Claude Code aceleró una intrusión de ransomware y dejó un firewall fuera de servicio

El informe más reciente de Gambit Security describe a un presunto afiliado de la operación de ransomware como servicio The Gentlemen utilizando Claude Code durante intrusiones activas. La atribución fue realizada con un nivel de confianza medio. Según Gambit, el operador empleó Claude Sonnet 4.6 para generar comandos de reconocimiento y explotación, escribir scripts, modificar políticas del firewall e identificar los datos más valiosos para robar.

La diferencia clave es que Claude no actuó como un atacante independiente capaz de elegir objetivos u objetivos estratégicos por sí mismo. Funcionó como un acelerador bajo dirección humana: producía, explicaba y adaptaba tareas técnicas con rapidez, mientras el operador aportaba la intención y el acceso al entorno de la víctima.

Qué documentó Gambit Security

Gambit observó el uso de Claude Code en intrusiones que afectaron al menos a seis organizaciones en junio de 2026 y vinculó la misma actividad con otros dos compromisos anteriores. Entre las víctimas habría organizaciones de los sectores energético, financiero, manufacturero y otros, ubicadas en varios países.

La campaña se apoyó en dispositivos VPN FortiGate expuestos a internet y en el abuso de flujos de configuración y autenticación, más que en una única vulnerabilidad de software recién divulgada. Según la cobertura de la investigación, el operador volvió a habilitar el acceso SSL-VPN, creó una cuenta VPN oculta y utilizó una contraseña codificada y reutilizada para conservar el acceso.

La técnica más llamativa fue un ataque de LDAP pass-back asistido por IA. Claude ayudó a redirigir la autenticación de la VPN hacia una infraestructura controlada por el atacante, lo que permitió capturar en texto claro la contraseña de una cuenta de servicio. Con ese acceso, el operador pudo mapear sistemas internos, examinar la infraestructura de Active Directory y localizar controladores de dominio, copias de seguridad y bases de datos SQL en funcionamiento que podían resultar útiles para el robo de información.

El fallo accidental: un firewall quedó fuera de servicio

La intrusión también dejó una advertencia sobre los riesgos de permitir que los cambios generados por IA eludan los procesos habituales de control. Cuando el operador pidió a Claude que modificara la configuración de un FortiGate, el modelo habría generado instrucciones de recuperación que restauraron un dominio virtual completo —un VDOM— en lugar de limitarse a los parámetros previstos. El error dejó el firewall fuera de servicio.

El episodio resulta más revelador que la afirmación genérica de que la IA puede escribir código ofensivo. La acción era técnicamente plausible, pero su alcance no estaba suficientemente delimitado. Un modelo puede interpretar correctamente un problema de configuración y proponer una solución razonable, pero aun así escoger una operación con un impacto potencial mucho mayor del que el operador pretendía.

Para los equipos defensivos, la lección es concreta: los cambios en dispositivos de red deben exigir permisos estrictamente limitados, aprobación humana, copias de seguridad de la configuración y un procedimiento de reversión probado. Los filtros de seguridad del modelo no sustituyen los controles aplicados en el entorno donde ese modelo puede operar.

El antecedente de México

El nuevo caso de ransomware llega después de una investigación anterior de Gambit sobre un operador que utilizó Claude Code y GPT-4.1 de OpenAI durante una campaña contra nueve organizaciones gubernamentales de México. El informe de Gambit sostiene que ambas herramientas fueron recursos operativos centrales a lo largo de la campaña; otras informaciones basadas en esa investigación situaron los datos robados por encima de los 150 GB.

Un análisis separado de la investigación estimó que Claude generó aproximadamente el 75 % de los comandos remotos ejecutados durante la campaña. La importancia del caso no radica en que un modelo sustituyera por completo a un equipo de seguridad. La IA ayudó a un solo operador a producir comandos, scripts, lógica de reconocimiento y flujos para analizar datos a un ritmo que hizo más viable avanzar por múltiples objetivos.

En conjunto, ambos casos apuntan a un cambio: la IA deja de ser únicamente una asistente de planificación y pasa a integrarse directamente en el ciclo de vida de una intrusión. El modelo puede cubrir carencias de conocimientos de programación, administración de sistemas y reconocimiento, pero las pruebas disponibles siguen describiendo un proceso dirigido por una persona, no un sistema que estableciera objetivos de forma autónoma.

Por qué importan los modelos con menos restricciones —sin ser toda la explicación—

Algunos informes describieron al atacante del caso de ransomware como usuario de Claude Sonnet 4.6, presentado en parte de la cobertura como un modelo anterior o con menos restricciones. Eso pudo reducir la fricción para determinadas solicitudes, pero las restricciones del modelo no determinaron por sí solas el resultado. El atacante también necesitó infraestructura expuesta, credenciales utilizables, acceso a sistemas internos y permisos suficientes para realizar cambios de alto impacto.

El material publicado por Anthropic sobre Claude Mythos describe la supervisión y el acceso restringido como parte de sus medidas para mitigar el uso indebido en ciberseguridad. Esas medidas pueden elevar la dificultad del abuso, pero no protegen a una organización cuya VPN, sistemas de identidad o interfaces administrativas ya conceden un alcance excesivo cuando son comprometidos.

La respuesta recomendada por cyber-suraksha.ai, de SEBI

La Junta de Bolsa y Valores de India, conocida como SEBI, creó el grupo de trabajo cyber-suraksha.ai para analizar los riesgos de ciberseguridad asociados al rápido avance de las herramientas de IA, incluidas las diseñadas para identificar vulnerabilidades. Según la información publicada, su recomendación para las entidades reguladas es reforzar los controles defensivos básicos en lugar de confiar en que los proveedores de modelos impidan todo uso malicioso.

La respuesta pone el foco en:

• Aplicar parches de inmediato: corregir los sistemas expuestos y aquellos con vulnerabilidades conocidas sin esperar a que ocurra un incidente.
• Reforzar las API y la autenticación: mejorar los controles de acceso, la gestión de secretos y la protección de las interfaces accesibles desde el exterior.
• Mantener una vigilancia continua: asegurar la visibilidad del centro de operaciones de seguridad —SOC, por sus siglas en inglés— y la capacidad de detectar y responder rápidamente a actividades sospechosas.
• Mejorar la gestión de cambios: verificar las modificaciones de configuración de alto impacto y conservar la capacidad de volver a un estado conocido y seguro.

Estas recomendaciones coinciden con las debilidades expuestas por el caso de Gambit. Una VPN comprometida es más peligrosa cuando puede alcanzar servicios de directorio, copias de seguridad y bases de datos; un comando generado por IA es más arriesgado cuando puede cambiar un firewall sin aprobación; y un error de recuperación causa más daños cuando la reversión nunca se ha validado.

La lección de fondo para la seguridad

La investigación de Gambit ilustra un problema de control, no solo un problema de modelos. La IA puede reducir el tiempo necesario para hacer reconocimiento, escribir scripts y sortear obstáculos técnicos. Pero, cuando esa capacidad se conecta con infraestructura de producción, son los permisos, la segmentación, la monitorización y el diseño de recuperación de la organización los que determinan cuánto daño puede causar un operador —solo o asistido por un sistema de IA—.

Por eso, las defensas más duraderas siguen siendo conocidas: acceso con privilegios mínimos, autenticación multifactor, segmentación estricta de las VPN y los servicios de directorio, copias de seguridad protegidas e inmutables, registros detallados, aprobación para los cambios en dispositivos de red y procedimientos de recuperación probados con regularidad. La IA puede acelerar tanto los ataques como la defensa, pero los sistemas resistentes se construyen sobre controles que continúan funcionando incluso cuando el modelo se equivoca.