Veracruz, México — Un ataque coordinado contra la cadena de suministro tecnológica expuso terabytes de credenciales sensibles de más de 434 000 tuberías de integración y despliegue continuo (CI/CD) a nivel global, incluyendo empresas con operaciones críticas en México y Latinoamérica. El incidente, detectado en marzo de 2026 pero revelado públicamente en agosto, afectó a al menos 2 500 usuarios de LiteLLM, una herramienta de código abierto ampliamente usada para acelerar el desarrollo de software impulsado por inteligencia artificial (IA). Entre las entidades comprometidas figuran gigantes como Microsoft, Amazon, Cisco, Samsung y Salesforce, así como corporaciones con presencia significativa en la región, como Siemens AG —que opera centros de innovación en Monterrey— y Thomson Reuters, cuya plataforma de datos financieros es clave para bancos mexicanos y reguladores de la Comisión Nacional Bancaria y de Valores (CNBV).
¿Qué se filtró y cómo ocurrió?
Durante un lapso de apenas 40 minutos, versiones maliciosas de LiteLLM —descargadas desde el repositorio oficial de Python Package Index (PyPI)— ejecutaron código oculto que accedía directamente a la memoria RAM de los servidores infectados. Allí, extraían tokens de acceso, claves SSH, secretos de Kubernetes, credenciales para publicar paquetes, variables de entorno y claves de proveedores de IA. Los datos recolectados no eran archivos estáticos, sino fragmentos dinámicos capturados en tiempo real durante la ejecución de pipelines automatizados.
Credenciales expuestas: más allá del nombre de usuario
Los investigadores identificaron patrones inequívocos de exposición: SALESFORCE_CLIENT_SECRET, SLACK_SIGNING_SECRET y AZURE_CLIENT_SECRET aparecieron miles de veces en los volúmenes analizados. En algunos casos, las credenciales permitían acceso directo a entornos de producción en la nube, lo que habría facilitado la inyección de malware, el robo de bases de datos o la toma de control de infraestructura crítica. Un análisis preliminar mostró que al menos 17 organizaciones globales —entre ellas Munich Re, London Stock Exchange Group y Regeneron Pharmaceuticals— tuvieron sus secretos técnicos comprometidos con alto grado de certeza. En América Latina, aunque no se han reportado brechas directas en empresas locales, múltiples filiales de compañías listadas —como AdsWizz (subsidiaria de SiriusXM con operaciones en Ciudad de México) y proveedores de servicios cloud para bancos mexicanos— fueron identificadas indirectamente en los registros.
La cadena de ataques: de Trivy a LiteLLM
Este incidente no fue aislado: forma parte de una campaña más amplia atribuida al grupo TeamPCP, una célula compuesta mayoritariamente por adolescentes con sólida formación técnica. Según hallazgos forenses independientes, el vector inicial fue una versión comprometida del escáner de vulnerabilidades Trivy, herramienta esencial en los procesos de seguridad de DevOps. A partir de ahí, los atacantes infiltraron otras tres dependencias críticas: KICS (para análisis de infraestructura como código), el SDK de Telnyx para Python y, finalmente, LiteLLM. Cada uno de estos paquetes fue modificado para ejecutar módulos de exfiltración silenciosa, aprovechando la confianza implícita que los equipos de ingeniería otorgan a bibliotecas de código abierto mantenidas por comunidades reconocidas.
¿Por qué falló la defensa?
La respuesta radica en la aceleración desmedida hacia la adopción de herramientas de inteligencia artificial (IA) sin revisar adecuadamente los controles de seguridad del ciclo de vida del software. Muchas organizaciones mexicanas —especialmente fintechs y startups tecnológicas registradas ante la Secretaría de Economía— adoptaron LiteLLM para agilizar pruebas de modelos de lenguaje, pero omitieron prácticas básicas como la verificación de firmas digitales, el escaneo de dependencias con herramientas de Software Composition Analysis (SCA) o la segmentación de redes para aislar entornos de CI/CD. Un informe interno de la Asociación Mexicana de Empresas de Tecnología (AMET) señala que menos del 32 % de las empresas con menos de 200 empleados en Veracruz y Jalisco implementan políticas obligatorias de validación de paquetes antes de su integración en pipelines productivos.
Impacto regional y lecciones para México
Aunque no se ha confirmado una filtración directa de datos de instituciones mexicanas, el riesgo es tangible: empresas como Coppel, Grupo Bimbo y BBVA México utilizan herramientas similares en sus plataformas de atención al cliente basadas en IA. Además, proveedores locales de servicios cloud —como NubeMX y Datacenter Tijuana— declaran explícitamente compatibilidad con frameworks que dependen de LiteLLM. Esto significa que, si sus clientes no aplicaron parches a tiempo, podrían haber estado expuestos sin saberlo. La Agencia de Seguridad Industrial y Cibernética (ASIC), creada en 2025 bajo la Secretaría de Comunicaciones y Transportes, ya emitió una alerta técnica nacional instando a la revisión inmediata de todos los repositorios internos que integren paquetes de PyPI descargados entre el 12 y el 15 de marzo de 2026.
¿Qué deben hacer los equipos técnicos hoy?
Primero, auditar todas las tuberías CI/CD que hayan usado LiteLLM en ese periodo. Segundo, rotar de inmediato todas las credenciales relacionadas con Azure, AWS, Slack, Salesforce y cualquier plataforma de IA usada en producción. Tercero, implementar políticas de software supply chain security: firma GPG obligatoria para dependencias, uso de repositorios privados con proxy de PyPI, y monitoreo continuo de anomalías en memoria durante la ejecución de scripts. En el contexto mexicano, esto implica también alinear dichas prácticas con los lineamientos del Marco de Ciberseguridad para el Sector Financiero de la CNBV y la Estrategia Nacional de Ciberseguridad 2025–2028.
Este ataque no es solo un fallo técnico: es una advertencia sobre los costos reales de priorizar velocidad sobre seguridad en la era de la inteligencia artificial (IA). Las organizaciones mexicanas no pueden asumir que están protegidas por su tamaño o ubicación geográfica. La cadena de suministro digital no reconoce fronteras —y los atacantes tampoco. La única defensa efectiva comienza con la humildad técnica: cuestionar cada dependencia, validar cada firma y tratar cada línea de código importado como potencialmente peligrosa.
