Si el hacking ruso busca el ruido, el chino busca el silencio y la escala. Su marca es el espionaje estratégico masivo y, cada vez más, la preposición en infraestructuras críticas para un posible conflicto futuro.
Quiénes son. Buena parte de la actividad se atribuye a grupos ligados al Ministerio de Seguridad del Estado (MSS) y, históricamente, al Ejército Popular de Liberación. Nombres conocidos: APT1 (la unidad militar 61398, destapada en un famoso informe de 2013), APT10 (campaña "Cloud Hopper" contra proveedores de servicios gestionados), APT41 (que combina espionaje estatal con delito financiero), y los más recientes y preocupantes Volt Typhoon y Salt Typhoon.
Qué buscan y dónde impactan. Tradicionalmente, robo de propiedad intelectual y secretos industriales a escala planetaria (tecnología, defensa, farmacéutica, aeronáutica) para acelerar su desarrollo, y espionaje a gobiernos. Lo nuevo es más inquietante: Volt Typhoon se ha infiltrado en infraestructuras críticas de EE. UU. (energía, agua, transporte, comunicaciones) no para robar, sino para quedarse latente, pre-posicionado por si estalla un conflicto. Y Salt Typhoon comprometió redes de telecomunicaciones, incluidos sistemas de escuchas legales, un golpe de espionaje de enorme calado.
Técnicas que siguen. De dominio público: "living off the land" llevado al extremo (Volt Typhoon apenas usa malware; abusa de herramientas legítimas del propio sistema para pasar desapercibido durante años), compromiso de routers domésticos y de oficina para crear infraestructura de ataque difícil de rastrear, explotación de vulnerabilidades en dispositivos de red y VPN, ataques a la cadena de suministro, y una persistencia paciente y sigilosa. La detección es dificilísima precisamente porque evitan las herramientas que las defensas buscan.
Por qué te interesa. El caso chino demuestra que la amenaza más peligrosa no es la que hace ruido, sino la que ya está dentro sin que lo sepas. Estudiarlo enseña la importancia del threat hunting, la detección de comportamiento anómalo (donde la IA aplicada a ciber brilla) y la vigilancia de lo que se considera "normal".