Lima, febrero de 2026.- Una investigación de Palo Alto Networks advierte sobre la expansión de Shadow Campaigns, una sofisticada red de ciberespionaje estatal que ya ha comprometido infraestructuras gubernamentales en 37 países y que mantiene actividades de reconocimiento en América Latina, lo que abre la posibilidad de futuras incursiones en el Perú.
El estudio fue desarrollado por Unit 42, la unidad de inteligencia de amenazas de la compañía, que identificó al actor avanzado rastreado como TGR-STA-1030, responsable de operaciones de infiltración de alta precisión contra organismos estatales, ministerios y proveedores de servicios críticos.
Un alcance que afecta a 1 de cada 5 países
De acuerdo con la investigación, TGR-STA-1030 logró comprometer entidades gubernamentales en 37 países durante el último año, lo que equivale a que casi una de cada cinco naciones haya sufrido una brecha crítica vinculada a esta campaña.
Además, entre noviembre y diciembre de 2025, el grupo realizó tareas de reconocimiento activo contra infraestructuras gubernamentales asociadas a 155 países, ampliando significativamente su radio de acción y demostrando una capacidad operativa sostenida a escala global.
Las organizaciones bajo la mira incluyen ministerios y dependencias de interior, relaciones exteriores, finanzas, comercio, economía, inmigración, minería, justicia y energía, sectores considerados estratégicos por el valor de la información que gestionan y por su impacto en la estabilidad nacional.
América Latina bajo observación
A partir de octubre de 2025, Unit 42 detectó un incremento en el interés del grupo por países de América del Norte, Central y del Sur. Durante ese periodo se registraron escaneos de infraestructura gubernamental en Brasil, Canadá, República Dominicana, Guatemala, Honduras, Jamaica, México, Panamá y Trinidad y Tobago.
Más allá del reconocimiento, los analistas consideran probable que entidades gubernamentales de Bolivia, Brasil, México, Panamá y Venezuela ya hayan sido comprometidas. Este escenario refuerza la alerta sobre una eventual incursión en infraestructuras peruanas, considerando la tendencia regional identificada por los investigadores.
Ataques quirúrgicos y altamente personalizados
A diferencia de los ciberataques masivos que se apoyan en automatización y volumen, TGR-STA-1030 emplea un enfoque quirúrgico, basado en herramientas personalizadas y operaciones cuidadosamente planificadas.
Según Unit 42, el grupo prioriza objetivos relacionados con asociaciones económicas y eventos geopolíticos clave, mostrando una notable agilidad para ejecutar ataques apenas días después de acontecimientos internacionales relevantes.
Objetivos estratégicos y sectores comprometidos
La investigación confirma la infiltración en entidades de alto perfil, entre ellas:
- Seguridad y fronteras: cinco organismos nacionales de aplicación de la ley y control fronterizo.
- Finanzas y comercio: tres ministerios de finanzas y múltiples dependencias vinculadas a diplomacia, recursos naturales y comercio exterior.
- Infraestructura crítica: empresas de telecomunicaciones y proveedores del sector energético.
Este patrón evidencia un interés sostenido en información sensible, flujos económicos y servicios esenciales para el funcionamiento de los Estados.
Hallazgos técnicos de alta sofisticación
Entre los aspectos más críticos detectados por Unit 42 destacan:
- Evasión avanzada de filtros: el cargador de malware del grupo, denominado Diaoyu, mantiene una huella mínima de código. Mientras la mayoría de cargadores verifica más de 50 productos de seguridad —activando alertas—, esta variante solo comprueba cinco, lo que le permite pasar inadvertida.
- Rootkit ShadowGuard: se identificó un nuevo rootkit a nivel de kernel en Linux que posibilita la manipulación de datos del sistema y la persistencia del atacante incluso frente a herramientas de auditoría tradicionales.
- Explotación selectiva: el grupo aprovecha vulnerabilidades conocidas (N-day) en software empresarial crítico como Microsoft Exchange, SAP y Atlassian, actuando antes de que las organizaciones implementen los parches de seguridad.
Un llamado a reforzar la ciberseguridad
Gracias a la escala de datos de Palo Alto Networks, Unit 42 logró rastrear las firmas de este actor a nivel mundial y coordinar acciones con socios industriales y gubernamentales para alertar a las organizaciones afectadas y brindar asistencia técnica en la remediación de sistemas comprometidos.
La investigación subraya la necesidad de modernizar las estrategias de ciberseguridad en la región, especialmente ante campañas de espionaje persistente y altamente dirigidas. La prevención, la detección temprana y la respuesta coordinada se consolidan como pilares clave para reducir el impacto de amenazas de este nivel.