La Superficie que CALEA Construyó: Salt Typhoon y la Interceptación Legal como Vector de Ataque

Septiembre 2026 — Investigación Especial. En octubre de 2024 se hizo pública la intrusión atribuida a China en nueve operadores de telecomunicaciones estadounidenses: Verizon, AT&T, Lumen y T-Mobile, más cinco confirmados después en la sesión informativa del Comité de Inteligencia del Senado de diciembre de 2024. El vector que acaparó los titulares fue el acceso a los portales de interceptación legal. El vector que merece más atención es la arquitectura que hizo ese acceso inevitable.

Esa arquitectura se llama CALEA. La Communications Assistance for Law Enforcement Act obliga a las operadoras a construir un punto de escucha para las fuerzas de seguridad. Lo que el diseño no previó es que ese punto de escucha, idéntico en forma a través de todas las operadoras, es también la superficie de ataque más uniforme que existe en las telecomunicaciones estadounidenses.

Una superficie de ataque federal

La infraestructura de interceptación legal no es un producto de un solo proveedor. Pero el contrato de interfaz es federal, el modelo de control de acceso tiene la misma forma en todas las operadoras y los requisitos de auditoría son mínimos. Cuando CISA publicó en enero de 2025 su guía de endurecimiento para infraestructura de comunicaciones, lo hizo después de los hechos. El documento es útil. También es una admisión: la pila de escuchas era un activo estratégico para quien la controlara, y las operadoras la controlaban mal.

El problema de diseño es más viejo que Salt Typhoon. En 2003, la intervención de la central de Vodafone Grecia —el llamado affaire de Atenas— usó la misma arquitectura en otro país, con otra operadora, y produjo el mismo resultado. El sistema de interceptación es un objetivo persistente de alto valor porque está, por diseño, oculto para los propios suscriptores de la operadora y mínimamente auditado por su propio personal de operaciones.

La única señal en los datos: la IP de destino

Lo más incómodo del caso es lo frágil que resulta la atribución. Una interceptación autorizada enruta hacia servidores de recolección controlados por las fuerzas de seguridad. La exfiltración de Salt Typhoon salía hacia endpoints de túneles controlados por el atacante, detrás de routers intermedios comprometidos. En la práctica, la IP de destino es la única señal que distingue a un intruso de un investigador interno que ejecuta una orden judicial — y requiere campos de registro que las pilas de interceptación anteriores a 2024 no emitían de forma consistente.

La respuesta de las operadoras fue casi idéntica en los nueve casos: una comunicación tipo 6-K con un rango de fechas, la línea de "sin impacto financiero para el cliente" y un contrato con una de tres firmas de respuesta a incidentes. Ninguna publicó los TTP específicos observados en su entorno. La descripción agregada que existe es el producto conjunto del FBI y CISA, que describe el grupo en términos generales porque publicar TTP por operadora delataría qué compañía observó qué.

Lo que CALEA no exige

CALEA manda que la infraestructura de interceptación exista. No manda un registro por acceso con la fidelidad suficiente para que una operadora detecte una interceptación no autorizada dentro del volumen de las autorizadas. La guía de endurecimiento de CISA de enero de 2025 es el primer documento federal que nombra ese hueco — y su lenguaje es de recomendación, no de directiva vinculante. Las operadoras siguen configurando el nivel de registro que ellas eligen.

El patrón del grupo Salt Typhoon se solapa con el clúster GhostEmperor que Kaspersky rastrea desde 2021: la familia de rootkits de kernel de router Demodex aparece en ambos conjuntos de atribución, y el patrón de registro de dominios C2 usa el mismo puñado de registradores bajo frentes distintos. La telemetría de CrowdStrike de diciembre de 2024 muestra al mismo clúster de TTP pivotando de operadoras a fabricantes de equipos de telecomunicaciones, en dirección de cadena de suministro. La intrusión fue río arriba antes que río abajo.

La lección estructural

Un sistema de escuchas diseñado para ser invisible a sus propios suscriptores y mínimamente auditado por sus operadores es un activo estratégico para quien lo posea. El "wiretap" ya es conocido como malo. La pregunta abierta es si las operadoras lo reconstruirán con registro y auditoría reales, o si la recomendación federal llegará tarde, cuando la próxima intrusión encuentre la misma superficie intacta.

La seguridad no se mide por el grosor de la puerta, sino por la calidad del registro de quién la cruza. Y en la interceptación legal, ese registro sigue siendo la pieza que casi nadie emite.

Fuentes

Investigación basada en reportes públicos de CISA, CrowdStrike y Microsoft. Las descripciones de TTP agregadas corresponden a los productos conjuntos del FBI y CISA.