Asunto: Filtración de datos basada en ransomware de archivos de construcción e ingeniería de la central nuclear de Kudankulam

Entidad objetivo: Reliance Group (contratista) / Central nuclear de Kudankulam (KKNPP) Unidades 3 y 4

Actor de amenaza: World Leaks (marca renovada de Hunters International)

Fecha de emisión: 15 de julio de 2026

En julio de 2026, el grupo de extorsión de datos World Leaks publicó un enorme lote de documentos robados en la web oscura. Los actores afirmaron que los archivos fueron exfiltrados del conglomerado indio Reliance Group, un contratista de ingeniería clave para la central nuclear de Kudankulam (KKNPP) en Tamil Nadu, India.

La central nuclear de Kudankulam (KKNPP) es la estación de energía nuclear más grande de la India, ubicada en el distrito de Tirunelveli de Tamil Nadu, construida en colaboración con Rusia. La central es fundamental para los objetivos de energía limpia de la India y cuenta con seis reactores VVER-1000 de diseño ruso destinados a producir un total de 6,000 MW de electricidad. 

De los aproximadamente 858,000 archivos totales filtrados de Reliance Group, más de 19,000 archivos están relacionados de manera explícita con el proyecto nuclear de Kudankulam. Reliance Group ha confirmado que se produjo una "brecha parcial" en un servidor alojado por el proveedor externo de centros de datos Yotta. Esto representa un tesoro de información para cualquier actor interesado en la central.

Por qué es importante este incidente

Los operadores de infraestructura crítica a menudo dependen de la seguridad física por capas, los controles de acceso, la segregación operativa y la protección de información de ingeniería confidencial. Si bien no hay evidencia que indique que las redes de control operativo de reactores activos (tecnología operativa o OT) hayan sido vulneradas de manera directa, la exposición de planos de ingeniería de alta fidelidad, esquemas de ventilación y diseños de planta proporciona a Estados nación hostiles y actores de amenazas sofisticados los mapas físicos y lógicos precisos necesarios para planificar futuras operaciones cinéticas o cibernéticas.

La vulneración de la lista de proveedores es un factor preocupante. Los actores de amenazas e incluso las naciones adversarias con intereses geopolíticos pueden utilizar esta información para planificar un ejercicio coordinado de infiltración en la cadena de suministro mientras obtienen suficiente conocimiento para descifrar detalles operativos críticos. La exposición de los perfiles de proveedores también puede poner en riesgo futuras centrales nucleares ante intentos de infiltración en la cadena de suministro. 

Evaluación de impacto inicial

• Los informes de inspección podrían contener observaciones sobre brechas de seguridad que un actor de amenaza podría explotar.

• Impacto en sistemas OT: Ninguno. Los sistemas de control de reactores y las operaciones activas permanecen aislados y sin comprometerse.

• Datos comprometidos: Más de 19,000 archivos que incluyen planos técnicos, distribuciones de planta de una sala de control común, diseños de ventilación y refrigeración, informes de inspección, listas de proveedores y pólizas de seguro.

• Componentes de la central afectados: Principalmente las Unidades 3 y 4 de la KKNPP, que se encuentran actualmente bajo construcción y programadas para entrar en operación en 2027.

• Impacto financiero y operativo: Alto daño reputacional para el ecosistema de contratistas, posibles retrasos en la puesta en servicio de las Unidades 3 y 4 debido a reevaluaciones de seguridad e incremento de la vulnerabilidad en la cadena de suministro.

Importancia estratégica para la infraestructura crítica

Esta brecha marca un cambio crítico en la forma en que los adversarios atacan entornos altamente protegidos. En lugar de intentar una intrusión directa en las redes administrativas nucleares fuertemente fortificadas, los actores de amenazas eligieron el camino de menor resistencia: la cadena de suministro de contratistas externos y centros de datos en la nube. Esta es la razón por la que los ataques de reconocimiento a entidades de la cadena de suministro de infraestructura crítica, tanto ascendentes como descendentes, van en aumento. Los actores de amenazas están explorando dicha infraestructura e instalaciones para identificar puntos de entrada.   

Este incidente demuestra que el perímetro de una instalación crítica es tan fuerte como el repositorio digital de su contratista menos seguro.

Resumen del incidente

Descubrimiento

El 29 de mayo, el proveedor de centros de datos indio Yotta detectó actividad sospechosa en un servidor alojado utilizado por Reliance Group. Aunque Yotta informó que se impidió con éxito la ejecución inmediata de una carga útil de ransomware, posteriormente se descubrió que la exfiltración de datos ya se había ejecutado de manera silenciosa antes de la contención del ataque.

Yotta pudo evitar la ejecución de una carga útil de ransomware secundaria (una carga útil primaria puede haber facilitado la propagación de la brecha inicial). El uso de cargas útiles en fases permite que el ataque se desarrolle de manera incremental, lo que reduce la posibilidad de detección y mejora la probabilidad de que al menos una fase del ataque tenga éxito.

Los datos robados pueden haber sido exfiltrados de forma incremental mediante sesiones salientes cifradas y de bajo volumen que se mezclaron con el tráfico de red legítimo, lo que permitió que la actividad permaneciera por debajo de los umbrales de detección convencionales. Sin embargo, actualmente no hay evidencia pública que confirme la técnica exacta de exfiltración utilizada.

Divulgación pública

El 15 de julio de 2026, agencias de noticias internacionales (lideradas por Reuters) informaron que World Leaks había publicado los archivos exfiltrados en su sitio de filtración de datos (DLS) de la web oscura. Posteriormente, Reliance Group emitió una declaración pública que confirmaba una "brecha parcial" de un servidor alojado, reconociendo que habían notificado a las autoridades gubernamentales, incluido el Equipo de Respuesta a Emergencias Informáticas de la India (CERT-In).

Estado actual de la investigación

La investigación está siendo llevada a cabo activamente por CERT-In en coordinación con la Nuclear Power Corporation of India Limited (NPCIL). La investigación se centra en:

· Identificar las zonas afectadas y cualquier carga útil residual que aún pueda estar al acecho en cualquiera de las redes conectadas con estas zonas.

· Determinar la autenticidad absoluta de los archivos expuestos.

· Analizar la falla de los controles que condujeron al incidente.  

· Evaluar el impacto sistémico en la cadena de suministro.

· Implementar contramedidas defensivas para proteger los perímetros físicos y digitales de las Unidades 3 y 4 de la KKNPP.

· Verificar si el actor de la amenaza ha retenido información adicional a la que fue liberada.

Análisis técnico

Naturaleza de los datos expuestos

Los más de 19,000 archivos filtrados consisten principalmente en documentación técnica de diseño y construcción fechada entre 2016 y mediados de 2025. Estos materiales corresponden directamente al desarrollo de las Unidades 3 y 4. Cabe destacar que los archivos filtrados no contienen diseños de los núcleos de los reactores primarios. Estos son suministrados y gestionados por Rosatom, la corporación estatal de energía atómica de Rusia.

Sistemas impactados

El compromiso se limitó estrictamente a un entorno de nube de TI empresarial externo de un tercero.

• Víctima primaria: Centro de datos Yotta (específicamente la infraestructura de alojamiento arrendada por Reliance Group / Reliance Infrastructure).

• Estado de la tecnología operativa (OT): No existe ninguna evidencia o indicación técnica de movimiento lateral hacia la red física de OT o los sistemas de control distribuido (DCS) de la KKNPP. Los sistemas de control de reactores operan en redes con aislamiento físico (air-gapped) completamente separadas de los sistemas de contratistas externos.

Categorización del ataque

Este incidente se clasifica como un compromiso de la cadena de suministro de terceros que aprovecha tácticas de extorsión única (robo de datos y exposición pública). Aunque el actor de la amenaza proviene de un entorno de ransomware, omitió el cifrado de cargas útiles en esta campaña, centrándose por completo en la exfiltración y la extorsión basada en el chantaje.

Relación: Contratista con la instalación nuclear

A Reliance Infrastructure se le otorgó un contrato en 2018 para diseñar, desarrollar y construir la infraestructura esencial del balance de planta (BOP) para las Unidades 3 y 4. Debido a que los sistemas BOP abarcan servicios de soporte críticos como circuitos de refrigeración secundarios, generadores de energía de respaldo y ventilación, el contratista poseía esquemas físicos y de ingeniería altamente detallados del diseño estructural de la central.

Esta brecha puede haber creado un "gemelo digital" para futuros ataques

Los dibujos de ingeniería, la documentación del proyecto, los registros de inspección, la información de proveedores y los datos de contratistas filtrados se pueden utilizar para crear un modelo preciso del entorno.

La documentación de ingeniería puede revelar:

• Topología de red física e interconexiones.

• Modelos de equipos, fabricantes y generaciones.

• Relaciones con proveedores y responsabilidades de mantenimiento.

• Arquitectura de redundancia.

• Dependencias críticas entre sistemas.

• Historial de adquisiciones que sugiere ciclos de actualización tecnológica.

De forma individual, estos documentos pueden parecer inofensivos. En conjunto, permiten a un atacante reconstruir un entendimiento de alta fidelidad del entorno o, mejor dicho, una forma de inteligencia sobre el objetivo.

Análisis del actor de amenaza

Perfil: World Leaks

El ataque ha sido adjudicado por World Leaks, un colectivo activo de extorsión de datos.

Confianza de atribución: Alta

Los analistas de inteligencia de amenazas rastrean a World Leaks como un cambio de marca directo de Hunters International, un grupo de ransomware como servicio (RaaS) de habla rusa que surgió a finales de 2023. Se creía ampliamente que Hunters International había heredado el código y la infraestructura de la extinta banda de ransomware Hive. Tras los informes de un cierre a finales de 2024 debido a la presión policial, el grupo hizo la transición a un modelo exclusivo de extorsión bajo el nombre de "World Leaks" en enero de 2025.

TTPs conocidas

• Acceso inicial: Principalmente oportunista. Explota vulnerabilidades conocidas en dispositivos expuestos a internet (como VPNs, firewalls) o aprovecha credenciales válidas comprometidas donde el factor de doble autenticación (MFA) está ausente o mal configurado.

• Herramientas: Utiliza una herramienta de exfiltración de archivos automatizada y personalizada (derivada de la utilidad "Storage Software" de Hunters) para localizar y exfiltrar rápidamente archivos de objetivos de alto valor.

• Evasión: Oculta cargas útiles maliciosas (como su firma de troyano de acceso remoto SharpRhino RAT) dentro de instaladores legítimos Nullsoft Scriptable Installers (NSIS) para evadir firmas estándar de detección y respuesta de endpoints (EDR).

• Exfiltración: Aprovecha con frecuencia herramientas como Rclone y WinSCP para exfiltrar gigabytes de datos a almacenes en la nube controlados por el actor antes de emitir demandas de extorsión.

Campañas históricas

World Leaks/Hunters International ha atacado a importantes entidades internacionales en los sectores de salud, manufactura y tecnología crítica. En particular, en junio de 2026, el grupo comprometió al proveedor de Apple, Tata Electronics, filtrando 630 GB de esquemas y acuerdos de la cadena de suministro.

Este actor de amenazas ha desarrollado un fuerte interés en los conglomerados indios y las redes conectadas con infraestructuras críticas en este país. Aunque el actor de amenazas ha liberado la información exfiltrada, es posible que conserve información que podría vender a actores estatales que puedan hacer un mal uso de esta misma información.      

Naturaleza de la información expuesta

El lote de datos expuesto contiene categorías de documentos que, aunque no se clasifican como "secretos de Estado de nivel militar", proporcionan un inmenso valor de reconocimiento para los adversarios:

• Planos de ingeniería: Detallan específicamente los sistemas de ventilación, tuberías de refrigeración secundaria y diseños estructurales para las Unidades 3 y 4.

• Diseños físicos: Planos de planta de la sala de control común y puntos de acceso de seguridad física.

• Datos del ecosistema de proveedores: Listas maestras de proveedores, registros de revisión de equipos y registros de adquisiciones.

• Registros administrativos: Pólizas de seguro, revisiones de inspección y minutas de reuniones internas.

El peligro de la agregación de datos "no confidenciales"

Individualmente, una póliza de seguro o un esquema de ventilación pueden parecer inofensivos. Sin embargo, al recopilarse, facilitan la obtención de Inteligencia Arquitectónica (ARCINT):

El efecto mosaico: Un adversario puede superponer los planos de ventilación con los diseños de la sala de control y las listas de proveedores. Esto les permite identificar vulnerabilidades físicas (p. ej., dónde es débil la seguridad física), ubicar equipos que representen puntos únicos de falla, determinar qué hardware de terceros contiene vulnerabilidades explotables y dirigir campañas de spear-phishing hiperrealistas a ingenieros específicos.

La IA aumenta el valor de los archivos de ingeniería robados

Hace apenas cinco años, revisar cientos de gigabytes de documentos de ingeniería requería equipos de analistas y personas capacitadas para clasificar los datos.

Hoy en día, los modelos de lenguaje de gran tamaño y el análisis basado en gráficos pueden extraer rápidamente:

• inventarios de activos,

• relaciones con proveedores,

• referencias de red,

• historiales de cambios de ingeniería,

• programas de mantenimiento,

• y dependencias ocultas a lo largo de miles de archivos.

El archivo se vuelve consultable, correlacionado y apto para búsquedas en cuestión de horas en lugar de semanas. De este modo, el riesgo de que los datos pierdan utilidad se ha reducido drásticamente. Siguiendo ese hilo, el valor de los datos de ingeniería se ha multiplicado considerablemente. Y esto no se debe a que los documentos se hayan vuelto más complejos o fáciles de entender, sino a que el costo (y el tiempo necesario para) extraer inteligencia de ellos se ha desplomado.

Mapeo de MITRE ATT&CK

Las siguientes técnicas se mapean según las TTPs establecidas por World Leaks y las características técnicas observadas en la vulneración del contratista de la KKNPP:

Análisis de riesgos de la infraestructura crítica

La exfiltración de archivos de diseño introduce riesgos sistémicos a largo plazo que persisten incluso si todas las redes de TI se corrigen con éxito:

Planificación de ataques físicos y cibernéticos

Al analizar la ventilación y los planos físicos de planta, un actor hostil puede identificar vectores de entrada/salida física, puntos ciegos en la cobertura de CCTV y ubicaciones exactas de los generadores de respaldo de emergencia.

Envenenamiento de la cadena de suministro

Como se mencionó anteriormente, la exposición de los directorios de proveedores y los modelos de componentes específicos permite a los actores de Estados nación rastrear la cadena de suministro. Pueden comprometer a un proveedor de bajo nivel para inyectar hardware/firmware falsificado o con puertas traseras en la planta durante la fase de construcción de las Unidades 3 y 4.

Construcción del perfil del objetivo

Los documentos de reuniones e informes de inspección expuestos identifican a ingenieros clave, oficiales de seguridad y tomadores de decisiones. Esta información sienta las bases para ataques de spear-phishing y de ingeniería social altamente dirigidos.

Cómo y cuándo se podrían instrumentalizar estos datos es una cuestión de especulación.

Hallazgos únicos y poco discutidos

Los contratistas como el punto débil de la infraestructura crítica

Proteger el perímetro de TI administrativo de una instalación nuclear requiere una inversión inmensa, lo que da como resultado sistemas altamente fortificados. En consecuencia, los atacantes se han orientado a apuntar a contratistas externos (firmas de ingeniería, empresas de construcción) cuyas ciberdefensas suelen ser significativamente más débiles, pero que poseen datos físicos y arquitectónicos idénticos.

El alto valor de la documentación de ingeniería "pasiva"

A diferencia de las bases de datos de TI activas, los planos de ingeniería no cambian una vez construida la instalación. Mientras que una contraseña de TI se puede cambiar en 5 minutos, un sistema de ventilación o el diseño de un muro de concreto no se pueden alterar fácilmente. Por lo tanto, una brecha en la documentación de diseño tiene una vida útil operativa de 40 a 60 años (la vida útil de la central nuclear), lo que proporciona a los adversarios una ventaja estratégica indefinida.

La documentación de la fase de construcción expone futuros riesgos operativos

Debido a que las Unidades 3 y 4 aún están bajo construcción, los archivos filtrados revelan los sistemas antes de que estén completamente activos. Esto les da a los adversarios años para estudiar los esquemas, identificar fallas de diseño, construir gemelos digitales y desarrollar cargas útiles personalizadas antes de que los reactores generen su primer megavatio de energía.

Por qué tales filtraciones son más dañinas que el ransomware en entornos nucleares

Un ataque de ransomware que cifra computadoras administrativas causa una interrupción operativa, pero se puede solucionar mediante copias de seguridad. Una filtración de datos, sin embargo, es permanente. Una vez que los planos de diseño están en el dominio público, nunca se pueden retirar, comprometiendo permanentemente la postura de seguridad física y lógica de la instalación.

Brechas de inteligencia

Para mantener una integridad analítica estricta, Shieldworkz clasifica los siguientes elementos como desconocidos debido a la falta de datos forenses verificados y disponibles públicamente:

• Vector de acceso inicial: No se ha confirmado si el acceso al servidor alojado de Yotta se logró a través de credenciales comprometidas, una vulnerabilidad de software o una amenaza interna.

• Mecanismos de persistencia: No se han revelado las modificaciones específicas del registro o las tareas programadas que utilizaron los actores para mantener el acceso antes de la detección.

• Movimiento lateral: Se desconoce si los actores de amenazas pasaron con éxito del entorno de alojamiento comprometido de Yotta a otras redes corporativas de Reliance.

• Método de exfiltración de datos: El protocolo exacto (p. ej., HTTPS, SFTP) y las utilidades de exfiltración específicas utilizadas para sustraer los 858,000 archivos no se han verificado forensemente.

Indicadores de Compromiso (IOCs)

Yotta, Reliance Group o CERT-In no han publicado de manera oficial ningún IOC específico del incidente verificado (como hashes de archivos maliciosos exactos o IPs de C2 activas). Sin embargo, se deben monitorear los siguientes IOCs genéricos y de comportamiento de World Leaks / Hunters International:

Firmas de archivos de grupos de amenazas conocidos

• Hash de SharpRhino RAT (SHA256): 9f8e7d... (Monitorear instaladores NSIS que ejecuten llamadas de red no estándar).

• Herramientas de exfiltración: Ejecución no autorizada de rclone.exe o winscp.exe hacia proveedores de nube pública.

Indicadores de red

• Conexiones a portales de alojamiento conocidos en la web oscura de Hunters International / World Leaks.

Lecciones específicas del sector

Operadores nucleares

• Imponer el acceso al diseño con Zero-Trust: Tratar todos los datos de diseño que manejan los contratistas como altamente restringidos. Exigir que se acceda a los archivos de ingeniería únicamente a través de infraestructuras de escritorio virtual (VDIs) seguras y supervisadas que restrinjan la descarga o copia de archivos a unidades externas.

Servicios públicos y red eléctrica

• Segmentar repositorios administrativos vs. operativos: Nunca permitir que los esquemas de ingeniería o los diseños de red se alojen en redes administrativas estándar o en recursos compartidos en la nube de terceros no supervisados.

Agencias gubernamentales y CERTs

• Establecer auditorías obligatorias a contratistas: Implementar líneas base estrictas de ciberhigiene y auditorías de seguridad periódicas para cualquier contratista privado que maneje proyectos de infraestructura nacional crítica.

Contratistas de ingeniería

• Exigir un control de acceso estricto: Implementar la autenticación multifactor (MFA) en todos los endpoints, especialmente en las VPNs y las puertas de enlace de acceso remoto. Restringir el acceso a nivel de carpeta para esquemas de proyectos confidenciales únicamente a aquellos empleados asignados activamente al proyecto.

Oportunidades de detección

SIEM y análisis de registros

• Windows Event ID 4624: Monitorear inicios de sesión exitosos a servicios remotos (Tipo 10) que se originen desde bloques de ISP no estándar o fuera del horario comercial previsto.

• Sysmon Event ID 1 (Creación de procesos): Detectar la ejecución de herramientas de línea de comandos como rclone con parámetros que contengan direcciones de almacenamiento externo en la nube (p. ej., Mega, Dropbox, OneDrive).

Detección y respuesta de endpoints (EDR)

• Configurar reglas de EDR para marcar o bloquear cualquier ejecución de utilidades administrativas (como PowerShell o el Símbolo del sistema) generadas por servidores web o procesos de bases de datos.

• Monitorear la creación de archivos .exe inesperados dentro de los directorios temporales de usuario (%TEMP% o %APPDATA%), lo cual es típico de los troyanos empaquetados en NSIS.

Monitoreo de redes y OT

• Picos de exfiltración de datos: Alertar sobre transferencias de datos salientes repentinas y de alto volumen desde estaciones de trabajo de ingeniería o sistemas de gestión de documentos hacia IPs externas.

• Aislamiento de la red OT: Realizar auditorías automatizadas periódicas de la brecha de aire (air-gap) que separa las redes de TI administrativas de las redes de sistemas de control industrial (ICS) para garantizar que no se introduzcan dispositivos de doble conexión.

Recomendaciones estratégicas

Para mitigar los riesgos inmediatos y sistémicos que plantea este compromiso, las organizaciones deben ejecutar la siguiente hoja de ruta escalonada:

Contención inmediata (0 a 48 horas): Mitigación de emergencia.

Auditar todas las conexiones de acceso de terceros. Terminar todas las sesiones activas de VPN y escritorio remoto que se originen en Reliance Group y subcontratistas asociados hasta que se verifique que sus endpoints están limpios. Forzar el restablecimiento de contraseñas para todas las credenciales compartidas.

Remediación a corto plazo (1 a 4 semanas): Análisis de impacto y escaneos de ingeniería.

Realizar una validación cruzada forense y activa de los 19,000 archivos filtrados para identificar los sistemas exactos expuestos. Llevar a cabo un escaneo de vulnerabilidades dirigido a todos los softwares y equipos de terceros enumerados en los archivos de adquisiciones filtrados para evitar su explotación dirigida.

Fortalecimiento a mediano plazo (1 a 3 meses): Defensas arquitectónicas.

Rediseñar o modificar la infraestructura secundaria confidencial donde sea factible (p. ej., alterando la ruta física de la energía de respaldo o los protocolos de control de acceso) para que los planos filtrados queden obsoletos. Implementar autenticación multifactor (MFA) estricta en todos los endpoints de portales de contratistas.

Estrategia a largo plazo (más de 3 meses): Gestión del ciclo de vida de la cadena de suministro.

Incorporar la gestión de derechos digitales (DRM) en todos los dibujos de ingeniería confidenciales para rastrear y controlar quién puede verlos, imprimirlos o editarlos. Establecer un marco de gestión continua de exposición a amenazas (CTEM) para auditar periódicamente la postura de ciberseguridad de todos los proveedores externos de infraestructura crítica.

Evaluación de confianza

Las evaluaciones clave de este informe se categorizan a continuación utilizando los estándares de CISA/ODNI para la confianza analítica:

El incidente de Kudankulam no debe verse como una "simple" filtración de datos o incluso como una brecha en la cadena de suministro. Debe verse como el compromiso de una base de conocimientos de ingeniería. En la infraestructura crítica, el conocimiento de ingeniería es inteligencia operativa. A diferencia de las credenciales o el malware, no queda obsoleto tras la respuesta al incidente; por el contrario, puede seguir siendo valioso para los adversarios durante años. 

Lectura recomendada

Análisis profundo: Incidente cibernético de Tata Electronics

Lo que revelan los incidentes cibernéticos de Bajaj Auto y Tata Electronics sobre el espionaje industrial y la extorsión

Preparando la infraestructura crítica europea para la próxima fase de operaciones cibernéticas rusas

Incidente cibernético de Nihon Kotsu: Análisis e informe de investigación

Asegurando las operaciones de infraestructura crítica durante eventos geopolíticos y más allá