¿El peligro silencioso del grupo Handala mantiene al gobierno y empresas de México en riesgo?
Imagen: Andrejzt | https://www.deviantart.com/andrejzt
Por Víctor Ruiz, fundador de SILIKN, Instructor Certificado en Ciberseguridad (CSCT™), NIST Cybersecurity Framework 2.0 Certified Expert (CSFE), (ISC)² Certified in Cybersecurity℠ (CC), EC-Council Ethical Hacking Essentials (EHE) Certified, EC-Council Certified Cybersecurity Technician (CCT), Ethical Hacking Certified Associate (EHCA), Cisco Ethical Hacker & Cisco Cybersecurity Analyst, Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro y Líder del Capítulo Querétaro de la Fundación OWASP.
Mientras el grupo de hackers iraní Handala perfecciona su letal combinación de tácticas clásicas e inteligencia artificial para lanzar ataques de borrado total (wipers) contra sus objetivos, una pregunta emerge en el radar de la seguridad nacional mexicana: ¿está México en la mira? Aunque no existen reportes oficiales que confirmen ofensivas directas contra organizaciones mexicanas bajo la premisa de ser “aliados de Estados Unidos”, la unidad de investigación de SILIKN advierte que el país podría convertirse en un escenario de ataques indirectos o en un puente para vulnerar intereses estadounidenses.
Handala, la cara visible del grupo Void Manticore vinculado al Ministerio de Inteligencia y Seguridad de Irán, ha concentrado su actividad reciente en Israel, Estados Unidos — con el ataque documentado a la corporación médica Stryker Corporation — y aliados estratégicos en Medio Oriente. Sin embargo, el entramado de conexiones y la porosidad de las fronteras digitales colocan a México en una posición de vulnerabilidad que las autoridades y el sector privado no pueden ignorar.
La amenaza para México no se manifiesta necesariamente en forma de ataques directos contra instituciones gubernamentales, como los perpetrados recientemente por otros grupos. En lo que va de 2026, el país ha sufrido filtraciones masivas de datos que afectaron a 25 instituciones públicas, incluyendo el SAT y el IMSS, pero estas han sido atribuidas a otros colectivos cibercriminales, sin relación con Handala.
No obstante, el peligro real, de acuerdo con la unidad de investigación de SILIKN, reside en dos frentes:
- Vínculos con grupos locales: Reportes de inteligencia sugieren que Handala ha buscado establecer colaboraciones o ha mencionado a organizaciones criminales mexicanas, específicamente al Cártel Jalisco Nueva Generación (CJNG). Según estas fuentes, el grupo iraní habría intentado utilizar estas conexiones para realizar vigilancia física o incluso amenazas contra figuras críticas del gobierno iraní residentes en Norteamérica. Esta convergencia entre ciberdelincuencia estatal y crimen organizado abre un nuevo y preocupante capítulo en la seguridad regional.
- Empresas multinacionales: Aunque no hay evidencia de ataques directos de Handala contra el gobierno de México, las subsidiarias de compañías estadounidenses en suelo mexicano sí podrían estar en el punto de mira. El ataque a Stryker Corporation, por ejemplo, no solo afectó sus sedes en Estados Unidos, sino que impactó sus operaciones globales, incluyendo potencialmente a cualquier subsidiaria o cadena de suministro en México que dependa de su infraestructura digital. Una empresa fabricante de componentes en Guadalajara o un centro logístico en Monterrey podrían convertirse en víctimas colaterales de una ofensiva dirigida contra su matriz estadounidense.
La relación estratégica entre México y Estados Unidos, particularmente en el marco del TMEC y la cooperación en seguridad, convierte al país en un eslabón sensible en la cadena de intereses norteamericanos. Para un grupo como Handala, cuyo objetivo declarado es vulnerar a Estados Unidos y sus aliados, infiltrarse en organizaciones mexicanas — ya sea por su valor simbólico como socio de Washington o como puente hacia redes corporativas estadounidenses — es una jugada lógica.
El modus operandi de Handala revela una capacidad de infiltración sigilosa y prolongada. Los operadores del grupo pueden permanecer meses dentro de una red antes de activar la fase destructiva, utilizando herramientas legítimas como NetBird para moverse lateralmente y credenciales robadas para escalar privilegios. Esta paciencia quirúrgica los convierte en una amenaza particularmente difícil de detectar, especialmente en entornos corporativos con conexiones transfronterizas.
Ante este panorama, la unidad de investigación de SILIKN recomienda a las organizaciones mexicanas — especialmente aquellas con vínculos corporativos con Estados Unidos o que formen parte de cadenas de suministro de empresas estadounidenses — elevar sus niveles de alerta. Las medidas preventivas deben incluir:
- Autenticación multifactor obligatoria para todos los accesos remotos.
- Monitoreo exhaustivo del uso de herramientas de red como NetBird o cualquier software de malla no autorizado.
- Vigilancia de cambios repentinos en directivas de grupo (GPO) o ejecución masiva de scripts de PowerShell.
- Protocolos de coordinación con las matrices estadounidenses para detectar posibles intrusiones cruzadas.
Hasta el momento, marzo de 2026 no registra ataques confirmados de Handala contra México, pero la historia de la ciberguerra demuestra que la ausencia de evidencia no es evidencia de ausencia. En un conflicto donde las líneas entre lo físico y lo digital se difuminan, y donde los grupos criminales locales pueden convertirse en socios tácticos de actores estatales, México debe pasar de ser un observador pasivo a un vigilante activo.
La próxima ofensiva de Handala podría no llevar la bandera iraní, sino instrumentalizar, sin saberlo, una red corporativa mexicana para alcanzar su verdadero objetivo.
Para más información, visite: https://www.silikn.net/