Respuesta rápida: OFAC sancionó a Funnull Technology Inc. el 2025-05-29, junto con el administrador Liu Lizhi. Esa acción cambia la lectura del incidente de Polyfill[.]io. No fue solo una campaña de redirecciones contra sitios que seguían cargando una utilidad antigua de JavaScript. Fue un fallo de cadena de suministro en el navegador conectado con una operación mayor de blanqueo de infraestructura.
La lección para los equipos de seguridad es directa: los scripts de terceros no pueden tratarse como fiables para siempre porque alguna vez lo fueron. Cambian los dueños, cambian las rutas de CDN y cambian los payloads secundarios.
TL;DR
- OFAC sancionó a Funnull Technology Inc. y al administrador Liu Lizhi el 2025-05-29
- Treasury vinculó a Funnull con más de 200 millones de dólares en pérdidas reportadas por víctimas en EE. UU.
- El FBI identificó 548 CNAMEs de Funnull vinculados a más de 332.000 dominios únicos
- Treasury afirmó que Funnull compró y alteró en 2024 un repositorio de código usado por desarrolladores web
- Las defensas del lado del navegador necesitan comprobar el comportamiento runtime de los scripts, no solo confiar en proveedores
Qué cambió: Funnull ahora es un proveedor de infraestructura sancionado
El Departamento del Tesoro de EE. UU. sancionó a Funnull como empresa con sede en Filipinas que proporcionaba infraestructura informática a cientos de miles de sitios implicados en estafas de inversión con moneda virtual. Treasury describió esas estafas como pig butchering y dijo que Funnull facilitó directamente esquemas asociados a más de 200 millones de dólares en pérdidas reportadas por víctimas en EE. UU.
La misma acción sancionó a Liu Lizhi, descrito por Treasury como administrador de Funnull. Treasury dijo que Liu participaba en documentos operativos y tareas que incluían asignar dominios a ciberdelincuentes para fraude de inversión, phishing y sitios de apuestas online.
La escala importa. El aviso del FBI publicado el mismo día dijo que los investigadores habían identificado 548 CNAMEs únicos de Funnull vinculados a más de 332.000 dominios únicos desde enero de 2025. No es un solo dominio malo. Es una capa de infraestructura.
Cómo Polyfill[.]io encaja en el patrón de Funnull
En 2024, Polyfill[.]io ya era una advertencia clara sobre la cadena de suministro del navegador. Un servicio JavaScript ampliamente incrustado cambió de manos y después sirvió redirecciones maliciosas a un porcentaje de usuarios según condiciones runtime. cside cubrió el incidente en The Polyfill[.]io attack explained y después explicó por qué fue más que un ataque de redirección.
La acción de Treasury contra Funnull hace la conexión más clara. Treasury dijo que en 2024 Funnull compró un repositorio de código usado por desarrolladores web y alteró maliciosamente el código para redirigir visitantes de sitios legítimos hacia sitios de estafa y apuestas online.
El 2026-05-18, PublicWWW todavía listaba 61.593 páginas web que contenían "polyfill.io", aunque Namecheap había tomado medidas contra el dominio malicioso después del ataque de cadena de suministro de 2024. Ese residuo es el problema operativo: las dependencias del navegador pueden seguir incrustadas mucho después de que un dominio haya sido suspendido, bloqueado o identificado públicamente como inseguro.
Ese es el patrón operativo que los equipos de seguridad deben reconocer. Un script puede ser inocuo cuando se aprueba, arriesgado cuando cambia de dueño y malicioso cuando cambia la ruta del código. El propietario del sitio puede no cambiar ni una línea. El navegador del usuario seguirá ejecutando el nuevo payload.
Qué significa el blanqueo de infraestructura para los equipos de seguridad
El blanqueo de infraestructura consiste en usar infraestructura creíble para ocultar o legitimar actividad maliciosa. En lugar de alojar cada sitio de estafa en servidores obvios de baja reputación, un operador puede enrutar tráfico a través de proveedores cloud, CDNs, cadenas DNS y marcas fachada que parecen normales desde lejos.
Para la seguridad del navegador, lo importante no es la etiqueta. Es la brecha de control. Un sitio puede confiar en una URL de CDN porque funcionaba ayer. Una revisión de proveedor puede aprobar un dominio porque el proveedor era legítimo en ese momento. Un tag manager puede mostrar el mismo script principal mientras ese script carga un recurso secundario distinto en runtime.
Por eso falla la confianza basada solo en origen. El navegador no ejecuta un cuestionario de proveedor. Ejecuta JavaScript.
| Control | Qué ayuda a resolver | Dónde se queda corto |
|---|---|---|
| Inventario de scripts | Muestra qué scripts deberían estar presentes | Pierde comportamiento runtime y cambios rápidos del proveedor |
| Revisión de proveedor | Captura propiedad, propósito y aprobación | Se queda obsoleta tras adquisiciones, rebrands y cambios de subprocesadores |
| Subresource Integrity | Bloquea archivos estáticos modificados cuando hay hashes fijados | Falla con scripts dinámicos y no cubre sub-scripts runtime |
| Content Security Policy | Limita desde dónde pueden cargar scripts y recursos | Requiere allowlists precisas y no ve todo el comportamiento dentro de dominios permitidos |
| Monitorización runtime | Observa qué scripts cargan, cambian y hacen realmente | Necesita instrumentación en la capa del navegador y revisión operativa |
Por qué las sanciones no terminan el riesgo del lado del navegador
Las sanciones pueden interrumpir una empresa nombrada, congelar activos bajo jurisdicción estadounidense y hacer que operar con la parte sancionada sea legalmente arriesgado para personas estadounidenses. No eliminan automáticamente cada dominio, script, ruta CDN o empresa fachada relacionada de internet.
El riesgo posterior a las sanciones ya aparece en la investigación de amenazas. Silent Push informó que la infraestructura asociada al ecosistema más amplio de Triad Nexus y Funnull siguió evolucionando después de las sanciones de 2025, con bloqueo geográfico, rotación de CNAMEs y empresas fachada con aspecto limpio.
La acción posterior de Treasury y Reino Unido contra redes ciberdelictivas del Sudeste Asiático también muestra el contexto de aplicación más amplio. OFAC sancionó 146 objetivos dentro de Prince Group Transnational Criminal Organization, mientras FinCEN finalizó una norma para separar a Huione Group del sistema financiero estadounidense. Son redes grandes y adaptativas.
Qué hacer esta semana
Empieza por los scripts que pueden tocar login, checkout, creación de cuenta, pago y flujos con datos personales.
- Busca
polyfill[.]io,bootcdn[.]net,bootcss[.]com,staticfile[.]net,staticfile[.]orgyunionadjs[.]comen código fuente, tag managers, plantillas CMS y snippets antiguos - Elimina scripts de compatibilidad muertos que los navegadores modernos ya no necesitan
- Asocia cada script de terceros con dueño, propósito, alcance de página y nivel de acceso a datos
- Identifica scripts que cargan scripts adicionales, construyen URLs dinámicamente o ejecutan código distinto por user agent, geografía, referrer o estado de sesión
- Usa SRI solo cuando el script sea estático y el proveedor soporte hashes estables
- Refuerza CSP en flujos sensibles y monitoriza violaciones antes de pasar de report-only a enforcement
- Añade monitorización runtime para ver cambios de scripts, redirecciones, acceso a datos y llamadas de red inesperadas cuando los usuarios cargan la página
Esto no es solo una limpieza de Polyfill. Es gobierno de scripts de terceros.
Cómo cside ayuda a monitorizar el riesgo de scripts de terceros
cside trabaja en la capa del navegador, donde los scripts de terceros realmente se ejecutan. Eso importa porque los logs del servidor, las revisiones de proveedor y los inventarios estáticos pierden comportamiento runtime importante.
Con cside, los equipos pueden ver qué scripts cargan en páginas reales, a qué llaman, cómo cambian y si intentan comportamientos sospechosos como redirecciones inesperadas o acceso a datos. Esa visibilidad ayuda a los equipos de seguridad y cumplimiento a pasar de "aprobamos este proveedor una vez" a "sabemos qué hace este código ahora".
Las sanciones contra Funnull son un buen punto de presión. Muestran que el riesgo de cadena de suministro client-side no es teórico y no se limita a dominios obviamente maliciosos.
A fecha de 2026-05-18, las designaciones de sanciones, los indicadores de infraestructura y las fachadas activas pueden cambiar. Trata los dominios y CNAMEs nombrados como pistas de investigación, no como una blocklist completa.
Lecturas relacionadas
- Treasury Takes Action Against Major Cyber Scam Facilitator
- Aviso del FBI sobre la infraestructura de Funnull
- Investigación de Silent Push sobre la infraestructura de Funnull posterior a sanciones
- The Polyfill[.]io attack explained
- The Polyfill[.]io attack: more than just a redirect attack
- Script integrity management for ecommerce brands
