El panorama de ciberataques a infraestructuras gubernamentales en América Latina suma un nuevo y sofisticado actor. Investigadores de Check Point Research han destapado una campaña activa desde mediados de 2025 protagonizada por un grupo identificado como Gambling Goblin, que ha conseguido comprometer servidores web de instituciones gubernamentales y educativas brasileñas para desviar a sus visitantes hacia portales de apuestas deportivas y juegos de azar online.

La particularidad de esta operación radica en su método de ataque. En lugar de inyectar código en páginas específicas, los delincuentes instalan módulos maliciosos directamente en el servidor Apache, el popular software de código abierto que da servicio a millones de sitios web en todo el mundo. Esto les permite operar a un nivel más profundo y persistente dentro de la infraestructura comprometida.

Cómo funciona el ataque

El grupo, vinculado a actores de habla china según el análisis de Check Point, explota vulnerabilidades en servidores Apache desactualizados o mal configurados. Una vez logran acceso, despliegan módulos personalizados que actúan como intermediarios silenciosos entre el usuario legítimo y el sitio web original.

Cuando un visitante accede a la página institucional comprometida, el módulo malicioso evalúa el origen del tráfico, el dispositivo del usuario y otros parámetros técnicos. Si cumple ciertos criterios, el servidor responde con una redirección hacia páginas controladas por los atacantes que promocionan plataformas de apuestas online, muchas de ellas operando en jurisdicciones donde este tipo de actividades no están debidamente reguladas.

Este enfoque selectivo resulta especialmente astuto: permite que la infección pase desapercibida para los administradores del sitio, que siguen viendo la página institucional funcionando con normalidad cuando acceden desde sus propias redes corporativas.

Por qué importa a los profesionales de seguridad

Este caso ilustra una tendencia creciente en el cibercrimen organizado: el abandono progresivo de las técnicas ruidosas —como defacements o ataques de denegación de servicio— en favor de operaciones silenciosas orientadas al lucro financiero sostenido en el tiempo. Para los responsables de seguridad de organizaciones públicas y privadas en Latinoamérica, las lecciones son claras.

En primer lugar, la higiene básica del servidor sigue siendo determinante. Apache, siendo uno de los servidores web más extendidos del mundo, es también uno de los más atacados. Mantenerlo actualizado, revisar periódicamente los módulos cargados y monitorizar la integridad del sistema de archivos son prácticas que, aunque evidentes, siguen fallando en demasiadas organizaciones.

En segundo lugar, el vector de monetización mediante apuestas online revela cómo la industria del juego ilegal en internet se ha profesionalizado hasta contar con proveedores de tráfico cibercriminal especializado. Ya no hablamos de estafadores aislados, sino de cadenas de suministro maliciosas con actores claramente diferenciados: desde los operadores de la infraestructura hasta los afiliados que monetizan el tráfico desviado.

El contexto latinoamericano

Brasil ha intensificado recientemente la regulación de las apuestas deportivas, lo que paradójicamente podría estar incentivando a los operadores ilegales a buscar canales de tráfico alternativos y menos detectables. Secuestrar el tráfico de webs gubernamentales, con su alto volumen de visitantes y su apariencia de legitimidad, ofrece un vector promocional difícil de igualar.

Para los equipos de seguridad hispanohablantes, este caso sirve como recordatorio de que las amenazas avanzadas no se limitan a grandes corporaciones tecnológicas. Las instituciones públicas, universidades y organismos oficiales son objetivos prioritarios precisamente por su menor inversión relativa en ciberseguridad y por el valor reputacional que ofrece un dominio gubernamental.

La recomendación de Check Point es clara: auditar de inmediato los servidores Apache expuestos a internet, revisar los módulos instalados y comparar la configuración activa con respaldos conocidos. En un ecosistema donde los atacantes prefieren pasar desapercibidos, la visibilidad sobre nuestra propia infraestructura es la primera línea de defensa.