PCPJack desplaza a TeamPCP: 5 CVE explotan tu cloud

¿Qué es PCPJack y por qué está expulsando a TeamPCP de sus víctimas?

En mayo de 2026, SentinelOne detectó un fenómeno inédito en ciberseguridad: un grupo de hackers llamado PCPJack está irrumpiendo en sistemas ya comprometidos por otro grupo cibercriminal, TeamPCP, expulsándolo y tomando control de las víctimas. Esto no es teoría: PCPJack incluye un contador interno que mide sus expulsiones exitosas de TeamPCP, confirmando que esta rivalidad entre actores de amenazas es real y activa.

Para founders de startups tecnológicas, esto significa que tu infraestructura cloud podría estar siendo disputada por múltiples grupos criminales sin que lo sepas. La batalla no es por tus datos inicialmente, sino por el control de tu infraestructura como activo revensible en mercados de acceso inicial.

El patrón de ataque en 3 fases que debes conocer

PCPJack opera como un parásito del parásito. Según el informe de Alex Delamotte, investigadora de SentinelOne, el ataque sigue tres fases claras:

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Fase 1: Localiza sistemas ya comprometidos o vulnerables, escaneando internet por servicios expuestos como Docker, Kubernetes, MongoDB, Redis y RayML
Fase 2: Expulsa a TeamPCP eliminando sus herramientas y artefactos del sistema comprometido
Fase 3: Despliega su propio código diseñado para propagarse como gusano por la infraestructura cloud, robar credenciales y exfiltrarlas vía Telegram a infraestructura controlada por los atacantes

La diferencia clave: mientras TeamPCP minaba criptomonedas en sistemas comprometidos, PCPJack prioriza el robo de credenciales para fraude, extorsión y reventa en mercados de initial access brokers (IAB). Esto hace que el impacto financiero directo para tu startup sea más inmediato y severo.

Los antecedentes: el ataque supply-chain de TeamPCP que afectó a miles

Para entender la magnitud, necesitas conocer el contexto. TeamPCP protagonizó a principios de 2026 el mayor ataque a cadena de suministro de software registrado, comprometiendo en solo 8 días herramientas críticas como Trivy (escáner de vulnerabilidades), Checkmarx, Docker Hub, npm, PyPI y LiteLLM.

El ataque más emblemático: el 19 de marzo de 2026, TeamPCP robó 92 GB de datos comprimidos de la infraestructura AWS de la Comisión Europea mediante una clave API obtenida del compromiso de Trivy. Los datos fueron posteriormente publicados por el grupo ShinyHunters. CERT-EU atribuyó oficialmente el hackeo inicial a TeamPCP.

Startups como Mercor (selección de personal con IA) y el proyecto open source LiteLLM también fueron afectadas. El método: versiones envenenadas que robaban credenciales directamente de la RAM sin requerir imports o clics del usuario, usando un truco .pth en Python que evadía detección tradicional.

¿Qué significa esto para tu startup?

Si tu startup usa Docker, Kubernetes, MongoDB o servicios cloud (y la mayoría de SaaS hispanohablantes sí), estás en el radar de estos grupos. La tendencia 2026 es clara: los hackers compiten activamente por víctimas ya vulnerables, y tu infraestructura puede ser el campo de batalla sin que tengas visibilidad.

El ecosistema startup hispanohablante es particularmente vulnerable por tres razones: dependencia de herramientas open-source (Trivy, npm, PyPI), presupuestos limitados de ciberseguridad, y despliegues cloud rápidos que priorizan velocidad sobre seguridad. Startups de Web3, DeFi e IA en LATAM y España son objetivos de alto valor por las claves operativas y datos empresariales que manejan.

Acciones concretas que debes implementar esta semana:

Audita tu exposición Docker/MongoDB: Usa herramientas como Shodan para verificar si tus APIs de Docker o instancias de MongoDB están expuestas públicamente. Si es así, ciérralas inmediatamente y implementa autenticación.
Rota todas las credenciales post-Trivy/npm/PyPI: Si tu equipo usó estas herramientas en los últimos 90 días, asume compromiso. Cambia claves API, contraseñas de admin y tokens de acceso. Prioriza cuentas con acceso a producción.
Implementa un secrets manager: Deja de hardcodear credenciales. Usa soluciones como AWS Secrets Manager, HashiCorp Vault o Doppler para gestionar accesos de forma centralizada y auditable.
Monitorea tráfico Telegram saliente: PCPJack exfiltra datos vía Telegram. Bloquea o monitorea conexiones salientes a infraestructura de Telegram desde tus servidores de producción.
Parchea las 5 CVE que explota PCPJack: Aunque SentinelOne no las ha hecho públicas, mantén tus contenedores y servicios cloud actualizados. La superficie de ataque más común son configuraciones erróneas y CVE conocidas sin parche.

Cómo proteger tu infraestructura cloud hoy mismo

La lección de PCPJack y TeamPCP es brutal pero clara: la seguridad perimetral tradicional ya no funciona cuando los atacantes explotan supply-chain y configuraciones cloud expuestas. Para founders hispanohablantes que operan con equipos lean y presupuestos ajustados, la prioridad debe ser:

1. Visibilidad antes que perfección. Es mejor saber qué tienes expuesto hoy que esperar el parche ideal. Escanea tu infraestructura públicamente accesible ahora mismo.

2. Rotación proactiva de credenciales. No esperes a detectar un compromiso. Establece políticas de rotación cada 90 días para claves críticas, especialmente si usas herramientas que fueron comprometidas en 2026.

3. Segmentación de accesos. Si un atacante compromete un contenedor Docker, no debería tener acceso a toda tu infraestructura. Implementa principios de mínimo privilegio desde el día uno.

La rivalidad PCPJack vs. TeamPCP demuestra que el panorama de amenazas está evolucionando hacia competencia activa entre actores de amenazas. Tu startup no es solo una víctima potencial: es un activo que múltiples grupos quieren controlar. La pregunta no es si te van a targetear, sino cuándo y si tendrás visibilidad suficiente para responder.