AfD: hosting vulnerado, 421.000 correos en un archivo online

El partido alemán Alternative für Deutschland (AfD) confirmó el 19 de octubre de 2026 que en septiembre fue vulnerado un proveedor de hosting que utiliza y que se copiaron algunos buzones de correo. En esas mismas horas, el sitio anónimo hexane.cc publicaba el índice de lo que afirma ser un archivo de 421.179 correos internos. Según Graham Cluley, todo el material, 281 GB entre mensajes y más de 100.000 archivos, se puede descargar por torrent.

Qué ha pasado

• Septiembre de 2026: según el partido, ataque al proveedor de hosting y copia de partes de algunos buzones. El mensaje más reciente del índice es del 12 de septiembre de 2026, según el análisis de la cuenta International Cyber Digest (ICD) recogido por Security Affairs y Cluley.
• 19 de octubre: hexane.cc se pone en línea y el partido confirma el incidente al diario Bild. Por la tarde, las páginas del sitio que explican su método y su finalidad devuelven errores del servidor (Security Affairs).
• 23 de octubre: heise Security informa de la reivindicación de los presuntos autores. Según Cluley, quien difundió los datos dice querer mostrar la «degeneración e hipocresía» del partido y afirma haber recibido, desde una dirección de Proton Mail, una oferta de 100.000 euros para retirar el sitio.

La versión del partido es limitada: los atacantes habrían copiado partes de unos pocos buzones, en su mayoría sin uso desde hace años, sin acceder a las cuentas actuales de la dirección. Las fechas de los mensajes del índice, hasta el 12 de septiembre, ponen en duda esta reconstrucción, como señalan tanto Security Affairs como Cluley.

Detalles técnicos

No se han comunicado CVE ni software afectado. Lo que se sabe:

• Acceso inicial: el atacante dijo a ICD que entró por «un único sitio web del partido sin actualizar» y que desde allí llegó a los servidores de correo. El partido solo confirma el ataque al proveedor de hosting; el método de entrada no se ha verificado de forma independiente. Si se confirma, sería la explotación de una aplicación expuesta (MITRE ATT&CK T1190) seguida de un movimiento hacia el correo en la misma infraestructura.
• Recopilación y staging: los nombres de los archivos indican un servidor llamado «afd_exfil», etiqueta que suele usarse para el sistema donde se acumulan los datos antes de sacarlos de la red (recopilación de correo T1114, datos en staging T1074).
• Publicación: hexane.cc no muestra los correos sino resúmenes escritos por un software de IA, divididos en categorías como racismo y antisemitismo y clasificados de Low a Critical; no se indica qué software se usó. Según Security Affairs (20 de octubre), al abrir un registro aparece «source text not published for this record» y ningún resumen estaba vinculado a un original verificable. Según Cluley (23 de octubre), el sitio remite al torrent para los originales completos, con cabeceras, texto, adjuntos y firmas DKIM.
• Fiabilidad: fuentes del partido citadas por Cluley consideran auténticos los correos, pero señalan varias inexactitudes en los resúmenes. Bild, el único medio alemán que consta que haya examinado directamente una pequeña muestra, encontró documentos de identidad, facturas, extractos bancarios, solicitudes de afiliación y listas regionales de afiliados con nombres y direcciones particulares, aunque el sitio afirma haber reducido al mínimo los datos personales.

Las firmas DKIM son el detalle más relevante para la verificación: permiten comprobar que un mensaje no ha sido alterado, mientras la clave pública del dominio remitente esté disponible. Un resumen generado por IA, en cambio, no se puede verificar.

Cluley recuerda también un episodio anterior: el 3 de septiembre, el portavoz del grupo de AfD en el parlamento de Turingia avisó de que su buzón de trabajo se había usado para enviar correos de phishing con adjuntos PDF. Ninguna fuente lo relaciona con la brecha del hosting.

Impacto para las empresas europeas e italianas

La víctima es un partido, pero el esquema afecta a muchas organizaciones: un sitio olvidado o sin actualizar en la misma infraestructura que el correo, ninguna separación entre ambos, buzones inactivos desde hace años todavía llenos de correspondencia y adjuntos.

Para el RGPD, las solicitudes de afiliación y las listas de afiliados a un partido revelan opiniones políticas, una categoría especial de datos (artículo 9); lo mismo vale para sindicatos, asociaciones y organizaciones religiosas. Una fuga de este tipo supone un riesgo alto para las personas y suele exigir tanto la notificación a la autoridad de control como la comunicación a los interesados.

El punto de entrada declarado es un proveedor de hosting: para las entidades NIS2 (en Italia, el Decreto Legislativo 138/2024) la seguridad de la cadena de suministro es una de las medidas exigidas, y los proveedores de servicios gestionados, cloud y centros de datos pueden estar ellos mismos sujetos a la directiva.

Por último, hay un riesgo para los curiosos: Cluley desaconseja descargar el torrent, porque en el pasado se han usado torrents ligados a noticias de actualidad para distribuir malware, y porque tratar datos personales robados puede tener consecuencias legales.

Qué hacer ya

1. Haz inventario de tus sitios expuestos, incluidos los locales, los de campañas y los de proyectos cerrados: actualízalos o apágalos.
2. Separa la web del correo: servidores, cuentas de administración y credenciales distintos; un sitio comprometido no debe dar acceso a los buzones.
3. Gestiona los buzones inactivos: desactiva las cuentas sin uso, aplica una política de conservación, archiva fuera de línea o elimina el correo que ya no necesitas.
4. Vigila las exportaciones: descargas IMAP masivas, exportaciones de buzones, grandes transferencias salientes desde los servidores de correo, accesos de administración desde orígenes nuevos.
5. Revisa los contratos con el hosting: plazos de notificación de incidentes, acceso a los logs, segmentación entre clientes.
6. Prohíbe descargar archivos robados en los dispositivos de la empresa y bloquea los clientes torrent donde no hagan falta.
7. Prepara la respuesta: evaluación del riesgo para los interesados y notificación a la autoridad en 72 horas, con especial atención a los datos de categorías especiales.

Cómo ayuda ARXDOME

ARX Expose muestra lo que ve un atacante desde fuera, incluidos los servicios expuestos vulnerables y las cuentas de la empresa implicadas en brechas conocidas: te ayuda a encontrar el sitio olvidado antes que otros. ARX Shield señala las vulnerabilidades abiertas en las máquinas supervisadas y ARX Sentry recoge logs y eventos de servidores y firewalls, útiles para detectar accesos y transferencias anómalos.

Última actualización: 23 de octubre de 2026