Brief hijack makes Elsevier domains redirect to LAPSUS$ “Chapter II” page
2026-09-22
Tres dominios y portales web pertenecientes a la empresa de publicaciones académicas neerlandesa Elsevier redirigieron a los usuarios a una página con la marca 'LAPSUS$ GROUP, Chapter II'. Esta página contenía un comunicado firmado en el que se burlaban del FBI y anunciaban una cuenta regresiva hacia una futura víctima.
Según investigadores de Cloudskope, el redireccionamiento duró al menos 78 minutos, desde aproximadamente las 7:49 p. m. hasta las 10:09 p. m. (hora central) del 21 de septiembre de 2026. Los dominios afectados fueron Elsevier.com (el sitio principal), Evolve.elsevier.com (portal de inicio de sesión y gestión de aprendizaje para salud) y Submit.elsevier.com (portal para que investigadores carguen manuscritos).
Los investigadores creen que el ataque se logró mediante un cambio en el DNS (el sistema que traduce nombres de sitios web a direcciones IP) o en el CDN (una red de servidores que acelera la carga de sitios), posiblemente alterando las reglas de redirección de Cloudflare. Elsevier aún no ha explicado cómo ocurrió el incidente ni si los datos de inicio de sesión de los usuarios fueron robados, aunque los dominios ya fueron limpiados y están operativos.
El grupo LAPSUS$, conocido por ataques de extorsión contra gigantes como Microsoft, Nvidia y Uber, parecía inactivo desde 2022. Sin embargo, este incidente sugiere un posible regreso del grupo o de colectivos relacionados, quienes han amenazado con atacar a una empresa global con ingresos superiores a los 50.000 millones de dólares anuales.
Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza servicios de gestión de dominios o redes de entrega de contenido (como Cloudflare) para su página web, revise de inmediato quién tiene permisos de administración. Un error en la configuración de estas herramientas permite que un atacante desvíe todo su tráfico hacia sitios fraudulentos sin necesidad de hackear su servidor principal. Asegúrese de que solo el personal de confianza tenga acceso a la gestión de DNS y active la autenticación de dos pasos en sus cuentas de proveedores de servicios web.