Operación Serengeti III: 1.462 detenciones y 105 millones recuperados ante la profesionalización del cibercrimen con IA
La ofensiva coordinada entre Interpol y 20 países africanos desmantela 11.000 redes maliciosas y destapa cómo las mafias usan agentes de inteligencia artificial y granjas ilegales de criptomonedas.
Fecha de publicación: 2026.10.29
Recuperados en 60 días de intervención en 20 países
Servidores C2, dominios e infraestructuras de minería
Casos investigados con agentes automatizados y clonación
Golpe policial a la infraestructura del cibercrimen en 20 países
El cibercrimen transnacional ha dejado de responder al estereotipo del pirata informático aislado que trabaja desde una habitación a oscuras. La Operación Serengeti III, una batida masiva coordinada durante dos meses por Interpol junto a cuerpos de seguridad de 20 naciones africanas y agencias de Estados Unidos, ha desarticulado centros de operaciones que funcionan como multinacionales clandestinas. El balance oficial supera las expectativas policiales: 1.462 personas arrestadas, 105 millones de dólares en fondos robados recuperados y la desconexión fulminante de casi 11.000 redes e infraestructuras digitales maliciosas.
Este despliegue marca un punto de inflexión operativo. A diferencia de las intervenciones policiales tradicionales, centradas en arrestar intermediarios financieros o mulas locales tras consumarse la estafa, Serengeti III atacó los cimientos técnicos de las organizaciones: servidores de comando y control (C2), granjas de extracción no autorizada de criptomonedas y centros de llamadas fraudulentos atendidos por personal retenido bajo engaño laboral.
Cadena de valor criminal identificada por los investigadores internacionales
Rastreo masivo en LinkedIn y redes para clonar estilos de escritura de directivos y proveedores.
Instalaciones físicas en Uganda y Nigeria con operarios dedicados a captar inversores y engañar a tesorerías.
Conversión de fondos mediante minería clandestina en Angola y redes opacas para el lavado final.
El informe de evaluación de ciberamenazas presentado por Interpol arroja un dato inquietante para las direcciones de seguridad corporativa: el 72% de los 36 países africanos auditados tiene identificados centros físicos de fraude que operan en su territorio. Además, el 55% de los expedientes delictivos recientes involucra herramientas de inteligencia artificial generativa, ya sea mediante agentes automatizados que seleccionan objetivos corporativos de alto valor patrimonial o mediante la clonación de voz y vídeo para engañar a departamentos de tesorería y a particulares vulnerables.
Tres ediciones de Serengeti frente a frente: Radiografía de la madurez investigativa
El incremento en las cifras de detenciones no significa que la delincuencia digital haya crecido sin control en el último año, sino que los equipos policiales locales han ganado capacidad técnica y velocidad de respuesta gracias al intercambio transfronterizo de inteligencia preventiva antes de ordenar los registros. La cooperación con especialistas en telemetría de red, como Team Cymru, ha permitido mapear direcciones IP sospechosas, dominios de segundo nivel fraudulentos y centros de mando semanas antes de irrumpir en las instalaciones.
| Parámetro evaluado | Serengeti I (2024) | Serengeti 2.0 (2025) | Serengeti III (2026) | Variación 2024–2026 |
|---|---|---|---|---|
| Sospechosos detenidos | 1.006 arrestos | 1.209 arrestos | 1.462 arrestos | +45,3% |
| Fondos directos recuperados | $40 millones | $62 millones | $105 millones | +162,5% |
| Infraestructuras y redes dadas de baja | 3.200 servidores | 6.800 servidores | 10.890 redes | +240,3% |
| Países participantes | 12 estados | 16 estados | 21 estados (20 en África + EE. UU.) | +75,0% |
| Uso constatado de IA en ataques | Residual (<10%) | 28% de los casos | 55% (8% intensivo, 47% frecuente) | +450% |
| Tiempo previo de inteligencia de red | 7–10 días | 21 días | 60 días continuos | Reducción de fugas |
Comparativa directa entre Serengeti I y Serengeti III
Los datos revelan que la recuperación financiera ha crecido a un ritmo mucho más acelerado que el número de personas arrestadas. Esto se debe a que la policía ya no espera a que los delincuentes dispersen el dinero a través de cientos de carteras anónimas; ahora bloquean las pasarelas de pago y las granjas de computación en el momento exacto en que se ejecutan las transferencias fraudulentas.
Impacto operativo en las organizaciones: Costes ocultos y nuevas rutas de fraude
La desarticulación de estas redes evidencia que el cibercrimen moderno utiliza la misma infraestructura técnica que cualquier empresa legítima de servicios en la nube. Las corporaciones no sufren únicamente brechas de seguridad por virus informáticos, sino ataques financieros que desgastan tres áreas clave del negocio.
Métricas obtenidas del análisis forense de la operación
Cuentas corporativas perfiladas por una sola red en Nigeria
Aparatos alimentados con subestaciones eléctricas ilegales
Rendimiento neto de esquemas de inversión fraudulenta
1. Costes de operación disparados por suplantación ejecutiva avanzada (BEC)
En Nigeria, la policía clausuró un entramado que gestionaba 2,1 millones de direcciones corporativas. Los atacantes no enviaban correos masivos con errores ortográficos evidentes; utilizaban agentes de inteligencia artificial para leer los perfiles públicos de directores de compras y directores financieros en redes profesionales, estudiar la estructura de sus departamentos y redactar peticiones de cambio de cuenta bancaria que imitaban al milímetro el tono de los correos reales de proveedores habituales.
Para una mediana empresa, sufrir un desvío de facturas mediante compromiso de correo electrónico corporativo (BEC) supone una pérdida media de entre 80.000 y 450.000 dólares por incidente, además del gasto no presupuestado en peritajes forenses y el deterioro inmediato de la relación contractual con el proveedor suplantado.
2. Tiempos de parada e investigación por compromiso de cuentas y deepfakes
Las organizaciones ya no pueden confiar ciegamente en una llamada telefónica o en una videoconferencia rápida para autorizar un pago extraordinario. La Operación Serengeti III confirmó que los delincuentes combinaron bases de datos de correos con software de clonación de voz y avatares generados por inteligencia artificial para validar transferencias urgentes.
Cuando se sospecha de un fraude interno de esta naturaleza, los departamentos de tesorería y tecnología se ven obligados a congelar las emisiones de transferencias durante 48 o 72 horas para auditar manualmente cada registro. Este retraso administrativo paraliza cadenas de suministro, cancela pedidos de importación y bloquea despachos de mercancía en aduanas.
3. Fuga de energía y recursos de computación hacia la minería clandestina
En Angola, las autoridades desmantelaron dos macroinstalaciones de minería ilegal de criptomonedas y requisaron más de 2.000 equipos conectados directamente a seis transformadores eléctricos industriales de alta capacidad, valorados en más de un millón de dólares. Los grupos delictivos utilizan la minería para blanquear el dinero obtenido en las estafas sin pasar por el sistema bancario formal.
Para el sector empresarial regional, estas conexiones clandestinas provocan caídas continuas de tensión en polígonos industriales y sobrecostes millonarios por paradas de producción imprevistas. El desvío ilegal de potencia energética representa una amenaza directa a la estabilidad de las infraestructuras de telecomunicaciones locales.
La barrera de contención: Inteligencia preventiva de red frente a la dispersión geográfica
El éxito de Serengeti III demuestra que la única forma de contener a grupos criminales dispersos es actuar sobre su infraestructura de alojamiento y enrutamiento antes de que comiencen las campañas. Cuando una célula opera en Kampala (Uganda) captando víctimas en Asia, y transfiere el capital a monederos gestionados desde Europa o Norteamérica, la justicia de un solo país es incapaz de detener el flujo.
En el caso de Uganda, las autoridades intervinieron dos organizaciones criminales transnacionales que funcionaban bajo un modelo de centro de llamadas por turnos. Engañaban a inversores extranjeros mediante plataformas falsas de negociación bursátil con gráficos simulados en tiempo real. La intervención concluyó con la captura de 365 ciudadanos extranjeros que operaban dentro de estas oficinas.
Cambio de doctrina policial y corporativa aplicado en Serengeti III
- • Investigación posterior a la pérdida patrimonial
- • Bloqueo aislado de direcciones de correo electrónico
- • Notificaciones judiciales lentas entre distintas jurisdicciones
- • Recuperación de fondos inferior al 5% del total robado
- • Rastreo previo de servidores C2 e IPs maliciosas
- • Intervención simultánea sobre telecomunicaciones y energía
- • Colaboración público-privada entre agencias e investigadores
- • Recuperación de fondos superior al 30% en origen
Para las empresas, este cambio de doctrina significa que monitorizar la infraestructura técnica externa es tan importante como instalar antivirus en los puestos de trabajo. Las organizaciones líderes ya no esperan a recibir un correo malicioso: cruzan continuamente sus registros con plataformas globales de observabilidad y telemetría de red, integrando datos de tráfico procedentes de herramientas como Datadog para identificar conexiones anómalas con servidores que figuran en las listas negras internacionales de Interpol.
Plan de contingencia corporativa: Tres líneas de defensa contra el fraude impulsado por IA
La desarticulación de estas células no eliminará el fraude digital; provocará que los actores supervivientes perfeccionen sus métodos. Ante atacantes que disponen de modelos automatizados de suplantación y herramientas de clonación biométrica, las organizaciones deben actualizar sus procedimientos de control financiero y administrativo.
Medidas prácticas para evitar transferencias no autorizadas y suplantaciones
Revisar la información corporativa visible en redes y limitar el acceso público a organigramas internos.
Establecer canales telefónicos o presenciales preacordados para cualquier modificación de cuentas bancarias.
Supervisar el consumo eléctrico y de servidores para detectar minería no autorizada o tráfico sospechoso.
Primera línea de defensa: Blindaje técnico contra suplantación y control de exposición pública
- Eliminación de organigramas y patrones de firma en fuentes abiertas: Las herramientas de IA utilizadas en los fraudes de Nigeria rastrearon perfiles de directivos para copiar su estilo de redacción. Las empresas deben instruir a sus equipos directivos para que no publiquen quién sustituye a quién durante periodos vacacionales ni detalles sobre los programas informáticos de facturación interna que utilizan.
- Autenticación estricta con llaves físicas de seguridad: El segundo factor de autenticación mediante mensajes de texto (SMS) ha demostrado ser vulnerable frente a desvíos de tráfico y duplicados de tarjeta. La implementación de llaves FIDO2 basadas en hardware elimina el riesgo de robo de credenciales mediante páginas de acceso simuladas.
- Políticas de correo DMARC en modo de rechazo automático: Configurar los registros DNS para que los servidores de correo de todo el mundo rechacen automáticamente cualquier mensaje que intente utilizar el dominio de la empresa sin la firma criptográfica correcta (DKIM y SPF alineados).
Segunda línea de defensa: Protocolos de tesorería y validación fuera de banda
- Regla inquebrantable de llamada inversa prefijada: Queda terminantemente prohibido validar un cambio de cuenta bancaria o una transferencia de importe elevado basándose exclusivamente en un correo electrónico o un mensaje de mensajería instantánea. Los tesoreros deben realizar una llamada de comprobación utilizando un número de teléfono archivado previamente en el contrato original firmado en papel, nunca el número que figure en el pie del correo entrante.
- Doble firma mancomunada para pagos superiores a un umbral crítico: Ningún pago superior a 25.000 dólares debe salir de las cuentas de la empresa con la autorización de una sola persona. El sistema bancario debe exigir la firma mancomunada en dos dispositivos independientes.
- Palabra de paso física para excepciones urgentes: Ante el auge de las clonaciones de voz por IA, las direcciones financieras deben acordar internamente una palabra de seguridad alfanumérica, guardada fuera de cualquier sistema informático, que deba pronunciarse verbalmente antes de autorizar cualquier operación calificada de «urgente y confidencial».
Tercera línea de defensa: Monitorización de consumos de red y suministro eléctrico
- Control de consumos anómalos de electricidad y procesamiento: La incautación de más de 2.000 dispositivos de minería ilegal en Angola recuerda que la delincuencia busca fuentes de alimentación baratas o robadas. Las empresas con sedes en mercados emergentes o grandes almacenes logísticos deben monitorizar semanalmente sus contadores de consumo eléctrico para detectar desvíos no justificados hacia granjas clandestinas.
- Aislamiento de redes de control industrial e instalaciones críticas: Las subestaciones y los transformadores industriales nunca deben compartir infraestructura de red con las oficinas corporativas ni estar conectados directamente a Internet sin una red privada virtual de acceso restringido.
- Revisión inmediata de proveedores de telecomunicaciones locales: Exigir a los centros de datos y proveedores de conectividad contratados informes periódicos que certifiquen que sus bloques de direcciones IP no están siendo utilizados como repetidores o nodos de mando por organizaciones delictivas internacionales.