Así infectaron hackers miles de computadoras usando las actualizaciones de Notepad++

Un sofisticado ataque a la cadena de suministro de software puso en riesgo a miles de organizaciones alrededor del mundo. Ciberdelincuentes lograron infiltrarse en el sistema de actualizaciones de Notepad++, el reconocido editor de texto y código que millones de usuarios emplean a diario, desde desarrolladores hasta instituciones financieras y organismos públicos.

El incidente ilustra cómo la confianza en los canales oficiales de actualización puede convertirse en una puerta de entrada para el malware más avanzado.

La importancia de este caso radica en que no se trata de un ataque convencional. Los hackers aprovecharon el mismo proceso que los usuarios emplean para mantener sus programas seguros y actualizados. Al comprometer la infraestructura del proveedor de hosting de Notepad++, los atacantes lograron que el software distribuyera parches aparentemente legítimos, pero en realidad infectados con código malicioso, sin que las víctimas tuvieran que descargar archivos sospechosos por su cuenta.

Cómo funcionó el ataque a Notepad++

El análisis realizado por el equipo Global Research and Analysis Team (GReAT) de Kaspersky reveló que el ataque fue extremadamente planificado. Una vez dentro de la red del proveedor de hosting, los ciberdelincuentes modificaron el mecanismo de distribución de actualizaciones de Notepad++ para inyectar sus propias cargas maliciosas.

Entre julio y octubre de 2025, los investigadores detectaron múltiples oleadas de ataques, cada una utilizando servidores, dominios y archivos diferentes para evadir sistemas de defensa y permanecer activos en las redes comprometidas durante meses.

La campaña se adaptó continuamente: cuando se descubría una parte de la infraestructura, los atacantes la reemplazaban por otra completamente distinta, haciendo muy difícil su detección por parte de los equipos de seguridad tradicionales, que dependen de indicadores estáticos como direcciones IP o hashes de archivos.

Cuál fue el impacto global y los sectores afectados

El alcance del ataque superó lo que se conocía públicamente. Además de usuarios individuales, resultaron afectadas organizaciones gubernamentales, instituciones bancarias, proveedores de servicios de TI y empresas de múltiples sectores en diversas regiones, incluyendo América Latina.

Muchas compañías realizaron auditorías tras las alertas iniciales, pero solo detectaron la última fase de la campaña, ya que las etapas previas emplearon técnicas y archivos distintos, difíciles de rastrear sin información técnica específica.

El ataque puso de manifiesto la vulnerabilidad inherente a los procesos de actualización de software: incluso los canales oficiales pueden ser manipulados, y el malware puede llegar disfrazado de mejora legítima.

Una amenaza difícil de detectar

El pharming de la cadena de suministro, como se conoce a estos ataques, representa un desafío especial para la ciberseguridad porque se aprovecha de la confianza depositada en el proveedor.

No es necesario que el usuario caiga en un engaño por correo electrónico ni que descargue archivos desde fuentes dudosas. El propio sistema, al conectarse para actualizarse, recibe e instala el software infectado.

Además, los atacantes usaron tácticas avanzadas para moverse lateralmente dentro de las redes, escalar privilegios y evadir la detección durante largos periodos. Esto abre la puerta a espionaje industrial, robo de información confidencial y ataques a sistemas críticos.

Recomendaciones para protegerse

Para reducir el riesgo de este tipo de ataques, los expertos de ciberseguridad recomendaron fortalecer la gestión de la cadena de suministro digital. Esto implica validar cuidadosamente a los proveedores, monitorear de forma continua las actualizaciones de software, mantener un inventario actualizado de los activos y segmentar las redes para limitar el alcance de una brecha.

También es clave adoptar soluciones de seguridad basadas en el comportamiento, no solo en firmas conocidas. Dado que los atacantes cambian su infraestructura y métodos constantemente, el monitoreo debe enfocarse en identificar patrones anómalos, intentos de movimiento lateral y escalamiento de privilegios en tiempo real.

El ataque a las actualizaciones de Notepad++ demuestra que incluso los programas más confiables pueden convertirse en vectores de infección si se compromete su cadena de suministro. La clave para protegerse está en una vigilancia constante, una gestión rigurosa de los proveedores y el uso de herramientas avanzadas de detección.