Un actor que usa el alias Lenken asegura haber obtenido acceso a 13 entornos ERP de organizaciones en nueve países mediante un presunto 0-day sin parchear. Sin embargo, el material difundido no identifica a las víctimas y Dark Web Informer advierte que no ha verificado de forma independiente ni los accesos ni el método de explotación.
***

• El actor afirma tener accesos en Sudáfrica, Estados Unidos, Irak, India, Austria, Arabia Saudita, Emiratos Árabes Unidos, Egipto y Tanzania.
• Las capturas describen acceso con privilegios de usuario normal mediante reverse shell, implante o instalación de agente, pero no confirman esas afirmaciones.
• Las organizaciones no aparecen nombradas y el reporte no verifica el presunto 0-day, las cifras de ingresos ni las pruebas de archivos y uso de disco.

Un actor asegura haber accedido a 13 sistemas ERP en nueve países mediante un presunto 0-day

Una lista de accesos aún sin confirmar

Un actor que utiliza el alias Lenken afirma haber obtenido acceso a entornos de planificación de recursos empresariales, conocidos como ERP, pertenecientes a 13 organizaciones de nueve países. Las capturas difundidas describen empresas de distintos sectores y presentan salidas de archivos y uso de disco como evidencia aparente, pero no identifican directamente a las presuntas víctimas.

Según Dark Web Informer, el actor sostiene que todos los accesos se originaron mediante un 0-day sin parchear, es decir, una vulnerabilidad que supuestamente no contaba con una corrección disponible cuando fue explotada. La publicación no especifica qué producto ERP habría sido afectado, cuál sería la falla ni cómo se habría ejecutado el ataque, por lo que esa explicación permanece como una afirmación sin corroboración independiente.

El nivel de privilegio que Lenken dice tener es el de un usuario normal, y los mecanismos mencionados incluyen una reverse shell, un implante o la instalación de un agente. Esas descripciones apuntan a formas de mantener comunicación con un sistema comprometido, pero el material no permite confirmar que exista una conexión activa ni que el actor pueda realizar acciones más allá de las que describe.

El reporte sitúa la actividad en Sudáfrica, Estados Unidos, Irak, India, Austria, Arabia Saudita, Emiratos Árabes Unidos, Egipto y Tanzania. La ficha indica como fecha observada el 6 de noviembre de 2026 a las 8:05 p. m.; ese dato forma parte de los metadatos publicados y no constituye, por sí solo, una confirmación de que los accesos ocurrieron en esa fecha.

Los sectores y cifras que aparecen en las capturas

La lista incluye una consultora de tecnología de Sudáfrica con ingresos reclamados de USD $22 millones y una firma estadounidense de inteligencia de crédito comercial impulsada por IA, a la que se atribuyen USD $50 millones. También figura una organización de Irak dedicada a ingeniería integrada y consultoría técnica, sin una cifra de ingresos divulgada.

Entre las demás entradas aparece una compañía estadounidense de vitaminas, minerales y suplementos, con ingresos reclamados de USD $5,5 millones en 2025, además de una empresa automotriz y ferroviaria de India, sin ingresos especificados. La ficha también describe una firma austríaca vinculada con medición agrícola, pesaje y equipos de TI, a la que atribuye EUR €1,2 millones en 2025.

En India, el material menciona una empresa de luces LED con ingresos reclamados de USD $1,2 millones y otra dedicada a soluciones de energía sostenible, con USD $5,1 millones. Asimismo, incluye una organización de soluciones digitales asociada con India y Estados Unidos, sin una cifra de ingresos indicada.

Las otras entradas corresponden a una firma privada de Arabia Saudita enfocada en ingeniería MEP, sistemas inteligentes y GRMS; una consultora de gestión y servicios corporativos de Emiratos Árabes Unidos; y una empresa egipcia de tecnologías del agua, ninguna con ingresos divulgados. La lista se completa con una organización de construcción y edificación de Tanzania, a la que el actor atribuye USD $4,5 millones.

Qué muestran y qué no demuestran las pruebas

Las capturas incluyen descripciones sectoriales, cifras de ingresos y salidas de archivos o de uso de disco que el actor presenta como prueba aparente de acceso. Dark Web Informer señala que esos valores se resumieron en su publicación y no reproduce cada línea de información del sistema, por lo que los lectores no cuentan allí con un inventario completo para comprobar cada detalle.

La limitación central es que las capturas no nombran a las organizaciones. Las descripciones de industria y país, junto con los ingresos reclamados, no bastan para identificar de manera fiable a una empresa ni para demostrar que sus sistemas fueron vulnerados; tampoco se ofrece una confirmación directa de las entidades supuestamente afectadas.

El material identifica al actor como Lenken y muestra un identificador de contacto de Session: 0527974f9062fe413b0f33c25c21be244b9724617e18090af415bff61f845c0a35. El reporte aclara que no aparecen dominios de víctimas, hashes de malware, identificadores de Tox, cuentas de Telegram ni direcciones IP públicas controladas por el atacante; el identificador sirve para correlacionar la publicación, no para validar sus afirmaciones.

El análisis clasifica la posible explotación como acceso inicial mediante explotación de una aplicación pública, bajo la técnica T1190 de MITRE ATT&CK, pero la presenta como una inferencia analítica. El producto vulnerable y la ruta de explotación no figuran en las capturas, de modo que esa clasificación no equivale a confirmar la existencia de un 0-day ni una intrusión concreta.

Riesgos potenciales y cautelas

Un ERP reúne procesos empresariales y datos utilizados por áreas como finanzas, operaciones, compras o inventario, aunque las funciones varían entre organizaciones y plataformas. Por eso, un acceso no autorizado podría ser relevante incluso si comienza con privilegios de usuario normal; sin embargo, el material no revela qué información habría estado disponible en estos casos ni si alguien la extrajo.

Si las afirmaciones fueran auténticas, una shell o un agente persistente podría facilitar el robo de datos, el abuso de credenciales, el movimiento lateral o una interrupción operativa, según los permisos y controles de cada entorno. Son riesgos potenciales descritos a partir del tipo de acceso que el actor asegura tener, no daños que la publicación haya demostrado en alguna de las 13 organizaciones.

La atribución de ingresos también exige cautela: las cantidades aparecen como estimaciones reclamadas, no como cifras financieras confirmadas por las empresas. La ficha solo asigna periodos explícitos a algunos valores, como los USD $5,5 millones de la compañía estadounidense de suplementos y los EUR €1,2 millones de la firma austríaca, ambos correspondientes a 2025.

Dark Web Informer declara que no verificó de manera independiente la existencia del presunto 0-day, los compromisos, las identidades de las víctimas, el nivel de acceso ni la persistencia de shells o agentes. Hasta que aparezcan confirmaciones independientes, el caso debe leerse como un conjunto de alegaciones publicadas por un actor, no como evidencia concluyente de que 13 organizaciones hayan sufrido una intrusión.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín