El ataque de ransomware de Foxconn provoca el robo de datos de Apple y Nvidia

Foxconn ha confirmado un ataque de ransomware a varias de sus fábricas norteamericanas después de que el grupo de ransomware Nitrogen afirmara el 11 de mayo haber robado 8 TB de datos que comprendían más de 11 millones de archivos.

El ataque afectó a las instalaciones de Mount Pleasant (Wisconsin) y Houston (Texas), obligando a algunos empleados a recurrir al lápiz y el papel y enviando a otros a casa hasta que se restableciera el acceso a la red.

"El equipo de ciberseguridad activó inmediatamente el mecanismo de respuesta y puso en marcha múltiples medidas operativas para garantizar la continuidad de la producción y la entrega", declaró un portavoz de Foxconn a BleepingComputer. "Las fábricas afectadas están reanudando actualmente la producción normal"

Foxconn es el mayor fabricante de electrónica por contrato del mundo, con más de 900.000 empleados repartidos en 240 instalaciones en 24 países y unos ingresos declarados superiores a los 260.000 millones de dólares en 2025. Su lista de clientes se lee como un quién es quién de la industria tecnológica: Apple nvidia, Intel, Google, Dell, AMD, Microsoft y Sony confían en ella para la producción de hardware.

Esa lista de clientes es exactamente lo que Nitrogen está utilizando como palanca. El grupo afirma que los archivos robados contienen instrucciones confidenciales, documentación interna de proyectos, diseños de placas de circuitos y dibujos técnicos relacionados con proyectos de Apple, Nvidia, Intel, Google, Dell y AMD. Se han publicado archivos de muestra en el sitio de filtraciones de la web oscura de Nitrogen. Foxconn no ha confirmado si los datos de los clientes fueron realmente sustraídos y declinó responder a preguntas específicas sobre el tema.

Quién es Nitrogen y por qué pagar puede no servir de nada

Nitrogen lleva activo desde 2023 y opera como un grupo de doble extorsión: cifra los archivos de las víctimas y amenaza simultáneamente con publicar los datos robados a menos que se pague un rescate. Se cree que el grupo se basa en el código del creador del ransomware Conti 2 filtrado y se sospecha que tiene vínculos con el ecosistema ALPHV/BlackCat. Sin embargo, el pago del rescate plantea un problema importante.

En febrero de 2026, los investigadores de Coveware publicaron una advertencia de que un error de programación en el encriptador ESXi de Nitrogen hace que encripte todos los archivos con una clave pública errónea, lo que imposibilita la recuperación de los archivos aunque la víctima pague. Esto significa que Foxconn se enfrenta a la perspectiva de perder el acceso a los datos cifrados de forma permanente, independientemente de lo que decida hacer con la petición de rescate.

Nitrogen se dio a conocer atacando a empresas de los sectores de la construcción, los servicios financieros, la fabricación y la tecnología. Foxconn es su víctima de mayor perfil hasta la fecha. La instalación de Mount Pleasant produce principalmente televisores y servidores de datos en lugar de dispositivos de consumo Apple, lo que puede limitar el impacto en el desarrollo de productos específicos de Apple. Sin embargo, el alcance de los productos de la instalación de Houston no se ha detallado públicamente.

Un objetivo recurrente

Este es al menos el tercer ataque importante de ransomware contra instalaciones de Foxconn en los últimos años. En diciembre de 2020, el grupo DoppelPaymer atacó sus instalaciones de Ciudad Juárez (México), cifrando hasta 1.400 servidores, destruyendo entre 20 y 30 TB de copias de seguridad y exigiendo 34 millones de dólares en bitcoin. En 2022 y 2024, LockBit atacó la filial de Foxconn, Foxsemicon Integrated Technology.

El patrón refleja el atractivo persistente de los grandes fabricantes por contrato como objetivos del ransomware: guardan datos sensibles para docenas de clientes importantes, dirigen operaciones complejas en múltiples emplazamientos que crean muchos puntos de entrada potenciales, y la interrupción de las operaciones tiene consecuencias directas en sentido descendente para las empresas a las que suministran.

Notebookcheck ha cubierto el creciente uso de la IA en el ransomware y el desarrollo de días cero este mes, incluida la confirmación por parte de Google del primer Día cero desarrollado con IA exploit utilizado en una campaña de explotación masiva planificada.