Alerta de ciberseguridad de CISA: espías rusos convierten la visualización de correos de Zimbra en un ataque

Las agencias de ciberseguridad de CISA emitieron una advertencia multinacional después de que actores respaldados por el Estado ruso comprometieran a más de 10 organizaciones mediante correos maliciosos que no requerían hacer clic en ningún enlace.

El aviso del 23 de julio atribuye la campaña a LAUNDRY BEAR, un grupo de amenaza persistente avanzada centrado en la recopilación de inteligencia. Desde al menos julio de 2025, el grupo ha atacado a gobiernos occidentales, organizaciones de defensa, empresas tecnológicas, centros educativos, medios de comunicación y otros usuarios de Zimbra.

El ataque cambia el acuerdo conocido en torno a la defensa contra el phishing. Se enseñaba a los empleados que evitar enlaces y archivos adjuntos sospechosos los protegería. En este caso, abrir o previsualizar un correo en un cliente Zimbra vulnerable bastaba para activar el exploit.

Esta distinción hace que sea algo más que otro informe sobre phishing respaldado por un Estado. La campaña trasladó una parte decisiva de la seguridad del correo electrónico, desde el criterio del usuario, al parcheado de software, el comportamiento del navegador, la supervisión y la respuesta a incidentes.

Las agencias de ciberseguridad de CISA revelan una campaña de un año contra Zimbra

La advertencia central es directa: un atacante podía comprometer un buzón autenticado cuando su propietario simplemente visualizaba un mensaje manipulado.

La alerta de ciberseguridad conjunta describe operaciones relacionadas con Zimbra Collaboration Suite, comúnmente denominada ZCS. Zimbra combina correo web, calendarios, contactos, herramientas de archivos y servicios administrativos dentro de una implementación controlada por la organización.

La campaña explotó CVE-2025-66376, una vulnerabilidad de cross-site scripting almacenado en la interfaz Classic de Zimbra. El cross-site scripting almacenado permite que se ejecute código controlado por el atacante cuando una aplicación muestra contenido que no logró sanear de forma segura.

LAUNDRY BEAR integró su exploit en un correo HTML. La interfaz vulnerable procesaba una directiva maliciosa @import de Cascading Style Sheets cuando aparecía el mensaje. Ese proceso permitía que contenido externo ejecutara JavaScript dentro de la sesión autenticada de Zimbra de la víctima.

El usuario no tenía que descargar un archivo, introducir credenciales ni seguir un enlace externo. Abrir o previsualizar el mensaje proporcionaba la interacción limitada necesaria para iniciar el compromiso.

Las agencias gubernamentales denominan a esto un exploit basado en la visualización. Algunos informes lo describen como zero-click porque no sigue ninguna decisión deliberada de seguridad tras la entrega. Proofpoint utiliza el término más preciso “half-click”, ya que el destinatario todavía debe abrir o previsualizar el correo.

La diferencia importa para el análisis técnico, pero ofrece poco consuelo a los defensores. Los paneles de vista previa y el uso normal de la bandeja de entrada pueden renderizar un mensaje sin ningún comportamiento que un empleado reconocería como peligroso.

Según CISA, LAUNDRY BEAR atacó con éxito a más de 10 organizaciones desde julio de 2025 en adelante. Los sectores afectados incluyeron la base industrial de defensa, gobiernos federales y locales, fuerzas del orden, tecnología, educación, medios de comunicación y organizaciones no gubernamentales.

El aviso no proporciona una lista completa de víctimas. Esa omisión protege a las entidades afectadas, pero también limita las evaluaciones externas sobre la escala y el impacto operativo de la campaña.

El grupo utilizó inicialmente CVE-2025-66376 como un zero-day, lo que significa que los defensores no disponían de una corrección del proveedor durante la explotación inicial. Zimbra lanzó versiones parcheadas en noviembre de 2025, pero los atacantes continuaron encontrando implementaciones vulnerables después.

La alerta de seguridad de Zimbra identifica las versiones 10.1.13 y 10.0.18 como las que contienen la corrección pertinente. La solución abordó el abuso de directivas de importación CSS en el HTML de correos dentro de la interfaz Classic.

Esta cronología genera la primera gran tensión del caso. El exploit comenzó como una debilidad de software desconocida, pero la campaña continuada depende cada vez más de que las organizaciones dejen sin aplicar una corrección publicada.

La disponibilidad del parche divide por tanto el incidente en dos periodos. Antes de noviembre, los administradores afectados tenían opciones defensivas limitadas. Después de noviembre, las actualizaciones tardías y la remediación incompleta se convirtieron en factores centrales de exposición.

La advertencia de ciberseguridad de CISA llegó ocho meses después del parche del proveedor. Su momento sugiere que la explotación seguía siendo lo bastante importante como para justificar una divulgación coordinada por numerosas agencias de seguridad e inteligencia.

Entre esos socios se encontraban agencias de Estados Unidos, Australia, Canadá, Nueva Zelanda, Reino Unido y varios países europeos. Su participación refleja el alcance geográfico de la campaña y su foco en instituciones occidentales.

El aviso también vincula la operación con un patrón más amplio de recopilación de inteligencia rusa. LAUNDRY BEAR busca comunicaciones, credenciales, contactos y material de autenticación que pueda facilitar acceso a largo plazo y nuevos ataques dirigidos.

Ese objetivo explica por qué Zimbra era valioso. Un buzón comprometido no contiene solo mensajes. Puede revelar relaciones organizativas, reuniones futuras, disputas internas, planes operativos y contactos de confianza para campañas posteriores.

El ataque eludió el cortafuegos humano

La inversión más importante de la campaña es que un empleado prudente podía seguir los consejos estándar contra el phishing y aun así perder el control de un buzón vulnerable.

La mayoría de los programas de concienciación sobre phishing enseñan a los usuarios a revisar las direcciones de los remitentes, desconfiar de las solicitudes urgentes, evitar archivos adjuntos desconocidos y verificar los enlaces. Estas prácticas siguen siendo útiles contra el robo de credenciales y la distribución convencional de malware.

No detienen código malicioso que se ejecuta durante el renderizado del correo. En este caso, el fallo de seguridad decisivo ocurrió dentro del cliente de correo web antes de que el usuario tuviera una elección significativa.

La investigación técnica de Proofpoint afirma que el exploit estaba integrado directamente en el cuerpo del mensaje. Se activaba cuando la víctima abría o previsualizaba el correo en un cliente Zimbra vulnerable.

La empresa rastrea la actividad observada como TA488. Informa de similitudes circunstanciales con Void Blizzard, otra denominación de la industria asociada con LAUNDRY BEAR.

Las etiquetas de inteligencia de amenazas no siempre se corresponden perfectamente entre organizaciones. Cada equipo de investigación construye agrupaciones a partir de su propia telemetría, infraestructura, selección de objetivos, malware y comportamiento operativo.

Proofpoint indicó que no podía realizar de forma independiente una atribución de alta confianza basándose únicamente en telemetría directa. Sin embargo, su colaboración con socios del gobierno estadounidense confirmó la asociación descrita públicamente.

Esta salvedad es importante. El aviso multinacional realiza una sólida evaluación de respaldo estatal, mientras que una empresa privada describe los límites de lo que sus datos por sí solos establecen.

La conclusión más amplia sigue basándose en algo más que un solo correo malicioso. Los investigadores observaron una selección de objetivos coherente, patrones de infraestructura, objetivos de recopilación de correos y vínculos operativos asociados con intereses de inteligencia rusos.

El grupo envió mensajes desde cuentas de Proton Mail controladas por atacantes y direcciones previamente comprometidas. Un mensaje procedente de una cuenta legítima pero robada puede superar comprobaciones informales del remitente y aprovechar la confianza existente.

Un señuelo documentado afirmaba tratarse de cooperación entre instituciones europeas que combaten la desinformación. Incluía un enlace aparentemente legítimo a un evento de la Unión Europea, pero ese enlace no era el mecanismo esencial del ataque.

El código peligroso ya estaba dentro del correo. Un destinatario podía desconfiar del enlace visible y evitarlo por completo, pero activar el exploit al leer el mensaje.

Este diseño invierte la relación habitual entre persuasión y compromiso. El phishing tradicional tiene éxito cuando un señuelo convence a alguien de actuar. La campaña contra Zimbra necesitaba que el mensaje se renderizara, no que la historia persuadiera.

Los equipos de seguridad suelen describir a los empleados como un cortafuegos humano. Esa metáfora asigna a las personas una función de filtrado en primera línea, especialmente cuando los controles técnicos no detectan un mensaje malicioso.

La operación de LAUNDRY BEAR demuestra el límite de la metáfora. Una persona no puede tomar una decisión segura cuando la aplicación ejecuta código hostil antes de presentar una elección significativa.

Esto no vuelve obsoleta la formación de empleados. La capacitación sigue ayudando a los usuarios a reconocer abusos de cuentas, solicitudes inusuales, seguimientos sospechosos e intentos convencionales de phishing.

Sin embargo, la formación no puede sustituir el renderizado seguro, el despliegue rápido de parches, la supervisión de servidores y la exposición administrativa restringida. Tratarla como sustituto deja una brecha predecible.

Las organizaciones que utilizan software de colaboración alojado por ellas mismas afrontan una carga particular. Obtienen control sobre la implementación, pero también asumen la planificación de actualizaciones, las pruebas de compatibilidad, las ventanas de mantenimiento, la retención de registros y la evaluación de compromisos.

Esa carga aumenta cuando un servidor respalda la comunicación diaria. Los administradores pueden dudar en aplicar parches porque la interrupción del correo afecta a casi todos los departamentos.

Los atacantes se benefician de esa misma vacilación. Una vez que un exploit fiable se hace público, pueden analizar sistemas expuestos y atacar implementaciones que siguen por detrás de la versión compatible.

Por tanto, la verdadera competencia no enfrenta a atacantes con empleados mejor informados. Enfrenta la velocidad operativa del adversario con la capacidad de una organización para inventariar, parchear, detectar y recuperarse.

Ulej convirtió un mensaje visualizado en un acceso amplio a inteligencia

LAUNDRY BEAR creó Ulej para convertir un fallo de renderizado de correo en recopilación sistemática, persistencia y exfiltración controlada.

Ulej es la capacidad personalizada nombrada en el aviso gubernamental. Entregaba JavaScript por etapas a través de la interfaz vulnerable de Zimbra y operaba dentro de la sesión autenticada de la víctima.

Esa posición otorgaba al código el acceso asociado con el propietario del buzón. El atacante no necesitaba recrear cada paso de autenticación después de iniciarse el exploit.

La recopilación incluyó, según se informa, hasta 90 días de correo electrónico. La correspondencia reciente puede revelar proyectos actuales, negociaciones activas, viajes, asuntos de personal, investigaciones y otra inteligencia sensible al tiempo.

Ulej también buscaba direcciones de correo, contraseñas, historial de búsquedas, metadatos del buzón e información del directorio organizativo. La Global Address List puede revelar empleados, funciones, equipos y relaciones dentro de una institución.

Estos datos de directorio tienen valor más allá del primer compromiso. Pueden ayudar a un operador a identificar a altos cargos, administradores técnicos, líderes de proyecto, socios externos y objetivos de phishing más prometedores.

La herramienta también apuntaba a material de autenticación de dos factores e información de recuperación. La autenticación de dos factores añade un segundo paso de verificación, pero los datos de sesión robados o los mecanismos de recuperación pueden debilitar su protección.

Los códigos de acceso de aplicaciones crearon otra vía de persistencia. Estas contraseñas permiten que aplicaciones antiguas o especializadas accedan a una cuenta sin repetir el flujo normal de autenticación interactiva.

Las agencias identificaron códigos de acceso no autorizados llamados “ZimbraWeb” como una señal especialmente sólida de actividad maliciosa en esta campaña. Pueden existir códigos de acceso legítimos para aplicaciones, por lo que los defensores deben evaluar los nombres junto con las fechas de creación y el comportamiento de la cuenta.

Instalar el parche evita la explotación continuada de la vulnerabilidad específica. No elimina automáticamente las credenciales robadas, los códigos de acceso maliciosos, las sesiones activas ni los datos recopilados previamente.

Ese punto separa la aplicación de parches de la remediación. Un servidor puede estar totalmente actualizado hoy y aun así contener cuentas comprometidas antes de la ventana de mantenimiento.

Por tanto, las organizaciones afectadas deben investigar el acceso a los buzones, la actividad de autenticación, los códigos de acceso de aplicaciones, comportamientos sospechosos de reenvío y conexiones con indicadores de infraestructura publicados.

CISA afirma que la información robada casi con certeza fue transferida para su revisión y conservación a largo plazo. Una vez que la correspondencia llega a infraestructura controlada por el adversario, la limpieza local no puede recuperarla.

Según el análisis conjunto, la campaña utilizó un entorno de backend denominado Flowerbed. Sus servicios basados en Docker recibían, procesaban y almacenaban los datos recopilados por Ulej.

Un componente, denominado Catcher, actuaba como servidor DNS y HTTP. El tráfico DNS y web puede ofrecer rutas flexibles para preparar o transferir información desde los entornos objetivo.

Los operadores también emplearon servicios automatizados de certificados. Las conexiones cifradas respaldadas por certificados comunes pueden parecer tráfico web rutinario en una revisión superficial.

Los investigadores observaron infraestructura en la nube alquilada y servicios comerciales de redes privadas virtuales. Estos recursos ayudan a los operadores a separar sus ubicaciones personales de la actividad de la campaña.

Según los informes, el grupo reemplazaba partes de su infraestructura cada siete a 60 días. Esta rotación reduce la vida útil de las listas de bloqueo simples y complica la correlación a largo plazo.

Los analistas gubernamentales también hallaron indicios de que la inteligencia artificial ayudó al desarrollo de la base de código relativamente sencilla de Flowerbed. Esa observación no significa que la IA diseñara la campaña ni descubriera la vulnerabilidad.

Más bien, apunta a un uso práctico de asistencia para programar. Los operadores pueden generar código utilitario, adaptar la infraestructura y reducir el tiempo de desarrollo sin crear software excepcionalmente avanzado.

La eficacia de la campaña procedía de la integración, no de un componente espectacular. Los actores combinaron un fallo de renderizado, privilegios de buzón, recopilación selectiva de datos, alojamiento en la nube, cifrado y rotación de infraestructura.

Esta combinación también explica por qué las puntuaciones de gravedad de las vulnerabilidades pueden inducir a error. El impacto operativo de un fallo depende de dónde se sitúa, a qué privilegios accede y cómo lo convierte un adversario en un arma.

El correo electrónico representa un objetivo excepcionalmente valioso. Un solo buzón puede proporcionar credenciales, contenido sensible, señuelos futuros, mapas organizativos y acceso a flujos de restablecimiento de contraseñas.

Un error de cross-site scripting almacenado puede parecer más limitado que la toma remota de un servidor. Sin embargo, dentro de un webmail autenticado puede exponer exactamente la información que busca un grupo de espionaje.

Un parche pone fin al exploit, no al incidente

Las organizaciones que solo instalan la actualización corren el riesgo de cerrar la puerta de entrada original mientras dejan sin abordar las claves copiadas del atacante y la inteligencia robada.

Zimbra publicó las correcciones pertinentes en las versiones 10.1.13 y 10.0.18 el 6 de noviembre de 2025. Su anuncio del parche clasificó la gravedad de seguridad como alta.

Los administradores deberían migrar a la versión compatible más reciente, en lugar de tratar esas versiones históricas como destinos permanentes. Las versiones posteriores pueden incluir correcciones adicionales de seguridad y mantenimiento.

Cuando no sea posible aplicar el parche de inmediato, las agencias recomiendan alejar a los usuarios de la interfaz web vulnerable. Esta medida reduce la exposición, pero debería ser temporal.

Cualquier despliegue de Zimbra expuesto a internet que permaneciera vulnerable después de julio de 2025 merece una investigación. La ausencia de una alerta evidente no demuestra la ausencia de un compromiso.

El exploit no requirió instalar malware en una estación de trabajo. Su actividad podría manifestarse mediante solicitudes web, operaciones de cuentas, creación de códigos de acceso de aplicaciones o conexiones con infraestructura externa rotativa.

Las organizaciones deberían comparar los registros disponibles con los indicadores de compromiso del aviso. También deberían buscar solicitudes externas sospechosas asociadas a mensajes visualizados en la interfaz Classic.

Las revisiones de autenticación deberían identificar ubicaciones inusuales, dispositivos nuevos, horarios de sesión anómalos y accesos que continúan tras los cambios de contraseña. Los administradores deberían revocar sesiones y restablecer las credenciales afectadas cuando las pruebas respalden un compromiso.

Los equipos deberían inspeccionar los códigos de acceso de aplicaciones, especialmente los denominados “ZimbraWeb”. Deberían validar cada código con el titular de la cuenta y eliminar las entradas que carezcan de una finalidad operativa legítima.

El restablecimiento de contraseñas por sí solo puede ser insuficiente. Un atacante que posea un código de acceso de aplicación válido, un artefacto de sesión o un mecanismo de recuperación puede conservar el acceso por una vía que los defensores pasen por alto.

Las reglas de buzón y la configuración de reenvío también merecen inspección. Un intruso puede utilizarlas para copiar mensajes futuros u ocultar correspondencia seleccionada sin explotar repetidamente el fallo original.

Los equipos de respuesta deben considerar los sistemas de identidad posteriores. El correo electrónico suele facilitar restablecimientos de contraseña y recuperación de cuentas para servicios no relacionados, lo que crea oportunidades para compromisos laterales.

La campaña también plantea un difícil problema de evidencia. Algunas organizaciones pueden carecer de los registros históricos necesarios para reconstruir una actividad que comenzó un año antes.

Los períodos de retención cortos reducen los costes de almacenamiento, pero pueden borrar el registro necesario para investigar un espionaje silencioso. La contrapartida solo se hace visible tras una divulgación pública tardía.

Incluso unos registros sólidos podrían no responder si cada mensaje fue leído por un analista humano después de la exfiltración. Los informes de incidentes deberían distinguir entre la recopilación verificada y las suposiciones sobre el uso posterior de inteligencia.

La atribución exige una disciplina similar. CISA, la NSA, el FBI y agencias aliadas evalúan que LAUNDRY BEAR cuenta con apoyo estatal ruso. La inteligencia neerlandesa bautizó originalmente al grupo tras investigar operaciones anteriores.

El AIVD y el MIVD de los Países Bajos vincularon a LAUNDRY BEAR con compromisos que comenzaron, como mínimo, en 2024. Una brecha de 2024 que afectó a la policía neerlandesa expuso información de contacto relacionada con el trabajo.

El nuevo aviso de Zimbra amplía la comprensión pública de los métodos del grupo. No revela todas las fuentes que sustentan el juicio de atribución de los gobiernos.

Los funcionarios rusos suelen rechazar las acusaciones occidentales relativas a operaciones cibernéticas dirigidas por el Estado. La ausencia de una respuesta pública rusa a cada afirmación técnica no valida ni refuta de forma independiente el aviso.

Los defensores no necesitan resolver la disputa geopolítica antes de actuar. La vulnerabilidad existe, el proveedor la corrigió y múltiples investigadores observaron explotación coherente con la técnica divulgada.

Por lo tanto, la respuesta práctica debería separar dos cuestiones. La atribución orienta la comprensión estratégica, mientras que los artefactos observables orientan la detección y la remediación locales.

Las organizaciones también deberían evitar generalizar en exceso el número de víctimas. “Más de 10” describe objetivos confirmados que las agencias saben que fueron comprometidos con éxito, no un límite fiable de la exposición global.

Algunos compromisos siguen sin descubrirse. Otros pueden conocerse de forma privada, pero quedar excluidos de los informes públicos. A la inversa, un servidor sin parchear no debería contabilizarse automáticamente como comprometido sin pruebas que lo respalden.

La conclusión más defendible es más acotada. Las instalaciones vulnerables de Zimbra se enfrentaron a una vía de ataque demostrada, y la operación responsable persiguió activamente comunicaciones occidentales sensibles.

Qué deberían vigilar los defensores tras la alerta de ciberseguridad de CISA

La siguiente fase dependerá de la adopción de parches, de las pruebas de migración hacia otras plataformas de correo y de divulgaciones que aclaren el verdadero alcance de la campaña.

La primera señal es la velocidad con la que los sistemas Zimbra expuestos desaparecen o migran a versiones compatibles. Una rápida adopción de parches reduciría el conjunto de objetivos restantes más fáciles para el grupo.

Ese resultado reforzaría la opinión de que la divulgación coordinada puede contener el exploit actual. Una exposición continuada meses después demostraría que las barreras operativas para aplicar parches siguen siendo la ventaja duradera del atacante.

Los administradores deberían verificar el estado de las versiones mediante inventarios de activos, no mediante encuestas a empleados o registros de compras. Un contrato de soporte adquirido no demuestra que todos los nodos de producción recibieran la actualización.

La segunda señal es si LAUNDRY BEAR adapta la técnica de Ulej basada en la visualización a otra vulnerabilidad o plataforma de correo electrónico. El aviso advierte expresamente de que la capacidad tiene potencial de adaptación.

El fallo de Zimbra es específico del producto, pero la estrategia es más amplia. Cualquier renderizador de webmail que procese contenido controlado por un atacante dentro de una sesión autenticada puede presentar un riesgo significativo.

Proofpoint ha documentado por separado que otros grupos rusos utilizan exploits de medio clic contra servidores de webmail. Ese historial sugiere que el renderizado de correo seguirá siendo una superficie atractiva para el espionaje después de que CVE-2025-66376 pierda valor.

Una nueva campaña contra otra plataforma reforzaría el juicio central del artículo. Demostraría que el compromiso basado en la visualización es un método operativo, no una anomalía de un solo producto.

No observar adaptación debilitaría la previsión más amplia, aunque las operaciones de inteligencia suelen permanecer ocultas durante largos períodos. El silencio público no puede demostrar que la técnica haya sido abandonada.

La tercera señal es si las agencias o los equipos de respuesta a incidentes identifican víctimas adicionales, efectos de los datos robados o persistencia tras aplicar parches. Esas divulgaciones aclararían el coste de una remediación tardía.

Más víctimas confirmadas demostrarían que la cifra publicada representaba solo un mínimo inicial. Las pruebas de acceso continuado mediante códigos de acceso o sesiones reforzarían la distinción entre actualizar y recuperar.

En cambio, hallazgos adicionales limitados podrían indicar que la campaña siguió siendo selectiva. LAUNDRY BEAR parece centrarse en el valor de inteligencia, más que en la monetización criminal indiscriminada.

Las organizaciones no deberían esperar esas señales públicas antes de revisar sus entornos. Ya pueden adoptar varias medidas concretas.

En primer lugar, inventariar todos los servidores, interfaces y servicios expuestos de Zimbra. Confirmar que cada despliegue ejecuta una versión actual compatible y que ninguna instancia de prueba olvidada sigue siendo accesible.

En segundo lugar, conservar los registros pertinentes antes de que las políticas de retención habituales los eliminen. Los investigadores necesitan registros web, de autenticación, de buzones, de proxy, de DNS y de endpoints para reconstruir la actividad.

En tercer lugar, buscar los dominios, direcciones, patrones de certificados y nombres de códigos de acceso publicados. Los indicadores caducan, por lo que deben combinarse con búsquedas de comportamiento en lugar de utilizar listas de bloqueo por sí solas.

En cuarto lugar, revocar las sesiones y credenciales sospechosas después de recopilar pruebas. Coordinar cuidadosamente estos pasos, ya que los restablecimientos prematuros pueden alertar a un operador o destruir un contexto de investigación útil.

En quinto lugar, revisar el tráfico saliente de usuarios y servidores de webmail. La actividad DNS o HTTP inesperada cerca de eventos de visualización de mensajes puede ayudar a identificar la explotación basada en renderizado.

En sexto lugar, preparar una vía de respuesta para la exposición de correo electrónico sensible. Los equipos legales, ejecutivos, de seguridad, de comunicaciones y de negocio afectados deberían acordar la escalada antes de que los investigadores confirmen el robo.

La alerta de la NSA hace hincapié en actualizar el software, supervisar los servicios de correo y aplicar las mitigaciones del aviso. Esas medidas constituyen una base, no una estrategia de seguridad completa.

Las defensas a largo plazo deberían reducir la confianza concedida al contenido de correo renderizado. También deberían aislar los servicios de colaboración, restringir las comunicaciones salientes y supervisar acciones sensibles de las cuentas.

Las organizaciones necesitan procesos de aplicación de parches que reflejen las pruebas de explotación, no solo la puntuación principal de una vulnerabilidad. Un fallo que parece de gravedad media en un sistema rico en información de inteligencia puede exigir un tratamiento de emergencia.

Los responsables de seguridad también deben revisar cuidadosamente los mensajes de formación. Los empleados deben seguir evitando enlaces y archivos adjuntos sospechosos, pero los responsables deben dejar de insinuar que la cautela de los usuarios puede prevenir todas las vulneraciones por correo electrónico.

El mensaje más preciso distribuye la responsabilidad entre distintas capas. Los usuarios informan de anomalías, los administradores aplican parches a los sistemas, los ingenieros limitan el procesamiento peligroso y los equipos de respuesta investigan la persistencia de identidades.

Este modelo compartido es importante porque LAUNDRY BEAR no derrotó a un empleado en una prueba de criterio. Explotó el software durante una acción habitual que las organizaciones exigen que los empleados realicen.

Por tanto, el aviso de ciberseguridad de CISA deja una pregunta urgente para cada operador de Zimbra: ¿puede su equipo demostrar que el servidor fue parcheado y que los atacantes no llegaron antes?