El fabricante suizo de trenes Stadler Rail ha confirmado que no pagará el rescate de 12,3 millones de dólares exigido por ciberdelincuentes que sustrajeron datos técnicos de la plataforma de archivos de uno de sus proveedores. La compañía, con sede en Bussnang (Suiza), ha argumentado que ceder a la extorsión solo serviría para financiar la ciberdelincuencia y contradice los principios corporativos de la empresa.
El incidente, del que no se ha precisado la fecha exacta, afectó a la plataforma de intercambio de archivos utilizada por un proveedor externo. Los atacantes lograron acceder a datos técnicos de los trenes fabricados por Stadler, aunque la empresa no ha detallado la naturaleza exacta de la información comprometida ni el alcance del impacto sobre sus operaciones. La compañía ha señalado que está trabajando con las autoridades suizas para investigar el suceso y ha implementado medidas de seguridad adicionales.
Stadler Rail es un proveedor clave de infraestructura ferroviaria en Europa y otros mercados, con contratos para la fabricación de trenes de cercanías, regionales y de alta velocidad. El robo de datos técnicos podría implicar riesgos para la propiedad industrial y la seguridad de los sistemas ferroviarios, aunque la empresa no ha informado de ninguna consecuencia inmediata sobre la fabricación o el servicio posventa.
La negativa a pagar el rescate se alinea con la postura de numerosas empresas y agencias gubernamentales, que desaconsejan ceder a las demandas de rescate para no incentivar futuros ataques. Sin embargo, la decisión no está exenta de riesgos, ya que los ciberdelincuentes podrían filtrar la información sustraída o venderla a terceros. En los últimos años, los ataques de ransomware contra fabricantes industriales se han multiplicado, y el sector ferroviario ha sido uno de los objetivos, por su papel crítico en la movilidad de personas y mercancías.
El caso de Stadler contrasta con el de otras compañías que optan por pagar rescates para recuperar sus datos. En 2025, varios fabricantes del sector defensa y tecnológico cedieron a las exigencias de grupos como Everest, la banda de ciberdelincuentes que, según fuentes de ciberseguridad, estaría detrás del intento de extorsión a Stadler. Everest es conocida por atacar a empresas industriales y posteriormente filtrar los datos en la dark web si no se paga el rescate.
Muchas aplicaciones gratuitas de streaming pirata (instaladas en algunos televisores y cajas Android) esconden un pequeño programa que convierte estos dispositivos en una puerta de entrada a la conexión de casa. Eso permite a personas y empresas de cualquier parte del mundo hacer pasar su tráfico por tu conexión a internet. Quien reciba ese tráfico (una web, una tienda online, un banco) verá tu dirección IP, no la de quien realmente está detrás.
Este mercado tiene un nombre, proxies residenciales, y se vende como un servicio legal: las empresas que lo ofrecen alquilan millones de conexiones domésticas a clientes que, en teoría, las usan para tareas comerciales, como comprobar precios desde distintos países. El problema, según una serie de investigaciones de la organización de seguridad digital Qurium Media Foundation, es doble: buena parte de esas conexiones se consiguen sin que sus dueños lo sepan, y buena parte del tráfico que circula por ellas no tiene nada de inocente.
Qurium empezó a tirar del hilo cuando la web de una organización de periodismo de investigación jordana recibió, en apenas un día, una avalancha de visitas automatizadas desde 1,35 millones de direcciones de internet de todo el mundo. Siguiendo el rastro, los investigadores encontraron un componente oculto, conocido en la comunidad de seguridad como «Popa», instalado en decenas de aplicaciones populares que ofrecen contenido sin licencias de distribución para ver deporte y películas gratis, como CRICFy, DooFlix o Sportzfy, y hasta en una versión manipulada de SmartTube, una conocida app para ver YouTube en televisores Android. El programa no pide permiso al usuario, y Google estima que la red llegó a incluir más de dos millones de dispositivos en todo el mundo.
Detrás de todo eso, según las conclusiones de Qurium, está la empresa israelí NetNut, que pertenece al grupo cotizado en bolsa Alarum Technologies. Qurium llegó hasta ella siguiendo el rastro de las sociedades que gestionaban la infraestructura, una de las cuales estaba registrada a nombre de un cofundador de NetNut. En respuesta a los investigadores, la compañía rechaza las acusaciones y sostiene que estos hallazgos son inexactos y que su software solo funciona con el consentimiento de los usuarios.
Qurium, que denomina a esta operación Nutcracker (cascanueces, en inglés), comprobó qué sucedía con las conexiones “prestadas” haciendo que sus propios dispositivos formaran parte de la red. Tras hacerlo, recibió millones de peticiones relacionadas con publicidad, apuestas, criptomonedas y compra masiva de entradas (incluidas entradas del Mundial de fútbol de 2026), además de campañas de correos fraudulentos que podrían utilizarse en actividades maliciosas o de fraude.
«Los operadores afirman que obtienen su infraestructura de forma ética, pero nosotros podemos demostrar que los dispositivos se captan mediante puertas traseras escondidas en aplicaciones, por ejemplo en servicios de streaming gratuito», explica a La Marea Tord Lundström, director ejecutivo de Qurium. Y no se trataría de excepciones. «Todo lo que hemos registrado proveniente de estas redes son actividades enormemente abusivas».
¿Qué puedo hacer yo?
Poca cosa, más allá de no entrar en el juego. «Los usuarios deberían pensárselo dos veces antes de descargar aplicaciones y servicios gratuitos para evitar pagar», advierte Lundström. «Lo mismo aplica a los dispositivos que dan acceso a canales de pago: lo más probable es que tengan una puerta trasera», añade. Detectar la infección por cuenta propia, admite, está fuera del alcance del usuario medio. Tras estos hallazgos Google ha configurado su sistema de protección de Android, Play Protect, para avisar y desactivar las aplicaciones afectadas.
Asimismo, Google anunció el desmantelamiento de las cuentas que controlaban la red el pasado 2 de julio. Ese mismo día, el FBI incautó sus dominios principales, en los que ahora aparece un aviso de decomiso. Tras esta operación, Alarum emtió un comunicado. La compañía asegura que se toma este asunto muy en serio y que cooperará plenamente con las autoridades para garantizar que cualquier uso debido de su infraestrudcdtura sea investigado a fondo y que los responsables rindan cuentas.
Qurium, que sigue la actividad de la red en tiempo real, vio cómo desde ese momento se desplomaba su tráfico a medida que se desmantelaban muchas de sus cuentas, pero advierte de que no es un apagón total. Por el momento, es solo una «victoria simbólica»: buena parte de la infraestructura sigue activa y NetNut no es la única empresa en este negocio. «Necesitamos una rendición de cuentas real. Muchos de estos proveedores son conocidos por la comunidad de investigación, pero se ha tomado poca o ninguna acción contra ellos», argumenta.
Este episodio de Colmenas Tapizadas es un programa dedicado a lo quinqui, sin embargo, hemos querido empezarlo con los Sham 69, porque esta canción, The Cockney Kids Are Innocent, resume en cierta manera la tesis de partida de este episodio: los chicos y las chicas quinquis son inocentes. Hacemos un viaje sociológico a la época […]
