Hay una versión de esta historia en la que AceMagic queda bien. Vale la pena contar esa versión primero, porque es real. En febrero de 2024, después de que investigadores independientes y YouTubers demostraran que mini PC AceMagic AD08, AD15 y S1 nuevos estaban llegando con malware incrustado en la imagen de Windows de fábrica, la empresa hizo algo inusual para la categoría: emitió un comunicado por escrito, nombró los SKU afectados y asumió la responsabilidad. En una industria donde las marcas con sede en China suelen responder a los defectos con un solo correo cortés y un cambio discreto de unidad, “vendimos malware y esta es la lista” no es el comportamiento habitual. AceMagic lo hizo. The Register publicó el comunicado completo, y la frase que más atención atrajo dice: “Para mejorar el tiempo de arranque del software, nuestros desarrolladores, sin mi aprobación, hicieron ajustes al software de Microsoft”.

Esa frase es el punto más alto de la historia del malware de AceMagic. Todo lo que viene después es menos halagador.

Qué había realmente en las máquinas

El malware no era sutil. Según el reportaje de BleepingComputer, la imagen de Windows de fábrica de las unidades afectadas contenía dos familias distintas de software ladrón de credenciales (variantes identificadas como Bladabindi y Redline), incrustadas de una forma que sobrevivía a una configuración normal del primer arranque. Bladabindi es una puerta trasera veterana que extrae credenciales y permite el acceso remoto; Redline es uno de los infostealers comerciales más prolíficos de los últimos años, diseñado para aspirar contraseñas del navegador, datos de autocompletado y archivos de billeteras de criptomonedas a los pocos minutos de ejecutarse.

El descubrimiento no vino del control de calidad de AceMagic. Vino de afuera. El YouTuber Jon Bringus y otro canal, The Net Guy Reviews, demostraron de forma independiente detecciones en unidades que habían comprado antes de que existiera cualquier aviso del fabricante. Para cuando AceMagic publicó su comunicado, los videos ya eran de dominio público y Tom’s Hardware, PCMag y XDA Developers ya habían publicado la noticia. El reconocimiento fue, en la práctica, el segundo movimiento, no el primero.

Qué dice realmente el comunicado, y qué no dice

Leída con atención, la explicación de AceMagic contiene una afirmación concreta: que el malware fue un efecto secundario de que desarrolladores internos modificaran la imagen de Microsoft Windows para “mejorar el tiempo de arranque”, y que esto ocurrió “sin mi aprobación” (el “mi” se refiere al directivo de la empresa que firmó el comunicado). El planteamiento sitúa la causa dentro de la empresa pero fuera del conocimiento del directivo, y replantea el malware como una consecuencia no intencionada de un trabajo de optimización en lugar de un compromiso de la cadena de suministro.

Es una historia ordenada. También es una que el público no tiene forma de verificar. El comunicado no nombra a los desarrolladores, no publica el hash exacto de la imagen previa al envío y no explica cómo una “optimización del tiempo de arranque” rutinaria produjo un binario que envía credenciales del navegador a un servidor remoto, un comportamiento que no tiene relación con el trabajo de rendimiento del arranque bajo ninguna lectura honesta. The Register señaló el vacío con cortesía; BleepingComputer lo señaló con menos cortesía. A ninguno de los dos medios se le dio acceso a una cronología forense.

Hay un segundo silencio. AceMagic confirmó que “algunas” unidades del AD08, AD15 y S1 estaban afectadas, pero el comunicado no publicó un rango de números de serie, una ventana de fechas de producción ni una cifra absoluta de máquinas comprometidas. Quien compró uno de estos modelos a finales de 2023 o inicios de 2024 no tiene una forma oficial de saber si su unidad concreta estaba afectada. La guía de corrección (reinstalar Windows desde una imagen limpia de Microsoft) es correcta, pero también es el mismo consejo que recibiría un propietario no afectado, lo que significa que el límite del incidente no está donde AceMagic lo trazó; está donde cada comprador decidió, por su cuenta, asumir lo peor.

Cómo fue la “corrección” en la práctica

La solución publicada por AceMagic fue reinstalar Windows en limpio con una ISO obtenida de Microsoft, más la garantía de que los lotes de producción posteriores se habían vuelto a grabar con una imagen nueva. Esa es la respuesta técnica correcta para una imagen de arranque infectada. También es una corrección que deja el trabajo en manos del cliente.

Una reinstalación no es una petición menor para el comprador típico de mini PC. El AD08, el AD15 y el S1 se venden en un mercado que incluye usuarios domésticos, despliegues en oficinas pequeñas, operadores de kioscos y señalización digital, y compras para regalo: categorías cuyos compradores eligieron un equipo prearmado precisamente para no tener que armar, grabar ni configurar una máquina Windows desde cero. Para esos compradores, “descarga una ISO, crea un medio de instalación, formatea la unidad, reinstala, reactiva y restaura tus datos” es medio día de trabajo que no tenían previsto y del que no se les advirtió en el punto de venta.

No hay registro público de que AceMagic haya ofrecido reembolsos, garantías extendidas ni asistencia de monitoreo de crédito a los compradores afectados, el paquete estándar de remedios que los fabricantes de hardware en mercados regulados suelen ofrecer tras un incidente confirmado de robo de credenciales. La cobertura de PCMag y el reportaje de XDA señalaron la asimetría: la empresa asumió la responsabilidad de palabra y luego, en la práctica, le pidió al comprador que hiciera la limpieza.

El mérito, y el costo del mérito

AceMagic merece reconocimiento por nombrar por escrito los modelos afectados y por no fingir que el problema era un error de un reseñador externo. En una categoría donde la respuesta habitual a un defecto es el silencio seguido de un cambio de unidad, eso importa; es el matiz con el que abrió este artículo, y es genuino.

El costo es lo que el comunicado no contenía. No hay cronología forense publicada, ni ventana de fechas de producción, ni cifra de unidades afectadas, ni notificación proactiva a los compradores registrados, ni oferta de monitoreo de crédito para los propietarios cuyas contraseñas del navegador pudieron haber sido extraídas semanas o meses antes del comunicado público. Un balance justo del incidente de malware de AceMagic no es “AceMagic hizo lo correcto”; es “AceMagic dijo lo correcto, y los compradores hicieron el resto del trabajo”. Si compraste un AD08, AD15 o S1 en el periodo afectado y nunca reinstalaste Windows, lo prudente, dos años después, sigue siendo asumir que debes cambiar las credenciales de esa máquina. Esa es la versión de la historia que la mayoría de la cobertura cerró sin terminar, y es la versión que debe quedar registrada junto a la disculpa.