ColCERT registró el 25 de septiembre de 2026 una alerta sobre una campaña de distribución de troyanos de acceso remoto dirigida a entidades públicas colombianas y asociada con BlindEagle, también identificado como APT-C-36. La ficha pública del boletín permite afirmar esa advertencia, pero no cuantifica víctimas ni demuestra que una entidad particular haya sido comprometida. El interés empresarial está en revisar cómo se reconocen correos dirigidos, cómo se conserva evidencia y quién puede detener el acceso remoto no autorizado sin paralizar servicios.

Servicios de Insylux relacionados: Para convertir este análisis en acciones verificables, consulte Ingeniería Social y HumanShield. Cada servicio tiene un alcance distinto y debe seleccionarse según activos, riesgo y resultado esperado.

Qué dice la alerta BlindEagle en Colombia

La página pública de ColCERT identifica el boletín AL-20260925-119 como una alerta de campaña de RAT dirigida a entidades públicas colombianas. Un RAT es una herramienta de acceso remoto que, cuando se distribuye sin autorización, puede permitir al operador controlar o vigilar un equipo. El título identifica al actor BlindEagle/APT-C-36. La ficha abierta al público no ofrece en su texto cifras de equipos afectados, nombres de entidades ni un periodo completo de operaciones. No es correcto extrapolarla a «todas las instituciones».

La información técnica adicional de un aviso puede tener restricciones de circulación. Por ello este análisis se limita a la ficha pública y a prácticas defensivas generales; no reproduce indicadores ni detalles operativos no destinados a publicación abierta. Las organizaciones que reciban un boletín por canales oficiales deben tratar su clasificación y compartirlo solo conforme a ella. Una noticia útil no necesita convertir un documento de circulación limitada en un manual público.

Una campaña no equivale a una brecha confirmada

La existencia de una campaña dirigida indica intención, actividad de distribución o exposición observada por la autoridad. Una brecha en una institución concreta requiere evidencia de entrega, ejecución y acciones posteriores. Un correo bloqueado por la pasarela y un equipo con un agente remoto activo no son el mismo hecho. El equipo de seguridad debe construir esa distinción desde el primer informe a dirección, para decidir recursos sin adelantar conclusiones.

ColCERT no publica en la ficha una lista nominal de víctimas. Los responsables de entidades y empresas contratistas deberían consultar sus propias fuentes: pasarela de correo, registros de clic, telemetría de endpoint, proxy, identidad y conexiones salientes. La ausencia de una alerta automática no prueba ausencia de actividad si la cobertura era parcial. Anote qué periodo y fuentes pudo examinarse.

Qué puede significar un RAT para una organización

El impacto de un acceso remoto malicioso depende de los permisos del usuario y del equipo. Si alcanza una estación común, puede observar procesos y buscar credenciales; si llega a una cuenta con privilegios, puede ampliar el radio de acción. No se debe atribuir a esta campaña una función o técnica concreta que la ficha pública no describe. La respuesta defensiva debe basarse en comportamientos observables en su entorno, no en una lista supuesta de capacidades.

Una administración legítima también usa herramientas remotas. Mantenga un inventario de software permitido, proveedores y equipos autorizados para que una nueva sesión tenga contexto. El comportamiento sospechoso combina instalación no aprobada, persistencia, conexiones a destinos no habituales o acceso fuera del horario y función esperados. Una herramienta por nombre no basta para declarar intrusión; la cronología y el propietario importan.

El control del correo debe considerar el proceso humano

Las campañas dirigidas suelen intentar que una persona trate el mensaje como una tarea urgente. Una política que solo dice «no haga clic» ofrece poca ayuda cuando el remitente parece vinculado con un proceso real. Defina un canal para verificar solicitudes sensibles por una vía independiente, reporte de mensajes sospechosos de un paso y un equipo que conteste sin culpabilizar al empleado. La rapidez del reporte reduce el tiempo hasta la contención.

Revise reglas de correo, autenticación de dominios y cuarentenas, pero no convierta esos controles en garantías. Un mensaje puede llegar desde una cuenta legítima comprometida o aprovechar una relación previa. Entrenar para reconocer señales y comprobar una solicitud importa más que memorizar una única plantilla. La evaluación de Ingeniería Social debe probar procesos autorizados y medibles, no humillar a quienes reciben el mensaje.

Qué hacer si alguien abrió un mensaje sospechoso

El usuario debe reportar hora, mensaje y acción realizada, sin intentar limpiar el equipo por su cuenta. El equipo de respuesta preserva el correo original y registros, determina si se descargó o ejecutó algo y evalúa si debe aislar la estación. Una apertura sin ejecución no es igual a un control remoto activo. Consulte registros del endpoint y de red antes de cerrar el caso. Si se sospecha acceso a credenciales, coordine revocación de sesiones desde un dispositivo confiable.

Para la organización, la búsqueda inicial cubre mensajes similares en otros buzones, equipos que recibieron el mismo archivo o enlace y conexiones anómalas posteriores. La contención no debería destruir la evidencia necesaria para responder quién entró, qué vio y qué cambió. Un Análisis Forense Digital puede preservar y correlacionar esa información cuando hay señales de compromiso.

Contratistas de entidades públicas: una dependencia olvidada

Una empresa proveedora puede intercambiar documentos, correos y accesos con una entidad. La alerta se dirige a entidades públicas; no confirma que todos sus contratistas sean objetivo. Aun así, el proveedor necesita revisar cómo valida solicitudes recibidas, quién administra sus cuentas de conexión y qué haría si una estación usada para el contrato presentara acceso remoto no autorizado. El límite entre redes no elimina el riesgo de credenciales compartidas.

El contrato debería indicar contacto de incidente, plazo de aviso, acceso a registros y responsabilidades de preservación. No espere a una investigación para averiguar si un tercero puede suspender una cuenta o revocar un token. Una prueba de mesa con la entidad y el proveedor permite descubrir retrasos de coordinación sin tocar producción.

Señales que se pueden medir sin publicar indicadores restringidos

Una búsqueda defensiva puede identificar ejecución de aplicaciones remotas desconocidas, nuevos mecanismos de inicio automático, conexiones salientes de procesos que no suelen comunicarse y accesos a credenciales del navegador. Los detalles deben ajustarse al sistema operativo y telemetría disponible. Documente cuándo se creó un proceso, con qué usuario y qué comunicaciones siguieron. Un solo evento de conexión puede ser benigno; la secuencia de entrega, ejecución y persistencia exige respuesta.

La autoridad puede compartir indicadores específicos a través de canales adecuados para equipos autorizados. La organización debe aplicar reglas con fecha, fuente y alcance y verificar falsos positivos. Un bloqueo de dominio no sustituye revisar si el agente ya se ejecutó ni si las credenciales se usaron después. No copie indiscriminadamente listas no verificadas de redes sociales: pueden causar interrupciones y no describir la campaña vigente.

Decisiones que debe tomar dirección

Dirección necesita una respuesta de estado: si existen mensajes relacionados, si algún usuario interactuó, si hay evidencia de ejecución, qué sistemas podrían estar alcanzados y qué servicios continuarían. Asigne un dueño para cada pregunta y una hora de actualización. El informe debería separar confirmado, en investigación y descartado con evidencia. La atribución a un actor de la ficha pública no sustituye investigar la actividad local.

Si aparece una afectación de datos personales o de servicios públicos, involucre a los responsables jurídicos y de privacidad según hechos y obligaciones aplicables. Una campaña no activa automáticamente la misma obligación para todas las entidades. La comunicación debe evitar anunciar víctimas o volúmenes que la autoridad no ha publicado y que la organización no ha demostrado.

Qué mejorar durante los siguientes treinta días

Establezca un inventario de estaciones con acceso a sistemas sensibles, reduzca privilegios locales, compruebe que la protección endpoint entrega registros y ensaye aislamiento sin perder evidencia. Revise cuentas de terceros, acceso remoto aprobado y retención de logs. Diseñe un ejercicio de correo dirigido que mida verificación y reporte, no solo clics. Una prueba útil confirma que alguien puede recibir la alerta y contener antes de que la actividad se propague.

Después cierre hallazgos con responsables: filtro de correo, proceso de verificación, respuesta en endpoint y comunicación con proveedor. No basta con impartir una charla general. El resultado debe ser una reducción observable del tiempo de reporte y de las rutas que un equipo comprometido podría utilizar. La revisión puede formar parte de un Security GAP Assessment si la entidad necesita ordenar procesos y evidencias.

Lectura responsable para Colombia

Esta es una alerta colombiana dirigida a entidades públicas, no una afirmación de compromiso universal en el país. Las empresas privadas que prestan servicios a esas entidades pueden usarla para verificar sus controles de correo, identidad y respuesta, dejando claro que su exposición particular aún debe demostrarse. La diferencia entre destinatario de la alerta y afectación confirmada protege la precisión editorial y la credibilidad de cualquier decisión.

Insylux Cybersecurity puede apoyar la revisión de rutas de reporte y evidencia, pero una simulación o diagnóstico autorizado no reemplaza el análisis de un equipo que presenta señales. Cada actividad debe tener alcance, consentimiento y un resultado específico. El objetivo es que una campaña como esta encuentre menos oportunidades y que un incidente real pueda delimitarse más rápido.

Preguntas frecuentes

¿ColCERT confirmó que mi entidad fue comprometida?

No por aparecer el aviso. Revise mensajes, equipos y registros propios antes de afirmar una intrusión.

¿Bloquear un remitente basta?

Puede reducir una ruta, pero no identifica mensajes ya entregados, cuentas comprometidas ni una ejecución anterior. Correlacione eventos.

¿Se puede difundir el boletín completo?

Respete la clasificación del documento y el canal oficial. Este artículo utiliza solo la ficha pública y recomendaciones defensivas generales.

Ensaye el reporte y la contención

Fuente y alcance

La ficha pública sustenta el tema, fecha, destinatarios y atribución expresada por ColCERT. Este texto no divulga detalles de documentos de circulación restringida ni identifica víctimas particulares.