Ahora, una nueva publicación asegura que el investigador fue empleado de Microsoft, terminó despedido y transformó su conflicto con la compañía en una campaña de divulgación de vulnerabilidades zero-day. Parte de la historia puede comprobarse. Otra parte depende, por ahora, de su propio relato. Pero las consecuencias de esa guerra ya escaparon ampliamente de sus protagonistas.
Durante meses, uno de los episodios más extraños de la seguridad informática de 2026 tuvo un protagonista sin rostro.
Bajo los nombres Nightmare Eclipse y Chaotic Eclipse, un investigador comenzó a publicar vulnerabilidades desconocidas de Windows acompañadas, en varios casos, por código capaz de explotarlas. BlueHammer, RedSun, UnDefend, YellowKey, RoguePlanet, LegacyHive y ShieldBreak fueron apareciendo mientras el conflicto con Microsoft se hacía cada vez más público.
Ahora ese protagonista tiene nombre.
Según una publicación de International Cyber Digest, Nightmare Eclipse es Abdelhamid Naceri, un investigador de seguridad con un largo historial encontrando vulnerabilidades en Windows y, según su relato, exempleado de Microsoft.
La revelación cambia considerablemente la lectura de una historia que hasta ahora podía parecer simplemente la de un bug hunter furioso con una multinacional.
Porque Naceri no apareció de la nada.
El investigador existía mucho antes que Nightmare Eclipse
La trayectoria pública de Abdelhamid Naceri como investigador de seguridad puede verificarse años antes de los acontecimientos actuales.
La Zero Day Initiative de Trend Micro lo acredita como descubridor de múltiples vulnerabilidades de Windows. Entre ellas aparecen CVE-2021-26431, una vulnerabilidad de escalada de privilegios en Windows Update; CVE-2021-26426, en Windows User Profile Service; y CVE-2021-42280, relacionada con el servicio DiagTrack.
Su nombre también llegó a los medios en 2021 por InstallerFileTakeOver, un exploit que permitía pasar desde una cuenta estándar de Windows hasta privilegios SYSTEM. The Register confirmó entonces que su prueba de concepto funcionaba contra sistemas actualizados.
Ya entonces existían tensiones con Microsoft.
Naceri explicó públicamente que había dejado de informar determinadas vulnerabilidades anticipadamente como protesta por la reducción de las recompensas del programa de bug bounty de la compañía.
Es decir: la disputa sobre cómo Microsoft trata a los investigadores externos no comenzó en 2026.
Pero algo cambió radicalmente este año.
De investigador a Nightmare Eclipse
A comienzos de abril apareció BlueHammer.
El exploit aprovechaba el comportamiento de Microsoft Defender para conseguir una escalada local de privilegios. Desde una cuenta sin privilegios, determinadas condiciones permitían terminar ejecutando código como SYSTEM, uno de los niveles de privilegio más altos de Windows.
No quedó simplemente como una demostración académica.
Huntress detectó posteriormente herramientas asociadas a Nightmare Eclipse dentro de una intrusión real. BlueHammer, RedSun y UnDefend aparecieron en una cadena de ataque que comenzó aparentemente mediante acceso comprometido a una VPN FortiGate.
CISA terminó además reconociendo explotación activa de BlueHammer, incluyendo su utilización en ataques de ransomware.
La consecuencia es importante para entender todo lo que vino después.
Lo que empezó como una pelea entre un investigador y Microsoft terminó colocando herramientas ofensivas funcionales en manos de atacantes reales.
La versión de Naceri
Aquí comienza la parte de la historia que todavía requiere cautela.
International Cyber Digest afirma haber identificado a Nightmare Eclipse como Abdelhamid Naceri y asegura que su conflicto tiene raíces mucho más profundas que una disputa por recompensas de bug bounty.
Según ese relato, Naceri trabajó para Microsoft y fue posteriormente despedido. La compañía habría explicado la terminación mediante motivos que él considera vagos y nunca habría aclarado completamente el supuesto incidente de seguridad que habría originado la decisión.
Naceri sostiene además que, después del despido, un vicepresidente de Microsoft le comunicó que sería bloqueado para futuras contrataciones dentro de la compañía y recibiría una referencia laboral negativa.
El contexto migratorio habría convertido el despido en algo especialmente grave: según su versión, estaba a pocos meses de conseguir residencia permanente en la Unión Europea.
International Cyber Digest también afirma que el conflicto terminó en los tribunales alemanes y que Microsoft habría ofrecido 55.000 euros más aproximadamente un año de salario para cerrar el litigio, mientras Naceri asegura haber gastado más de 200.000 dólares continuando el proceso.
Ojo Cibernético no pudo verificar independientemente estos elementos del conflicto laboral ni acceder a documentación judicial que permita confirmar esas cifras. Por eso deben considerarse, por ahora, parte de la versión presentada por Naceri y la publicación que reveló su identidad.
Lo que sí puede comprobarse independientemente es el conflicto posterior entre Nightmare Eclipse y Microsoft.
Microsoft contra Nightmare Eclipse
En mayo, Microsoft rompió públicamente el silencio.
La compañía criticó las divulgaciones no coordinadas y sostuvo que las vulnerabilidades publicadas por Nightmare Eclipse no habían sido reportadas previamente mediante sus canales oficiales. Microsoft calificó este tipo de divulgación como injustificable debido al riesgo que generaba para sus clientes.
La tensión aumentó cuando Microsoft mencionó a su Digital Crimes Unit y la posibilidad de colaborar con autoridades frente a actividades que provocaran daños.
Una parte de la comunidad de investigadores interpretó el mensaje como una amenaza contra Nightmare Eclipse.
La reacción fue suficientemente fuerte como para que Microsoft aclarara días después que no tenía intención de perseguir legalmente a investigadores de seguridad que actuaran de buena fe.
Pero para entonces la relación estaba completamente destruida.
Nightmare Eclipse siguió publicando vulnerabilidades.
Y siguieron apareciendo zero-days
En junio llegó RoguePlanet, otra vulnerabilidad de Microsoft Defender capaz de permitir escalada hasta SYSTEM en sistemas Windows actualizados. Microsoft reconoció que estaba investigando el problema y terminó corrigiéndolo.
En julio apareció LegacyHive, relacionada con Windows User Profile Service. Esta vez el propio investigador publicó deliberadamente una prueba de concepto limitada que requería credenciales adicionales, dificultando su utilización inmediata por atacantes. Microsoft terminó asignándole CVE-2026-62832 y corrigiéndola.
En agosto apareció otra.
ShieldBreak permitía nuevamente alcanzar privilegios SYSTEM y, según el investigador, eludía la corrección implementada anteriormente por Microsoft para RoguePlanet.
Otros investigadores comprobaron que el exploit funcionaba.
A esta altura ya no estamos frente a un descubrimiento aislado.
Estamos frente a una persona con un conocimiento extraordinariamente profundo de los mecanismos internos de Windows demostrando, una vulnerabilidad detrás de otra, su capacidad para romper componentes fundamentales del sistema operativo.
El problema incómodo de la divulgación responsable
Sería sencillo convertir esta historia en una narrativa de héroes y villanos.
También sería un error.
Si la versión de Naceri sobre su relación laboral con Microsoft es correcta, podría existir una historia seria sobre cómo una de las compañías tecnológicas más poderosas del mundo gestionó a un empleado altamente especializado, su situación migratoria y posteriormente el conflicto con él.
Microsoft debería responder esas acusaciones.
Pero ninguna injusticia laboral transforma automáticamente la publicación de exploits funcionales contra sistemas sin parchear en una acción inocua.
Una vulnerabilidad zero-day publicada no golpea solamente a Microsoft.
Golpea a hospitales, empresas, administraciones públicas, infraestructuras críticas y millones de organizaciones que ejecutan Windows.
Y en este caso ya existe evidencia de que herramientas publicadas por Nightmare Eclipse abandonaron el laboratorio y aparecieron dentro de ataques reales.
Ese dato hace imposible reducir la discusión a una simple reivindicación contra una corporación.
Pero Microsoft tampoco puede reducirlo a “divulgación irresponsable”
Existe otro riesgo en la interpretación del caso.
Presentar a Nightmare Eclipse únicamente como un investigador irresponsable permite ignorar una pregunta bastante más incómoda:
¿cómo llegó la relación entre uno de los investigadores con mayor capacidad demostrada para encontrar vulnerabilidades en Windows y Microsoft hasta este punto?
La comunidad de seguridad reaccionó fuertemente cuando Microsoft endureció públicamente su posición. No porque exista consenso en favor de publicar zero-days sin coordinación, sino porque muchos investigadores reconocieron problemas propios en su relación con el Microsoft Security Response Center.
El sistema de divulgación responsable funciona sobre algo mucho menos técnico que un CVE o un exploit: confianza.
El investigador confía en que la empresa estudiará seriamente el reporte, reconocerá su trabajo y corregirá el problema.
La empresa confía en que el investigador le dará tiempo suficiente para proteger a sus usuarios antes de hacer pública la vulnerabilidad.
Cuando cualquiera de las dos partes rompe ese contrato, el mecanismo empieza a fallar.
Cuando ambas consideran que la otra lo rompió primero, aparece algo parecido a Nightmare Eclipse.
Un riesgo sistémico
Hay además una dimensión todavía más importante.
Windows no es simplemente un producto comercial.
Está presente en gobiernos, bancos, hospitales, empresas, redes industriales y organizaciones estratégicas de prácticamente todos los países. Microsoft Defender forma parte, por defecto, de una enorme cantidad de esos equipos.
Eso convierte la seguridad de Windows en una cuestión de infraestructura digital global.
Y revela una dependencia incómoda: una disputa entre una corporación estadounidense y un único investigador puede terminar modificando el riesgo informático de organizaciones situadas a miles de kilómetros que no participaron de ese conflicto y tienen escasa capacidad para influir sobre él.
La historia de Nightmare Eclipse es, por supuesto, la historia de Abdelhamid Naceri y Microsoft.
Pero también es una demostración bastante brutal de cómo funciona nuestra infraestructura digital.
Una persona descubre una vulnerabilidad. Una empresa controla el producto. Ambos entran en conflicto. El exploit aparece públicamente. Criminales lo incorporan a sus operaciones.
Y el resto del mundo instala el parche.
Cuando existe semejante concentración tecnológica, una pelea privada puede convertirse rápidamente en un problema público.
Tal vez esa sea la parte más importante de esta historia.