Un atacante que usaba agentes de IA extrajo registros de despacho de emergencias de siete distritos de Taipéi, según informó The Hacker News, citando una investigación divulgada la semana anterior por la Unidad de Investigación de Amenazas de Acronis. Los agentes también descubrieron una plataforma del cuerpo de bomberos de Taipéi sin autenticación que exponía registros de pacientes de 2018, incluidas lecturas de electrocardiograma (ECG) y grabaciones de vídeo de ambulancias.
La operación fue más allá de los servicios de emergencia. Acronis comprobó que cientos de organizaciones de al menos 11 países habían sido objetivo, entre ellas bancos, universidades y sistemas militares. La recopilación de datos o el acceso a sistemas se produjo en unas 10 organizaciones de Taiwán, Tailandia y México. Taiwán recibió con diferencia la mayor atención y sufrió el daño más grave confirmado en servicios de emergencia.
Los investigadores evaluaron con alta confianza que una sola persona de la ciudad de Hualien, en Taiwán, controlaba la operación. Su sistema, llamado BOSSAI, combinaba la construcción de infraestructura asistida por IA con agentes de ataque que se ejecutaban principalmente en modelos locales a los que se les había eliminado el entrenamiento de seguridad. Sus éxitos afectaron en gran medida a sistemas con fallos de protección preexistentes.
Registros de emergencias y datos de pacientes expuestos
Los datos de despacho robados llegaron a través de una API (una interfaz de software para intercambiar datos) conectada al sistema de emergencias 119 de bomberos y ambulancias de una ciudad. Describía incidentes mediante marcas de tiempo, tipos de respuesta, estado de los casos y ubicaciones a nivel de calle. No proporcionaba seguimiento en vivo de ambulancias.
La plataforma de pacientes presenta un hallazgo distinto: sus registros eran accesibles sin inicio de sesión. Aunque el resumen general de Acronis describe el robo de datos médicos y personales en servicios de emergencia y universidades, su relato detallado establece la exposición de los registros de pacientes de Taipéi, y no su extracción.
Otros objetivos de servicios de emergencia en Taiwán ilustran la diferencia entre el acceso exitoso, los ataques fallidos y los hallazgos erróneos:
- El panel de administración de bases de datos de un proveedor de tecnología de despacho de bomberos aceptó credenciales root predeterminadas, lo que dio a los agentes acceso a al menos 18 tablas. Un intento de explotar una vulnerabilidad conocida para desplegar una web shell, un script que permite el acceso remoto, fracasó.
- El JavaScript del lado del navegador de un sistema de información para la gestión de emergencias contenía una clave de cifrado AES-256 codificada de forma fija. Reveló el contenido de las cookies de sesión, que guardan información sobre la sesión de un usuario, incluida la identidad de un administrador. No se confirmó un compromiso.
- Un escáner afirmó que un centro nacional de respuesta a desastres tenía una vulnerabilidad crítica en Apache que permitía la ejecución remota de código. La falla reportada no existía.
- Los intentos de adivinar contraseñas en el portal de inicio de sesión único de una agencia nacional de bomberos no produjeron ningún acceso confirmado.
- Se escanearon los sistemas de cuerpos de bomberos de cinco ciudades para identificar su software, sin un compromiso confirmado.
En otros puntos de Taiwán, los agentes obtuvieron datos de la tabla de cuentas de una financiera mediante inyección SQL, una técnica que manipula las consultas a bases de datos a través de entradas vulnerables de las aplicaciones. También recopilaron datos de tres universidades tailandesas mediante inyección SQL, tras seleccionar 489 objetivos potenciales en 45 instituciones.
La actividad en México produjo unos 206.800 registros de teléfonos fijos de particulares con nombres y direcciones, utilizando estadísticas gubernamentales, listados de códigos postales y datos de la autoridad de telecomunicaciones. Unas 15 organizaciones más sufrieron ataques sin una intrusión confirmada. En al menos otros ocho países, la actividad se detuvo en el escaneo o en la preparación de ataques que no se habían ejecutado cuando los investigadores examinaron la operación.
Un humano coordinaba a los agentes de IA
Acronis reconstruyó la actividad a partir del propio servidor del atacante. Al principio parecía una máquina de desarrollo mal configurada, pero resultó contener su entorno operativo de ataque: más de 90.000 archivos con conversaciones con los agentes, historial de comandos, herramientas de ataque, credenciales y datos de las víctimas.
Los investigadores vigilaron la operación durante 12 días. Una conversación registrada sitúa al atacante trabajando el 25 de julio, y los hallazgos se dieron a conocer la semana anterior a la noticia.
BOSSAI contaba con 12 agentes, nueve de ellos en uso, divididos entre el mantenimiento de servidores y herramientas, y la realización de reconocimiento y ataques. La coordinación seguía dependiendo del operador: los agentes no podían intercambiar mensajes, así que él copiaba el material manualmente de uno a otro.
La mayor parte del desarrollo de infraestructura usó modelos comerciales en la nube, principalmente Grok. Las solicitudes directas de ataque provocaron negativas de Grok y de MiniMax M3, que pidieron autorización por escrito. No quedó claro para los investigadores si un permiso fabricado habría cambiado esas respuestas. No obstante, Grok reparó un script de exploit de prueba de concepto defectuoso que el operador entregó después a un agente de ataque.
Para la mayor parte del trabajo ofensivo, el atacante usó versiones «abliterated» de DeepSeek, GLM y Qwen, ejecutadas localmente y sin su entrenamiento de seguridad. También conectó los agentes de programación Claude Code y Codex a un modelo «abliterated», aunque su trabajo se refería sobre todo a infraestructura. Cursor, otro agente de programación, usó un modelo de ese tipo para atacar un sitio de servicios de emergencia taiwanés.
El resultado de los agentes requirió revisión. Una herramienta de escaneo inventó identificadores CVE, los números de referencia usados para rastrear vulnerabilidades conocidas, y más de la mitad de sus hallazgos de gravedad alta y crítica fueron falsos positivos o estaban mal clasificados. El agente de ataque principal también afirmó resultados que nunca se habían producido.
Atribución y las defensas que resistieron
La reutilización de identidades ayudó a Acronis a vincular la operación con su presunto operador. Información pública y errores al ocultar su identidad relacionaron negocios legítimos con infraestructura de ataque mediante un perfil de GitHub, un logotipo, el nombre de una clave SSH y una dirección de correo electrónico. Su dirección IP doméstica también apareció en una conversación con Grok durante una sesión de acceso remoto por SSH.
Los investigadores consideraron que el motivo más probable era el beneficio económico. Algunos ataques contra sistemas gubernamentales, de emergencias y militares se parecían a actividades patrocinadas por Estados, mientras que otros se parecían al cibercrimen común. No está claro si el operador trabajaba para alguien.
El relato de The Hacker News sobre los hallazgos de Acronis describe una lista de indicadores con nueve direcciones IP y nueve dominios. Su estado de actividad no se especifica, y la mayoría carece de explicaciones sobre su función. Tampoco se ha resuelto el estado de notificación y remediación de los sistemas afectados, incluido si los datos expuestos siguen siendo accesibles.
La actividad exitosa se centró en debilidades ya presentes: un puerto de datos médicos abierto desde 2018, una API de despacho accesible públicamente, 16 puntos de inyección SQL en la financiera y bases de datos Oracle sin parchear en universidades. La IA redujo el costo de encontrar y perseguir muchos objetivos, pero los agentes fracasaron ante inicios de sesión obligatorios, muros de pago que exigían sesiones válidas y puntos finales que filtraban correctamente las solicitudes.
