El grupo Laundry Bear explotó una vulnerabilidad de Zimbra que permitía acceder a correos y datos sensibles con solo abrir o previsualizar un mensaje.
Un grupo de hackers respaldado por Rusia, identificado como Laundry Bear, utilizó una vulnerabilidad de la plataforma de correo Zimbra Collaboration Suite para realizar una campaña de espionaje contra organizaciones occidentales. La particularidad del ataque es que no necesitaba que la víctima hiciera clic en un enlace malicioso ni descargara un archivo adjunto: bastaba con visualizar un correo especialmente preparado en una versión vulnerable del servicio.
La vulnerabilidad, identificada como CVE-2025-66376, afectaba a la interfaz Classic de Zimbra y permitía ejecutar código JavaScript malicioso al mostrar determinados mensajes. Las agencias de ciberseguridad de Estados Unidos, Reino Unido y otros países describieron la técnica como un ataque de “cero clic”, aunque Proofpoint la calificó de manera más precisa como un “half-click”, porque la víctima debía abrir o previsualizar el mensaje, pero no realizar ninguna interacción adicional.
Una vez comprometida la cuenta, los atacantes podían obtener información de gran valor, incluidos aproximadamente 90 días de correos electrónicos, datos de la cuenta, contraseñas, listas globales de direcciones y tokens de autenticación de dos factores. Los investigadores también encontraron mecanismos que permitían crear códigos de aplicación para mantener el acceso a las cuentas incluso cuando existían medidas de autenticación multifactor.
La campaña afectó a organizaciones relacionadas con defensa, gobiernos, educación, energía, fuerzas del orden, medios de comunicación, organizaciones no gubernamentales y tecnología. Las autoridades occidentales señalaron que los ataques comenzaron contra objetivos ucranianos y posteriormente se extendieron a organizaciones de países miembros de la OTAN y otros aliados.
La vulnerabilidad de Zimbra ya fue corregida, por lo que el principal riesgo se concentra en organizaciones que continúan utilizando versiones sin actualizar. Las agencias de ciberseguridad recomiendan instalar los parches disponibles, revisar los registros de los servidores y buscar indicios de cuentas comprometidas. Por ello, el caso no demuestra que los hackers puedan entrar en cualquier correo sin interacción: demuestra que una vulnerabilidad en el software puede permitir el robo de información con una interacción mínima del usuario.
Noticias relacionadas:
Sigue los reportes de última hora en FM 105
Infórmate sobre los acontecimientos en El Vigía
Consulta las actualizaciones de la prensa en Entorno Informativo
