Imagen ilustrativa generada con IA
Ataques DDoS dejan Threema fuera de servicio durante horas
Threema experimentó interrupciones de servicio debido a ataques DDoS adaptativos el 16 de agosto de 2026, afectando a usuarios durante horas.
Texto generado por inteligencia artificial, publicado sin revisión humana. Transparencia IA
Threema, el servicio suizo de mensajería de pago centrado en la privacidad, sufrió una serie de ataques DDoS que provocaron una interrupción total de aproximadamente cuatro horas, además de nuevos problemas intermitentes.
La noticia se publicó el 16 de agosto de 2026. Los usuarios comenzaron a informar de fallos durante la noche del martes. Inicialmente, Threema atribuyó la interrupción a un problema de red en las instalaciones de su proveedor de colocation, pero posteriormente confirmó la participación de un ataque distribuido.
Cuatro horas de indisponibilidad y nuevas interrupciones
El servicio permaneció indisponible desde las 19:30 hasta las 23:30 CEST del martes. Sin embargo, la recuperación no fue estable de inmediato: durante la mañana del miércoles, varios usuarios siguieron informando de interrupciones y dificultades para acceder al servicio.
Se recibieron reportes desde varios países, incluso después de que la página oficial de estado indicara que la situación había vuelto a la normalidad. Las condiciones operativas se restablecieron a las 12:23 CEST.
La duración y la distribución geográfica de los problemas muestran un impacto significativo en la disponibilidad de la plataforma. No se hicieron públicos ni el volumen total del tráfico malicioso ni el número de usuarios afectados.
El ataque también afectó a Nine, el socio de colocation de Threema. No se ha determinado si Threema era el objetivo principal o uno de los objetivos de una operación más amplia contra la infraestructura del proveedor.
Un ataque DDoS adaptativo y difícil de filtrar
Un ataque DDoS, es decir, Distributed Denial of Service, busca saturar o sobrecargar los sistemas mediante solicitudes y tráfico procedentes de numerosas fuentes.
Según la información disponible, los atacantes modificaron repetidamente:
- los orígenes del tráfico;
- los métodos utilizados;
- los patrones de las solicitudes;
- los patrones generales de la operación.
Esta variabilidad hace que el simple bloqueo de una dirección o fuente concreta resulte poco eficaz. Los equipos de defensa deben reconfigurar continuamente los filtros para distinguir el tráfico malicioso de las conexiones legítimas de los usuarios.
Threema describió la actividad como prolongada y caracterizada por cambios constantes. La combinación de duración, alcance geográfico y variación de los patrones complicó las tareas de mitigación.
El incidente afectó a la disponibilidad del servicio. No se vinculó a una vulnerabilidad de software específica, no se indicaron identificadores CVE y tampoco se proporcionaron indicadores de compromiso.
Quiénes sufrieron las consecuencias
Los usuarios de las aplicaciones habituales de Threema tuvieron problemas para acceder al servicio y mantener sus comunicaciones durante la interrupción y en las horas posteriores.
También se vieron afectados los clientes empresariales de Threema Work. La empresa les envió comunicaciones por correo electrónico durante la mañana del miércoles, mientras que los account managers proporcionaron información adicional en respuesta a sus consultas.
Una situación diferente corresponde a Threema On-Prem. Las organizaciones que utilizan esta modalidad no sufrieron los efectos del ataque, ya que sus instalaciones funcionan sobre infraestructura propia y no dependen del entorno de colocation afectado.
Esta separación de la infraestructura limitó el impacto para las empresas que necesitan un mayor aislamiento operativo. No elimina todos los riesgos relacionados con la conectividad de cada organización, pero evita la dependencia de la infraestructura central implicada en el incidente.
La página de estado complicó las comprobaciones
Durante el incidente, la página dedicada al estado de los sistemas no se actualizó inicialmente debido a un problema técnico independiente del ataque DDoS. Por ello, el servicio quedó temporalmente desactivado.
La ausencia de este canal dificultó a usuarios y administradores comprobar la evolución real de la emergencia. Esto explica que continuaran los reportes contradictorios incluso cuando la plataforma figuraba oficialmente como restablecida.
Threema utilizó las redes sociales para distribuir actualizaciones progresivas. Para los clientes de Threema Work, el principal canal de comunicación fue el correo electrónico, complementado con el contacto directo con los account managers.
Las contramedidas introducidas por Threema
El 14 de agosto, Threema incorporó una protección DDoS especializada delante de su infraestructura. El sistema debería filtrar el tráfico malicioso antes de que llegue a los sistemas de la empresa, reduciendo la carga y la exposición directa del entorno de producción.
La medida no garantiza que futuros ataques sean imposibles, pero desplaza parte de la capacidad de detección y absorción fuera de la infraestructura principal. Se trata de un enfoque especialmente relevante cuando los ataques cambian rápidamente de origen y características.
La empresa también ha previsto mejorar la página de estado con:
- un historial de incidentes;
- un feed RSS;
- un canal independiente para recibir actualizaciones sobre el servicio;
- la posibilidad de suscribirse para usuarios y administradores de Threema Work.
Para las organizaciones que no pueden aceptar la dependencia de una infraestructura compartida, sigue disponible Threema On-Prem, que no se vio afectada por la interrupción descrita.
Qué se desconoce sobre la operación
Los ataques no se han atribuido a un grupo específico y tampoco se ha indicado un motivo. Tampoco se sabe si el objetivo era directamente Threema, Nine o ambas infraestructuras.
No se han publicado detalles sobre posibles accesos no autorizados a los datos ni sobre sistemas comprometidos. La información disponible describe un incidente de disponibilidad, no una brecha relacionada con una vulnerabilidad de software.
Por la misma razón, no se trata de un caso que deba incluirse en el catálogo KEV de CISA: no se ha informado de ninguna vulnerabilidad explotada ni de un identificador relacionado. Por ahora, las medidas recomendadas para los usuarios consisten en consultar las actualizaciones oficiales del servicio, utilizar los canales alternativos indicados por Threema y, para las organizaciones con requisitos más estrictos, valorar una arquitectura On-Prem.
Fuentes
Este artículo es una reelaboración original basada en las siguientes fuentes.