Ciberataque FlamingChina: Verifican el robo masivo de 10 petabytes

El 20 de abril de 2026 marcará un antes y un después en los anales de la seguridad informática global. Lo que inicialmente se rumoreaba en foros restringidos de la deep web ha sido finalmente confirmado por firmas de inteligencia líderes como SentinelOne: el ciberataque FlamingChina ha logrado la exfiltración de más de 10 petabytes de datos críticos del Centro Nacional de Supercomputación en Tianjin (NSCC-TJ). Para poner esta cifra en perspectiva, hablamos de 10 millones de gigabytes; una cantidad de información que triplica el volumen total de la Biblioteca del Congreso de los Estados Unidos si esta fuera digitalizada por completo.

Este incidente no es solo el mayor robo de datos en la historia de internet por su volumen, sino por la naturaleza estratégica de la información sustraída. El botín incluye simulaciones de fusión nuclear, diseños de armamento hipersónico y esquemas aeroespaciales de última generación. El éxito de este ataque pone de manifiesto una vulnerabilidad sistémica en el corazón de la infraestructura tecnológica más avanzada de China, demostrando que incluso los sistemas diseñados para procesar quintillones de operaciones por segundo pueden ser derrotados por tácticas de sigilo de la “vieja guardia”.

La anatomía del ciberataque FlamingChina: El método “Slow-Drip”

A diferencia de los ataques de ransomware tradicionales que buscan un impacto rápido y ruidoso, el ciberataque FlamingChina se ejecutó con una paciencia quirúrgica. Durante seis meses, los atacantes operaron bajo el radar utilizando una metodología conocida como “slow-drip” botnet. Esta técnica consiste en fragmentar la información en paquetes minúsculos que son enviados a través de miles de nodos simultáneamente, evitando así cualquier pico de tráfico que pudiera activar los sistemas de detección de anomalías basados en umbrales de ancho de banda.

Los investigadores han identificado el uso de un rootkit extremadamente avanzado, descrito como un “ShadowPad con esteroides”. ShadowPad ha sido históricamente una herramienta modular vinculada a grupos de espionaje estatales, pero esta nueva variante presentaba capacidades de ofuscación sin precedentes:

• Polimorfismo en tiempo real: El código del malware mutaba cada vez que se replicaba entre los nodos de la botnet, invalidando las firmas de detección estáticas.
• Inyección de tráfico mimetizado: Los paquetes de datos exfiltrados se ocultaban dentro de protocolos legítimos como HTTPS, DNS e incluso tráfico de actualizaciones de software, haciendo que la salida de 10 petabytes pareciera un ruido de fondo normal en una instalación que maneja petabits de datos diariamente.
• Persistencia a nivel de firmware: El rootkit lograba alojarse en capas inferiores al sistema operativo, lo que permitía a los atacantes mantener el acceso incluso tras reinicios del sistema o limpiezas de disco superficiales.

La “Leapfrog Doctrine”: El talón de Aquiles de la supercomputación

El aspecto más irónico y técnicamente fascinante del ciberataque FlamingChina es cómo se logró el acceso inicial. Mientras que el Centro de Supercomputación de Tianjin invertía miles de millones en investigación de computación cuántica y seguridad post-cuántica, un dominio VPN heredado (legacy) fue dejado sin parches de seguridad actualizados. Este fenómeno es lo que los analistas de SentinelOne han denominado la “Doctrina Leapfrog” (Salto de Rana).

Bajo esta doctrina, las organizaciones centran todos sus recursos defensivos en la protección de la tecnología de vanguardia, asumiendo que los atacantes intentarán vulnerar las fronteras más avanzadas. Sin embargo, en este exceso de celo por el futuro, se descuidan las “puertas traseras” del pasado. Un servidor VPN antiguo, utilizado por investigadores externos para acceder a clústeres de datos secundarios, se convirtió en el punto de entrada que permitió a FlamingChina saltar lateralmente hacia los sistemas centrales de simulación nuclear y aeroespacial.

Impacto estratégico: Simulaciones de fusión y defensa hipersónica

La magnitud del ciberataque FlamingChina no se mide solo en petabytes, sino en décadas de avance tecnológico que ahora podrían estar en manos de terceros. El NSCC en Tianjin es el hogar del Tianhe-1A, uno de los supercomputadores más potentes del mundo, utilizado para tareas que requieren una capacidad de procesamiento masiva. Según las filtraciones verificadas en canales de Telegram, los datos robados incluyen:

1. Simulaciones de Fusión Nuclear: Datos de modelado de plasma que son fundamentales para el desarrollo de reactores de fusión comercial (el llamado “sol artificial”).
2. Esquemas Aeroespaciales y de Misiles: Planos detallados y resultados de pruebas de túnel de viento virtual para vehículos de planeo hipersónico, vinculados a la Corporación de la Industria de la Aviación de China (AVIC).
3. Bioinformática Clasificada: Bases de datos masivas sobre investigación genómica y simulaciones de plegamiento de proteínas con aplicaciones tanto médicas como de defensa biológica.
4. Sistemas de Propaganda Digital: Detalles sobre algoritmos de manipulación de información y campañas de influencia coordinadas fuera de las fronteras chinas.

La exfiltración de estos datos representa un golpe devastador para la ventaja competitiva de China en la carrera tecnológica global. Al poseer las simulaciones terminadas, un adversario no necesita replicar el hardware de supercomputación; simplemente puede analizar los resultados finales para entender las debilidades o las innovaciones de los sistemas chinos.

La verificación de SentinelOne y la identidad de “FlamingChina”

La confirmación técnica del ataque llegó tras una exhaustiva auditoría forense digital. Dakota Cary, consultor estratégico de SentinelOne, señaló que las muestras de datos analizadas son “exactamente lo que se esperaría de una instalación de este calibre”. La presencia de documentos marcados con niveles de confidencialidad estatales y números de contrato de 2025 y principios de 2026 validan la actualidad y la autenticidad de la brecha.

Sobre el perpetrador, el alias “FlamingChina” ha generado un intenso debate en los círculos de inteligencia. Aunque el nombre sugiere una afiliación o una motivación política, el hecho de que estén vendiendo muestras del conjunto de datos por miles de dólares y el acceso total por cientos de miles (pagaderos en criptomonedas) sugiere una motivación híbrida: espionaje estatal ejecutado con el pragmatismo financiero del cibercrimen organizado.

Algunos expertos no descartan la posibilidad de colusión interna. La transferencia de 10 petabytes, incluso mediante la técnica de “goteo lento”, requiere una coordinación impecable. La hipótesis de que uno o varios técnicos internos facilitaron el acceso inicial o ayudaron a identificar los clústeres de datos más valiosos está cobrando fuerza, alimentada por informes de descontento dentro de las instituciones de investigación de alto nivel debido a las crecientes presiones políticas y laborales.

Lecciones para la infraestructura crítica en 2026

El ciberataque FlamingChina deja lecciones dolorosas pero necesarias para cualquier entidad que gestione infraestructura crítica. La primera es que la segmentación de red no es una opción, sino una necesidad existencial. El hecho de que un dominio VPN desfasado permitiera el acceso a sistemas de simulación nuclear demuestra un fallo catastrófico en la arquitectura de “confianza cero” (Zero Trust).

En segundo lugar, la detección de amenazas debe evolucionar más allá de la búsqueda de anomalías de volumen. El sigilo demostrado por la botnet de FlamingChina muestra que los atacantes están dispuestos a invertir meses en una exfiltración lenta para garantizar el éxito. Las defensas modernas deben integrar análisis de comportamiento a largo plazo (Long-term Behavioral Analytics) que puedan correlacionar pequeños fragmentos de datos salientes durante periodos prolongados.

Finalmente, este incidente subraya que en la era de la inteligencia artificial y la computación cuántica, el eslabón más débil sigue siendo el factor humano y la deuda técnica (legacy systems). El ciberataque FlamingChina no será el último de esta escala, pero servirá como el caso de estudio definitivo sobre cómo el pasado descuidado puede destruir el futuro más avanzado.

El mercado de datos en la dark web ya está reaccionando. Se informa que múltiples agencias de inteligencia extranjeras están compitiendo por adquirir los 10 petabytes completos. Mientras tanto, el silencio oficial de Pekín es atronador, una señal inequívoca de que la gravedad del daño es, probablemente, incluso mayor de lo que los investigadores han logrado verificar hasta hoy.