- El grupo ruso Laundry Bear explotó durante meses la vulnerabilidad CVE-2025-66376 en Zimbra, un fallo que se activa al abrir un correo sin necesidad de hacer clic.
- El ataque permite robar los últimos 90 días de correos, contraseñas, códigos 2FA y la libreta de direcciones completa de la organización.
- España figura entre los diecisiete países que han sufrido esta campaña de ciberespionaje, según la alerta conjunta de los Five Eyes y otros aliados.
- El parche está disponible desde noviembre de 2025, pero miles de servidores en administraciones locales europeas siguen sin actualizar.
El ciberespionaje ruso ha vuelto a golpear con una precisión quirúrgica. Durante más de un año, el grupo conocido como Laundry Bear (también rastreado como Void Blizzard o TA488) ha estado aprovechando una vulnerabilidad de día cero en el cliente de correo Zimbra Collaboration para colarse en las bandejas de entrada de gobiernos, organismos de defensa y empresas de media Europa. Lo más llamativo del caso es que el ataque no requiere que la víctima haga clic en nada: basta con que visualice el mensaje malicioso en su navegador para que el exploit se ejecute.
La alerta, publicada el 23 de julio de 2026 por la NSA, el CISA y los centros criptológicos de diecisiete países —entre ellos España—, certifica que la campaña lleva activa desde julio de 2025 y que el fallo, catalogado como CVE-2025-66376, no se parcheó hasta noviembre de ese mismo año. Eso supuso cinco meses de ventana de exposición en los que los operadores rusos pudieron extraer información sensible sin levantar sospechas. La puntuación de gravedad del CVSS (6.1 sobre 10) resulta engañosa, ya que el exploit es de tipo zero-click y permite acceder a datos críticos sin interacción del usuario.
La vulnerabilidad CVE-2025-66376: un fallo en el sanitizador HTML de Zimbra
El agujero de seguridad reside en el sanitizador de HTML del cliente web clásico de Zimbra. Los atacantes envían un correo con código JavaScript ofuscado que se esconde tras directivas CSS @import y comentarios HTML. El sanitizador no reconoce los fragmentos como código ejecutable, pero el navegador los reconstruye y ejecuta en cuanto se renderiza el mensaje. La técnica, bautizada como tag-splitting, ha sido detallada por Proofpoint y Unit 42 de Palo Alto Networks, que colaboraron en la investigación.
Una vez activado, el payload —llamado ZimReaper por Proofpoint y Beehive por las agencias gubernamentales— realiza hasta doce fases de robo de información. Entre otras cosas, extrae la contraseña guardada en el navegador, los códigos de recuperación de doble factor, la libreta de direcciones global de la organización y los últimos 90 días de correos. Todo ello se exfiltra mediante consultas DNS a servidores controlados por los atacantes, o bien a través de HTTPS en archivos comprimidos TGZ.
El modus operandi de Laundry Bear: paciencia y precisión
Lo que diferencia a Laundry Bear de otros grupos de ciberespionaje es su meticulosidad. No lanzan el exploit de forma masiva, sino que identifican una a una las organizaciones que exponen Zimbra a internet, recopilan direcciones de correo mediante fuentes abiertas o datos comerciales, y solo entonces envían el anzuelo. Los mensajes suelen simular boletines de noticias o comunicaciones de fundaciones, y se envían desde cuentas de Proton Mail o desde direcciones previamente comprometidas para dar mayor credibilidad.
Una vez dentro, el malware crea una contraseña de aplicación llamada “ZimbraWeb” que permite el acceso por IMAP, POP3 o SMTP sin necesidad de doble factor. Estas contraseñas de aplicación sobreviven a los reseteos de contraseña, por lo que el simple hecho de parchear el servidor no basta para expulsar al atacante. Además, en algunos casos el payload activa el protocolo IMAP en cuentas que no lo tenían habilitado, abriendo una puerta trasera silenciosa.
España, entre los diecisiete países víctimas del espionaje
La alerta conjunta firmada por Estados Unidos, Reino Unido, Australia, Nueva Zelanda, Canadá, Chequia, Dinamarca, Estonia, Finlandia, Francia, Italia, Moldavia, Países Bajos, Polonia, Suecia y España confirma que el grupo ha comprometido organismos gubernamentales y contratistas de la administración en territorio español. Fuentes del CNI, que lleva meses monitorizando la actividad, aseguran que no se ha detectado intrusión en sistemas clasificados, pero sí en entidades periféricas. El CCN-CERT ya ha emitido un aviso urgente instando a revisar los servidores Zimbra.
El comunicado también revela que Ucrania sirvió como banco de pruebas antes de que el exploit se desplegara contra objetivos de la OTAN. Esta estrategia, habitual en el GRU, permite a los atacantes refinar la técnica y evitar la detección temprana. De hecho, la primera oleada documentada por Seqrite atacó a una agencia hidrológica ucraniana en enero de 2026, y a partir de ahí la campaña se extendió a Europa y Estados Unidos.
Recomendaciones para protegerse
Los expertos coinciden en que la prioridad es actualizar Zimbra a las versiones 10.1.13 o 10.0.18 como mínimo, lanzadas en noviembre de 2025. Quienes aún usen la rama 10.0 deben migrar a una versión soportada, ya que esa rama ha llegado al final de su vida útil. Pero el parche no revoca las credenciales ya robadas, por lo que es imprescindible revisar los registros de auditoría en busca de llamadas a CreateAppSpecificPasswordRequest y eliminar cualquier contraseña de aplicación llamada “ZimbraWeb”. También se recomienda deshabilitar el acceso IMAP en cuentas que no lo necesiten y regenerar los códigos de recuperación 2FA.
Para los equipos de seguridad con menos recursos, el orden de actuación debería ser: parchear primero, asumir la posible compromisión después y, por último, buscar indicios en los logs. La lista de dominios C2 publicada por las agencias incluye nombres como zmailanalytics.com, zimbra-metadata.com o istc-cloud.com, que deben ser bloqueados en los cortafuegos y monitorizados en las consultas DNS.
La campaña de Laundry Bear demuestra que los exploits zero-click no son cosa del futuro: ya están aquí y se aprovechan de la confianza que depositamos en el simple hecho de abrir un correo. Mientras miles de servidores Zimbra en ayuntamientos y pequeñas administraciones europeas sigan sin parchear, el riesgo de que el espionaje ruso acceda a comunicaciones sensibles se mantendrá muy vivo. La lección es clara: en ciberseguridad, un solo parche puede marcar la diferencia entre ser una víctima más o un eslabón protegido en la cadena.