Un malware en herramientas de póker expuso cartas

Según Jurojin y WIRED, un atacante coló software de acceso remoto en actualizaciones de dos herramientas de póker de terceros muy usadas, con el objetivo de ver las cartas privadas de una lista concreta de jugadores, casi todos de límites altos. Las herramientas son Jurojin e IntuitiveTables, dos programas de terceros para jugar a multimesa. Las salas implicadas han reaccionado de formas muy distintas, desde expulsiones y reembolsos hasta un no rotundo a devolver dinero, y ACR Poker activará por defecto su protección de mesa ScreenShield a partir del 4 de noviembre.

Cómo funcionó el ataque

En un aviso de seguridad actualizado por última vez el 2 de octubre, Jurojin afirma que entre junio de 2025 y enero de 2026 un atacante «pudo sustituir de forma intermitente el paquete de actualización entregado a un grupo concreto de usuarios de Jurojin por una versión manipulada», y que «algunos de esos paquetes incluían una herramienta de acceso remoto». Jurojin lo describe como «una operación muy dirigida, no un ataque masivo», contra rivales concretos «con el objetivo de ver sus cartas privadas a distancia». Ese periodo se refiere solo al canal de actualizaciones de Jurojin; según Jurojin, después del 28 de enero de 2026 no se subió nada más a sus servidores.

WIRED, en una investigación publicada el 29 de octubre, llama al programa de acceso remoto MeshAgent. Según el investigador de seguridad WolfSec, que dio la alarma por primera vez en X el 29 de septiembre, el desarrollador de IntuitiveTables tenía Jurojin en un ordenador de pruebas, y esa máquina se infectó a través de la actualización manipulada. WolfSec afirma que el atacante añadió entonces código malicioso a IntuitiveTables antes de que el desarrollador firmara una nueva versión, y que esa versión salió como descarga pública. WIRED atribuye esta vía a WolfSec y no cita al desarrollador de IntuitiveTables al respecto.

Según WolfSec, la versión manipulada de IntuitiveTables solo actuaba con nombres de usuario de una lista alojada en los servidores del atacante. WolfSec dijo a WIRED: «Si estabas en una lista codificada, actuaba como un programa malicioso … Si no estabas en esa lista, se convertía en el programa normal.» WIRED dice que la lista estaba formada sobre todo por jugadores habituales de límites altos en varias webs.

Cuál fue su alcance

Aquí las versiones difieren, y las cifras que siguen son estimaciones, no totales confirmados.

• WolfSec estima, según WIRED, que el software manipulado llegó a más de 1.000 usuarios. WIRED dice que cientos de jugadores habrían sido objetivo durante varios años.

• Fuentes con las que habló WIRED estiman que el atacante se habría llevado entre 1,5 y 4 millones de dólares de jugadores de GGPoker y ACR.

• Jurojin lo ve de forma más acotada: «solo un puñado de jugadores de límites altos salió perjudicado por jugar de verdad contra el atacante mientras sus cartas privadas estaban expuestas.» Jurojin añade que «estar expuesto no significa que un dispositivo estuviera infectado.»

WIRED señala que el jugador que describe no ha sido acusado de ningún delito (a 29 de octubre), y nosotros no nombramos a la persona señalada en informes de la comunidad.

Qué dicen las salas de póker

ACR Poker / Winning Poker Network (WPN). En un comunicado del 16 de octubre, WPN dice que su equipo de Game Integrity revisó más de 2.000.000 de manos de jugadores en cuyos dispositivos se detectó MeshAgent, «y no encontró pruebas de que ningún jugador de esa revisión usara conocimiento de cartas privadas en WPN». Cerró una cuenta que había revisado por motivos separados de integridad y gestión de riesgos, y afirma que esa decisión es independiente del hallazgo sobre las cartas privadas. Según WIRED, ACR escribió a los jugadores el 18 de octubre para decirles que no haría reembolsos.

A partir del 4 de noviembre, ScreenShield, que bloquea el contenido de las mesas a las herramientas de captura y uso compartido de pantalla, estará activado por defecto para los jugadores de ACR Poker; WPN lo describe como un estándar de toda la red. Los jugadores que necesiten capturar pantalla para hacer streaming, coaching o grabaciones pueden desactivarlo ellos mismos en los ajustes del cliente. WPN ya lo había activado desde el 29 de septiembre para jugadores cuyos dispositivos cumplían sus criterios de detección, y dice que ScreenShield no es «una respuesta completa a todas las amenazas de ciberseguridad». WPN también está evaluando una norma que podría prohibir software de terceros junto a su cliente; no se ha tomado ninguna decisión.

Por separado, ACR dijo el 17 de octubre que un error de software en su cliente había creado «una posible vulnerabilidad de seguridad», que corrigió, y que no encontró pruebas de cuentas comprometidas. ACR no ha dicho cuál fue el error ni lo ha vinculado con las actualizaciones de las herramientas.

GGPoker. En una entrada de blog del 15 de octubre, GGPoker prohibió todo el software de póker y las herramientas de automatización de terceros, incluidos Jurojin e Intuitive Tables, y añadió a sus controles de integridad la detección de tasas de victoria anómalas. También introdujo funciones de seguridad opcionales en el cliente, entre ellas Screen Guard, que deja las mesas fuera de capturas, pantallas compartidas y aplicaciones de visualización remota. GGPoker dice que rastreó los fondos hasta una cartera cripto y compartió sus conclusiones «con Coinbase, donde creemos que se depositaron los fondos», pidiéndole que restringiera la cuenta.

CoinPoker y ClubWPT Gold. Según WIRED, CoinPoker expulsó la cuenta y reembolsó más de 100.000 dólares a los jugadores afectados, y ClubWPT Gold expulsó la cuenta y reembolsó a un jugador sus pérdidas.

Nuestra lectura

En los informes anteriores, el malware viajó en herramientas de terceros que los jugadores ejecutan junto al cliente de póker. El error aparte del cliente de ACR no se ha vinculado con ellas. Si usas Jurojin, su aviso recomienda reinstalar Windows desde cero si recibiste su correo o notaste señales de alerta, y ofrece una herramienta de comprobación, Jurojin Mesh Check, en jurojinpoker.com; según el aviso, «un resultado limpio no es una garantía». Descarga las herramientas solo de la web del desarrollador y desconfía de los mensajes que ofrezcan una «comprobación» o un reembolso: Jurojin dice que el mismo actor mantenía webs de phishing que imitaban salas de póker y herramientas conocidas. Los reembolsos dependen de cada sala y, a 31 de octubre, varían mucho.

Más sobre salas de póker y disputas: la demanda de Bryn Kenney contra el propietario de GGPoker, el lanzamiento de póker regulado de 888 en Alberta y la consulta noruega sobre el póker online de Norsk Tipping. Sobre una intrusión en una web cripto, véase el incidente de la hot wallet de Gamdom.

Disponibilidad: ACR Poker, GGPoker, CoinPoker y ClubWPT Gold no tienen licencia en todos los países; poder jugar depende de dónde se viva.