MI5: más de 100 académicos en proyectos financiados por el MSS

El 30 de septiembre de 2026 el MI5, el servicio de seguridad interior del Reino Unido, difundió una alerta pública de espionaje, algo poco habitual. La alerta se refiere a un organismo chino que financia investigación académica: el China General Technology Research Institute (CGTRI), también conocido como China Academy of General Technology (CAGT). Según el MI5, el organismo tiene vínculos muy estrechos con el Ministerio de Seguridad del Estado chino (MSS), y más de 100 académicos vinculados al Reino Unido han contribuido a proyectos financiados a través de él.

No es una intrusión informática y no hay CVE que corregir. Pero para quien se ocupa de la seguridad en universidades, centros de investigación y empresas que hacen I+D, el tema es concreto: quién financia realmente un proyecto y quién puede acceder a los datos, el código y los modelos que produce.

Qué ha pasado

Según la alerta, recogida por Infosecurity Magazine y The Register, el objetivo principal del CGTRI es financiar investigación que mejora directamente las capacidades técnicas del MSS en sus actividades de espionaje. El MSS se encarga tanto del contraespionaje interior como de la inteligencia en el extranjero.

Los proyectos financiados por el CGTRI en los que participaron académicos vinculados al Reino Unido tratan de:

• inteligencia artificial;
• ciberseguridad;
• sistemas de comunicación encubierta;
• esteganografía, es decir, las técnicas para ocultar información dentro de otros datos, por ejemplo imágenes o archivos de audio.

Según el MI5, esta actividad apoya el espionaje del MSS, que representa una amenaza para la seguridad nacional británica.

El MI5 no acusa a todos los investigadores implicados de haber ayudado conscientemente a la inteligencia china. La alerta reconoce que en algunos casos los académicos podían no saber que detrás del proyecto estaba el CGTRI, y que muchas instituciones e investigadores probablemente colaboraron de buena fe, dados los vínculos «ofuscados» del organismo con el MSS.

Infosecurity Magazine añade un contexto: al MSS se atribuyen muchos operadores informáticos, incluidos los que están detrás de campañas atribuidas a grupos como Silk Typhoon y Salt Typhoon. Es una indicación del medio, no un contenido de la alerta.

Qué pide el MI5

La agencia recomienda encarecidamente a las universidades británicas:

1. revisar de inmediato cualquier colaboración en curso o prevista con el CGTRI, para que el MSS no obtenga más beneficios de la investigación británica;
2. rastrear el origen de la financiación de cualquier colaboración con instituciones chinas, para descartar un vínculo con el CGTRI;
3. al evaluar las colaboraciones, recurrir al Research Collaboration Advice Team (RCAT) del gobierno británico y a las directrices Trusted Research de la National Protective Security Authority (NPSA), y pedir asesoramiento jurídico independiente.

Quien siga trabajando en proyectos financiados por el CGTRI, ahora que los vínculos se han hecho públicos, debería acudir a un abogado.

Las consecuencias penales

La alerta recuerda dos delitos de la National Security Act 2023:

• sección 3, asistencia a un servicio de inteligencia extranjero: comete delito quien tiene una conducta que puede ayudar de forma concreta a un servicio extranjero en actividades relacionadas con el Reino Unido, si sabe o debería razonablemente saber que es así;
• sección 17, obtención de un beneficio material de un servicio de inteligencia extranjero: se refiere a quien acepta o conserva un beneficio sabiendo, o debiendo razonablemente saber, que procede de un servicio extranjero. Queda excluido el pago legítimo de bienes o servicios lícitos.

Como observa The Register, tras la publicación de la alerta será más difícil sostener que no se sabía quién estaba detrás de los fondos.

El cuadro técnico

Las fuentes no describen ataques, malware ni indicadores: no hay, por tanto, una cadena de ataque que mapear en MITRE ATT&CK. Sin embargo, las áreas de investigación indicadas por el MI5 son las que sirven para ocultar comunicaciones y datos. La esteganografía, por ejemplo, aparece en ATT&CK como técnica de ofuscación de datos en las comunicaciones de mando y control (T1001.002).

Para una organización que investiga, el riesgo no es solo el contrato firmado, sino todo aquello a lo que el proyecto da acceso: redes, conjuntos de datos, código fuente, modelos de IA y propiedad intelectual. Es el punto que plantea también un experto en seguridad citado por Infosecurity Magazine: no basta con revisar los nombres de los acuerdos; hay que saber quién accede a qué, cómo se controla ese acceso y si uno se daría cuenta de un movimiento anómalo de datos sensibles.

Impacto para las empresas europeas e italianas

La alerta se refiere al Reino Unido, y las fuentes no dicen si el CGTRI financia proyectos también en otros países. Pero el problema no es solo británico: universidades, centros de investigación y empresas europeas trabajan a menudo en consorcios internacionales, con investigadores que colaboran con instituciones británicas y chinas.

Para las entidades sujetas a NIS2, el tema entra en la gestión del riesgo de la cadena de suministro y en el control de accesos. La directiva incluye a las organizaciones de investigación entre los sectores de su anexo II. Lo mismo vale para la sanidad y las empresas farmacéuticas, que financian y comparten investigación con socios externos.

Qué hacer ahora

1. Busca el CGTRI en tus contratos: revisa acuerdos de investigación, financiación, becas y consultorías con los dos nombres, China General Technology Research Institute y China Academy of General Technology, y sus siglas.
2. Rastrea al financiador final: en las colaboraciones con instituciones chinas, comprueba quién paga realmente, no solo la contraparte que figura en el acuerdo.
3. Implica a tu departamento jurídico, sobre todo si tienes personal, sedes o proyectos en el Reino Unido.
4. Reduce los accesos a lo necesario: cuentas dedicadas por proyecto, permisos mínimos en repositorios, conjuntos de datos y modelos, revocación al terminar la colaboración.
5. Vigila los datos de la investigación: registra accesos y cambios en las carpetas y los repositorios sensibles, y revisa las transferencias inusuales hacia el exterior.

Cómo ayuda ARXDOME

ARX Sentry controla la integridad de los archivos en las carpetas que elijas y muestra en las páginas del SOC los inicios de sesión, los accesos privilegiados y nocturnos y los cambios en las cuentas. ARX Trace muestra qué ha cambiado en los archivos y dónde, con la actividad por carpeta, útil para saber quién ha tocado los datos de un proyecto.

Última actualización: 3 de octubre de 2026