Los hackers vinculados a Irán accedieron a la pantalla de control del patio de trenes del Metro de Los Ángeles en marzo, encuentra una firma israelí.

      Los hackers iraníes estuvieron detrás del ciberataque que obligó a que partes de la Autoridad de Transporte Metropolitano del Condado de Los Ángeles se desconectaran en marzo, según una investigación publicada el martes por Gambit Security, una firma de ciberseguridad de Tel Aviv que dice haber rastreado 700 gigabytes de correos electrónicos robados, copias de seguridad y otros archivos hasta un servidor vinculado a una campaña iraní previamente identificada.

      Los datos fueron encontrados, dijo la firma, después de que se dejaron inadvertidamente expuestos en un servidor accesible públicamente. Desde allí, los analistas de Gambit siguieron las huellas de configuración hasta una operación que funcionarios israelíes e investigadores externos han atribuido por separado a Teherán.

      La conclusión no es que una unidad del gobierno iraní haya escrito personalmente los comandos, sino que la infraestructura utilizada en la intrusión de LACMTA es parte de un aparato iraní conocido.

      La intrusión en sí duró varios días en marzo antes de que el equipo de seguridad de LACMTA notara actividad no autorizada y cortara partes de su red. Los servicios de autobuses y trenes ligeros continuaron funcionando.

      El 💜 de la tecnología de la UE Las últimas novedades de la escena tecnológica de la UE, una historia de nuestro sabio fundador Boris, y un arte de IA cuestionable. Es gratis, cada semana, en tu bandeja de entrada. ¡Regístrate ahora! Un grupo que se hace llamar Ababil de Minab reclamó la responsabilidad a principios de abril, publicando capturas de pantalla de Telegram que supuestamente mostraban acceso a infraestructura de virtualización, servidores web y, más preocupantemente, una gestión de patio ferroviario y una pantalla de control de trenes conocida internamente como División 11.

      El grupo alegó que había borrado 500 terabytes de datos y exfiltrado un terabyte adicional. LACMTA confirmó el acceso parcial por parte de los atacantes, pero no validó las afirmaciones volumétricas.

      Ababil de Minab tomó su nombre del bombardeo de una escuela para niñas en la ciudad iraní de Minab. Investigadores estadounidenses e israelíes han descrito, desde su aparición, como el tipo de grupo de vigilantes autoproclamados que a menudo funciona como un intermediario para actores estatales iraníes, con una historia pública delgada y una retórica que coincide con la de Teherán.

      La atribución de Gambit cierra parte de esa distancia: un frente hacktivista reclamando crédito en un extremo, un servidor iraní conocido sosteniendo los archivos robados en el otro.

      El ataque a Los Ángeles se sitúa dentro de un patrón más amplio. Los actores pro-Irán han aumentado visiblemente las intrusiones en la infraestructura crítica de EE. UU. durante el último año, con violaciones documentadas de instalaciones municipales de tratamiento de agua, sistemas de medidores de tanques de estaciones de servicio y, ahora, transporte público.

      La Fundación para la Defensa de las Democracias argumentó en un documento del 20 de mayo que los sistemas de control industrial expuestos y la débil autenticación en la infraestructura de los gobiernos locales de EE. UU. han facilitado los ataques más de lo que habrían sido hace una década.

      Lo que las campañas iraníes de este tipo han carecido, según la evidencia hasta ahora, es la capacidad operativa para interrumpir realmente el servicio físico a nivel de control de trenes o de control de red. La violación de LACMTA alcanzó una pantalla de patio ferroviario en tiempo real, pero no manipuló, hasta donde se ha divulgado.

      La mayoría de la actividad pro-Irán en esta categoría se ha detenido en el robo de datos y la publicación de capturas de pantalla destinadas a avergonzar al objetivo, en lugar de un sabotaje absoluto. La línea entre esos dos resultados se defiende en parte por una buena segmentación de tecnología operativa y en parte por una restricción política. Ambos, han argumentado los investigadores de seguridad a lo largo de 2026, son más suaves de lo que deberían ser.

      LACMTA se negó a comentar sobre los hallazgos de Gambit el martes. La agencia de transporte dijo en abril que su revisión forense estaba en curso. El FBI y la Agencia de Seguridad de Ciberseguridad e Infraestructura no han atribuido públicamente el ataque.