El spyware LightSpy muta a plataforma comercial, infecta routers de la OTAN y se descubre por un pedido de KFC

El 5 y 6 de agosto de 2026, durante la conferencia Black Hat 2026, los investigadores de amenazas de Arctic Wolf, Dmitry Bestuzhev y Dmitry Melikov, presentaron nuevos hallazgos sobre LightSpy, una plataforma de espionaje vinculada a China que ha sufrido una transformación radical .

De China continental a amenaza global

LightSpy fue descubierto originalmente en 2018 y, hasta ahora, se concentraba en objetivos dentro de China continental. La investigación de Arctic Wolf revela que el spyware se ha expandido a víctimas en al menos 13 países, incluyendo Estados Unidos y varias naciones europeas, algunas de ellas asociadas con Estados miembros de la OTAN .

Evolución hacia una plataforma de espionaje comercial

LightSpy ha dejado atrás su identidad original como herramienta de espionaje respaldada por un Estado y se ha transformado en una plataforma de vigilancia comercial completa. Los investigadores encontraron que ahora cuenta con marca personalizada, niveles de precios, infraestructura de facturación e incluso un entorno de demostración para posibles compradores . La plataforma se comercializa entre clientes gubernamentales, empresariales y militares .

Arquitectura modular y multiplataforma

El spyware utiliza un marco modular que le permite comprometer una amplia gama de dispositivos:

• Teléfonos inteligentes (iOS y Android)
• Dispositivos Apple (macOS)
• Servidores Linux
• PC con Windows
• Routers de red — un nuevo vector de ataque no observado antes, que incluye routers asociados a países miembros de la OTAN

Al infectar routers, los operadores obtienen visibilidad sobre redes enteras, no solo sobre dispositivos individuales .

Amplias capacidades de robo de datos y destrucción

Los módulos de LightSpy pueden robar:

• Ubicación del dispositivo
• Mensajes de chat
• Grabaciones de pantalla
• Contraseñas
• Grabaciones de sonido y transmisiones de cámara

La plataforma también incluye una función de borrado remoto de dispositivos, que permite a los operadores "inutilizar" los dispositivos comprometidos de forma remota .

Infraestructura global: 117 servidores

Arctic Wolf identificó al menos 117 servidores que dan soporte a la operación de LightSpy en todo el mundo .

Atribución a través de un pedido de KFC

El fallo de seguridad operativa más llamativo ocurrió cuando un operador de LightSpy accedió al panel de administración del propio spyware para realizar un pedido a Kentucky Fried Chicken (KFC) utilizando su nombre real y la dirección de su oficina . Este error permitió a los investigadores rastrear la operación hasta un contratista chino específico .

Arctic Wolf señaló que el pedido de KFC se realizó a través de la propia infraestructura de facturación del spyware, dejando un rastro digital que vinculaba directamente al operador con la actividad maliciosa .

Implicaciones

La comercialización de LightSpy —incluyendo precios escalonados y un modelo de negocio tipo SaaS— sugiere que las herramientas de vigilancia vinculadas a Estados se están ofreciendo cada vez más como productos listos para usar a gobiernos y ejércitos de todo el mundo. La capacidad de infectar routers eleva aún más el riesgo para la seguridad nacional, ya que los routers comprometidos pueden exponer redes gubernamentales y militares enteras .