ANÁLISIS
eScan, la actualización del antivirus que trae malware: el canal fiable como riesgo
El 20 de enero de 2026 un servidor de actualización del antivirus eScan distribuyó durante dos horas un programa malicioso que bloqueaba las actualizaciones y descargaba más código, afectando a cientos de ordenadores en Asia meridional. El análisis: el canal fiable, el cúmulo en un proveedor de seguridad, quién paga y preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de enero de 2026 · por cybercoverinsurance
El 20 de enero de 2026 un servidor de actualización regional de eScan, el antivirus de la empresa india MicroWorld Technologies, distribuyó durante unas dos horas un archivo malicioso a los ordenadores de los clientes. El archivo bloqueaba las siguientes actualizaciones del antivirus, se instalaba de forma persistente y descargaba otros programas. La empresa de seguridad Morphisec lo detectó el mismo día, y Kaspersky contó cientos de ordenadores afectados, sobre todo en India, Bangladés, Sri Lanka y Filipinas.
Para quien asume el riesgo cyber el caso afecta al canal más fiable de una empresa: la actualización automática del software de seguridad. Cuando ese canal se compromete, el control que debería proteger se convierte en la puerta de entrada, y lo hace para muchos clientes a la vez.
Lo que se sabe
El ataque. Según eScan, alguien obtuvo acceso no autorizado a la configuración de un servidor de actualización regional, y un archivo erróneo se colocó en la ruta de distribución durante unas dos horas el 20 de enero. La empresa aisló los servidores, mantuvo fuera de línea su infraestructura de actualización durante más de ocho horas y publicó un aviso el 22 de enero (SecurityWeek).
Qué hacía el archivo. El programa malicioso sustituía un archivo legítimo del antivirus, con una firma digital falsa. Modificaba el archivo HOSTS para impedir nuevas actualizaciones, creaba tareas programadas para seguir activo y contactaba con un servidor externo para descargar más código. Comprobaba si en el ordenador había herramientas de análisis o de seguridad, y en ese caso se detenía. También escribía una fecha de actualización falsa, para que el producto pareciera actualizado. Kaspersky detectó intentos de infección en cientos de ordenadores de particulares y organizaciones (The Hacker News).
La limpieza. La eliminación automática no era posible, porque el archivo bloqueaba las actualizaciones. Los clientes afectados tenían que contactar con eScan para recibir una herramienta de limpieza (SecurityWeek).
Versiones enfrentadas. eScan habló de una "interrupción temporal del servicio de actualización" y de una actualización "corrupta", rechazó la etiqueta de ataque a la cadena de suministro y dijo no haber encontrado pruebas de robo de datos. Morphisec y Kaspersky describen en cambio una cadena de infección deliberada en varias fases (The Hacker News, SecurityWeek).
Lo que no se sabe. No se ha hecho público cómo entraron los atacantes en el servidor, quiénes son, cuántos clientes resultaron afectados ni cuál era el objetivo final. eScan dijo que el impacto afectó a una pequeña parte de los clientes, sin dar cifras.
El canal fiable como puerta de entrada
La actualización automática es un privilegio. El software de seguridad tiene los permisos más altos en el ordenador y recibe actualizaciones sin que nadie las revise. Quien controla el canal de actualización controla, durante unas horas, todos los ordenadores que lo reciben.
El control que se apaga solo. El archivo malicioso bloqueaba las actualizaciones del antivirus y simulaba una actualización correcta (The Hacker News). Para el asegurado, el antivirus aparecía activo y actualizado. Una respuesta positiva en el cuestionario no dice si el control funciona realmente.
Dos horas bastan. La ventana de distribución fue de unas dos horas (SecurityWeek). Ningún proceso de verificación interno del asegurado habría podido detener en tan poco tiempo una actualización firmada por el proveedor. La defensa está en detectar el comportamiento anómalo tras la instalación.
El cúmulo en un proveedor de seguridad
Un proveedor, muchos asegurados. Un antivirus extendido entre las pequeñas y medianas empresas de un país crea una dependencia común. El caso eScan quedó limitado, pero el mismo mecanismo aplicado a un proveedor con más clientes produciría muchos siniestros a la vez.
La geografía de la cartera. Los ordenadores afectados se concentraban en Asia meridional (The Hacker News). Para quien asegura empresas de una región, el proveedor de seguridad dominante en el mercado local es un dato de cúmulo que hay que recoger, como el proveedor de nube o de software de gestión.
El precedente de CrowdStrike, al revés. En julio de 2024 una actualización defectuosa de CrowdStrike paró millones de ordenadores sin ningún ataque. eScan muestra la versión maliciosa del mismo riesgo: el canal de actualización como punto único que puede afectar a todos los clientes.
Quién paga
El cliente afectado tiene un siniestro. Para el cliente, la infección es un ciberataque a todos los efectos: costes de respuesta, limpieza y verificación. La póliza cyber del asegurado responde, por lo general, sin distinguir si el ataque llegó por correo o desde el proveedor.
El recobro frente al proveedor es incierto. eScan rechaza la naturaleza del ataque y sus condiciones contractuales suelen limitar la responsabilidad frente a los clientes. Para el asegurador que paga el siniestro, recobrar del proveedor de seguridad es difícil, sobre todo si el proveedor tiene su sede en otro país.
La comunicación del proveedor importa. La distancia entre la versión de eScan y la de los investigadores dificulta a los clientes valorar qué ocurrió en sus ordenadores. Un proveedor que minimiza puede retrasar la respuesta de los clientes y alargar el siniestro.
Qué llevar a las renovaciones
Impacto para las aseguradorasMedio
Un servidor de actualización de un antivirus distribuyó durante dos horas un programa malicioso que bloqueaba las actualizaciones y descargaba más código, afectando a cientos de ordenadores en Asia meridional.
En cuanto a la cartera, el caso eScan sugiere recoger el nombre del proveedor de seguridad principal de los asegurados, sobre todo en las pequeñas empresas y en los mercados donde dominan pocos productos locales. Un escenario de actualización maliciosa distribuida por un proveedor extendido es una prueba útil para el cúmulo, con una ventana de distribución corta pero un número de siniestros potencialmente alto.