EXCLUSIVA-Palo Alto decidió no vincular a China con la campaña de pirateo por miedo a las represalias de Pekín, según fuentes

Por Raphael Satter y AJ Vicens

WASHINGTON, 12 feb (Reuters) - Palo Alto Networks PANW.O optó por no vincular a China con una campaña mundial de ciberespionaje que la empresa puso al descubierto la semana pasada por temor a que la empresa de ciberseguridad o sus clientes pudieran sufrir represalias de Pekín, según dos personas familiarizadas con el asunto.

Las fuentes dijeron que las conclusiones de Palo Alto de que China estaba vinculada a la extensa campaña de piratería informática se redujeron tras la noticia del mes pasado, publicada por primera vez por Reuters (link), de que Palo Alto era una de las 15 empresas de ciberseguridad estadounidenses e israelíes cuyo software había sido prohibido por las autoridades chinas por motivos de seguridad nacional.

Una versión preliminar del informe de la Unidad 42 de Palo Alto, la rama de inteligencia sobre amenazas de la empresa, afirmaba que los prolíficos piratas informáticos -denominados "TGR-STA-1030" en un informe publicado el jueves de la semana pasada- estaban conectados con Pekín, dijeron las dos personas. En cambio, el informe final describía más vagamente al grupo de piratas informáticos como un "grupo alineado con el Estado que opera desde Asia".

Atribuir ataques sofisticados es muy difícil y los debates sobre la mejor manera de asignar la culpa de las intrusiones digitales son comunes entre los investigadores de ciberseguridad. Pero Palo Alto ya ha atribuido ataques a China en el pasado, incluso el pasado mes de septiembre (link), y las fuentes dijeron a Reuters que los investigadores de la Unidad 42 estaban seguros, basándose en una gran cantidad de pistas forenses, de que la nueva campaña de pirateo descubierta también estaba vinculada a China.

El cambio, según las fuentes, fue ordenado por los ejecutivos de Palo Alto porque estaban preocupados por la prohibición del software y temían sufrir represalias de las autoridades chinas, ya fuera contra el personal de la empresa en China o contra sus clientes en otros lugares.

Las fuentes no identificaron a los directivos que tomaron la decisión de suavizar las conclusiones del informe ni facilitaron el lenguaje exacto que figuraba en el informe antes del cambio. Hablaron bajo condición de anonimato, ya que no estaban autorizadas a discutir el asunto.

Cuando se les pidió que comentaran el supuesto lenguaje suavizado, Palo Alto emitió un comunicado a Reuters que decía en parte: "La atribución es irrelevante".

La vicepresidenta de comunicaciones globales de Palo Alto, Nicole Hockin, dijo en correos electrónicos posteriores a Reuters que la declaración tenía la intención de comunicar que la falta de atribución en el informe de Palo Alto no estaba correlacionada con "las regulaciones de contratación en China" y que cualquier sugerencia de lo contrario era "especulativa y falsa". Dijo que la elección del lenguaje en el informe de Palo Alto reflejaba "la mejor manera de informar y proteger a los gobiernos sobre esta campaña generalizada".

La embajada china en Washington dijo que se opone a "todas las formas de ciberataques". Añadió que la atribución de los hackeos era "una cuestión técnica compleja" y que esperaba que "las partes pertinentes adopten una actitud profesional y responsable, basando su caracterización de los incidentes cibernéticos en pruebas suficientes, en lugar de especulaciones y acusaciones infundadas".

LAS CAMPAÑAS EN LA SOMBRA

Palo Alto detectó por primera vez al grupo de piratas informáticos TGR-STA-1030 a principios de 2025, según el informe (link). En un esfuerzo de gran alcance que Palo Alto bautizó como "Las campañas en la sombra", los espías supuestamente llevaron a cabo reconocimientos contra casi todos los países del mundo e irrumpieron con éxito en organizaciones gubernamentales y de infraestructuras críticas de 37 países.

Aunque no se menciona a China por su nombre, los lectores atentos del informe de Palo Alto podrían llevarse la impresión de que Pekín estaba implicada. Por ejemplo, los investigadores observaron que la actividad de los piratas informáticos coincidía con la zona horaria GMT+8, que incluye a China, y que los piratas parecían centrarse en la infraestructura gubernamental de Chequia tras una reunión en agosto entre el presidente checo y el Dalai Lama, líder espiritual del Tíbet a quien Pekín considera desde hace tiempo una espina clavada. El informe también señala que los piratas informáticos atacaron Tailandia el 5 de noviembre, antes de una "visita" diplomática. Los detalles del viaje no se facilitaban en el informe, pero la semana siguiente se produjo la primera visita de Estado de un rey tailandés a Pekín (link).

Los investigadores externos que revisaron el informe de Palo Alto afirmaron haber visto actividades similares que atribuyeron a operaciones de espionaje patrocinadas por el Estado chino.

Según Tom Hegel, investigador sénior de amenazas de SentinelOne, "nuestra evaluación es que esto forma parte de un patrón más amplio de campañas globales vinculadas a China que buscan inteligencia y acceso interno persistente a organizaciones de interés para" Pekín.

Palo Alto afirma en su sitio web que tiene cinco oficinas en China, incluidas las de Pekín, Shanghái y Cantón. En la red profesional LinkedIn figuran más de 70 empleados de Palo Alto en China, entre ingenieros y gestores de cuentas.

Según un académico, el incidente ilustra las disyuntivas a las que se enfrentan a menudo las empresas de ciberseguridad -especialmente las que tienen presencia mundial- cuando se plantean si deben denunciar las campañas de ciberespionaje patrocinadas por el Estado. Por un lado, desenmascarar a espías extranjeros puede atraer el aplauso de la industria y publicidad positiva. Por otro, relacionarse con un servicio de inteligencia extranjero puede desencadenar represalias.

"La gente siempre se ha arriesgado a dar nombres", afirma Thomas Rid, profesor de la Universidad Johns Hopkins que ha estudiado la historia de la ciberatribución. "Siempre ha sido desagradable y si tienes gente sobre el terreno, como hacen las grandes empresas, es una consideración adicional. ¿Estás poniendo en peligro a tu propia gente, a tu personal local?"