Google revela una ola de ciberataques vinculados a Oracle que afectó a decenas de empresas en todo el mundo

En una publicación conjunta entre el GTIG y Mandiant, la firma de ciberseguridad propiedad de Google, se detalló que el ataque tuvo como objetivo la plataforma Oracle E-Business Suite (EBS), utilizada por miles de compañías en todo el mundo para gestionar operaciones financieras, recursos humanos y cadena de suministro.

El informe describe una campaña “altamente coordinada” de phishing y exfiltración de datos. Los atacantes enviaron correos electrónicos personalizados a directivos y responsables de TI, alegando poseer información robada de sus sistemas y amenazando con filtrarla públicamente si no se realizaban pagos en criptomonedas.

“En algunos casos, el actor de amenazas logró extraer una cantidad significativa de datos sensibles, incluyendo registros de clientes y documentos internos de gestión”, explicó Google en su comunicado. Aunque la compañía no reveló el número exacto de organizaciones afectadas, señaló que el alcance del ataque fue “global y multisectorial”, abarcando desde empresas tecnológicas y energéticas hasta instituciones financieras.

Por su parte, Oracle Corporation publicó una declaración en la que negó haber sufrido una brecha directa en sus servidores. “No existe evidencia de que nuestros sistemas en la nube o el software Oracle E-Business Suite hayan sido comprometidos”, afirmó un portavoz a Reuters.

La compañía señaló que los atacantes podrían haber explotado instalaciones locales (on-premise) de sus aplicaciones, gestionadas directamente por las empresas usuarias, algunas de las cuales no habrían aplicado las actualizaciones de seguridad más recientes.

Expertos consultados por Bloomberg respaldan esta hipótesis. “Es probable que los ciberdelincuentes aprovecharan vulnerabilidades conocidas que ya contaban con parches disponibles desde hace meses”, explicó John Hultquist, director de análisis de Mandiant. “Este tipo de incidentes pone de relieve la importancia de mantener un ciclo de actualización constante en entornos empresariales críticos.”

La investigación de Google apunta a un grupo de cibercriminales que utiliza tácticas similares a las de colectivos como Scattered Spider o BlackCat, ambos conocidos por ataques de ransomware y exfiltración de datos corporativos. En esta ocasión, los atacantes no cifraron los sistemas, sino que apostaron por la extorsión pura, amenazando con publicar la información robada en foros clandestinos de la dark web.

Según datos del IBM X-Force Threat Intelligence Index 2025, la extorsión sin cifrado se ha convertido en una de las estrategias más frecuentes entre los grupos de ransomware, representando el 30 % de los incidentes reportados en 2024. Este método evita levantar sospechas inmediatas y aumenta las posibilidades de obtener pagos discretos por parte de las víctimas.

“Este caso demuestra cómo los ciberdelincuentes están diversificando sus tácticas para maximizar beneficios sin necesidad de bloquear sistemas”, explicó Google, que aseguró haber compartido indicadores de compromiso con organismos gubernamentales y empresas afectadas.

Google y Mandiant recomendaron a las organizaciones usuarias de Oracle E-Business Suite que actualicen inmediatamente sus sistemas, revisen configuraciones de acceso remoto y refuercen la autenticación multifactor. Además, aconsejan monitorizar los canales de correo corporativo para detectar posibles intentos de suplantación o extorsión.

Las autoridades estadounidenses, a través de la CISA (Cybersecurity and Infrastructure Security Agency), confirmaron estar colaborando con Google para investigar el origen del ataque y determinar si forma parte de una operación más amplia vinculada a grupos de ciberespionaje.

Fuentes citadas por The Washington Post indicaron que parte de la infraestructura utilizada para los ataques podría haber operado desde servidores ubicados en Europa del Este, aunque la atribución aún no ha sido confirmada oficialmente.

El incidente subraya una vez más la vulnerabilidad de las infraestructuras empresariales ante campañas de ciberataques cada vez más sofisticadas. Aunque Oracle asegura que su infraestructura central permanece intacta, el caso revela los riesgos de depender de sistemas locales desactualizados y la creciente amenaza de la extorsión digital sin ransomware. En un entorno donde los datos son el activo más valioso, la prevención y la ciberresiliencia se consolidan como las únicas defensas efectivas.