El 27 de octubre de 2026, el Departamento de Justicia de EE. UU. anunció la incautación del dominio virtualine.net, perteneciente a un proveedor del llamado bulletproof hosting: un servicio en el que el operador ignora deliberadamente las quejas por abusos presentadas contra sus clientes. Según el Departamento de Justicia, el servicio se utilizaba para alojar material de explotación sexual de menores, difundir imágenes íntimas sin el consentimiento de las víctimas y facilitar el blanqueo internacional de dinero. La operación se llevó a cabo conjuntamente con la policía del estado federado de Hesse (Alemania), la policía de los Países Bajos, la Agencia Nacional contra el Crimen del Reino Unido, así como las empresas privadas OverRIPE y Lumen Technologies. Las organizaciones que utilizan el bloqueo por dominios o ASN para protegerse de infraestructuras maliciosas deben tener en cuenta que la incautación de un solo dominio no garantiza la interrupción completa de la infraestructura relacionada.
Qué era Virtualine
Según los documentos judiciales citados por el Departamento de Justicia, Virtualine también operaba bajo los nombres de Secury, Massgod, Spamhouse, Lanedo y Omegatech. El servicio anunciaba abiertamente sus servicios en foros cibercriminales, afirmando que los clientes podían utilizar el hosting para phishing, carding, envío de spam y escaneo de puertos. Las únicas restricciones declaradas eran el contenido infantil y el terrorismo.
En junio de 2025, en el foro HackForums, el operador, según la acusación, se jactaba de que “Virtualine ha ignorado más quejas que tus tres últimos terapeutas”. En marzo de 2026, el servicio empezó a ofrecer un “plan de protección adicional”: al recibir una solicitud oficial de las fuerzas del orden, la infraestructura del cliente se trasladaba a una empresa pantalla, que formalmente no estaba vinculada a Virtualine.
Acusaciones del Departamento de Justicia y postura del operador
La acusación central se refiere a un cliente designado en los documentos judiciales como “Vendor 1”: un foro criminal en el que se alojaban y vendían imágenes explícitas de menores, y en el que también se ofrecían servicios de hackeo de cuentas por encargo. Según la versión del Departamento de Justicia, Virtualine siguió prestando servicio a Vendor 1 incluso después de recibir numerosas notificaciones de las fuerzas del orden de Alemania, Canadá y Australia, del Centro Nacional para Niños Desaparecidos y Explotados (NCMEC) en EE. UU. y de un abogado de una de las víctimas. Además, la acusación sostiene que Virtualine colaboró activamente con Vendor 1 en la creación de un sitio web separado para subir y descargar contenido ilegal.
Es importante señalar que esta cronología es objeto de controversia. El operador de Virtualine publicó una carta abierta en la que niega haber alojado de forma consciente material de explotación sexual infantil. Según afirma, todas las quejas recibidas sobre este tipo de contenido se tramitaban en un plazo de 24 horas y la relación con Vendor 1 se dio por terminada tras detectarse material prohibido. El operador también declaró estar dispuesto a colaborar con las autoridades en las cuestiones relacionadas con Vendor 1. No se ha encontrado en los materiales disponibles ninguna verificación independiente de ninguna de las versiones de la cronología de los acontecimientos: los documentos judiciales citados por el Departamento de Justicia no son de acceso público.
Flujos de criptomonedas y escala del ecosistema
Según el Departamento de Justicia, Virtualine aceptaba pagos a través de las llamadas “BTC [NO-AML]”: direcciones de Bitcoin no custodiadas que permitían a los clientes pagar directamente sin someterse a controles de cumplimiento de los requisitos de lucha contra el blanqueo de capitales. La empresa Chainalysis, en su propio análisis, confirmó de manera independiente el mecanismo de pagos directos mediante monederos no custodiados. Al mismo tiempo, en los materiales disponibles, la acusación de posterior blanqueo de los fondos recibidos para ocultar su origen se basa principalmente en las declaraciones del Departamento de Justicia.
Chainalysis también señala que la huella de Virtualine en la blockchain muestra conexiones directas con una amplia gama de la ecosistema cibercriminal: operadores de ransomware, infraestructuras de infostealers, foros cibercriminales rusófonos, tiendas ilegales, así como direcciones vinculadas con estafas y phishing.
La incautación del dominio no implica la eliminación de la infraestructura
La empresa Silent Push, en su análisis de la operación, observó que Omegatech —uno de los seudónimos de Virtualine— no fue totalmente desactivado tras la incautación del dominio. Sus prefijos de red mostraban una visibilidad de enrutamiento extremadamente baja, lo que apunta a problemas graves del lado del operador, pero no a un cese completo de la actividad. Silent Push subraya: “La pérdida de un ASN por sí sola no significa que el bulletproof hosting haya dejado de funcionar”, y destaca la necesidad de endurecer el procedimiento de registro de ASN.
Esta conclusión se ve respaldada por un documento de recomendaciones conjunto de CISA, el FBI y socios internacionales, según el cual los proveedores de bulletproof hosting son capaces de obtener un nuevo ASN en un plazo de entre dos y cinco días laborables y migrar a él los rangos de IP maliciosos, eludiendo así la filtración por ASN. Para los defensores de redes esto significa que el bloqueo de un dominio o ASN concreto es una medida necesaria, pero insuficiente. La monitorización debe abarcar los dominios de sustitución, los nuevos ASN y el movimiento de los rangos de IP.
Recomendaciones
- Monitorización de indicadores: los dominios
virtualine.netyvirtualine.orgdeben añadirse a las listas de bloqueo. No obstante, también es necesario seguir la aparición de nuevos dominios y ASN asociados a los seudónimos conocidos del servicio (Secury, Massgod, Spamhouse, Lanedo, Omegatech). - Analítica blockchain: se recomienda a las organizaciones que trabajan con transacciones de criptomonedas comprobar si existen vínculos con direcciones asociadas a Virtualine mediante herramientas de analítica blockchain.
- No confiar en medidas aisladas: la incautación de un dominio es una acción puntual. La protección frente al bulletproof hosting exige un enfoque multinivel: filtrado reputacional, análisis de flujos de red y monitorización de anuncios BGP para detectar la migración de infraestructuras maliciosas.
- Verificación de proveedores de hosting: los brokers de IP con procedimientos débiles de verificación de clientes siguen siendo un eslabón clave que permite a los bulletproof hostings obtener nuevos recursos. Las organizaciones deberían tener en cuenta la reputación de los proveedores upstream al evaluar los riesgos.
El caso Virtualine ilustra claramente un problema sistémico: el bulletproof hosting como servicio sigue existiendo gracias a la facilidad para obtener nuevos recursos de red y a la débil verificación por parte de los brokers de IP. La incautación de un dominio es un paso importante pero, como muestran las observaciones de Silent Push y las recomendaciones de CISA, no elimina por completo la infraestructura. Los equipos de seguridad deberían centrarse no en el hecho de la incautación de un dominio concreto, sino en la creación de procesos para detectar la migración de la infraestructura maliciosa: monitorización de nuevos ASN, anuncios BGP y rangos de IP relacionados.
