El mundo de la ciberseguridad vuelve a temblar con Tifón de Sal, un ciberataque de origen chino que impacta a organizaciones en 12 países. En InfoProteccion analizamos qué hay detrás de esta campaña, por qué representa un riesgo real tanto para infraestructuras críticas como para pymes, y qué acciones concretas puedes tomar hoy para reducir tu exposición. No necesitas un búnker digital, pero sí cerrar bien puertas y ventanas.

Tifón de Sal: el ciberataque chino a 12 países, ¿qué sabemos?

Los análisis públicos apuntan a una operación de ciberespionaje sostenida y silenciosa. Tifón de Sal combina técnicas de acceso inicial a bajo ruido con persistencia prolongada para moverse lateralmente y exfiltrar información sensible. El foco recae en sectores estratégicos (telecomunicaciones, gobierno, energía, manufactura y tecnología), aunque las pymes conectadas a estas cadenas de valor también entran en el radar por su papel en la cadena de suministro.

La campaña destaca por:

• Acceso inicial mediante explotación de dispositivos perimetrales (VPN, firewalls, NAS) con parches atrasados y credenciales débiles.
• Uso de cuentas válidas y técnicas de «living off the land» para evitar alertas, apoyándose en PowerShell, WMI y tareas programadas.
• Comunicaciones encubiertas con cifrado y túneles sobre protocolos comunes para dificultar la detección.
• Persistencia modular: varios puntos de apoyo, para sobrevivir a limpiezas parciales.
• Exfiltración gradual, priorizando datos operativos, credenciales y mapas de red.

¿Por qué importa? Porque Tifón de Sal no «entra, roba y se va». Se infiltra, aprende de tu entorno y espera el momento oportuno. Ese modo sigiloso incrementa el tiempo de permanencia y eleva el coste de respuesta. Para una pyme, semanas de actividad clandestina pueden traducirse en facturas de incidentes, pérdida de confianza y paros operativos.

Indicadores y técnicas a vigilar en Tifón de Sal

Aunque los detalles avanzan a medida que progresa la investigación, los equipos TI ya pueden vigilar patrones típicos en este tipo de campañas:

• Múltiples intentos de autenticación desde rangos IP inusuales o residenciales.
• Acceso a VPN fuera de horario con agentes desactualizados.
• Powershell y WMI invocados por cuentas de servicio con permisos excesivos.
• Creación de tareas programadas que sobreviven reinicios y cambios de contraseña.
• Consultas anómalas a Active Directory y movimientos laterales mediante RDP o SMB.
• Egresos de datos constantes en volúmenes pequeños hacia nubes públicas o dominios recién creados.
• Cambios discretos en reglas de firewall perimetral o en listas de exclusión del antivirus.

7 acciones inmediatas para pymes y equipos TI

1. Prioriza el parcheo del borde: actualiza ya VPN, firewalls, balanceadores y NAS. Si el fabricante marca un parche como crítico, trátalo como tal.
2. Refuerza identidades: aplica MFA resistente al phishing (FIDO2/OTP por aplicación), revisa cuentas sin uso y adopta privilegios mínimos con acceso Just-In-Time.
3. Eleva la detección: activa EDR/XDR en servidores y endpoints clave, habilita registros de PowerShell y consolida telemetría en un SIEM con reglas de comportamiento.
4. Segmenta y controla egreso: separa entornos (usuario, servidor, OT), bloquea destinos desconocidos y limita puertos salientes; inspecciona TLS donde sea posible.
5. Endurece el AD: audita grupos privilegiados, deshabilita NTLM donde sea viable y protege controladores de dominio como activos de máxima criticidad.
6. Asegura copias inmutables: implementa backups offline o con inmutabilidad, prueba restauraciones y define RPO/RTO realistas para tu operación.
7. Prepara la respuesta: documenta un plan IR, realiza ejercicios de mesa trimestrales y acuerda con tu MSSP tiempos de escalamiento y umbrales de contención.

Impacto para la cadena de suministro

Tifón de Sal explota relaciones de confianza: proveedores con acceso remoto, integradores que administran varias cuentas y herramientas RMM. Si trabajas con terceros, exige controles equivalentes a los tuyos: MFA, registros compartidos, segmentación y notificación temprana de incidentes. La ciberseguridad ya no es solo «mi red», es «mi red y las de quienes se conectan a ella».

Conclusión

Tifón de Sal confirma una tendencia: campañas discretas, de larga permanencia y orientadas a robar acceso más que a «hacer ruido». La mejor defensa combina higiene básica impecable, visibilidad profunda y respuesta disciplinada. En InfoProteccion te ayudamos a traducir estas prioridades en un plan táctico para tu empresa. No hace falta pánico; hace falta método.