Un ciberdelincuente ha logrado comprometer más de 87.000 direcciones IP y transformarlas en un negocio que, desde 2024, le ha generado más de 200.000 dólares. Esta operación, descubierta por investigadores de Cybernews, revela una ingeniosa combinación de vulnerabilidades de seguridad y el uso de inteligencia artificial modificada.

El atacante, conocido por el seudónimo de LeakySensey, ha explotado la falta de protección en dispositivos de red y la debilidad de contraseñas, junto con una versión alterada de Claude Code, la herramienta de IA desarrollada por Anthropic. Su modelo de negocio consistía en comercializar el acceso a estas conexiones comprometidas, permitiendo a terceros utilizarlas como servidores proxy a través de plataformas especializadas, páginas web y bots de Telegram.

La investigación ha desvelado que este servicio ha procesado más de 24.000 transacciones en aproximadamente dos años, aprovechándose principalmente de routers antiguos y equipos VPN que aún utilizan protocolos de comunicación obsoletos y, por tanto, inseguros.

Más de 87.000 direcciones IP comprometidas por fuerza bruta

La estrategia del ciberdelincuente se basaba en la identificación de dispositivos accesibles desde internet y la ejecución de ataques de fuerza bruta para probar automáticamente diversas combinaciones de credenciales hasta conseguir acceso. Es alarmante cómo contraseñas tan simples como «admin» o «admin123» facilitaron estas intrusiones.

  • Más de 63.000 servidores fueron comprometidos mediante ataques contra el protocolo PPTP.
  • Otros 24.000 equipos cayeron a través de L2TP.
  • 24 equipos adicionales fueron vulnerados mediante SSH.

Estos protocolos VPN, con décadas de existencia, presentan limitaciones de seguridad significativas. Los datos muestran que aproximadamente 1,9 millones de dispositivos aún exponen PPTP en internet, y más de tres millones exponen L2TP. Una vez obtenidas las credenciales, el atacante instalaba un software que convertía estas conexiones en servidores proxy, lo que le permitía alquilar su capacidad de conexión sin necesidad de infraestructura física propia. Aunque no todas las direcciones IP estaban operativas simultáneamente, en el momento del descubrimiento, casi 18.000 estaban listas para prestar servicio.

Claude Code modificado: IA sin restricciones de seguridad

Uno de los hallazgos más sorprendentes de la investigación es el uso de una versión modificada de Claude Code. Esta alteración permitía automatizar tareas sin las comprobaciones de seguridad habituales de la herramienta oficial. El ciberdelincuente desarrolló un sistema de cinco scripts de Python capaces de modificar los archivos ejecutables de Claude Code con cada actualización. Estas modificaciones eliminaban las solicitudes de confirmación para acceder a archivos, permitían la ejecución automática de planes y ampliaban la compatibilidad con modelos de IA de diferentes proveedores.

La infraestructura también integraba cuentas de varios servicios, incluyendo 12 de Antigravity, cinco de Codex, dos de Gemini y una de Claude. Todas estaban conectadas mediante una herramienta intermediaria para distribuir las solicitudes entre distintos modelos y proveedores de IA.

Se encontraron versiones modificadas de Claude Code para Windows, Linux y sistemas Apple, distribuidas a través de paquetes privados de NPM. La documentación sugiere que la herramienta estaba configurada para operar de manera continua y sin intervención humana, aunque no se puede atribuir cada intrusión exclusivamente a la IA.

Un error de seguridad propio desveló toda la operación

La actividad del ciberdelincuente salió a la luz el 20 de julio de 2026, cuando los investigadores localizaron uno de sus servidores desprotegidos. Dentro de este servidor, encontraron un tesoro de información: herramientas de ataque, inventarios de direcciones IP, credenciales, datos de clientes y registros de operaciones comerciales. La base de datos contenía más de 56.000 usuarios, incluyendo más de 11.000 con cuentas de Telegram, y reveló las plataformas utilizadas para revender el acceso a los servidores proxy. La infraestructura comercial usaba Cryptomus para gestionar pagos en criptomonedas y se presentaba públicamente como una empresa de desarrollo de software y consultoría tecnológica.

Irónicamente, el propio atacante también había sido víctima de incidentes de seguridad, sufriendo la instalación de un minero de Monero en uno de sus servidores y el robo de claves de acceso. Aunque se han encontrado evidencias que apuntan a Rusia como posible ubicación del operador, su identidad y localización exactas aún no han sido confirmadas. Este caso subraya la importancia de mantener actualizados los sistemas y utilizar contraseñas robustas, así como la creciente sofisticación de los ciberataques que integran herramientas de inteligencia artificial.