Leakers$ secuestró pantallas LED públicas en Egipto, Malasia y Brasil

Una valla publicitaria sobre el Eje 26 de Julio, en Giza, en la autopista que lleva el tráfico entre El Cairo y los suburbios occidentales de la ciudad, mostró vídeo sexualmente explícito el jueves 29 de octubre de 2026. Un texto superpuesto a las imágenes decía «Leaked by: Ch, 19ylegal never and nivex», junto a un usuario de Telegram, @LeakersGov. CNN informó del incidente al día siguiente.

Lectura relacionada: La filial de internet de Sony en Japón dice que una brecha expuso 2,6 millones de registros · Una campaña de firewalls expuso 70.000 credenciales. Las sesiones VPN son el riesgo mayor..

Para entonces, habían aparecido secuestros similares en Malasia y Brasil. Gizmodo y The Verge reunieron los informes el 1 de noviembre, y un grupo que se hace llamar Leakers$ reivindicó la autoría de la campaña.

Tres países, tres propietarios, tres investigaciones. Lo que comparten los casos es el tipo de objetivo: una pantalla pública cuyo contenido llega por la red, y un atacante que dice haber ido tras los sistemas que hay detrás de la pantalla y no tras el hardware.

Tres países, tres operadores

La pantalla egipcia pertenecía a Al Arabia United, según el Ministerio del Interior. La compañía es una empresa conjunta egipcio-saudí creada en 2022 por United Media Services, el brazo mediático del Servicio de Inteligencia General de Egipto, y por Arabian Contracting Services, cotizada en Arabia Saudí. The Cairo Report, citado por Gizmodo, cifra el parque en unas 1.926 vallas publicitarias, de las cuales 239 son digitales, repartidas por El Cairo, Giza, Alejandría y la Costa Norte.

La propiedad importa aquí porque decide quién tiene que responder. United Media Services es el brazo mediático de un servicio de seguridad, y Arabian Contracting Services cotiza en Arabia Saudí, así que este operador responde a la vez ante un organismo estatal y ante accionistas públicos. La respuesta egipcia llegó por canales formales: un comunicado del ministerio, un comunicado de la empresa y un caso judicial.

El relato del ministerio sobre el mecanismo es breve y concreto. Al Arabia United había contratado a una empresa internacional sin nombrar, y la web de esa empresa fue atacada. Como resultado, según el ministerio, las imágenes salieron en varios otros países al mismo tiempo. Dijo que se habían iniciado actuaciones judiciales y que la empresa internacional había suspendido las emisiones. Al Arabia United dijo por separado que detectó un acceso no autorizado a una pantalla, la apagó como precaución y estaba investigando con las autoridades.

«en varios otros países, simultáneamente».

El caso de Malasia fue municipal. El Consejo Municipal de Kluang, en Johor, confirmó que varias pantallas LED públicas habían sido hackeadas para mostrar contenido obsceno y dijo que había apagado las pantallas afectadas, según The Star. La policía abrió una investigación después de que un hombre de 42 años presentara una denuncia; había recibido capturas de pantalla y vídeos de las pantallas por WhatsApp.

En Brasil, el panel estaba en una avenida cerca de la BR-343, en Campo Maior, Piauí. Ferreira & Ferreira Publicidade e Comunicação confirmó un ciberataque a G1, dijo que había apagado el equipo de inmediato, presentó una denuncia policial y se disculpó.

El punto de entrada, según el grupo

Leakers$ dio su versión del método a The Cairo Report. El grupo dijo que explotó una vulnerabilidad en el software usado para transmitir contenido a las pantallas LED, no debilidades en vallas físicas concretas. Un representante dijo que cuatro participantes, con los seudónimos Never, 19ylegal, CH y Nivex, encontraron miles de sistemas expuestos mediante un escaneo aleatorio automatizado que duró unas dos horas. Al parecer, se podía llegar a esos sistemas a través de páginas web e interfaces que carecían de protecciones de seguridad básicas.

Cada parte de ese relato procede del grupo. No se ha publicado ningún aviso de proveedor ni CVE para el fallo que describe, y ningún trabajo forense publicado vincula los tres incidentes nacionales a un único error. Las autoridades de Egipto, Malasia y Brasil han confirmado que hubo acceso no autorizado; no han identificado una causa técnica raíz.

El grupo también dice que no busca donaciones ni rescates y que no es una operación de ransomware, y presenta su actividad como la exposición de infraestructuras mal protegidas. El viernes siguiente a los secuestros publicó un comunicado político sobre Egipto. Ese encuadre invita al escepticismo, porque publicar material explícito en una vía pública es una decisión sobre quién absorbe el coste del mensaje, y quienes estaban atrapados en el tráfico del Eje 26 de Julio no tuvieron voz.

Un sitio web comprometido puede llegar a una esquina

El relato del ministerio egipcio describe una cadena de dos eslabones: la web de una empresa fue atacada y pantallas de varios países mostraron el resultado. El primer eslabón es seguridad web corriente. El segundo es la parte que llega al público. Un panel que toma su lista de reproducción de un sistema de gestión remota hereda la seguridad de ese sistema, y nadie frente a la pantalla puede saber si la lista estaba autorizada.

Egipto dice que se han iniciado actuaciones judiciales. No ha nombrado a la empresa internacional, no ha publicado un informe del incidente ni ha dicho cuántas pantallas fuera de Egipto se alcanzaron por el mismo canal. Esas lagunas dejan abierta la pregunta principal: ¿el punto débil era la web de un proveedor, la forma de enviar contenido desde ella, o ambas cosas?

El momento sugiere que los tres países no fueron accidentes separados. Pero la simultaneidad es también el aspecto de una lista de reproducción programada, y confirmar una intrusión compartida requeriría registros que nadie ha publicado.

La parte transfronteriza importa a los operadores de cualquier lugar. El ministerio dijo que las imágenes llegaron a varios países a la vez, que es lo que hace una tubería de contenido compartida cuando funciona según lo previsto. El mismo acceso que permite a un anunciante programar una campaña en toda una región permite a quien tenga la cuenta programar otra cosa. No hay ningún control fronterizo entre el sistema de contenido y el panel.

Un patrón anterior a esta campaña

Las pantallas públicas ya habían sido secuestradas antes. Las de Yakarta fueron atacadas en 2016, las de Brisbane en 2022 y las de Bagdad en agosto de 2023, según los incidentes que enumera Gizmodo. La señalización digital es tecnología operativa que vive al aire libre, a menudo se contrata como servicio gestionado, y el contrato que la cubre suele tratar de disponibilidad y alcance publicitario, no de respuesta a incidentes.

Una desfiguración de un sitio web puede revertirse en una tarde. Una pantalla sobre una autopista no, y el público no puede cerrar una pestaña.

Las propias directrices del sector reconocen la laguna. El documento de la OAAA está escrito para los operadores de vallas, que son el público adecuado para una advertencia sobre contraseñas por defecto. El relato de Egipto sugiere que la web del proveedor debería estar en la misma lista de comprobación, porque la pantalla es el último paso de una cadena que empieza en otro lugar por completo.

Lo que respalda el registro y lo que no

Hay tres cosas establecidas. Apareció material sexualmente explícito en pantallas públicas de tres países el 29 de octubre o alrededor de esa fecha. Las autoridades u operadores de cada país confirmaron un acceso no autorizado. Y Leakers$ reivindicó la operación, con un usuario de Telegram en la pantalla egipcia que coincide con la identidad pública del grupo.

Casi todo lo demás lleva una salvedad. La atribución se basa en las propias publicaciones del grupo y en la confirmación oficial de que alguien entró. La vulnerabilidad del software es la descripción del grupo, no una conclusión. El supuesto acceso en Irak y China tiene una confirmación independiente más débil y debe leerse como una afirmación hasta que operadores o autoridades locales digan lo contrario.

La cobertura hasta ahora trata del control de pantallas, no del robo de datos. Nada en los relatos de CNN, The Star o G1 describe la sustracción de registros de clientes, y el comunicado del Ministerio del Interior egipcio habla de acceso a la emisión, no de exfiltración. Eso puede cambiar a medida que avancen las investigaciones, pero ahora no hay pruebas de ello.

La versión de Egipto también tiene la autoridad de un ministerio, no de una empresa forense independiente. Dice que una web fue atacada. No dice cómo, por quién ni si el mismo acceso llegó a Malasia y Brasil. La coincidencia temporal es compatible con una única intrusión compartida, aunque solo los registros de la empresa sin nombrar podrían demostrarlo.

Qué observar

Un aviso de proveedor o un CVE para el software de transmisión de contenido convertiría la afirmación central del grupo en parte del registro y daría a cada operador algo concreto que parchear. Sin uno, el sector se queda con la descripción de un fallo y sin forma de comprobar si sus propios sistemas la tienen.

Luego están las investigaciones. El caso policial de Malasia y la denuncia de Brasil pueden aportar detalles técnicos que el ministerio egipcio no ha dado. Las actuaciones judiciales de Egipto pueden nombrar a la empresa internacional, lo que permitiría a otros clientes de ese proveedor evaluar su propia exposición. Conviene observar si alguno de los tres publica una causa raíz en lugar de un comunicado sobre acceso no autorizado.

Las afirmaciones sobre Irak y China necesitan una confirmación o un desmentido local antes de formar parte de un recuento de países afectados.

Y conviene observar qué cambian los operadores. Las credenciales por defecto, las interfaces de gestión expuestas y la separación entre una web pública y el sistema que envía contenido a las pantallas son elementos comprobables. Si el sector trata esta semana como una advertencia o como una rareza se verá en los documentos de compras mucho antes de que se vea en otro titular.

Puede que los contratos se muevan antes que el panorama técnico. La empresa sin nombrar que perdió el control de su web es ahora una línea en las evaluaciones de riesgo de sus clientes, y esos clientes tienen motivos para preguntar cuál era realmente el acceso del proveedor a sus pantallas. Otros clientes de ese proveedor necesitan su nombre para comprobar su propia exposición, y Egipto no lo ha revelado.

Portada: «محور 26 يوليو.JPG», de لا روسا, CC BY-SA 4.0, vía Wikimedia Commons (el Eje 26 de Julio en Egipto), recortada a 16:9.