El router, un dispositivo que conecta hogares y oficinas a Internet, puede ser utilizado por ciberatacantes para ocultar sus operaciones. La configuración débil o el firmware desactualizado de estos equipos puede permitir que actores maliciosos accedan a redes de infraestructuras críticas. Esta situación fue alertada por la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) el 13 de julio de 2026, en colaboración con organismos de Australia, Dinamarca, Nueva Zelanda y Reino Unido.
Los atacantes, vinculados al Centro 16 del FSB ruso, utilizan routers mal configurados como intermediarios para llevar a cabo sus operaciones. Al pasar el tráfico a través de un dispositivo instalado en una vivienda o pequeña oficina, la conexión puede parecer legítima, dificultando la detección de actividades maliciosas.
Para identificar nuevos dispositivos vulnerables, los atacantes escanean rangos de direcciones IP en busca de routers con agentes SNMP activos, un protocolo que permite administrar equipos conectados a una red. Si este servicio está expuesto y acepta credenciales predeterminadas, el dispositivo puede ser controlado por intrusos.
Una vez que los atacantes han tomado control del router, lo utilizan como nodo de salida para ocultar su actividad. Esto complica la tarea de rastrear la conexión hasta los responsables, ya que la actividad parece proceder de una dirección IP legítima. CISA ha señalado que los objetivos de estas operaciones incluyen redes de comunicaciones, defensa, energía, servicios financieros y organismos públicos.
Para mitigar estos riesgos, CISA recomienda desactivar las versiones 1 y 2 del protocolo SNMP, que no cifran las contraseñas, y utilizar la versión 3 solo cuando sea necesario. También aconseja deshabilitar Cisco Smart Install, cambiar credenciales débiles, instalar actualizaciones de firmware y limitar otros protocolos de red innecesarios.
