Proofpoint descubre una campaña de ciberespionaje extremadamente selectiva contra expertos estadounidenses en inteligencia artificial. Los atacantes suplantaron a antiguos responsables de la Casa Blanca y a un empleado de Anthropic para intentar robar sesiones de Microsoft 365.
La batalla entre Estados Unidos y China por la inteligencia artificial ya no se libra únicamente alrededor de chips, centros de datos y grandes modelos. También alcanza los correos electrónicos de quienes ayudan a diseñar las reglas del sector.
Un grupo de ciberespionaje que la empresa de seguridad Proofpoint identifica como TA419 y describe como alineado con China ha desarrollado varias campañas de phishing dirigidas específicamente contra expertos estadounidenses en política de inteligencia artificial.
Los objetivos trabajaban en centros de estudios, universidades y organizaciones jurídicas de Estados Unidos, según la investigación publicada por Proofpoint el 1 de octubre de 2026.
La operación presenta una característica particularmente significativa: los atacantes no enviaban inicialmente archivos maliciosos ni enlaces sospechosos.
Primero intentaban ganarse la confianza de la víctima.
Solo después de recibir una respuesta introducían el enlace destinado a capturar las credenciales y la sesión de Microsoft.
TA419 suplanta a figuras reales de la política de IA
La ingeniería social estaba cuidadosamente adaptada a cada objetivo.
Proofpoint documentó que, desde el 8 de julio de 2026, TA419 suplantó entre otros perfiles a Lynne Edwards Parker, antigua Principal Deputy Director de la Oficina de Política Científica y Tecnológica de la Casa Blanca.
Los atacantes también utilizaron la identidad de la economista y especialista en política exterior Heidi Crebo-Rediker.
No se trataba de identidades escogidas al azar.
Eran personas cuyo perfil profesional podía resultar perfectamente verosímil para un investigador dedicado a estudiar inteligencia artificial, seguridad nacional, controles tecnológicos o relaciones internacionales.
Ese contexto hacía que un correo inesperado no pareciera necesariamente sospechoso.
Una falsa invitación para hablar sobre inteligencia artificial
Uno de los cebos consistía en invitar al objetivo a participar en un supuesto «AI Policy Advisory Committee».
En otra campaña, los atacantes solicitaban colaboración para un supuesto informe relacionado con el Comité de Relaciones Exteriores del Senado sobre controles de exportación de inteligencia artificial y cadenas de suministro.
La estrategia evitaba exigir inmediatamente una acción peligrosa.
El primer mensaje buscaba únicamente obtener una respuesta.
Eso es importante.
Muchos usuarios están acostumbrados a desconfiar de correos que incluyen archivos ejecutables, documentos inesperados o enlaces urgentes.
Pero una conversación aparentemente académica o profesional puede reducir esas defensas.
También utilizaron la identidad de un empleado de Anthropic
Proofpoint ha identificado además una campaña anterior especialmente llamativa.
En febrero de 2026, TA419 suplantó a un empleado destacado de Anthropic para dirigirse a un especialista en política de inteligencia artificial perteneciente a un think tank estadounidense.
El asunto del correo era:
«Request for Feedback on Military Integration of Claude».
Es decir, una petición de opinión sobre la integración militar de Claude, la familia de modelos de inteligencia artificial desarrollada por Anthropic.
El señuelo estaba diseñado para coincidir con un debate de enorme relevancia estratégica en Washington: el uso militar de sistemas avanzados de IA.
Menos de 10 objetivos: espionaje quirúrgico
La escala de la campaña ayuda a entender su naturaleza.
Según Reuters, citando la investigación de Proofpoint, menos de 10 personas fueron objetivo de la actividad identificada.
Eso la diferencia claramente del phishing convencional.
Un grupo dedicado al fraude económico puede distribuir cientos de miles o millones de mensajes esperando que una pequeña fracción de los destinatarios caiga en la trampa.
Aquí ocurre prácticamente lo contrario.
Los atacantes seleccionan a unas pocas personas con acceso potencial a información especialmente valiosa.
La prioridad no parece ser el volumen.
Es la calidad del objetivo.
Qué información buscaban los atacantes
Proofpoint considera que la actividad probablemente está relacionada con objetivos de inteligencia más amplios vinculados al interés chino por comprender la evolución de la política estadounidense sobre IA.
Reuters señala igualmente que el aparente propósito era obtener información sobre regulación, controles de exportación y estrategia nacional estadounidense en inteligencia artificial, y no necesariamente sustraer directamente tecnología o modelos de IA.
Acceder al correo electrónico de determinados investigadores puede proporcionar información extremadamente sensible.
Conversaciones con funcionarios.
Borradores.
Reuniones.
Contactos.
Documentos todavía no publicados.
Opiniones internas sobre futuras restricciones.
O discusiones sobre tecnologías consideradas estratégicas.
Para una operación de inteligencia, esa información puede ser tan importante como acceder al código de una empresa tecnológica.
Cómo funciona el ataque de TA419
Una vez que la víctima respondía al primer mensaje, comenzaba la segunda fase.
TA419 enviaba un enlace acortado aparentemente relacionado con la conversación.
Ese enlace iniciaba una cadena de redirecciones.
La víctima podía encontrarse también con una comprobación de Cloudflare Turnstile, un elemento capaz de reforzar la apariencia de legitimidad del proceso y dificultar determinados análisis automatizados.
Finalmente aparecía una falsa página de inicio de sesión de Microsoft OneDrive.
Pero técnicamente el ataque era más sofisticado que una simple copia visual de la web de Microsoft.
El peligro del ataque Adversary-in-the-Middle
TA419 utilizaba una técnica conocida como Adversary-in-the-Middle, abreviada como AitM.
Su funcionamiento explica por qué determinados sistemas tradicionales de autenticación multifactor pueden no ser suficientes.
En un ataque de phishing convencional, la víctima escribe su contraseña en una página falsa y el delincuente se queda con ella.
Con AitM existe un intermediario entre la víctima y el servicio auténtico.
El usuario cree estar autenticándose normalmente.
El sistema malicioso puede transmitir la información al servicio legítimo y devolver las respuestas necesarias para que el proceso continúe.
De esta manera, el atacante puede intentar capturar no solamente las credenciales, sino también tokens o cookies de sesión.
Microsoft advierte expresamente de que determinados métodos tradicionales de MFA pueden ser vulnerables a ataques remotos de phishing y recomienda sistemas resistentes al phishing, como las passkeys FIDO2, Windows Hello for Business o autenticación basada en certificados.
La víctima puede iniciar sesión correctamente y no sospechar nada
Esta característica convierte el ataque en especialmente peligroso.
Desde el punto de vista del usuario, el inicio de sesión puede parecer exitoso.
La contraseña funciona.
El segundo factor funciona.
Y termina accediendo aparentemente al servicio esperado.
Pero durante el proceso el atacante puede haber capturado la información necesaria para intentar reutilizar la sesión.
Por eso tener activada cualquier modalidad de 2FA no convierte automáticamente una cuenta en inmune al phishing avanzado.
La diferencia está en el tipo de autenticación utilizado.
TA419 modifica una herramienta de código abierto
Proofpoint señala que el grupo empleó una versión personalizada de Frameless BitB.
BitB significa Browser-in-the-Browser.
La idea consiste en reproducir dentro de una página una interfaz que visualmente parece una ventana legítima del navegador.
Frameless BitB puede conseguir ese efecto sin depender del tradicional elemento HTML iframe, utilizando técnicas basadas en HTML, CSS y JavaScript.
TA419 habría ido más lejos.
Según Proofpoint, los atacantes añadieron a la herramienta telemetría y automatización propias para controlar el proceso de inicio de sesión de Microsoft de cada víctima.
El objetivo final: la sesión de Microsoft 365
Una contraseña robada puede ser cambiada.
Un código de autenticación de un solo uso caduca rápidamente.
Una sesión autenticada, en cambio, puede permitir al atacante actuar temporalmente como si ya hubiese superado el proceso de identificación.
Ese es uno de los principales objetivos de determinadas campañas AitM.
Microsoft explica que los atacantes pueden interceptar credenciales y tokens mediante técnicas adversary-in-the-middle, debilitando la protección proporcionada por métodos de autenticación que no sean resistentes al phishing.
Con acceso a una cuenta profesional, el atacante puede posteriormente buscar correos, contactos y documentos según los permisos de la víctima.
TA419 opera al menos desde abril de 2025
El grupo no apareció con esta campaña.
Proofpoint afirma haber observado actividad regular de TA419 desde al menos abril de 2025.
Sus objetivos anteriores incluyen personas vinculadas a:
defensa, seguridad nacional, energía, relaciones internacionales y política exterior.
También aparecen organizaciones de Estados Unidos y Japón.
Entre los sectores identificados por Proofpoint figuran centros de estudios, contratistas de defensa, universidades y bufetes de abogados.
La incorporación de especialistas en política de inteligencia artificial encaja, por tanto, con el perfil anterior del grupo.
La IA entra en el terreno clásico del espionaje
La novedad no es tanto el método como el objetivo.
Durante décadas, los servicios de inteligencia han buscado información relacionada con defensa, energía, diplomacia o tecnología militar.
La inteligencia artificial se está incorporando ahora a esa lista de activos estratégicos.
Estados Unidos mantiene controles sobre la exportación a China de determinadas tecnologías avanzadas y ambos países compiten por desarrollar infraestructura, semiconductores y modelos de IA.
Proofpoint sitúa precisamente las operaciones de TA419 dentro de ese contexto de competencia estratégica, controles de exportación y acusaciones relacionadas con la destilación de modelos.
¿Está demostrado que TA419 actúe para el Gobierno chino?
Aquí es necesario introducir una precisión fundamental.
Proofpoint define TA419 como un actor «China-aligned», es decir, alineado o vinculado al ecosistema de amenazas relacionado con China.
Eso no equivale por sí solo a demostrar públicamente que cada campaña haya sido ordenada directamente por el Gobierno chino.
Reuters informó de que Pekín ha negado su participación en actividades de ciberespionaje.
Por tanto, la formulación rigurosa es hablar de un grupo alineado o vinculado a China según Proofpoint, no atribuir directamente las operaciones al Gobierno chino sin pruebas adicionales.
Las passkeys cambian las reglas frente al phishing
La principal recomendación técnica de Proofpoint es adoptar métodos de autenticación resistentes al phishing, especialmente passkeys.
Microsoft coincide con este enfoque.
Las passkeys utilizan criptografía de clave pública y están vinculadas al dominio legítimo para el que fueron creadas.
Esto significa que una página falsa no puede simplemente pedir al usuario que copie una contraseña reutilizable y utilizarla posteriormente.
Microsoft considera las passkeys, Windows Hello for Business y la autenticación basada en certificados entre sus métodos resistentes al phishing.
La compañía está dando además un paso significativo en esa dirección.
Desde septiembre de 2026, Microsoft comenzó a convertir las passkeys en la experiencia de autenticación predeterminada de Entra ID para determinados usuarios habilitados, dentro de su estrategia para reducir la dependencia de SMS y voz.
Cómo defenderse de ataques como TA419
La tecnología es solamente una parte de la defensa.
La otra es el comportamiento.
Proofpoint recomienda desconfiar de contactos profesionales inesperados, incluso cuando aparentemente procedan de personas conocidas dentro del sector.
La regla fundamental es sencilla:
verificar la identidad mediante un segundo canal independiente antes de acceder a documentos o iniciar sesión desde un enlace inesperado.
Para investigadores, funcionarios, periodistas, abogados y especialistas que trabajan con información estratégica, esta precaución resulta especialmente importante.
TA419 demuestra que un correo perfectamente redactado y relacionado exactamente con el área profesional de la víctima puede ser el comienzo de una operación de espionaje.
El verdadero objetivo no es Claude: es saber qué piensa Washington
La campaña que utilizó el supuesto debate sobre la integración militar de Claude resulta especialmente reveladora.
Los atacantes no necesitaban comprometer los servidores de Anthropic.
Tampoco necesitaban penetrar directamente en una agencia estadounidense.
Podían intentar acceder a las cuentas de personas que participan en los debates que acabarán influyendo sobre las decisiones de Washington.
Ahí reside el valor estratégico de estos objetivos.
La investigación de Proofpoint apunta a una evolución del ciberespionaje en torno a la inteligencia artificial: ya no interesa únicamente robar tecnología, sino conocer anticipadamente las políticas que determinarán quién puede acceder a ella.
TA419 representa precisamente esa frontera.
Un grupo descrito como alineado con China, menos de 10 objetivos identificados en la campaña analizada y señuelos cuidadosamente personalizados alrededor de algunos de los asuntos más sensibles de la política tecnológica estadounidense.
La nueva carrera mundial por la inteligencia artificial también se libra dentro de una bandeja de entrada.
Toqueteo
Toqueteo
Toqueteo