza varias operaciones activas entre febrero y septiembre del año pasado.
El informe detalla que las campañas detectadas no fueron masivas, sino ataques cuidadosamente dirigidos contra profesionales concretos. Entre las víctimas identificadas figuran empleados de una agencia de energía y un centro de investigación nuclear en Turquía, personal de think tanks europeos, así como organizaciones situadas en Macedonia del Norte y Uzbekistán.
Según Recorded Future, esta selección de objetivos refleja un interés claro por sectores estratégicos como energía, defensa, política exterior y análisis geopolítico. Los investigadores destacan que BlueDelta adapta el idioma, el contenido y el contexto de los mensajes para cada región, lo que incrementa notablemente las probabilidades de éxito.
Una de las claves de esta evolución es la mejora en la infraestructura de phishing. Así, APT28 utiliza páginas falsas que imitan con gran precisión servicios legítimos, como Microsoft Outlook Web Access (OWA), Google o portales de acceso remoto como Sophos VPN.
El funcionamiento es sencillo pero efectivo: la víctima recibe un enlace, introduce sus credenciales en una página falsa y, a continuación, es redirigida automáticamente al sitio real. De este modo, el ataque puede pasar desapercibido. Este enfoque pretende “reducir la fricción y minimizar las sospechas del usuario tras el robo de credenciales”.
Uso de documentos reales como señuelo
Otro aspecto destacado es el uso de documentos PDF legítimos como cebo. En varias campañas, BlueDelta empleó informes reales de organizaciones reconocidas, como el Gulf Research Center o la EcoClimate Foundation. Estos documentos se cargaban brevemente antes de redirigir a la víctima a la página falsa de inicio de sesión.
Según los analistas, esta técnica permite “aumentar la credibilidad del mensaje y evadir controles de seguridad automatizados”, ya que los archivos no contienen malware y proceden de fuentes aparentemente fiables.
Por otro lado, en lugar de utilizar servidores propios, BlueDelta se apoya en servicios gratuitos y desechables de alojamiento y redirección, como Webhook.site, InfinityFree, Byet Internet Services o ngrok. Esta estrategia reduciría costes y dificultaría la atribución directa de las campañas.
El objetivo final de estas campañas no sería económico, sino estratégico. El robo de credenciales permite a estos actores de estado-nación acceder a correos electrónicos, documentos internos y redes corporativas sin necesidad de desplegar malware complejo.
Tal y como resume el informe, se trata de “un método de bajo coste y alto rendimiento para recolectar información que respalde los objetivos de inteligencia de Rusia”. Así una vez obtenidas las credenciales, estas pueden reutilizarse en operaciones posteriores o combinarse con otras técnicas de intrusión.
Mirando a 2026
Los analistas de Recorded Future advierten de que este tipo de campañas continuarán previsiblemente a lo largo de este año, con señuelos cada vez más personalizados y adaptados a sectores concretos. La combinación de ingeniería social, documentos legítimos e infraestructura gratuita convierte estas operaciones en una amenaza difícil de detectar para muchas organizaciones.
“La capacidad demostrada del grupo para adaptar su infraestructura y renombrar las páginas de recolección de credenciales sugiere que continuará abusando de los servicios gratuitos de alojamiento, tunelización y acortamiento de enlaces para reducir los costos operativos y ocultar la atribución”, comentan los expertos.
El documento concluye que la evolución de BlueDelta demuestra cómo los actores de amenazas patrocinados por Estados siguen apostando por técnicas relativamente simples, pero muy eficaces, para sostener operaciones de ciberespionaje a largo plazo.
Deja una respuesta