Estimados clientes,
Queremos compartirles una actualización relevante sobre la investigación del incidente de seguridad que afecta a Hackmetrix y a determinadas organizaciones con las que trabajamos.
Hemos concluido una etapa sustancial de la reconstrucción técnica del incidente y recibido la validación forense independiente de sus principales hallazgos, realizada por el equipo especializado de Incident Response de SecureSoft by GTD.
Esta investigación nos permite explicar con mayor precisión cómo ocurrió el ataque, su alcance técnico y las acciones realizadas por el atacante. Determinadas diligencias complementarias continúan abiertas, particularmente aquellas destinadas a determinar responsabilidades y verificar posibles actividades posteriores.
¿Qué ocurrió?
La investigación permitió reconstruir una secuencia de actividad no autorizada desarrollada principalmente entre el 1 y el 2 de junio de 2026.
Durante ese período, un tercero utilizó credenciales privilegiadas de AWS para acceder sin autorización a nuestra infraestructura.
No hemos identificado evidencia de que el acceso inicial se produjera mediante la explotación de una vulnerabilidad de nuestra plataforma.
Los registros examinados confirman la utilización no autorizada de credenciales de infraestructura válidas; la forma en que esas credenciales llegaron a poder de un tercero está siendo determinada con apoyo forense, y las responsabilidades que de ello deriven serán establecidas por la justicia, en su caso.
El equipo de inteligencia de amenazas tampoco ha identificado que dichas credenciales de infraestructura se encuentren expuestas en internet ni en manos de organizaciones criminales a la fecha.
Una vez dentro, el atacante realizó actividades de reconocimiento, accedió a AWS Secrets Manager —servicio donde se almacenaban credenciales de integración— y extrajo información correspondiente a un conjunto de secretos técnicos allí almacenados.
Es importante precisar que se trata de secretos técnicos, por lo que su número no equivale a clientes comprometidos ni implica que todas esas credenciales hayan sido posteriormente utilizadas.
La investigación también identificó ejecución no autorizada de comandos sobre determinados servidores de nuestra infraestructura. El contenido y alcance de esas ejecuciones continúa siendo analizado.
Entre las credenciales expuestas se encontraban tokens utilizados por integraciones de nuestra plataforma con servicios de terceros.
En particular, los registros proporcionados por distintas organizaciones permiten confirmar que determinados tokens asociados a GitHub fueron utilizados sin autorización para acceder y descargar repositorios, parte de cuyo contenido fue posteriormente divulgado en Internet el día 11 de octubre.
¿Cuál es el alcance confirmado?
La evidencia forense ha permitido distinguir entre tres situaciones:
- Exposición confirmada: credenciales y secretos extraídos desde nuestra infraestructura.
- Uso no autorizado confirmado: determinados tokens de GitHub empleados para acceder a repositorios de algunas organizaciones.
- Alcance adicional en evaluación: posible utilización de otras credenciales expuestas y actividades que no pueden determinarse únicamente con los registros disponibles.
Hasta este momento, la evidencia confirmada sobre utilización posterior de credenciales de clientes corresponde principalmente a GitHub. Esto no permite descartar otros usos, por lo que mantenemos la revisión de las restantes integraciones.
Estamos realizando una evaluación individualizada de las organizaciones potencialmente afectadas, diferenciando la exposición de credenciales del acceso efectivo a sus sistemas.
Medidas de contención y protección
Desde la confirmación del incidente, hemos ejecutado un plan integral de respuesta y fortalecimiento de nuestros controles de seguridad, trabajando en conjunto con especialistas externos y nuestros equipos de Infraestructura, Ingeniería y Seguridad.
Las principales acciones implementadas y en desarrollo se organizan en cinco frentes:
Contención y protección de credenciales:
- Revocación y rotación de credenciales, tokens y accesos potencialmente expuestos, incluyendo integraciones con servicios de terceros.
- Eliminación de más de 1.200 secretos almacenados en entornos de producción y desarrollo, sujetos a los períodos de recuperación definidos por el proveedor.
- Restricción de permisos de acceso a secretos, aplicando criterios de mínimo privilegio.
- Revisión de credenciales utilizadas en procesos de despliegue, automatización y servicios internos.
Reducción de la superficie de ataque:
- Revisión y consolidación de entornos, servicios e integraciones para reducir los puntos de exposición.
Fortalecimiento de controles preventivos:
- Mejora en el sistema de alertas para identificar usos anómalos de credenciales y accesos desde ubicaciones no habituales.
- Fortalecimiento del registro y monitoreo de comandos ejecutados sobre infraestructura crítica.
- Avance hacia mecanismos de autenticación mediante identidades temporales, reduciendo la dependencia de credenciales estáticas.
Automatización de seguridad y gestión del ciclo de vida:
- Fortalecimiento de los procesos de eliminación segura de datos, conexiones y recursos asociados a clientes.
- Implementación y mejora de mecanismos de rotación periódica y automatizada de credenciales.
- Centralización progresiva de secretos y configuraciones sensibles en servicios especializados de gestión segura.
- Revisión de procedimientos de desvinculación de servicios, integraciones y dispositivos.
Investigación, validación y acompañamiento a clientes:
- Investigación forense independiente con especialistas de SecureSoft by GTD.
- Preservación y correlación de evidencia técnica, incluyendo registros de infraestructura y antecedentes aportados por clientes.
- Identificación individual de integraciones y organizaciones potencialmente afectadas.
- Coordinación directa con clientes para revisar accesos, verificar credenciales y apoyar acciones de remediación.
- Colaboración con las autoridades competentes y nuestros asesores especializados.
Estas acciones son para fortalecer nuestra arquitectura de seguridad, reducir la superficie de ataque, mejorar la trazabilidad y detección de actividades anómalas, y minimizar el impacto potencial de futuros incidentes.
Reiteramos la importancia de que las organizaciones que hayan utilizado integraciones potencialmente involucradas verifiquen la revocación o rotación de sus credenciales directamente en los proveedores correspondientes, además de revisar sus registros de seguridad.
Investigación judicial y colaboración con autoridades
De manera paralela al trabajo técnico, Hackmetrix ha iniciado las acciones judiciales correspondientes, ha reportado el incidente a la Agencia Nacional de Ciberseguridad y está colaborando con las autoridades competentes para esclarecer los hechos y determinar las responsabilidades correspondientes.
La evidencia obtenida durante nuestra investigación y los antecedentes técnicos aportados por los análisis forenses respectivos están siendo preservados y serán puestos a disposición de las autoridades por los canales correspondientes.
Alcance sobre los demás servicios de Hackmetrix
Es importante destacar que, de acuerdo con los análisis técnicos realizados hasta la fecha, no hemos identificado evidencia de compromiso de ninguno de los otros diez módulos de nuestra plataforma HackmetrixOS, de la infraestructura utilizada para la prestación de nuestros servicios de Ethical Hacking, ni de las plataformas y/o servicios de terceros utilizados para la gestión operacional de nuestra empresa.
Los hallazgos confirmados se concentran en la exposición de credenciales de infraestructura y de integraciones asociadas al módulo de monitoreo de aplicaciones, así como en su posterior utilización no autorizada en determinados casos.
Esta conclusión continuará siendo revisada ante cualquier nueva evidencia.
Nuestro compromiso
Somos conscientes de la gravedad de este incidente, especialmente por la confianza que nuestros clientes depositan en Hackmetrix para proteger sus operaciones y su información.
Nos estamos haciendo cargo, y seguiremos haciéndolo, de la gestión del incidente, de la revisión de los controles de seguridad involucrados y del acompañamiento de las organizaciones afectadas.
Nuestro compromiso es continuar comunicando los hechos con transparencia, distinguiendo la evidencia confirmada de las hipótesis pendientes de validación.
También queremos agradecer especialmente a las organizaciones que nos han proporcionado logs, registros de acceso y otros antecedentes. Su colaboración ha sido fundamental para reconstruir lo ocurrido y orientar las acciones de protección del conjunto de clientes.
Mantendremos la comunicación directa con cada organización y entregaremos nuevas actualizaciones cuando existan hallazgos relevantes, acciones adicionales necesarias o resultados que podamos compartir sin perjudicar las investigaciones en curso.
Atentamente,
Equipo de Hackmetrix
Saludos.