Las empresas M1, SIMBA Telecom, Singtel y StarHub fueron infiltradas por un grupo de amenazas persistentes avanzadas conocido como UNC3886, según informó la Agencia de Ciberseguridad de Singapur (CSA). Este ataque coordinado motivó a las agencias de seguridad del país a lanzar una amplia operación de defensa cibernética denominada "Operación Cyber Guardian".

"Bajo la Operación Cyber Guardian, las autoridades trabajaron estrechamente con las compañías de telecomunicaciones para limitar el movimiento de UNC3886 en las redes y garantizar que nuestros sistemas permanezcan seguros para su uso. Hasta ahora, el ataque de UNC3886 no ha resultado en el mismo nivel de daño que los ciberataques en otros lugares", según la CSA.

La investigación de Singapur indica que el grupo utilizó herramientas de hacking avanzadas, incluyendo al menos una vulnerabilidad de software previamente desconocida (un "zero-day") para eludir un firewall y penetrar en los sistemas de telecomunicaciones. En algunos casos, los intrusos extrajeron pequeñas cantidades de datos técnicos, principalmente relacionados con la configuración de las redes, y utilizaron rootkits para mantener acceso oculto a los sistemas.

Estos hallazgos coinciden con tácticas, técnicas y procedimientos (TTPs) previamente asociados con UNC3886, según la CSA.

La operación defensiva involucró a cientos de expertos en ciberseguridad de varias agencias gubernamentales que trabajaron durante más de once meses para expulsar a los intrusos y asegurar los sistemas. La operación reunió a especialistas de la CSA, IMDA, el Centro de Tecnologías Estratégicas de Infocomm, el Servicio Digital y de Inteligencia, GovTech y el Departamento de Seguridad Interna.

Según la CSA, la intrusión no interrumpió los servicios móviles o de internet, y tampoco hay indicios de que se hayan sustraído registros de clientes u otros datos personales. La mayoría de los accesos que lograron los atacantes fueron limitados, y los defensores pudieron cerrar sus puntos de entrada y mejorar la monitorización donde era necesario.

Esta experiencia ha impulsado a los sectores público y privado de Singapur a estrechar su colaboración en ciberseguridad. Los funcionarios gubernamentales afirman que el enfoque coordinado adoptado en la Operación Cyber Guardian refleja una doctrina nacional más amplia: cuando la infraestructura crítica está amenazada, las organizaciones comparten información y trabajo defensivo para detener a los atacantes.

Respecto a UNC3886, se cree que es un grupo de ciberespionaje vinculado a China. Las autoridades de Singapur no han nombrado públicamente a ningún país detrás del grupo, aunque algunas empresas de seguridad externas vinculan a UNC3886 con actores estatales. Investigadores independientes de ciberseguridad señalan que el grupo ha estado activo globalmente durante años y ha atacado a organizaciones en sectores como defensa, tecnología y telecomunicaciones.

En noticias relacionadas, el Servicio de Seguridad de la Policía de Noruega reveló recientemente que otro grupo, Salt Typhoon, ha comprometido dispositivos de red vulnerables en organizaciones noruegas.