Para: personas y organizaciones que usan AOMEI Backupper, el software de copias de seguridad para Windows, en casa o en el trabajo, y personal de TI que gestiona PC donde está instalado. Este artículo se basa en el comunicado oficial de AOMEI y no trata técnicas de ataque, el contenido del malware ni indicadores de compromiso (IoC).
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
personas y organizaciones que usan AOMEI Backupper, el software de copias de seguridad para Windows, en casa o en el trabajo, y personal de TI que gestiona PC donde está instalado.
- Confirmado hasta ahoraVer la tabla ↓
- Manipulación de los archivos de configuración del servidor de actualizaciones
- Tres ventanas identificadas
- Publicación de la 8.5.1
1 más
- Refuerzo y traslado del servidor
Señalado como posiblemente afectado
- Dispositivos que recibieron la configuración modificada
- Información relacionada con la autenticación de Windows
- Aún sin confirmar
- Número de usuarios o dispositivos afectados
- Versiones y ediciones afectadas
- Si hubo ventanas de manipulación además de las tres identificadas
1 más
- Si la información de autenticación de Windows llegó a exponerse
- Qué hacer ahoraVer los pasos ↓
- Ejecute AOMEI Security Scanner, desde la página oficial del comunicado
- Actualice a AOMEI Backupper 8.5.1
- Actualice su software de seguridad y haga un análisis completo
2 más
- Cambie la contraseña de la cuenta de Windows o de dominio
- Si se encuentra algo, consulte a la empresa y no restaure copias recientes a ciegas
- Dónde verificarlo (fuente)Todas las fuentes ↓
- AOMEI, «Statement on Ephemeral Tampering with the AOMEI Backupper Update Server» (publicado el 19 de octubre de 2026, última actualización el 30 de octubre)
- Última comprobación
- A fecha del 31 de octubre de 2026
Próximos avisos y qué comprobamos
El comunicado dice: «Las conclusiones y recomendaciones pueden actualizarse a medida que avance la investigación». El 31 de octubre la página mostraba «Last Updated on October 30, 2026».
Qué deben hacer hoy los usuarios de AOMEI Backupper
Ejecute AOMEI Security Scanner, desde la página oficial del comunicado
El primer paso que indica la empresa es analizar el PC con AOMEI Security Scanner, que busca los indicadores conocidos actualmente de este incidente. Dice que actualizar a la 8.5.1 no sustituye esta comprobación.
Abra usted mismo el comunicado de la empresa (enlace en Fuentes) y use el enlace de descarga que aparece allí, no un enlace de un correo o de un anuncio de búsqueda. El comunicado publica el nombre de la firma digital del escáner y su valor SHA-256, y dice que pueden cambiar cuando se actualice la herramienta, así que compárelos con la página el día en que descargue.
Actualice a AOMEI Backupper 8.5.1
La empresa publicó la 8.5.1 el 19 de octubre de 2026 y dice que corrige los problemas de seguridad encontrados hasta ahora y añade protecciones. Si usa una versión anterior, actualice cuanto antes desde la página de descargas de la empresa (www.aomeitech.com/download.html). La versión aparece en la pantalla «Acerca de» del programa.
La empresa ha desactivado los mecanismos de actualización integrados en la app que estaban implicados, así que no confíe en el aviso de actualización de la propia app.
Actualice su software de seguridad y haga un análisis completo
La empresa dice que no pueden descartarse otros riesgos en el dispositivo incluso después de los dos primeros pasos. Recomienda actualizar el software de seguridad instalado y hacer un análisis. Si el resultado no es concluyente, sugiere un segundo análisis con un escáner gratuito de buena reputación instalado desde su fuente oficial (el comunicado nombra uno).
Cambie la contraseña de la cuenta de Windows o de dominio
La empresa dice que algunos dispositivos pueden haber estado en riesgo de exponer información relacionada con la autenticación de Windows, aunque señala que esta exposición no se ha confirmado. Recomienda cambiar la contraseña de la cuenta de Windows o de la cuenta de dominio usada en el PC, y en otros dispositivos que usen la misma contraseña. Cambiar solo el PIN de Windows Hello no basta.
Si el análisis encontró algo, cambie la contraseña desde otro dispositivo limpio. Una contraseña escrita en un PC infectado puede volver a capturarse.
Si se encuentra algo, consulte a la empresa y no restaure copias recientes a ciegas
La empresa dice que ofrecerá soporte técnico, incluida ayuda remota, mediante la dirección de contacto específica de la página del comunicado. Si se detectó algo, revise las copias de seguridad hechas después del 28 de mayo de 2026 antes de restaurarlas, porque una copia de un sistema infectado puede devolver el problema (consulte: fundamentos de copias de seguridad y recuperación).
Qué pasó (según el comunicado de AOMEI)
Lo siguiente se basa en el comunicado de AOMEI publicado el 19 de octubre de 2026 y actualizado por última vez el 30 de octubre, que cita un informe de investigación del equipo de inteligencia de amenazas de una empresa de seguridad (publicado el 16 de octubre).
Abril–julio de 2026
Según el informe de investigación, los archivos de configuración del servidor de actualizaciones de AOMEI Backupper se modifican durante unos minutos cada vez y después se restauran.28 de mayo, 05:40–05:50 UTC
Primera ventana identificada (10 minutos).16 de julio, 08:33–08:39 UTC
Segunda ventana identificada (6 minutos).20 de julio, 10:35–10:40 UTC
Tercera ventana identificada (5 minutos).Antes del 29 de julio
Tras recibir el aviso, AOMEI refuerza los servidores de actualizaciones. Los investigadores no registran más actividad relacionada dentro de su monitorización.5 de agosto
El servicio de actualizaciones se traslada a un servidor nuevo con controles de seguridad adicionales.19 de octubre
AOMEI publica su comunicado y lanza AOMEI Backupper 8.5.1.30 de octubre
Última actualización del comunicado.
Las horas anteriores están en UTC. En hora de Japón, las ventanas fueron el 28 de mayo, 14:40–14:50; el 16 de julio, 17:33–17:39; y el 20 de julio, 19:35–19:40.
La mayor parte del tiempo
El servidor de actualizaciones devolvía la configuración normal
Durante una ventana
Un PC que buscaba actualizaciones podía recibir una configuración modificada que apuntaba a archivos maliciosos
Después
El archivo se restauraba, así que revisar el servidor más tarde no mostraba nada raro
Arreglar el servidor no limpia un PC que ya recibió algo. Por eso la empresa pide a los usuarios que analicen sus propios dispositivos.
- Qué pasó
- Manipulación breve y repetida de los archivos de configuración del servidor de actualizaciones de AOMEI Backupper, de abril a julio de 2026; cada modificación duraba unos cinco a diez minutos
- Efecto posible
- Durante esas ventanas, la configuración alterada podía hacer que el software descargara archivos maliciosos
- Ventanas identificadas
- 28 de mayo, 16 de julio y 20 de julio de 2026 (UTC). El alcance de los usuarios afectados sigue en investigación
- Medidas en el software
- Mecanismos de actualización integrados afectados desactivados; verificación de firma y cifrado añadidos a los archivos de configuración remotos; el cliente rechaza los archivos que no superan la verificación de firma
- Medidas en el servidor
- El antiguo servidor de actualizaciones, desconectado; servicio de actualizaciones trasladado a un servidor nuevo; en la 8.5.1, actualizaciones de software separadas de las notificaciones de marketing; monitorización reforzada
- Qué se pide a los usuarios
- Analizar con AOMEI Security Scanner, actualizar a la 8.5.1, analizar con el software de seguridad y cambiar la contraseña de la cuenta de Windows o de dominio
Qué se sabe y qué no
Situación a fecha del 31 de octubre de 2026. Cuando haya una actualización, se actualizará la columna de estado.
| Elemento | Qué dice el comunicado | Estado |
|---|---|---|
| Manipulación de los archivos de configuración del servidor de actualizaciones | Modificaciones breves y repetidas, de abril a julio de 2026 | Confirmado (informe de investigación citado por la empresa) |
| Tres ventanas identificadas | 28 de mayo, 16 de julio y 20 de julio de 2026 (UTC) | Confirmado (empresa) |
| Dispositivos que recibieron la configuración modificada | Pueden haber estado en riesgo | Posible (empresa) |
| Información relacionada con la autenticación de Windows | Algunos dispositivos pueden haber estado en riesgo de exponerla; no confirmado | Posible (empresa) |
| Publicación de la 8.5.1 | 19 de octubre de 2026 | Confirmado (empresa) |
| Refuerzo y traslado del servidor | Antes del 29 de julio; servidor nuevo el 5 de agosto | Confirmado (empresa) |
| Versiones y ediciones afectadas | No se enumeran. Se pide actualizar a quienes usen versiones anteriores a la 8.5.1 | No indicado |
| Número de usuarios o dispositivos afectados | No se indica; aún en evaluación | En investigación |
| Ventanas además de las tres identificadas | El informe de investigación dice que probablemente hubo más que no se observaron | En investigación |
| Otros productos de la empresa | El informe de investigación dice que el producto de escritorio remoto de la empresa usa el mismo flujo de actualización; el comunicado de la empresa solo menciona AOMEI Backupper | No indicado |
| Imágenes y archivos de copia de seguridad | No se mencionan | No indicado |
Cómo leer esto: «no indicado» no significa «no afectado»
La empresa no ha dicho qué versiones se vieron afectadas y pide a todos los usuarios que sigan los cuatro pasos. No encontrar su versión en una lista no significa que su PC quedara fuera del alcance, porque todavía no hay ninguna lista.
A qué puede llevar una actualización manipulada
En general, los archivos maliciosos entregados mediante una actualización de software pueden hacer lo siguiente. Esto no significa que todo ello haya ocurrido aquí.
- Ejecutarse con los mismos permisos que el actualizador, que en un software de copias de seguridad suelen ser de administrador
- Dejar algo que vuelve a iniciarse tras un reinicio, de modo que eliminar el programa original no basta
- Dar a alguien acceso remoto al PC y, desde ahí, a carpetas compartidas y otros PC de la misma red
- Capturar contraseñas o datos de autenticación, que es la razón por la que la empresa pide cambiar la contraseña de Windows
El informe de investigación describe que los archivos entregados en esta campaña incluían descargadores y puertas traseras que dan acceso remoto. Un caso similar en el lado web: el malware de Rank Math PRO 3.0.123, en el que una actualización de un plugin de pago se distribuyó con malware durante unas 11 horas.
Para personal de TI: comprobaciones en muchos PC
Son comprobaciones defensivas extraídas del comunicado de la empresa y del informe de investigación. No evalúan la gestión de AOMEI.
- Localice todos los PC con AOMEI Backupper. Use su inventario de software o su gestión de endpoints. Anote la versión y si el PC estaba encendido durante las tres ventanas.
- Revise el periodo de abril a julio de 2026, no solo el día de hoy. El informe señala que arreglar el servidor no limpia los endpoints que ya descargaron algo, y que revisar ahora el servidor del fabricante muestra archivos limpios. Revise en esos PC las tareas programadas y los programas nuevos iniciados por el actualizador.
- Bloquee en el firewall el tráfico saliente de uso compartido de archivos (SMB y WebDAV) hacia internet. El informe lo recomienda. También limita una vía habitual por la que los datos de autenticación de Windows se envían al exterior.
- Restablezca las contraseñas de dominio de los usuarios de los PC afectados, en línea con el consejo de la empresa, y revise los registros de inicio de sesión de esas cuentas.
Fuentes (registro público)
Los hechos de este artículo se basan en la información pública siguiente. No se reproducen aquí el comportamiento detallado del malware ni los valores de IoC; consúltelos en el comunicado y el informe oficiales.
- AOMEI, «Statement on Ephemeral Tampering with the AOMEI Backupper Update Server» (publicado el 19 de octubre de 2026, última actualización el 30 de octubre) — aomeitech.com
- AOMEI, página de descargas de AOMEI Backupper — aomeitech.com
- El equipo de inteligencia de amenazas de una empresa de seguridad, informe de investigación citado en el comunicado de la empresa (16 de octubre de 2026) — cloud.google.com
Historial de actualizaciones
2026-10-31: Primera versión, basada en el comunicado de AOMEI (publicado el 19 de octubre, última actualización el 30 de octubre) y en el informe de investigación que cita. Actualizaremos este artículo cuando la empresa publique más información.
Lectura recomendada
- Incidente del mismo tipo: Rank Math PRO 3.0.123 se distribuyó con malware
- Copias de seguridad que no devuelven el problema: Fundamentos de copias de seguridad y recuperación
- Términos: Qué es una puerta trasera / Qué es el malware
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026