El Departamento del Tesoro de EE. UU. anunció nuevas sanciones contra actores cibernéticos iraníes, dentro de una campaña económica descrita como “sin precedentes” y coordinada entre distintos organismos. El objetivo, según el propio gobierno, es cortar los vínculos financieros que sostienen al régimen y a sus aliados, elevando la presión no solo en el mundo físico, sino también en el digital.
La acción lleva un nombre operativo: Operation Economic Outcast. De acuerdo con el anuncio, la iniciativa busca desconectar a Irán —y en particular al Cuerpo de la Guardia Revolucionaria Islámica (IRGC)— de “líneas de vida” financieras asociadas a redes de sectores como nuclear, misiles, petróleo y también ciberespacio. En este marco, el foco se amplía a actores vinculados al ecosistema de criptoactivos, donde el rastro del dinero puede ser más difícil de rastrear.
La operación busca romper los vínculos financieros
El Tesoro presentó la medida como un esfuerzo para “separar” cada conexión económica que sostenga al régimen iraní. El secretario del Tesoro señaló que se pretende impactar las relaciones financieras del país a nivel global, con la intención de reducir la capacidad de financiar y sostener al aparato estatal.
Según la comunicación oficial, la estrategia no se limita a sancionar entidades en sectores tradicionales. También apunta a los canales digitales que facilitan operaciones de intrusión y a quienes, directa o indirectamente, apoyan las actividades de amenaza.
Sanciones contra cerca de 60 entidades y personas
Las sanciones designan casi 60 entidades, individuos y embarcaciones vinculadas con Irán, en múltiples áreas. Entre las categorías mencionadas se incluyen redes relacionadas con activos digitales, además de los sectores de energía y defensa.
En el centro de la acusación se encuentra un grupo malicioso afiliado, según el Tesoro, al Ministerio de Inteligencia y Seguridad (MOIS). La autoridad estadounidense lo describe como responsable de compromisos extensos contra organizaciones relacionadas con infraestructura crítica en EE. UU., junto con robos cibernéticos con motivación financiera.
El mensaje del Tesoro también enfatiza que las redes bajo dirección del MOIS participarían en ciberespionaje en apoyo de objetivos políticos iraníes. La comunicación subraya, además, que el impacto incluye daños a civiles estadounidenses.
El caso Mabna Institute y las acusaciones en EE. UU.
Entre los sancionados se incluyen cinco individuos que fueron acusados por el Departamento de Justicia de EE. UU. la semana previa. La acusación los vincula con el Mabna Institute, con sede en Teherán.
Los nombres señalados son: Behzad Mesri, Mojtaba Ghal’eh-Kuhi, Keyvan Fayyaz Ghareh Blagh, Saber Shahbazi Balujeh y Mohammad Reza Kadkhoda’i, además de Arman Kahzadian (mencionado en el contexto de foco en robo de criptoactivos).
El anuncio detalla que algunas de estas personas habrían sido protagonistas de gran parte de la actividad de compromiso de red, con acceso y exfiltración de datos desde al menos finales de 2023. Las víctimas enumeradas abarcan empresas de energía, contratistas de defensa, instituciones de salud, compañías de tecnología de la información y también entidades financieras.
El Tesoro afirma que el grupo ejecuta explotaciones de redes informáticas en nombre de Irán o para su beneficio. Asimismo sostiene que, además de objetivos alineados con el MOIS, habría una motivación fuerte por el enriquecimiento personal, lo que llevaría a ciertos miembros a priorizar ganancias propias. Según esa lectura, parte de ese incentivo habría derivado también en ataques contra empresas iraníes.
Brechas recientes y actividad entre gobiernos y telecomunicaciones
El anuncio ubica un patrón de intrusiones. Se señala que, durante el verano de 2024, actores de amenaza habrían logrado acceder a diversas oficinas locales, estatales y federales en EE. UU.
Un año después, se atribuye a Mojtaba Ghal’eh-Kuhi y Saber Shahbazi Balujeh el apuntado y la exfiltración de datos en una empresa de telecomunicaciones iraní. Aunque en este punto el foco es el movimiento de información y el robo de datos, la narrativa general conecta estas acciones con una red de capacidades que alterna entre objetivos domésticos y externos.
Criptomonedas: robo, carteras y rastreo on-chain
La comunicación dedica un apartado a la dimensión financiera de las operaciones. En particular, menciona que Arman Kahzadian se habría concentrado en robos de criptomonedas. El Tesoro sostiene que obtuvo control de una cartera que contenía más de 30.000 dólares en Bitcoin durante el verano de 2023.
Además, se citan análisis de TRM Labs, una firma de investigación en blockchain. Su evaluación, según el anuncio, revisó 30 carteras vinculadas a los cinco miembros del Mabna Institute y encontró un total aproximado de 16,8 millones de dólares en fondos recibidos.
El documento añade que Keyvan Fayyaz Ghareh Blagh concentraría 10 direcciones con un volumen agregado que representaría cerca del 92% del total on-chain del grupo, entre el 6 de enero de 2018 y el 20 de agosto de 2026. También se describe que direcciones asociadas a Behzad Mesri recibieron aproximadamente 1,2 millones de dólares en un periodo que inicia en 2019 y se extiende hasta 2026.
El reporte no solo mira el flujo histórico: también reporta el saldo residual combinado, estimado en 202.662 dólares a partir del análisis mencionado.
“Secondary sanctions” y el papel de las fachadas financieras
El Tesoro y analistas vinculados a la investigación sostienen que el impacto busca ir más allá de sancionar directamente a los actores. La idea central es afectar a terceros que faciliten negocio con Irán, lo cual se describe como presión máxima y foco en sanciones secundarias.
En este contexto, se citan informes previos que señalan cómo dos empresas pantalla con base en Reino Unido, Zedcex y Zedxion, habrían facilitado financiamiento operativo para el IRGC. De acuerdo con el anuncio, los intercambios asociados habrían procesado alrededor de 1.000 millones de dólares vinculados a la rama de fuerzas armadas.
También se menciona que una investigación posterior habría identificado en ese conjunto de entidades un patrón típico de ecosistema de fachada financiera, es decir, estructuras que aparentan legitimidad mientras canalizan recursos.
Recompensas por información y ataques contra infraestructura
En paralelo a las sanciones, el programa Rewards for Justice del Departamento de Estado anunció una recompensa de hasta 10 millones de dólares por información que permita identificar a individuos implicados en actividades cibernéticas maliciosas contra infraestructura crítica de EE. UU. bajo dirección o control de un gobierno extranjero.
Esta combinación —sanciones y recompensas— apunta a dos frentes: reducir la capacidad de financiar o mover recursos, y acelerar la identificación de responsables.
Un riesgo que se desplaza entre campañas
El anuncio amplía el panorama al señalar que actores iraníes habrían sido relacionados con una serie de campañas desde que EE. UU. e Israel intensificaron operaciones militares contra Irán en febrero de 2026. Entre los ejemplos mencionados se incluye el compromiso de la cuenta personal de correo de Kash Patel, director del FBI, así como ataques recientes contra más de 30 utilidades de agua y tratamiento en al menos 12 estados.
La actividad también habría alcanzado aliados de EE. UU. De forma referenciada en el texto, se menciona una desconexión de cuatro días en una pequeña planta de energía en el Reino Unido tras un ataque cibernético. El gobierno británico, según se indica, señaló que no hubo riesgo para el sistema energético amplio y que el incidente afectó un generador a pequeña escala (sin revelar el nombre del sitio).
De la intrusión al impacto: lo estratégico importa
Más allá de la técnica, el contenido destaca una lectura de riesgo: la “opcionalidad” de acceso. En otras palabras, cuando un actor logra entrar a una cuenta, servicio o punto de administración remota comprometido, el acceso puede reutilizarse para distintos objetivos según cambie la tarea: desde recolección de inteligencia hasta interrupción selectiva.
También se menciona que las operaciones asociadas con Irán se describen como multifase, con distintos grupos y misiones que varían entre recolección de datos, destrucción, ingeniería social, compromisos en entornos cloud y vigilancia de disidentes. A esto se sumarían objetivos oportunistas sobre activos de tecnología operativa expuestos.
Hacktivismo pro-Irán y guerra informativa
El anuncio incluye además la aparición de un ecosistema de hacktivismo (y faketivismo) alineado con pro-Irán, descrito como una mezcla descentralizada de colectivos ciberafines a grupos “jihadistas”, actores nacionalistas y redes de influencia cercanas a estructuras estatales.
Según las investigaciones citadas, esta actividad se apoyaría en canales de Telegram y sitios web, listas compartidas de objetivos, herramientas de DDoS “por encargo” y la reutilización de datos obtenidos en filtraciones previas para amplificar campañas. El fin descrito no se limita a espionaje cibernético; también se busca ejercer presión psicológica, política y económica y participar en mensajes coordinados durante eventos bélicos.
Se añade que muchas afirmaciones de ataque y propaganda aparecen en horas posteriores a eventos cinéticos, y que el efecto estratégico provendría menos de la sofisticación técnica y más de la velocidad, visibilidad y el encuadre ideológico que se vuelve parte de ciclos noticiosos. En la práctica, se trataría de una forma escalable de guerra asimétrica de información.
Qué significa para organizaciones y defensores
Para equipos de ciberseguridad, la señal es clara: cuando el foco se desplaza a la infraestructura crítica, el impacto puede combinar intrusión, robo, exfiltración y explotación posterior de accesos. El componente financiero —con rastreo on-chain y sanciones— sugiere que los ataques no se detienen al terminar la intrusión; el dinero y el movimiento de valor también forman parte del objetivo.
Además, la descripción de acceso reutilizable implica que la contención y la verificación continua importan tanto como la detección inicial. Si un entorno queda comprometido, una brecha puede transformarse en múltiples posibilidades de acción cuando el atacante ajusta el plan.
Conclusión
Con la operación Operation Economic Outcast, el Gobierno de EE. UU. busca aislar a actores iraníes en el plano financiero y digital, incluyendo sanciones contra individuos y entidades vinculadas a brechas en infraestructura crítica y robo con motivación económica. A la par, las recompensas por información y el énfasis en criptoactivos apuntan a cortar flujos y acelerar la rendición de cuentas.
En un panorama donde las intrusiones se conectan con presión informativa y con redes de fachada, la respuesta de defensa requiere vigilancia sostenida, gestión del riesgo y capacidad de actuar rápido cuando el acceso comprometido pueda usarse para nuevos objetivos.
Fuente: https://thehackernews.com/2026/08/us-sanctions-iran-linked-hackers-behind.html
