Salt Typhoon: ciberataques a telecom en 80 países

¿Qué es Salt Typhoon y por qué es una amenaza global?

Salt Typhoon —también conocido como Operator Panda— es un grupo de ciberespionaje vinculado directamente al gobierno de la República Popular China. Activo desde al menos 2019, se ha convertido en uno de los actores de amenaza más sofisticados y persistentes del planeta. Su especialidad: infiltrar silenciosamente las redes de telecomunicaciones e internet de los países objetivo para interceptar comunicaciones, robar metadatos y establecer acceso de largo plazo a infraestructura crítica.

No es un ataque puntual ni una campaña oportunista. Según el FBI, Salt Typhoon ha comprometido más de 600 organizaciones en más de 80 países, convirtiendo este caso en uno de los episodios de ciberespionaje estatal más extensos de la historia reciente. Para cualquier founder que opere en sectores de SaaS, telecomunicaciones, cloud o que dependa de infraestructura de terceros, entender este caso no es opcional: es estratégico.

El mapa de los afectados: países y empresas golpeadas

Estados Unidos: el epicentro

El impacto más documentado y mediático se dio en suelo estadounidense. Al menos nueve grandes proveedores de telecomunicaciones fueron comprometidos, incluyendo gigantes como AT&T, Verizon, T-Mobile, Lumen Technologies, Charter Communications, Consolidated Communications y Windstream. Los hackers accedieron a sistemas de escucha legal (CALEA wiretap systems), interceptaron llamadas en tiempo real, leyeron mensajes de texto y rastrearon la ubicación de millones de ciudadanos.

Entre los datos comprometidos se encontraban comunicaciones de figuras políticas de alto perfil. El alcance fue tal que expertos del Comité de Comercio del Senado de EE.UU. advirtieron, en diciembre de 2025, que las empresas afectadas aún no habían podido demostrar que los atacantes habían sido completamente erradicados de sus redes.

Asia-Pacífico: Singapur y más allá

En Singapur, las cuatro principales operadoras del país —Singtel, StarHub, M1 Limited y TPG Telecom— registraron accesos no autorizados a sistemas críticos. Las interrupciones afectaron la estabilidad operativa de redes en toda la región de Asia-Pacífico.

Europa: Reino Unido, Noruega, Italia y más

En Reino Unido, la actividad de Salt Typhoon se detectó desde 2021, con evidencia de infiltración en redes cercanas a Downing Street y en comunicaciones de asesores gubernamentales. Noruega confirmó formalmente el 6 de febrero de 2026 que infraestructura crítica de telecomunicaciones fue comprometida. Italia también figura entre los países alertados.

Una joint advisory co-firmada por agencias de ciberseguridad de 13 naciones —entre ellas Australia, Canadá, República Checa, Finlandia, Alemania, Japón, Países Bajos, Nueva Zelanda, Polonia y España— da cuenta de la magnitud coordinada de la amenaza.

Latinoamérica: zona de subregistro

Las fuentes disponibles hasta la fecha no han confirmado públicamente afectaciones en operadoras latinoamericanas específicas. Sin embargo, el patrón de la campaña —que prioriza naciones con alianzas estratégicas con EE.UU. o con infraestructura de telecomunicaciones relevante— sugiere que el subregistro puede ser más determinante que la ausencia real de ataques. La región no debe asumir inmunidad.

Métodos de ataque: cómo operan con precisión quirúrgica

Salt Typhoon no confía en un único vector de entrada. Su libro de jugadas combina múltiples técnicas de amenaza persistente avanzada (APT) con una paciencia operativa que distingue a los actores patrocinados por estados:

Explotación de vulnerabilidades en dispositivos de borde: El grupo aprovechó fallos conocidos —algunos desde 2018— en equipos de Cisco, Ivanti y Palo Alto Networks (routers troncales, firewalls, VPN). Las vulnerabilidades CVE-2024-12356 y CVE-2024-12686 fueron explotadas como zero-days.
Compromiso de cadena de suministro: Inserción de malware en actualizaciones de firmware de equipos de telecomunicaciones, eludiendo los controles de seguridad perimetral tradicionales.
Robo de credenciales y movimiento lateral: Una vez dentro, los atacantes se movían silenciosamente entre redes usando conexiones de confianza, exfiltrando tokens, configuraciones y datos de suscriptores.
Acceso a sistemas de intercepción legal (CALEA): Uno de los vectores más alarmantes: los hackers lograron acceder a los mismos sistemas diseñados para que las autoridades legítimas intercepten comunicaciones, convirtiéndolos en puertas traseras.
Rootkits y persistencia a largo plazo: El objetivo no era robar y salir. Era quedarse. La persistencia sostenida —meses o años sin detección— es la marca distintiva de esta campaña.

El dato que más debe preocupar a founders y CTOs

Los tres proveedores chinos directamente vinculados a las operaciones de Salt Typhoon —Sichuan Juxinhe Network Technology, Beijing Huanyu Tianqiong Information Technology y Sichuan Zhixin Ruijie Network Technology— prestan servicios a las agencias de inteligencia del gobierno chino. Esto no es cibercrimen corporativo: es infraestructura de espionaje estatal operando a escala industrial.

Para una startup que depende de proveedores cloud, APIs de terceros o infraestructura de telecomunicaciones, el riesgo no llega necesariamente por un ataque directo. Llega a través de la cadena de suministro digital. Un proveedor comprometido puede convertirse en el punto de entrada hacia tus datos, los de tus clientes y los de tus socios estratégicos.

El contexto regulatorio: retrocesos que preocupan

En noviembre de 2025, la FCC (Comisión Federal de Comunicaciones de EE.UU.) revirtió las reglas de ciberseguridad implementadas tras los ataques de Salt Typhoon, apostando por la colaboración voluntaria de la industria en lugar de mandatos regulatorios. Expertos y senadores alertaron que esta decisión deja vulnerabilidades sistémicas sin resolver.

Paralelamente, el gobierno estadounidense anunció un plan de 3.000 millones de dólares para retirar equipos de telecomunicaciones chinos —como los de TP-Link— de la infraestructura nacional. Una señal clara de que la tensión tecnológica entre EE.UU. y China tiene consecuencias muy concretas para el ecosistema tech global.

¿Qué implica esto para startups y empresas tecnológicas?

Si lideras una startup tech, este caso no es solo una noticia de geopolítica. Es un recordatorio de tres verdades operativas:

La seguridad perimetral ya no es suficiente. Si tus proveedores críticos tienen vulnerabilidades, tú también las tienes. Audita tu cadena de suministro digital con la misma rigurosidad con la que auditas tus finanzas.
Los parches importan más de lo que crees. La mayoría de los exploits usados por Salt Typhoon aprovecharon vulnerabilidades conocidas y sin parchear. Un proceso robusto de gestión de actualizaciones puede ser la diferencia entre estar en el titular o no.
El cifrado de extremo a extremo no es un lujo. Para comunicaciones sensibles —internas y con clientes— adoptar herramientas con cifrado E2E real reduce drásticamente la superficie de ataque, incluso si la infraestructura subyacente es comprometida.

Conclusión

Salt Typhoon ha redefinido el concepto de ciberespionaje a escala industrial. Con más de 80 países y 600 organizaciones afectadas, y con redes de telecomunicaciones tan grandes como AT&T y Verizon todavía sin poder certificar que el atacante fue erradicado, estamos ante una amenaza que no tiene visos de desaparecer en 2026.

Para el ecosistema startup, la lección central es que la ciberseguridad no es un problema exclusivo de las grandes corporaciones. Las startups son objetivos —directos o indirectos— precisamente porque suelen tener defensas más débiles y acceso a datos valiosos. Invertir en postura de seguridad desde etapas tempranas no es un gasto: es infraestructura competitiva.

Profundiza estos temas con nuestra comunidad de expertos y founders que navegan los desafíos de ciberseguridad en el ecosistema tech latinoamericano.

Unirme a la comunidad