— Agencias 22/10/2026
Hackers comprometieron 333 nodos de salida de Tor para interceptar conexiones, capturar contraseñas y posiblemente acceder a correos electrónicos sin cifrar durante tres días.
Un grupo de ciberdelincuentes tomó el control de 333 nodos de salida de la red Tor entre el 2 y el 5 de octubre de 2026, con el objetivo de interceptar conexiones y robar contraseñas. Los equipos afectados representaban alrededor de una décima parte de los nodos de salida, mientras que los investigadores todavía desconocen cómo comenzó el ataque.
La operación fue detectada por un investigador identificado con el seudónimo kaba, quien descubrió que su conexión mediante SSH había sido redirigida hacia un servidor desconocido. La revisión posterior reveló que los nodos comprometidos enviaban el tráfico hacia 12 servidores de intercepción controlados por los atacantes.
Tor es una red diseñada para facilitar la navegación anónima mediante el enrutamiento del tráfico a través de distintos repetidores. Sin embargo, el nodo de salida constituye el último punto antes de que la conexión llegue a internet, por lo que puede representar un riesgo cuando el tráfico no está cifrado.
Cómo operaron los hackers para robar contraseñas
De acuerdo con el investigador, los atacantes habían accedido a los servidores desde agosto e instalado de manera encubierta Ebury, un programa malicioso para sistemas Linux capaz de robar contraseñas y habilitar el control remoto de los equipos.
Posteriormente, modificaron la configuración de los repetidores para habilitar el puerto 22, utilizado por el protocolo SSH, y redirigir las conexiones hacia servidores de intercepción. Estos presentaban una identidad falsa para hacerse pasar por el servidor legítimo al que intentaba acceder el usuario.
Cuando una persona ignoraba la advertencia de seguridad que indicaba un cambio inesperado en la identidad del servidor e introducía su contraseña, los atacantes podían capturarla. Al mismo tiempo, establecían una conexión paralela con el destino real para mantener la sesión aparentemente funcional y observar los comandos introducidos.
Los accesos mediante claves criptográficas, en lugar de contraseñas, quedaron protegidos frente a este mecanismo, explicó el investigador, debido a que ese sistema utiliza firmas únicas que no pueden reenviarse de la misma manera a través de un intermediario.
Los atacantes también alteraron la configuración de los puertos de correo electrónico para bloquear conexiones cifradas y dejar abiertas las que no utilizaban cifrado. El objetivo adicional habría sido interceptar mensajes en texto plano cuando los programas de correo aceptaran conexiones menos seguras.
Tor bloqueó los nodos comprometidos
Kaba notificó el hallazgo al equipo de salud de red del proyecto Tor la noche en que detectó el problema. El grupo confirmó el incidente en un aviso público del 5 de octubre, en el que explicó que los atacantes estaban modificando equipos basados en Linux para convertirlos en nodos de salida y ejecutar los ataques mediante SSH.
Un análisis independiente de los datos públicos de la red calculó que, durante el punto máximo de la operación, el 4 de octubre, los repetidores comprometidos representaban el 7.46% de la capacidad total de salida de Tor, según el peso de consenso de la red.
Como medida de contención, las autoridades de directorio comenzaron a marcar los nodos afectados con la etiqueta “BadExit” el 4 de octubre. Esta clasificación impide que los programas de los usuarios los seleccionen como puntos de salida.
Para el 5 de octubre, ninguno de los 333 repetidores comprometidos permanecía activo en el consenso de la red.
Investigan cómo comenzó el ataque
Pese a la eliminación de los nodos afectados, el origen de la intrusión continúa sin esclarecerse. Los investigadores no han determinado cómo los atacantes obtuvieron acceso inicial a la mayoría de los más de 140 servidores afectados, pertenecientes a 59 operadores distintos en al menos 15 países.
Otro operador que informó haber sufrido un ataque similar señaló que, en su caso, la vulneración pudo estar relacionada con la reutilización de una contraseña para el acceso SSH y los permisos de administrador, así como con una frase de respaldo almacenada sin cifrar. También tenía habilitado el acceso mediante contraseña en un servidor de gestión conectado a internet.
Hasta el momento, tampoco se conoce cuántas contraseñas fueron robadas ni si los atacantes lograron leer mensajes de correo electrónico sin cifrar durante los tres días de la operación.
El proyecto Tor pidió a los operadores que revisen sus sistemas en busca de indicios de intrusión, generen una nueva identidad criptográfica para los equipos afectados y reporten cualquier hallazgo adicional a través del canal de contacto reservado para incidentes de seguridad.
Instala la nueva aplicación de El Tiempo MX