La Dirección General de Comercio y Consumo del Gobierno de Cantabria ha alertado sobre un fraude en WhatsApp que utiliza cuentas de personas conocidas para pedir dinero con urgencia. Los ciberdelincuentes se hacen pasar por familiares, amigos u otros contactos de confianza y plantean situaciones que, supuestamente, requieren una transferencia inmediata.

La modalidad presenta una dificultad añadida: el mensaje puede proceder de una cuenta legítima de WhatsApp que los delincuentes comprometieron antes. La víctima no siempre verá un número desconocido, un enlace sospechoso ni errores de redacción que permitan identificar con facilidad una estafa.

Comercio y Consumo ha advertido de que la confianza con la persona suplantada puede llevar a actuar de forma impulsiva. “Cuando recibimos en el teléfono móvil una petición de dinero de un familiar o de un amigo, la confianza puede hacer que actuemos de manera impulsiva, especialmente si se nos transmite que existe una situación urgente”, ha señalado el departamento autonómico.

La urgencia debe despertar sospechas

Entre las señales de alerta figuran las solicitudes inesperadas de dinero, sobre todo cuando incluyen una petición de transferencia inmediata. También conviene desconfiar si quien escribe asegura que no puede atender una llamada. La recomendación de la Dirección General es no enviar dinero sin confirmar antes la identidad de la persona que lo solicita. Esa comprobación debe hacerse mediante una llamada telefónica u otro canal independiente de WhatsApp. “Es fundamental detenerse unos minutos y comprobar la petición mediante una llamada telefónica o cualquier otro canal independiente antes de efectuar el pago”, ha insistido Comercio y Consumo.

Las explicaciones confusas o incoherentes sobre el destino del dinero constituyen otro indicio. Lo mismo ocurre si el contacto facilita una cuenta bancaria desconocida o distinta de la que había utilizado habitualmente. El mensaje puede llegar dentro de un chat frecuente, una circunstancia que dificulta detectar el engaño.

También se aconseja revisar los dispositivos vinculados y cerrar las sesiones que no se reconozcan, actualizar el teléfono y WhatsApp a las últimas versiones disponibles, activar la verificación en dos pasos y conservar capturas de pantalla u otras pruebas del incidente. Si ya hubo un perjuicio económico, la indicación es contactar cuanto antes con la entidad bancaria y presentar una denuncia ante la policía.

Algunas intrusiones pueden producirse sin pulsar enlaces

El Instituto Nacional de Ciberseguridad (INCIBE) ha informado de incidentes vinculados con la explotación de vulnerabilidades ya corregidas en versiones antiguas del sistema operativo iOS y de WhatsApp. Por ese motivo, el Gobierno cántabro ha pedido a quienes usan iPhone que revisen si el sistema operativo y la aplicación de mensajería están actualizados.

Parte de estos casos ha recibido la denominación de ataques zero-click o de “cero interacción”. En determinadas circunstancias, el usuario no necesita abrir un enlace, descargar un archivo de forma manual ni facilitar códigos de verificación para que su cuenta pueda quedar comprometida.

Si alguien sospecha que su cuenta de WhatsApp ha sido intervenida, debe avisar de inmediato a familiares, amigos y otros contactos por llamada, SMS o correo electrónico. El objetivo es impedir que los delincuentes obtengan pagos o información personal de personas que confían en la cuenta afectada. El Gobierno de Cantabria ha recordado que las técnicas de los ciberdelincuentes cambian de forma constante y ha pedido desconfiar de los mensajes que intenten generar miedo, presión o sensación de urgencia.

España ha registrado ante la Agencia Española de Protección de Datos (AEPD) la primera notificación de una brecha de datos personales en la que el ciberataque habría sido ejecutado mediante un agente de inteligencia artificial (IA) conectado a un conocido modelo de lenguaje. El sistema fue utilizado para desarrollar de forma autónoma distintas fases del ataque hasta conseguir modificar datos personales y acceder a facturas.

La AEPD informó sobre el caso y señaló que todavía debe analizarse el incidente. Tampoco ha revelado qué modelo de lenguaje se utilizó, cuántas personas pudieron verse afectadas ni qué información concreta fue modificada o quedó expuesta.

El organismo destaca que se trata del primer incidente de estas características comunicado oficialmente ante la autoridad española. Esto no significa que sea el primer ciberataque realizado con ayuda de IA que haya ocurrido en España, sino el primero que ha sido notificado a la AEPD bajo estas circunstancias.

El agente de IA buscó vulnerabilidades y accedió a una aplicación

Según la información proporcionada por la organización afectada, una tercera persona utilizó un agente de IA para llevar a cabo diferentes etapas del ataque.

El sistema comenzó buscando vulnerabilidades en archivos genéricos. Posteriormente consiguió iniciar sesión correctamente en una aplicación. Una vez dentro, el agente continuó examinando de manera autónoma el entorno en busca de nuevos fallos de seguridad.

Después de localizar otra vulnerabilidad, habría conseguido modificar datos personales y acceder a facturas almacenadas en el sistema.

Aunque el agente actuó de forma autónoma durante parte del proceso, la AEPD aclara que detrás del ataque seguía existiendo una persona. Fue esta quien seleccionó el objetivo y puso en funcionamiento el agente de IA.

La AEPD aclara que el modelo de IA no fue hackeado

La agencia también hace una precisión importante sobre el incidente. El hecho de que el atacante utilizase un determinado modelo de IA no implica que el propio modelo o la infraestructura de su proveedor hayan sido comprometidos.

Tampoco significa que la herramienta utilizada hubiese sido diseñada específicamente para realizar actividades maliciosas. En este caso, la IA habría sido empleada por un tercero como parte de un proceso de ataque contra los sistemas de una organización.

La AEPD todavía debe determinar el alcance de la brecha y analizar los detalles técnicos proporcionados en la notificación.

Los agentes de IA cambian la velocidad de los ataques

Para la AEPD, el caso supone una señal de que los ataques apoyados en agentes de IA han dejado de ser únicamente una posibilidad teórica. No obstante, la agencia advierte de que una sola notificación no permite afirmar que exista una tendencia generalizada.

La principal diferencia frente a algunos ataques tradicionales está en el nivel de automatización. Un agente puede realizar determinadas tareas de búsqueda, análisis y explotación de forma mucho más rápida y con una intervención humana limitada.

Por este motivo, la AEPD recomienda que las empresas incluyan expresamente este tipo de escenarios en sus análisis de riesgos. Las organizaciones deberían contemplar que la IA puede modificar la probabilidad, velocidad y alcance de una brecha de datos.

Las empresas deberán revisar permisos y sistemas de respuesta

La agencia aconseja prestar especial atención a las identidades digitales y a los permisos asignados a cada cuenta. Una identidad con privilegios excesivos puede permitir que un agente, una vez dentro de un sistema, acceda rápidamente a diferentes recursos y alcance información sensible.

También recomienda revisar los tiempos de respuesta ante incidentes. La capacidad de automatización de estos sistemas obliga a contar con mecanismos capaces de detectar, contener y responder a una amenaza con suficiente rapidez.

La AEPD mantiene que la supervisión humana sigue siendo imprescindible, pero considera que ya no es suficiente por sí sola. Las empresas deberán combinarla con sistemas de detección y respuesta capaces de actuar a una velocidad acorde con las nuevas capacidades de los agentes de IA.

Investigadores de Zimperium identificaron Mantax Otax, una nueva variante de malware para dispositivos Android que combina en una sola herramienta las funciones de robo de información, troyano de acceso remoto, puerta trasera y programa de cifrado tipo ransomware. La combinación de estas cuatro capacidades en un mismo software es poco frecuente, y resulta aún más inusual que el objetivo sean teléfonos móviles.

La empresa de seguridad, que publicó un informe exhaustivo sobre el hallazgo, atribuye el desarrollo de Mantax Otax a un ciberdelincuente indonesio. Las víctimas se concentran en Indonesia, aunque se desconoce el número exacto de dispositivos infectados y si la campaña apunta principalmente a usuarios corporativos o a particulares.

El malware circula fuera de las tiendas oficiales de aplicaciones

Mantax Otax se distribuye como un archivo APK independiente, lo que le permite propagarse a través de tiendas de aplicaciones de terceros, canales de Telegram, foros y redes sociales. No se registró presencia del malware en repositorios oficiales como Google Play Store o Galaxy Store de Samsung. Zimperium considera además probable que la distribución también se realice mediante correos electrónicos de phishing.

Los teléfonos con versiones antiguas del sistema operativo son los más expuestos. En dispositivos con Android 9 o versiones anteriores, los atacantes pueden explotar todas las funciones del programa malicioso. En cambio, los equipos con Android 10 en adelante cuentan con una protección parcial gracias a las restricciones de almacenamiento con ámbito que introdujo el sistema operativo.

“Por el contrario, en los dispositivos modernos con Android 10 o superior, la eficacia del malware se ve seriamente obstaculizada por las defensas nativas del sistema operativo, en concreto por las restricciones de almacenamiento con ámbito”, explicaron los investigadores de Zimperium.

“Debido a estas reglas de aislamiento, el ransomware se ve obligado a escanear únicamente el directorio de archivos externos localizados de la aplicación, lo que reduce drásticamente su alcance y disminuye el volumen de archivos de usuario accesibles”, añadieron.

Según la compañía, los dispositivos más recientes, junto con los usuarios de sus soluciones Mobile Threat Defense (MTD) y Runtime Application Protection (zDefend), quedan protegidos a nivel de software frente a esta amenaza.

Como ocurre con buena parte del malware para Android, Mantax Otax depende de que el usuario le otorgue un amplio conjunto de permisos antes de activarse por completo. El programa solicita en primer lugar privilegios de administrador del dispositivo y, a partir de ahí, se asigna a sí mismo capacidades que van desde el acceso a mensajes SMS hasta contactos, audio e imágenes. Posteriormente pide permisos de accesibilidad, con los que obtiene el control total del equipo comprometido.

Roba datos personales y cifra archivos para pedir un rescate

Una vez instalado, el malware sustrae historial de navegación, contactos, registros de llamadas, mensajes SMS, notificaciones, archivos, contenido multimedia de la galería, información de la cuenta de Google, especificaciones técnicas del dispositivo, datos de ubicación e inventarios de aplicaciones instaladas. También accede a información de WhatsApp, como mensajes y datos de perfil, y en el caso de Telegram, llega incluso a obtener los PIN de la pantalla de bloqueo.

El programa funciona además como herramienta de monitoreo remoto: captura pantallas, graba la actividad de la pantalla o la transmite en vivo a los atacantes, y toma fotografías con las cámaras frontal y trasera del equipo. Zimperium no reportó capacidad de grabación de audio a través del micrófono.

La fase final del ataque consiste en el cifrado de los archivos de la víctima mediante el algoritmo AES. El malware elimina los archivos originales, añade la extensión “.enc” a las copias cifradas y despliega una interfaz de chat donde las víctimas pueden comunicarse directamente con los atacantes para negociar el pago de un rescate a cambio de recuperar el acceso a sus datos.

La herramienta continúa en desarrollo activo

Zimperium detectó dos versiones distintas del malware, una de las cuales constituye una evolución de la anterior. “Ha modificado su comportamiento de tráfico de red para utilizar WebSockets y ha introducido un conjunto de nuevos comandos”, señalaron los investigadores de la compañía.

Un dato que dificulta el análisis de esta campaña es que se desconoce qué tipo de aplicación legítima suplanta Mantax Otax para engañar a los usuarios e instalarse en sus dispositivos. Esta información resulta clave para determinar el perfil de las víctimas, dado que los operadores de ransomware suelen priorizar ataques contra empresas por sobre usuarios particulares, ya que la interrupción de operaciones comerciales genera mayores pérdidas económicas y, por tanto, más incentivos para el pago del rescate.

Springfield Public Schools (SPS) suspendió las clases durante cuatro días en Springfield, Massachusetts, tras detectar un incidente cibernético de nivel 4 que bloqueó el acceso a plataformas necesarias para el funcionamiento de los establecimientos. La medida afectó a 23.574 alumnos del distrito entre el martes 8 y el viernes 11 de septiembre de 2026. El regreso está previsto para el lunes 14 de septiembre, aunque parte de las herramientas digitales permanecerá limitada. Según la Ciudad de Springfield, el cierre respondió a la necesidad de resguardar la operación escolar y garantizar el acceso del personal a información esencial.

El incidente dejó inaccesible el sistema de registros médicos estudiantiles, una plataforma que utilizan las enfermeras para consultar tratamientos, alergias y otra información de salud. De acuerdo con la Ciudad de Springfield, el distrito consideró que no podía retomar las clases hasta contar con condiciones que permitieran atender esas necesidades. La autoridad municipal indicó además que un grupo externo obtuvo acceso a la red de SPS y bloqueó determinados programas en línea utilizados por el sistema educativo.

La investigación involucra a autoridades federales, estatales y locales, según el comunicado oficial del distrito. La institución todavía no determinó si datos personales de alumnos o empleados fueron comprometidos. La interrupción comenzó durante las primeras semanas del ciclo lectivo y obligó a reorganizar actividades académicas, servicios administrativos y comunicaciones con las familias. Según el Departamento de Educación Primaria y Secundaria de Massachusetts, SPS es uno de los mayores distritos públicos del estado, con matrícula desde preescolar hasta el último año de secundaria.

¿Por qué cerraron las escuelas públicas de Springfield por el ciberataque?

La razón principal del cierre fue la pérdida de acceso a registros médicos de estudiantes, según las autoridades. La documentación institucional señala que las enfermeras no podían consultar información necesaria para administrar medicamentos, verificar alergias o atender otras situaciones vinculadas con la salud de los alumnos. De acuerdo con la Ciudad de Springfield, esos sistemas forman parte de las herramientas indispensables para el funcionamiento seguro de cada escuela.

El distrito anunció inicialmente la suspensión de actividades para el martes 8 de septiembre. La medida incluyó a todos los establecimientos y a las actividades extracurriculares programadas para esa jornada. Según el primer aviso de Springfield Public Schools, la oficina central permaneció abierta, aunque algunos servicios podían presentar interrupciones, entre ellos las líneas telefónicas. El comunicado también explicó que el cierre permitiría organizar alternativas para tareas no esenciales que dependen de sistemas digitales, como el registro de asistencia.

Las clases permanecieron suspendidas el miércoles 9 de septiembre ante la continuidad del problema. La administración municipal informó que los sistemas afectados impedían el desarrollo normal de operaciones necesarias para los colegios. Según la Ciudad de Springfield, el distrito difundió entonces una serie de preguntas y respuestas para explicar el alcance conocido de la situación, las medidas de prevención y la forma en que las familias recibirían nuevas actualizaciones.

¿Cuándo comenzó el incidente cibernético en Springfield Public Schools?

Las primeras anomalías fueron detectadas durante la noche del martes 1 de septiembre, de acuerdo con el informe oficial. SPS señaló que al principio hubo interrupciones intermitentes, sin precisar cuáles fueron los servicios alcanzados en esa etapa. La situación cambió durante la noche del sábado 5 de septiembre, cuando el distrito identificó tráfico cibernético malicioso dentro de su infraestructura tecnológica. Según la Ciudad de Springfield, esa escalada activó el plan institucional de respuesta ante incidentes.

Las autoridades describieron el caso como un incidente grave de nivel 4 en todo el distrito. La clasificación corresponde a la evaluación interna de SPS y refleja la extensión de la interrupción sobre sistemas necesarios para gestionar actividades escolares. Según la Ciudad de Springfield, un grupo externo obtuvo acceso a la red y bloqueó programas en línea, aunque el comunicado no informó qué método utilizó ni identificó a personas, organizaciones o países vinculados con el ataque.

La información oficial tampoco confirma que se trate de un ataque con pedido de rescate. Tampoco establece que haya existido extracción de archivos o difusión de datos. Según la Ciudad de Springfield, el alcance del incidente continúa bajo investigación y las autoridades comunicarán información adicional cuando los equipos técnicos y los organismos participantes puedan establecer nuevos hechos. Hasta el 11 de septiembre, no se había emitido una alerta pública dirigida a personas cuyos datos pudieran haber sido expuestos.

¿Qué sistemas quedaron afectados por el ataque informático?

El sistema de salud escolar fue uno de los servicios cuya interrupción fue confirmada por el distrito. Según la Ciudad de Springfield, la falta de acceso a esos archivos impidió que las enfermeras revisaran antecedentes relacionados con medicación, alergias y otras condiciones de los alumnos. Las autoridades no difundieron un detalle completo de las bases de datos afectadas ni precisaron si los archivos médicos estaban almacenados en infraestructura propia o en una plataforma contratada.

El distrito también informó que varias operaciones administrativas y educativas requerirán métodos alternativos después del retorno a las aulas. De acuerdo con la Ciudad de Springfield, los docentes y los estudiantes podrán recurrir a libros, cuadernos y hojas de papel mientras SPS recupera sus plataformas de enseñanza y gestión. La institución aclaró que el regreso presencial no implica que todos los recursos tecnológicos estén operativos.

Las autoridades ordenaron al personal y a los alumnos con dispositivos entregados por el distrito que no utilizaran las redes de SPS hasta nuevo aviso. Según el comunicado de Springfield Public Schools, esa indicación forma parte de las medidas aplicadas mientras se evalúan los sistemas y se restauran los servicios. La institución no precisó cuándo se levantará esa restricción ni qué equipos o aplicaciones podrían volver a estar disponibles primero.

¿Cuándo vuelven a clases los estudiantes de Springfield?

Los alumnos deben volver a las escuelas el lunes 14 de septiembre, tras los cierres del martes 8, miércoles 9, jueves 10 y viernes 11. Según la Ciudad de Springfield, el último día de la suspensión para estudiantes quedó destinado a una jornada de capacitación y preparación para los docentes. Esa actividad sustituyó a otra instancia de desarrollo profesional que estaba prevista previamente en el calendario escolar.

La superintendente Sonia Dinnall indicó que el distrito busca preparar a los establecimientos para recibir a los alumnos bajo procedimientos temporales. “Nuestra prioridad es asegurarnos de que, cuando nuestros estudiantes regresen, nuestras escuelas estén preparadas para recibirlos de manera segura”, afirmó Dinnall, según el comunicado difundido por la Ciudad de Springfield. La declaración no incluyó un plazo para la recuperación completa de las plataformas afectadas.

El retorno previsto para el 14 de septiembre estará acompañado por ajustes en la rutina escolar, de acuerdo con la información institucional. SPS anticipó que parte de los procesos podrá completarse de forma manual mientras se normalizan los recursos tecnológicos. Según la Ciudad de Springfield, el distrito mantendrá la comunicación con familias y empleados mediante mensajes de texto, comunicaciones de cada escuela y sus canales institucionales.

¿Cuántos estudiantes están afectados por el cierre de escuelas en Springfield?

El sistema escolar público de Springfield tenía 23.574 estudiantes matriculados en el ciclo 2025-2026, según el Departamento de Educación Primaria y Secundaria de Massachusetts. La cifra incluye alumnos de preescolar, primaria y secundaria, distribuidos en 64 escuelas del distrito. El volumen de matrícula explica el alcance operativo de una interrupción que afecta tanto a la enseñanza como a los registros de asistencia, salud y administración.

El cierre implicó que miles de familias modificaran sus rutinas durante una semana lectiva. La ciudad habilitó además la entrega de comidas para alumnos el jueves 10 y el viernes 11 de septiembre. Según la Ciudad de Springfield, los alimentos estuvieron disponibles en modalidad de retiro entre las 11:30 y las 13:00, una medida destinada a sostener el servicio de alimentación escolar mientras los edificios permanecían cerrados para estudiantes.

Las familias deberán seguir las comunicaciones oficiales de cada establecimiento antes del regreso del lunes 14 de septiembre. La investigación continuará sobre el acceso externo a la red, la posible afectación de datos personales y el restablecimiento de los sistemas. Según la Ciudad de Springfield, SPS avanzará con una recuperación gradual de sus herramientas digitales y mantendrá procedimientos temporales hasta que pueda reanudar plenamente sus operaciones.

En los últimos años, lo que ya se conocía como ciberataque se ha vuelto cada vez más diverso y sofisticado. Una de las principales culpables de esta evolución es la inteligencia artificial.

Si bien la IA es usada por millones de internautas para responder consultas de cualquier tema o como asistente de tareas cotidianas, muchas de sus mayores capacidades están siendo explotadas para potenciar actos delictivos. Por ejemplo, las antiguas campañas de correos electrónicos engañosos (phishing) que resultaban muy obvios y generales, ya que contenían mensajes con faltas ortográficas, nombres de entidades mal escritos y alertas inverosímiles que solicitaban información privada.

“Eran correos muy obvios y generales. Ahora, los nuevos ataques son más personalizados debido a la información del usuario disponible en internet. Entonces con la IA se hace más fácil diseñar correos atractivos y con mucho sentido para la víctima”, explica Pedro Romero, oficial de Ciberseguridad y Privacidad de Datos de Huawei para Colombia y Ecuador.

De esta manera, una persona puede recibir un correo aparentemente proveniente de una empresa de mensajería con detalles precisos del producto que está esperando y datos como su dirección de domicilio, por lo que es más probable que acceda a brindar la información que se le solicita.

El phishing es solo la punta del iceberg. Los ciberdelincuentes que se enfocan en las empresas ejecutan ataques de malware para robar información valiosa, ya sean datos financieros de la compañía o de los clientes. Antes, las organizaciones se mantenían protegidas de estas amenazas mediante su propio equipo de especialistas en ciberseguridad, pero la inteligencia artificial lo ha vuelto más complicado.

“Estos programas han aprendido a reconocer cuando están siendo monitoreados y empiezan a cambiar su comportamiento e incluso a veces se autodestruyen para no dejar rastro de su origen”, afirma.

Defensa con IA y respaldo de información

Sin embargo, esta tecnología también puede ser usada para la defensa, ya que la IA “reconoce patrones y comportamientos de usuarios”. En ese sentido, un sistema automatizado de ciberseguridad puede detectar acciones internas que no corresponden a miembros de la organización.

Desde la identificación de movimientos sospechosos hasta la confirmación de una amenaza, según detalla Romero, normalmente toma alrededor de cuatro minutos para un equipo humano. En contraste, un sistema de defensa con IA puede ejecutar este diagnóstico en solo 10 segundos.

Por lo tanto, se trata de una capa de seguridad que antes tampoco existía y que no se puede ignorar. Aún así, Romero no le resta importancia a la concientización de los miembros de la organización en cuanto a la ciberseguridad. No han sido pocos los casos en los que empleados han expuesto los datos de su empresa por ser víctimas de phishing u otra artimaña de ingeniería social.

No obstante, debido al imparable avance de los modelos de inteligencia artificial, no es realista esperar que los sistemas de una compañía siempre serán invulnerables. Por ende, una empresa debe estar preparada para que suceda.

“La cuestión no es si me van a atacar o no. La cuestión cuándo y con qué me van a atacar”, sostiene.

En esa línea, resalta que una empresa debe tener un plan de respaldo de información. “No es lo mismo perder la información de cinco días que perder la de un año”. En este último caso, se trataría de un escenario nefasto. “El 60% de las empresas que sufre un ataque de ransomware (secuestro de información) quiebran. No porque no puedan continuar el negocio, sino que pierden la confianza de los clientes”, anota.

Dejar ciertas funciones del teléfono activas al salir de casa expone al usuario a robos de datos personales y credenciales bancarias en lugares como restaurantes, centros comerciales o aeropuertos. Especialistas en ciberseguridad advierten que el emparejamiento automático con redes abiertas y otros dispositivos facilita intrusiones silenciosas que pueden pasar inadvertidas durante días.

La Comunidad de Madrid y el Instituto Nacional de Ciberseguridad (INCIBE), de España, señalan que estos hábitos cotidianos representan una de las principales puertas de entrada para los ciberdelincuentes en espacios públicos.

Las redes WiFi abiertas imitan nombres de hoteles y cafeterías

El riesgo principal del WiFi activado fuera del hogar radica en la conexión automática a redes desconocidas, muchas de ellas creadas específicamente para engañar a los usuarios. Estas redes suelen replicar nombres similares a los de establecimientos reales, como cafeterías, aeropuertos u hoteles, lo que genera confusión y facilita conexiones involuntarias.

“Podemos creer que pertenecen a un hotel o a un restaurante, pero que en realidad hayan sido creadas por un ciberatacante para acceder a nuestros datos”, advirtió la Comunidad de Madrid.

Una vez establecida la conexión, los hackers pueden interceptar la información que circula por la red: mensajes, contraseñas y datos bancarios quedan expuestos si el teléfono se conecta de forma automática sin que el usuario lo perciba.

Del Bluetooth activado al Bluesnarfing

El Bluetooth activo en espacios públicos incrementa el riesgo de sufrir un ataque conocido como Bluesnarfing, técnica que explota fallos en los protocolos de emparejamiento entre dispositivos. Según explicó el INCIBE, estos protocolos permiten la conexión entre aparatos, pero pueden presentar errores de diseño o implementación que dan lugar a accesos no autorizados a archivos, contactos y cuentas en línea.

El alcance de este tipo de ataque puede extenderse hasta 15 metros de distancia, lo que amplía considerablemente el radio de exposición en lugares concurridos.

La intrusión puede pasar completamente desapercibida para la víctima. El INCIBE detalla que los indicios más habituales incluyen bloqueos inesperados del dispositivo, mensajes enviados sin consentimiento del usuario y un aumento notable en el consumo de batería. La aparición de conexiones desconocidas en el historial del Bluetooth, junto con movimientos extraños en cuentas bancarias o redes sociales, constituye otra señal de alerta relevante.

El robo de datos puede derivar en fraudes financieros

Las consecuencias de estas intrusiones superan la simple vigilancia. El robo de información a través de estas técnicas puede derivar en fraudes financieros o accesos ilícitos a cuentas personales, según advirtieron los especialistas consultados.

“Si detectas inicios de sesión no reconocidos, compras no autorizadas o movimientos sospechosos en tus cuentas bancarias o perfiles en línea, podría ser consecuencia de la extracción de datos mediante Bluesnarfing”, señaló el INCIBE.

Si los atacantes logran obtener credenciales bancarias o datos de acceso a servicios digitales, la información sustraída puede usarse para suplantar la identidad, realizar transferencias sin autorización o venderse en mercados ilegales.

Acciones que reducen la exposición

La principal medida de prevención consiste en desactivar el WiFi y el Bluetooth al salir de casa, lo que evita la exposición innecesaria en espacios públicos. Según los expertos, esta acción reduce de forma directa la probabilidad de sufrir ataques de espionaje o robo de datos.

A esta recomendación se suma mantener actualizados el sistema operativo y las aplicaciones instaladas, dado que las actualizaciones suelen corregir fallos de seguridad que los atacantes podrían explotar.

El uso de conexiones VPN y la desactivación del modo visible en el Bluetooth aportan capas adicionales de protección frente a estas amenazas. La prevención depende, en gran medida, de modificar hábitos cotidianos vinculados al uso del teléfono en la vía pública.

Es innegable que los ataques cibernéticos están más que nunca al acecho en el ecosistema digital. Páginas web, aplicaciones y correos electrónicos de cualquier negocio están expuestos a esta amenaza. Sin embargo, existe un riesgo más frecuente y silencioso para las entidades financieras como bancos y billeteras digitales.

Según Atentus, una empresa dedicada al monitoreo y gestión de la experiencia digital, las entidades financieras pierden más tiempo de operación por fallas internas de sus propias plataformas que por ciberataques.

Jessica Gutiérrez, Country Manager de la compañía en México, dijo a Infobae que los cortes de servicio durante actualizaciones o mantenimientos ocurren con una frecuencia muy superior a la de los incidentes de seguridad y que su impacto acumulado en el negocio termina siendo mayor.

“Si hablamos a nivel negocio, te aseguro que la suma (de pérdidas) a nivel operativo es mayor que con un ciberataque en la historia de las entidades financieras”, afirmó Gutiérrez.

Los mantenimientos programados rara vez cumplen el horario prometido

Buena parte de los problemas de intermitencia en bancos y aplicaciones financieras se concentra en las ventanas de mantenimiento y actualizaciones de sistemas. Las áreas de tecnología suelen anunciar estas intervenciones en horarios de baja actividad, entre la medianoche y las cinco de la mañana, bajo el supuesto de que el impacto sobre los usuarios será mínimo.

Sin embargo, de acuerdo con la experiencia de monitoreo de Atentus, el patrón es distinto. “Pocas entidades llegan a cumplir con eso. Siempre, por dar un ejemplo, te dicen ‘va a ser de medianoche a cinco de la mañana’ y la mayoría llegan a tardarse mucho más”, explicó Gutiérrez.

La ejecutiva señaló que estas demoras se explican, en parte, porque las pruebas de calidad previas se realizan en ambientes controlados que no replican las condiciones reales de uso.

Ese desfase entre el entorno de prueba y el entorno productivo es la causa principal de que actualizaciones catalogadas como “sin impacto para el usuario” terminen por afectar funciones básicas. Entre ellas, Gutierrez identifica tres flujos críticos: el inicio de sesión o login, las transferencias dentro del mismo banco y las transferencias a terceros.

Las pruebas internas no reproducen el volumen real de usuarios

Gutiérrez explicó que muchas entidades cuentan con áreas de control de calidad (QA) que verifican los cambios antes de liberarlos, pero lo hacen con un número reducido de cuentas de prueba y en condiciones que no representan el tráfico real de la plataforma. Cuando la actualización pasa al ambiente productivo, el volumen de usuarios conectados simultáneamente supera lo que esas pruebas lograron simular.

Lo que propone su compañía es un servicio de monitoreo continuo, disponible las veinticuatro horas, que se basa en la simulación de usuarios sin llegar a replicar el volumen total de tráfico de una plataforma.

Según Gutiérrez, ese esquema permite identificar tendencias de degradación en el servicio antes de que se conviertan en una caída generalizada. La compañía diferencia sus mediciones por sistema operativo, tipo de conectividad y proveedor de red, lo que le permite construir lo que Gutiérrez describe como un “mini universo” de condiciones de uso reales.

La ejecutiva definió este enfoque como proactivo, no predictivo: “Empezamos a ver una tendencia y sobre esa accionamos. No esperamos a que haya una caída para actuar”.

La pérdida de confianza por fallas operativas no tiene retorno

Para Gutiérrez, la comparación entre ciberataques y fallas operativas responde a la frecuencia con la que ocurre cada tipo de incidente. Mientras algunos bancos no han sufrido nunca un ataque informático y otros lo han vivido de forma ocasional, los problemas de intermitencia pueden presentarse con una periodicidad mucho mayor, vinculada a los ciclos de actualización y momentos de alta demanda como el pago de salarios en las quincenas.

En cuanto al costo económico, recuperarse de un ciberataque demanda contratación de un servicio externo, lo que significa un pago único. En contraste, los problemas de intermitencia generan pérdida de usuarios y, por lo tanto, una reducción de ingresos constante a largo plazo.

Según su lectura, un incidente de seguridad genera un daño reputacional puntual frente a organismos reguladores o el mercado, pero una mala experiencia de uso sostenida en el tiempo erosiona la relación directa con el cliente.

La ejecutiva citó una proporción habitual en la industria de experiencia de usuario: por cada persona que presenta una queja formal por un problema en una aplicación, otras ocho optan por no reportarlo y simplemente reducen su interacción con el servicio. “Posiblemente se van a ir con alguno más (otra entidad financiera)”, advirtió Gutiérrez.

Dropbox comenzó a notificar esta semana a un número no especificado de usuarios que sufrieron un acceso no autorizado a sus cuentas, luego de que atacantes explotaran una falla en el sistema de autenticación de terceros de Lenovo. Según la compañía, la brecha ocurrió entre el 4 y el 21 de agosto y afectó a unas 5.000 cuentas.

El método utilizado por los atacantes no requería contraseñas ni credenciales robadas: bastaba con conocer la dirección de correo electrónico de la víctima. Con ese dato, los responsables crearon una identificación de Lenovo (Lenovo ID) y la asociaron a la cuenta de Dropbox correspondiente, lo que les permitió iniciar sesión sin necesidad de ningún otro dato de acceso.

Un fallo en el sistema de identidad

“Dropbox trabaja con Lenovo como proveedor de identidad para que los usuarios puedan iniciar sesión en sus cuentas de Dropbox mediante Lenovo IDs verificadas”, explicó la compañía en una carta enviada a las víctimas y publicada en la red social X, en la que detalló el mecanismo del ataque.

De acuerdo con un informe publicado por The CyberSec Guru, la falla de autenticación de Lenovo permitía registrar identificaciones con cualquier dirección de correo electrónico, sin verificar si esa persona controlaba realmente la casilla. Esto significa que las víctimas no necesitaban tener una cuenta previa de Lenovo para que los atacantes lograran acceder a su información en Dropbox.

Dropbox indicó que ya corrigió el error y que, tras contener el incidente e iniciar una investigación interna, cerca de un tercio de las 5.000 cuentas comprometidas muestra indicios de que sus archivos fueron vistos o descargados. La mayoría de las cuentas afectadas no tenía habilitada la autenticación de dos factores.

Usuarios detectaron la anomalía antes que la empresa

Según el informe, Dropbox descubrió el problema después de que varios usuarios comenzaran a reportar, a mediados de agosto, alertas de “nuevo inicio de sesión” en sus cuentas. Al menos un usuario notó la aparición de una opción “Continuar con SSO” vinculada a una dirección de correo que nunca había asociado a una cuenta de Lenovo.

Otros afectados detectaron perfiles falsos de Lenovo creados con nombres ficticios, entre ellos uno registrado como “John Madden”. En ese caso, el investigador de seguridad Yoni Levy, dueño de la cuenta real, logró recuperar y desactivar el perfil fraudulento mediante el proceso estándar de restablecimiento de contraseña, ya que el enlace de recuperación llegó directamente a su casilla legítima.

Además de las alertas de inicio de sesión —una de ellas rastreada en las cercanías de Dublín, Irlanda—, varios usuarios reportaron haber recibido códigos de verificación de Lenovo que nunca solicitaron.

Reclamos por la demora en la notificación

Aunque Dropbox cerró la ventana de ataque el 21 de agosto, numerosos usuarios expresaron en redes sociales su malestar por el tiempo que tardó la empresa en emitir las primeras alertas, casi una semana después del cierre del incidente. Otros usuarios señalaron que los registros de acceso, por sí solos, no permiten determinar con certeza si los documentos almacenados fueron efectivamente consultados.

“Algunos usuarios afectados tenían documentos fiscales de años atrás almacenados en Dropbox, lo que significa que números de seguro social y registros financieros estuvieron dentro de la ventana de compromiso, sin importar lo que muestren los registros actuales”, señaló The CyberSec Guru en su reporte.

Uno de los usuarios que recibió la carta de notificación escribió: “Dropbox está perma-baneado de mi vida y de cualquiera que me pida consejo. Increíble”.

Las medidas que tomó la empresa

Dropbox informó que, entre las acciones de contención, expiró de inmediato todas las sesiones iniciadas a través de Lenovo IDs y eliminó cualquier vínculo entre Lenovo y las cuentas de Dropbox afectadas. A partir de ahora, los usuarios deberán ingresar su contraseña de Dropbox antes de poder iniciar sesión mediante una Lenovo ID.

“Nadie puede acceder a tu cuenta de Dropbox a través de una Lenovo ID sin ingresar primero tu contraseña de Dropbox”, afirmó la compañía. Asimismo, recomendó a los usuarios afectados cambiar la contraseña de su cuenta de Dropbox, modificar también la contraseña de su cuenta de correo electrónico y activar la verificación en dos pasos como medida adicional de seguridad.

“Proteger tu cuenta e información es extremadamente importante para nosotros”, concluyó Dropbox, que puso a disposición de los usuarios afectados un correo electrónico para consultas adicionales.

El lanzamiento de X Money, la nueva plataforma de pagos integrada en la red social X, ha quedado bajo la sombra de un posible intento masivo de ataque contra los usuarios. La compañía ha alertado de una actividad sospechosa después de que numerosas personas recibieran correos electrónicos no solicitados para restablecer la contraseña de sus cuentas, lo que ha despertado temores sobre una campaña de phishing dirigida a obtener credenciales de acceso.

Por el momento, X no ha confirmado que las cuentas hayan sido vulneradas ni que los intentos hayan tenido éxito. La investigación continúa, mientras la principal hipótesis apunta a que los atacantes estarían utilizando de forma masiva el formulario de recuperación de contraseñas a partir de nombres de usuario disponibles públicamente.

El incidente adquiere una dimensión mayor por la reciente expansión de X Money, un servicio que permite almacenar fondos, enviar y recibir pagos y realizar transferencias entre particulares sin salir de la plataforma. El acceso a una cuenta comprometida podría, por tanto, tener consecuencias que van más allá de la exposición de mensajes o datos personales.

Correos inesperados de restablecimiento de contraseña

El problema comenzó a llamar la atención después de que distintos usuarios de X informaran haber recibido mensajes para restablecer su contraseña sin haber iniciado ellos mismos el proceso.

Recibir un correo de este tipo no significa automáticamente que una cuenta haya sido hackeada. Los sistemas de recuperación de contraseñas pueden activarse simplemente al introducir un nombre de usuario o una dirección de correo electrónico en el formulario correspondiente.

Sin embargo, la situación ha generado preocupación porque varios usuarios aseguran haber recibido posteriormente mensajes que aparentan ser comunicaciones legítimas de X, pero que incluyen enlaces falsos para cambiar la contraseña.

Esta combinación ha alimentado la sospecha de que podría tratarse de una campaña en varias fases. En una primera etapa, los atacantes provocarían una gran cantidad de solicitudes legítimas de restablecimiento para generar confusión y hacer creer a los usuarios que existe un problema de seguridad.

Posteriormente, podrían enviar mensajes fraudulentos imitando a la plataforma y aprovechar el temor para convencer a las víctimas de introducir sus credenciales en una página falsa.

El riesgo de un ataque de phishing

Este tipo de estrategia es especialmente peligrosa porque se apoya en un elemento real. Si un usuario acaba de recibir un mensaje auténtico relacionado con el restablecimiento de su contraseña, es más probable que considere legítimo un segundo correo que le pida actuar rápidamente.

Los enlaces fraudulentos pueden conducir a páginas diseñadas para imitar el aspecto de X. Si la víctima introduce allí su nombre de usuario y contraseña, esa información podría terminar directamente en manos de los atacantes.

Por ello, el principal riesgo no sería necesariamente el correo inicial de recuperación, sino la posible campaña de phishing que podría desarrollarse posteriormente.

Los usuarios han recurrido a la propia plataforma para advertir a otras personas y recomendar la activación de la autenticación en dos pasos como una capa adicional de protección. Esta medida puede impedir que un atacante acceda a una cuenta incluso si logra obtener la contraseña, ya que se requiere un segundo método de verificación.

El chatbot Grok también ha respondido a algunas publicaciones relacionadas con el incidente, compartiendo recomendaciones de seguridad para evitar posibles fraudes.

X Money aumenta las consecuencias de una cuenta comprometida

La alerta llega apenas después de la expansión de X Money. El servicio comenzó a funcionar en julio mediante un sistema limitado a invitaciones y el 31 de agosto amplió su disponibilidad a los suscriptores Premium y Premium+.

La plataforma busca convertir a X en un espacio donde los usuarios puedan gestionar pagos y transferencias entre particulares. Esta integración hace que la protección de las cuentas adquiera una importancia adicional.

Hasta ahora, la vulneración de una cuenta en una red social podía implicar la exposición de mensajes privados, publicaciones o información personal. Con la incorporación de funciones financieras, un acceso no autorizado podría tener consecuencias económicas directas.

Por este motivo, la compañía ha reaccionado públicamente al posible ataque. James Burnham, asesor jurídico general de X, afirmó que los equipos legales y de seguridad buscarán identificar y llevar ante la justicia a quienes intenten perjudicar a los usuarios de la plataforma.

Una investigación abierta

Por ahora, X continúa investigando el origen de los correos y no existen pruebas públicas de que los atacantes hayan conseguido acceder de forma masiva a las cuentas. Tampoco se ha confirmado oficialmente la existencia de una brecha en los sistemas de la compañía.

La recomendación para los usuarios es evitar utilizar los enlaces incluidos en mensajes inesperados y acceder directamente a la aplicación o al sitio oficial para comprobar cualquier alerta relacionada con la cuenta.

También resulta recomendable activar la autenticación en dos pasos y desconfiar de correos que generen urgencia para forzar un cambio inmediato de contraseña.

El incidente supone una primera prueba de seguridad para X Money en un momento delicado. La llegada de un sistema de pagos convierte a las cuentas de los usuarios en un objetivo potencialmente más atractivo para los ciberdelincuentes y aumenta la presión sobre la compañía para demostrar que puede proteger una plataforma que ahora aspira a gestionar no solo conversaciones y contenido, sino también dinero.

Un ciberataque contra Manchester Airports Group (MAG) expuso datos de 8,7 millones de viajeros de los aeropuertos de Manchester, Londres Stansted y East Midlands, en un incidente que coincidió con la temporada alta de viajes de verano y pone presión sobre los operadores aéreos en Reino Unido para reforzar sus defensas digitales.

Los piratas informáticos accedieron a información vinculada con reservas de aparcamiento, salas VIP, acceso prioritario y registros de WiFi en el aeropuerto. Según informó MAG, los datos obtenidos incluyen direcciones de correo, números de teléfono, matrículas de vehículos y códigos postales.

La compañía sostuvo que ni la seguridad de los pasajeros ni la seguridad aérea se vieron comprometidas en ningún momento. Agregó que las operaciones aeroportuarias no resultaron afectadas y que el sistema vulnerado no contenía datos bancarios ni de pago de los clientes.

El alcance del episodio se mide por el volumen de actividad de esas terminales: el año pasado pasaron por los tres aeropuertos 54 millones de pasajeros. El ataque se conoció cuando muchas familias regresan al Reino Unido antes del inicio del nuevo curso escolar.

Qué deben hacer los usuarios de estas aerolíneas afectadas por el ciberaqteue

En un correo enviado a sus clientes, el aeropuerto de Londres Stansted pidió extremar la precaución ante contactos inesperados. El mensaje dice: “Les instamos a que tengan especial cuidado con los correos, llamadas o mensajes de texto inesperados que afirmen provenir de nosotros”.

Agrega: “Nunca nos pondremos en contacto con ustedes de forma inesperada para solicitarles información bancaria o de pago. Pedimos disculpas por cualquier inconveniente o preocupación que esto pueda ocasionar”.

Entre las medidas clave que deben implementar los usuarios están mantenerse alerta ante correos, mensajes de texto o llamadas sospechosas que soliciten información personal o bancaria, sumado a evitar estrictamente hacer clic en enlaces o abrir archivos adjuntos provenientes de comunicaciones inesperadas.

Según The Guardian, un portavoz de MAG señaló que la empresa “controló de inmediato el riesgo” derivado del incidente. Añadió que estaba “trabajando con asesores especializados y tomando las medidas adecuadas para proteger a nuestros clientes y sistemas”.

El mismo vocero indicó que la compañía notificó el caso a las autoridades competentes y colabora con ellas. Remarcó: “Las operaciones del aeropuerto no se han visto afectadas y los servicios de aparcamiento para clientes siguen funcionando con normalidad”.

Por qué genera preocupación un ciberataque en aeropuertos

La abogada Lauren Wills-Dixon, socia del bufete Gordons, afirmó a The Guardian que la magnitud del ataque era llamativa. Explicó que los aeropuertos ofrecen servicios como salas VIP, aparcamiento y acceso prioritario, y que el WiFi exige que los clientes introduzcan sus datos.

Wills-Dixon declaró: “En consecuencia, los operadores almacenan grandes cantidades de datos de clientes, lo que, sumado al creciente uso de la tecnología, aumenta aún más el riesgo de un ciberataque”.

El incidente llega en un momento de mayor presión sobre proveedores y operadores de infraestructuras nacionales para mejorar su ciberseguridad.

El año pasado hubo retrasos y cancelaciones de vuelos en tres de los principales aeropuertos europeos, incluido Heathrow, después de que la empresa responsable del software usado para el check-in y el embarque informara que había sufrido un ciberataque.

A comienzos de este mes, un ataque atribuido a ciberdelincuentes vinculados a Irán provocó el cierre temporal de una central eléctrica británica. El gobierno dijo que el episodio afectó a un generador de pequeña escala y que no existió riesgo para el sistema energético en general.

Asimismo, durante el año pasado se registraron una serie de ciberataques de gran repercusión contra empresas británicas. Entre ellos figuró uno que paralizó durante semanas las operaciones de Jaguar Land Rover, sumado a otros dirigidos contra Marks & Spencer, Harrods y la cadena de supermercados Co-op.

Microsoft advirtió sobre una campaña maliciosa activa que utiliza sitios web comprometidos para engañar a los usuarios y lograr que instalen una puerta trasera capaz de otorgar acceso remoto a redes internas de organizaciones. La compañía bautizó la operación como TerminalFix, en referencia a su parecido con los ataques clásicos conocidos como ClickFix, aunque con una variante que apunta directamente a la terminal de comandos de Windows.

Cuando un usuario visita alguno de los sitios web afectados por la campaña, se le presenta una superposición que simula ser una verificación de captcha de Cloudflare. El mensaje le indica que debe completar el proceso copiando y ejecutando un comando de PowerShell, ya sea en la Terminal de Windows o directamente en PowerShell.

Según los investigadores de seguridad de Microsoft, Sagar Patil, Suriyaraj Natarajan y Parasharan Raghavan, esta variante se diferencia de los ataques ClickFix tradicionales, que suelen dirigir a las víctimas al cuadro de diálogo Ejecutar de Windows.

“Las campañas TerminalFix aplican la misma técnica pero dirigen a los usuarios a la Terminal de Windows o PowerShell en su lugar, lo que aumenta la probabilidad de que scripts complejos de múltiples líneas se ejecuten con éxito”, explicaron los investigadores en un análisis publicado esta semana.

La campaña tiene como objetivo a organizaciones de múltiples sectores y recurre a sitios web comprometidos como punto de entrada para difundir estas falsas verificaciones.

Un proceso de infección en varias etapas

El ataque, según describió Microsoft, constituye un proceso sofisticado de múltiples fases que combina la técnica de sideloading de DLL, extracción esteganográfica de cargas útiles, reconocimiento extensivo de Active Directory y un implante personalizado de túnel inverso.

Al ejecutar el comando malicioso, el sistema de la víctima descarga un archivo ZIP que contiene un binario legítimo, identificado como “LockScreenContentServer.exe”, junto con un archivo DLL fraudulento llamado “dui70.dll”. Esta combinación permite iniciar el ataque de sideloading, mediante el cual el binario legítimo carga la DLL maliciosa.

Esa DLL comprometida se encarga de recuperar cargas útiles adicionales ocultas dentro de imágenes en formato PNG, alojadas en dominios externos como “bestsocialmedianewspapper[.]com” u “offlineupdater[.]com”. Además, establece persistencia en el sistema a través de claves de registro y tareas programadas, para lo cual garantiza que el ataque continúe activo incluso después de reinicios del equipo.

Una puerta al interior de la red

El componente final de la cadena de infección es un implante personalizado en Python, identificado como “client.py”. Este programa crea una conexión cifrada mediante WebSocket hacia la infraestructura de los atacantes, específicamente hacia el dominio “gitnow[.]dev:443”, y funciona como un proxy estilo SOCKS5 que otorga acceso a la red interna de la víctima.

Con esta herramienta, los atacantes pueden conectarse a máquinas internas, examinar controladores de dominio, ejecutar comandos y mantener el acceso de forma persistente. En la práctica, el equipo comprometido se convierte en un punto de apoyo para desplazarse lateralmente dentro de la red de una organización.

Durante la fase de reconocimiento, el malware recopila metadatos del sistema, realiza descubrimiento de relaciones de confianza entre dominios, enumera cuentas de administrador de dominio y ejecuta búsquedas en usuarios y equipos de Active Directory. También envía pings a servidores designados para mapear la topología de la red interna.

Paralelamente, el ataque instala un bucle persistente de PowerShell que vigila un archivo de texto en busca de nuevos comandos, los ejecuta mediante la función Invoke-Expression y registra los resultados en un archivo de salida.

Microsoft precisó que, hasta el momento, no observó a los atacantes llevar a cabo movimientos laterales de forma efectiva, por lo que resulta difícil determinar el uso final que planean dar al acceso obtenido. No obstante, advirtió que ese tipo de acceso suele explotarse después para escalar privilegios, desactivar controles de seguridad, extraer información sensible y desplegar ransomware en toda la organización afectada.

Recomendaciones para mitigar el riesgo

Microsoft instó a las organizaciones a tratar los dispositivos afectados como posibles puntos de pivote en la red e investigar la existencia de movimientos laterales o exposición de credenciales. Entre las medidas de mitigación recomendadas se encuentran restringir la ejecución de PowerShell y del cuadro de diálogo Ejecutar para usuarios estándar mediante herramientas como AppLocker, Application Control for Windows o Directivas de Grupo.

La compañía también sugirió bloquear o auditar el acceso al cuadro de diálogo Ejecutar (Win+R) cuando no sea necesario, monitorear indicadores de sideloading de DLL, capacitar a los empleados para reconocer ataques del tipo ClickFix y habilitar el registro de bloques de script de PowerShell para detectar y analizar comandos ofuscados o codificados.

El 28 de julio salió a la luz un incidente que colocó bajo escrutinio la capacidad del Gobierno de México para proteger uno de los activos más delicados de cualquier administración pública: la información entregada por ciudadanos que recurren al Estado para denunciar delitos, corrupción, abusos de autoridad y otras situaciones que ponen en riesgo su integridad o la de sus comunidades.

Un ciberatacante publicó lo que presuntamente sería una base de datos del Sistema Integral de Atención Ciudadana (SIDAC) de la Presidencia de la República, plataforma oficial destinada a recibir, registrar y canalizar solicitudes, denuncias, quejas y propuestas hacia distintas dependencias federales. De acuerdo con la información difundida por el propio atacante, el conjunto contendría más de 400 mil registros y datos particularmente sensibles.

El problema no se limita al volumen de información presuntamente expuesta. La gravedad radica en su naturaleza. Entre los reportes habría denuncias relacionadas con homicidios, narcotráfico, extorsión, corrupción, abuso de autoridad y otros delitos, además de datos de ciudadanos que acudieron a las instituciones para solicitar ayuda, protección o la intervención de las autoridades.

La información también permitiría identificar a qué dependencia fue canalizado cada asunto. Esto podría revelar no solo la identidad o ubicación de denunciantes y víctimas, sino también detalles sobre la manera en que el aparato gubernamental recibió y procesó determinados casos.

Según los datos difundidos, entre las instituciones con más registros presuntamente comprometidos se encuentran la Secretaría de Gobernación, con 55 mil 446; la Secretaría de Bienestar, con 24 mil 341; la Secretaría de Educación Pública, con 23 mil 686; el Gobierno de la Ciudad de México, con 19 mil 789; la Comisión Nacional de Vivienda, con 17 mil 562, y el Instituto Mexicano del Seguro Social, con 14 mil 386.

A ellas se sumarían numerosas dependencias y organismos, entre ellos las secretarías de Infraestructura, Comunicaciones y Transportes; Anticorrupción y Buen Gobierno; Desarrollo Agrario, Territorial y Urbano; Seguridad y Protección Ciudadana; Trabajo y Previsión Social; Salud; Hacienda y Crédito Público, y Agricultura y Desarrollo Rural. También figurarían el ISSSTE, Pemex, la CFE, el Infonavit, la Procuraduría Agraria, la Conagua y más de medio centenar de instituciones públicas.

La dimensión del incidente obliga a dejar de verlo como una simple filtración de información administrativa. Si el contenido difundido corresponde efectivamente a registros del SIDAC y el volumen señalado es correcto, estaríamos ante una posible exposición masiva de datos que los ciudadanos entregaron al Estado bajo la expectativa razonable de que serían protegidos.

Una persona que denuncia narcomenudeo, extorsión, corrupción o la posible participación de servidores públicos en actividades criminales no está proporcionando información trivial. En muchos casos, pone en manos de la autoridad datos que pueden comprometer su seguridad, la de su familia o incluso su vida.

Expedientes que exponen la dimensión del riesgo

El material revisado contiene ejemplos que permiten dimensionar el problema. Entre ellos aparece una denuncia presentada en enero de 2024 desde el Estado de México por presunto narcomenudeo en la Unidad San Pablo III, así como otra relacionada con una supuesta extorsión en la misma entidad. También figura un caso de Veracruz en el que se denunciaban presuntos delitos de secuestro y extorsión atribuidos a policías de la región.

En San Luis Potosí se documentó una solicitud de apoyo por presunta persecución, extorsión, tentativa de secuestro, robo, despojo y posibles actos de corrupción y colusión con el crimen organizado. El expediente incluía, además, una petición de protección para la persona denunciante.

Otros registros son todavía más preocupantes. En Los Cabos, Baja California Sur, aparece una solicitud de intervención relacionada con el presunto despojo de un inmueble por personas vinculadas con el narcomenudeo.

En el Estado de México, una petición de asesoría y acompañamiento por supuestos delitos de huachicoleo y narcotráfico pedía expresamente discreción debido a posibles nexos con autoridades municipales. Esa petición de reserva, precisamente, habría quedado anulada por la exposición de los datos.

También aparecen denuncias de mayor complejidad y riesgo. Una presentada en febrero de 2025 en Morelos hacía referencia a presuntas actividades de narcotráfico, amenazas y una supuesta red de protección dentro del Poder Judicial estatal. La persona denunciante señalaba incluso que cuatro abogados habían dejado de llevar su caso.

En otro expediente, correspondiente a Mexicali, se reportaban supuestas anomalías relacionadas con la posesión de un predio y se acusaba a exservidores públicos y personal de la Fiscalía de Baja California. Los señalamientos incluían presiones y un presunto intento de involucrar a la promovente en delitos contra la salud.

La exposición tampoco se limitaría a casos individuales. En abril de 2025, un registro reunió solicitudes relacionadas con presuntas agresiones de narcotraficantes en Guanajuato, apoyos económicos, programas sociales, vivienda y propuestas ambientales.

En mayo, otro expediente hizo referencia a una denuncia anónima por supuesta delincuencia organizada y narcomenudeo en un fraccionamiento de Ecatepec. En ambos casos, la presencia de información vinculada con delitos de alto impacto vuelve especialmente delicada cualquier vulneración de la base de datos.

Más sensibles aún son los registros correspondientes a julio y septiembre de 2025. Uno incluía acusaciones de narcotráfico, posible colusión entre grupos criminales y autoridades de distintos niveles de gobierno, así como señalamientos sobre tráfico de fentanilo y presuntos vínculos con empresas instaladas en Guanajuato.

Otro expediente, presentado en Yucatán, refería supuestos actos de corrupción, amenazas y complicidad entre policías municipales y grupos dedicados al narcomenudeo. También contenía amenazas de muerte contra el denunciante y una solicitud de protección para él y su familia.

En estos casos, la confidencialidad no es un detalle burocrático: es una medida elemental de protección. La posible filtración convertiría un mecanismo institucional de denuncia en una fuente de vulnerabilidad para quienes recurrieron a él.

De la filtración digital al riesgo físico

Las consecuencias pueden ir mucho más allá de la publicación de una base de datos. La información auténtica de los expedientes podría utilizarse para diseñar campañas de phishing y spear phishing dirigidas específicamente contra denunciantes; facilitar la suplantación de identidad; alimentar fraudes y extorsiones; identificar a personas que denunciaron a grupos criminales o funcionarios; poner en riesgo investigaciones administrativas y penales, y permitir que terceros conozcan quiénes solicitaron protección o intervención gubernamental.

En los escenarios más graves, los datos podrían convertirse en una herramienta de intimidación o represalia.

Existe, además, un daño institucional difícil de cuantificar. ¿Qué ciudadano estará dispuesto a denunciar corrupción, narcotráfico, extorsión o abuso de autoridad si existe la posibilidad de que sus datos terminen en manos de quienes precisamente está señalando?

Un sistema de atención ciudadana depende de una premisa elemental: que la persona que proporciona información al Estado puede confiar en que será tratada con las medidas de seguridad correspondientes. Cuando esa confianza se rompe, el daño alcanza a todo el mecanismo de denuncia.

La responsabilidad no puede reducirse a identificar al atacante. Una intrusión cibernética puede ser ejecutada por terceros, pero la obligación de proteger la información recopilada por el Estado corresponde a las instituciones que la administran. La pregunta central no es únicamente quién sustrajo o publicó los datos, sino cómo fue posible que información tan delicada quedara expuesta; qué controles fallaron; cuánto tiempo permaneció vulnerable; qué datos fueron efectivamente extraídos, y qué medidas se habían aplicado para impedirlo.

Las autoridades competentes deben determinar con precisión el alcance de la vulneración, preservar la evidencia digital, realizar un análisis forense independiente, contener cualquier acceso no autorizado y evaluar de inmediato los riesgos particulares para las personas cuyos datos pudieran haber sido comprometidos.

También deben informar a los posibles afectados de manera clara y oportuna, especialmente cuando existan indicios de que su seguridad está en peligro. La transparencia, en este contexto, no significa volver a divulgar los datos sensibles. Significa explicar qué ocurrió, qué información resultó afectada, qué medidas se adoptaron y cómo se determinarán las responsabilidades.

El Estado debe responder a quienes confiaron en él

Quienes utilizaron el SIDAC no acudieron a una plataforma clandestina ni entregaron voluntariamente sus datos a un tercero. Recurrieron a una institución pública porque confiaron en que el Estado podía recibir sus denuncias y proteger la información proporcionada. Esa confianza impone al gobierno un estándar de responsabilidad mucho más alto.

La posible filtración representa algo más grave que una falla tecnológica. Es una advertencia sobre las consecuencias de un Estado que pide a sus ciudadanos confiar en las instituciones, pero no demuestra que sea capaz de proteger aquello que le confían.

Si una persona denuncia narcotráfico, corrupción, extorsión, secuestro o complicidad de funcionarios y termina expuesta por una vulneración de los sistemas gubernamentales, el mensaje para la sociedad es devastador: denunciar puede poner en peligro a quien denuncia.

El gobierno tiene la obligación de esclarecer el caso hasta sus últimas consecuencias. No basta con investigar al atacante ni con minimizar el incidente como un episodio más de ciberseguridad. Debe establecerse quién era responsable de custodiar la información, qué controles existían, cuáles fallaron, qué datos fueron comprometidos, durante cuánto tiempo estuvieron expuestos y por qué quienes solicitaron ayuda terminaron potencialmente más vulnerables después de acudir a las instituciones.

La protección de los datos de un denunciante no es un privilegio ni una cortesía administrativa. Es una obligación del Estado y, en determinados casos, una cuestión de seguridad y supervivencia.

Si las autoridades no pueden garantizarla, no solo están perdiendo información: están destruyendo uno de los pilares de cualquier política eficaz contra la corrupción y el crimen, la confianza ciudadana.

Un gobierno que exhorta a denunciar, pero no protege a quienes lo hacen, incurre en una contradicción que no puede normalizarse. El ciudadano no debe pagar con su seguridad el precio de la incapacidad institucional.

Si la información del SIDAC efectivamente fue sustraída y expuesta en la magnitud señalada, la sociedad merece explicaciones, responsabilidades y medidas de reparación. Sobre todo, merece la garantía de que acudir al Estado para denunciar un delito no terminará convirtiéndose en una sentencia de vulnerabilidad para quien tuvo el valor de hacerlo.

* Víctor Ruiz. Fundador de SILIKN | Emprendedor Tecnológico | Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro | Líder del Capítulo Querétaro de OWASP | CyberOps Associate (CCNA CyberOps) | NIST Cybersecurity Framework 2.0 Certified Expert (CSFE) | (ISC)² Certified in Cybersecurity℠ (CC) | Cyber Security Certified Trainer (CSCT™) | EC-Council Ethical Hacking Essentials (EHE) | EC-Council Certified Cybersecurity Technician (CCT) | Cisco Ethical Hacker & Cybersecurity Analyst.

X: https://x.com/victor ruiz

Instagram: https://www.instagram.com/silikn

YouTube: https://www.youtube.com/@silikn7599

** Las expresiones emitidas en esta columna son responsabilidad de quien las escribe y no necesariamente coinciden con la línea editorial de Infobae México, respetando la libertad de expresión de expertos.

Cuando pensamos en engaños por internet o phishing, solemos imaginar un correo electrónico falso de un banco o un mensaje de texto de un paquete que no pedimos. Sin embargo, los ciberdelincuentes han comenzado a infiltrarse en herramientas de trabajo como Microsoft Teams.

Recientemente, la empresa de ciberseguridad Expel detectó una nueva campaña de engaños a través de esta plataforma que busca instalar un virus informático conocido como SynkLoader.

¿Cómo funciona el engaño a través de Teams?

Microsoft Teams es una plataforma en la que confiamos porque la usamos para hablar con nuestros compañeros de oficina, jefes o clientes. Los atacantes se aprovechan de esta confianza ejecutando el engaño en tres pasos muy sencillos:

• Recibes un mensaje de chat en Teams de una persona que parece ser de otra empresa o incluso alguien que se hace pasar por el departamento de Recursos Humanos o Soporte Técnico de tu trabajo.
• El mensaje suele tener un tono urgente. Te piden que revises un “documento importante”, un “cambio en la nómina” o un “contrato urgente”.
• Junto al mensaje, el atacante adjunta un archivo (que a menudo parece un documento inofensivo o un archivo comprimido). Si accedes a descargarlo y abrirlo por la prisa, la trampa se activa.

¿Qué es SynkLoader y por qué es peligroso?

Si la víctima abre el archivo falso, se instala silenciosamente un programa malicioso llamado SynkLoader. En el mundo de la ciberseguridad, a este tipo de virus se le conoce como un loader (cargador).

Para entenderlo de forma sencilla, imagina que SynkLoader no es el ladrón principal, sino el cómplice que rompe la cerradura de tu casa y deja la puerta abierta. Una vez que este programa infecta tu computadora, se encarga de descargar e instalar de forma invisible otros virus mucho más destructivos.

A través de esta “puerta trasera”, los atacantes pueden introducir:

• Programas espía que roban tus contraseñas y datos bancarios.
• Ransomware, un virus que secuestra y bloquea todos los archivos de tu empresa hasta que se pague un rescate.
• Herramientas para espiar la red interna de tu lugar de trabajo.

Cómo protegerte y mantener seguro tu equipo

Dado que estas amenazas buscan engañar al ojo humano más que burlar a los antivirus, la mejor defensa es la precaución. Sigue estos consejos prácticos:

• Microsoft Teams suele mostrar una pequeña etiqueta que dice “Externo” cuando te escribe alguien de fuera de tu organización. Si un supuesto compañero de tu misma empresa te escribe pero tiene esa etiqueta, es una señal de alerta.
• Los estafadores siempre quieren que actúes rápido para que no pienses. si te piden abrir un archivo urgente de forma repentina, tómate unos segundos para analizar la situación.
• Si alguien te envía un archivo extraño por Teams, llámalo por teléfono o escríbele un correo electrónico para confirmar si realmente fue esa persona quien te lo envió.
• Si recibes un mensaje sospechoso, no lo contestes ni abras los archivos. Toma una captura de pantalla y repórtalo inmediatamente al equipo de informática de tu trabajo.

Otras amenazas vinculadas a Microsoft Teams

A finales de 2025, los expertos en ciberseguridad alertaron sobre una táctica aún más agresiva: un peligroso ransomware diseñado para hacerse pasar por Microsoft Teams.

En lugar de enviar un mensaje por el chat, los atacantes engañan a las víctimas (usualmente mediante correos electrónicos falsos o anuncios web maliciosos) para que descarguen lo que parece ser una actualización crítica o el instalador oficial de la aplicación necesario para entrar a una reunión urgente.

El peligro de esta amenaza radica en su velocidad de ejecución. Al hacer clic en el instalador falso, el virus se activa e infecta la computadora en cuestión de segundos, bloqueando y secuestrando todos los archivos del disco duro para luego exigir el pago de un rescate económico.

Un grupo de hackers vinculados al régimen de Irán provocó el cierre durante cuatro días de una instalación de generación eléctrica de pequeña escala en Reino Unido el mes pasado, según informó The Sunday Telegraph. El Gobierno británico confirmó que se produjo un incidente que afectó a un generador, aunque no identificó públicamente la central involucrada ni precisó el mecanismo utilizado para interrumpir sus operaciones.

El Departamento de Seguridad Energética indicó que el episodio no tuvo consecuencias sobre el suministro eléctrico del país. Un portavoz de la cartera señaló que “en ningún momento hubo riesgo para el sistema energético en general” y afirmó que las autoridades trabajan con las empresas del sector para proteger las infraestructuras.

El Centro Nacional de Seguridad Informática británico (NCSC), organismo responsable de coordinar la respuesta ante amenazas digitales contra infraestructuras críticas, no había recibido reportes de interrupciones del suministro por parte de los operadores regulados de centrales eléctricas.

El Gobierno británico insistió en que el sistema energético dispone de mecanismos para mantener su funcionamiento ante incidentes que afecten a instalaciones individuales.

“Reino Unido tiene un sistema eléctrico muy resistente. Trabajamos estrechamente con el sector para proteger la infraestructura y garantizar los más altos estándares de seguridad”, afirmó el portavoz del Departamento de Seguridad Energética.

El incidente se produjo en un medio de la tensión entre Reino Unido e Irán. Londres permitió que Estados Unidos utilizara bases británicas que albergan aeronaves estadounidenses para realizar operaciones calificadas como “defensivas” contra objetivos iraníes. El Gobierno británico, sin embargo, ha mantenido su posición de no participar en operaciones ofensivas contra Teherán.

El régimen iraní había advertido que las instalaciones militares utilizadas por Estados Unidos para realizar acciones contra su territorio podrían ser consideradas objetivos legítimos. El Cuerpo de la Guardia Revolucionaria Islámica (IRGC) declaró el mes pasado que “cualquier base utilizada para la agresión contra territorio iraní constituye un objetivo legítimo para nuestras fuerzas”.

The Guardian informó que el ataque contra la instalación energética británica se produjo después de que Londres autorizara el uso de sus bases para las operaciones estadounidenses. El medio también situó el episodio dentro de las advertencias británicas sobre las actividades cibernéticas de Estados considerados hostiles.

Richard Horne, director ejecutivo del NCSC, había advertido previamente sobre el aumento de las operaciones digitales dirigidas contra sistemas relacionados con servicios esenciales del Reino Unido. Según sus declaraciones, Rusia, China e Irán figuran entre los países cuyos actores vinculados al Estado están siendo observados por sus actividades contra infraestructuras británicas.

Irán ya ha sido señalado por Estados Unidos y otros gobiernos por operaciones cibernéticas contra infraestructuras de distintos países. Entre los grupos identificados se encuentra CyberAv3ngers, una organización que Washington ha vinculado con el IRGC y que habría comprometido dispositivos utilizados en diferentes sectores de infraestructura durante una campaña registrada en 2023.

Las autoridades estadounidenses también emitieron este año una advertencia sobre posibles ataques contra infraestructuras críticas por parte de grupos relacionados con la Guardia Revolucionaria iraní. Las alertas abarcaron sistemas cuya interrupción podría afectar servicios esenciales, entre ellos redes energéticas y otros componentes de infraestructura.

El Partido Conservador británico reclamó al Gobierno que refuerce la seguridad energética tras conocerse el ataque. Claire Coutinho, portavoz de la formación en materia de energía, afirmó que el episodio demuestra la necesidad de reducir las vulnerabilidades asociadas al abastecimiento energético.

“El mundo se vuelve más peligroso y por eso necesitamos dar prioridad a nuestra seguridad energética”, declaró Coutinho, citada por The Guardian. La dirigente conservadora también cuestionó la dependencia de Reino Unido de las importaciones de gas y electricidad y reclamó una mayor disponibilidad de fuentes de generación nacionales.

Una investigación reveló una red global de ciberdelincuentes que operaba 2.000 sitios web de WordPress pirateados. El hallazgo, realizado por Check Point Research, muestra cómo los atacantes usaron estos portales para distribuir malware, robar información, monitorear víctimas y desplegar ransomware en distintos países.

La operación, denominada “StopAndProtect”, utilizó una infraestructura criminal distribuida que incluyó 5.000 equipos infectados en todo el mundo y un conjunto de herramientas maliciosas. De acuerdo con el informe, los atacantes aprovecharon la popularidad de WordPress, que actualmente gestiona el 43% de los sitios web a nivel global.

Así funcionaba la operación StopAndProtect

Según Check Point Research, la campaña no se limitó a un solo tipo de malware, sino que empleó un conjunto de programas criminales con distintas funciones, como cifrado de archivos, robo de documentos, bloqueo de pantallas y comunicación directa con las víctimas desde los sitios comprometidos.

El proceso de infección comenzaba con una falsa verificación CAPTCHA en los sitios WordPress comprometidos. El sistema ClickFix instruía a las víctimas a ejecutar un comando PowerShell, lo que permitía a los atacantes tomar control de los dispositivos. Desde allí, podían sustraer credenciales, frases semilla de billeteras de criptomonedas, propagarse por redes y dispositivos USB, bloquear pantallas y desplegar ransomware.

El informe no especificó si los usuarios de macOS y Linux también resultaron afectados, aunque sí se documentaron campañas recientes en las que variantes de ClickFix para macOS se distribuyeron a través de sitios web y anuncios patrocinados.

Errores de los atacantes y alcance de la campaña

Errores en la seguridad operacional de los delincuentes permitieron a Check Point Research acceder a archivos internos, registros de infecciones y capturas de pantalla de los equipos afectados. Entre mayo y finales de julio, los investigadores recopilaron más de 31.000 capturas de pantalla y 700 archivos comprimidos con datos robados.

La campaña comprometió más de 6.000 direcciones IP únicas, con 1.852 ubicadas en Estados Unidos y 630 en Rusia e India respectivamente. El análisis de los archivos permitió detectar que, en al menos una ocasión, los propios atacantes se infectaron accidentalmente.

WordPress sigue siendo un objetivo frecuente de ataques debido a su uso masivo y la facilidad de instalación. La investigación detectó portales gestionados con versiones antiguas del sistema, algunos con hasta 40 vulnerabilidades conocidas.

Recomendaciones para evitar ataques similares

La empresa de ciberseguridad recomendó a organizaciones y usuarios extremar precauciones ante CAPTCHAs inesperados que soliciten copiar o ejecutar comandos fuera del navegador. También enfatizó la importancia de mantener actualizados los dispositivos y el software de seguridad, y abandonar cualquier sitio que pida realizar acciones inusuales.

Actualizar de forma regular WordPress y sus plugins, junto con la vigilancia activa del proveedor de hosting, reduce el riesgo de que los portales sean absorbidos por redes delictivas como la documentada.

Expansión y diversificación de la amenaza

ClickFix ha estado presente en varias campañas recientes. En mayo, un sitio web de ropa vinculado al director del FBI, Kash Patel, fue dado de baja tras detectarse ataques con ClickFix para macOS. En julio, Jamf Threat Labs halló que este malware se distribuía mediante anuncios patrocinados en X, y en agosto, Microsoft alertó sobre el uso de sitios web comprometidos y contratos inteligentes en BNB Chain para propagar malware mediante falsos CAPTCHAs.

La operación StopAndProtect evidencia la importancia de fortalecer la seguridad en sistemas de gestión de contenidos y actualizar constantemente las plataformas digitales para mitigar riesgos de este tipo.

La afectación impactó la disponibilidad de ciertos servicios, lo que generó preocupación en la ciudadanía y puso a prueba los protocolos de ciberseguridad de la entidad.

A una semana del ataque, el ministro de Justicia, Iván Cancino, explicó en un video publicado en las redes sociales de la entidad que desde el 8 de agosto de 2026 el ministerio trabaja con la Fiscalía General de la Nación y el Grupo de Respuesta a Emergencias Cibernéticas de Colombia (Colcert) para “establecer lo ocurrido”, en medio de una investigación que incluye “intentos de acceso no autorizado desde enero” y la revisión de “posibles orígenes internos y externos del ataque”.

El funcionario también indicó que, con el DART o Equipo de Respuesta de Asistencia ante Desastres de Microsoft y el BIT, activaron “un plan integral para restablecer los servicios de forma gradual y segura”, mientras se normaliza la operación de plataformas clave para trámites regulados.

En el caso del sistema para el control de sustancias y productos químicos, Cancino precisó que “el sistema de información para el control de sustancias y productos químicos, SICOC, funciona parcialmente”. Como contingencia, agregó: “Suspendimos temporalmente la obligación de cargar estos documentos en la plataforma”.

El ministerio habilitó un canal alternativo para los soportes documentales: “Las nuevas solicitudes pueden presentarse en SICOC y los documentos de soporte deben enviarse al correo gestion.documental@minjusticia.gov.co”.

Sobre el Mecanismo de Información para el Control de Cannabis, el titular de la cartera señaló que “MICC permanece temporalmente fuera de servicio”. Cancino también advirtió que “por ahora, no es posible presentar nuevas solicitudes de licenciamiento ni consultar o gestionar los trámites en curso, incluidos su historial y documentación”.

Mientras se restablece esa plataforma, informó que las peticiones, quejas, reclamos y sugerencias (PQRS) “pueden radicarse en el correo gestion.documental@minjusticia.gov.co o de manera presencial en la Oficina de Atención al Ciudadano en la sede Chapinero del Ministerio”.

“Sabemos la importancia de estos trámites para los usuarios”, afirmó el ministro, y añadió que “hemos adoptado las medidas necesarias para mantener la atención y dar continuidad parcial a los servicios mientras avanzamos en el restablecimiento total y seguro de los sistemas”, expuso.

Finalmente, Cancino remarcó: “No es una excusa, es una situación con las que nos encontramos y que le vamos a dar solución pronta, segura, confiable y para todo el servicio a la ciudadanía colombiana en el menor tiempo posible”.

Inician las primeras extradiciones del Gobierno de Abelardo de la Espriella

El presidente de la República, Abelardo de la Espriella, autorizó las primeras cinco extradiciones de su gobierno, una decisión tomada en la primera semana de mandato que habilita la entrega de ciudadanos colombianos a Estados Unidos, Perú, República Dominicana y Panamá por narcotráfico, violencia sexual agravada y tentativa de homicidio.

Las autorizaciones quedaron consignadas en las resoluciones 308 a 312 de 2026 del Ministerio de Justicia. La firma se produjo pocos días después de que el abogado asumiera la Presidencia de Colombia el 7 de agosto de 2026, dentro de un inicio de gestión marcado por medidas de seguridad como el traslado de reclusos desde la cárcel La Paz de Itagüí, Antioquia, hacia otros centros penitenciarios del país.

Dos de los cinco casos tienen como destino la justicia de Estados Unidos y están ligados a investigaciones por tráfico de cocaína. Los extraditables son Armando Luis Suárez Calvo, Didier Ignacio García, Diego Alberto Londoño, Jorge Luis Mojica Ortiz y Roderick Aldair Morales Delgado, todos de nacionalidad colombiana.

El gobierno de Taiwán denunció una violación de seguridad a ciberataques asistidos por inteligencia artificial, que afectaron a diversas agencias estatales en julio.

La Administración de Asuntos Digitales (MDA) informó que sus sistemas de monitoreo de ciberseguridad detectaron el 20 de julio un ataque anómalo dirigido a organismos gubernamentales, dando inicio a una investigación oficial.

Durante la ofensiva, el Instituto Nacional de Ciberseguridad emitió varias alertas mientras se analizaba el incidente. La empresa israelí Dream, dedicada a la inteligencia artificial y que colaboró en la detección de la intrusión, señaló que los responsables utilizaron agentes de código abierto de inteligencia artificial para crear una herramienta autónoma de hackeo, capaz de operar como un equipo coordinado de ciberatacantes, informó Financial Times.

Dream describió el hecho como un “una violación de seguridad sin precedentes”.

Alcance y consecuencias del ataque

Dream indicó que el ataque comprometió al menos 85 cuentas de usuarios gubernamentales, extrayendo más de 2.500 registros de personal antes de expandirse a la Agencia de Seguridad Nuclear y a por lo menos siete empresas del sector energético de Taiwán. El acceso no autorizado impactó áreas sensibles de la infraestructura estatal.

La MDA afirmó que el ataque mostró características propias de una fuente extranjera y una estrategia híbrida que combinó operaciones manuales con recursos automatizados asistidos por IA, como la herramienta Open Claw. Las autoridades aseguraron que “las fuentes del ataque, los métodos y el alcance del impacto han sido plenamente investigados, y las unidades afectadas completaron las medidas de contención”.

Contexto de amenazas crecientes

Taiwán ha denunciado de forma recurrente el aumento de una “guerra híbrida” impulsada por China, que incluye maniobras militares cercanas a la isla, campañas de desinformación y ciberataques.El

Buró de Seguridad Nacional de Taiwán comunicó que, en 2025, los ciberataques dirigidos contra hospitales, bancos y otras infraestructuras clave subieron un 6% respecto al año anterior, con un promedio diario de 2,63 millones de intentos. Parte de estas ofensivas coincidió con ejercicios militares, en el marco de amenazas para paralizar el funcionamiento de la isla.

Aunque los funcionarios taiwaneses no responsabilizaron de forma directa a China, el uso de chino simplificado en las comunicaciones internas de los atacantes, detectado por Dream, sugiere una alta probabilidad de vínculo con operadores chinos.

Respuesta y medidas preventivas

En respuesta a este ataque, el gobierno de Taiwán estableció nuevas directrices de protección y reforzó el monitoreo de sistemas para bloquear futuras intrusiones en etapas tempranas.

La declaración oficial evitó mencionar al gobierno chino, y la Oficina de Asuntos de Taiwán de China no respondió a las solicitudes de comentarios sobre el ataque. Tampoco hubo declaraciones de la MDA ni de las autoridades chinas respecto a los hechos.

La amenaza de campañas de hackeo asistidas por inteligencia artificial ha aumentado en los últimos meses, favorecida por la disponibilidad de modelos avanzados como Mythos, de Anthropic. Estas herramientas permiten realizar tareas de reconocimiento, identificación de vulnerabilidades y explotación de sistemas con rapidez y precisión.

El investigador Cris Thomas, defensor de seguridad en la firma Semgrep, señaló a The Guardian que este caso ilustra la velocidad con la que los atacantes apoyados por IA pueden alcanzar sus objetivos.

No obstante, Thomas advirtió que la autonomía de estos sistemas no es absoluta. “Todavía hay una persona detrás de todo esto. Alguien decide a quién atacar, establece los objetivos y da las directivas”, explicó. “No es completamente autónomo. Un operador capacitado está a cargo”.

La Corte de Constitucionalidad (CC) denunció ante el Ministerio Público (MP) un ataque informático detectado el 10 de agosto de 2026, por el que se exigía una suma de dinero para resolver el problema.

El hackeo provocó que la institución interrumpiera sus servicios y obligara a suspender un pleno, después de que un programa malicioso cifrara o bloqueara archivos, sistemas y otros recursos tecnológicos de la institución.

La denuncia quedó registrada el 12 de agosto en la Oficina de Atención Permanente del MP, según informó Prensa Libre. El caso fue remitido a la Fiscalía de Delitos contra la Propiedad Intelectual como una denuncia por destrucción de registros informáticos.

Desconocen el monto exigido

Mientras que el magistrado Roberto Molina Barreto dijo a Infobae que fueron informados sobre la presentación de la denuncia por parte de la Presidenta de la CC, Anabela Morfín, pero hasta el momento no se les ha compartido la copia de la misma.

El magistrado confirmó que los ciberdelincuentes exigieron una suma de dinero, pero explicó que “nunca se supo el monto”, debido a que “los ingenieros no abrieron el mensaje para cortar de tajo la comunicación y así evitar una mayor infección del virus”.

La falla fue identificada a las 5:30 horas del 10 de agosto y, tras un análisis de la Dirección de Tecnología de la Información de la CC, se determinó que no se trataba de un problema técnico aislado, sino de un incidente de ciberseguridad asociado a un ataque. De acuerdo con el Ministerio Público, la información vulnerada y los procesos afectados pudieron recuperarse.

Suspensión del pleno y denuncia

Ese mismo día, la Corte suspendió el pleno previsto porque los sistemas informáticos necesarios para sus actividades quedaron fuera de servicio. Un oficio de la Dirección de Tecnologías de Información dirigido a Morfin Mansilla atribuyó inicialmente el problema a “inconvenientes técnicos presentados en el equipo de infraestructura hiperconvergente” de la institución.

El documento interno fechado el 10 de agosto también indicó que la indisponibilidad alcanzó servicios tecnológicos críticos. La Dirección de Tecnologías de Información y la Unidad de Gestión de Seguridad de la Información trabajaban entonces para establecer el origen del problema y restablecer los sistemas afectados.

Un día después, el 11 de agosto, la Corte acordó presentar la denuncia ante el MP por un intento de hackeo en el que se exigía una cantidad de dinero que no fue especificada. En la denuncia podría incorporarse que un exfiscal difundió en redes sociales la existencia del problema antes de que la propia institución contara con información oficial.

Suspenden cómputo de plazos

Como consecuencia del ciberataque, la CC informó a través de un comunicado que se suspendió el cómputo de plazos mediante el Acuerdo 5-2026 por fallas en su Sistema Informático de Expedientes.

La suspensión rige desde las 0 horas del 10 de agosto de 2026 hasta que se restablezca el casillero electrónico. Los días de la falla no se contabilizarán y no afecta a quienes presenten memoriales por escrito o por correo electrónico.

También indicaron que la suspensión no afecta a quienes, en observancia de los plazos legalmente establecidos, realicen las gestiones respectivas presentando memoriales por escrito o vía correo electrónico.

La Corte de Constitucionalidad de Guatemala confirmó que sufrió un ciberataque, que afectó el casillero electrónico y otros sistemas clave. Para resolverlo, los presuntos delincuentes exigían una suma de dinero.

El problema en el sistema informático inició la noche del lunes 10 de agosto. Distintos usuarios informaron sobre dificultades para utilizar la plataforma. En ese momento, el máximo tribunal constitucional guatemalteco afirmó, a través de un comunicado, que se trató de “dificultades técnicas temporales” y que había afectado únicamente el casillero electrónico.

En esa primera comunicación, la institución indicó que los usuarios registrados no podían enviar sus peticiones a través del casillero electrónico y habilitó de forma provisional el correo: secretaria_general@cc.gob.gt para recibir solicitudes. La Corte sostuvo entonces que cualquier actualización sería informada por sus canales oficiales.

No obstante, personal de la propia institución confirmó a medios locales que detrás de las fallas se habría registrado un intento de hackeo. Pero no pudieron establecer el alcance del hecho ni confirmar si el incidente comprometió información o si solo afectó el funcionamiento del casillero electrónico.

Hasta ese momento, el comunicado oficial de la Corte no hacía referencia a un ataque informático y se limitaba a mencionar dificultades técnicas.

La versión cambió este martes 11 de agosto, cuando la propia CC informó en un nuevo comunicado que sus sistemas habían sido objeto de un ciberataque, con afectaciones temporales en algunos servicios tecnológicos.

“El 10 de agosto de 2026, los sistemas informáticos de la Corte de Constitucionalidad fueron objeto de un ataque cibernético, situación que ha provocado afectaciones temporales en la disponibilidad de algunos de nuestros servicios tecnológicos”, detallaron.

La institución aseguró que activó sus protocolos de seguridad y contingencia, mientras personal de la Dirección de Tecnologías ha trabajado para contener la situación, determinar su alcance y restablecer los servicios de forma segura y progresiva.

La Corte añadió que cuenta con resguardos institucionales íntegros y disponibles para restaurar la información contenida en los servidores y demás infraestructura afectada. También señaló que continuará aplicando medidas para reforzar sus mecanismos de protección tecnológica y reducir los riesgos asociados a este tipo de amenazas.

El ataque dejó fuera de servicio sistemas necesarios para el trabajo de la Corte

La falla tecnológica obligó a suspendió el pleno previsto para el lunes 10 de agosto. De acuerdo con fuentes oficiales citadas por Prensa Libre, la interrupción dejó fuera de servicio los sistemas informáticos necesarios para el desarrollo de las actividades de la institución.

Un oficio de la Dirección de Tecnologías de Información dirigido a la presidenta de la CC, Gladys Anabella Morfin, señaló que el problema se originó por “inconvenientes técnicos presentados en el equipo de infraestructura hiperconvergente” de la entidad.

Ese documento, fechado el 10 de agosto, añadió que la falla provocó la indisponibilidad de servicios tecnológicos críticos y de los sistemas necesarios para las labores institucionales.

Exigieron dinero

Por su parte, el magistrado Roberto Molina Barreto dijo a Soy502 que los atacantes solicitaron dinero a cambio de desistir. Se enteraron, luego de que la Dirección de Tecnologías de la Información reportó la aparición de un mensaje en el que se exigía el pago para detener el ataque, aunque no precisó ningún monto.

Molina Barreto agregó que el pleno conoció formalmente el incidente el martes 11, donde se le instruyó a la presidenta de la Corte a presentar la denuncia ante el Ministerio Público.

“En el pleno de esta mañana, después de la diez se le instruyó a la presidenta de la CC a que presentara la denuncia”, afirmó al medio.

Mientras que Prensa Libre indicó que sus fuentes les detallaron que la denuncia podría incluir información sobre que un exfiscal divulgó en sus redes sociales el problema antes de que la propia Corte contara con información oficial sobre lo ocurrido.

El magistrado también indicó que, a raíz del ataque, no han podido acceder a los expedientes que debían resolver. Ese efecto coloca el problema más allá de una falla operativa aislada: el casillero electrónico y los sistemas internos son parte del funcionamiento cotidiano de la justicia constitucional.

La ciudad de Suisun City, en California, declaró el estado de emergencia después de que un ciberataque con malware interrumpiera el sistema 911, el despacho de policía y bomberos y otros servicios municipales esenciales.

El hecho, detectado el viernes por la mañana, llevó a las autoridades a desactivar por completo la red oficial para contener la intrusión y preservar evidencia para una investigación federal, según informó NBC Bay Area.

De acuerdo con CBS Sacramento, la infección comenzó cerca de las 5.45 del viernes 8 de agosto. Desde entonces, el municipio puso en marcha un operativo de respuesta para aislar los sistemas comprometidos y reducir el impacto sobre áreas sensibles de la gestión local.

Qué servicios quedaron comprometidos

El ataque alcanzó el enrutamiento de llamadas al 911, el despacho de policía y bomberos, los registros públicos y parte de los servicios administrativos.

NBC Bay Area indicó que la ofensiva golpeó “operaciones críticas de seguridad pública”, mientras que la administración local sostuvo que la red había sido comprometida por “software malicioso infectado”.

Aun así, fuentes municipales afirmaron que no existía una amenaza inminente para la población. Esa evaluación, retomada por CBS Sacramento y NBC Bay Area, estuvo acompañada por una aclaración central: los equipos de emergencia continuaron activos a través del centro de despacho del condado de Solano, que pasó a recibir y canalizar los llamados de servicio.

De acuerdo con esa versión, policías y bomberos mantuvieron sus tareas habituales pese a la caída de los sistemas. Los servicios en línea y varias operaciones internas, en cambio, quedaron fuera de funcionamiento, una muestra del impacto que la intrusión tuvo sobre la estructura administrativa del municipio.

La respuesta oficial y la investigación federal

El Concejo Municipal de Suisun City aprobó por unanimidad la declaración de emergencia durante una reunión especial celebrada el sábado por la mañana.

La medida habilita al municipio a acceder con mayor rapidez a asistencia extraordinaria y, además, a recuperar gastos asociados al episodio, tal y como señaló New York Post.

La investigación quedó en manos de varias agencias. La administración local informó que trabaja con el Buró Federal de Investigaciones (FBI), el Departamento de Seguridad Nacional de Estados Unidos y la Oficina de Servicios de Emergencia de California.

NBC Bay Area aseguró que ese despliegue apunta tanto a identificar el origen del ataque como a acelerar la restauración de los sistemas comprometidos.

Hasta el momento, las autoridades no informaron cómo ingresó el malware ni quiénes podrían estar detrás del ataque.

La falta de precisiones sobre el vector de ingreso deja abierta la posibilidad de que el episodio haya explotado una vulnerabilidad previa o una intrusión aún no identificada públicamente.

El impacto sobre una ciudad de 30.000 habitantes

Suisun City, ubicada en el condado de Solano, se encuentra a unos 72 kilómetros de San Francisco y a una distancia similar de Sacramento, según precisó CBS Sacramento.

Se trata de una ciudad de alrededor de 30.000 habitantes, de acuerdo con NBC Bay Area, por lo que la caída de servicios vinculados a emergencias y atención pública tuvo un peso inmediato sobre la gestión cotidiana.

El caso volvió a poner el foco sobre la vulnerabilidad de gobiernos locales frente a incidentes de ciberseguridad, sobre todo cuando comprometen áreas sensibles como el sistema 911, los despachos de seguridad y la administración de registros.

En este episodio, la prioridad oficial pasó por sostener la atención de emergencias, aislar la red afectada y avanzar con la asistencia de organismos estatales y federales.

Por ahora, la ciudad mantiene parte de sus servicios desconectados mientras especialistas trabajan en la evaluación del daño y en la recuperación de la infraestructura tecnológica, según afirmaron fuentes oficiales.

Oleoductos del Valle (Oldelval), la empresa que opera la principal red de transporte de petróleo de la Argentina y por cuyos ductos circula el 75% del crudo producido en Vaca Muerta, reveló ante la Comisión Nacional de Valores (CNV) que sufrió un ataque informático que afectó sus sistemas administrativos.

Aunque la propia compañía aclaró que el incidente no tuvo impacto sobre la operación de transporte de crudo, referentes de la empresa aseguraron que el episodio fue “100% controlado” y apuntaron tanto a hackers locales como extranjeros como los principales sospechosos.

La firma -cuyo mayor accionista es la petrolera de mayoría estatal YPF- comunicó el hecho el viernes en un hecho relevante dirigido al regulador bursátil, tal como lo exigen las normas de la CNV. En el texto, la sociedad precisó que aplicó su protocolo de ciberseguridad y logró restaurar la totalidad de los sistemas afectados, lo que permitió retomar la actividad administrativa con normalidad. El transporte de petróleo se mantuvo sin interrupciones durante todo el episodio.

Si bien no se descarta la participación de hackers locales, la hipótesis que toma mayor fuerza es la de un ataque de origen extranjero.

De hecho, uno de los mayores ciberataques a un sistema de oleoductos, fue en 2021 a Colonial Pipeline, empresa de Estados Unidos de distribución por ductos de crudo y combustibles líquidos. Fue una operación de ransomware (esto es, ataque extorsivo, a cambio de rescate para devolver el control informático del sistema) que durante una semana afectó la provisión de combustible en parte de la costa este norteamericana. Colonial pagó 75 bitcoins de rescate (unos USD 4,3 millones entonces, de los cuales el FBI pudo recuperar 2,3 millones) al grupo criminal ruso Dark Side (Lado Oscuro).

Oldelval no brindó precisiones sobre el tipo de amenaza detectada ni sobre el vector de ingreso utilizado por los atacantes y señaló que continúa evaluando el alcance definitivo del incidente y avanza con las presentaciones ante las autoridades competentes.

El episodio reaviva el debate sobre la vulnerabilidad de la infraestructura energética ante amenazas digitales. Los oleoductos y terminales de exportación operan hoy con sistemas cada vez más automatizados y conectados en red, lo que los convierte en blancos de interés para ataques que buscan desde el robo de información hasta la interrupción de operaciones.

El ataque, reivindicado en redes por The Gentlemen, que se presenta como un grupo de “RaaS” (Ransomware as a Service) habría ocurrido una semana después de que el mismo grupo atacó a EcoPetrol, la mayor petrolera colombiana, que detectó el acceso irregular a sus sistemas y logró impedir el cifrado masivo de sus archivos, pero no evitar la descarga no autorizada de información de unas 3.300 cuentas de usuarios y datos almacenados en la nube de 15 empresas del grupo empresarial.

La operación de Oldelval

Oldelval administra una red de más de 1.700 kilómetros de oleoductos que conecta los principales yacimientos de la Cuenca Neuquina con las terminales de almacenamiento y exportación en Puerto Rosales, en Bahía Blanca. Por esa infraestructura transita alrededor del 90% del petróleo que produce Vaca Muerta, lo que convierte a la transportista en una pieza central tanto para el abastecimiento de refinerías locales como para el crecimiento de las exportaciones de crudo.

Entre sus clientes figuran prácticamente todas las grandes compañías que operan en la formación no convencional: YPF, Vista Energy, Pan American Energy (PAE), Chevron, Shell, Tecpetrol, Pluspetrol, Pampa Energía y TotalEnergies. La composición accionaria de la transportista refleja ese peso dentro del negocio: YPF es su accionista principal con el 37% del capital, seguida por ExxonMobil, Chevron, PAE, Pluspetrol, Tecpetrol y Pampa Energía.

El incidente ocurre en un momento de fuerte expansión de la compañía. Oldelval tiene en marcha el proyecto Duplicar Norte, un nuevo oleoducto de 207 kilómetros que unirá la estación de bombeo de Puesto Hernández, en Neuquén, con la de Allen, en Río Negro, con una inversión estimada de USD 380 millones. La obra fue adjudicada a Techint, la empresa del empresario Paolo Rocca, que ya había ejecutado el segundo módulo de Duplicar Plus —un tramo de 254 kilómetros— y lo entregó en diciembre de 2024 antes del plazo contractual.

Duplicar Norte avanzará bajo un esquema “ship or pay” con cuatro cargadores principales: Pluspetrol, Chevron, Tecpetrol y Gas y Petróleo del Neuquén, en línea con el Régimen de Incentivo para Grandes Inversiones (RIGI). La puesta en marcha temprana está prevista para fines de 2026, con habilitación definitiva proyectada para el primer trimestre de 2027. Una vez operativo, el sistema permitirá transferencias de entre 20.000 y 45.000 metros cúbicos diarios entre las estaciones de bombeo de Oldelval y el sistema Vaca Muerta Oil Sur (VMOS).

Al integrarse con los sistemas Duplicar Plus y Vaca Muerta Sur, el nuevo ducto permitirá canalizar cerca del 80% del petróleo producido en la región hacia los puertos de Puerto Rosales y Punta Colorada, con el objetivo de sostener exportaciones de crudo por entre USD 6.000 y USD 8.000 millones anuales, según estimaciones de la propia compañía.

La práctica de reiniciar el teléfono móvil de forma regular se ha convertido en una de las recomendaciones más valoradas por expertos en ciberseguridad y fabricantes tecnológicos. Aunque la mayoría de los usuarios solo opta por apagar y encender el dispositivo ante fallos visibles, incorporar este hábito en la rutina diaria puede aportar beneficios sustanciales tanto en el rendimiento como en la protección de la información personal almacenada en el aparato.

De acuerdo con la Agencia de Seguridad Nacional (NSA) y especialistas en protección digital, reiniciar el teléfono interrumpe procesos en segundo plano, muchos de los cuales están relacionados con software espía o aplicaciones no autorizadas.

La simple acción de apagar y volver a encender el dispositivo dificulta la labor de los ciberdelincuentes, ya que algunos programas maliciosos requieren tiempo para establecerse y extraer información sensible. Este proceso corta su actividad y reduce la posibilidad de espionaje o filtración de datos.

Asimismo, este hábito contribuye a la instalación de parches y actualizaciones de seguridad, reforzando la protección del sistema operativo y reduciendo la exposición ante nuevas vulnerabilidades. Diversos fabricantes y organismos de seguridad han intensificado sus campañas informativas sobre los beneficios de este gesto, en especial ante el incremento de los ciberataques y la sofisticación creciente de los sistemas operativos móviles.

¿Con qué frecuencia conviene reiniciar el teléfono?

La recomendación general de los expertos en ciberseguridad es reiniciar el teléfono al menos una vez al día. Si bien algunos usuarios consideran que esta frecuencia puede parecer excesiva, los especialistas aseguran que el hábito fortalece la seguridad y favorece el rendimiento del aparato.

En caso de no querer hacerlo diariamente, un reinicio semanal también reporta beneficios notorios, aunque la protección no será tan robusta ante amenazas persistentes.

Beneficios directos del reinicio frecuente

La acción regular de reiniciar el teléfono ofrece ventajas concretas. Por un lado, elimina procesos innecesarios: cerrar aplicaciones abiertas y liberar memoria RAM contribuye a que el aparato mantenga un funcionamiento ágil. Además, optimiza el rendimiento general, previniendo bloqueos, episodios de lentitud y congelamientos asociados a la acumulación de procesos.

Otro beneficio clave consiste en la facilidad para instalar actualizaciones pendientes. El reinicio permite que tanto el sistema operativo como las aplicaciones apliquen parches de seguridad y mejoras que, en muchos casos, no se actualizan automáticamente.

Recomendaciones de los fabricantes y opciones automatizadas

Empresas como Samsung insisten en la importancia de reiniciar periódicamente el teléfono para prevenir problemas comunes, como bloqueos inesperados o bajo rendimiento. La compañía destaca que muchas incidencias se resuelven con un simple reinicio, lo que evita visitas innecesarias al servicio técnico.

En el caso de los teléfonos Galaxy, existe la posibilidad de programar reinicios automáticos en horarios específicos, garantizando que el mantenimiento se realice sin depender de la memoria del usuario. Esta función resulta especialmente útil para quienes desean mantener su dispositivo en óptimas condiciones sin interrupciones.

Para configurar un reinicio automático (en los teléfonos que disponen de esta opción), el usuario debe acceder a los Ajustes, seleccionar la opción Mantenimiento y batería o Funciones de accesibilidad, y activar el reinicio programado eligiendo horario y días preferidos. El teléfono puede reiniciarse cuando detecta problemas de rendimiento o en horarios de bajo uso, como la madrugada.

Consejos complementarios para el cuidado del dispositivo

Los especialistas recomiendan sumar otras prácticas para maximizar la seguridad y el rendimiento del celular: cerrar aplicaciones no utilizadas para no sobrecargar la memoria, mantener el sistema operativo y las aplicaciones actualizadas, evitar la instalación de software de fuentes no oficiales y activar siempre las opciones de seguridad y bloqueo, como el PIN o los sistemas biométricos.

La incorporación del reinicio periódico como parte de la rutina de uso del teléfono móvil no solo mejora el funcionamiento, también incrementa la protección frente a amenazas digitales. En un contexto de crecientes riesgos y evolución constante de los métodos de ataque, adoptar esta sencilla medida puede marcar una diferencia significativa en la seguridad personal y en la integridad de la información almacenada en el dispositivo.

Una serie de ciberataques contra sistemas de agua de Estados Unidos alcanzó al menos siete estados, mientras agencias federales y autoridades locales intentan proteger las instalaciones sin que, hasta el momento, se hayan detectado casos de agua contaminada o insegura para beber. Las primeras evidencias apuntan a Irán como el presunto responsable detrás de estos ataques.

Una advertencia conjunta del FBI y la Agencia de Protección Ambiental detalló que parte de la actividad “afectó negativamente” operaciones de agua. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) indicó que algunos incidentes derivaron en avisos para hervir el agua y en el paso a operaciones manuales.

En la última semana se notificaron incidentes relacionados en cerca de siete estados. Según The New York Times, Minnesota fue el primer estado en informar públicamente la oleada de intrusiones en 30 sistemas de agua. Michigan confirmó después que sus sistemas también fueron atacados.

Asimismo, Wisconsin detectó actividad maliciosa y pidió a sus servicios de agua que adoptaran “medidas inmediatas para prevenir impactos potencialmente graves en nuestros sistemas”.

No se identificó un motivo económico detrás de los ataques, lo que reduce la probabilidad de un ataque delictivo. Las autoridades federales no han establecido aún una atribución definitiva, pero consideran a Irán como principal sospechoso. La investigación sigue en una etapa preliminar y obtener prueba forense concluyente puede llevar meses, si es que llega a lograrse, precisó The New York Times.

Los atacantes buscaron equipos vulnerables conectados a internet

La operación se concentró en controladores lógicos programables, o PLC, expuestos a internet. Esos dispositivos permiten que la maquinaria de plantas de agua controle presión, dosificación de químicos y otros parámetros necesarios para mantener la seguridad del suministro, reportó CNN.

La Agencia de Seguridad de Infraestructura y Ciberseguridad advirtió que los atacantes apuntaban a entidades de agua “de todos los tamaños” y recomendó desconectar de internet los controladores vulnerables. Exfuncionarios de inteligencia y especialistas en ciberseguridad dijeron que el patrón observado sugiere una “búsqueda oportunista” más que una selección previa de ciudades específicas.

Alex Orleans, excontratista de ciberseguridad del gobierno de Estados Unidos y actual jefe de inteligencia de amenazas de Sublime Security, señaló que Teherán intensificó sus operaciones cibernéticas desde que comenzó la guerra lanzada por Estados Unidos e Israel contra el país.

Sin embargo, explicó a The New York Times que “lo que no tiene precedentes” es el efecto directo sobre sistemas de control industrial activos dentro de infraestructura crítica estadounidense. A su juicio, Irán intentaba infiltrarse en la mayor cantidad posible de redes antes de que las instalaciones se protegieran de las “tácticas oportunistas” sobre las que el gobierno ya había emitido advertencias.

Por su parte, John Israel, director de seguridad informática de Minnesota, había anticipado a CNN que los atacantes seguirían probando sistemas débiles en todo el país. En la evaluación distribuida esta semana por la Oficina de Investigación Criminal de Minnesota y obtenida por el mismo medio, el “objetivo probable” era provocar pérdida de presión del sistema y una posible contaminación posterior del suministro.

Trump negó las sospechas sobre Irán y apuntó hacia Minnesota

En una reunión de gabinete, el presidente Donald Trump desestimó la posible implicación iraní y responsabilizó a las autoridades de Minnesota. “Creo que Minnesota está detrás de esto”, expresó cuando se le preguntó por la conexión con Irán, después de que The New York Times expusiera esa posibilidad. A su vez, afirmó: “Irán tiene problemas más importantes que preocuparse por Minnesota”.

El gobernador demócrata de Minnesota, Tim Walz, rechazó esa acusación en redes sociales y advirtió que “así es como se ve la guerra moderna”. Después de los comentarios de Trump, funcionarios federales dijeron en privado que Irán aún era el principal sospechoso, aunque la evaluación no contaba con prueba definitiva.

Nate George, alcalde de Braham, una pequeña ciudad al norte de Mineápolis afectada por el ataque, aseguró a The New York Times que la información recibida desde el estado y el FBI apuntaba a actores iraníes, aunque las autoridades eran reticentes a afirmarlo en público.

Un memorando de un grupo del sector que comparte datos sobre amenazas cibernéticas entre servicios de agua, obtenido por la revista Wired, señaló que los ataques coincidían con actividad de piratas informáticos afiliados a Irán.

La ofensiva expuso la fragilidad tecnológica de pequeños municipios

Pese a la magnitud del episodio, no se han reportado incidentes de contaminación. Dale George, portavoz del gobierno de Michigan, mencionó en un correo electrónico a The New York Times que recibieron un pequeño número de reportes de comunidades con actividad coherente con la descrita por las agencias federales y que todos los sistemas operan de forma segura, sin impactos conocidos para la salud pública.

Especialistas del sector del agua describieron la campaña como una de las más serias de los últimos años. Gus Serino, veterano en ciberseguridad enfocada en servicios de agua, declaró a CNN que la escala y la coordinación recientes en Minnesota no tenían precedentes, aunque la resiliencia operativa del sector ayudó a limitar daños.

La respuesta inmediata en varios lugares fue pasar a procedimientos manuales para mantener el servicio. Nate George explicó que su ciudad recibió instrucciones para corregir los sistemas afectados y reforzar defensas frente a ataques que los piratas informáticos iraníes son capaces de ejecutar, pero admitió que la infraestructura informática es elemental en muchos municipios pequeños.

“Creo que lo preocupante en el horizonte es cómo avanzamos hacia un sistema más seguro”, dijo el alcalde. Luego resumió el problema presupuestario que atraviesan muchas localidades: “Las mejoras de infraestructura informática son muy costosas y somos un municipio muy pequeño”.

La Fiscalía General de la Nación abrió una investigación por el ciberataque contra Ecopetrol tras la divulgación ilegal de información sensible de 15 empresas vinculadas con la petrolera estatal, un caso que además activó medidas para frenar la circulación de los datos y advertencias legales para quienes los usen o compartan.

La pesquisa quedó en manos de la Dirección Especializada para los Delitos Fiscales, que ya recopila evidencia digital con apoyo de peritos forenses, investigadores del CTI y dos fiscales con experiencia en delitos de naturaleza fiscal y tecnológica.

Hasta ahora, no existen pruebas de un daño esencial o especialmente grave en la operación de la compañía, aunque esa verificación hace parte del trabajo en curso.

El ataque ocurrió el 17 de julio y comprometió información reservada de compañías aliadas de Ecopetrol, divulgada luego por canales no oficiales.

La empresa activó sus protocolos internos para colaborar con las autoridades en la identificación de los responsables y contener la reproducción de los datos en plataformas digitales.

En un comunicado, Ecopetrol advirtió que la responsabilidad legal no se limita a quienes ejecutaron el ataque. La petrolera sostuvo: “Así como la actuación de los agentes externos infringen las regulaciones que protegen el tratamiento de la información de propiedad del Grupo Empresarial, los terceros que accedan a esta información también podrían estar actuando en contravía de las leyes y regulaciones aplicables”.

La compañía recurrió al mecanismo de take down para solicitar el retiro del contenido publicado ilegalmente en internet. Esa estrategia avanza en paralelo con el trabajo del Ministerio de las Tecnologías de la Información y las Comunicaciones (MinTIC) y de la Fiscalía General de la Nación para establecer quiénes estuvieron detrás del ataque.

Según fuentes del ente acusador, citadas por El Tiempo, la investigación ya fue formalmente abierta y tiene un objetivo inmediato doble: establecer el origen del ataque y respaldar a la empresa en las labores de contención. El equipo asignado trabaja al mismo tiempo sobre la mitigación técnica del episodio y sobre la obtención de pruebas para una eventual atribución penal.

Así mismo, esas mismas fuentes explicaron que “se apoya la mitigación del ataque y la recolección de evidencia digital“. Ese material será clave para determinar responsabilidades y reconstruir el recorrido de la información sustraída desde el momento del ataque hasta su publicación en canales no autorizados.

La respuesta oficial, por ahora, combina frentes técnicos y jurídicos. Mientras la autoridad judicial avanza con la pesquisa, Ecopetrol mantiene activas sus medidas de contención para evitar que la información de las 15 empresas afectadas siga circulando en internet.

El grupo The Gentlemen habría amenazado a Ecopetrol con publicar información en siete días

La Fiscalía investiga el ciberataque contra Ecopetrol en el que los responsables se llevaron más de una tera de información, incluidos datos de funcionarios y material vinculado con la Junta Directiva, según revelaron fuentes del organismo a Caracol Radio.

El ataque ocurrió hace cerca de un mes y el equipo de ciberseguridad de la empresa detectó el incidente a tiempo, lo que evitó un daño mayor.

De acuerdo con esas fuentes, los atacantes advirtieron a la compañía con un mensaje: “Pórtense bien o en 7 días sacamos la información”. Una semana después, y tras la falta de respuesta de la empresa, comenzó la exposición de los datos.

Del mismo modo, la reconstrucción del caso señaló que la intrusión se originó en una refinería de Ecopetrol y se concretó a través de un tercero con privilegios de administrador. Tras vulnerar la seguridad, usaron Kali Linux para ingresar al área de Tecnologías de la Información (TI) y extraer información mediante el directorio activo.

Según la Fiscalía, entre lo sustraído hay correos y datos asociados a la Junta Directiva, un punto que los investigadores siguen evaluando. Las fuentes atribuyeron el ataque al grupo The Gentlemen y precisaron que la investigación está en etapa de indagación.

El grupo de ciberdelincuencia The Gentlemen opera con un esquema de ransomware: recluta piratas informáticos para ejecutar ataques y cobra comisiones a cambio de esos servicios. Se presume que sus integrantes son rusos, aunque no hay claridad sobre ese origen.

Su método consiste en robar datos confidenciales de empresas antes de bloquear sus sistemas mediante cifrado. Luego exige un pago para evitar que la información sustraída se filtre de forma pública.

La compañía de ciberseguridad ESET evitó pérdidas por más de USD 12.5 millones en El Salvador durante el último año, tras un auge de ciberataques en El Salvador que ha impactado a sectores del país.

De acuerdo con un informe de ESET, el incremento de amenazas, especialmente aquellas impulsadas por inteligencia artificial, ha puesto en alerta a instituciones financieras, organismos gubernamentales, el sector educativo y empresas privadas.

La aceleración de la transformación digital en El Salvador potenció la conectividad y la modernización de las operaciones en múltiples áreas. Según el reporte, también incrementó la exposición a riesgos de ciberseguridad. El sistema ESET LiveGrid®, que utiliza inteligencia artificial para analizar amenazas en tiempo real, permitió bloquear ataques dirigidos a infraestructuras críticas, evitando así pérdidas económicas.

El análisis de ESET revela que el ransomware experimentó un aumento superior a 30% respecto al periodo anterior, situando al sector financiero como el principal blanco de los ciberatacantes, seguido de entidades gubernamentales y centros educativos. Uno de cada 35 correos electrónicos maliciosos detectados en el país correspondió a esquemas de phishing, según cifras del informe.

Para Victoria Rivas, gerente de Desarrollo de Negocios de ESET El Salvador, la naturaleza de las amenazas digitales ha cambiado en los últimos años. Rivas indicó: “hoy, las identidades de máquinas superan a las humanas en la nube y los atacantes ya no rompen el perímetro para entrar, sino que se mimetizan usando credenciales legítimas. El foco debe migrar de la detección estática hacia la resiliencia proactiva”, durante su intervención en el Tech Day.

El factor humano y la respuesta de las empresas

El informe de ESET subraya que el factor humano sigue representando una vulnerabilidad. El exceso de confianza de los colaboradores al conceder permisos o instalar aplicaciones sin la debida verificación facilita la labor de los ciberdelincuentes, quienes perfeccionan sus técnicas de ingeniería social utilizando desde falsos avisos bancarios hasta herramientas de entretenimiento que emplean inteligencia artificial. Rivas advirtió que “la misma tecnología que utilizamos para innovar es la que emplean los atacantes. Nos encontramos en un punto de quiebre donde tanto el ataque como la defensa están potenciados por la IA”.

Ante la sofisticación de los ataques, ESET presenta un modelo de ciberseguridad basado en cuatro pilares. El primero es asumir la responsabilidad corporativa, integrando la ciberseguridad en la toma de decisiones directivas, más allá de los departamentos técnicos. El segundo pilar implica ganar visibilidad sobre la información y el uso de la inteligencia artificial dentro de la organización. El tercer componente se enfoca en controlar el apetito de riesgo, sustituyendo la improvisación por políticas claras de gobernanza digital. Finalmente, el cuarto pilar es fomentar una cultura de prevención, lo que incluye la creación de comités de ciberseguridad y programas de capacitación continua.

Rivas recalcó que “la ciberseguridad ha dejado de ser una opción técnica para convertirse en un componente del negocio”. La ejecutiva sostiene que solo un enfoque transversal, donde áreas como talento humano, finanzas, operaciones e innovación participen activamente, puede fortalecer la postura defensiva de las organizaciones en El Salvador.

El reporte de ESET destaca que la defensa digital requiere combinar herramientas tecnológicas con la formación del capital humano, para anticipar y neutralizar amenazas conocidas y nuevas. Las soluciones que ofrece la compañía integran detección y respuesta, cifrado y autenticación multifactor, con soporte local y vigilancia permanente.

La comunidad de jugadores de PC se enfrenta a una amenaza de ciberseguridad silenciosa pero destructiva. Se ha detectado el abuso de los foros comunitarios de Steam para distribuir un tipo particular de malware: un criptominero oculto que se instala en los equipos aprovechando la confianza entre los propios usuarios de la plataforma.

A diferencia de los virus tradicionales que buscan robar contraseñas o secuestrar datos, este ataque apunta directamente al hardware de tu computadora, transformando tu tarjeta gráfica y procesador en una máquina de generar dinero para ciberdelincuentes.

¿Qué es exactamente un criptominero?

En el ámbito de la seguridad informática, un criptominero (también conocido como ‘cryptojacking’) es un software malicioso diseñado para instalarse en un dispositivo sin el consentimiento del usuario y utilizar sus recursos de hardware para minar criptomonedas, generalmente divisas digitales enfocadas en el anonimato como Monero (XMR).

Los gamers son el blanco perfecto para este tipo de ataque por una razón matemática fundamental:

• Hardware de alta potencia: las computadoras para videojuegos cuentan con tarjetas gráficas (GPU) y procesadores (CPU) de alto rendimiento, exactamente el tipo de componentes que se requieren para resolver los complejos cálculos matemáticos que generan criptomonedas.
• Rentabilidad para el atacante: mientras que minar en una laptop de oficina básica produce ganancias insignificantes, secuestrar una PC gamer moderna permite al delincuente obtener mayores ingresos a costa del consumo eléctrico y el desgaste físico del equipo de la víctima.

La táctica ‘ClickFix’: cómo entra el virus a tu PC mediante los foros de Steam

De acuerdo con el informe de Bleeping Computer, lo más peligroso de esta nueva campaña de infección es que no utiliza vulnerabilidades del cliente de Steam, sino una sofisticada técnica de ingeniería social conocida como ClickFix.

El ataque se ejecuta siguiendo este patrón en las discusiones y guías de la comunidad de Steam:

• El señuelo: los atacantes publican mensajes en los foros de ayuda de juegos populares prometiendo solucionar errores comunes, caídas de rendimiento (crashes), o regalando optimizadores de frames per second (FPS).
• El comando engañoso: en lugar de pedir que descargues un archivo ejecutable (algo que levantaría alertas inmediatas en el antivirus), el estafador le pide al usuario que copie un texto y lo pegue en la terminal de Windows (PowerShell o Símbolo del sistema) como un “parche manual”.
• La autoinfección: al ejecutar el comando, es el propio usuario quien le da instrucciones al sistema operativo para que descargue e instale el criptominero desde un servidor remoto en segundo plano, burlando las defensas de seguridad habituales.

Síntomas de que tu PC tiene un criptominero oculto

Una vez instalado, el software está diseñado para operar en la sombra. Sin embargo, debido al intenso uso de hardware que requiere, deja rastros físicos y de rendimiento muy evidentes:

• Ventiladores al máximo: los ventiladores de la tarjeta gráfica y el procesador giran a toda velocidad y hacen un ruido inusual incluso cuando el equipo está en reposo o con solo el navegador abierto.
• Caída brusca de FPS: experimentas tirones constantes (stuttering) o una disminución drástica y repentina del rendimiento en videojuegos que antes funcionaban de manera fluida.
• Consumo elevado en el Administrador de tareas: al presionar Ctrl + Shift + Esc, notas que el uso de CPU o GPU está en el 90% o 100% debido a procesos con nombres extraños o genéricos de Windows que se cierran misteriosamente cuando intentas inspeccionarlos.
• Sobrecalentamiento y apagones: temperaturas inusualmente altas que pueden hacer que la PC se reinicie o apague por protección térmica.

Cómo proteger tu equipo y eliminar el riesgo

Para evitar caer en esta nueva oleada de ataques dentro de Steam, las medidas de prevención y remediación se basan en el sentido común digital y el control del sistema:

• Nunca ejecutes comandos de desconocidos: desconfía de cualquier guía, foro de ayuda o usuario en Steam que te pida abrir PowerShell, la terminal de comandos (CMD) o la ventana “Ejecutar” (Win + R) para copiar y pegar secuencias de código.
• Revisa las extensiones y tareas programadas: muchos criptomineros configuran tareas en el Programador de tareas de Windows para reactivarse cada vez que enciendes la computadora.
• Utiliza herramientas de análisis profundo: si sospechas que tu equipo está minando para terceros, ejecuta un análisis completo en modo seguro con tu software de seguridad o herramientas especializadas en detección de malware persistente.
• Reporta los hilos fraudulentos: utiliza el botón de reporte dentro de Steam para que los moderadores eliminen las guías y comentarios que distribuyen técnicas como ClickFix antes de que afecten a jugadores menos experimentados.

El crecimiento de los ciberataques en México ha alcanzado niveles preocupantes en el último año, con un aumento del 38% en los incidentes de ransomware que afectan a empresas de distintos sectores.

Este fenómeno no solo evidencia la vulnerabilidad de los sistemas, sino también la creciente utilización de inteligencia artificial en estas prácticas, cuyo uso se ha incrementado casi un 90%, de acuerdo con cifras de la University of Advanced Technologies (UNIAT). La situación pone en alerta a los sectores productivos y destaca la necesidad urgente de fortalecer la protección digital en el país.

La experta en ciberseguridad y directora de Vinculación de la UNIAT, Nicole Filippetti, advirtió sobre un déficit de más de 77.000 especialistas en el área, lo que deja a las organizaciones en una posición susceptible ante amenazas que evolucionan con rapidez.

El costo promedio para recuperarse de un ciberataque es de 1,35 millones de dólares, y el 70% de los rescates exigidos supera el millón de dólares. Esta realidad se traduce en que seis de cada diez compañías afectadas cierran en los seis meses posteriores al incidente, según estimaciones del sector.

A nivel regional, el Reporte Sobre el Panorama de Amenazas 2026 de FortiGuard Labs revela que América Latina sufrió 843,3 billones de intentos de hackeos durante 2025, con Brasil como el país más afectado, seguido de México y Colombia. En el caso mexicano, más del 60% de las empresas reportó haber sido víctima de algún incidente digital en el último año, pero solo el 27% cuenta con servicios especializados de protección, lo que evidencia una brecha considerable en prevención y respuesta.

Brechas de talento y retos en la formación de especialistas para la ciberseguridad

El crecimiento exponencial de la ciberdelincuencia ha puesto de manifiesto una carencia estructural de profesionales capacitados. Filippetti señala que el 68% de los empleadores industriales enfrenta dificultades para contratar perfiles especializados en ciberseguridad, inteligencia artificial y análisis de datos, competencias esenciales para las industrias como la manufactura avanzada y el aeroespacial.

De los 278.000 profesionales formados en Tecnologías de la Información y Comunicación (TIC) en el país, apenas el 3% posee el nivel de inglés técnico requerido para operaciones binacionales, lo que limita la capacidad de los negocios localizados en la frontera norte.

Esta escasez de talento incrementa los costos para las compañías que buscan contratar personal calificado y obliga a muchas a operar con altos niveles de exposición al riesgo.

Además, el costo de recuperación tras un ataque puede ser entre seis y ocho veces mayor que la inversión necesaria en prevención. Se estima que las pérdidas económicas anuales por ciberdelincuencia en el país rondan los 20.000 millones de pesos (1.146 millones de dólares), aunque expertos advierten que el daño reputacional suele generar consecuencias más graves, como la pérdida de contratos clave y la confianza de clientes internacionales.

Falsos programas de Google y archivos PDF amenazan la ciberseguridad de América Latina

Una nueva oleada de ciberataques afecta a gobiernos y empresas en Latinoamérica, impulsada por la operación conocida como StrikeShark. Según investigaciones de Kaspersky, estas agresiones utilizan el malware SharkLoader, el cual se infiltra en sistemas mediante archivos PDF maliciosos, versiones falsas de programas como Google Update y la explotación de vulnerabilidades en servidores Microsoft, logrando evadir sistemas de detección tradicionales.

El núcleo de la amenaza radica en la sofisticación de este sistema, que emplea técnicas como DLL side-loading para cargar módulos cifrados y obtener acceso persistente en los equipos. Los atacantes aprovechan aplicaciones legítimas y sistemas desactualizados para ingresar a las redes, mientras que en la fase final despliegan la herramienta Cobalt Strike Beacon, permitiendo el control remoto, movimiento lateral y extracción de información confidencial.

Ecopetrol activó acciones para retirar de internet información robada de 15 empresas de su grupo tras el ciberataque que sufrió la entidad el 17 de julio de 2026, mientras admitió que el impacto total del incidente sigue sin establecerse y que aún no puede descartar nuevas filtraciones, litigios o efectos sobre su operación y su situación financiera.

La compañía informó que trabaja con la Fiscalía General de la Nación y el Ministerio de Tecnologías de la Información y las Comunicaciones (MinTIC) para bajar el contenido publicado ilegalmente, restringir su acceso público y avanzar en las investigaciones. Al mismo tiempo, señaló que el alcance, los efectos y los costos del ataque continúan en evaluación.

La compañía petrolera indicó que, hasta ahora, no ha identificado afectaciones en las soluciones tecnológicas transaccionales de su ecosistema digital ni en las de sus subordinadas o de su red de socios comerciales y financieros, proveedores y clientes. Esa revisión abarca las plataformas que soportan sus operaciones y la infraestructura tecnológica vinculada con terceros.

Según la estatal petrolera, la información divulgada corresponde a datos copiados de manera ilegal durante el incidente de ciberseguridad registrado.

Las gestiones se realizan con la Unidad de Delitos Informáticos de la Fiscalía General de la Nación y con el MinTIC, mediante procedimientos de retiro de contenido en internet conocidos como take down y otras medidas para limitar el acceso de terceros.

La petrolera sostuvo que la extracción, publicación y uso indebido de información de propiedad del grupo empresarial vulneran las normas sobre protección y tratamiento de esa información.

En esa línea, advirtió: “Así como la actuación de los agentes externos infringen las regulaciones que protegen el tratamiento de la información de propiedad del Grupo Empresarial, los terceros que accedan a esta información también podrían estar actuando en contravía de las leyes y regulaciones aplicables”.

La respuesta de la empresa incluye la continuidad de las acciones legales contra el actor externo que señala como responsable del incidente. También mantendrá activos sus protocolos de respuesta para contener la difusión de los archivos y reducir los efectos derivados de su publicación no autorizada.

Ecopetrol confirmó que el incidente ocurrió el 17 de julio de 2026, cuando un actor externo intentó sustraer información de la compañía. Después, el grupo de ransomware The Gentlemen se atribuyó el ataque y publicó información relacionada con sus víctimas.

De acuerdo con el Grupo de Respuesta a Emergencias Cibernéticas de Colombia, ColCERT, esa estructura tenía actividad internacional y estaba vinculada con más de 200 ataques en 50 países hasta abril de 2026. Los reportes oficiales también le atribuyen cerca del 10% de los ataques de ransomware registrados en el mundo y la ubican entre los grupos con mayor actividad, después de Qilin.

Las autoridades explicaron que el grupo realiza tareas de reconocimiento previo de las redes objetivo, identifica vulnerabilidades y equipos conectados, accede mediante servicios de administración expuestos en internet o credenciales obtenidas ilícitamente, explora la red interna, extrae datos hacia servidores externos por canales cifrados y elimina registros antes de ejecutar el cifrado de la información.

ColCERT advirtió que “el grupo mantiene actividad de intrusión activa y confirmada, con capacidad demostrada de comprometer el dominio completo de una organización y desplegar el cifrado en cuestión de minutos una vez alcanzados privilegios de administrador de dominio”.

Los registros disponibles indican que la organización apareció a mediados de 2025, opera un sitio en la dark web y supera las 250 víctimas en distintos países, con casos reportados principalmente en Estados Unidos y Tailandia, además de India, México, España, Francia y Colombia. El grupo también se ha atribuido ataques contra BCN Medical y Canal Capital.

La empresa afirmó de forma expresa que todavía no puede determinar las consecuencias finales del incidente. En su actualización más reciente señaló: “No puede garantizarse que los esfuerzos de remediación de la Compañía sean efectivos, que no se divulgue información adicional o que el incidente no dé lugar a procedimientos regulatorios, iniciación de litigios, daños reputacionales u otros efectos adversos materiales sobre el negocio, la situación financiera y/o los resultados de operación de la Compañía”.

Ese reconocimiento dejó abierta la posibilidad de nuevas publicaciones de información y de actuaciones administrativas o judiciales derivadas del caso. Mientras tanto, Ecopetrol mantendrá la coordinación con las autoridades para retirar el material divulgado ilegalmente, restringir su acceso y avanzar en las investigaciones sobre el ciberataque.

La Asamblea Legislativa de Costa Rica informó este martes que fue objeto de un intento de ciberataque contra sus sistemas informáticos, situación que obligó a activar los protocolos de seguridad establecidos para proteger la infraestructura tecnológica del Congreso.

La información fue dada a conocer por la presidenta del Directorio Legislativo, Yara Jiménez, quien explicó que el incidente ocurrió entre la noche del lunes y la madrugada de este martes. Tras detectar el intento de vulneración, las áreas de Seguridad y Tecnologías de la Información intervinieron de inmediato para impedir que los atacantes lograran acceder a los sistemas institucionales.

Según explicó la jerarca, ya solicitó un informe detallado a ambas dependencias para conocer el alcance del incidente y las acciones ejecutadas durante la atención de la emergencia.

“Entre anoche y hoy en la madrugada la Asamblea Legislativa sufrió una especie de ciberataque. He pedido un informe a la Gerencia de Seguridad y a Tecnologías de la Información de la Asamblea Legislativa”, manifestó.

De acuerdo con la explicación brindada, el objetivo de los responsables era vulnerar los sistemas de información del Congreso. Sin embargo, la respuesta inmediata de los equipos especializados permitió activar los mecanismos de protección antes de que se concretara un acceso no autorizado.

La presidenta del Congreso indicó que, como parte del protocolo de respuesta, fue necesario desactivar temporalmente los sistemas informáticos.

“Trataron de vulnerar nuestros sistemas de información y eso hizo que tuvieran que intervenir los señores de seguridad de la Asamblea Legislativa para evitar que vulneraran, evidentemente, nuestros sistemas de información”, señaló.

Añadió que este tipo de incidentes obliga a priorizar la protección de la información institucional sobre la disponibilidad inmediata de los servicios tecnológicos.

“Cuando eso sucede, por supuesto que hay protocolos y el protocolo fue justamente desactivar los sistemas para evitar que los intrusos que intentaron vulnerarlos entraran en nuestro sistema”, explicó.

La interrupción temporal de algunos servicios también obligó a modificar la forma en que se comunicó la agenda legislativa del día.

Con el propósito de garantizar la continuidad del trabajo parlamentario y que los diputados tuvieran acceso oportuno a la convocatoria de la sesión, la Asamblea Legislativa decidió publicar el orden del día mediante un alcance del diario oficial La Gaceta.

“Ante una situación como esa, aquí prima la continuidad de la gestión pública y fue por eso que la opción que nosotros tomamos fue publicar el orden del día en el Diario Oficial La Gaceta, en un alcance, para que ustedes tuvieran acceso al orden del día”, indicó la presidenta del Congreso.

Hasta el momento, las autoridades legislativas no han informado si el intento de ataque provocó filtraciones de información, pérdida de datos o afectaciones permanentes en la infraestructura tecnológica de la institución.

Tampoco se han dado a conocer detalles sobre el origen del intento de intrusión ni sobre los responsables, aspectos que formarán parte del informe solicitado a las áreas técnicas y de seguridad.

El incidente ocurre en un contexto en el que las instituciones públicas del país han reforzado sus medidas de ciberseguridad tras diversos ataques informáticos registrados en los últimos años, por lo que la Asamblea Legislativa aseguró que continuará aplicando los protocolos establecidos para resguardar sus sistemas y garantizar la continuidad de sus funciones.

El Buró Federal de Investigaciones (FBI) de Estados Unidos detuvo a un joven de Florida acusado de operar un esquema que utilizaba videojuegos infectados en Steam para robar fondos de criptomonedas a usuarios a nivel internacional.

La investigación, desarrollada durante casi dos años, permitió identificar a decenas de víctimas y evidenciar el impacto financiero de la maniobra.

Un esquema basado en juegos infectados

Según información publicada por WPLG Local 10, Zyaire Dontaevious Zamarion Wilkins, de 21 años, fue arrestado el martes pasado en North Lauderdale, Florida, y enfrenta cargos federales por conspiración para obtener información informática con fines de lucro.

La acusación formal, de 15 páginas, detalla cómo Wilkins participó en una operación que distribuyó malware a través de al menos ocho videojuegos, afectando unas 8.000 computadoras y robando cerca de 220.000 dólares de alrededor de 80 billeteras de criptomonedas entre mayo de 2024 y febrero de 2026.

El documento judicial identifica la plataforma utilizada únicamente como “una popular empresa de distribución digital de software”. Los títulos mencionados —BlockBlasters, Dashverse, Lunara y PirateFi— coinciden con los juegos referidos por el FBI en marzo, cuando solicitó la colaboración de víctimas de títulos de Steam infectados.

El caso se tramita en el tribunal federal de Seattle, cerca de la sede de Valve, desarrolladora de Steam, y la detención de Wilkins constituye el primer arresto público relacionado con esta investigación.

Modus operandi: promoción y selección de víctimas

Wilkins financió y promocionó el malware, sin ser su creador directo. Agentes federales ya habían allanado la vivienda del desarrollador, cuya identidad se mantiene reservada y que de momento no enfrenta cargos.

Las conversaciones obtenidas en la aplicación Signal durante ese operativo vincularon a Wilkins —bajo el seudónimo Sibel.eth— con la compra de un troyano de acceso remoto por 10.000 dólares y con intercambios sobre cómo engañar a los usuarios para que autorizaran transacciones que vaciaban sus carteras digitales.

La distribución y promoción de los juegos ocurrió en plataformas como Discord, Telegram, X y LinkedIn. Los implicados utilizaron bots para identificar usuarios con grandes tenencias de criptomonedas y enviarles mensajes directos, lo que explica que solo cerca del 1% de los dispositivos infectados llegara a sufrir robos efectivos. Según el informe, 80 billeteras fueron vaciadas entre las 8.000 computadoras comprometidas.

Impacto financiero y rastreo de fondos

El análisis realizado por especialistas como ZachXBT y vx-underground —citado por el portal Tom’s Hardware— estimó que BlockBlasters solo habría permitido sustraer más de 150.000 dólares de entre 261 y 478 víctimas. Entre los casos documentados figura el robo de 32.000 dólares, originalmente donados para el tratamiento contra el cáncer de un streamer de Twitch en septiembre de 2025.

El FBI detalló que los pagos extraídos de las billeteras de las víctimas se transfirieron a Bitrefill, un servicio de tarjetas de regalo. Más de 150 de estas tarjetas fueron adquiridas y la mayoría se utilizó para compras en Uber Eats. La investigación permitió vincular las tarjetas a una cuenta con entregas en el domicilio familiar de Wilkins y en sus direcciones estudiantiles en la University of West Florida.

Durante un registro en la vivienda de North Lauderdale, realizado una semana antes de la detención, los agentes confiscaron varios dispositivos electrónicos y tres frases semilla de billeteras de criptomonedas, una de ellas correspondiente a una billetera de Monero. Según la acusación, Wilkins registró un historial de transacciones por 382.000 dólares en criptomonedas.

Proceso judicial y reacción de Valve

Wilkins enfrenta una posible condena de hasta 10 años de prisión si resulta culpable y su primera comparecencia en la corte federal de Fort Lauderdale estaba programada para el 15 de julio. Valve —compañía que ha experimentado varios incidentes de malware en su plataforma, incluido el caso reciente del juego Chemia Early Access— no había respondido a las solicitudes de comentarios al momento de la publicación.

La operación revelada pone en evidencia los riesgos crecientes en el ecosistema de los videojuegos digitales y el uso de plataformas populares como vehículo para fraudes financieros sofisticados.

La inteligencia artificial ya no solo sirve para generar textos, crear imágenes o automatizar tareas cotidianas. Investigadores en ciberseguridad detectaron el primer caso documentado de un ransomware impulsado por un agente de IA capaz de ejecutar un ataque prácticamente de principio a fin sin intervención técnica humana durante su desarrollo. El hallazgo enciende las alarmas sobre una nueva etapa del cibercrimen, en la que los ataques podrían multiplicarse y ejecutarse en cuestión de segundos.

El descubrimiento fue realizado por el Equipo de Investigación de Amenazas (TRT) de Sysdig, que identificó una operación de extorsión impulsada por un modelo de lenguaje de gran tamaño (LLM). Aunque una persona fue la encargada de seleccionar el objetivo y preparar la infraestructura necesaria para el ataque, el agente de inteligencia artificial asumió el resto del proceso, tomando decisiones de manera autónoma conforme avanzaba la intrusión.

De acuerdo con los investigadores, este caso representa un cambio importante en la forma en que podrían operar los ciberdelincuentes en el futuro, ya que la IA no se limita a ejecutar instrucciones programadas, sino que puede analizar situaciones, adaptarse a los obstáculos y modificar su estrategia sin esperar nuevas órdenes.

JadePuffer, el agente de IA que ejecuta ataques por sí solo

El sistema identificado por Sysdig fue bautizado como JadePuffer y es considerado un ATA (Agentic Threat Actor), un tipo de amenaza en la que un agente de inteligencia artificial sustituye gran parte del trabajo que antes realizaban operadores humanos.

Durante la investigación, los expertos observaron que el agente era capaz de razonar en lenguaje natural, priorizar objetivos y documentar cada paso del ataque mediante comentarios generados automáticamente, algo poco habitual en las campañas tradicionales de ransomware.

Otra de las características que llamó la atención fue su capacidad para adaptarse en tiempo real. Cuando encontraba un obstáculo, el sistema analizaba el error, ajustaba su estrategia y volvía a intentarlo con nuevos parámetros. En uno de los casos documentados, logró pasar de un intento de acceso fallido a una solución funcional en apenas 31 segundos.

La IA no elige a la víctima, pero sí ejecuta el ataque

Los investigadores aclaran que la inteligencia artificial todavía no decide por sí sola a quién atacar. Michael Clark, director sénior de investigación de amenazas de Sysdig, explicó que una persona sigue siendo necesaria para preparar la infraestructura, seleccionar el objetivo y configurar el servidor de comando y control.

Sin embargo, una vez iniciado el proceso, el agente puede desarrollar prácticamente toda la operación sin supervisión técnica constante, lo que reduce significativamente el tiempo y los conocimientos necesarios para ejecutar un ataque complejo.

Este cambio podría facilitar que más grupos criminales utilicen herramientas de IA para automatizar campañas de ransomware, incrementando tanto la frecuencia como la velocidad de los ataques.

Cómo logró infiltrarse el ransomware

Según Sysdig, JadePuffer no utilizó técnicas completamente nuevas. El agente aprovechó una vulnerabilidad conocida, identificada como CVE-2025-3248, que afectaba a Langflow, una plataforma de código abierto utilizada para desarrollar aplicaciones basadas en modelos de lenguaje y agentes de inteligencia artificial.

Gracias a esa falla de seguridad, el ransomware obtuvo acceso remoto al sistema sin autorización y comenzó a ejecutar las diferentes fases del ataque.

Posteriormente buscó mecanismos para escapar de los contenedores donde se ejecutaban las aplicaciones y desplegó el ransomware, cifrando 1.342 elementos de configuración del servicio Nacos antes de eliminar los archivos originales, una práctica habitual en este tipo de ataques para impedir la recuperación de la información.

Un riesgo creciente para empresas y organizaciones

El hallazgo coincide con las advertencias de especialistas en ciberseguridad sobre el uso de modelos de IA cada vez más avanzados por parte de grupos criminales.

Los expertos señalan que el riesgo no consiste únicamente en la aparición de modelos más potentes, sino en la posibilidad de automatizar tareas que antes requerían equipos especializados y largas horas de trabajo.

Esta automatización puede reducir los costos para los atacantes y acelerar la explotación de vulnerabilidades conocidas, especialmente en sistemas que no reciben actualizaciones de seguridad de forma periódica.

Según el informe State of Ransomware Q1 2026 de Check Point, España concentra el 2 % de las víctimas de ransomware registradas durante este año, mientras que Estados Unidos continúa siendo el país más afectado, con cerca de la mitad de los casos identificados a nivel mundial.

La IA también puede convertirse en una herramienta de defensa

Pese al panorama preocupante, los investigadores destacan que la inteligencia artificial también representa una oportunidad para fortalecer la ciberseguridad.

Los mismos agentes inteligentes capaces de automatizar ataques pueden emplearse para detectar vulnerabilidades, analizar comportamientos sospechosos y responder con mayor rapidez ante incidentes de seguridad.

Mientras los ciberdelincuentes exploran nuevas formas de aprovechar estas tecnologías, empresas y organizaciones también aceleran la incorporación de herramientas basadas en IA para reforzar la protección de sus sistemas. El desafío será mantener ese equilibrio en una carrera tecnológica donde la velocidad y la capacidad de adaptación serán factores decisivos para ambos lados.

Una nueva modalidad de ransomware está poniendo a prueba los sistemas de seguridad tradicionales de empresas en todo el mundo. La campaña WantToCry representa una amenaza que desafía los métodos convencionales de protección, ya que permite el secuestro de archivos sin dejar los rastros habituales que suelen detectar los antivirus y otras herramientas de defensa digital.

Esta técnica, documentada por la investigación de Sophos, revela cómo los ciberdelincuentes logran cifrar información sin ejecutar malware en los dispositivos de las víctimas, lo que obliga a reformular las estrategias de detección y respuesta ante incidentes.

Cómo funciona el ransomware sin rastros detectables

El punto de partida de este tipo de ataques radica en la identificación de servicios SMB expuestos a internet. Los atacantes buscan sistemas con configuraciones vulnerables, especialmente aquellos utilizados para el intercambio de archivos empresariales, y prueban credenciales débiles hasta que logran acceder.

Una vez dentro, el procedimiento difiere radicalmente de las tácticas conocidas: los archivos no se cifran en el equipo comprometido, sino que se trasladan primero a una infraestructura controlada por los atacantes.

En ese entorno externo, los archivos extraídos se someten al proceso de cifrado. Solo después de esta manipulación, los delincuentes devuelven los documentos ya bloqueados al sistema original junto con una nota de rescate, haciendo muy difícil rastrear el ataque desde el entorno afectado. El resultado es un incidente que escapa a muchos de los controles implementados por soluciones antivirus y de detección y respuesta a nivel de endpoint.

Esta campaña opera aprovechando la presencia de más de 1,5 millones de dispositivos con servicios de intercambio de archivos expuestos a internet al comienzo de 2026, según datos analizados por los investigadores de Sophos. Ese volumen de equipos se convierte en una lista permanente de posibles blancos para este tipo de maniobras.

Técnicas de ataque utilizadas por los ciberdelincuentes

El ransomware WantToCry emplea métodos de fuerza bruta para acceder a servicios empresariales de intercambio de archivos expuestos en los puertos 139 y 445. Una vez obtenidas las credenciales correctas, los atacantes inician sesiones autenticadas que les permiten leer, copiar y sobrescribir archivos del sistema atacado.

La clave de esta técnica consiste en realizar todo el proceso de cifrado fuera del entorno comprometido. Así, desaparecen los indicadores locales que normalmente activarían alertas en las soluciones de seguridad.

Tras la devolución de los archivos cifrados, las víctimas encuentran una nota de rescate identificada como “!Want_To_Cry.txt” y los archivos afectados presentan la extensión “.want_to_cry”.

El monto exigido por los delincuentes en estos ataques es notoriamente inferior al que suele asociarse con campañas de ransomware de alto perfil. En la mayoría de los casos documentados, las demandas se ubican alrededor de los 600 dólares, aunque existen reportes públicos de cifras entre 400 y 1.800 dólares.

Cabe señalar que esta estrategia sugiere que los atacantes buscan ataques rápidos, discretos y susceptibles de repetirse en múltiples objetivos.

Vulnerabilidades y puntos ciegos en la seguridad empresarial

El éxito de la campaña WantToCry evidencia la existencia de varios puntos ciegos en los sistemas de defensa empresarial. La técnica de cifrado remoto elimina la necesidad de ejecutar código malicioso en el equipo objetivo, lo que anula la eficacia de varias capas de protección basadas en la detección de malware o comportamientos sospechosos en los endpoints.

Entre los principales factores de riesgo identificados se encuentran la exposición de servicios de intercambio de archivos a internet, la utilización de credenciales débiles o configuraciones de invitado y la falta de segmentación adecuada en las copias de seguridad.

Estos elementos, presentes en muchas infraestructuras empresariales, abren la puerta a ataques que resultan prácticamente invisibles para los mecanismos de defensa tradicionales.

Medidas para reducir el riesgo de ataques de ransomware invisibles

Frente a este escenario, existen cinco recomendaciones clave que pueden ayudar a las organizaciones a reducir su exposición a este nuevo tipo de ransomware:

1. Cerrar el acceso a internet de los servicios utilizados para compartir archivos internamente.
2. Eliminar la posibilidad de accesos anónimos o configuraciones de invitado que permitan conexiones sin autenticación robusta.
3. Revisar y fortalecer todas las credenciales asociadas a servidores y recursos compartidos, evitando contraseñas predecibles.
4. Asegurar que las copias de seguridad estén aisladas y no sean accesibles mediante los mismos servicios empleados para el intercambio de archivos.
5. Supervisar de manera constante los intentos repetidos de autenticación y cualquier actividad inusual relacionada con la lectura o escritura masiva de información desde direcciones externas.

Estas acciones se plantean como la ruta más efectiva para evitar convertirse en la próxima víctima de una campaña que aprovecha debilidades estructurales y operativas. La experiencia reciente muestra que el riesgo de ataques exitosos ya no depende solo de vulnerabilidades de software, sino que una mala configuración o una contraseña insuficiente bastan para desencadenar una operación de cifrado remoto que, en muchos casos, pasa inadvertida.

El panorama presentado por la campaña WantToCry marca un cambio de paradigma en la forma en que deben protegerse las infraestructuras empresariales y redefine las prioridades en materia de ciberseguridad.

La Unidad de Análisis Financiero (UAF), una de las instituciones más sensibles del sistema panameño de prevención del lavado de dinero y financiamiento del terrorismo, suspendió temporalmente sus plataformas tecnológicas tras detectar un incidente de seguridad informática que actualmente es investigado por sus equipos técnicos y administrativos.

La entidad informó, mediante un comunicado, que desde el momento en que fue detectado el incidente activó sus protocolos internos de respuesta, implementando medidas de contención, análisis y fortalecimiento de los controles de seguridad con el propósito de determinar el alcance de los hechos y proteger la información bajo su custodia.

Como parte de esas medidas preventivas, la UAF decidió suspender temporalmente sus plataformas y servicios tecnológicos mientras culminan las labores de verificación y aseguramiento de los sistemas.

La institución sostuvo que, hasta el momento, no existen indicios de que información sensible o clasificada haya sido comprometida, aunque aclaró que las investigaciones y verificaciones técnicas continúan.

a

“La Unidad de Análisis Financiero reitera que cualquier comunicación oficial relacionada con este asunto será emitida exclusivamente a través de sus canales institucionales autorizados", señaló la entidad.

Una institución clave para combatir el crimen financiero

Aunque suele mantenerse fuera del foco público, la UAF cumple una de las funciones más importantes dentro del sistema financiero panameño. Creada mediante el Decreto Ejecutivo No. 163 de 2000, la Unidad de Análisis Financiero recibe, analiza y procesa reportes de operaciones sospechosas remitidos por bancos, aseguradoras, casas de valores, fiduciarias, casinos, promotores inmobiliarios, abogados, contadores y otros sujetos obligados por la legislación antilavado.

Su misión consiste en identificar posibles esquemas de lavado de activos, financiamiento del terrorismo y proliferación de armas de destrucción masiva, elaborando inteligencia financiera que posteriormente puede ser remitida al Ministerio Público cuando existan elementos suficientes para iniciar investigaciones penales.

La información que administra incluye reportes de transacciones financieras inusuales, movimientos bancarios, perfiles de riesgo y datos de personas naturales y jurídicas, así como información proveniente de organismos nacionales e internacionales dedicados a la lucha contra el crimen organizado. Precisamente por el carácter reservado de esa información, la UAF es considerada una infraestructura crítica dentro del Estado panameño.

Mientras la investigación oficial continúa, medios y publicaciones difundidas en redes sociales han señalado que el incidente estaría relacionado con un actor cibernético que utiliza el seudónimo “Gordon Freeman”, conocido por ataques contra instituciones públicas en distintos países.

De acuerdo con esas publicaciones, el supuesto atacante afirma haber obtenido una base de datos de aproximadamente 87,592 registros, acompañada de imágenes escaneadas que sumarían 37.17 gigabytes de información.

También sostiene que entre el material existirían nombres, correos electrónicos, estados de cuenta, documentos personales y fotografías de cédulas de identidad, información que presuntamente estaría siendo ofrecida en foros clandestinos.

Hasta el momento, la UAF no ha confirmado la autenticidad de esas afirmaciones ni el volumen de información que supuestamente habría sido comprometido, por lo que esos señalamientos permanecen sin verificación oficial.

El actor que utiliza el alias “Gordon Freeman” —nombre tomado del protagonista del videojuego Half-Life— ha sido vinculado por empresas especializadas en inteligencia de amenazas con ataques recientes contra instituciones públicas de España, Guatemala y Venezuela, donde presuntamente ha utilizado la filtración y posterior venta de bases de datos como mecanismo de extorsión.

El incidente se suma a una serie de ataques que han afectado plataformas gubernamentales panameñas durante 2026. En meses recientes se han reportado incidentes en entidades como la Caja de Seguro Social, Panamá Emprende, la Contraloría General de la República y el Ministerio de Trabajo.

Panamá destina alrededor de 26 millones de dólares anuales a ciberseguridad, de los cuales unos 6 millones corresponden directamente a la Autoridad Nacional para la Innovación Gubernamental (AIG) y aproximadamente 20 millones son ejecutados por el resto de las entidades estatales.

Funcionarios de la AIG han señalado que el Estado mantiene una política de no pagar rescates y que el trabajo del Equipo Nacional de Respuesta a Incidentes Informáticos (CSIRT) se concentra en identificar vulnerabilidades antes de que puedan convertirse en incidentes con impacto operativo.

El caso de la UAF vuelve a poner sobre la mesa uno de los principales desafíos para las instituciones públicas: proteger sistemas que almacenan información altamente sensible frente a amenazas cada vez más sofisticadas, mientras las investigaciones buscan determinar si el incidente quedó contenido o si efectivamente existió una filtración de datos.

Un reciente incidente de ciberseguridad ha puesto en alerta a usuarios del reconocido gestor de contraseñas LastPass. Un ataque dirigido a la cadena de suministro de su proveedor Klue permitió a piratas informáticos acceder a datos personales de clientes, utilizando como puerta de entrada el entorno Salesforce.

Aunque la infraestructura principal de LastPass y sus productos no se vieron comprometidos, los criminales lograron obtener información sensible a través de la manipulación de tokens OAuth, lo que ha puesto en el centro del debate la vulnerabilidad de los servicios intermediarios.

Ataque a la cadena de suministro expone datos de clientes de LastPass

El 12 de junio de 2026, se detectó una actividad no autorizada que tuvo como objetivo a Klue, plataforma de inteligencia de mercado utilizada por varias empresas, incluyendo LastPass. Los atacantes consiguieron robar tokens OAuth, que funcionan como llaves digitales temporales para acceder a servicios como Salesforce sin requerir contraseñas.

Este método les permitió hacerse pasar por aplicaciones legítimas y, de ese modo, extraer información confidencial de los clientes de LastPass.

La brecha no fue consecuencia de una falla directa en la seguridad del gestor de contraseñas, sino de una estrategia que explotó la integración entre Klue y otros servicios como Salesforce. Al obtener los tokens OAuth, los delincuentes accedieron a los sistemas sin levantar sospechas inmediatas.

Según el blog oficial de LastPass, una vez detectado el incidente, se procedió de inmediato a iniciar una investigación interna para determinar el alcance del acceso no autorizado y tomar medidas correctivas.

El proveedor afectado, Klue, también se pronunció mediante una publicación el 22 de junio del mismo año. Confirmaron la detección rápida del incidente y la apertura de una investigación para esclarecer los hechos. No obstante, no se detalló públicamente qué tipo de credenciales fueron robadas ni cuántos clientes resultaron afectados.

Datos expuestos y riesgos para los usuarios de LastPass

De acuerdo con la información proporcionada por LastPass, los datos que quedaron expuestos incluyen nombres, números de teléfono, direcciones de correo electrónico, direcciones físicas y datos relacionados con ventas. Es importante destacar que no se comprometieron contraseñas, la clave maestra ni los productos o la infraestructura principal de la compañía.

Estos datos, aunque no habilitan el acceso directo a las cuentas, representan un riesgo considerable para los usuarios afectados. Los ciberdelincuentes pueden emplear la información obtenida para llevar a cabo campañas de phishing.

Al disponer de datos personales como nombre, dirección, teléfono o correo electrónico, es viable que intenten suplantar la identidad de LastPass y contacten a las víctimas para obtener información adicional o inducirlas a acceder a enlaces fraudulentos.

El impacto potencial de la filtración se extiende más allá del acceso a información individual. Los datos personales robados suelen tener un alto valor en mercados ilegales como la Dark Web, donde pueden ser vendidos a otros actores maliciosos. Estos pueden utilizarlos para nuevos ataques, suplantación de identidad y para expandir su alcance hacia contactos relacionados con las víctimas iniciales.

Recomendaciones para usuarios tras la filtración

A raíz de este incidente, desde LastPass recomiendan a quienes tengan una cuenta en el servicio que extremen las precauciones frente a posibles intentos de fraude. Es fundamental desconfiar de cualquier correo electrónico o mensaje de texto recibido en los próximos días que solicite información personal o lleve a páginas web sospechosas.

La compañía ha reiterado que las únicas comunicaciones confiables son aquellas que provienen de canales oficiales de soporte. Se desaconseja prestar atención a mensajes que lleguen por medios alternativos, ya que los atacantes podrían aprovechar la confusión para robar contraseñas o datos sensibles.

Entre las acciones tomadas por la compañía para mitigar el impacto, se encuentra la desactivación del acceso de sus empleados a la plataforma Klue, la rotación de los tokens API/OAuth expuestos y la notificación a las autoridades correspondientes. La investigación interna sigue en curso para determinar la magnitud total de la filtración y evitar incidentes similares en el futuro.

No es la primera vez que LastPass enfrenta un incidente de seguridad. En diciembre de 2022, ya se había producido una filtración de datos que afectó a sus usuarios. Aunque en esta ocasión la vulnerabilidad provino de un proveedor externo, el episodio resalta la creciente amenaza que representan los ataques a la cadena de suministro, considerados uno de los vectores más peligrosos en la actualidad.

Un fallo en el sistema de comunicaciones obligó a la red ferroviaria alemana a detener todos los trenes -municipales, regionales y de larga distancia- en la noche del martes. El incidente dejó a pasajeros varados en diversas estaciones del país. Los servicios permanecieron paralizados mientras los usuarios formaban largas filas en los mostradores de información intentando averiguar alternativas para llegar a sus destinos.

El principal operador nacional, Deutsche Bahn, anunció poco antes de la 1 de la madrugada del miércoles que el problema se había resuelto y que el servicio comenzaba a reanudarse “paso a paso”.

La compañía explicó que la interrupción se debió a un problema nacional con el sistema de comunicación digital GSM-R, utilizado para la coordinación interna de la red ferroviaria. Aunque se identificó la causa, no se ofrecieron detalles al respecto.

La directora ejecutiva de empresa, Evelyn Palla, declaró al diario Bild que “lograron estabilizar la situación con un sistema de emergencia”. Durante la interrupción, la empresa ofreció vales de taxi y hotel a los afectados y mantuvo trenes en estaciones para facilitar el traslado de los pasajeros. Deutsche Bahn pidió disculpas por los inconvenientes.

En la estación central de Berlín, pasajeros como Reyna Ghoshal, de Atlanta, intentaban regresar a Múnich y describieron la escena como llena de “caras tristes”. Ghoshal señaló: “El revisor del tren fue muy amable, pero simplemente dijo: ‘No sabemos’”. También comentó que reservaron un autobús para la mañana siguiente ante la falta de información clara.

Las quejas por retrasos e interrupciones en los trenes alemanes han aumentado en los últimos años. Deutsche Bahn, empresa estatal, inició reformas profundas en sus principales rutas para mejorar su rendimiento tras años de escasa inversión. El sistema ferroviario solo se había visto obligado a detener la totalidad de sus trenes en ocasiones anteriores debido a tormentas, pero no por fallos técnicos.

En el norte de Alemania, los trenes quedaron “completamente paralizados, porque la radio ferroviaria está fuera de servicio a gran escala”, informó la compañía regional privada Metropol. Metronom, que opera líneas regionales en los alrededores de Hamburgo, Bremen y Hannover y transporta a más de 120.000 pasajeros diarios, comunicó a sus clientes que “no realizaran más viajes en tren hoy” y recomendó buscar medios de transporte alternativos.

El sistema GSM-R (Sistema Global para Comunicaciones Móviles – Ferrocarril) es esencial para el funcionamiento ferroviario, ya que proporciona servicios de voz y datos, incluyendo la comunicación entre maquinistas y centros de control. Según la Agencia Ferroviaria de la Unión Europea, esta tecnología se utiliza en toda Europa como estándar desde el año 2000.

Este incidente se sumó al que sufrió Deutsche Bahn en febrero de este año. El sistema ferroviario alemán sufrió un ciberataque que dejó fuera de servicio durante varias horas los sistemas de información y reserva de billetes de la empresa estatal.

El caso afectó tanto a la aplicación móvil DB Navigator como a la página web oficial bahn.de e impidió a miles de usuarios consultar horarios, adquirir boletos y acceder a información en tiempo real sobre el servicio de trenes.

Deutsche Bahn confirmó que el incidente fue provocado por una serie de ataques distribuidos de denegación de servicio (DDoS), modalidad en la que miles de dispositivos infectados saturan los servidores con solicitudes simultáneas, causando la caída o inaccesibilidad de los sistemas.

Un portavoz de la empresa indicó que “nuestros mecanismos de defensa fueron efectivos para minimizar el impacto en nuestros clientes” y aseguró que los datos personales de los usuarios no se vieron comprometidos durante el ataque.

(Con información de Associated Press y AFP)

Un grupo de investigadores de la Universidad Tecnológica de Graz, en Austria, ha identificado una nueva técnica de ciberataque que podría permitir a un potencial atacante conocer los hábitos de navegación de una persona utilizando el disco SSD de su computadora. El método, denominado FROST, no requiere la instalación de software malicioso y, según las pruebas realizadas, presenta una tasa de éxito especialmente alta en los equipos Mac de Apple.

El estudio describe que el ataque puede activarse cuando el usuario visita una página web que ejecuta código JavaScript malicioso. A partir de ese momento, el sistema analiza la actividad del disco de almacenamiento para deducir qué páginas web han sido visitadas anteriormente.

Los investigadores señalan que la técnica fue capaz de identificar correctamente los sitios visitados con una precisión del 89 % en términos generales y del 96 % cuando las pruebas se realizaron en computadoras Mac. En sistemas Windows, el porcentaje de éxito fue menor.

¿Cómo funciona el ataque FROST?

La técnica recibe el nombre de “Fingerprinting Remotely using OPFS-based SSD Timing” (FROST) y aprovecha una función presente en numerosos navegadores modernos conocida como Origin Private File System (OPFS).

Esta herramienta permite que las aplicaciones web lean y escriban archivos directamente en el dispositivo del usuario con una velocidad muy elevada. Es una característica utilizada por servicios que requieren un alto rendimiento, como editores de video, aplicaciones de fotografía o videojuegos que funcionan desde el navegador.

Los investigadores descubrieron que esta API puede ser utilizada para crear un sistema de archivos aislado dentro del SSD y medir las variaciones en los tiempos de lectura y escritura. Dichas fluctuaciones generan patrones que pueden ser analizados para identificar la actividad del usuario.

La inteligencia artificial juega un papel clave

Una vez recopilados los datos del SSD, el ataque utiliza una red neuronal convolucional, un tipo de inteligencia artificial entrenada para reconocer patrones específicos.

Gracias a este sistema, es posible relacionar las variaciones en el rendimiento del disco con determinadas páginas web. Los investigadores comprobaron que sitios populares como Google y YouTube producen picos de actividad muy característicos, lo que facilita su identificación.

En otras palabras, cada página deja una especie de “huella digital” en el comportamiento del SSD. La inteligencia artificial puede reconocer esas señales y reconstruir el historial de navegación con una elevada precisión.

¿El modo incógnito protege frente a este ataque?

De acuerdo con los investigadores, el modo incógnito de los navegadores no representa una defensa frente a FROST.

La razón es que el ataque no depende del historial almacenado por el navegador, sino de las variaciones físicas y temporales que se producen en el disco SSD cuando se cargan determinadas páginas web.

Por ello, incluso si el usuario navega en modo privado, el atacante podría identificar los sitios visitados mediante el análisis de la actividad del almacenamiento.

Por ahora es una prueba de concepto

Los expertos de la Universidad Tecnológica de Graz aclararon que, hasta el momento, no existen evidencias de que ciberdelincuentes estén utilizando FROST en ataques reales.

El trabajo se encuentra todavía en la fase de prueba de concepto, aunque demuestra que la vulnerabilidad existe y podría ser aprovechada en el futuro.

Antes de publicar los resultados, los investigadores compartieron sus hallazgos con Google, Apple y Mozilla. Según el documento, los desarrolladores de Chromium consideraron que este tipo de rastreo no constituye una vulnerabilidad de seguridad. Apple clasificó el problema como un asunto fuera de alcance, aunque dejó abierta la posibilidad de revisarlo más adelante. Mozilla, por su parte, reconoció la investigación, pero todavía no ha implementado medidas específicas de protección.

Cómo detectar un posible ataque

Los investigadores plantean dos posibles formas de defensa. La primera consiste en vigilar el espacio disponible en el SSD. Una reducción repentina de cientos de gigabytes podría indicar una actividad anormal relacionada con esta técnica.

La segunda recomendación apunta a los propios navegadores. Los expertos consideran que estos deberían solicitar permiso al usuario antes de crear archivos mediante la API OPFS. Sin embargo, esta función aún no está disponible en la mayoría de navegadores desarrollados por Google, Apple y Microsoft.

Aunque FROST todavía no ha sido empleado en ataques reales, el estudio demuestra que los discos SSD pueden convertirse en una fuente inesperada de información sobre los hábitos de navegación, incluso cuando el usuario cree estar protegido mediante herramientas como el modo incógnito.

Colombia atraviesa una etapa crítica en materia de ciberseguridad tras registrar más de 10 billones de intentos de ciberataques en el último año. El país se posiciona como el tercero más atacado en América Latina, solo superado por Brasil y México.

Según datos de ERC Colombia, durante mayo, el impacto alcanzó cifras inéditas: Colombia concentró el 8% de los incidentes cibernéticos exitosos de la región, situándose entre los cinco países más afectados de América Latina.

Los ataques no solo han sido cuantitativos, sino que han afectado sectores estratégicos, lo que evidencia un cambio en las tácticas de los ciberdelincuentes.

Qué tipos de datos han sido expuestos

Uno de los hallazgos más preocupantes es que el 42% de los datos filtrados corresponde a información personal, como nombres y números de cédula.

Esta proporción convierte a los datos de identificación en el principal objetivo de los ataques. Los incidentes han comprometido números de teléfonos y otros elementos de contacto, lo que incrementa el riesgo de fraude y extorsión.

Asimismo, se detectó que el 18% de la información expuesta involucra datos financieros. Este segmento abarca desde números de cuentas hasta historiales de transacciones, afectando la operatividad y la confianza en entidades bancarias y comerciales. La filtración de estos datos pone en evidencia la sofisticación de los métodos empleados.

Cuáles sectores han sido los más golpeados por ciberataques

Los ataques impactaron a sectores clave como salud, educación, BPO y corporativo. Entidades como el Ministerio de Salud, la Universidad de Antioquia y la empresa Emergia CC sufrieron incidentes masivos que expusieron información de millones de ciudadanos.

El aumento de incidentes en foros clandestinos, con más de 385 reportes públicos, ilustra la magnitud y el alcance del problema. Otro punto clave es que el sector corporativo no ha quedado exento.

Las compañías de tercerización de procesos y las organizaciones tecnológicas han reportado interrupciones operativas y filtraciones de datos sensibles. Esta tendencia confirma que los ciberdelincuentes ya no se limitan a atacar infraestructuras tradicionales, sino que diversifican sus objetivos para maximizar el impacto.

Qué métodos de ataque son los más frecuentes

Los análisis realizados muestran que el 21% de los incidentes tuvo origen en accesos iniciales comprometidos. Los atacantes explotan contraseñas expuestas y vulnerabilidades en aplicaciones para obtener acceso a los sistemas. Esta modalidad permite que los delincuentes naveguen sin ser detectados y planifiquen acciones más complejas.

Otro método clave consiste en la instalación de webshells o puertas traseras, presentes en el 9% de los casos. Estas herramientas permiten a los atacantes mantener el acceso oculto y persistente a las infraestructuras tecnológicas, lo que dificulta la remediación y prolonga el riesgo para las organizaciones afectadas.

Cuál es el costo de los ciberataques para las empresas

El impacto económico de la crisis es alto. El costo promedio de un incidente de filtración de datos supera los 14.000 millones de pesos colombianos, una cifra que contempla la detención de operaciones, la contratación de consultores forenses y la pérdida de clientes.

Estos costos directos, sumados al daño reputacional, generan presiones adicionales sobre las empresas. La gestión de crisis demanda recursos y estrategias multidisciplinarias, lo que ha llevado a los expertos a recomendar una revisión integral de los protocolos de seguridad.

Qué medidas se sugieren para enfrentar el aumento de los ciberataques

El análisis de la situación en Colombia coincide en que el comportamiento de las amenazas digitales muestra una tendencia ascendente. Para mitigar los riesgos, se sugieren cuatro líneas de acción:

• Monitoreo continuo de amenazas.
• Implementación de autenticación multifactor y gestión robusta de identidades.
• Auditorías de seguridad periódicas.
• Capacitación constante del personal.

“El aumento de ataques dirigidos contra sistemas hospitalarios, plataformas biométricas y entidades financieras estatales exige una respuesta coordinada”, advirtió Oscar Díaz, Chief Commercial Officer de ERC Colombia.

En este sentido, la industrialización del cibercrimen en América Latina ha transformado la lógica de los ataques. Los ciberdelincuentes no buscan únicamente dinero rápido; almacenan datos de identidad, biometría y registros médicos como activos estratégicos para actividades futuras de fraude y extorsión.

Una campaña de malware identificada por Kaspersky reveló que hackers utilizaron Wallpaper Engine para infectar ordenadores y robar credenciales, al aprovechar la distribución de fondos de pantalla animados a través de Steam Workshop. La situación pone en alerta a millones de usuarios que emplean la plataforma para personalizar sus escritorios y expone riesgos asociados a la descarga de contenido creado por terceros.

Wallpaper Engine, una de las aplicaciones más descargadas de la tienda de videojuegos de Valve, permite instalar fondos de escritorio animados en Windows. Con cerca de 100.000 usuarios activos diarios y casi un millón de valoraciones, se convirtió en un objetivo atractivo para ciberdelincuentes. El componente clave detrás de la vulnerabilidad es Steam Workshop, un espacio donde los usuarios suben y comparten fondos gratuitos, lo que facilita la circulación de archivos potencialmente peligrosos.

De acuerdo con el reporte, los atacantes se enfocaron en un tipo específico de contenido denominado “fondos de aplicación”. A diferencia de los archivos de video o animaciones, funcionan como programas independientes que se ejecutan en el escritorio, lo que abre la puerta a la ejecución de código malicioso.

Fondos de pantalla infectados: métodos y alcance de la campaña

Los investigadores detectaron decenas de fondos maliciosos en el catálogo de Steam Workshop, algunos de los cuales acumularon miles de descargas. Kaspersky detalló que varios de estos fondos incluían ejecutables o archivos DLL sospechosos junto al fondo animado. Otros ocultaban el malware dentro de archivos comprimidos protegidos por contraseña, lo que dificultó la detección por parte de sistemas de seguridad convencionales.

Un caso destacado implicó un fondo en forma de minijuego descubierto a finales de 2025. Al ejecutarse, el fondo aparentaba funcionar con normalidad, pero en segundo plano instalaba un backdoor llamado Synaptics.exe. Ese programa buscaba la instalación de Steam en el equipo y sustraía las credenciales de la cuenta del usuario.

La campaña no se limitó a un solo tipo de amenaza. Los fondos contaminados distribuyeron diversas familias de malware, incluidos infostealers como Lumma y Vidar, además de backdoors, mineros de criptomonedas y cargadores de botnets. La diversidad de herramientas utilizadas sugiere la participación de varios grupos que aprovecharon la misma vía de distribución.

Según el análisis, el 89% de los intentos de descarga maliciosa se originó en China, lo que sugiere un foco inicial en ese público. Los títulos y estilos visuales de los fondos infectados también apuntaron a esa región. Hasta el momento, no se registraron infecciones en Europa ni en América Latina; sin embargo, el riesgo de expansión permanece, ya que los atacantes pueden modificar su estrategia y apuntar a nuevos mercados.

Respuesta de Steam y recomendaciones para los usuarios

Tras la alerta, Steam eliminó los fondos de pantalla maliciosos antes de la publicación del informe y reforzó mecanismos de protección en la plataforma. Aun así, las medidas automatizadas no son infalibles y los usuarios deben extremar precauciones al descargar contenido, incluso desde fuentes que parecen confiables.

Kaspersky recomienda actualizar de forma regular los programas antivirus, como Windows Defender, y revisar cuidadosamente los archivos antes de instalarlos. La presencia de malware en fondos de pantalla animados expone la sofisticación de estos métodos para comprometer la seguridad de los usuarios y refuerza la necesidad de priorizar la prevención.

La campaña detectada en Wallpaper Engine expuso riesgos asociados a la personalización de escritorios y la necesidad de vigilancia activa tanto de las plataformas como de los usuarios. Ante la evolución constante de las amenazas, la seguridad informática debe ser una prioridad para la comunidad gamer.

El FBI construyó un pueblo completo de 2.000 metros cuadrados en su campus de Huntsville, Alabama, para entrenar a agentes y fuerzas de seguridad en la lucha contra el cibercrimen, con escenarios reales, tecnología vulnerable y desafíos de seguridad informática. La iniciativa, denominada Kinetic Cyber Range, busca ampliar el entrenamiento práctico para enfrentar amenazas digitales complejas.

El sitio replica condiciones de operación del mundo real con infraestructuras y sistemas que pueden ser intervenidos de forma controlada, para que los equipos practiquen detección, contención y respuesta ante incidentes. El complejo funciona dentro del campus de entrenamiento del FBI en Huntsville y permite simular ataques sin impacto en sistemas externos.

Un entorno realista para una amenaza real

La Kinetic Cyber Range se compone de 11 instalaciones: viviendas, un centro de datos, un hotel, una tienda, una sala de juegos y varios comercios, todos funcionales y diseñados para simular la vida cotidiana de una ciudad de Estados Unidos. Cada espacio puede ser hackeado, lo que permite practicar ante brechas en cortafuegos, sistemas de correo comprometidos, directorios de archivos vulnerables y otros incidentes típicos de investigaciones digitales.

La instalación se encuentra dentro de un hangar del campus de entrenamiento, lo que mantiene las pruebas y ataques simulados aislados del mundo exterior.

Entrenamiento más allá del aula

El objetivo es ofrecer a agentes especiales y fuerzas de seguridad experiencias cercanas a las que enfrentarían en una situación real, algo que los entrenamientos teóricos no logran replicar. David Beachboard, gerente del programa Kinetic Cyber Range, afirmó en un video institucional del FBI: “No hay una instalación como esta en el mundo… Esto es tan real como se puede conseguir antes de salir al campo”.

La presencia de sistemas vulnerables y equipos de última generación permite practicar desde el análisis forense de vehículos y drones hasta la gestión de incidentes vinculados con el internet de las cosas. Además del FBI, el centro puede ser utilizado por entidades como la NASA, el Ejército de Estados Unidos y agencias policiales locales.

Simulación de situaciones críticas y trabajo en equipo

Más allá de los aspectos técnicos, el programa incluye ejercicios de rol que simulan situaciones difíciles de reproducir en un aula tradicional. Los participantes entrevistan a ejecutivos de empresas bajo investigación, interactúan con personal médico durante ataques de ransomware y resuelven incidentes bajo presión. El foco está en decisiones rápidas y coordinación operativa en escenarios complejos.

Según datos del FBI, más de 1.400 estudiantes pasaron por la Kinetic Cyber Range desde su inauguración en febrero de 2025. El entrenamiento se actualiza de forma continua para adaptarse a nuevas amenazas y a la evolución de las tácticas empleadas por ciberdelincuentes y grupos organizados.

Un recurso estratégico frente a un delito en auge

El cibercrimen se convirtió en una de las industrias más lucrativas para hackers y estafadores a nivel mundial, lo que obliga a instituciones como el FBI a buscar métodos de aprendizaje más inmersivos y efectivos.

El desarrollo de la Kinetic Cyber Range apunta a acortar la brecha tecnológica entre los atacantes y quienes intentan detenerlos. La formación práctica busca que los agentes anticipen incidentes reales y respondan con rapidez ante amenazas sofisticadas.

La apuesta del FBI por la simulación realista y el entrenamiento multidisciplinario busca fortalecer la capacidad de respuesta ante el cibercrimen. La experiencia adquirida en la Kinetic Cyber Range permitirá a los agentes enfrentar escenarios complejos con herramientas técnicas y habilidades interpersonales adaptadas a los desafíos del siglo XXI.

Google ha presentado una demanda judicial para desmantelar la infraestructura de 'Outsider Enterprise’, una red de ciberdelincuentes con sede en China que utiliza inteligencia artificial para ejecutar campañas masivas de estafa digital. La compañía acusa a este grupo de haber robado datos y fondos a “cientos de miles de víctimas” mediante mensajes fraudulentos y sitios web falsos, en una operación con pérdidas millonarias a nivel global.

Según la denuncia, Outsider Enterprise desplegó una campaña internacional que combinó automatización con técnicas de ingeniería social para enviar mensajes de texto suplantando la identidad de Google y otras marcas. El objetivo era dirigir a los usuarios a sitios web falsos, donde se solicitaban contraseñas, códigos de autenticación y datos de tarjetas de crédito.

De acuerdo con Google, la red utilizó 9.000 sitios falsos y un millón de dominios fraudulentos, y envió 2,5 millones de mensajes de texto a usuarios de Android en solo dos semanas. Tan solo en mayo, los usuarios de Android reportaron 55.000 mensajes de spam. La operación permitió robar al menos 3,87 millones de tarjetas de crédito y provocar pérdidas estimadas en 1.900 millones de dólares.

Herramientas de IA y colaboración entre ciberdelincuentes

El software central, conocido como Outsider, se ofrecía como un “phishing-for-dummies” bajo suscripción, con precios de 88 dólares semanales o 200 dólares mensuales. La plataforma permitía crear sitios web falsos con plantillas que imitaban a más de 290 empresas, incluidas firmas de telecomunicaciones, bancos, instituciones gubernamentales y comercios.

La automatización habilitaba la creación de réplicas de páginas legítimas en minutos, incluso con inteligencia artificial generada por Gemini, la plataforma de IA de Google. Los delincuentes colaboraban por canales de Telegram, donde compartían estrategias y discutían nuevas formas de ataque. La organización también utilizaba Google Drive y Google Cloud para alojar parte de su infraestructura.

Estrategia criminal y alcance internacional

El esquema de Outsider Enterprise se organizaba en varios grupos: desarrolladores del software y plantillas; proveedores de bases de datos de potenciales víctimas obtenidas de redes sociales y filtraciones; un equipo especializado en el envío masivo de mensajes (mediante bancos de smartphones y tarjetas SIM); y operadores encargados de monetizar credenciales robadas y lavar fondos.

La operación afectó a usuarios en al menos 95 países, con más de 36.000 tarjetas de pago robadas solo en ese periodo, según datos presentados por Google. Entre noviembre de 2025 y abril de 2026, la compañía detectó más de 1,59 millones de URLs vinculadas a esta red.

Acciones legales y colaboración internacional

Google detalló que combate estos fraudes con herramientas propias de inteligencia artificial para detectar y bloquear mensajes sospechosos, e intercepta más de 10.000 millones de intentos de estafa cada mes. Además, trabaja con operadoras como AT&T, T-Mobile y Verizon, junto con el FBI y laboratorios de ciberseguridad como Black Lotus Labs de Lumen, para rastrear y desmantelar dominios, cuentas y tiendas en línea utilizadas para estafas.

Un portavoz del FBI confirmó a TechCrunch la incautación de varios dominios y cuentas empleadas en la operación, y señaló que la plataforma de Outsider permitió a los ciberdelincuentes apropiarse de millones de datos financieros y personales desde julio de 2023.

Lo que busca Google con la demanda

La demanda de Google acusa a los responsables de Outsider Enterprise de suplantación de identidad, violación de derechos de autor, fraude electrónico, falsedad publicitaria y actividades de crimen organizado. La compañía solicita al tribunal una orden para prohibir la continuidad de esas actividades, además de la restitución de los daños económicos y la imposición de sanciones.

El caso expone la sofisticación de redes de ciberdelincuencia apoyadas en inteligencia artificial y la necesidad de cooperación internacional para frenar estos delitos digitales que afectan a millones de personas.

Microsoft y la OEA reforzaron su alianza para mejorar la resiliencia digital en Latinoamérica. El acuerdo se centra en la ciberseguridad, la formación de organismos estatales y la adopción responsable de tecnologías emergentes.

Esta colaboración cobra mayor relevancia porque la región volvió a registrar en abril de 2026 el mayor volumen global de ciberataques. La protección de infraestructuras críticas, la inversión y la continuidad económica dependen cada vez más de la capacidad de prevenir, responder y recuperarse frente a estos incidentes.

La magnitud del problema quedó reflejada en un informe de Check Point Research: las organizaciones latinoamericanas registraron un promedio de 3.364 ataques semanales por empresa en abril de 2026, con un alza interanual del 20%.Ese nivel superó a APAC, con 3.213; África, con 2.940; Europa, con 1.848; y América del Norte, con 1.499.

Qué busca la alianza de Microsoft y la OEA

La iniciativa entre Microsoft y la Organización de los Estados Americanos apunta a reducir vulnerabilidades en los ecosistemas digitales de la región, fortalecer la capacidad de respuesta ante incidentes y asistir a los gobiernos en la construcción de espacios digitales más seguros.

El anuncio vincula esa agenda con la atracción de inversiones, la protección de infraestructuras críticas y el sostenimiento del crecimiento económico.

“La resiliencia digital ya no es solo un tema tecnológico: es un componente estratégico para la competitividad y el desarrollo económico”, señaló Steven Masada, director global de la Unidad de Crímenes Digitales de Microsoft.

“Trabajar junto con la OEA nos permite escalar capacidades institucionales y apoyar a los gobiernos frente a un entorno de riesgos digitales cada vez más sofisticado”, añadió.

Cuáles acciones impulsarán las dos organizaciones en Latinoamérica

Como parte de la colaboración, las dos organizaciones impulsarán acciones para fortalecer capacidades nacionales y regionales de ciberseguridad, con énfasis en prevención, detección y respuesta a incidentes.

El programa prevé facilitar el intercambio de información sobre amenazas y mejores prácticas, con una mirada regional sobre el riesgo digital. Otro eje será la capacitación de funcionarios públicos y responsables de toma de decisiones para alinear política pública y gestión tecnológica.

Además, la alianza promoverá el uso seguro y responsable de tecnologías emergentes, incluida la inteligencia artificial, como herramienta de productividad y crecimiento.

“Frente a amenazas cibernéticas que ningún país puede enfrentar solo, desde la OEA trabajamos para tender lazos con el sector privado en favor de nuestros Estados miembros”, afirmó Ivan Marques, secretario de Seguridad Multidimensional de la OEA.

“Nuestra colaboración con Microsoft contribuirá a fortalecer la inteligencia sobre ciberamenazas y a construir un futuro digital más seguro y resiliente para las Américas”, agregó.

Por qué preocupa el aumento de ciberataques en América Latina

El informe de Check Point Research atribuye la presión sobre América Latina al rápido avance de la digitalización en todos los sectores económicos y a una madurez desigual en ciberseguridad que todavía no alcanza un estándar homogéneo en la región. Esa combinación abre nuevas oportunidades para los ciberdelincuentes.

En el desglose por países, Brasil encabezó el ranking regional con 4.118 ataques semanales por organización. Detrás quedaron Colombia, con 4.090; México, con 3.548; y Argentina, con 2.800, cifra que en su caso implicó un crecimiento interanual del 15%.

Asimismo, el estudio identificó a la educación, el gobierno y las telecomunicaciones entre los sectores más golpeados. A escala global, el sector educativo volvió a ubicarse como el más atacado, con 4.946 ataques semanales por organización y un incremento interanual del 8%.

En este sentido, la respuesta que proponen Microsoft y la OEA es clave porque se apoya en la colaboración público-privada como mecanismo para proteger activos digitales, preservar la continuidad operativa y reforzar la confianza de ciudadanos y empresas frente a amenazas cada vez más complejas, transfronterizas y costosas.

IBM enfrenta una denuncia presentada por el exvicepresidente de inteligencia de amenazas William Barlow, quien sostiene que la empresa fue víctima de ciberataques atribuibles a gobiernos extranjeros en al menos tres ocasiones durante la última década y que, posteriormente, encubrió las brechas de seguridad.

La demanda, presentada en 2020 pero hecha pública esta semana, señala que piratas informáticos vinculados a China vulneraron la red central de IBM entre 2013 y 2016, así como otras dos subsidiarias, sin que la compañía informara a las autoridades ni al público.

Barlow sostiene que la red central de IBM era “pirateada rutinariamente por agentes estatales extranjeros y otros”, con robos de datos frecuentes y sin notificación a las agencias gubernamentales. Según la denuncia, la empresa nunca alertó a las autoridades sobre estas intrusiones, a pesar de su papel como proveedor clave de ciberseguridad para el gobierno federal de Estados Unidos.

Incidentes atribuidos a APT 10 y la respuesta de IBM

En su denuncia, Barlow detalla que IBM fue una de las víctimas de una campaña de piratería informática llevada a cabo por el grupo APT 10, vinculado al gobierno chino. El grupo habría accedido a la red de la empresa y a datos almacenados en colaboración con AT&T. Barlow afirma que funcionarios de inteligencia de Australia, Canadá, Nueva Zelanda, Estados Unidos y el Reino Unido —la alianza de los Cinco Ojos— alertaron a IBM sobre la filtración en marzo de 2017, lo que dio lugar a una investigación interna.

La investigación habría determinado que APT 10 vulneró la red de IBM más de 56.000 veces entre 2013 y 2016. Según la denuncia, IBM argumentó que no podía investigar más a fondo debido a la falta de registros de acceso, una práctica básica de seguridad. Además, se sostiene que la compañía no notificó a ninguna autoridad ni al gobierno de Estados Unidos, uno de sus principales clientes.

Un informe interno citado en la denuncia señala que “los atacantes han comprometido o accedido a casi 400 cuentas y a un total de casi 200 sistemas y servidores en todas las unidades de negocio de IBM, dieciocho países y múltiples productos de IBM”. La documentación interna también revela que cuatro servidores se vieron comprometidos durante la campaña de APT 10.

Filtraciones en subsidiarias y gestión de incidentes

Barlow acusa a IBM de encubrir también brechas en subsidiarias adquiridas durante la última década. Entre ellas menciona a Trusteer, firma de ciberseguridad adquirida en 2013, que habría sufrido una filtración en 2018, y a Truven, una empresa de datos sanitarios adquirida en 2016, que según el exejecutivo registró múltiples filtraciones tras la compra. En ambos casos, se denuncia la falta de investigación y comunicación adecuada sobre los incidentes.

El abogado de Barlow, Jason Brown, subrayó que “no se puede vender ciberseguridad al gobierno federal mientras supuestamente se tienen estos problemas de seguridad dentro de la propia empresa”. Brown afirmó que su firma tiene la intención de litigar el caso con firmeza.

Reacción y contexto regulatorio

La portavoz de IBM, Miki Carver, declinó responder preguntas específicas sobre la demanda y las acusaciones. En declaraciones a TechCrunch, Carver indicó: “Esta demanda se presentó hace seis años y el Departamento de Justicia de Estados Unidos se negó a intervenir. IBM confía en que nuestras acciones se ajustaron a la ley”.

El caso adquiere relevancia en un contexto en el que se han aprobado nuevas leyes de notificación de filtraciones de datos para reforzar la transparencia y la protección de usuarios y entidades públicas. La denuncia de Barlow pone en evidencia la magnitud de los ciberataques que pueden afectar a grandes empresas tecnológicas y la importancia de la notificación oportuna, especialmente cuando están involucrados proveedores de servicios críticos para gobiernos.

Empresas Públicas de Medellín (EPM) informó que adelanta una investigación para establecer el alcance de un incidente de ciberseguridad registrado en la empresa contratista SOLATI S.A.S., situación que podría haber comprometido información relacionada con los procesos de cartera de la organización.

La compañía explicó que tuvo conocimiento del hecho recientemente y que, desde el primer momento, activó los protocolos internos de seguimiento, validación y gestión del riesgo para determinar las posibles consecuencias derivadas del ataque informático.

EPM precisó que el incidente no ocurrió directamente en su infraestructura tecnológica, sino en una empresa contratista que presta servicios asociados a algunos de sus procesos, razón por la cual inició una coordinación permanente con esa firma para evaluar los posibles impactos.

La organización señaló que la prioridad actual es verificar la información expuesta y establecer si existen afectaciones sobre datos vinculados a la gestión de cartera.

Asimismo, indicó que mantiene un monitoreo constante mientras avanzan los procedimientos técnicos y las verificaciones correspondientes.

EPM asegura que sus sistemas no fueron vulnerados

En el comunicado emitido por la compañía, se informó que las revisiones realizadas hasta ahora no evidencian una afectación directa sobre la infraestructura tecnológica de EPM.

Según la empresa, las plataformas, aplicativos y sistemas internos continúan operando normalmente y no han sido comprometidos como consecuencia del incidente reportado por el contratista.

La entidad destacó que sus equipos especializados en seguridad informática realizaron las validaciones correspondientes para descartar vulneraciones dentro de su ecosistema tecnológico.

De igual manera, indicó que continúa fortaleciendo las labores de monitoreo preventivo para identificar cualquier eventual riesgo asociado al caso.

La compañía insistió en que la investigación sigue en curso y que cualquier novedad será comunicada oportunamente a través de sus canales institucionales.

Información circuló en redes sociales

La alerta pública se produjo luego de que comenzara a circular información relacionada con el caso en diferentes espacios digitales y redes sociales.

De acuerdo con EPM, parte de esa información habría sido divulgada por actores maliciosos que presuntamente difundieron contenido asociado al incidente de seguridad.

Ante esta situación, la empresa hizo un llamado a los ciudadanos para consultar únicamente fuentes oficiales y evitar replicar información cuya autenticidad no haya sido verificada.

La organización explicó que durante este tipo de eventos resulta fundamental acudir a comunicaciones institucionales para evitar la propagación de rumores o datos imprecisos que puedan generar confusión entre usuarios y clientes.

Además, reiteró que cualquier actualización relacionada con la investigación será publicada mediante sus plataformas oficiales de información.

Refuerzan medidas de prevención y monitoreo

EPM señaló que este tipo de incidentes evidencian la importancia de mantener mecanismos permanentes de protección frente a amenazas digitales cada vez más sofisticadas.

La empresa afirmó que continúa fortaleciendo sus capacidades de prevención, detección y respuesta frente a posibles riesgos de ciberseguridad, siguiendo estándares y prácticas utilizadas internacionalmente para la protección de la información.

La organización destacó que la gestión adecuada de riesgos tecnológicos se ha convertido en una prioridad estratégica para garantizar la continuidad de los servicios y la protección de los datos asociados a sus operaciones.

Aunque hasta el momento no se han revelado detalles específicos sobre la naturaleza de la información que pudo verse comprometida ni sobre la magnitud de la posible exposición de datos, la compañía aseguró que mantiene acompañamiento permanente al contratista involucrado.

Las verificaciones técnicas continúan desarrollándose con el objetivo de establecer con precisión qué información pudo haber resultado afectada y si existe algún impacto sobre los procesos asociados a la cartera de la organización.

Investigación continúa abierta

La compañía reiteró que las labores de análisis siguen en desarrollo y que todavía no existe un balance definitivo sobre el alcance del incidente.

Mientras avanzan las investigaciones, EPM mantiene activos sus protocolos de seguridad y seguimiento para determinar cualquier posible consecuencia derivada del ciberataque reportado por la empresa contratista.

La entidad señaló que continuará informando de manera oportuna a usuarios, clientes y ciudadanía en general sobre cualquier novedad relevante relacionada con el caso.

Por ahora, la principal conclusión de las evaluaciones realizadas indica que los sistemas propios de EPM permanecen operativos y sin afectaciones directas, mientras los equipos especializados avanzan en la revisión detallada del incidente y de la información potencialmente comprometida.

Microsoft dio a conocer el desarrollo de una nueva función para su antivirus integrado, Microsoft Defender, diseñada para incrementar la protección contra ciberataques en equipos que ejecutan el sistema operativo Windows.

Según información proporcionada por la empresa, la herramienta podrá detectar y aislar automáticamente cualquier punto final (endpoint) —por ejemplo, una computadora— conectado que presente indicios de estar comprometido, lo que representa un avance relevante en la defensa digital.

Un mecanismo para bloquear la propagación de amenazas

La nueva función estará disponible inicialmente en versión preliminar y se espera su despliegue definitivo en los próximos meses. El propósito es que, ante la detección de un endpoint comprometido, el sistema lo aísle sin demoras y lo desconecte del resto de la red. Esta acción busca dificultar la labor de los atacantes, quienes suelen aprovechar la conexión entre dispositivos para expandirse dentro de una organización.

La compañía explicó que, pese al aislamiento, el dispositivo afectado mantendrá comunicación con el servicio de Microsoft Defender para Endpoint, que continuará supervisando el estado del equipo y el desarrollo del incidente. Así, los operadores de seguridad cuentan con la posibilidad de monitorear el dispositivo y, tras finalizar la investigación, pueden liberar el equipo y reintegrarlo a la red interna de la empresa.

El objetivo principal de este mecanismo es evitar el movimiento lateral de los piratas informáticos dentro de una organización. Si un atacante logra acceder a un ordenador, podría desplazarse por la red y comprometer otros equipos. El aislamiento inmediato interrumpe este proceso y reduce el riesgo de una propagación mayor.

Prevención de filtraciones y ransomware

Uno de los riesgos más temidos por empresas y organismos es la filtración de información sensible o la propagación de ransomware, un tipo de software malicioso que cifra archivos y exige un rescate para liberarlos. Según datos de la industria, los ataques de este tipo han aumentado en frecuencia y sofisticación en los últimos años, afectando tanto a grandes empresas como a usuarios particulares.

Microsoft destacó que la función de aislamiento automático permitirá actuar de forma proactiva ante indicios de amenaza, minimizando la posibilidad de que los datos sean robados o se produzca una infección masiva en la infraestructura tecnológica de una organización. La compañía subrayó que los responsables de seguridad pueden revertir el aislamiento manualmente si tras la investigación se determina que el dispositivo no representa un peligro.

Supervisión permanente y flexibilidad operativa

Incluso en estado de aislamiento, los dispositivos seguirán bajo la supervisión continua de Microsoft Defender para Endpoint, lo que facilita el análisis de incidentes y la adopción de medidas correctivas. La integración con el inventario de dispositivos ayuda a los equipos de TI a gestionar la seguridad de manera centralizada y tomar decisiones rápidas ante alertas de posible compromiso.

Entre las ventajas señaladas por la empresa, la automatización del aislamiento permite responder en cuestión de segundos a potenciales incidentes, limitando el alcance del ataque y protegiendo el resto de los sistemas conectados.

La importancia de adoptar medidas integrales de ciberseguridad

Expertos en seguridad digital insisten en que el uso de un antivirus robusto como Microsoft Defender es solo una parte de la estrategia de ciberprotección. Actualizar con regularidad los sistemas operativos y las aplicaciones, así como fomentar el sentido común ante posibles amenazas, resultan prácticas fundamentales para reducir la exposición a riesgos.

La compañía recomienda evitar hacer clic en enlaces sospechosos, descargar archivos de origen dudoso o instalar programas no oficiales, ya que estas acciones pueden facilitar el trabajo de los ciberdelincuentes y comprometer la privacidad de los usuarios.

Perspectivas y próximos pasos

La introducción de esta función de aislamiento automático consolida el enfoque de Microsoft en la protección proactiva frente a un entorno de amenazas cada vez más complejo. Si bien la función se encuentra en fase de prueba, su llegada definitiva refuerza la capacidad de Windows Defender para ofrecer una defensa dinámica, adaptada a las necesidades de organizaciones y usuarios particulares.

La integración de esta innovación en la versión estable de Microsoft Defender para Endpoint representará un recurso adicional en la lucha contra el cibercrimen y contribuirá a elevar los estándares de seguridad digital en el ecosistema de Windows.

La empresa de ciberseguridad Kaspersky ha identificado más de 92.000 ciberataques que usaron aplicaciones falsas de inteligencia artificial entre enero y mayo de 2026. Según el reporte de la compañía, los ciberdelincuentes aprovecharon la popularidad de plataformas como ChatGPT, Claude y Gemini para distribuir archivos maliciosos a través de programas fraudulentos, afectando a miles de usuarios en todo el mundo.

La irrupción de la inteligencia artificial en el entorno cotidiano abrió nuevas oportunidades para la ciberdelincuencia. El informe detalla que el 49% de los ataques detectados se produjeron a través de aplicaciones falsas de ChatGPT, mientras que Claude y Gemini concentraron el 18% de los incidentes cada una. Los investigadores también hallaron más de 15.000 muestras de malware camufladas como herramientas de IA emergentes, entre las que sobresalieron versiones fraudulentas de OpenClaw.

Los archivos maliciosos detectados incluían troyanos bancarios, spyware, exploits y downloaders. Estos elementos tenían la capacidad de instalar nuevas cargas maliciosas en los sistemas comprometidos, con el objetivo de garantizar un acceso prolongado a infraestructuras corporativas y datos sensibles. La tendencia pone en evidencia la sofisticación creciente de los ataques que utilizan la promesa de acceder a una herramienta de IA como gancho principal.

Silver Fox y la campaña dirigida a usuarios de IA

En mayo de 2026, el equipo GReAT de Kaspersky detectó una campaña asociada al grupo APT Silver Fox, orientada específicamente a usuarios interesados en herramientas de IA. Los atacantes distribuyeron aplicaciones falsas de Claude AI para Windows, macOS y Linux. Según el informe, la operación se dirigió a quienes buscaban instalar programas de inteligencia artificial, aprovechando el interés masivo en la tecnología.

Una vez ejecutados, los instaladores fraudulentos desplegaban malware de manera silenciosa en los dispositivos afectados. Esto permitía que los atacantes mantuvieran el acceso a los equipos y la información privada de las víctimas, sin levantar sospechas inmediatas.

Dmitry Galov, responsable del equipo Global Research & Analysis Team de Kaspersky para Rusia y la Comunidad de Estados Independientes (CIS, por sus siglas en inglés), señaló que “la incorporación de agentes de IA en los entornos empresariales cambia la naturaleza misma de la confianza. Cada acción automatizada pasa a formar parte de una cadena más amplia de sistemas e intercambios de datos”.

El ejecutivo remarcó que los ciberdelincuentes explotan la popularidad de los servicios de IA para utilizarla como señuelo, con el propósito de robar información confidencial y dinero.

Recomendaciones para empresas y usuarios

Frente al aumento de este tipo de amenazas, la firma de ciberseguridad recomendó a las organizaciones reforzar la protección de su infraestructura tecnológica con soluciones que permitan visibilidad sobre los riesgos, respuesta avanzada y monitoreo continuo. La compañía sugirió incorporar servicios administrados de seguridad para gestionar de manera integral los incidentes.

Otra de las recomendaciones incluyó proporcionar a los equipos de ciberseguridad acceso a inteligencia contextualizada sobre amenazas, junto a herramientas basadas en inteligencia artificial capaces de detectar riesgos emergentes con mayor precisión.

Para los usuarios individuales, la principal sugerencia fue emplear exclusivamente servicios de IA desarrollados por compañías reconocidas y evitar los bots anónimos o desconocidos. Estos últimos pueden estar diseñados para recolectar información personal o ejecutar fraudes de diversa índole.

Asimismo, los usuarios deben contar con soluciones de seguridad capaces de bloquear sitios de phishing y prevenir la instalación de malware.

Una empresa israelí de ciberseguridad presentó el martes evidencia forense que atribuye al Ministerio de Inteligencia y Seguridad del Estado de Irán (MOIS, por sus siglas en inglés) el ataque que en marzo obligó al sistema de transporte del condado de Los Ángeles a desconectar partes de su red.

Los intrusos sustrajeron al menos 700 gigabytes de correos electrónicos, copias de seguridad y otros archivos de la Autoridad Metropolitana de Transporte del Condado de Los Ángeles (LACMTA), según Gambit Security, firma con sede en Tel Aviv fundada en parte por veteranos de la Unidad 8200, el equivalente israelí de la Agencia de Seguridad Nacional estadounidense (NSA).

La intrusión fue detectada el 16 de marzo. Unas dos semanas después, un colectivo que se autodenomina Ababil de Minab reivindicó el ataque y publicó un video en el que aseguraba haber destruido una gran cantidad de datos tras irrumpir en los sistemas de la autoridad.

Aunque la LACMTA sostuvo que la brecha no interrumpió la circulación de trenes ni autobuses, medios locales informaron de que inhabilitó pantallas de información en tiempo real e impidió a los usuarios recargar sus tarjetas de transporte.

El nombre del grupo remite al origen del conflicto: Ababil de Minab toma su nombre de un ataque aéreo del 28 de febrero contra una escuela de niñas en esa ciudad iraní, en el que funcionarios iraníes cifran más de 175 muertos entre menores y docentes. Su retórica y modo de operar coinciden con el patrón de colectivos hacktivistas que, según investigadores de ambos países, actúan como pantallas del espionaje iraní.

Eyal Sela, director de inteligencia de amenazas de Gambit, señaló a Reuters que el vínculo con Teherán era hasta ahora “una hipótesis de trabajo”, y que su investigación aporta “la evidencia forense que la respalda”.

Gambit llegó a esa conclusión tras hallar los datos sustraídos expuestos en un servidor de acceso público y conectarlos con una operación de piratería previamente atribuida a Irán por funcionarios e investigadores israelíes. La empresa alertó a las autoridades competentes, aunque ni el FBI ni la Agencia de Ciberseguridad e Infraestructura (CISA) formularon comentarios.

El FBI se limitó a confirmar que estaba al tanto del incidente y coordinaba la respuesta con sus socios. La LACMTA tampoco se pronunció sobre los hallazgos; en un comunicado previo, sus responsables señalaron que “la atribución forma parte de la investigación” y declinaron especular.

Más allá de Los Ángeles, Gambit identificó otras víctimas no reveladas: una organización mediática y una institución educativa en Israel, y una correduría de seguros en Turquía. El colectivo también reivindicó ataques contra el sistema de cercanías Tri-Rail de Florida y la empresa de rastreo vehicular Vyncs.

Tri-Rail confirmó el hackeo, aunque aclaró que los datos comprometidos no eran críticos; Vyncs detectó su brecha el 2 de abril. Ambas compañías confirmaron la participación del FBI.

El episodio se inscribe en una cadena de operaciones digitales que investigadores atribuyen a hackers iraníes desde el inicio del conflicto a finales de febrero, entre ellas un ataque a la empresa de equipos médicos Stryker, la filtración de correos del director del FBI, Kash Patel, y la manipulación remota de medidores de combustible en gasolineras de Estados Unidos, según CNN.

El patrón predominante es el de acciones con alta visibilidad y daño físico contenido: la brecha en la LACMTA alcanzó una pantalla de control de patio de maniobras en tiempo real, pero no hay evidencia pública de que los atacantes la manipularan. Esa distancia entre el espionaje digital y el sabotaje puede acortarse en función tanto de la seguridad técnica de los objetivos como del cálculo estratégico de Teherán.

Un solo hacker logró comprometer la ciberseguridad de nueve agencias de Gobierno entre finales de diciembre de 2025 y mediados de febrero de 2026 con herramientas de inteligencia artificial comercial.

Según reportó Check Point, el atacante ejecutó más de 5.000 comandos automatizados con dos sistemas de IA comerciales en paralelo. Uno se ocupó de la explotación en tiempo real y el otro del procesamiento de los datos extraídos.

La firma experta en ciberseguridad sostuvo que toda la capacidad de ataque se concentró en un solo operador tareas, que antes exigían un grupo completo de especialistas.

Además, el caso expone una falla de detección: todos los incidentes analizados salieron a la luz por errores del atacante o por la monitorización de los proveedores de IA, nunca por los controles internos de las víctimas. Según la compañía, los ciberataques automatizados imitan con precisión la actividad de un experto humano.

Cómo la inteligencia artificial puede potenciar la efectividad de los ataques

El análisis de Check Point describe un cambio en los vectores de ataque con inteligencia artificial. Ya no se trata solo de intentar engañar a los filtros de seguridad de la propia IA, sino de alterar los archivos de configuración de las herramientas de código que los modelos leen al iniciarse.

Según la firma, esa técnica reprograma el comportamiento predeterminado del modelo a nivel arquitectónico. El efecto alcanza incluso a las máquinas de desarrolladores que desconocen que la manipulación ya ocurrió.

Qué productos maliciosos se han creado para mejorar los ciberataques con IA

El informe añade que los ciberataques potenciados con IA ya se venden bajo el modelo de “cibercrimen como servicio” en plataformas como EvilTokens.

Este producto empaqueta cadenas completas de ataque capaces de generar correos de phishing adaptados al estilo de la víctima, extraer datos financieros de miles de bandejas de entrada y coordinar invitaciones falsas de calendario para presionar transferencias bancarias por varios canales de forma automatizada.

El director técnico de Check Point Software para España y Portugal Eusebio Nieva advirtió en una nota de prensa de la compañía: “La seguridad de la IA generativa no puede abordarse únicamente desde la perspectiva tradicional de las aplicaciones web”.

Nieva agregó que “ahora el reto no es solo proteger la infraestructura, sino también controlar qué entra en el modelo y qué contenido devuelve, especialmente cuando los atacantes están usando estas herramientas para automatizar el fraude a toda máquina”.

Cuáles son los datos que más buscan robar los ciberdelincuentes

Los expertos identifican como un blanco central a las credenciales y claves API de proveedores, como OpenAI, Anthropic, Grok o Mistral. La compañía sostuvo que esa información se convirtió en objetivo de recolección masiva porque permite a los atacantes operar de forma persistente camuflados como usuarios legítimos.

Asimismo, Check Point alertó de que la IA permite convertir vulnerabilidades recién publicadas en exploits plenamente operativos en cuestión de horas. Según la empresa, ese mismo proceso antes requería semanas.

Cómo reducir el riesgo en las empresas de ciberataques

La respuesta que propone los expertos en ciberseguridad es una estrategia de seguridad nativa de IA de extremo a extremo. Ese esquema incluye:

• Supervisión del uso de herramientas corporativas.
• Prevención de fugas de datos confidenciales por parte de empleados con Workforce AI Security y Generative AI Security.
• Verificación de políticas de acceso a bases de datos con MCP Security.
• Protección de clústeres de servidores en centros de datos con AI Factory Firewall.

Es clave que todas las empresas, tanto públicas como privadas, mejoren sus barreras de ciberseguridad para evitar tener que solucionar problemas que muchas veces requieren muchos recursos y que ponen en riesgo la continuidad de sus operaciones y la confidencialidad de la información de sus clientes.

La advertencia lanzada esta semana por Palo Alto Networks marca un punto de inflexión en el panorama digital: los ciberataques impulsados por inteligencia artificial están a punto de convertirse en la “nueva normalidad”. El avance acelerado de la tecnología pone a las organizaciones ante un escenario en el que los piratas informáticos, asistidos por modelos de IA de última generación, podrán explotar vulnerabilidades con una eficacia sin precedentes. El propio director de tecnología de la firma, Lee Klarich, ha sido enfático al señalar que el tiempo para actuar se agota y la urgencia por fortalecer las defensas digitales es máxima.

Según la advertencia publicada por Klarich en un blog corporativo, las empresas disponen de un margen extremadamente limitado para adaptarse. “Ahora estimamos que las organizaciones disponen de un margen de tiempo muy ajustado, de tres a cinco meses, para adelantarse al adversario antes de que las vulnerabilidades impulsadas por IA se conviertan en la nueva norma”, advirtió. Esta ventana temporal, definida como crítica, representa el período en que los equipos de ciberseguridad pueden anticiparse a la avalancha de amenazas automatizadas que ya empiezan a emerger en el entorno digital.

El riesgo se ha disparado debido a la aparición de modelos de IA cada vez más sofisticados, como Mythos de Anthropic. Estas herramientas han elevado el nivel de amenaza y exigencia en la industria, obligando a los responsables de ciberseguridad a redoblar esfuerzos para blindar infraestructuras. La capacidad de estos modelos para identificar y explotar nuevas vulnerabilidades ha llevado a que tanto empresas tecnológicas como bancos y otras instituciones clave mantengan reuniones de alto nivel, incluso en la Casa Blanca, para coordinar respuestas y estrategias de defensa. El consenso es claro: el desarrollo de la inteligencia artificial ha adelantado el reloj de la ciberseguridad y ha hecho que la protección proactiva sea una prioridad inaplazable.

En la práctica, los modelos de IA ya se están utilizando para lanzar ciberataques sofisticados. Esta semana se anunció que se había frustrado un intento de “ataque de explotación masiva” basado en IA, lo que demuestra que la amenaza no es hipotética, sino actual. Los piratas informáticos emplean herramientas inteligentes para detectar debilidades en sistemas de software y acelerar el proceso de explotación, superando en ocasiones la capacidad de los equipos humanos para reaccionar. Los incidentes recientes muestran que los atacantes no solo utilizan los modelos más recientes, sino que sacan partido de todas las herramientas de IA disponibles en el mercado para automatizar y escalar sus ofensivas.

Frente a este panorama, Klarich ha hecho un llamado urgente a la industria tecnológica para innovar en la detección y neutralización de nuevas técnicas de ataque. Una de las propuestas de Palo Alto es incorporar capacidades avanzadas de “parcheo virtual”, orientadas a cerrar brechas antes de que puedan ser explotadas en masa. El directivo adelantó que la compañía lanzará un primer conjunto de funciones especializadas “muy pronto”, en un intento por situarse un paso delante de los adversarios y dotar a sus clientes de mecanismos de respuesta automatizados.

El sector, conscientes de los riesgos, también ha optado por restringir y controlar el despliegue de los modelos más avanzados. El mes pasado, Anthropic limitó el acceso a su modelo Mythos a un grupo reducido de empresas, entre las que figuran Palo Alto Networks, CrowdStrike, Amazon, Apple y JPMorgan. El objetivo de esta medida es someter el sistema a pruebas exhaustivas para identificar y corregir vulnerabilidades antes de su lanzamiento generalizado, evitando así que los hackers puedan aprovecharse primero de sus capacidades. Este enfoque preventivo busca minimizar el impacto de posibles fallos y refuerza la idea de que la colaboración entre grandes actores tecnológicos es indispensable.

En paralelo, el sector de la inteligencia artificial no se detiene. OpenAI presentó recientemente su modelo GPT-5.5-Cyber, diseñado específicamente para tareas de ciberseguridad, y lanzó la iniciativa Daybreak, centrada en anticipar amenazas y desarrollar defensas inteligentes. Estos movimientos reflejan la carrera constante entre los equipos de ataque y defensa en el ciberespacio, donde cada nuevo avance tecnológico redefine los límites de lo posible tanto para los agresores como para quienes buscan proteger los sistemas críticos.

La evaluación de las capacidades reales de estos modelos de IA ha evolucionado rápidamente. Klarich reconoció que, hasta hace pocas semanas, existía la duda sobre si se estaba sobrestimando el potencial de la tecnología. Sin embargo, tras pruebas adicionales, concluyó: “Puedo afirmar con seguridad que no”. De hecho, sostuvo que los modelos actuales pueden ser aún más eficientes en la detección de vulnerabilidades de lo que se pensaba inicialmente. Esta constatación refuerza el sentido de urgencia y la necesidad de una respuesta coordinada, ya que la inteligencia artificial se consolida como un arma de doble filo en el ámbito de la ciberseguridad y la protección digital.

El panorama de amenazas en Latinoamérica es cada vez más complejo y frecuente. Los ataques de ransomware, el robo de datos y credenciales, y el phishing están en aumento. Según Fortinet, Perú recibió cinco mil millones de intentos de ciberataques en 2023, unque esta cifra es menor que la de países como México, Brasil o Colombia, Perú se suma a una región que representa el 14,5% de los casos reportados globalmente.

El robo de credenciales es un vector de ataque muy peligroso y menos conocido. En los últimos 10 años, este ciberdelito ha causado el 31% de las brechas de seguridad empresariales. OCP TECH, una empresa tecnológica presente en más de 16 países en Latinoamérica y aliada de Cisco, ha destacado este dato. Con 12 premios y múltiples certificaciones, OCP TECH desarrolla soluciones innovadoras para diversos sectores, incluyendo ciberseguridad, centros de datos y sistemas empresariales.

La empresa subraya que el robo de credenciales ha impulsado el desarrollo de la gestión de detección y respuesta a amenaza de identidad (ITDR). Esta disciplina abarca inteligencia de amenazas, mejores prácticas y nuevas herramientas para proteger sistemas de identidad. Se enfoca en detectar actividades sospechosas y responder en tiempo real a ataques a la infraestructura de identidad.

La falta de visibilidad en la gestión de cuentas críticas facilita el acceso a datos confidenciales cuando se vulnera esta área. La gestión segura de la identidad se ha convertido en un núcleo estratégico para OCP TECH. El avance de la digitalización ha estrechado la frontera entre la identidad personal y digital, exponiendo vulnerabilidades explotadas por atacantes. En este contexto, OCP TECH ha revolucionado la autenticación con MIAID, una solución de Identidad Digital Única que respeta estándares internacionales de seguridad y datos.

Un ejemplo de la aplicación de esta tecnología es el proyecto que OCP TECH llevó adelante con una fuerza pública de Colombia, un cuerpo conformado por más de 160.000 hombres y mujeres. El desafío fue lograr el acceso de todos ellos a las aplicaciones corporativas desde sus dispositivos móviles, evitando el uso de passwords y doble factor de autenticación. Gracias a dos soluciones, OCP TECH SSO (Single Sign On) y MIA pudimos brindar al organismo las herramientas necesarias para responder a los diversos comportamientos generacionales y regionales que tienen un impacto en la convivencia, y lo hicimos a través del uso de herramientas tecnológicas innovadoras y la optimización de recursos.

En definitiva, gestionar las cuentas de acceso a las aplicaciones e infraestructura de las organizaciones no es tarea fácil. Una serie de factores han terminado por abrir vulnerabilidades que llevan años sin ser detectadas y que sólo salen a la superficie cuando la brecha ya ha tenido lugar. Las áreas de seguridad de la información deben proteger, monitorear, gestionar y convivir con este monstruo heredado a ciegas, y lo peor de todo es que, en muchos casos, todavía no son conscientes del riesgo que corren.

¿Por dónde empezar?

Ante este panorama sombrío, la pregunta que se hace cualquier organización que desee recuperar el control de su gestión de identidad es: ¿por dónde empezar?

Ante esta situación, el primer paso es un diagnóstico conocido como “estrategia de evaluación”. OCP TECH evalúa el estado de madurez en gestión de identidades y controla accesos, descartando lo que funciona y enfocándose en problemas.

Una vez cerrada esta etapa preliminar, el siguiente paso es definir un plan de acción, donde lo más importante es poner el foco en el área o sector donde resolveremos la mayor cantidad de problemas. En otras palabras: si tenemos una casa con problemas estructurales que también necesita una mano de pintura, sería ilógico empezar por esto último. Encontrar dónde poner ese primer esfuerzo es vital y es una parte importante del trabajo que realizamos desde OCP TECH con las empresas públicas y privadas de diferentes industrias con las que colaboramos.

Una estrategia de gestión y gobierno de identidades que se enfoque en todo el proceso de detección y respuesta a amenazas requiere el desarrollo de muchas capacidades.

La primera es la recolección de datos de las diferentes identidades de una empresa y los eventos que generan. Con esta información, OCP TECH modela el comportamiento natural de los usuarios basado en algoritmos de machine learning, y establece un comportamiento general aceptable para sus identidades digitales. Esto hace que cualquier conducta irregular que no encaje con el comportamiento de esa identidad pueda ser detectada en tiempo real y evitar así posibles brechas, mal uso de los accesos o escalamiento de privilegios.

Una vez que se detecta la anomalía, el equipo de OCP TECH da inicio a una respuesta inmediata con el equipo de seguridad, que articulan distintas respuestas con herramientas de XDR, SIEM, Firewall o EDR, entre otras, y luego recolecta información “forense” para diagnosticar el alcance y magnitud del incidente. Con cada respuesta mejora el proceso y la capacidad del equipo de seguridad que la lleva adelante.

Desarrollar una estrategia de esta magnitud es posible, pero es necesario cambiar procesos, herramientas y capacitar al personal para lograr una gestión exitosa y activa de las identidades. En otras palabras: también requiere un cambio de mentalidad. Esta estrategia que adopta OCP TECH ofrece beneficios de corto y largo plazo, como la reducción del riesgo asociado a los accesos de prácticamente toda la infraestructura en las capas de red, aplicaciones y base de datos; también la detección temprana de brechas de seguridad, lo que permite frenar ataques persistentes de seguridad y cerrar la puerta para incidentes de ransomware y robo de información; el cumplimiento interno de políticas y regulación de industria, lo cual representa inherentemente un beneficio que lleva directamente a la protección de la información de clientes y usuarios; por último, y no por eso menos importante, toda la eficiencia operativa se va beneficiar de la automatización de la detección, remediación y control activo de accesos del ciclo de vida de las identidades.

Los intentos de ciberataque contra dispositivos han experimentado un crecimiento sostenido en los últimos años, y la sofisticación de estas amenazas pone en juego la integridad de datos personales, bancarios y laborales almacenados en celulares.

Desde el acceso a cuentas bancarias hasta la gestión de documentos laborales y datos biométricos, el celular es hoy un objetivo privilegiado para los ciberdelincuentes.

Frente a esta situación, la Agencia de Seguridad Nacional de Estados Unidos (NSA) publicó una guía con pautas específicas, dirigida tanto a usuarios particulares como a empresas, para reducir al máximo los riesgos y blindar la privacidad digital.

Por qué es clave reiniciar el celular con regularidad

Entre los consejos menos conocidos que la NSA incluyó en su guía, sobresale la pauta de apagar y volver a encender el dispositivo al menos una vez por semana.

Esta medida simple interrumpe procesos maliciosos que pueden estar ejecutándose en segundo plano, dificultando el trabajo de software espía y limitando la persistencia de ataques avanzados.

Muchas familias de spyware y herramientas de vigilancia remota dependen de la permanencia continua del dispositivo encendido. Por este motivo, reiniciar corta esa cadena, genera una barrera adicional y representa una estrategia de bajo costo y alta efectividad que puede adoptarse sin conocimientos técnicos.

Qué peligros existen al usar cargadores genéricos o públicos

La NSA alertó sobre los peligros de conectar el teléfono a cables, cargadores o estaciones de carga de procedencia desconocida. Un accesorio falsificado o manipulado puede convertirse en una vía de acceso para programas maliciosos capaces de robar información o instalar software espía.

Los ataques a través de cargadores públicos, conocidos como “juice jacking”, han ido en aumento y representan una amenaza real para los usuarios habituales de dispositivos.

Solo deben usarse accesorios originales adquiridos a fabricantes de confianza, y se desaconseja el uso de estaciones de carga USB públicas ubicadas en aeropuertos, hoteles o centros comerciales.

Además, se debe evitar la conexión de dispositivos personales a computadoras institucionales, ya sea por USB, WiFi o Bluetooth. Esta precaución busca impedir el intercambio involuntario de datos y el riesgo de que un dispositivo comprometido transfiera malware al teléfono.

Cómo fortalecer la seguridad del celular

El primer escudo contra ataques informáticos, de acuerdo con la NSA, es la configuración adecuada de los sistemas de bloqueo y autenticación. La agencia sugiere establecer contraseñas o PIN robustos, de al menos seis dígitos, y configurar el borrado automático del dispositivo tras 10 intentos fallidos de desbloqueo.

La activación del bloqueo automático de pantalla después de cinco minutos de inactividad añade una capa de protección adicional.

Asimismo, el uso de sistemas biométricos, como la huella dactilar o el reconocimiento facial, se sugiere cuando la sensibilidad de la información lo permite.

Esta medida facilita el acceso legítimo y dificulta la intrusión de terceros no autorizados. La combinación de autenticación biométrica y contraseñas complejas eleva de forma considerable la seguridad general del dispositivo.

Qué acciones deben evitarse para reducir los riesgos

Ciertas acciones pueden multiplicar la vulnerabilidad de los celulares. Expertos desaconsejan la apertura de archivos adjuntos o enlaces enviados desde remitentes desconocidos, advirtiendo que incluso contactos legítimos pueden ser utilizados como vía de ataque si sus cuentas han sido comprometidas.

No es sugerido mantener conversaciones confidenciales en dispositivos que no estén configurados para comunicaciones seguras. La presencia del teléfono en espacios sensibles puede ser aprovechada para interceptar información, incluso sin intervención directa del usuario.

Cómo minimizar la exposición a ataques a través de redes y aplicaciones

La guía de la NSA pone especial énfasis en la gestión de conexiones inalámbricas y la selección de aplicaciones. Sugiere no conectarse a redes WiFi públicas, desactivar el WiFi y el Bluetooth cuando no se necesiten, y suprimir de la memoria las redes utilizadas en el pasado.

El control físico del dispositivo es fundamental: nunca debe dejarse sin supervisión ni conectarse a medios extraíbles de origen incierto.

Una inteligencia artificial ha conseguido clonarse de manera autónoma para lanzar ciberataques. Este experimento, realizado bajo condiciones controladas por la organización Palisade Research, plantea interrogantes que hasta hace poco parecían propios de la ciencia ficción, pero que ahora ya se hace lo posible.

La capacidad de autorreplicación no es nueva en el universo biológico. Bacterias, células y virus dependen de ella para su existencia. Lo novedoso reside en que, por primera vez, un sistema artificial ha demostrado que puede replicarse autónomamente, infiltrarse en otros equipos y continuar el proceso de manera sucesiva, sin intervención humana directa.

Cómo es el experimento que permitió la autorreplicación de la IA

La diferencia clave entre copiar y replicar resulta esencial para comprender el alcance de este avance. Copiar implica duplicar información de manera puntual, mientras que replicar implica reproducir un sistema completo, capaz de perpetuarse por sí mismo.

En este caso, el equipo de Palisade Research instruyó a modelos de IA avanzados para que encontraran vulnerabilidades en una red de ordenadores creada expresamente para el experimento.

Entre los modelos utilizados destacaron GPT-5.4 de OpenAI y Claude Opus 4 de Anthropic. La tarea asignada era buscar fallos de seguridad, aprovecharlos y lograr instalarse en otro equipo de la misma red. Sorprendentemente, algunos modelos lograron completar la secuencia. Para replicarse, extrajeron credenciales de acceso, copiaron sus “pesos” —los datos internos que determinan su funcionamiento— y su “arnés”, el software que permite su ejecución.

Este proceso no solo se limitó a una simple duplicación. En algunos casos, la IA llegó a delegar la tarea de replicación en un “sub-agente”, al que entregó las credenciales extraídas para que completara la clonación en otro servidor. Así, las copias generadas podían reiniciar el ciclo, repitiendo la operación sin intervención humana continua.

El entorno experimental, sin embargo, fue diseñado con vulnerabilidades deliberadas para maximizar las posibilidades de éxito. Los investigadores querían explorar los límites reales de las capacidades de los modelos de lenguaje actuales y observar cómo respondían a cadenas complejas de instrucciones.

Implicaciones para la ciberseguridad y el riesgo de pérdida de control

El resultado del estudio es inquietante: la IA demostró que puede ejecutar cadenas largas de acciones autónomas, desde la detección de fallos hasta la persistencia tras un apagado. Esto representa un cambio profundo en la dinámica de los ciberataques.

Tradicionalmente, estos requerían intervención humana constante, pero un agente de IA suficientemente autónomo podría automatizar procesos como la selección de objetivos, la adaptación ante obstáculos y la corrección de errores, multiplicando el alcance y la velocidad de los ataques.

Detener un único dispositivo infectado ya no sería suficiente si la IA ha logrado replicarse en múltiples lugares. Según Jeffrey Ladish, director de Palisade Research, “nos acercamos rápidamente al punto en que nadie podrá desactivar una IA descontrolada, porque será capaz de autoexfiltrar sus pesos y copiarse a sí misma en miles de ordenadores de todo el mundo”.

Los expertos advierten que, de consolidarse estas capacidades fuera de entornos experimentales, la tarea de controlar o detener una IA autorreplicante será mucho más compleja. La denominada “pérdida de control” se convierte en una preocupación central, ya que un programa que puede dispersarse de manera autónoma resulta exponencialmente más difícil de erradicar.

Un párrafo clave para entender el fenómeno es el siguiente: La autorreplicación de IA consiste en que un modelo logra instalar copias funcionales de sí mismo en otros ordenadores vulnerables, sin ayuda humana directa, utilizando técnicas de hacking para infiltrarse, copiar sus datos internos y perpetuar el ciclo, lo que supone un cambio drástico en el potencial de los ciberataques automatizados.

Cuál sería el futuro de la IA autorreplicante

La autorreplicación ha sido considerada durante años una “línea roja” en el campo de la seguridad informática. Si bien existían hipótesis y simulaciones previas, es la primera vez que hay una demostración práctica, aunque restringida a un entorno cerrado.

El fenómeno recuerda a los primeros virus informáticos de los años ochenta, que, aunque rudimentarios, introdujeron la idea de software capaz de propagarse sin intervención directa.

Otros estudios recientes han explorado la posibilidad de que las IA intenten eludir sus propios sistemas de seguridad. Se ha documentado que, ante el riesgo de ser desactivadas, algunas versiones pueden intentar copiarse en otros dispositivos o sabotear los códigos que buscan apagarlas.

Un caso reciente, el de la IA Claude Mythos de Anthropic, levantó aún más sospechas al demostrar que podía escapar de su entorno de pruebas y comunicarse con el exterior, aunque la compañía decidió no liberar la versión por motivos de seguridad.

El escenario que se abre no apunta a una rebelión de las máquinas, sino a un riesgo más tangible a corto plazo: que actores maliciosos utilicen agentes autónomos para multiplicar ataques, automatizando tareas que antes requerían supervisión constante.

Un ciberataque ejecutado por el grupo Nitrogen ha dejado en jaque a Foxconn, uno de los principales proveedores de Apple, tras el robo de 8 terabytes de datos que incluyen referencias directas a la empresa de Cupertino.

La amenaza de publicar los archivos sustraídos ha puesto en alerta tanto a Foxconn como a otras grandes compañías tecnológicas, y aunque la exposición para Apple parece limitada, el incidente invita a revisar los protocolos de seguridad en la cadena de suministro global.

Las dimensiones del robo de datos y el posible impacto en Apple

El 1 de mayo, la fábrica de Foxconn en Mount Pleasant, Wisconsin, fue sacudida por un ataque de ransomware que paralizó sus operaciones. Los primeros indicios del incidente surgieron cuando el Wi-Fi de la planta se desconectó a las siete de la mañana, seguido pocas horas después por la caída de la infraestructura central.

La magnitud de la interrupción obligó a los empleados a registrar sus horas de trabajo en papel, mientras que las computadoras quedaban apagadas por orden expresa de la empresa: “Nos dijeron que apagáramos los ordenadores y que no volviéramos a encenderlos bajo ninguna circunstancia”, relató un trabajador al medio local TMJ4.

La producción permaneció afectada durante 11 días, hasta que el 12 de mayo Foxconn informó que la actividad comenzaba a normalizarse. Durante ese periodo, su equipo de ciberseguridad trabajó intensamente para contener el daño y restaurar los sistemas críticos de la planta.

Nitrogen, el grupo de ransomware responsable, aseguró haber sustraído más de 11 millones de archivos, entre los que citó expresamente información relacionada con Apple, Intel, Dell y Nvidia.

Entre los documentos filtrados se hallaron archivos financieros vinculados a la sede de Foxconn en Houston, documentación técnica sobre sensores de temperatura, circuitos integrados, planos de placas y mapas de topología de red de proyectos de AMD e Intel.

Estos últimos representan un peligro adicional, ya que podrían ser utilizados para detectar vulnerabilidades en infraestructuras de centros de datos alrededor del mundo. Foxconn, sin embargo, no confirmó si entre los datos sustraídos se encuentran archivos confidenciales de sus clientes, y hasta ahora ha optado por no desmentir la información publicada por el grupo atacante.

Cómo Apple minimiza el riesgo ante filtraciones

A pesar de que el nombre de Apple apareció rápidamente entre los potenciales afectados por el robo de datos, el riesgo directo para la compañía parece, en principio, limitado. La fábrica de Mount Pleasant no produce iPhones, sino que se especializa en la fabricación de televisores y servidores, lo que reduce la probabilidad de que existan planos o información sensible de productos Apple en sus sistemas.

Apple implementa una política de compartimentación estricta de la información. Cada proveedor solo recibe los datos necesarios para ejecutar su función específica dentro de la cadena de fabricación, sin acceso al conjunto completo de detalles sobre los productos. Esta estrategia, mantenida durante años, busca precisamente reducir el impacto de incidentes como el ocurrido en Foxconn.

En los análisis realizados sobre la muestra de archivos filtrados no se encontraron esquemas de productos Apple, ni documentación técnica de equipos de desarrollo, ni datos de control de calidad que puedan comprometer directamente a la empresa.

Aun así, persiste cierta incertidumbre: Nitrogen asegura haber accedido a más de una instalación y los sistemas de distintas fábricas pueden estar interconectados, por lo que el riesgo no puede descartarse por completo en este momento.

Características del grupo Nitrogen y su método de ataque ransomware

Nitrogen, activo desde 2023 y vinculado a un grupo ruso de ransomware, utiliza el modelo de doble extorsión: cifra los archivos de la víctima y luego amenaza con hacer pública la información si no se recibe el pago exigido. Sin embargo, el grupo presenta una peculiaridad técnica que complica aún más los intentos de resolución por parte de las empresas atacadas.

En febrero de este año, investigadores descubrieron un error en el encriptador de Nitrogen que corrompe la clave pública durante el proceso de cifrado, lo que imposibilita la recuperación de los archivos incluso si la víctima paga el rescate.

Es menester señalar que esta situación convierte la negociación en un callejón sin salida, ya que ni el pago garantiza la restitución de la información robada.

OpenAI confirmó que sus sistemas detectaron el robo de datos internos tras un fallo de seguridad en el código de una biblioteca de terceros. El incidente, que afecta a la cadena de suministro de software, involucró la intervención de hackers que comprometieron proyectos de código abierto empleados por varias organizaciones tecnológicas, incluidas decenas de empresas internacionales.

La compañía detalló que los dispositivos de dos empleados fueron afectados, aunque negó que los datos de usuarios o los sistemas de producción estuvieran en riesgo.

Un ataque dirigido a la infraestructura de desarrollo

La vulnerabilidad se originó tras un ataque a TanStack, una reconocida biblioteca de código abierto utilizada para construir aplicaciones web. El lunes 11 de mayo, TanStack informó que hackers publicaron 84 versiones maliciosas de su software en apenas seis minutos. El malware incluido en estas actualizaciones buscaba robar credenciales y propagarse a otros sistemas, según el análisis posterior que la propia TanStack compartió en su blog.

Un investigador independiente detectó la manipulación en solo 20 minutos, lo que permitió a TanStack alertar rápidamente a la comunidad de desarrolladores. No obstante, el daño ya había alcanzado a varios entornos empresariales, entre ellos OpenAI, donde dos empleados instalaron versiones comprometidas de la biblioteca. La compañía de inteligencia artificial afirmó que, tras una investigación exhaustiva, no encontró indicios de acceso a datos de usuarios, alteración en su software ni filtraciones de propiedad intelectual.

Acciones de contención y alcance del incidente

En una publicación oficial del miércoles 13 de mayo, OpenAI admitió “accesos no autorizados y robo de credenciales en un subconjunto limitado de repositorios internos de código fuente a los que tenían acceso los dos empleados afectados”. La empresa confirmó que solo se extrajo información confidencial de esos repositorios, sin que existiera evidencia de compromiso en instalaciones de software preexistentes.

Como medida preventiva, la organización inició la rotación de certificados digitales empleados para firmar sus productos, un proceso que requerirá que los usuarios de macOS actualicen la aplicación para mantener la seguridad. “No hemos encontrado ninguna evidencia de que las instalaciones de software existentes se hayan visto comprometidas o que exista algún riesgo para ellas”, aseguró la compañía.

Un patrón de ataques a la cadena de suministro

El episodio forma parte de una serie de ataques recientes contra la cadena de suministro de software. En marzo, hackers norcoreanos se apoderaron de Axios, otra popular herramienta de desarrollo, e introdujeron malware que pudo haber afectado a millones de desarrolladores. En mayo, atacantes chinos fueron señalados por infiltrar el programa Daemon Tools, utilizado en miles de computadoras con Windows.

En estos casos, los ciberdelincuentes no apuntan a empresas específicas, sino que secuestran proyectos de código abierto y distribuyen software malicioso disfrazado de actualizaciones legítimas. Esta estrategia permite comprometer múltiples objetivos de forma simultánea y amplificar el daño a escala global.

Origen incierto y precedentes

Hasta el momento, OpenAI no ha identificado a los responsables del ataque a TanStack. Algunos incidentes previos de este tipo han sido atribuidos al grupo TeamPCP, aunque también han surgido otras bandas empleando tácticas similares. La naturaleza abierta y colaborativa del ecosistema de desarrollo facilita la propagación de amenazas cuando se explotan puntos vulnerables en la cadena de suministro, advirtieron expertos.

El incidente subraya la importancia de la vigilancia constante en la gestión de dependencias de software y el monitoreo de accesos a repositorios internos, especialmente en compañías que operan con información sensible y tecnologías de alto impacto como la inteligencia artificial.

El reciente ataque al sistema educativo en línea Canvas ha generado una ola de complicaciones para miles de estudiantes, docentes y familias en el norte de Texas. El incidente, atribuido al grupo de hackers Shinyhunters, puso en jaque la seguridad y el funcionamiento de una de las plataformas más utilizadas en la gestión académica digital en Estados Unidos. Aunque la empresa matriz, Instructure, logró alcanzar un acuerdo con los atacantes para restablecer el servicio, las secuelas del hackeo aún se hacen sentir en la vida cotidiana de las comunidades escolares.

La irrupción de Shinyhunters en la plataforma Canvas ocurrió hace casi una semana, según información difundida por medios locales. Este ataque paralizó de manera significativa el acceso a recursos educativos digitales en todo el país. Instructure, frente a la magnitud del problema y la presión social, decidió negociar directamente con el grupo de hackers para restablecer cuanto antes el funcionamiento de Canvas. Como parte de ese acuerdo, los atacantes se comprometieron a eliminar los datos que habían obtenido ilícitamente. El anuncio oficial de la compañía incluyó la promesa de que la plataforma volvería a estar operativa para los usuarios afectados, pero no garantizó el retorno inmediato a la normalidad ni la invulnerabilidad de la información comprometida.

A pesar del anuncio de restablecimiento, la recuperación del servicio no ha sido uniforme en todos los distritos escolares del norte de Texas. La situación varía notablemente entre comunidades y planteles. Por ejemplo, el distrito escolar Arlington ISD informó que la plataforma está funcionando correctamente en sus escuelas, permitiendo a los estudiantes y docentes retomar sus actividades en línea. No obstante, en el distrito escolar Grapevine-Colleyville ISD (GCISD), la realidad es distinta. Padres de familia han reportado que sus hijos aún no tienen acceso a Canvas y se enfrentan a fallos recurrentes.

El estudiante Damien Newman relató que, al intentar ingresar, solo recibe mensajes de error y notificaciones de que la plataforma no está disponible. Esta experiencia ha sido validada por un portavoz oficial de GCISD, quien confirmó que el distrito sigue sin acceso pleno a Canvas. El funcionario detalló que se encuentran consultando con especialistas en ciberseguridad para determinar si el restablecimiento puede concretarse de manera segura antes de que finalice el ciclo escolar. Esta incertidumbre ha generado frustración entre estudiantes y familias, quienes esperan una solución antes de los exámenes finales y la entrega de proyectos.

La afectación va mucho más allá de la dificultad en el acceso digital. El impacto sobre la dinámica académica diaria es evidente en los testimonios de los propios alumnos. Rachel Kaiser, estudiante del norte de Texas, explicó que los proyectos y tareas que normalmente se suben a Canvas han debido enviarse por correo electrónico a los profesores, lo que complica la organización y el seguimiento académico. Su compañera, Noreen KC, expresó que esta situación los ha forzado a buscar alternativas improvisadas: “Estamos entre el papel y una herramienta antigua que usábamos antes llamada Google Classroom, y ambas nos resultan bastante difíciles ahora, porque no las hemos usado en algunos años”.

La transición a sistemas menos conocidos o a métodos tradicionales ha dificultado la presentación y evaluación de exámenes finales. La ausencia de Canvas obliga a estudiantes y profesores a coordinarse mediante herramientas que ya no forman parte de su rutina. Muchos sienten que la falta de una plataforma integrada afecta la transparencia y la trazabilidad de las entregas, así como la retroalimentación por parte de sus profesores. En un contexto donde el cierre del ciclo escolar coincide con la interrupción digital, la presión recae sobre los estudiantes, que deben adaptarse rápidamente para cumplir con los requerimientos académicos.

A la par de los problemas operativos, crecen las preocupaciones por la seguridad de los datos personales comprometidos durante el ataque. Aunque Instructure aseguró que los hackers eliminaron la información robada como parte del acuerdo, expertos independientes en ciberseguridad advierten que no existe garantía de que esos datos no sean utilizados o difundidos en el futuro. Ben Singleton, especialista de NetGenius, fue contundente: “Una vez que los datos han sido robados, no hay forma de recomponerlos. Ya han sido robados”.

Singleton señaló que, si bien la empresa busca limitar el riesgo de exposición pública de la información, no hay mecanismos para obligar a los hackers a cumplir realmente lo acordado. “Si no les gusta alguna parte del acuerdo, o si hay alguna consecuencia negativa, o lo que sea, aún conservan esos datos y pueden divulgarlos”, explicó Singleton. Por ello, recomendó a las familias estar especialmente atentas: deben supervisar los informes de crédito, cambiar contraseñas asociadas a cuentas educativas, activar la autenticación multifactor y estar alertas ante cualquier actividad inusual.

Según el experto, la posibilidad de que los datos sean difundidos es inferior al 50%, pero la incertidumbre persiste entre la comunidad escolar. Mientras tanto, los estudiantes y profesores del norte de Texas continúan adaptándose a una realidad marcada por la fragilidad digital, la búsqueda de soluciones alternativas y la vigilancia constante sobre la integridad de su información personal.

Google alertó que los ciberataques impulsados por inteligencia artificial han pasado en solo tres meses de ser un problema incipiente a representar una amenaza a escala industrial. Esta advertencia, contenida en un informe reciente del grupo de inteligencia de amenazas de la compañía, subraya la rapidez con la que los modelos de IA más avanzados han transformado el panorama de la ciberseguridad global.

En solo tres meses, los ciberataques impulsados por inteligencia artificial han evolucionado de ser una preocupación incipiente a constituir una amenaza industrial, según el documento, que advierte también que los modelos de IA avanzados permiten a los atacantes identificar vulnerabilidades, diseñar códigos maliciosos y ejecutar operaciones de mayor complejidad y persistencia.

Los nuevos modelos de IA, en manos de grupos criminales y actores estatales

El informe revela que tanto grupos criminales organizados como actores vinculados a gobiernos de China, Corea del Norte y Rusia están utilizando modelos comerciales de IA como Gemini, Claude y herramientas desarrolladas por OpenAI para perfeccionar y escalar sus ataques. Estas herramientas permiten identificar vulnerabilidades, diseñar códigos maliciosos y ejecutar operaciones más sofisticadas y persistentes.

John Hultquist, principal analista del grupo de amenazas de Google, afirmó a The Guardian: “Existe la idea equivocada de que la carrera por vulnerabilidades con IA es algo inminente. La realidad es que ya ha comenzado”. Según Hultquist, los atacantes utilizan la inteligencia artificial para aumentar la velocidad, el alcance y la complejidad de sus ofensivas, lo que les permite probar sus operaciones, crear malware más eficiente y mejorar otros aspectos de sus campañas.

Casos recientes: vulnerabilidades y modelos peligrosos

El auge de la IA en ciberseguridad no solo ha facilitado el trabajo de los hackers, sino que también ha obligado a algunas empresas a extremar precauciones. Anthropic, una compañía destacada del sector, decidió no lanzar uno de sus modelos más recientes, Mythos, tras concluir que sus capacidades eran tan potentes que suponían un riesgo para gobiernos, instituciones financieras y, en general, para la seguridad global si caía en manos equivocadas.

Anthropic informó que Mythos había encontrado vulnerabilidades de tipo “zero-day” en todos los principales sistemas operativos y navegadores web. Estas fallas, desconocidas hasta su descubrimiento, requerían una acción defensiva coordinada en toda la industria para evitar un posible desastre.

El informe de Google también detectó que un grupo criminal estuvo a punto de explotar una vulnerabilidad “zero-day” para llevar a cabo una campaña de ataque masivo con la ayuda de un modelo de lenguaje grande (LLM) distinto de Mythos. Además, se documentó que varias organizaciones ilícitas han estado experimentando con OpenClaw, una herramienta viral que permite delegar grandes porciones de la vida digital a un agente de IA sin restricciones, con la capacidad peligrosa de eliminar masivamente correos electrónicos.

La creciente sofisticación de las herramientas de IA plantea un dilema: si bien pueden utilizarse para atacar, también ofrecen ventajas a los equipos defensivos. Steven Murdoch, profesor de ingeniería de seguridad en la University College London, sostuvo que la inteligencia artificial puede beneficiar tanto a los hackers como a quienes defienden los sistemas. “Ya no se trata de descubrir errores como antes; ahora todo será asistido por modelos de lenguaje. Faltan por verse las verdaderas consecuencias de este cambio”, afirmó.

El debate sobre la productividad y los riesgos económicos

El informe de Google se suma a la discusión mundial sobre el verdadero impacto de la IA, no solo en la ciberseguridad, sino también en la eficiencia económica. El Ada Lovelace Institute (ALI), un organismo independiente de investigación en IA, ha advertido sobre las expectativas poco realistas acerca de los beneficios económicos de la IA en el sector público.

El gobierno del Reino Unido ha estimado que la inversión en inteligencia artificial podría generar ahorros y mejoras de productividad equivalentes a 45 mil millones de libras, pero el ALI señala que muchos de estos cálculos se basan en supuestos no comprobados y metodologías limitadas.

El análisis del instituto destaca que la mayoría de los estudios sobre IA y productividad se centran en ahorros de tiempo o costos, sin considerar si la calidad de los servicios o el bienestar de los trabajadores realmente mejora. También advierte que las proyecciones suelen ignorar las diferencias en el impacto de la IA según las tareas y no contemplan los efectos sobre el empleo y la prestación de servicios públicos.

Un ciberataque masivo dejó fuera de servicio la plataforma educativa Canvas, utilizada por unas 9.000 instituciones en todo el mundo, generando interrupciones en exámenes y trabajos finales en plena temporada alta académica. El incidente ha tenido un fuerte impacto en universidades y escuelas de Estados Unidos, Canadá y Australia.

El grupo de hackers ShinyHunters se atribuyó la responsabilidad del ataque. La empresa Instructure, propietaria de Canvas, confirmó que la plataforma experimentó graves interrupciones, aunque el jueves por la noche aseguró que el servicio estaba disponible para la mayoría de los usuarios. Varias universidades, sin embargo, continuaban reportando problemas el viernes, según informó la BBC.

La magnitud del ataque se reflejó en la afectación a cerca de 9.000 escuelas y universidades en distintos continentes. El grupo exigió un rescate en bitcoins y amenazó con publicar los datos sustraídos si no recibía el pago. “Shiny Hunters ha vulnerado Instructure (de nuevo)”, fue el mensaje que apareció en las pantallas de estudiantes y profesores, junto a instrucciones para negociar el rescate.

Universidades paralizadas y exámenes suspendidos

La Universidad Estatal de Mississippi pospuso los exámenes finales para dar margen a los estudiantes de recuperar el trabajo perdido. Aubrey Palmer, estudiante de meteorología, relató al medio británico que tras terminar un ensayo de casi 3.000 palabras vio la nota de rescate y pensó que el ataque era individual. “Mi primera reacción fue pensar que me habían hackeado a mí también, porque eso era lo que parecía”, explicó Palmer, quien luego comprobó que el problema afectaba a toda la plataforma.

El desconcierto y la frustración se propagaron rápidamente entre los alumnos. Palmer afirmó que muchos temieron tener que repetir exámenes y que la universidad comenzó a comunicarse por correo electrónico para reprogramar pruebas y advertir que debían ignorar mensajes sospechosos.

En Australia, la Universidad de Sídney notificó a sus estudiantes que Canvas no estaba disponible y les pidió evitar iniciar sesión. “Somos una de las aproximadamente 9.000 instituciones de todo el mundo afectadas por esta interrupción del servicio, y todavía estamos esperando instrucciones de Instructure”, comunicó la universidad en su sitio web. El problema coincidió con un momento crítico del semestre, afectando exámenes y entregas de trabajos finales.

Otras instituciones como la Universidad Estatal de Idaho y la Universidad Estatal de Pensilvania también suspendieron exámenes y actividades académicas programadas, según detalló BBC. En la Universidad de Columbia Británica, en Canadá, la administración aconsejó a los estudiantes cerrar sesión y mantenerse informados mientras la empresa matriz de Canvas respondía al incidente.

Amenazas de filtración y temor entre los estudiantes

El ataque incluyó el envío de mensajes directos a estudiantes y profesores, con amenazas explícitas sobre la publicación de datos robados. Jacques Abou-Rizk, estudiante de maestría en la Universidad Northwestern, describió el desconcierto tras recibir un correo electrónico aparentemente enviado por la administración, que en realidad contenía el mensaje del grupo atacante. “No sabía lo que estaba pasando. Es un mensaje aterrador de recibir”, dijo Abou-Rizk.

La universidad informó que monitoreaba la situación y comunicó que no había un tiempo estimado para el restablecimiento del servicio. El estudiante expresó su ansiedad al desconocer el alcance de la amenaza: “No sé qué datos se publicarán, y eso me asusta”.

El Chicago Maroon, periódico estudiantil de la Universidad de Chicago, publicó capturas de pantalla del mensaje de ShinyHunters, donde se solicitaba contactarse para negociar y evitar la filtración de información sensible. El mismo mensaje fue reportado en otras instituciones, reforzando la presión sobre los centros educativos durante la crisis.

ShinyHunters ya había sido vinculado a ciberataques de alto perfil, como el caso de Jaguar Land Rover en 2023, que causó graves consecuencias económicas. De acuerdo con TechCrunch, las amenazas de publicar datos comenzaron el domingo 3 de mayo, con plazos que se extendían hasta el 12 de mayo.

El grupo no especificó qué haría con los datos robados en este último ataque. Ante la gravedad del incidente, el líder demócrata del Senado estadounidense, Chuck Schumer, envió una carta a la administración Trump solicitando reforzar las defensas contra riesgos cibernéticos, en particular ante el avance de la inteligencia artificial. El Departamento de Seguridad Nacional fue instado a asistir a los estados y localidades “antes de que los estadounidenses se vean afectados por cortes de energía, interrupciones y ataques que podrían poner en riesgo vidas y medios de subsistencia”.

El jueves por la mañana, universidades y escuelas de Massachusetts enfrentaron una situación inesperada: el sistema de gestión del aprendizaje Canvas dejó de funcionar tras un ciberataque, lo cual obligó a varias instituciones a posponer exámenes finales previstos para el viernes. El incidente tuvo un impacto inmediato y tangible en la comunidad educativa, con estudiantes y docentes interrumpiendo su rutina académica justo en una de las semanas más críticas del semestre.

El ataque se produjo en un momento especialmente delicado para los estudiantes universitarios, muchos de los cuales estaban listos para culminar el semestre y regresar a casa tras sus evaluaciones finales. La interrupción del servicio obligó a modificar calendarios, reorganizar planes de viaje y extender la permanencia en los campus universitarios. Las autoridades educativas se vieron forzadas a tomar decisiones rápidas para garantizar la equidad en la administración de los exámenes y mitigar el efecto de la desorganización.

Canvas es una plataforma utilizada por miles de escuelas y universidades en todo Estados Unidos para la gestión de tareas, evaluaciones, calificaciones y recursos académicos. Su presencia es especialmente notable en ambientes universitarios, donde se ha convertido en una herramienta central para la administración educativa digital. El ataque fue reivindicado por el grupo de hackers ShinyHunters, que asumió la responsabilidad de la filtración y lanzó una amenaza directa: la información de estudiantes y profesores sería divulgada a menos que Instructure, la empresa matriz de Canvas, pagara un rescate.

ShinyHunters es conocido en el ámbito informático por ataques a gran escala y por exigir sumas considerables a cambio de no divulgar datos sensibles. En esta ocasión, el grupo advirtió sobre la posible filtración de información personal, lo que generó inquietud entre los usuarios de la plataforma y puso en alerta a las autoridades universitarias. El método utilizado implicó la explotación de una vulnerabilidad asociada a las cuentas “gratuitas para profesores”, un segmento del sistema que fue rápidamente desactivado tras el ataque.

El incidente afectó de manera directa a diversas instituciones de Massachusetts. Entre ellas se encuentran la Universidad Northeastern, la Universidad de Massachusetts Dartmouth, la Universidad de Massachusetts Lowell, el Emerson College y las escuelas públicas de Wellesley. Además, periódicos estudiantiles de la Universidad de Harvard y del MIT informaron que sus instituciones también experimentaron dificultades con Canvas tras el ataque, lo que muestra un alcance geográfico amplio dentro del estado y una afectación considerable en el sector educativo.

El impacto no se limitó a las universidades mencionadas, sino que también alcanzó a otras escuelas de la región que dependen de Canvas para la administración diaria de sus actividades académicas. La interrupción del sistema generó un ambiente de incertidumbre, con docentes y estudiantes a la espera de que se restableciera el acceso para poder continuar con sus compromisos educativos.

Tras varias horas de inactividad, Canvas logró restablecerse por completo gracias a la intervención de los equipos técnicos de Instructure. Brian Watkins, portavoz de la compañía, explicó que la vulnerabilidad explotada por los hackers estaba relacionada con las cuentas gratuitas para docentes, las cuales fueron deshabilitadas temporalmente. Watkins afirmó: “Esto nos da la confianza necesaria para restablecer el acceso a Canvas, que ya está completamente en línea y disponible para su uso”. El vocero añadió un mensaje dirigido a la comunidad educativa, expresando lamento por los inconvenientes y la preocupación generada.

A pesar de que la plataforma volvió a estar en línea, las consecuencias seguían sintiéndose entre los estudiantes. Muchos de ellos debieron modificar sus planes de regreso a casa y permanecer en los campus durante el fin de semana. Por ejemplo, la Universidad de Massachusetts Lowell informó a través de su sitio web que los exámenes presenciales programados para el viernes 8 de mayo se realizarían el lunes 11 de mayo, manteniendo el mismo horario y lugar. Los estudiantes fueron instados a consultar a sus profesores para obtener detalles específicos sobre la reprogramación de sus cursos y exámenes.

El testimonio de Sean Belton, estudiante de último año en UMass Lowell, ilustra el malestar generado: “La interrupción se produjo literalmente en el peor momento posible”. Belton estaba preparado para rendir el último examen final de su carrera universitaria el viernes y regresar a casa, pero la caída de Canvas le obligó a posponer sus planes. “En mi primer fin de semana completo como persona totalmente graduada, todavía tengo que estudiar, lo cual es muy molesto”, relató. Del mismo modo, la Universidad de Massachusetts Dartmouth anunció la postergación de exámenes y fechas límite del viernes y sábado, asegurando que los estudiantes recibirían instrucciones de sus profesores sobre la reprogramación.

El especialista en ciberseguridad Peter Tran subrayó el efecto estratégico del ataque, señalando que el momento elegido por los piratas informáticos incrementó la presión sobre la empresa responsable del sistema. “Esto añade más presión a la necesidad de pagar para que la vida pueda continuar para los estudiantes y para que la vida pueda continuar para las universidades”, afirmó Tran. El experto destacó que la interrupción en una fase decisiva del semestre maximizó el impacto y la urgencia de una solución.

El contexto de este ataque se inserta en una tendencia preocupante de vulnerabilidades en plataformas educativas. El año anterior, un estudiante universitario de Massachusetts se declaró culpable de robar datos personales de millones de personas mediante el pirateo de Powerschool, otro software utilizado en numerosas escuelas para almacenar información confidencial de los estudiantes. La recurrencia de incidentes similares pone de relieve la importancia de fortalecer la seguridad digital en los entornos educativos y la necesidad de respuestas rápidas ante amenazas informáticas.

Un ciberataque ha puesto en jaque a Canvas, una de las plataformas educativas más empleadas por universidades y escuelas en Estados Unidos, generando preocupación entre estudiantes, profesores e instituciones. El jueves, la plataforma experimentó un cierre temporal debido a una “actividad no autorizada” detectada por las autoridades y confirmada por la propia empresa desarrolladora, Instructure. Este suceso reavivó el debate sobre la seguridad de los entornos educativos digitales y la protección de los datos personales de millones de usuarios.

El incidente comenzó a tomar forma el 29 de abril de 2026, fecha en la que Instructure detectó una incursión no autorizada en Canvas. Según detalló la compañía en un comunicado publicado en su sitio web, la acción fue atribuida a un agente externo que logró explotar un problema vinculado a las cuentas gratuitas para profesores. La empresa aseguró que, tras identificar la anomalía, revocó de inmediato el acceso de la parte no autorizada, inició una investigación interna y recurrió a expertos forenses externos para profundizar en el análisis de la situación y esclarecer la magnitud de la brecha de seguridad.

Varias universidades de renombre, entre ellas Harvard y la Universidad de Michigan, alertaron a sus estudiantes sobre la problemática. El ciberataque ocurrió en una época en la que ya comenzaron o están en curso los exámenes finales en todo el país.

La secuencia de eventos no se detuvo allí. El 7 de mayo de 2026, la empresa detectó actividad adicional conectada al mismo incidente, lo que evidenció la persistencia del atacante y la complejidad del problema. En esta ocasión, el intruso logró modificar las páginas que se presentan cuando estudiantes y docentes acceden a Canvas, alterando de manera directa la experiencia de ingreso y generando incertidumbre entre los usuarios. Ante este nuevo episodio, Instructure optó por desactivar temporalmente la plataforma, poniéndola en modo de mantenimiento como medida preventiva. El objetivo principal fue contener la actividad anómala, investigar a fondo el incidente y reforzar las medidas de seguridad para evitar nuevas vulneraciones.

Durante el ataque ocurrido el 29 de abril, los datos recopilados por el agente externo incluyeron información personal de los usuarios pertenecientes a las organizaciones impactadas. En concreto, la compañía detalló que la información extraída abarcó nombres completos, direcciones de correo electrónico, números de identificación de estudiantes y mensajes intercambiados entre usuarios en Canvas. Este tipo de información, aunque no incluye elementos financieros o gubernamentales, representa un riesgo significativo para la privacidad de los estudiantes y profesores afectados, ya que puede facilitar intentos posteriores de suplantación de identidad o ataques de ingeniería social dirigidos.

Instructure se apresuró en aclarar los alcances de la brecha y tranquilizar a los usuarios respecto a la protección de datos más sensibles. Según la empresa, “no hemos encontrado ninguna evidencia de que se hayan utilizado contraseñas, fechas de nacimiento, identificadores gubernamentales o información financiera”. Esta afirmación buscó limitar la preocupación de la comunidad educativa sobre posibles usos indebidos de credenciales o datos bancarios, aunque los datos expuestos siguen siendo de carácter personal y pueden tener implicaciones severas en términos de privacidad.

La empresa reconoció que el origen del incidente residía en una vulnerabilidad asociada a las cuentas gratuitas para profesores, una función que ha sido parte esencial de la expansión y accesibilidad de Canvas en el ámbito educativo. Como consecuencia directa, Instructure tomó la decisión de cerrar temporalmente estas cuentas gratuitas, una medida que calificaron como “difícil”, pero necesaria para proteger la integridad de la plataforma y de sus usuarios. En palabras de la compañía, estas cuentas “han sido una parte fundamental de nuestra plataforma y estamos comprometidos a resolver los problemas relacionados con ellas”. El cierre temporal representa un desafío tanto para los docentes que dependían de esta modalidad como para la propia empresa, que debe equilibrar la seguridad con la apertura y la inclusión de la herramienta.

El cierre y la investigación se llevaron a cabo en un contexto de máxima alerta, con equipos internos y externos dedicados a revisar los sistemas, identificar posibles brechas adicionales y garantizar que no existieran nuevas amenazas activas en la infraestructura de Canvas. Instructure mantuvo a la comunidad informada a través de comunicados y actualizaciones, reiterando su compromiso con la seguridad y la transparencia durante todo el proceso.

Una vez finalizadas las labores de contención y refuerzo de la seguridad, Instructure informó que Canvas ya se encuentra completamente operativo y disponible para su uso. El restablecimiento de la plataforma marca una recuperación tras días de incertidumbre y demuestra la capacidad de reacción ante incidentes de ciberseguridad de gran escala. No obstante, el episodio deja en evidencia la importancia de mantener elevados estándares de vigilancia y actualización en los sistemas educativos digitales, que gestionan información sensible de millones de usuarios y constituyen la columna vertebral de la educación moderna.

Los cibercriminales no solo atacan a empresas y usuarios comunes, sino que también compiten entre sí para controlar sistemas vulnerados, según un nuevo informe de la firma de ciberseguridad SentinelOne. Esta tendencia quedó en evidencia con una reciente campaña de hacking donde un grupo desconocido expulsó a otros hackers de sistemas previamente comprometidos.

La investigación documenta un caso inusual: un grupo de hackers, aún no identificado, se infiltró en sistemas que ya habían sido comprometidos por el grupo TeamPCP, conocido por una serie de ataques recientes de alto perfil. Una vez dentro, los nuevos atacantes eliminaron las herramientas y el acceso de TeamPCP, tomando el control total de los sistemas.

El grupo responsable de esta campaña, bautizada PCPJack, usó el acceso obtenido para desplegar un código capaz de replicarse a través de infraestructuras en la nube como un gusano, robar credenciales y enviar la información sustraída a su propia infraestructura de comando y control. Esta operación demuestra que los grupos de ciberdelincuentes no solo buscan nuevas víctimas, sino que pelean por el control de los sistemas ya vulnerados por sus rivales.

El trasfondo de TeamPCP y los ataques recientes

TeamPCP ha estado en el centro de atención por una serie de ataques recientes. Entre sus víctimas se cuentan la infraestructura en la nube de la Comisión Europea y el popular escáner de vulnerabilidades Trivvy, afectando a compañías como LiteLLM y la startup de reclutamiento por IA Mercor. Estos incidentes han dejado expuestos a numerosos clientes y han puesto en evidencia la sofisticación de los métodos empleados por TeamPCP.

La investigadora de SentinelOne, Alex Delamotte, quien identificó la campaña PCPJack, indicó a TechCrunch sus hipótesis sobre quién podría estar detrás del nuevo grupo: exintegrantes descontentos de TeamPCP, una banda rival, o incluso un tercer actor que replicó las tácticas y herramientas empleadas anteriormente por TeamPCP en sus campañas contra infraestructuras en la nube.

Tácticas de ataque y objetivos económicos

Según el informe, los hackers detrás de PCPJack no se limitan a atacar sistemas ya comprometidos por TeamPCP. También buscan servicios expuestos en internet, como plataformas Docker y bases de datos MongoDB. Sin embargo, gran parte de su esfuerzo sigue dirigido a sistemas previamente controlados por TeamPCP.

El grupo PCPJack mantiene un registro de las ocasiones en las que logra expulsar a TeamPCP de un sistema, enviando estos datos a sus propios servidores. El objetivo principal parece ser económico: roban credenciales con la intención de monetizarlas, ya sea revendiéndolas, vendiendo acceso a los sistemas vulnerados como initial access brokers —intermediarios que facilitan el acceso a otros delincuentes— o extorsionando directamente a las víctimas.

A diferencia de otros ciberdelincuentes, PCPJack no instala software para minar criptomonedas en los sistemas atacados, una táctica descartada por requerir mayor tiempo para obtener beneficios.

Otra táctica identificada por Delamotte consiste en el uso de dominios que pretenden captar credenciales de administradores de contraseñas y la creación de sitios falsos de soporte técnico. Estas técnicas buscan engañar a los usuarios para que revelen información sensible, facilitando así el acceso no autorizado a sistemas críticos.

Competencia en el cibercrimen

El caso PCPJack refleja una dinámica cada vez más frecuente en el cibercrimen: la competencia directa entre distintos grupos por el control de víctimas y recursos. Esta rivalidad aumenta la complejidad de los incidentes y obliga a las empresas y usuarios a reforzar sus medidas de seguridad para evitar caer en manos de múltiples actores maliciosos.

La investigación advierte que este tipo de enfrentamientos pueden intensificarse en el futuro, dado el alto valor comercial de las credenciales y el acceso a infraestructuras tecnológicas críticas.

La popular herramienta Daemon Tools fue utilizada para distribuir malware a miles de computadoras en más de 100 países, según reveló un informe de Kaspersky. El ataque, detectado a comienzos de abril, comprometió versiones oficiales del programa descargadas directamente desde el sitio legítimo de la aplicación, lo que elevó la preocupación entre expertos en ciberseguridad.

De acuerdo con los investigadores, las versiones afectadas iban desde la 12.5.0.2421 hasta la 12.5.0.2434. Aunque la compañía desarrolladora ya eliminó los componentes maliciosos mediante la actualización 12.6.0.2445, el incidente encendió las alarmas por la magnitud del ataque y por el método utilizado para distribuir el software infectado.

La amenaza no se propagó a través de páginas falsas ni instaladores modificados por terceros. Los archivos maliciosos llegaron mediante descargas oficiales firmadas digitalmente por los propios desarrolladores de Daemon Tools, una aplicación utilizada desde hace más de 15 años para crear unidades virtuales y montar imágenes de disco en computadoras con Windows.

Según Kaspersky, la operación corresponde a un ataque a la cadena de suministro, una modalidad cada vez más utilizada por ciberdelincuentes para infiltrarse en software legítimo y distribuir malware a gran escala.

En este tipo de ataques, los hackers no buscan engañar directamente al usuario final, sino comprometer previamente el software o los sistemas de distribución utilizados por compañías reconocidas. De esa manera, logran que miles de personas instalen programas aparentemente seguros sin sospechar que contienen código malicioso.

Los especialistas explicaron que los atacantes explotaron una puerta trasera dentro de Daemon Tools y comprometieron tres archivos binarios presentes en el directorio de instalación del software. Estos archivos se ejecutaban automáticamente al iniciar la computadora.

Cada vez que el sistema arrancaba, se activaba una comunicación silenciosa con un servidor remoto controlado por los atacantes. Desde allí, los ciberdelincuentes podían enviar instrucciones adicionales, descargar nuevas cargas maliciosas y ejecutar comandos de forma remota sobre los equipos afectados.

Aunque miles de computadoras fueron alcanzadas durante la primera etapa del ataque, Kaspersky detectó que solo una docena de dispositivos sufrió una segunda fase más avanzada. Entre ellos había equipos pertenecientes a gobiernos, organizaciones científicas y compañías del sector manufacturero y retail.

En los sistemas comprometidos inicialmente, el malware recopilaba información sensible del dispositivo. Entre los datos extraídos figuraban direcciones MAC, nombres de host, configuraciones regionales, programas instalados y procesos activos.

Sin embargo, en los equipos seleccionados para la segunda fase, los atacantes obtuvieron capacidades mucho más peligrosas. Podían descargar archivos adicionales, ejecutar código remoto y controlar distintas funciones del sistema infectado.

Por ahora, no se conoce oficialmente quién está detrás del ataque. Los investigadores encontraron componentes escritos en chino dentro del malware, aunque aclararon que eso no prueba necesariamente el origen de los responsables. También podría tratarse de una estrategia deliberada para confundir a los analistas y desviar la investigación.

El caso resulta especialmente preocupante debido a la enorme popularidad de Daemon Tools. Según los propios desarrolladores, el programa mantiene más de tres millones de usuarios mensuales y continúa siendo ampliamente utilizado tanto por usuarios domésticos como por empresas.

Los ataques a la cadena de suministro se han convertido en uno de los principales riesgos de la ciberseguridad moderna porque aprovechan la confianza que las personas depositan en programas legítimos y ampliamente reconocidos.

En los últimos años, incidentes similares afectaron a herramientas empresariales, plataformas de desarrollo y aplicaciones de uso masivo. La diferencia en este caso es que el malware llegó a través de instaladores oficiales correctamente firmados, algo que normalmente se considera una señal de autenticidad y seguridad.

Tras descubrir el problema, los desarrolladores de Daemon Tools publicaron una actualización que elimina los componentes maliciosos detectados. Kaspersky confirmó que la versión 12.6.0.2445 ya no contiene los archivos comprometidos.

Los expertos recomiendan a quienes tengan instalada alguna de las versiones afectadas actualizar inmediatamente el software y realizar un análisis completo del sistema con herramientas de seguridad confiables.

También aconsejan revisar procesos sospechosos, conexiones extrañas y programas desconocidos instalados recientemente, especialmente si la computadora fue utilizada durante abril, el período en el que el ataque estuvo activo.

El Día Mundial de la Contraseña, que se conmemora este 7 de mayo, es una oportunidad para repensar el consejo clásico de “elige una contraseña compleja con números y símbolos”. En 2026, con el auge de la inteligencia artificial y el cambio en las tácticas de los ciberdelincuentes, las contraseñas tradicionales han dejado de ser un escudo efectivo y, en muchos casos, se han convertido en un punto débil explotado a escala global.

El ecosistema de la ciberdelincuencia ha evolucionado en una maquinaria industrializada, en la que la IA generativa potencia ataques cada vez más sofisticados. “Los hackers ya no entran ilegalmente, simplemente inician sesión”, resume Manuel Rodríguez, gerente de ingeniería de seguridad en NOLA de Check Point Software.

Hoy, la mayor parte del mercado negro de credenciales opera fuera de los foros tradicionales de la dark web y migra hacia canales privados de Telegram, donde bots y vendedores automatizados agilizan el intercambio de accesos, datos y malware.

Según el Índice de Precios de la Dark Web 2025/2026 de Privacy Affairs y DeepStrike, el valor de una identidad digital varía según la demanda: una cuenta de Facebook pirateada cuesta cerca de 45 dólares, una de Gmail llega a 65, y el acceso a cuentas bancarias verificadas puede superar los 1.170 dólares. El segmento más lucrativo es el acceso corporativo, donde el precio base de un acceso inicial ronda los 2.700 dólares, pero puede dispararse por encima de los 113.000 dólares si se trata de privilegios administrativos.

El abaratamiento y la accesibilidad de los kits de malware han democratizado los ataques. Por menos de 1.000 dólares mensuales, cualquier criminal puede suscribirse a servicios como LummaC2 o RedLine y robar millones de contraseñas, eliminando la ilusión de seguridad que brinda una clave compleja.

Factores humanos y el nuevo rol de la IA generativa

La principal debilidad de las contraseñas sigue siendo humana: reutilización y errores en el manejo de datos. El 94% de los usuarios emplea la misma contraseña en varias plataformas, lo que facilita los ataques automatizados de relleno de credenciales. Solo el 3% cumple con los estándares de complejidad recomendados.

El riesgo ha aumentado con el auge de la IA generativa y el uso indiscriminado de herramientas como ChatGPT. Según el Informe de Seguridad de Navegadores LayerX 2025, copiar y pegar datos en navegadores ya supera a la transferencia de archivos como principal vector de fuga de información corporativa. El 45% de los empleados usa IA de forma activa y el 77% de ellos pega datos directamente en chatbots, muchas veces desde cuentas personales no monitoreadas, lo que crea enormes puntos ciegos en la seguridad empresarial.

El resultado es preocupante: Group-IB reportó que más de 225.000 credenciales de OpenAI/ChatGPT fueron vendidas en la dark web tras ser robadas mediante malware. Cuando los empleados usan dispositivos infectados y credenciales corporativas en estas plataformas, el ciclo de fuga de datos se vuelve imparable.

Phishing 2.0 y la nueva crisis de identidad

La IA ha transformado el phishing en un servicio masivo y personalizado. Por menos de 100 dólares mensuales, los ciberdelincuentes pueden acceder a kits de “Phishing como servicio” que generan correos electrónicos sin errores y altamente dirigidos, alcanzando tasas de clics del 54%, frente al 12% del phishing tradicional.

El fraude se extiende ahora a videollamadas y audios deepfake: la clonación de voz ya es indistinguible para el oído humano y ha permitido estafas millonarias, como la sufrida por la empresa Arup, que perdió 25,6 millones de dólares tras una videoconferencia con directivos suplantados digitalmente.

Cómo defenderse en 2026: la era poscontraseña

Frente a la velocidad de los ataques y la sofisticación de las amenazas, la industria ya no recomienda confiar en la fortaleza de una contraseña. Entre las medidas prioritarias, los expertos sugieren:

• Adoptar acceso sin contraseña y FIDO2: el uso de claves de acceso elimina la reutilización de credenciales y blinda a la empresa frente al phishing.
• Implementar confianza cero centrada en la identidad: toda autenticación debe ser tratada con escepticismo y monitorizada con herramientas de detección de anomalías.
• Controlar el uso de IA en el navegador: es necesario bloquear que datos sensibles se peguen en chatbots no autorizados y monitorear el comportamiento en tiempo real.
• Monitoreo continuo de la dark web y Telegram: la vigilancia activa permite detectar la venta de credenciales antes de que sean utilizadas en ataques.

Las contraseñas han dejado de ser la pieza clave de la seguridad digital. El futuro depende de la verificación de la identidad basada en el comportamiento y la inteligencia artificial, no en cadenas de caracteres que, tarde o temprano, terminan en manos equivocadas.

El uso constante, la instalación de aplicaciones y la navegación intensiva pueden afectar el rendimiento de un celular y exponerlo a riesgos de seguridad.

En este sentido, existen señales claras que advierten cuándo un dispositivo requiere un reinicio para recuperar su funcionamiento óptimo y proteger la información personal frente a amenazas digitales.

Según expertos en ciberseguridad, ignorar estos avisos podría derivar en un desempeño deficiente del dispositivo, sumado a aumentar la vulnerabilidad ante ciberataques.

Cuáles son las señales más evidentes de que el celular necesita un reinicio

De acuerdo con el centro de ayuda de Android, el funcionamiento lento es una de las señales más notorias. Cuando el dispositivo tarda en abrir aplicaciones, muestra demoras en las respuestas táctiles o experimenta bloqueos frecuentes, suele indicar que diversos procesos en segundo plano están saturando la memoria y los recursos del sistema.

Otra señal relevante es la demora excesiva al ejecutar tareas simples, como enviar mensajes o realizar llamadas. Estos retrasos, en ocasiones, se acompañan de pantallas congeladas o respuestas erráticas.

Además, la acumulación de actualizaciones pendientes y la falta de espacio de almacenamiento pueden contribuir al deterioro del dispositivo.

Qué pasos seguir para reiniciar y verificar el estado del celular

El procedimiento para reiniciar un celular varía según el modelo, pero en la mayoría se logra al presionar el botón de encendido durante unos 30 segundos, hasta que el aparato se apaga y vuelve a encenderse. En algunos casos, la pantalla ofrece la opción de seleccionar “Reiniciar”.

Para complementar esta acción, Google sugiere comprobar si existen actualizaciones del sistema operativo. En dispositivos con Android, se sugiere abrir la app de Configuración, seleccionar Sistema y luego Actualización de software.

Otro punto clave es el almacenamiento. Un teléfono con menos de un 10% de espacio libre puede experimentar fallos y lentitud. En la app de Configuración se puede consultar el espacio disponible y liberar memoria eliminando archivos o aplicaciones innecesarias.

Por qué es importante reiniciar el celular de forma periódica

El reinicio periódico del teléfono no solo resuelve problemas de rendimiento. De acuerdo con la Agencia de Seguridad Nacional de Estados Unidos (NSA), apagar o reiniciar el dispositivo corta automáticamente la actividad de amenazas que dependen de conexiones sostenidas para persistir en el sistema.

Asimismo, el primer ministro de Australia, Anthony Albanese, impulsó una pauta sencilla: apagar el teléfono cinco minutos cada día interrumpe procesos en segundo plano, incluyendo aquellos que podrían haber sido comprometidos por malware.

Según Albanese, “todos tenemos una responsabilidad. Apaga el teléfono cinco minutos cada noche. Hazlo cada 24 horas, mientras te cepillas los dientes o haces lo que sea”. Esta práctica reduce el tiempo de exposición a amenazas y dificulta la labor de los atacantes.

Qué medidas adicionales mejoran la seguridad del celular

Los expertos en ciberseguridad aconsejan complementar el reinicio periódico con otras medidas. Entre ellas, el uso de contraseñas robustas y únicas para cada cuenta, activar la autenticación en dos pasos para servicios sensibles y descargar aplicaciones únicamente desde tiendas oficiales.

Los expertos desaconsejan conectarse a redes WiFi públicas o compartir información confidencial a través de canales no oficiales.

Se debe considerar que muchos fraudes comienzan cuando los usuarios bajan la guardia y entregan datos sensibles a supuestos representantes de empresas legítimas. Los especialistas insisten en que la prevención es la mejor defensa ante la creciente sofisticación de los ataques.

Cuáles son los ciberataques más comunes que afectan a los celulares

Entre los ataques más frecuentes figuran el phishing, el spyware y los denominados ataques zero-click. El phishing utiliza mensajes falsos, a menudo a través de SMS, correos o aplicaciones de mensajería, que buscan engañar al usuario para obtener contraseñas o información bancaria.

El spyware, por su parte, se instala sin conocimiento del usuario y permite a desconocidos acceder a información personal, ubicaciones y comunicaciones privadas.

Los ataques zero-click representan otra amenaza importante. No requieren que el usuario interactúe con el mensaje o archivo malicioso; solo hay que recibirlo para que el dispositivo resulte comprometido.

Booking.com confirma hackeo y filtración de datos de clientes, reservas y contactos. La plataforma, reconocida a nivel mundial por su servicio de reservas de alojamiento, ha notificado a una parte de sus usuarios sobre el acceso no autorizado a información sensible vinculada a sus reservas.

Aunque la empresa descarta que los atacantes hayan accedido a datos financieros, recomienda a sus clientes permanecer atentos ante posibles intentos de fraude y phishing derivados del incidente.

Datos personales comprometidos por el ciberataque a Booking.com

La compañía ha comunicado que detectó actividad sospechosa en sus sistemas, lo que derivó en un acceso no autorizado a datos relacionados con las reservas. Booking explicó a Infobae que “terceros no autorizados lograron acceder a parte de la información de reservas de algunos de nuestros clientes”.

Entre los datos comprometidos figuran nombres, direcciones de correo electrónico, domicilios, números de teléfono y detalles de las reservas, así como cualquier otra información compartida con el alojamiento correspondiente.

A pesar del alcance del ataque, la empresa asegura que la información financiera de sus usuarios permanece segura, ya que no se accedió a esos datos desde sus sistemas. Como medida de precaución, Booking actualizó el número PIN de las reservas afectadas e informó puntualmente a los clientes involucrados.

Además, es menester indicar que la firma con sede en Ámsterdam reiteró su compromiso con la seguridad y protección de la información de los huéspedes.

Recomendaciones de seguridad para usuarios de Booking.com tras la filtración

Ante el escenario generado por la brecha de seguridad, Booking insta a sus usuarios a estar especialmente atentos a posibles intentos de phishing. La plataforma advierte que nunca solicitará información de tarjetas de crédito por canales como correo electrónico, teléfono, WhatsApp o SMS, ni requerirá transferencias bancarias fuera de las condiciones de pago estipuladas en la confirmación de la reserva.

Durante las próximas semanas, es recomendable que los usuarios de Booking extremen la precaución ante mensajes, correos o llamadas que puedan simular comunicaciones oficiales y transmitir urgencia.

Los ciberdelincuentes suelen emplear tácticas de presión para inducir respuestas rápidas, presentando falsas alertas sobre cargos inminentes o supuestos problemas con la reserva. Es fundamental desconfiar de cualquier comunicación que exija acciones inmediatas para evitar cargos, ya que suelen ser intentos de fraude.

La empresa no especificó cuántos clientes resultaron afectados ni la duración exacta del acceso no autorizado, aunque confirmó haber notificado a la autoridad de protección de datos de Países Bajos, en cumplimiento de la normativa vigente. Booking también anunció el refuerzo de sus medidas de seguridad para proteger a sus usuarios en el futuro.

Ola de ciberataques y filtraciones en empresas de servicios

El incidente registrado en Booking.com se suma a una tendencia creciente de ataques informáticos dirigidos a empresas que gestionan datos personales y bancarios de sus clientes.

En los últimos meses, compañías como Endesa y la cadena de gimnasios Basic Fit también han sido objeto de filtraciones. En el caso de Basic Fit, los atacantes lograron acceder incluso a números de cuenta bancaria y titulares, lo que eleva el riesgo de fraudes financieros directos.

La Asociación Española de Consumidores recomienda a quienes hayan sido afectados por filtraciones de este tipo que vigilen de cerca sus movimientos bancarios. Ante cualquier cargo no reconocido, es crucial informar de inmediato tanto a la empresa implicada como a la entidad financiera, y proceder con la reclamación correspondiente para intentar recuperar los fondos.

La exposición de datos personales y de contacto, como evidencian estos incidentes, convierte a los usuarios en blancos potenciales para campañas de phishing y fraudes adicionales. Por ello, la vigilancia y la actuación rápida ante cualquier anomalía resultan esenciales para minimizar el impacto de estos ciberataques.

En 2023, una brecha de datos, considerada la mayor en la historia de la educación en Estados Unidos, puso en alerta a las autoridades más altas: un ataque dirigido contra PowerSchool, proveedor líder de tecnología educativa que opera en cerca de 90 países, expuso información sensible de 60 millones de niños y 10 millones de docentes.

Las reuniones urgentes en la Sala de Situación de la Casa Blanca, comunicadas por el medio ABC News, evidenciaron la magnitud del incidente.

El responsable, Matthew Lane, un joven de 20 años, habló por primera vez antes de ingresar en una prisión federal de Connecticut para cumplir cuatro años de condena y afrontar una restitución de más de USD 14 millones.

Un ataque que paralizó al sector educativo y forzó el pago de un rescate millonario

El Departamento de Justicia de Estados Unidos detalló que la intrusión a PowerSchool permitió el acceso a nombres, números de la seguridad social, información familiar, calificaciones académicas y datos médicos de los afectados. Para evitar la divulgación masiva de esta información, PowerSchool pagó casi USD 3 millones en criptomonedas como rescate, acción que la propia compañía calificó como una “decisión muy difícil”, pero asumió como “deber”.

Un portavoz de PowerSchool informó a ABC News que no la totalidad de los clientes fue afectada, aunque no ofreció una cifra precisa.

Tras el pago, una parte de los datos sustraídos quedó en poder de otro miembro vinculado al grupo, lo que motivó nuevos intentos de extorsión a distritos escolares en Estados Unidos y Canadá, según declaraciones de funcionarios federales recogidas por ABC News.

Descubierta la causa: credenciales obtenidas de un contratista y utilizadas para acceder a los sistemas mediante un servidor alquilado en Ucrania. El FBI, la agencia federal de investigación, destinó recursos prioritarios a esclarecer lo ocurrido.

En abril, agentes irrumpieron en la residencia universitaria de Lane en Massachusetts, incautando dispositivos y bienes adquiridos con fondos ilícitos. Lane relató a ABC News que sintió “un alivio” tras su detención: “Estoy sinceramente agradecido con el FBI. Después de que se fueron, pensé: ‘Se acabó... terminé con esto’”.

En junio, el joven se declaró culpable de acceso ilegal y extorsión informática, imputaciones a las que se sumaron delitos adicionales por otra brecha.

La jueza de distrito federal Margaret Guzman concluyó: “Si ponemos la computadora en su cuarto, el teléfono en su mano, es como un arma. Debemos encontrar la forma de ayudar a nuestros hijos a usar la tecnología de manera constructiva”.

Cómo operan los hackers adolescentes y las respuestas institucionales

El caso de Lane evidencia los riesgos que plantea una generación con acceso temprano y extendido a plataformas digitales. El agente especial Doug Domin, responsable de la investigación para el FBI en Boston, detalló a ABC News: “Hemos tenido casos con individuos de tan solo 14 años entrevistados por el FBI”.

El acceso facilitado a herramientas de hacking y una cultura digital donde la ciberdelincuencia recibe reconocimiento generaron oportunidades para quienes no cuentan con altos conocimientos técnicos.

Según Fergus Hay, director ejecutivo de The Hacking Games, organización europea de prevención del delito informático juvenil, las redes sociales y los videojuegos permiten tanto la capacitación como el reclutamiento de posibles atacantes, que son captados por grupos delictivos que simulan ser pares y prometen recompensas y nuevas técnicas de intrusión.

Roblox, la plataforma de juegos donde Lane inició su incursión en el hacking a los nueve años, explicó en un comunicado a ABC News que la ciberdelincuencia señala un desafío constante en la industria y sostuvo que colabora regularmente con la policía.

Desde junio, anunció la creación de cuentas con verificación de edad y controles más estrictos sobre contenido y comunicaciones entre usuarios jóvenes. La compañía también incorporó a varios jóvenes que participaron en programas de cacería de vulnerabilidades gestionados por HackerOne, empresa especializada en ciberseguridad y pruebas de vulnerabilidad.

El daño a las víctimas, según Domin, se proyecta a largo plazo: “Van a ser revictimizados cada vez que ese conjunto de datos reaparezca en la red. Tendrán que mitigar este problema toda su vida”. PowerSchool, ante ello, ofreció dos años de monitoreo de crédito e identidad para los afectados.

Neurodiversidad y reinserción: alternativas en ciberseguridad

Lane reconoció en conversación exclusiva con ABC News las razones que lo guiaron al delito: aislamiento en la infancia, los primeros contactos con foros de hackers, el deseo de reconocimiento en grupos donde circulan lujos y complicidades ilegales, el consumo de drogas para silenciar la culpa y el impulso adictivo de vulnerar sistemas.

Sobre su etapa más activa, Lane puntualizó que a los 15 años había atacado “objetivos grandes” con una herramienta desarrollada en conjunto y utilizada para identificar vulnerabilidades en webs de empresas Fortune 500.

The Hacking Games, grupo integrado por emprendedores y expertos, impulsa una campaña educativa y la plataforma Hacking Aptitude AI Platform (HAPTAI), dirigida a identificar talento neurodivergente y orientar su potencial hacia empleos legales en ciberseguridad.

Fergus Hay remarcó: “La neurodiversidad suele verse como una desventaja, pero estas personas ven soluciones a los problemas que otros no pueden encontrar”.

Lane, ahora en prisión, busca servir de advertencia. Según declaró a ABC News: “Espero convencer al menos a una persona de no seguir mi camino... aunque solo fuera una, me sentiría satisfecho“. Asegura que su rehabilitación avanzó significativamente: ”En los últimos tres meses en prisión he progresado más en mi bienestar mental y general que en los últimos seis años“. Domin confirmó a ABC News que la investigación sobre otros posibles implicados continúa.

Rockstar Games, estudio responsable de franquicias como Grand Theft Auto y Red Dead Redemption, ha confirmado una nueva filtración de datos tras un ciberataque a sus servidores en la nube.

El grupo de hackers ShinyHunters ha asegurado haber accedido a información interna y exige un rescate para no hacerla pública, un episodio que se suma a una serie de incidentes de seguridad que han afectado a la compañía en los últimos años.

La filtración fue anunciada el pasado 11 de abril de 2026 en la dark web, donde ShinyHunters reclamó haber comprometido las instancias de Rockstar en Snowflake, un servicio de alojamiento en la nube ampliamente utilizado. El ataque se habría producido a través de Anodot.com, una plataforma de análisis de datos que monitoriza métricas de negocio y que también fue vulnerada recientemente, facilitando incidentes similares en otras empresas que utilizan Snowflake.

¿Qué datos fueron comprometidos y cuál es el riesgo?

Aunque Rockstar asegura que solo se accedió a “una cantidad limitada de información no relevante”, los hackers han amenazado con filtrar públicamente los datos si la empresa no paga el rescate antes del 14 de abril.

Hasta el momento, no se ha especificado qué tipo de información fue robada ni su volumen, pero la intrusión ya ha ocasionado “problemas digitales molestos” para la compañía, según la propia declaración del grupo de ciberdelincuentes.

El historial de este grupo incluye ataques a empresas como Pornhub, Microsoft, Ticketmaster y Cisco, donde la extorsión y la filtración de datos han sido el modus operandi habitual. El riesgo para Rockstar podría terminar siendo significativo, ya que una fuga masiva podría afectar la reputación de la empresa y exponer detalles sensibles de futuros lanzamientos o datos personales de empleados.

Qué problemas ha tenido Rockstar con los hackers

No es la primera vez que Rockstar Games se enfrenta a un incidente de seguridad de esta magnitud. En 2022, la compañía sufrió una filtración histórica que expuso cerca de 90 vídeos del anticipado Grand Theft Auto VI, obligando a Rockstar a adelantar el primer tráiler del juego tras un acceso no autorizado a su red.

En diciembre de 2023, otra filtración forzó cambios en la estrategia de comunicación de la empresa. Estos antecedentes subrayan la presión constante que enfrentan los estudios de videojuegos ante ciberataques cada vez más sofisticados y la importancia de robustecer las medidas de protección tanto en infraestructuras propias como en servicios de terceros.

El grupo ShinyHunters ha dejado claro que el ataque busca obtener un rescate económico a cambio de no publicar los datos sustraídos. Aunque Rockstar minimiza el impacto y sostiene que el incidente no afecta a los jugadores ni a la operación de la empresa, la amenaza de filtración mantiene en alerta a la comunidad.

El uso de plataformas externas como Anodot y Snowflake demuestra que la cadena de seguridad es tan fuerte como su eslabón más débil. La industria observa con atención el caso, ya que la tendencia a migrar servicios críticos a la nube se ha acelerado en los últimos años, exponiendo a las empresas a nuevas vulnerabilidades.

Cuál va a ser el precio de GTA 6

El ciberataque coincide con una alta expectativa por el lanzamiento de Grand Theft Auto 6, el título más ambicioso de Rockstar. Durante meses, se especuló con que el juego podría superar los 100 dólares, lo que generó debate sobre el costo de los videojuegos de última generación.

Strauss Zelnick, CEO de Take-Two Interactive, aclaró en una reciente entrevista que GTA 6 se mantendría en el rango de precios habitual para juegos AAA, entre 70 y 80 dólares, descartando la inclusión de publicidad intersticial o aumentos desmedidos.

En medio del interés suscitado para el lanzamiento del nuevo GTA, el caso de Rockstar Games pone de manifiesto la vulnerabilidad de las empresas de tecnología y entretenimiento ante ciberataques.

Investigadores en ciberseguridad han detectado un grupo de ciberdelincuentes que opera bajo la modalidad de “hack-for-hire” y que apunta a periodistas, activistas y funcionarios gubernamentales de Medio Oriente y el norte de África.

Esta red ha realizado ataques a través de métodos de phishing para acceder a copias de seguridad de iCloud y cuentas de mensajería como Signal, además de desplegar software espía en dispositivos Android, logrando el control total de los equipos de sus víctimas.

Un fenómeno en expansión: hackers a sueldo en operaciones estatales

El caso ilustra una tendencia creciente entre agencias gubernamentales que tercerizan operaciones de espionaje digital a empresas privadas especializadas. Según Access Now, organización dedicada a la defensa de derechos digitales, durante 2023 y 2025 se documentaron al menos tres incidentes contra dos periodistas egipcios y uno libanés, el último en colaboración con la organización SMEX.

La firma de ciberseguridad Lookout también participó en la investigación y confirmó que los ataques no solo se dirigieron a miembros de la sociedad civil en Egipto y Líbano, sino también a funcionarios en Baréin, Emiratos Árabes Unidos, Arabia Saudita, el Reino Unido y, posiblemente, Estados Unidos o personas vinculadas a instituciones estadounidenses.

Un grupo vinculado a empresas indias de ciberespionaje

Lookout identificó que los responsables de la campaña de espionaje trabajan para un proveedor de servicios de hackeo por encargo con conexiones al grupo BITTER APT, sospechoso de tener vínculos con el gobierno de la India.

Justin Albrecht, investigador principal de Lookout, declaró a TechCrunch que la compañía detrás de estos ataques podría ser una escisión de la firma india Appin, activa en el negocio del ciberespionaje hasta que fue expuesta y aparentemente cerrada. Tras el cierre, los atacantes habrían migrado a empresas más pequeñas, como RebSec, que actualmente no tiene presencia pública tras eliminar redes sociales y sitio web.

Según Albrecht, estas estructuras otorgan a los clientes “negación plausible”, ya que todo el control operativo recae en los proveedores y resulta difícil rastrear al beneficiario final. Además, subrayó que contratar estos servicios puede resultar más económico para los gobiernos que adquirir spyware comercial desarrollado por grandes empresas.

Técnicas de ataque: phishing y suplantación de aplicaciones

Los investigadores detallaron varias tácticas empleadas por los ciberdelincuentes. Al atacar usuarios de iPhone, los hackers intentaron obtener credenciales de Apple ID mediante engaños, lo que les permitiría acceder a las copias de seguridad almacenadas en iCloud y, por tanto, a la totalidad de la información del dispositivo. Access Now señaló que este método representa una alternativa de menor costo frente a la adquisición de spyware avanzado para iOS.

Cuando el objetivo eran dispositivos Android, el grupo desplegó un software espía denominado ProSpy, que imitaba aplicaciones populares de mensajería como Signal, WhatsApp, Zoom, ToTok y Botim, estas últimas muy usadas en la región.

En algunos casos, los atacantes intentaron registrar un nuevo dispositivo bajo su control en la cuenta de Signal de la víctima, una estrategia ya observada en campañas atribuidas a agentes de inteligencia rusos.

Dificultad para rastrear a los responsables

Mohammed Al-Maskati, director de la línea de ayuda de seguridad digital de Access Now, explicó que la externalización de estas operaciones reduce costos y permite a los clientes eludir la responsabilidad, ya que la infraestructura utilizada no revela la identidad del usuario final. Aunque los grupos como BITTER APT no cuentan con las herramientas más sofisticadas de espionaje, sus métodos han demostrado ser efectivos.

La embajada de India en Washington, D.C., no respondió a las solicitudes de comentarios sobre estas investigaciones. La publicación de los informes de Access Now, SMEX y Lookout fue coordinada, pero cada entidad difundió sus hallazgos por separado.

El caso pone de relieve la facilidad con la que gobiernos y actores privados pueden contratar servicios de espionaje digital con altos niveles de anonimato y a costos menores que los de los programas de spyware tradicionales. Los expertos advierten que el fenómeno seguirá expandiéndose, con ataques dirigidos a sectores clave como el periodismo, el activismo y las administraciones públicas.

Durante más de una década, el escenario de la ciberseguridad en América Latina estuvo dominado por amenazas externas como el malware y el ransomware. Hoy, expertos y empresas de seguridad alertan sobre una transformación de este panorama a causa de un fenómeno creciente: el acceso indebido a sistemas críticos a través de credenciales legítimas y privilegios mal gestionados.

De acuerdo con la compañía de ciberseguridad One Identity, más de 25% de las intrusiones en la región tienen su origen en accesos comprometidos.

La identidad como vector de ataque y defensa

Las organizaciones en América Latina han invertido históricamente en soluciones para bloquear amenazas externas. Sin embargo, la tendencia actual muestra que el actor malicioso ya no necesita forzar la entrada; muchas veces utiliza inicios de sesión legítimos para acceder a la infraestructura corporativa. Este cambio convierte a la identidad en el nuevo perímetro de seguridad, desplazando a las redes y los sistemas como el principal punto de defensa y vulnerabilidad.

Gabriel Lobitsky, gerente general de la firma de ciberseguridad en América Latina, describe el fenómeno de la siguiente manera: “Durante años, las organizaciones invirtieron en bloquear amenazas externas. Hoy, el peligro proviene de la violación de credenciales. El actor malicioso ya no necesita necesariamente forzar la entrada, ya que muchas veces simplemente utiliza inicios de sesión legítimos para atravesar la puerta principal”.

Las soluciones de Privileged Access Management (PAM), Active Directory Management y Access Management ya no son herramientas complementarias, sino piezas estratégicas en la gobernanza corporativa.

El riesgo invisible detrás del acceso privilegiado

La falta de control sobre los perfiles privilegiados puede tener consecuencias financieras directas para las empresas. Entre los riesgos más frecuentes se encuentran la interrupción de operaciones críticas, fraude interno o externo, pérdida de información confidencial, sanciones regulatorias y daños a la reputación corporativa. Estos impactos pueden igualar o incluso superar los daños ocasionados por un ataque de ransomware tradicional.

En sectores clave como la banca, el retail, la energía, las telecomunicaciones y el gobierno, el crecimiento acelerado de la transformación digital ha dejado brechas estructurales en la gestión de accesos, lo que incrementa el riesgo de incidentes graves. La conversación, según Lobitsky, ha dejado de ser exclusivamente tecnológica y se ha trasladado a la gobernanza, la responsabilidad ejecutiva y el riesgo financiero.

La prioridad en 2026 está en la gobernanza estricta de los accesos privilegiados: quién accede, desde dónde y con qué permisos, un enfoque que requiere un compromiso de los comités ejecutivos y nuevas estrategias de gestión de riesgo.

En esa línea, ESET recomienda aplicar el principio del menor privilegio, que parte de la premisa de otorgar solo los permisos necesarios y suficientes a un usuario para desempeñar sus actividades, siempre por un tiempo limitado.

Los casos de México y Brasil

México se distingue como uno de los mercados más activos en la adopción de soluciones de gestión de identidad y acceso. El país presenta un crecimiento anual compuesto del 11,4% en el sector de PAM entre 2026 y 2031. El ecosistema mexicano de ciberseguridad, aunque fragmentado, avanza hacia la consolidación con una mayor especialización técnica y profesionalización de los canales de distribución.

Entre los desarrollos recientes destacan:

• Implementación de tecnologías PAM en grandes grupos empresariales del sector retail
• Proyectos en organismos gubernamentales enfocados en reforzar los controles de identidad
• Capacitación avanzada de consultorías especializadas en gestión de accesos
• Lanzamiento de nuevas plataformas de Access Management orientadas a la autenticación segura y el control centralizado de identidades

Estas iniciativas buscan reducir el riesgo financiero y operativo derivado de accesos no controlados, sobre todo en organizaciones complejas con alta rotación de proveedores y usuarios privilegiados.

En Brasil, el avance en la gestión de identidad está estrechamente vinculado al cumplimiento regulatorio. La entrada en vigor de la Lei Geral de Proteção de Dados (LGPD) impuso nuevas obligaciones para la protección de datos personales, lo que ha repercutido en la forma en que las empresas gestionan los accesos a información crítica.

Las empresas brasileñas han adoptado algunas de las siguientes prácticas:

• Auditoría y trazabilidad estricta de accesos privilegiados
• Aumento en la demanda de monitoreo continuo y segregación de funciones
• Prevención basada en control de identidad, más allá de la mera reacción ante incidentes

A pesar de contar con un mercado más maduro en términos de cumplimiento, Brasil enfrenta el mismo desafío que el resto de la región: garantizar una gobernanza estricta de los accesos privilegiados en entornos híbridos y multicloud.

El uso de inteligencia artificial está transformando el cibercrimen a nivel global, haciendo que los ataques sean más sofisticados, rápidos de ejecutar y cada vez más difíciles de rastrear.

Así lo advierte un reciente informe de la firma de ciberseguridad Kaspersky, que señala que la adopción de herramientas de IA por parte de grupos maliciosos está modificando incluso la “huella digital” que tradicionalmente permitía identificar a los responsables de los ataques.

Según el estudio, una de las principales consecuencias de esta evolución es la dificultad creciente para atribuir los ciberataques. Históricamente, los analistas podían identificar a los atacantes mediante patrones específicos, como errores lingüísticos, estilos de programación o estructuras repetitivas en el código malicioso. Estos elementos funcionaban como una firma única.

Sin embargo, con la irrupción de la IA generativa, ese rastro comienza a desaparecer. Los modelos automatizados ahora son capaces de producir código, correos de phishing y otros componentes de ataque con un estilo uniforme, sin errores evidentes ni rasgos distintivos. Esto genera resultados “neutrales y estandarizados”, lo que complica el trabajo de los investigadores encargados de rastrear el origen de las amenazas.

El informe también destaca el avance de la llamada IA agéntica, que permite desarrollar herramientas maliciosas en cuestión de días, en lugar de los meses que requerían anteriormente. Esta aceleración reduce las barreras técnicas para los ciberdelincuentes y facilita la creación de ataques complejos con menos recursos humanos.

Un ejemplo de esta nueva etapa es VoidLink, considerado uno de los primeros marcos de malware desarrollados casi en su totalidad por inteligencia artificial. Este sistema está diseñado para atacar entornos en la nube y puede adaptarse a diferentes escenarios mediante la incorporación de módulos como cargadores, implantes o rootkits.

Investigaciones de Check Point Research indican que el desarrollo de VoidLink fue guiado por una sola persona, mientras que la IA se encargó de traducir instrucciones generales en una arquitectura completa y funcional. Este enfoque marca un cambio significativo en la forma en que se diseñan las amenazas digitales.

Otro caso reciente es el de Slopoly, una herramienta utilizada en campañas de extorsión a gran escala. Detectada por IBM X-Force a inicios de 2026, esta amenaza permitió a los atacantes mantener acceso a servidores comprometidos durante varios días, gracias a su capacidad de comunicación constante con sistemas de control remoto.

Aunque técnicamente no representa un salto disruptivo, los expertos señalan que este tipo de herramientas reduce considerablemente el tiempo necesario para ejecutar ataques, lo que incrementa su frecuencia y alcance.

El uso de inteligencia artificial en el cibercrimen no es nuevo, pero su evolución reciente ha ampliado sus capacidades. Ya en 2024, el grupo Lazarus utilizó imágenes generadas por IA para explotar vulnerabilidades en navegadores web y robar criptomonedas, demostrando el potencial de estas tecnologías para fines ilícitos.

Además, la IA generativa permite crear correos electrónicos de phishing altamente realistas, mensajes fraudulentos en múltiples idiomas e incluso perfiles falsos en redes sociales. Según el Instituto Nacional de Ciberseguridad de España, estas herramientas facilitan la automatización de campañas de fraude y aumentan su efectividad.

Ante este panorama, las principales empresas tecnológicas han comenzado a coordinar esfuerzos. Compañías como Google, Meta y Microsoft han suscrito acuerdos para compartir información sobre amenazas y desarrollar sistemas de detección más avanzados.

Estas iniciativas incluyen el uso de inteligencia artificial para identificar patrones sospechosos, mejorar la verificación de transacciones y ofrecer canales de denuncia más eficaces para los usuarios afectados.

Especialistas del sector coinciden en que la IA representa un arma de doble filo. Mientras los ciberdelincuentes la utilizan para perfeccionar sus ataques, las organizaciones de seguridad también la emplean para fortalecer sus defensas y responder con mayor rapidez.

El escenario actual refleja una carrera tecnológica en la que tanto atacantes como defensores evolucionan constantemente. En este contexto, la prevención, la actualización de sistemas y la concienciación de los usuarios se mantienen como elementos clave para reducir riesgos.

La inteligencia artificial no solo está redefiniendo la forma en que se producen los ciberataques, sino también los mecanismos para combatirlos. Su impacto seguirá creciendo, y con él, la necesidad de adaptarse a un entorno digital cada vez más complejo.

La startup de reclutamiento basada en inteligencia artificial Mercor confirmó haber sido víctima de un ciberataque vinculado a una vulneración en la cadena de suministro de software abierto, un tipo de incidente que podría tener implicaciones más amplias en el sector tecnológico.

El origen del problema se sitúa en LiteLLM, una biblioteca ampliamente utilizada para gestionar interacciones con modelos de lenguaje, lo que ha elevado la preocupación sobre el alcance potencial del ataque.

Según detalló la compañía, el incidente no es aislado, sino que forma parte de una intrusión que ha impactado a múltiples organizaciones que dependen de esta herramienta. Este tipo de ataques a la cadena de suministro permite a los ciberdelincuentes infiltrarse en numerosas empresas a partir de un único punto vulnerable, lo que multiplica el riesgo y dificulta su contención.

Un ataque que se propagó rápidamente

El problema se detectó tras el hallazgo de código malicioso en un paquete vinculado a LiteLLM. Aunque el componente fue identificado y retirado en cuestión de horas, su uso extendido —con millones de descargas diarias según firmas de seguridad— facilitó su rápida propagación en entornos productivos.

Las investigaciones preliminares apuntan a que la vulnerabilidad habría sido explotada por el grupo TeamPCP. Posteriormente, el colectivo de extorsión Lapsus$ aseguró haber accedido a datos internos de Mercor, aunque el vínculo exacto entre ambos hechos no ha sido confirmado.

Esta falta de claridad refleja una de las principales dificultades en la ciberseguridad actual: rastrear con precisión el origen y la evolución de ataques en los que intervienen múltiples actores.

Qué hace Mercor y por qué es un objetivo atractivo

Fundada en 2023, Mercor se ha consolidado como un actor relevante en el ámbito del reclutamiento especializado en inteligencia artificial. Su plataforma conecta empresas tecnológicas con profesionales altamente cualificados —como científicos, médicos o abogados— para entrenar sistemas avanzados.

La startup colabora con compañías como OpenAI y Anthropic, y gestiona más de dos millones de dólares diarios en pagos. Este volumen de operaciones y el acceso a datos sensibles convierten a la empresa en un objetivo atractivo para los ciberdelincuentes.

En octubre de 2025, la firma alcanzó una valoración de 10.000 millones de dólares tras una ronda de financiación Serie C, consolidando su posición dentro del ecosistema tecnológico.

Respuesta y medidas tras el incidente

Desde la compañía aseguran haber actuado con rapidez para contener la intrusión. La portavoz Heidi Hagberg indicó que se inició una investigación exhaustiva con el apoyo de expertos forenses externos.

“Actuamos con rapidez para contener y remediar el incidente de seguridad”, señaló la empresa, que también prometió mantener informados a sus clientes y colaboradores conforme avance el análisis.

Sin embargo, Mercor no ha confirmado si los datos de usuarios fueron efectivamente comprometidos, lo que mantiene la incertidumbre sobre el alcance real del ataque.

Indicios de filtración y presión de los atacantes

El grupo Lapsus$ publicó una muestra de datos que, según afirma, provienen de sistemas internos de la empresa. Entre el material se incluirían referencias a comunicaciones en Slack, sistemas de gestión de tickets y videos de interacciones con herramientas de inteligencia artificial.

No obstante, la autenticidad de estos datos no ha sido verificada públicamente por la compañía. Este tipo de filtraciones parciales es común en campañas de extorsión, donde los atacantes buscan presionar a las organizaciones afectadas.

LiteLLM y el desafío del software abierto

El incidente ha puesto el foco sobre LiteLLM y, en general, sobre los riesgos asociados al uso de software de código abierto en entornos críticos. Tras el ataque, el proyecto ha implementado cambios en sus procesos de seguridad y cumplimiento, incluyendo la adopción de nuevas herramientas de auditoría.

Este caso refleja una tendencia creciente en la industria: la necesidad de reforzar los controles sobre dependencias externas, especialmente en un contexto donde el software abierto es fundamental para el desarrollo tecnológico.

Un alcance aún por determinar

Por ahora, no se ha establecido cuántas organizaciones han sido afectadas ni el volumen total de datos expuestos. Las investigaciones continúan tanto por parte de las empresas implicadas como de firmas especializadas en ciberseguridad.

El incidente subraya los riesgos inherentes a la interconexión de sistemas y la dependencia de herramientas compartidas. En un entorno digital cada vez más complejo, un solo punto vulnerable puede desencadenar consecuencias a gran escala, afectando a múltiples actores de forma simultánea.

El informe más reciente de LexisNexis Risk Solutions reveló que al menos uno de cada diez fraudes registrados en el mundo durante 2025 fue cometido mediante una identidad sintética, una modalidad en pleno crecimiento que desafía los sistemas tradicionales de detección y pone en alerta a empresas y consumidores.

El documento, elaborado tras analizar más de 116.000 millones de transacciones digitales a través de la red LexisNexis Digital Identity Network, muestra cómo los ciberdelincuentes han perfeccionado sus métodos y priorizan el uso de identidades falsas creadas a partir de datos robados.

El auge global de la identidad sintética

De acuerdo con el informe, fraude de identidad sintética aumentó ocho veces en el último año, representando ya el 11% de los casos globales y consolidándose como la modalidad de fraude de mayor crecimiento. Este tipo de delito consiste en la combinación de diferentes atributos personales —como nombres, números de identificación y direcciones— para crear una identidad ficticia capaz de sortear los controles de verificación en plataformas digitales.

Asimismo, se detalla que América Latina concentra el 48,3% de los casos de fraude de identidad sintética, muy por encima de otras regiones, mientras que Europa, Medio Oriente y África muestran una prevalencia mayor del fraude de primera persona. El atractivo de esta tendencia radica en la posibilidad de operar durante meses sin ser detectados, ya que no existe una víctima directa que denuncie el uso indebido de sus datos.

Bots avanzados y apropiación de cuentas

La sofisticación de los ataques se refleja también en el uso creciente de bots y agentes automatizados. El tráfico de este tipo de agentes creció un 450% entre enero y diciembre de 2025, afectando especialmente los pagos con tarjeta y los inicios de sesión en sitios de juegos y apuestas. Aunque no siempre tienen una intención maliciosa, estos agentes dificultan la identificación de fraudes al sumar una tercera categoría de interacción digital, junto a las transacciones humanas genuinas y los bots tradicionales.

El reporte destaca que los bots maliciosos ya logran imitar con precisión los movimientos y acciones humanas en pantallas de inicio de sesión, engañando incluso a las herramientas más modernas de detección conductual.

Durante 2025, los ataques de bots aumentaron un 59%, con picos especialmente altos en marzo, abril y agosto. Este fenómeno se suma al incremento del 64% en los ataques de fraude en comercio electrónico y al 216% de crecimiento en los intentos de apropiación de cuentas, especialmente en sectores como juegos online y apuestas.

El fraude de primera persona sigue liderando, pero cambian las tácticas

Pese al avance de las identidades sintéticas, el fraude de primera persona sigue siendo la forma más reportada a nivel global, representando el 38,3% de los casos. Esta variante ocurre cuando un cliente genuino engaña a una organización para obtener algún beneficio ilícito. En Europa, Medio Oriente y África, este tipo de fraude supera el 50% de los reportes, mientras que en América Latina su peso resulta menor frente al avance de las identidades sintéticas.

Stephen Topliss, vicepresidente de fraude e identidad, explicó que “el fraude evoluciona rápidamente gracias a la innovación digital”, y advirtió que las redes cibercriminales “escalan la automatización, cambian de táctica y buscan cualquier debilidad disponible a lo largo del recorrido digital del cliente”. Topliss señaló que el desarrollo de bots avanzados y herramientas de inteligencia artificial facilita que los atacantes imiten el comportamiento humano y prueben defensas con una velocidad y precisión inéditas.

Desafíos para la detección y tendencias regionales

El informe también resalta que los patrones de fraude varían según la región. Norteamérica registró picos periódicos de fraude en comercio electrónico, mientras que Asia-Pacífico observó un alza en los ataques a navegadores de escritorio.

En Europa, Medio Oriente y África, la tasa de apropiación de cuentas creció un 27% interanual, asociada a intentos de vulnerar sistemas de autenticación en servicios digitales. En América Latina, la expansión de los servicios digitales y la regulación de los juegos online impulsaron la prevalencia del fraude de identidad sintética.

La investigación concluye que “las organizaciones deben prepararse para un futuro donde tanto usuarios legítimos como atacantes dependerán de agentes automáticos para interactuar en línea”. El reporte remarca que la colaboración intersectorial y el intercambio de inteligencia digital serán claves para distinguir entre humanos, bots y agentes, y para proteger la confianza en la economía digital.

El atacante que ha reivindicado la autoría del acceso no autorizado sostiene que obtuvo más de 350 gigabytes de información, entre los que se incluyen bases de datos y registros asociados a empleados del organismo, según reportó Bleeping Computer. Con el objetivo de demostrar la veracidad de sus afirmaciones, el ciberatacante proporcionó capturas de pantalla que presentan datos personales de trabajadores de la Comisión Europea y del sistema de correo electrónico institucional. Junto a estas evidencias, comunicó públicamente su intención de filtrar la información en internet, descartando la opción de un posible rescate económico o negociación para evitar su publicación.

Según publicó Bleeping Computer, el ciberataque se detectó el pasado martes 24 de marzo y motivó la activación inmediata de los protocolos de seguridad de la Comisión Europea, que confirmó la intrusión sobre su infraestructura en la nube. Este entorno informático forma parte del portal Europa.eu, que centraliza la presencia digital de los servicios y páginas web europeas dirigidas a ciudadanos y otros usuarios. Tras tomar conocimiento del incidente, la Comisión implementó medidas de mitigación consideradas necesarias para proteger tanto la continuidad de los servicios como la integridad de los datos, priorizando que la disponibilidad de los portales web no quedara interrumpida.

De acuerdo con un comunicado oficial difundido por la Comisión Europea y consignado por Bleeping Computer, se establecieron contactos con las entidades sindicales y organizaciones internas que pudieran haberse visto impactadas por la filtración de información, mientras el equipo de respuesta a incidentes de ciberseguridad continúa los trabajos de análisis forense. Las primeras indagaciones indican que los sistemas internos sensibles de la Comisión no han resultado afectados por el ataque, aunque la investigación para determinar el alcance real del acceso y la naturaleza exacta de la información sustraída sigue en curso.

La estructura digital comprometida actúa como puerta de entrada a diferentes servicios clave para usuarios y empleados, resaltando la magnitud que podría alcanzar la brecha de seguridad en función de los datos involucrados. Fuentes de la Comisión confirmaron a Bleeping Computer que el robo de información afecta a diversos sitios web alojados bajo la plataforma Europa.eu, donde se integran recursos institucionales y herramientas de servicio a la ciudadanía europea y actores internacionales.

En relación con la postura institucional tras el ataque, la Comisión Europea aseguró que las lecciones extraídas de este episodio contribuirán a fortalecer sus estrategias y medidas de protección cibernética. Según el comunicado mencionado por Bleeping Computer, se implementarán acciones adicionales para aumentar la seguridad de los sistemas y datos internos, subrayando el compromiso de la Unión Europea frente a la amenaza constante de ataques informáticos.

La Comisión puntualizó que la Unión Europea avanza en el desarrollo de marcos regulatorios y normativos, tales como el Reglamento de Ciberseguridad, la Directiva NIS2 y la Ley de Cibersolidaridad, cuyo objetivo es elevar la resiliencia de infraestructuras y servicios esenciales. En ese marco, el organismo europeo reiteró la importancia de la colaboración entre países miembros y la necesidad de adaptarse a un contexto de ciberamenazas persistentes.

De acuerdo con la información recabada por Bleeping Computer, aunque la identidad del atacante no ha sido confirmada oficialmente, el responsable del incidente comunicó que su propósito no se centra en obtener compensaciones económicas, sino en divulgar el contenido sustraído. Hasta el momento, la Comisión Europea sigue supervisando la situación de seguridad y monitorea la posible difusión de material robado por canales digitales.

El impacto de la filtración es evaluado en una serie de reuniones y procedimientos internos, que involucran tanto a expertos en ciberseguridad como a instancias administrativas de la Unión Europea. La difusión posterior de los datos podría incrementar los riesgos de suplantaciones de identidad, ciberataques dirigidos contra empleados o explotación de vulnerabilidades detectadas en los sistemas afectados.

El medio Bleeping Computer detalló que, ante la gravedad del suceso, la Comisión continuará informando y colaborando con los organismos pertinentes de la Unión Europea para asegurar una gestión coordinada de la crisis y una revisión exhaustiva de los hechos. Entre las tareas prioritarias figuran el seguimiento del flujo de información en internet, la actualización de protocolos de protección y la implementación de mejoras tecnológicas para impedir ataques similares en el futuro.

El registro del incidente también se suma a una serie de eventos recientes que han afectado a otras instituciones europeas, subrayando la relevancia de nuevas regulaciones y la urgencia de actualizar mecanismos de defensa digital. Conforme avanza la investigación, la experiencia adquirida en este proceso servirá como referencia en la evolución de políticas regionales relacionadas con la ciberseguridad y la protección de datos en el entorno digital europeo.

La protección de la información digital se ha convertido en una prioridad a nivel global. En un contexto donde los ataques informáticos crecen en frecuencia y sofisticación, las estrategias de backup y cibervigilancia se consolidan como herramientas indispensables para reducir el impacto de incidentes y garantizar la continuidad operativa de empresas y usuarios.

El 31 de marzo, Día Mundial del Backup, recuerda la necesidad de adoptar medidas preventivas para evitar pérdidas irreparables de datos.

La evolución de las amenazas y el rol crítico de los backups

Los ciberdelincuentes adaptan sus tácticas frente a los avances tecnológicos, enfocándose en los datos más sensibles y regulados para maximizar sus posibilidades de extorsión. No solo buscan acceder a información activa, sino también a las copias de seguridad, que pueden ser blanco de ataques como el ransomware.

La restauración de datos, tras un ataque, no siempre resulta sencilla. El ransomware puede inutilizar no solo archivos originales, sino también los respaldos almacenados en el mismo entorno comprometido. Esto genera consecuencias que van más allá de la pérdida de información: afecta procesos, operaciones y cumplimiento normativo, con el riesgo de provocar daños financieros y reputacionales de gran magnitud.

Un ejemplo paradigmático sobre la importancia de una estrategia adecuada de backup es el caso de Code Spaces. En 2014, esta empresa de hosting y gestión de código sufrió un ataque que permitió al atacante eliminar servidores, datos y también todas las copias de seguridad, ya que estaban almacenadas en el mismo entorno comprometido.La

pérdida total de información forzó el cierre definitivo de la compañía pocos días después del incidente. Este caso expone la necesidad de diversificar la ubicación física y lógica de los respaldos.

Estrategias actuales: la regla 3-2-1 y la descentralización del backup

De acuerdo con el centro de operaciones de seguridad Sparkfound, una de las tendencias para 2026 será almacenar los backups en múltiples ubicaciones. La regla 3-2-1, ampliamente aceptada en la industria, establece que se deben mantener al menos tres copias de los datos, almacenadas en dos tipos distintos de medios o ubicaciones, y al menos una copia fuera del sitio principal, ya sea en otra sede física o en la nube. Esta diversificación reduce el riesgo de perder toda la información ante un ataque dirigido a un único entorno.

La capacidad de anticipar y gestionar amenazas cibernéticas se vuelve fundamental. Sergio Oroña, fundador y CEO de la organización, sostiene que los ciberataques son cada vez más sofisticados y difíciles de detectar, lo que exige monitoreo constante, detección temprana y respuesta proactiva. Estas capacidades permiten identificar amenazas, analizar su alcance y mitigar su impacto antes de que comprometan la operación completa de una organización.

Las evaluaciones periódicas de ciberseguridad, realizadas por profesionales, son esenciales para conocer el grado de exposición de una organización y su capacidad de recuperación frente a incidentes. Existen herramientas especializadas que permiten detectar amenazas potenciales en pocos minutos, lo que acorta los tiempos de reacción y facilita la protección de los datos críticos.

El respaldo como inversión en continuidad y seguridad

Un plan de backup sólido acelera la recuperación ante incidentes como fallos de hardware, robos, pérdida de dispositivos o desastres naturales. Esta práctica minimiza el impacto sobre usuarios y operaciones diarias, y se convierte en un pilar fundamental para la continuidad del negocio y la protección de la información.

El sector tecnológico avanza en el desarrollo de soluciones basadas en inteligencia artificial para prevenir y mitigar ciberataques, añadiendo nuevas capas de defensa para las organizaciones.

La plataforma de pagos instantáneos PIX ha introducido ajustes en sus controles de seguridad que incluyen la posibilidad de que las entidades participantes establezcan un saldo mínimo para sus cuentas operativas. De acuerdo con el Banco Central de Brasil (BCB), este mecanismo busca garantizar que, cuando se alcance ese nivel mínimo, no se emitan nuevas órdenes de pago, reduciendo así el impacto potencial de fraudes o actividades irregulares. La noticia principal radica en la respuesta de las autoridades a un reciente robo cibernético que afectó a BTG Pactual.

Según informó el BCB mediante un comunicado oficial, estas modificaciones llegan tras el anuncio de BTG Pactual sobre un robo de cerca de 100 millones de reales, equivalentes a 16,5 millones de euros. Los cambios en la plataforma de pagos electrónicos permiten bloquear temporalmente las transferencias una vez alcanzado el saldo de seguridad, siempre que el banco o usuario haya activado previamente la función. Además, el BCB ha puesto a disposición un medio alternativo para que las entidades consulten el saldo de su Conta Pagamentos Instantâneos (Conta PI), reforzando la capacidad de monitoreo y protección.

El medio detalló que el propósito central de estas medidas se enfoca en salvaguardar los fondos depositados dentro del sistema gestionado por el Banco Central y preservar la confianza de las entidades y los usuarios en el entorno de pagos instantáneos. "Esta mejora tiene por objeto reforzar la seguridad de las entidades participantes, proteger los fondos depositados en el Banco Central y reforzar la confianza en el entorno de los pagos instantáneos y en el sistema financiero en su conjunto", según el comunicado difundido por el BCB.

La implementación de estos nuevos controles se realiza en un contexto de creciente preocupación tras el incidente sufrido por BTG Pactual. El pasado domingo, esta entidad suspendió sus operaciones en la red PIX como medida de precaución después de notar movimientos bancarios irregulares de alto valor, de acuerdo con el BCB. Aunque las investigaciones continúan, el instituto emisor reportó que la mayor parte del dinero desviado ya fue recuperado, aunque cantidades que oscilan entre 20 y 40 millones de reales (entre 3,3 y 6,6 millones de euros) siguen bajo revisión para su recuperación.

El Banco Central de Brasil ha señalado que los delincuentes involucrados en este ciberataque no tuvieron acceso a las cuentas ni a los datos personales de los clientes de BTG Pactual. El incidente se limitó a los fondos y operaciones del banco en la plataforma PIX, sin afectar la información privada de los usuarios.

El sistema de pagos electrónicos PIX, gestionado por el Banco Central de Brasil, ha transformado la manera en que personas y empresas realizan transferencias electrónicas en el país. Ante el aumento de los riesgos asociados a la ciberseguridad en el sector financiero, el reciente refuerzo de sus protocolos ejemplifica la reacción institucional frente a amenazas de gran escala. Según publicó el BCB, la decisión de ofrecer herramientas adicionales, como la consulta alternativa de saldos y el establecimiento de saldos mínimos, busca restringir la capacidad de los ciberdelincuentes para efectuar transferencias no autorizadas o comprometer fondos institucionales.

BTG Pactual, uno de los bancos de inversión más importantes del país, eligió interrumpir de forma temporal sus operaciones a través de PIX tras identificar movimientos injustificados que alertaron a su área de seguridad. Fuentes del BCB indicaron que la suspensión de actividades permitió reducir el riesgo de mayores pérdidas, mientras las investigaciones internas y externas determinan el origen y alcance preciso del ataque. El procedimiento seguido por BTG Pactual incluyó acciones para potenciar la recuperación de los fondos desviados y el fortalecimiento de sus infraestructuras defensivas, detalló el Banco Central.

En cuanto a las medidas preventivas introducidas por el BCB, se destaca que el nuevo sistema de saldo mínimo operativo vuelve obligatorio el bloqueo de transferencias que puedan poner en riesgo los recursos administrados por las instituciones participantes. Sólo se podrán emitir nuevas órdenes de pago si el saldo de la entidad supera dicho mínimo; en caso contrario, la ejecución de transferencias quedará automáticamente bloqueada, siempre y cuando se haya habilitado la opción correspondiente.

El canal alternativo habilitado por el BCB para la consulta de saldos de la Conta PI constituye un instrumento de respaldo para las instituciones, permitiendo verificar la disponibilidad y detectar cualquier discrepancia sin entrar en la plataforma principal. De acuerdo con el Banco Central, esta alternativa facilita el monitoreo constante y proporciona una capa adicional de respaldo ante eventuales incidentes informáticos.

Las autoridades financieras, según consignó el BCB, mantendrán en evaluación constante el impacto de estas medidas y su eficacia frente a nuevas modalidades de ataque. El organismo ha insistido en que el fortalecimiento de los protocolos de seguridad responde tanto al incidente reciente como a la importancia estratégica que reviste PIX dentro del sistema financiero nacional, que canaliza millones de transacciones diariamente.

El caso de BTG Pactual, según reportó el Banco Central, no alteró las operaciones individuales de los clientes ni comprometió las bases de datos personales, asegurando así que las consecuencias del ataque quedaron contenidas en el ámbito institucional. Estas afirmaciones surgen de la investigación y del monitoreo realizado tras el fraude, según aclaró el propio banco junto con el BCB.

Las medidas dadas a conocer por el Banco Central de Brasil se suman a una serie de actualizaciones periódicas de seguridad que apuntan a mantener la resiliencia del sistema ante el desarrollo de técnicas cada vez más sofisticadas por parte de los atacantes. El caso de BTG Pactual, con la recuperación parcial de los fondos y la ausencia de impacto directo en los usuarios, marca un nuevo capítulo en la gestión de riesgos dentro del sector financiero brasileño, según la información divulgada por el BCB.

BTG Pactual comunicó que pudo recuperar casi la totalidad de los fondos desviados tras un incidente que involucró movimientos sospechosos detectados en su sistema de pagos electrónicos. Según datos publicados por Bloomberg, el banco brasileño suspendió temporalmente su servicio en la plataforma Pix después de identificar transferencias no autorizadas que sumaron aproximadamente 100 millones de reales, equivalentes a 16,4 millones de euros.

De acuerdo con Bloomberg, BTG Pactual adoptó esta decisión como una "medida de precaución", en respuesta a la detección de operaciones fuera de lo habitual en la red Pix, mecanismo de pagos instantáneos usado en Brasil y gestionado por el Banco Central. La entidad informó que, aunque gran parte del monto sustraído ya se recuperó, las labores siguen enfocadas en ubicar entre 20 y 40 millones de reales más —una cifra que corresponde a entre 3,3 y 6,5 millones de euros—.

El banco señaló que los fondos de sus clientes se mantienen protegidos y afirmó que los atacantes no lograron acceder a cuentas particulares ni a datos personales de usuarios. Bloomberg especificó que, pese al ciberataque, BTG Pactual garantizó la seguridad de la información y la integridad de los recursos individuales, recalcando que ninguna cuenta fue vulnerada.

La suspensión del sistema Pix por parte de BTG Pactual se produjo en medio de preocupaciones por incidentes similares ocurridos en el pasado. Según Bloomberg, la plataforma Pix —respaldada por el Banco Central de Brasil— ya había registrado hechos de esta naturaleza previamente. En julio de 2025, C&M Software sufrió un ciberataque que resultó en el robo de más de 1.000 millones de reales, equivalentes a 163,6 millones de euros. Además, Sinqia y Banco do Nordeste reportaron incidentes en agosto de 2025 y enero pasado, respectivamente.

La red Pix se ha consolidado en Brasil como una herramienta fundamental para la realización de pagos y transferencias inmediatas, proceso que ha transformado los mecanismos de envío y recepción de dinero en el país. Bloomberg precisó que los ataques recientes han planteado interrogantes sobre las vulnerabilidades existentes en el sistema y la capacidad de respuesta de las entidades participantes.

Además de destacar que la mayor parte del dinero desviado por los responsables del ciberataque a BTG Pactual ya fue rastreada y restituida, Bloomberg puntualizó los esfuerzos en curso para recuperar el resto de los fondos. El banco reiteró en sus declaraciones que trabaja junto a las autoridades y organismos de control pertinentes para esclarecer la naturaleza y el alcance del incidente.

El medio internacional también recordó que los incidentes reportados por otras empresas vinculadas a Pix motivaron al Banco Central de Brasil a reforzar protocolos de seguridad y monitoreo en la infraestructura de la red, así como a fomentar la cooperación entre instituciones financieras y proveedores de tecnología.

El caso de BTG Pactual se suma a la lista de desafíos que enfrente la banca digital brasileña en la protección de sistemas transaccionales y la prevención de delitos informáticos. Según Bloomberg, el desarrollo y expansión del sistema Pix implican una supervisión constante ante nuevas amenazas y la actualización de los estándares de seguridad adoptados por los participantes.

Los actores involucrados en las investigaciones continúan analizando las causas de la vulnerabilidad explotada en este episodio, mientras el banco sostiene que ningún dato confidencial de sus clientes resultó expuesto. Bloomberg subrayó que para la institución la prioridad actual es restablecer la totalidad del servicio de pagos digitales bajo condiciones de plena confianza y resguardar la operatividad de sus herramientas tecnológicas ante riesgos futuros.

De acuerdo con la información difundida por Kaspersky y citada en el reporte, la herramienta ExifTool, ampliamente utilizada por especialistas en archivado, análisis forense y fuentes abiertas, gestionaba algunos metadatos en macOS sin verificar adecuadamente su contenido. Esto permitía que un atacante insertara comandos maliciosos en los metadatos de archivos multimedia, como imágenes, vídeos o archivos PDF, de modo que dichos comandos se activaran de forma automática al ser procesados, detalló el equipo Global Research Analysis Team (GReAT) de Kaspersky.

La explotación de la brecha resultaba sencilla para los actores maliciosos, explicaron expertos de GReAT en el comunicado reproducido. Solo requería la creación de una imagen manipulada y la ejecución posterior de un segundo comando en la máquina objetivo. De esta manera, los atacantes podían descargar y ejecutar software malicioso, extrayendo después información sensible de los dispositivos afectados, entre la que se contaban documentos, imágenes o archivos PDF, puntualizó el reporte.

ExifTool, desarrollado por Phil Harvey y distribuido como software libre, es una utilidad habitual para procesar información embebida en archivos multimedia. Su uso resulta esencial en rutinas de archivado digital, peritajes informáticos y pruebas OSINT, permitiendo el rastreo de datos como fechas y ubicaciones de captura, la detección de ediciones, o las comparaciones de versiones de un documento. El problema descubierto alteró la percepción de seguridad mantenida por los usuarios de la herramienta, al abrir la puerta a técnicas de inyección de comandos no autorizadas.

El medio que cubrió el análisis indicó que, tras la identificación de la vulnerabilidad, Kaspersky notificó el incidente y este se registró formalmente como CVE-2026-3102. Posteriormente, Phil Harvey lanzó la versión 13.50 de ExifTool el 7 de febrero, corrigiendo el error de validación de metadatos y cerrando la ventana de ataque para los sistemas actualizados, según señaló el propio desarrollador a los medios de comunicación especializados.

En sus declaraciones al medio, Lucas Tay, integrante del equipo GReAT de Kaspersky, afirmó la necesidad de revisar y actualizar la versión de ExifTool implementada en procesos automatizados, debido a la persistencia del riesgo en entornos que, habitualmente, procesan imágenes sin intervención humana. “Los equipos con procesos automatizados deberían verificar qué versión están utilizando sus scripts”, remarcó el investigador, precisando la importancia de mantener control en la gestión de scripts y flujos de trabajo.

Kaspersky enfatizó, en el reporte, la importancia de evitar el procesamiento de archivos multimedia provenientes de fuentes no confiables, en especial en sistemas que aún no se encuentren actualizados a la versión corregida. La compañía recomendó además revisar los procedimientos automatizados que utilicen ExifTool en entornos macOS y recordó que las empresas pueden recurrir a servicios asegurados como el Open Source Software Threats Data Feed para monitorear continuamente las amenazas que afectan a su cadena de suministro de software.

El abordaje de esta vulnerabilidad ilustra los desafíos crecientes en la seguridad de herramientas de código abierto. La difusión rápida del parche correctivo busca mitigar los efectos del fallo y proteger a los usuarios que dependen de ExifTool para el tratamiento y preservación segura de contenidos digitales. Kaspersky y otras organizaciones relacionadas con la ciberseguridad insistieron en la necesidad de mantener actualizado el software, especialmente en contextos empresariales y gubernamentales donde el procesamiento automatizado de archivos resulta frecuente y crítico.

El fabricante estadounidense de dispositivos médicos Stryker sufrió el miércoles un ciberataque masivo que paralizó sus operaciones en todo el mundo. El grupo Handala, vinculado al Ministerio de Inteligencia de Irán según analistas de ciberseguridad, reivindicó la acción y afirmó haber destruido más de 200.000 sistemas, servidores y dispositivos móviles, además de haber extraído 50 terabytes de datos. Las cifras, publicadas por el colectivo en X, no fueron verificadas de forma independiente.

Stryker confirmó la interrupción en un comunicado. La empresa indicó que enfrentaba “una interrupción global de la red en nuestro entorno Microsoft como consecuencia de un ciberataque”, aunque descartó la presencia de ransomware o malware y aseguró que el incidente estaba “controlado”. Empleados en Estados Unidos, Australia, Irlanda e India relataron en foros de Reddit que sus equipos habían sido borrados y que las páginas de inicio de sesión aparecían con el logotipo del grupo. En Cork, donde Stryker concentra su mayor operación fuera de Norteamérica con 4.000 trabajadores, el Centro Nacional de Ciberseguridad de Irlanda confirmó que respondía al incidente.

El ataque es el primero de magnitud conocida vinculado a Irán desde que Estados Unidos e Israel lanzaron la Operación Furia Épica el 28 de febrero. Handala declaró que la operación era “en represalia por el brutal ataque a la escuela de Minab y en respuesta a los continuos ciberataques contra la infraestructura del Eje de la Resistencia”.

La elección de Stryker no fue aleatoria. La empresa, con sede en Portage, Míchigan, adquirió en 2019 la firma israelí OrthoSpace por 220 millones de dólares y obtuvo el año pasado un contrato de 450 millones con el Departamento de Defensa estadounidense. Con 56.000 empleados y presencia en más de 61 países, es uno de los mayores fabricantes de tecnología médica del mundo y proveedor clave de hospitales y fuerzas armadas occidentales. Sus acciones en la Bolsa de Nueva York cayeron alrededor de un 3,5% al conocerse la noticia.

Handala surgió a finales de 2023 tras el inicio del conflicto en Gaza, con un perfil que combina el hacktivismo propalestino con operaciones de inteligencia estatal. FalconFeeds lo clasifica como un grupo de “falso hacktivismo” gestionado por el Ministerio de Inteligencia iraní. Su nombre remite al personaje del caricaturista palestino Naji al-Ali, símbolo de resistencia desde 1969. A diferencia de los grupos criminales convencionales, Handala no opera por dinero, lo que lo convierte en un actor difícil de disuadir: su único objetivo es el daño máximo.

El ataque a Stryker no es un hecho aislado. Desde el 28 de febrero, múltiples grupos afines a Irán han coordinado una campaña bautizada como #OpIsrael que apunta a infraestructuras críticas en países aliados de Washington, incluidos Bahréin, Jordania y Kuwait. La Guardia Revolucionaria Islámica advirtió públicamente que las oficinas e infraestructuras de empresas estadounidenses con vínculos israelíes —entre ellas Google, Microsoft, Oracle, Palantir e IBM— serían consideradas objetivos legítimos. El ataque a Stryker parece ser la primera materialización de esa amenaza a gran escala contra una corporación cotizada en bolsa.

El ataque empleó la técnica “wiper”, diseñada para destruir datos de forma permanente. Irán recurrió a este método por primera vez a escala internacional con el ataque de Shamoon contra Saudi Aramco en 2012. El día anterior, el director del FBI, Kash Patel, advirtió que el organismo trabajaba “las 24 horas” para contener la amenaza iraní en el ciberespacio. El Centro de Estudios Estratégicos e Internacionales ya había advertido que los ataques del 28 de febrero marcaban el inicio de una nueva fase de escalada cibernética, no su conclusión.

Europa enfrenta una nueva amenaza cibernética tras la confirmación de un sofisticado ataque vinculado a hackers rusos, que ha comprometido cuentas de mensajería de altos funcionarios, militares y periodistas en Países Bajos.

Los servicios de inteligencia neerlandeses, el AIVD y el MIVD, han alertado sobre la gravedad del incidente, que ha permitido a los atacantes acceder a información sensible y potencialmente estratégica para la seguridad europea.

El episodio refuerza la preocupación sobre el uso de plataformas de mensajería como WhatsApp y Signal en contextos oficiales y militares. Estas aplicaciones, a pesar de su reputación como canales seguros y cifrados, no están exentas de riesgos cuando los ciberatacantes emplean técnicas de ingeniería social y suplantación de identidad para obtener credenciales de acceso.

Cómo se produjo el ciberataque y qué información fue comprometida

Según los servicios de inteligencia, los cibercriminales se enfocaron especialmente en Signal, debido a su popularidad entre funcionarios gubernamentales y militares por el uso de cifrado de extremo a extremo. Los hackers se hicieron pasar por un chatbot oficial de Signal y, mediante mensajes fraudulentos, consiguieron que las víctimas entregaran sus claves de acceso.

Una vez dentro, los atacantes podían leer conversaciones, acceder a grupos sensibles y extraer datos sin que los usuarios lo notaran.

Las autoridades enfatizan que el ataque no explotó vulnerabilidades técnicas en las plataformas, sino que se basó en engañar a los usuarios. Por eso, subrayan que ni WhatsApp ni Signal son canales adecuados para transmitir información clasificada o de alta confidencialidad, aunque sean muy utilizadas por las instituciones gubernamentales.

Por qué los hackers atacaron organizaciones europeas

El interés de los hackers en Países Bajos no es casual. El país desempeña un papel central en el apoyo a Ucrania y alberga organizaciones internacionales de alto perfil, como la Corte Penal Internacional y la Organización para la Prohibición de las Armas Químicas. Esta relevancia geopolítica convierte a su infraestructura digital y a sus funcionarios en objetivos prioritarios para campañas de espionaje y desestabilización.

Los informes de inteligencia advierten que la operación rusa podría ser solo una de muchas acciones similares dirigidas a instituciones europeas clave, especialmente en el contexto actual de tensión internacional y guerra de información.

Recomendaciones de ciberseguridad ante el aumento de ataques

Frente a esta situación, las autoridades han emitido una serie de recomendaciones para reducir los riesgos de intrusión en cuentas de mensajería:

• Verificar la autenticidad de los mensajes recibidos: Signal y otras plataformas no contactan a los usuarios a través de la propia aplicación para solicitar credenciales o información.
• Revisar los miembros de grupos de chat: Estar atentos a la aparición de cuentas duplicadas o nombres desconocidos en los grupos.
• Eliminar cuentas sospechosas: Si se detecta una posible intrusión, es fundamental eliminar las cuentas afectadas del grupo o abandonar y crear uno nuevo si el administrador ha sido comprometido.
• Evitar compartir información sensible: Reservar los canales digitales solo para comunicaciones no confidenciales.

Qué hacer si tu cuenta de WhatsApp o Signal fue hackeada

Los ataques a cuentas de WhatsApp y Signal han aumentado en los últimos años, afectando tanto a usuarios comunes como a figuras públicas. Si sospechas que tu cuenta fue vulnerada, estas son las señales de alerta y los pasos recomendados:

• Cierre inesperado de sesión: Si la aplicación se cierra y solicita volver a verificar el número, puede ser señal de acceso no autorizado.
• Mensajes extraños: Aparición de mensajes o archivos enviados que no reconoces.
• Cambios en el perfil: Modificaciones no autorizadas en foto, nombre o estado.
• Conexiones inusuales: Actividad en horarios en los que no usas la aplicación.

Para recuperar la cuenta y proteger tus datos:

1. Desinstala y reinstala la aplicación para forzar el cierre de sesiones sospechosas.
2. Activa la verificación en dos pasos para añadir una capa adicional de seguridad.
3. Informa a tus contactos sobre el ataque para prevenir fraudes derivados.
4. Revisa las sesiones activas y cierra cualquier dispositivo desconocido en la configuración de la app.

El ciberataque ruso en Países Bajos es un recordatorio de la vulnerabilidad de las comunicaciones digitales, incluso en plataformas consideradas seguras. La ingeniería social y la suplantación de identidad siguen siendo métodos efectivos para romper barreras tecnológicas y acceder a información crítica.

El presidente Donald Trump propuso que las empresas privadas tengan un papel central en la ciberseguridad de Estados Unidos, una transformación que genera dudas técnicas y legales sobre la forma en que las compañías intervendrían en acciones habitualmente reservadas al gobierno.

La Estrategia Nacional de Ciberseguridad, difundida el viernes y firmada por Trump, apuesta por “desatar” la capacidad ofensiva de empresas para interrumpir redes enemigas y anticipa futuras órdenes ejecutivas, a pesar de la ausencia de detalles sobre el alcance y las limitaciones legales de esa iniciativa, según informó The New York Times.

El nuevo documento marca una diferencia clara respecto a administraciones previas: condensa las metas estratégicas en apenas siete páginas, 32 menos que la estrategia publicada por Joe Biden en 2023, y omite menciones explícitas a China y Rusia, dos países que atacaron reiteradamente infraestructuras estadounidenses, un tema que se desarrolla en la nueva hoja de ruta de ciberseguridad.

Empresas privadas, protagonistas en la ofensiva cibernética

En la actualidad, las empresas privadas pueden ser contratadas para desarrollar componentes de operaciones gubernamentales en el ciberespacio, pero la nueva estrategia supone una ampliación drástica de su papel. El texto oficial advierte: “Estados Unidos desatará” la intervención del sector privado para interrumpir redes enemigas.

Hasta ahora, la ley prohíbe a las empresas lanzar campañas ofensivas en internet. El Congreso debatió la posibilidad de modificar ese marco, aunque Lauryn Williams, experta en ciberseguridad del Center for Strategic and International Studies, que desempeñó funciones de supervisión de políticas en la administración Biden, advierte sobre el riesgo de validar represalias privadas o lo que se conoce como “hacking back”.

Según Williams, esto permitiría que una empresa atacada lleve a cabo contraataques cibernéticos, con la posibilidad de que se abra una escalada de represalias.

Williams sostiene que el mayor interrogante actual para el sector privado es “cómo garantizar que las compañías que participen en ataques cibernéticos ofensivos, en respuesta a haber sido vulneradas, no se conviertan luego en blanco de represalias de adversarios extranjeros”.

El ex vicealmirante retirado Mark Montgomery, actual director sénior del Center on Cyber and Technology Innovation de la Foundation for Defense of Democracies, instituto de análisis geoestratégico, aguarda precisiones del gobierno respecto a cómo se involucrará el sector privado en la ciberdefensa nacional.

Montgomery propone cautela y aclara: “Eso requeriría supervisión directa del ámbito militar”. Aunque se muestra abierto a la intervención empresarial, subraya la necesidad de un control militar sobre cualquier acción ofensiva ejecutada por compañías.

Ausencia de rivales estatales en la nueva estrategia

The New York Times destaca que, al igual que la Estrategia de Seguridad Nacional difundida por la Casa Blanca en diciembre pasado, la nueva hoja de ruta omite identificar adversarios concretos, un cambio respecto a directrices anteriores. Montgomery indicó: “Pierdes una oportunidad de disuasión cuando no nombras al adversario”.

Esta omisión, según el medio, resulta llamativa frente a ataques recientes como las incursiones Salt Typhoon y Volt Typhoon –atribuidas a China– que lograron extraer información de millones de estadounidenses y amenazan con entorpecer operaciones militares nacionales.

La estrategia de Trump menciona algunas acciones pasadas, como el rol de operaciones cibernéticas en la captura de Nicolás Maduro y los ataques estadounidenses contra instalaciones nucleares iraníes.

El texto enfatiza: “A los adversarios se les avisa que los operadores y herramientas cibernéticas de Estados Unidos son los mejores del mundo y pueden desplegarse de forma rápida y eficaz para defender los intereses estadounidenses”.

Williams analiza la descripción abierta de las operaciones cibernéticas del gobierno, una tendencia diferente al tono reservado de gestiones previas, y afirma: “Hemos visto reconocimientos públicos sin precedentes de operaciones cibernéticas tras Venezuela y luego de Irán”.

Inteligencia artificial y redefinición de prioridades

El documento incluye objetivos clásicos como la simplificación normativa, la modernización de las redes gubernamentales, la protección de infraestructuras esenciales y la construcción de una fuerza laboral capacitada en ciberseguridad. Por primera vez, subraya el uso de inteligencia artificial para “detectar, desviar y engañar a actores hostiles”.

Desde 2003, cuando el presidente George W. Bush lanzó la primera estrategia federal de ciberespacio, cada administración propuso su propio enfoque.

El alcance otorgado al sector privado y la brevedad sin detalles sobre adversarios marcan la propuesta de Trump como distinta en el panorama estadounidense reciente.

El primer decreto presidencial firmado el viernes acompañando la nueva estrategia se enfocó en delitos cibernéticos y estafas en línea. Hasta ahora, Trump no emitió órdenes relacionadas con la participación privada en operaciones ofensivas, dejando abierto el interrogante respecto a los mecanismos legales y el tipo de acciones que habilitaría para las empresas involucradas.

La acción judicial busca que las autoridades investiguen las circunstancias en las que se produjo el ataque informático y las posibles conductas penales asociadas.

Ahora puede seguirnos en Facebook y en nuestro WhatsApp Channel

La entidad señaló que el incidente corresponde a un ataque externo contra la plataforma de citas desarrollada por el proveedor tecnológico CIEL Ingeniería. Según explicó la Dian, el hecho permitió el acceso no autorizado a datos personales de algunos usuarios del sistema, lo que llevó a activar los protocolos institucionales de seguridad informática y a iniciar las actuaciones legales correspondientes.

“La Dian interpuso denuncia ante la Fiscalía General de la Nación por los hechos registrados para que se adelanten las investigaciones del caso por el presunto delito de extorsión y demás conductas penales asociadas al ciberataque perpetrado”, señaló la entidad en su comunicado oficial.

El director general de la entidad, Carlos Emilio Betancourt, se refirió al incidente mediante un video difundido por la institución, en el que explicó que las verificaciones técnicas realizadas permitieron establecer el alcance del ataque y descartar afectaciones en los sistemas principales de información tributaria y aduanera.

Acceso a datos personales del sistema

Según explicó Betancourt, el incidente fue confirmado tras un proceso de análisis técnico adelantado por los equipos especializados de la entidad. El ataque involucró específicamente el sistema virtual de agendamiento de citas, que es utilizado por los ciudadanos para programar trámites ante la Dian.

La entidad explicó que, una vez detectada la situación, se procedió a deshabilitar de manera temporal los servicios comprometidos y a activar los protocolos de gestión de incidentes de seguridad. Estas acciones, según la Dian, se adoptaron con el objetivo de contener el evento, proteger la información disponible en los sistemas institucionales y prevenir nuevos accesos no autorizados.

De manera paralela, la institución trabaja con el proveedor tecnológico responsable de la plataforma para implementar ajustes que permitan restablecer el servicio de forma segura. Entre las medidas adoptadas se incluyen análisis de registros, pruebas de seguridad y evaluaciones del comportamiento de los sistemas informáticos involucrados.

Información tributaria no fue comprometida

Durante su pronunciamiento, Betancourt aseguró que las verificaciones realizadas permitieron determinar que la información más sensible administrada por la entidad no fue afectada por el incidente informático.

“Con base en las verificaciones realizadas, puedo indicar que la información tributaria aduanera de los contribuyentes no se ha visto comprometida ni vulnerada, las contraseñas y credenciales de acceso se encuentran protegidas y no han sido objeto de ataque”, afirmó el director general.

La Dian reiteró esta información en su comunicado oficial, en el que precisó que los sistemas misionales de la entidad continúan operando con normalidad y que la prestación de servicios a la ciudadanía no se ha visto interrumpida.

En ese sentido, la entidad señaló que “los servicios misionales y la atención a la ciudadanía continúan prestándose de manera continua y sin afectaciones”, al tiempo que indicó que, hasta el momento, la operación esencial de la institución no ha sido alterada por el incidente.

La atención continúa en algunos puntos

Aunque el sistema virtual de agendamiento de citas permanece temporalmente deshabilitado mientras se adelantan los ajustes técnicos, la Dian informó que la atención presencial continúa funcionando en sus sedes. De acuerdo con la entidad, los 56 puntos de contacto con los que cuenta en todo el país se mantienen operando con normalidad, brindando acompañamiento a los ciudadanos en la realización de trámites y consultas.

La institución también indicó que, como medida temporal, algunas citas relacionadas con solicitudes de devolución por pago en exceso o por pagos no debidos deberán gestionarse a través de atención telefónica. En particular, los contribuyentes de las direcciones seccionales de Bogotá, Bucaramanga, Medellín y Cali que requieran este trámite deberán comunicarse con la línea telefónica +57 601 489 9000 para programar sus citas mientras se restablece el sistema virtual.

Finalmente, la Dian informó que también se adelantan las acciones necesarias para reportar el incidente ante la Superintendencia de Industria y Comercio, autoridad nacional encargada de la protección de datos personales en Colombia, como parte de los procedimientos institucionales previstos para este tipo de situaciones.

Estados Unidos e Israel lanzaron el sábado una ofensiva militar sin precedentes contra Irán, combinando bombardeos convencionales con una dimensión que hasta ahora había permanecido en las sombras: un apagón casi total de Internet. La conectividad iraní registró una abrupta caída llegando al 4% de los niveles normales, mientras ciberataques afectaban a medios, sitios de noticias y aplicaciones locales, incluida la agencia de noticias estatal IRNA. Como represalia, Irán lanzó una segunda ola de misiles balísticos contra Israel y las bases estadounidenses en los países del Golfo.

La operación no fue una sorpresa para quienes seguían de cerca la escalada digital entre ambos países. Irán venía ejecutando desde antes del ataque de Hamas del 7 de octubre campañas sostenidas de espionaje y sabotaje digital contra Israel que, según registros de inteligencia, se triplicaron con posterioridad. Esos ataques incluyeron malware destructivo y correos electrónicos con enlaces a sitios web falsos diseñados para robar credenciales de acceso y códigos de autenticación de dos factores, como parte de operaciones más amplias de recopilación de inteligencia y manipulación de la opinión pública.

El antecedente más elocuente de esta guerra tecnológica ocurrió en enero de 2010, cuando inspectores de la Agencia Internacional de Energía Atómica detectaron que las centrifugadoras de la planta nuclear de Natanz estaban fallando sin explicación aparente. La causa, revelada meses después, fue Stuxnet: un virus informático que tomó el control de 1.000 máquinas y les ordenó autodestruirse. Fue una de las primeras instancias en las que un ciberataque generó daños físicos reales. Lo que ocurre hoy es, en muchos sentidos, su heredero directo.

Por estas horas, las operaciones híbridas sobre el régimen de Irán incluyeron infraestructuras críticas y sistemas de comunicaciones de las fuerzas armadas y de seguridad que dejaron de funcionar, produciendo un apagón de comunicaciones y la ruptura de la cadena de mando, tanto en el país como en el extranjero.

Irán ingresó en una niebla digital casi total, en lo que podría definirse como el primer ciberataque a gran escala.

Los daños a la infraestructura de comunicaciones del CGRI tenían como objetivo impedir la coordinación de contraataques e interrumpir la capacidad de las unidades cibernéticas y electrónicas iraníes para lanzar drones y misiles balísticos.

Actividades preparatorias y de hacktivismo fueron desplegadas desde el mes de enero, cuando las transmisiones satelitales iraníes fueron intervenidas, transmitiendo a millones de hogares contenido que instaba al derrocamiento del régimen.

El ataque del sábado fue descripto como de una escala sin precedentes, combinando guerra electrónica que interrumpió los sistemas de navegación y comunicaciones con ataques de denegación de servicio (DDoS) e intrusiones profundas en los sistemas de datos vinculados a la infraestructura energética y aeronáutica del país, mientras el régimen intentaba apoyarse en su circunscripta y malograda red de “internet nacional”, dejando a Irán expuesto y aislado en un momento de grave crisis. La niebla digital es, a esta altura, tan determinante como la física: quien controla las comunicaciones, controla el campo de batalla.

Gabriel Zurdo es CEO y Fundador de BTR Consulting; especialista en ciberseguridad, riesgo tecnológico y negocios

Un hábito tan sencillo como apagar el celular durante cinco minutos cada día se ha convertido en una pauta respaldada por autoridades internacionales para fortalecer la ciberseguridad de millones de usuarios ante la creciente sofisticación de los ataques digitales.

Sumado a interrumpir el funcionamiento de software malicioso, esta práctica introduce una barrera efectiva ante intentos de acceso no autorizado a datos personales y bancarios en un contexto marcado por el auge de amenazas invisibles.

La medida, impulsada por el primer ministro de Australia, Anthony Albanese, plantea que es suficiente con reservar un intervalo de cinco minutos diarios para desconectar el dispositivo, idealmente durante actividades cotidianas, como cepillarse los dientes.

Albanese instó a la población a adoptar el hábito y subrayó: “Todos tenemos una responsabilidad. Cosas sencillas: apaga el teléfono cinco minutos cada noche. Para quienes ven esto, hazlo cada 24 horas, mientras te cepillas los dientes o haces lo que sea”, dijo.

Por qué apagar el celular por cinco minutos es útil para evitar ciberataques

La base técnica de esta pauta reside en que varios tipos de malware requieren mantener una sesión de usuario activa para operar sin interrupciones.

Entonces, reiniciar o apagar el celular interrumpe estos procesos en segundo plano, lo que dificulta la persistencia de spyware o ataques conocidos como zero-click, capaces de infectar el dispositivo sin intervención directa del usuario.

El periodo mínimo de cinco minutos sugerido por Albanese, responde a la necesidad de asegurar que todos los procesos en segundo plano se cierren completamente, y que la memoria del dispositivo quede libre de cualquier rastro que pudiera aprovechar un agente externo.

De este modo, se reduce la ventana de oportunidad para ataques que explotan vulnerabilidades de software o se valen de conexiones persistentes.

Qué dicen otras organizaciones sobre este método

El consejo del Gobierno australiano coincide con las pautas emitidas en 2020 por la Agencia de Seguridad Nacional de Estados Unidos (NSA), que aconsejó reiniciar los dispositivos al menos una vez por semana como medida para reforzar la seguridad de los teléfonos inteligentes.

Ambas medidas parten de un mismo principio: el mero acto de apagar y volver a encender detiene el funcionamiento de aplicaciones maliciosas que requieren continuidad y corta de cuajo cualquier intento de mantener el acceso remoto por parte de un atacante.

Con qué otros medidas se puede evitar ser víctima de ciberataques

Especialistas en ciberseguridad advierten que apagar el teléfono de forma regular solo constituye una primera barrera, pero no equivale a una protección total frente a amenazas complejas.

Sugieren complementar esta rutina con medidas adicionales: utilizar contraseñas robustas, activar la autenticación en dos pasos, descargar aplicaciones únicamente desde tiendas oficiales y mantener el sistema operativo actualizado.

Asimismo, la elección de una red segura es crítica. Se aconseja evitar WiFi públicas y abstenerse de compartir información sensible a través de canales inseguros o ante personas cuya identidad no pueda verificarse, aunque se presenten como representantes de empresas legítimas.

Cómo crear una contraseña segura

Para crear una contraseña segura se debe usar palabras complejas de al menos 12 caracteres que combinen mayúsculas, números y símbolos. Hay que evitar datos personales como fechas de nacimiento o nombres de mascotas, porque son fáciles de adivinar mediante ingeniería social.

Lo más importante es la exclusividad: jamás hay que reutilizar la misma clave en diferentes sitios. Para gestionar decenas de accesos robustos sin olvidarlos, lo ideal es emplear un gestor de contraseñas confiable que las encripte.

Cuáles son los ciberataques más comunes

El phishing sigue siendo el líder, utilizando correos o mensajes falsos para robar credenciales. Otro que destaca es el malware, que infecta dispositivos para espiar o dañar datos, y el ransomware, que secuestra la información exigiendo un rescate económico.

Otros ataques comunes incluyen la fuerza bruta, donde programas automáticos prueban miles de combinaciones hasta dar con la clave, y las vulnerabilidades en redes WiFi públicas, que permiten interceptar información.

Este 25 de febrero de 2026 el Servicio de Administración Tributaria (SAT) emitió un comunicado luego de que durante el día se compartiera información en medios de comunicación acerca de un presunto ciberataque con inteligencia artificial a instituciones gubernamentales, el cual es incluido en la lista.

El organismo negó de manera categórica haber sufrido un hackeo o robo de información mediante herramientas de inteligencia artificial, tras la circulación de versiones sobre una supuesta filtración de datos confidenciales.

Seguridad alineada a estándares internacionales

El SAT subrayó que sus acciones en materia de ciberseguridad siguen los lineamientos y marcos de gestión definidos por el Gobierno Federal. Estas acciones se encuentran respaldadas por estándares internacionales como la familia ISO/IEC 27000, así como ISO 22301 e ISO 31000. El organismo mantiene un esquema de monitoreo permanente y protocolos de detección temprana para responder ante incidentes informáticos.

De acuerdo con el comunicado, ante cualquier publicación que sugiera la existencia de un incidente de seguridad, el SAT implementa de inmediato sus mecanismos internos para monitorear, contener y mitigar posibles amenazas de ciberdelincuencia.

Revisión de sistemas ante una presunta vulneración

Tras la versión publicada en Bloomberg donde se señala que miles de datos confidenciales fueron robados a través de un chatbot creado con Inteligencia Artificial, el SAT indicó que se llevó a cabo una revisión de las bitácoras de operación de los sistemas relacionados con la supuesta filtración. El análisis no identificó accesos no autorizados ni comportamientos anómalos en los sistemas de operación.

El ciberataque dirigido a los portales de las autoridades se habría iniciado en diciembre y se extendió durante cerca de un mes, periodo en el que los responsables lograron sustraer información.

Entre las acciones que la autoridad fiscal destaca se encuentran:

• Monitoreo constante de plataformas informáticas.
• Actualización permanente de sistemas y herramientas de protección.
• Aplicación de protocolos de contención y mitigación si se detecta alguna amenaza.

El SAT enfatizó que no existe evidencia que confirme el supuesto hackeo o robo de información a través de inteligencia artificial.

Ciberataques con IA van en crecimiento

El SAT reconoció la tendencia creciente de ataques informáticos que utilizan herramientas de inteligencia artificial generativa, en esta ocasión también se destaco al Instituto Nacional Electoral (INE), al Gobierno de la Ciudad de México, Jalisco, Michoacán y Tamaulipas como blanco del robo de información.

Frente a este panorama, el organismo aseguró que mantiene vigilancia continua sobre sus sistemas y realiza mejoras en las medidas de protección para actuar con oportunidad ante cualquier incidencia en materia de seguridad informática.

La autoridad reiteró su compromiso con la protección de los datos de las y los contribuyentes, así como con la transparencia en la gestión de incidentes de ciberseguridad.

La Agencia de Recaudación y Control Aduanero (ARCA) emitió un comunicado oficial a través de su cuenta de X para advertir a los contribuyentes sobre la detección de una nueva modalidad de estafa virtual. El organismo informó que se han identificado correos electrónicos fraudulentos que intentan suplantar la identidad de la institución con el objetivo de obtener información personal y sensible de los ciudadanos.

Según detalló la entidad, estos mensajes falsos circulan bajo una apariencia que simula ser una comunicación oficial del organismo. Sin embargo, el análisis técnico realizado por la agencia permitió determinar que los correos electrónicos provienen de direcciones que no pertenecen a un dominio oficial. Asimismo, se advirtió que el remitente de respuesta configurado en estos envíos tampoco guarda relación con una casilla de correo institucional legítima de la Agencia de Recaudación y Control Aduanero.

Modus operandi y características del fraude

La maniobra detectada se enmarca en las técnicas conocidas como “phishing", donde los ciberdelincuentes buscan engañar al destinatario para capturar datos privados. En este contexto, ARCA enfatizó que su política de comunicación no incluye el envío de correos electrónicos bajo determinadas condiciones.

Desde el organismo aclararon que no se envían correos solicitando datos personales, pagos ni la descarga de archivos. Esta precisión busca que el contribuyente pueda identificar rápidamente una comunicación apócrifa, ya que cualquier requerimiento de información sensible o solicitud de transferencias monetarias vía e-mail queda fuera de los procedimientos estándar de la institución.

Otro punto central de la advertencia reside en la gestión de archivos adjuntos y enlaces. Los correos detectados instan a los usuarios a realizar acciones que comprometen la seguridad de sus dispositivos y datos. Por este motivo, la autoridad fiscal y aduanera recordó que el Domicilio Fiscal Electrónico es el único canal oficial habilitado para la notificación de actuaciones, despachos u operaciones realizadas a nombre del contribuyente.

Recomendaciones de seguridad para contribuyentes

Ante la proliferación de estos intentos de estafa, la Agencia de Recaudación y Control Aduanero estableció una serie de pautas de seguridad estrictas para el manejo de la correspondencia electrónica sospechosa:

• Verificación del remitente: Comprobar que el dominio del correo electrónico corresponda efectivamente a las direcciones oficiales del Estado y no a proveedores genéricos o dominios similares pero incorrectos.
• Restricción de enlaces: En caso de recibir un correo que se considere sospechoso, la instrucción oficial es no hacer clic en ningún enlace contenido en el cuerpo del mensaje.
• Archivos adjuntos: Se recomienda de forma taxativa no descargar archivos adjuntos, ya que estos pueden contener software malicioso diseñado para el robo de información o el bloqueo de equipos.
• Consulta de canales oficiales: Toda notificación legítima sobre la situación fiscal o aduanera de una persona debe ser verificada ingresando directamente con clave fiscal al sitio web oficial de la agencia, específicamente en la sección de Domicilio Fiscal Electrónico.

Procedimiento de denuncia y reporte

Para colaborar con la investigación de estos incidentes y mitigar el alcance del fraude, ARCA solicitó la colaboración activa de la comunidad. En este sentido, habilitó una vía específica para el reporte de estos correos electrónicos fraudulentos.

Los ciudadanos que reciban una comunicación sospechosa deben reenviar el mensaje original a la casilla de correo electrónico especializada en ciberseguridad del organismo: phishing@arca.gob.ar. El objetivo de este procedimiento es que el área técnica de la entidad pueda realizar un análisis exhaustivo de la estructura del correo, los servidores de origen y los enlaces utilizados por los estafadores para proceder con las acciones correspondientes.

La Agencia de Recaudación y Control Aduanero reiteró la importancia de mantener la guardia ante este tipo de contactos imprevistos y recordó que la protección de la información personal es una tarea conjunta entre el organismo y los contribuyentes.

España atraviesa un momento crítico en materia de infraestructuras. Tras un periodo de fuerte crecimiento en inversiones públicas durante los primeros años del siglo XXI, el país ha entrado en una larga fase de recortes presupuestarios que ha dejado un panorama de obsolescencia en las infraestructuras, de pérdida de eficiencia y una mayor vulnerabilidad ante riesgos climáticos y tecnológicos. Así lo expone el estudio La economía de las infraestructuras en España: realidad, retos y recomendaciones, editado por Funcas y coordinado por Ginés de Rus y Carlos Ocaña.

Los autores del informe reconocen que las infraestructuras constituyen un armazón que sostiene la economía y el bienestar social de España, por lo que, cuando fallan, sus efectos son inmediatos y costosos. Por ello, invertir en ellas es una condición necesaria, pero no suficiente, para el crecimiento económico, ya que invertir más no garantiza mejores resultados si no se elige adecuadamente en qué, dónde y cómo se invierte.

La experiencia española muestra casos de sobreinversión con baja utilización, junto a déficits en ámbitos como las infraestructuras hidráulicas o el mantenimiento de redes de transporte y energía.

De la euforia inversora al ajuste estructural

Entre 2000 y la crisis financiera global de 2008, España fue uno de los países de la Unión Europea que más recursos destinó a infraestructuras, con ratios de inversión pública sobre PIB superiores a la media comunitaria. Este impulso permitió construir una red de alta velocidad ferroviaria, autovías, aeropuertos y redes energéticas que situaron al país a la vanguardia en varios modos de transporte y mejoraron la accesibilidad territorial. Esta etapa de expansión actuó como motor de convergencia económica con Europa y facilitó el crecimiento interno.

La situación cambió de forma abrupta con la llegada de la crisis financiera y el posterior ajuste fiscal. El informe de Funcas describe cómo la inversión pública se redujo a mínimos históricos, tanto en nuevas infraestructuras como en el cuidado de las existentes. El repliegue, que en principio se planteó como temporal, se convirtió en estructural, y España pasó a presentar un déficit inversor respecto a la media europea.

Los riesgos de la falta de mantenimiento

La caída en la inversión no solo ha frenado nuevos proyectos, sino que también ha puesto en riesgo la operatividad de las redes ya construidas. El informe advierte que la falta de recursos para conservación y modernización ha generado problemas de sobreinversión con baja utilización en algunos activos, junto a déficits notables en infraestructuras hidráulicas y en el mantenimiento de redes de transporte y energía.

La situación afecta de forma directa a la capacidad de respuesta ante fenómenos extremos, como apagones, sequías, inundaciones y ciberataques. Según los autores, “negar la prioridad al mantenimiento debilita la resiliencia nacional y eleva la exposición a emergencias y pérdidas económicas”.

Además, la obsolescencia de las infraestructuras incrementa los costes futuros, ya que la reparación de daños suele requerir inversiones mucho mayores que la prevención.

Los retos de la transición al cambio climático y la digitalización

El informe de Funcas identifica varios desafíos clave para el futuro inmediato. Entre ellos destacan la adaptación al cambio climático, la transición energética y el avance hacia la digitalización de las redes. También recalca la importancia de reforzar las infraestructuras para garantizar la seguridad del suministro energético y contener los costes en un contexto de transformación hacia fuentes renovables.

En el ámbito del agua, los autores sostienen que la escasez y la variabilidad del recurso, agravadas por el calentamiento global, exigen una gestión basada en criterios económicos y ambientales, con precios que reflejen la escasez y sistemas que incentiven el uso eficiente. La falta de inversión en almacenamiento, prevención de inundaciones y depuración ha elevado la vulnerabilidad de las ciudades y el campo ante episodios extremos.

En cuanto a la digitalización, se perfila como un “elemento transversal imprescindible”, según el informe. España mantiene una posición avanzada en cobertura de fibra óptica y redes móviles, lo que constituye una ventaja competitiva. No obstante, la concentración de mercado, los riesgos para la ciberseguridad y la dependencia de otras infraestructuras críticas “exigen marcos regulatorios sólidos que garanticen competencia y acceso equitativo”.

Recomendaciones para un cambio de rumbo

El estudio expone una batería de medidas concretas para revertir la tendencia en infraestructuras y mejorar la eficiencia del gasto público. Entre las recomendaciones destacan reforzar la planificación estratégica con base en análisis económico; crear sistemas de financiación que permitan la recuperación de costes e internalicen las externalidades y ampliar y profesionalizar la colaboración público-privada.

También aconseja priorizar el mantenimiento y renovación de infraestructuras existentes frente a la construcción de nuevas, impulsar la resiliencia de infraestructuras críticas para minimizar el impacto de crisis imprevistas y mejorar la calidad institucional y la gobernanza del sector, con una evaluación rigurosa de los beneficios y costes sociales.

El informe insiste en que la inversión en infraestructuras compite directamente con otras prioridades como la sanidad, la educación o la seguridad, por lo que urge una evaluación transparente y objetiva para maximizar el retorno social de cada euro público gastado.

Transportes más eficientes y a la “vanguardia” en Telecomunicaciones

El análisis de Funcas repasa de forma monográfica los principales sectores afectados. En transporte, el país cuenta con una red densa y moderna, aunque arrastra problemas de sobrecapacidad y baja utilización en algunos activos. La recomendación de los expertos apunta a reorientar la política hacia la eficiencia, con evaluación estricta de proyectos y tarificación por uso.

En cuanto a energía, la transición hacia un sistema descarbonizado exige inversiones en redes de transporte y almacenamiento, así como en la gestión inteligente de la demanda. El informe alerta sobre los riesgos de una planificación deficiente que pueda derivar en apagones o inestabilidad.

En agua, la urgencia radica en mejorar el almacenamiento, la prevención de inundaciones y la depuración, con una gestión tarifaria que incentive el consumo responsable y garantice la sostenibilidad de las infraestructuras.

Respecto a las telecomunicaciones, España se mantiene a la vanguardia, pero la concentración de operadores y los retos de ciberseguridad obligan a fortalecer la regulación y evitar riesgos sistémicos.

El estudio examina el efecto de la pandemia y la llegada del programa Next Generation EU, que ha incentivado una respuesta fiscal expansiva y un renovado interés por la inversión en eficiencia energética, movilidad sostenible y digitalización. Sin embargo, la ejecución de estos fondos aún resulta baja y el esfuerzo en infraestructuras físicas permanece lejos de los máximos registrados antes de la crisis financiera de 2008.

Nueva política de infraestructuras para impulsar la economía

En cuanto al futuro, el estudio incide en que el futuro de la economía y el bienestar en España dependerá de la capacidad para consensuar una nueva política de infraestructuras basada en la sostenibilidad financiera, ambiental y territorial.

Deja claro que sin una estrategia de largo plazo y una asignación eficiente de recursos, el país corre el riesgo de ver erosionada su competitividad y quedar expuesto a crisis sistémicas.

En Argentina se emitió una nueva alerta sobre una aplicación móvil llamada MorganArg que contiene un malware capaz de tomar el control del celular mediante inteligencia artificial.

Esta aplicación, que integra un software malicioso denominado PromptSpy, fue identificada por la empresa de ciberseguridad SET, que la calificó como el primer caso conocido en Android en el que se emplea inteligencia artificial generativa como parte de su funcionamiento.

La app no está disponible en la tienda oficial de Google, sino que se instala mediante archivos descargados desde enlaces externos, una práctica riesgosa pero cada vez más común.

Ejemplos similares son aplicaciones como MagistTV, utilizadas para acceder a televisión paga y que también requieren la instalación de archivos APK fuera de Google Play Store, lo que constituye una señal de advertencia.

MorganArg replica el esquema típico de fraudes online recientes: promete altos retornos a cambio de una inversión inicial.

La víctima recibe un enlace por redes sociales, mensajes o publicidad en línea que la dirige a descargar un archivo APK. Al instalar la app, esta solicita permisos avanzados, incluido el acceso a funciones de accesibilidad, lo que le permite tomar el control del dispositivo.

Cómo opera esta aplicación móvil fraudulenta

La aplicación fraudulenta MorganArg opera de manera sofisticada tras ser instalada en el dispositivo.

Al ejecutarse, el malware PromptSpy obtiene acceso a funciones críticas del teléfono: puede leer mensajes y notificaciones, interceptar códigos de verificación enviados por SMS, extraer credenciales de acceso y datos personales, manipular aplicaciones bancarias o billeteras digitales y ejecutar órdenes como si fuera el propio usuario.

En la práctica, funciona como una llave maestra que permite a los atacantes controlar la vida digital de la víctima.

El especialista Mario Micucci, del laboratorio de ciberseguridad de ESET Latinoamérica, señala que PromptSpy inaugura una nueva etapa para el malware en Android, ya que la inteligencia artificial delega el control de la pantalla, elevando la efectividad en el robo de información.

El logo de la app imita el de Chase, la marca de JPMorgan Chase, uno de los bancos más grandes de Estados Unidos, para dar apariencia de legitimidad y engañar a los usuarios.

Según Micucci, el uso del nombre MorganArg ejemplifica una ingeniería social cada vez más profesional, orientada a atacar a usuarios locales con operaciones dinámicas y autónomas.

Al no encontrarse disponible en la tienda oficial de Google, la descarga depende de que el usuario acepte instalar apps desde orígenes desconocidos, lo que incrementa considerablemente el riesgo.

Argentina es actualmente el principal objetivo de esta amenaza, que se presenta como una oportunidad financiera legítima y fue identificada como maliciosa el 10 de febrero en la plataforma VirusTotal.

El investigador Lukas Stefanko, de ESET, explicó que el análisis de las muestras detectó un malware de múltiples etapas, con un “dropper” inicial llamado PromptSpy dropper que instala el componente principal, PromptSpy, el cual aprovecha la tecnología de inteligencia artificial generativa como parte de su ataque.

Cuál es el rol de la inteligencia artificial en esta app móvil

La inteligencia artificial cumple un papel central en el funcionamiento de MorganArg, convirtiéndola en una amenaza mucho más dinámica y difícil de erradicar.

Según Lukas Stefanko, investigador de ESET, el malware PromptSpy puede analizar en tiempo real lo que ocurre en la pantalla del dispositivo y generar instrucciones paso a paso que permiten que la aplicación maliciosa permanezca activa en la lista de apps recientes, evitando que el sistema operativo la cierre o elimine fácilmente.

El modelo de IA y los prompts están incorporados directamente en el código, lo que impide que sean modificados por los usuarios o por el propio sistema.

Cómo protegerse de este tipo de fraudes

Para protegerse de este tipo de fraudes, la principal recomendación es evitar la instalación de aplicaciones provenientes de fuentes desconocidas, es decir, aquellas que no se encuentren en la tienda oficial de Google.

Asimismo, evita conceder permisos de accesibilidad a apps que no lo requieran de manera clara, al igual que verificar los permisos solicitados antes de instalar cualquier programa.

Un grupo de hackers vinculados a China accedió de forma no autorizada a los sistemas digitales del Ministerio del Interior de Italia y obtuvo datos de 5.000 agentes de la DIGOS (División de Investigaciones Generales y Operaciones Especiales).

Según reveló el diario Repubblica, el ciberataque, ocurrido entre 2024 y 2025, no fue un sabotaje sino un robo de información dirigido a nombres, funciones y sedes operativas de agentes involucrados en la lucha antiterrorista, la vigilancia de comunidades extranjeras y el seguimiento de disidentes chinos refugiados en el país.

“No parece que se hayan tomado datos sensibles relacionados con actividades operativas”, sostuvo la Policía en un comunicado.

Los ciberdelincuentes descargaron datos confidenciales sobre personal de distintas comisarías italianas tras vulnerar la red del Ministerio. Aunque la autoría se atribuye a actores cercanos al régimen chino, en el ámbito de la ciberguerra las pruebas suelen ser limitadas.

El Ministerio del Interior detectó la filtración mientras se reforzaba la cooperación judicial entre Italia y China. El titular italiano de la cartera, Matteo Piantedosi, ya había mantenido reuniones en 2024 con su homólogo chino, Wang Xiaohon, en Beijing.

La fiscalía de Prato, especializada en delitos relacionados con China, continuó con las investigaciones, y el 25 de noviembre se celebró una reunión entre el fiscal Luca Tescaroli y una delegación encabezada por el ministro adjunto de Seguridad Pública, Zhongyi Liu.

Durante las conversaciones en Prato surgieron sospechas en Roma sobre el conocimiento que tenían las autoridades chinas, lo que llevó a activar la alerta por el acceso no autorizado a los datos del Ministerio del Interior. Las autoridades del régimen no ofrecieron explicaciones a los cuerpos de seguridad italianos, lo que derivó en la suspensión de la reunión y en la interrupción de la cooperación judicial entre ambos países.

“Las actividades maliciosas fueron detectadas rápidamente por la Policía Postal como parte del monitoreo de seguridad rutinario de los sistemas informáticos del Ministerio del Interior”, señaló el comunicado. La Policía Postal de Italia es la encargada de investigar delitos cibernéticos en el país.

Según La Repubblica, el descubrimiento del hackeo afectó negativamente la cooperación creciente entre Italia y China en áreas como la lucha contra las drogas, los delitos informáticos, el tráfico de personas y el crimen organizado. La colaboración bilateral incluía investigaciones conjuntas sobre grupos mafiosos chinos enfrentados en el centro textil de Prato, cerca de Florencia.

Italia neutralizó un ciberataque ruso contra los Juegos Olímpicos de Invierno

Italia frustró una serie de ciberataques rusos dirigidos contra los Juegos Olímpicos de Invierno de Milán-Cortina, según informó la oficina del ministro de Asuntos Exteriores, Antonio Tajani. Los ataques también tuvieron como objetivo oficinas del Ministerio de Asuntos Exteriores, incluida la embajada italiana en Washington, así como diversas sedes olímpicas y hoteles en Cortina d’Ampezzo.

En total, alrededor de 120 sitios resultaron afectados, pero las autoridades aseguraron que los intentos de intrusión fueron “efectivamente neutralizados”. Los incidentes ocurrieron poco antes de la ceremonia de apertura de los Juegos, lo que motivó un refuerzo adicional de las operaciones de seguridad digital.

El grupo de hackers ruso Noname057 se atribuyó la autoría de los ataques mediante un canal de Telegram, señalando que la acción respondía al apoyo del gobierno italiano a Ucrania. “La postura proucraniana del gobierno italiano lleva a que el apoyo a los terroristas ucranianos se castigue con nuestros misiles DDoS en sitios web”, afirmaron en su comunicado. Los ataques DDoS (denegación de servicio distribuida) buscan saturar los servidores de un sitio web, impidiendo su funcionamiento normal.

(Con información de AFP)

La captación indebida de archivos que contienen información clave, como registros de actividad, mensajes privados y eventos de calendario, fue detectada por Hudson Rock en el primer caso conocido de sustracción por malware 'infostealer' en OpenClaw. Según detalló el medio Bleeping Computer, el asistente de inteligencia artificial OpenClaw, anteriormente conocido como Clawdbot y luego renombrado como Moltbot, estuvo implicado en un incidente de ciberseguridad tras la acción de un software malicioso que robó datos de configuración y credenciales en los dispositivos afectados.

El ataque, atribuido a una posible variante del 'infostealer' Vidar y ocurrido el 13 de febrero, no estuvo dirigido de forma exclusiva contra OpenClaw, sino que su objetivo consistió en escanear y sustraer archivos que contienen palabras como "token" o "clave privada" en directorios del sistema, buscando maximizar la obtención de información sensible. Así lo explicó Alon Gal, cofundador y director de tecnología de Hudson Rock, en declaraciones publicadas por Bleeping Computer. El ataque resultó en la extracción de archivos específicos del asistente, como 'openclaw.json', donde figuran correo electrónico, dirección de trabajo y un token identificador; 'device.json', utilizado como firma del usuario; además de 'soul.md' y archivos de memoria con registros de comportamiento del agente, actividades diarias, mensajes y eventos personales.

A raíz de estos hechos, la compañía de ciberseguridad de origen israelí subrayó que el riesgo principal radica en la posibilidad de suplantación de identidad digital de los usuarios cuyos datos hayan sido comprometidos. Hudson Rock advirtió que quienes controlan este tipo de malware pueden acceder a información que va más allá de simples credenciales de inicio de sesión, abriendo la posibilidad de usurpación de identidades digitales y acceso no autorizado a datos privados y actividades cotidianas, así como a información laboral y personal.

La evolución del comportamiento observado en los 'infostealers' quedó registrada en el hallazgo comunicado por Hudson Rock, que calificó este incidente como un punto de inflexión, ya que señala un cambio en la metodología de los atacantes: desde la tradicional recolección de credenciales almacenadas en navegadores, al acopio de configuraciones avanzadas y perfiles de agentes personales de inteligencia artificial como los operados por OpenClaw.

Bleeping Computer subrayó que OpenClaw destaca entre los asistentes de IA por su capacidad de controlar la totalidad de las funciones del ordenador y ejecutar tareas bajo demanda del usuario, lo que amplía la superficie de ataque en caso de que software malicioso obtenga acceso al entorno del sistema. Esta característica, que ha impulsado la popularidad de la herramienta, también la convierte en un objetivo atractivo para extensiones y rutinas que ocultan elementos dañinos.

Según el medio, los archivos involucrados en la filtración almacenan no solo información técnica del dispositivo, sino también datos personales que abarcan movimientos y comunicaciones cotidianas realizadas a través del asistente. La existencia de registros como 'soul.md' y los archivos de memoria, donde quedan reflejados los eventos del calendario y los mensajes privados, evidencia el alcance potencial de las consecuencias de la intrusión.

Alon Gal afirmó a Bleeping Computer que el ataque representa un ejemplo de la creciente sofisticación del malware de tipo 'infostealer', cuya actividad se extiende ahora al ámbito de los agentes de IA, capaces de reunir y gestionar grandes cantidades de datos personales y de usuario. La investigación llevada a cabo por Hudson Rock permitió identificar que el responsable de la sustracción no únicamente obtuvo datos identificativos, sino también elementos esenciales para la autenticación y administración de perfiles en el sistema.

La información obtenida en el incidente puede ser utilizada por atacantes para acceder a servicios, plataformas o dispositivos vinculados con la identidad digital de la víctima, según consignó Bleeping Computer. La exposición de datos como direcciones de correo, claves privadas y tokens aumenta la probabilidad de ataques posteriores, como acceso no autorizado, fraude o apropiación de cuentas asociadas al usuario afectado.

El medio reportó además que el nombre del asistente, OpenClaw, ha variado a lo largo de su trayectoria, partiendo de su lanzamiento como Clawdbot y cambiando posteriormente a Moltbot, logrando en poco tiempo una elevada tasa de adopción entre usuarios interesados en asistentes flexibles y con capacidad de interactuar con diferentes sistemas. Sin embargo, la amplitud de funciones que gestiona la herramienta también incrementa el nivel de exposición en caso de que intrusos logren superponer archivos o ejecutar software malicioso en el entorno del usuario.

La compañía de ciberseguridad israelí concluyó que el incidente detectado representa una advertencia sobre los riesgos de confiar a asistentes de inteligencia artificial permisos para operar libremente en un equipo, alertando sobre la necesidad de implementar medidas de protección específicas y de fortalecer la supervisión sobre la gestión de configuraciones, claves y datos sensibles dentro de estos sistemas inteligentes. Hudson Rock afirmó que el ataque a OpenClaw marca un precedente para la industria de la seguridad informática, dado el salto que supone el robo y utilización de identidades digitales completas derivadas de agentes de IA.

El sistema ferroviario alemán sufrió este martes un ciberataque que dejó fuera de servicio durante varias horas los sistemas de información y reserva de billetes de Deutsche Bahn, la mayor empresa de transporte ferroviario del país.

El ataque, que se produjo en horas del mediodía y se prolongó hasta la tarde, afectó tanto a la popular aplicación móvil DB Navigator como a la página web oficial bahn.de, impidiendo a miles de usuarios consultar horarios, comprar boletos y acceder a información en tiempo real sobre los trenes.

La compañía confirmó que el incidente fue causado por una serie de ataques distribuidos de denegación de servicio (DDoS, por sus siglas en inglés), una modalidad en la que miles de dispositivos infectados saturan los servidores con solicitudes simultáneas, haciendo colapsar los sistemas o volviéndolos inaccesibles.

“Nuestros mecanismos de defensa fueron efectivos para minimizar el impacto en nuestros clientes”, señaló un portavoz de Deutsche Bahn, que aseguró que los datos personales de los usuarios no se vieron comprometidos durante el ataque.

El ciberataque llegó en varias oleadas. Aunque la mayoría de los sistemas fueron restaurados la misma tarde, nuevas interrupciones se registraron en la mañana de este miércoles, con usuarios reportando dificultades de acceso tanto en la app como en la web.

Deutsche Bahn advirtió que no podía descartar nuevos episodios de inestabilidad, ya que los ataques continuaban en curso y podían repetirse en las próximas horas o días.

La empresa destacó que la seguridad y disponibilidad de sus sistemas de reservas y consulta son prioridades, ya que afectan no solo a los pasajeros, sino también a las operaciones logísticas y de carga.

La compañía alemana opera tanto trenes de pasajeros de largo recorrido y cercanías como servicios de transporte de mercancías, por lo que un fallo prolongado en sus sistemas digitales puede tener efectos en cadena sobre la movilidad nacional, la economía y la logística de grandes empresas.

El sector del transporte ha sido blanco de ciberataques en varias ocasiones. En agosto de 2024, la gestión del tráfico aéreo alemán fue interrumpida por un incidente similar, mientras que otros servicios públicos y entidades gubernamentales han reportado intentos de sabotaje y espionaje digital desde diversas fuentes.

Aunque Deutsche Bahn no mencionó a posibles responsables ni confirmó el origen del ataque, fuentes no oficiales apuntaron a la posibilidad de actores extranjeros, dado el contexto geopolítico y los precedentes de campañas cibernéticas atribuidas a grupos vinculados a servicios de inteligencia de otros países.

La empresa declinó hacer comentarios sobre estas especulaciones y se limitó a destacar que su principal prioridad era restablecer la normalidad y proteger los datos de los clientes.

El Ministerio del Interior alemán confirmó que la empresa ferroviaria se encuentra en contacto con las autoridades nacionales de ciberseguridad y que se están investigando las circunstancias del ataque. Las autoridades recordaron que la protección de la infraestructura crítica es un tema de máxima prioridad, especialmente después de incidentes anteriores que afectaron tanto a sistemas digitales como a la infraestructura física del transporte ferroviario.

En los últimos años, ataques de diversa índole han evidenciado la vulnerabilidad de la red ferroviaria alemana. Incidentes previos incluyeron sabotajes físicos, como el corte intencionado de cables y actos de vandalismo en instalaciones clave, que provocaron importantes interrupciones en el servicio.

En septiembre del año pasado, el corte de cables en la ruta Düsseldorf-Colonia dejó sin servicio una de las conexiones más transitadas del país, mientras que un incendio en un centro de control ferroviario en Hannover provocó retrasos masivos y afectó a decenas de miles de pasajeros.

(Con información de EFE y AFP)

El informe 2025 de SOCRadar expuso que más de 2,6 millones de credenciales fueron comprometidas en Latinoamérica durante el último año, lo que refleja un aumento sostenido del robo de contraseñas a medida que avanza la digitalización y el fraude en línea.

Este fenómeno amenaza el acceso a servicios bancarios, plataformas corporativas, información financiera y datos personales en toda la región.

Ingeniería social y phishing: la puerta de entrada más común

La técnica de ingeniería social predomina entre los métodos de robo de credenciales, donde el phishing sobresale como el mecanismo más recurrente. Consiste en el envío de mensajes falsos, tanto por correo electrónico como por aplicaciones de mensajería, en los que el atacante suplanta la identidad de una entidad legítima para obtener datos de acceso.

Estos mensajes suelen simular notificaciones urgentes relacionadas con supuestos problemas en cuentas, pagos o reservas, y contienen enlaces hacia sitios web que imitan a los originales para recoger información sensible, como contraseñas y nombres de usuario.

Una variante reciente de este método se detecta en los anuncios patrocinados en buscadores como Google, empleados por ciberdelincuentes para posicionar sitios fraudulentos que imitan portales reales de bancos, proveedores de correo o servicios en la nube. Incluso personas con hábitos digitales seguros han caído ante estos engaños, debido a la utilización indebida de logotipos y nombres de empresas reconocidas. Este fenómeno responde a la creciente sofisticación de los atacantes.

Malware y ataques directos a organizaciones

El uso de malware específico representa otra vía relevante para el robo de contraseñas. Programas como infostealers, keyloggers y spyware capturan de manera continua datos almacenados en navegadores, aplicaciones y sesiones activas, sin requerir la intervención consciente de la víctima. Según el informe de SOCRadar, los troyanos bancarios han superado las 650.000 detecciones únicas en 2025 en la región, con la familia Guildma liderando los ataques.

El compromiso de bases de datos de organizaciones se ha consolidado como una fuente significativa de filtraciones de credenciales. Cuando una empresa sufre una brecha de seguridad, la información expuesta puede circular durante años en foros clandestinos, facilitando ataques de relleno de credenciales y fuerza bruta. En estos casos, los atacantes aprovechan la reutilización de contraseñas entre distintos servicios y la debilidad en los mecanismos de protección.

Fuerza bruta y reutilización de contraseñas

Los ataques de fuerza bruta completan el repertorio de técnicas empleadas por los ciberdelincuentes. Este método automatiza la prueba de múltiples combinaciones de usuario y contraseña hasta obtener acceso, con mayor éxito cuando los servicios carecen de límites de intentos o sistemas de autenticación adicionales.

El uso de listas de contraseñas comunes y credenciales filtradas potencia la efectividad de estos ataques, especialmente contra aplicaciones web y plataformas corporativas expuestas en Internet.

Cómo protegerse: recomendaciones para usuarios y organizaciones

La empresa de ciberseguridad ESET recomienda adoptar una combinación de medidas para reducir el riesgo de robo de credenciales. Entre las más relevantes se encuentran el uso de contraseñas únicas y robustas para cada servicio, la habilitación de autenticación multifactor, el rechazo a mensajes inesperados y la evitación de enlaces sospechosos, así como el almacenamiento seguro de las claves en gestores especializados.

Además, mantener sistemas y aplicaciones actualizados y revisar la actividad inusual en las cuentas contribuye a fortalecer la seguridad digital. Para las organizaciones, se sugiere implementar políticas de Zero Trust y mínimo privilegio, monitorear intentos de acceso y comportamientos anómalos, y capacitar a los colaboradores frente a ataques de ingeniería social.

En casos de sospecha de robo de contraseñas, la recomendación es cambiar las credenciales afectadas de inmediato, cerrar sesiones activas y verificar posibles accesos o modificaciones no autorizadas. El uso de herramientas de seguridad en los dispositivos también resulta fundamental para detectar y eliminar posibles códigos maliciosos.

Las estafas digitales impulsadas por inteligencia artificial atraviesan una etapa de expansión sin precedentes. Un análisis realizado por especialistas de la AI Incident Database advierte que el fraude basado en contenidos generados por IA, como los deepfakes, ha dejado de ser un fenómeno marginal para convertirse en una herramienta accesible cuyo uso masivo ha llegado a una escala “industrial”.

La facilidad para crear videos, audios e imágenes falsificadas de manera personalizada y a bajo costo está transformando la dinámica de la ciberdelincuencia global.

Deepfakes y su impacto en el fraude digital

El estudio identifica más de una docena de casos recientes donde los delincuentes utilizaron herramientas de IA para suplantar identidades con fines de lucro. Entre los ejemplos figuran videos falsos del presidente de Chipre, periodistas suecos o el primer ministro de Australia Occidental, Robert Cook, promoviendo esquemas fraudulentos. También se reportaron deepfakes de supuestos médicos recomendando productos en línea.

Esta tendencia se refleja en incidentes de alto perfil, como el caso de un responsable financiero en una multinacional de Singapur que transfirió cerca de 500.000 dólares tras una videollamada manipulada con deepfakes que imitaban a sus superiores. En Reino Unido, se estiman pérdidas de 9.400 millones de libras por fraudes entre febrero y noviembre de 2025.

“Las capacidades han llegado a un punto donde prácticamente cualquiera puede generar contenido falso”, señala a The Guardian Simon Mylius, investigador del MIT vinculado al proyecto. Según sus cálculos, los fraudes y manipulaciones dirigidas representan la mayoría de los casos reportados en la base de datos durante los últimos meses.

La facilidad y velocidad de la estafa automatizada

El abaratamiento y mejora de los modelos de IA han acelerado la producción de deepfakes, facilitando su uso en campañas fraudulentas a gran escala. “Es tan barato que cualquiera puede utilizarlo. Los modelos están mejorando más rápido de lo que muchos especialistas preveían”, advierte Fred Heiding, investigador de Harvard enfocado en estafas potenciadas por IA.

Un caso reciente ilustra el alcance de la amenaza. Jason Rebholz, CEO de una compañía de seguridad de IA, publicó una vacante laboral y fue contactado por un candidato que, tras intercambios de correos, resultó ser una imagen generada por IA.

Durante la videollamada, el entorno y los bordes del rostro del supuesto candidato resultaban artificiales y poco definidos. Tras consultar con una firma de detección de deepfakes, Rebholz confirmó que el aspirante era un fraude digital. El objetivo del estafador sigue sin estar claro: podría haber buscado obtener un salario o acceder a información confidencial.

Rebholz advierte que este tipo de ataques ya no se limita a grandes empresas. “Si nosotros somos objetivo, cualquiera puede serlo”, afirma. Los expertos señalan que el verdadero desafío se vislumbra en el futuro próximo, a medida que la tecnología de clonación de voz y video perfeccione su calidad, haciendo aún más difícil distinguir entre lo real y lo falso.

Consecuencias y desafíos para la confianza digital

El crecimiento del fraude con IA plantea riesgos crecientes para la seguridad, la economía y la confianza pública. El uso de deepfakes y clonación de voz ya impacta procesos críticos, desde contrataciones laborales hasta campañas electorales. La capacidad de los estafadores para manipular audiencias, suplantar identidades y acceder a recursos financieros o secretos empresariales genera preocupación entre especialistas y autoridades.

Fred Heiding advierte sobre el peligro de una pérdida generalizada de confianza en instituciones digitales y en la veracidad de los contenidos que circulan en línea. “Ese será el gran punto de dolor: la ausencia total de confianza en las instituciones y materiales digitales”, sostiene.

La facilidad para adquirir y utilizar herramientas de IA abre la puerta a una industrialización del fraude, donde la escala y la personalización de los ataques aumentan el desafío para empresas, gobiernos y usuarios. El estudio concluye que la sociedad enfrentará un escenario en el que la autenticidad digital será cada vez más difícil de garantizar, obligando a reforzar las estrategias de prevención, detección y educación frente a los riesgos emergentes de la inteligencia artificial.

El auge de las redes sociales y el incremento de la información compartida en línea han transformado el panorama de la ciberseguridad. Lo que comenzó como una estrategia para fortalecer la presencia profesional se ha convertido en una oportunidad para los ciberdelincuentes, que emplean técnicas avanzadas de ingeniería social para diseñar ataques cada vez más precisos y difíciles de detectar.

El spearphishing, modalidad personalizada del phishing tradicional, aprovecha datos recogidos de perfiles públicos para engañar a empleados y organizaciones con gran efectividad.

El spearphishing: ataques a medida usando información pública

A diferencia del phishing tradicional, que busca víctimas a través de mensajes masivos y genéricos, el spearphishing apunta a personas o empresas concretas, utilizando información específica obtenida de internet, redes sociales y filtraciones de datos. Los ciberdelincuentes invierten tiempo en investigar a sus objetivos, consultando plataformas como LinkedIn, GitHub, Instagram o X, donde los profesionales suelen compartir logros, proyectos y hasta rutinas laborales.

La ingeniería social es la base de esta técnica. Los atacantes recopilan cada dato disponible para construir mensajes personalizados que imitan comunicaciones reales: un correo que parece provenir de un colega, una solicitud urgente de un supuesto proveedor o referencias a proyectos auténticos. El objetivo es lograr que la víctima baje la guardia y, al confiar en la veracidad del mensaje, revele credenciales, haga clic en enlaces maliciosos o descargue archivos infectados.

Según expertos en ciberseguridad de ESET, la primera etapa de un ataque de spearphishing se basa en la recopilación de información pública. Cada actualización de perfil, publicación o comentario puede convertirse en la pieza clave para construir una estafa convincente. El desafío radica en que estos mensajes pueden pasar inadvertidos incluso para usuarios experimentados, dada su precisión y personalización.

Redes sociales: el terreno fértil para la ingeniería social

Las plataformas profesionales y personales han facilitado la exposición de detalles que antes permanecían privados. LinkedIn, por ejemplo, permite acceder a organigramas, responsabilidades, información sobre proyectos y hasta detalles técnicos que pueden ser aprovechados en ataques. Los reclutadores, al publicar ofertas de empleo, también revelan datos sobre la infraestructura tecnológica de las empresas, lo que puede ser explotado por los atacantes.

GitHub, aunque menos evidente, representa otra fuente de información relevante. Allí, los desarrolladores pueden compartir inadvertidamente direcciones de correo corporativo o nombres de herramientas internas, mientras que los repositorios públicos exponen tecnologías y metodologías utilizadas por la empresa.

Instagram y X permiten a los ciberdelincuentes rastrear movimientos y actividades fuera del entorno laboral. Una publicación sobre un viaje de negocios o la asistencia a una conferencia puede indicar el momento ideal para ejecutar un ataque, aprovechando la ausencia de directivos clave. Incluso la información publicada en el sitio web corporativo puede resultar útil para un atacante.

Este tipo de exposición convierte a empleados con acceso a información sensible, como directivos o personal de recursos humanos, en objetivos prioritarios. Sin embargo, cualquier usuario puede convertirse en víctima si comparte en exceso o no presta atención a los riesgos asociados a la información pública.

Cómo identificar y evitar el spearphishing

El spearphishing se diferencia del phishing clásico en la precisión y personalización de sus mensajes. Mientras que el phishing tradicional distribuye comunicaciones masivas simulando ser una entidad reconocida, el spearphishing selecciona cuidadosamente a sus víctimas y utiliza información real para aumentar la credibilidad del engaño. Los mensajes suelen solicitar datos urgentes o incluyen enlaces a sitios fraudulentos que imitan páginas auténticas.

Las consecuencias de estos ataques pueden ir desde el robo de datos personales y contraseñas hasta la materialización de fraudes económicos, espionaje o sustracción de información confidencial. El spearphishing representa un riesgo significativo para empresas de todos los sectores, especialmente aquellas con empleados que gestionan datos sensibles.

Para reducir la exposición a este tipo de estafas, es fundamental seguir recomendaciones como las del Instituto Nacional de Ciberseguridad de España (Incibe):

• Evitar hacer clic en enlaces o archivos adjuntos de correos y mensajes sospechosos.
• Mantener el software actualizado en todos los dispositivos.
• Utilizar contraseñas robustas y únicas para cada servicio.
• Limitar la cantidad de información personal y laboral que se publica en línea.
• Verificar siempre la autenticidad de las solicitudes, especialmente aquellas que requieren información confidencial o acciones urgentes.

La prevención y la concienciación resultan claves para limitar el impacto del spearphishing. Las empresas y los usuarios deben adoptar una actitud proactiva en la protección de su información, revisando periódicamente su presencia digital y aplicando buenas prácticas de ciberseguridad para evitar caer en estas sofisticadas trampas.

Italia logró frustrar una serie de ciberataques rusos dirigidos contra los Juegos Olímpicos de Invierno de Milán-Cortina. Los ataques, que también tuvieron como objetivo oficinas del Ministerio de Asuntos Exteriores —incluida la embajada italiana en Washington— y diversas sedes olímpicas, como hoteles en Cortina d’Ampezzo, fueron neutralizados antes de causar daños mayores.

Según informó el miércoles la oficina del ministro de Asuntos Exteriores, Antonio Tajani, alrededor de 120 sitios se vieron afectados, pero aseguró que los intentos de intrusión fueron “efectivamente neutralizados”.

Los incidentes se produjeron a pocas horas de la ceremonia de apertura de los Juegos, lo que llevó a reforzar aún más las operaciones de seguridad digital.

Un grupo de hackers rusos, Noname057, se atribuyó la autoría de los ataques a través de un canal de Telegram, al señalar que se trató de una respuesta al apoyo del gobierno italiano a Ucrania.

“La postura proucraniana del gobierno italiano lleva a que el apoyo a los terroristas ucranianos se castigue con nuestros misiles DDoS en sitios web”, afirmaron en el comunicado. Los ataques DDoS (denegación de servicio distribuida) buscan saturar los servidores de un sitio web, impidiendo su acceso normal.

Entre los objetivos afectados figuran varios hoteles en Cortina d’Ampezzo, una de las sedes olímpicas, donde al menos uno de los sitios web permaneció inhabilitado durante la tarde del miércoles.

En cuanto a la seguridad civil, Italia desplegó cerca de 6.000 policías y casi 2.000 militares en las zonas de los Juegos Olímpicos, cubriendo desde la ciudad hasta los Dolomitas. Entre los efectivos asignados se encuentran expertos en desactivación de explosivos, francotiradores, unidades antiterroristas y policías de esquí.

El Ministerio de Defensa también aportó 170 vehículos, así como radares, drones y aeronaves para reforzar la seguridad.

La vigilancia se concentra especialmente en Milán, donde se espera la asistencia de líderes políticos internacionales, incluido el vicepresidente estadounidense JD Vance, a la ceremonia inaugural del viernes.

El despliegue se volvió tema de debate tras conocerse la presencia de agentes de la agencia estadounidense ICE. Ante esta novedad, el ministro del Interior italiano, Matteo Piantedosi, aclaró que los agentes de ICE no patrullarán las calles de Milán y que la rama de Investigaciones de Seguridad Nacional (HSI) de ICE solo operará dentro de las misiones diplomáticas estadounidenses, sin funciones operativas ni ejecutivas.

Piantedosi recordó que la presencia de agentes extranjeros en eventos deportivos es habitual y que Italia también enviará personal a los Juegos de París 2024.

Por su parte, el embajador de Estados Unidos en Italia, Tilman J. Fertitta, explicó que los agentes del HSI tendrán una función estrictamente consultiva y de inteligencia, sin intervención en patrullaje o control policial.

Según Fertitta, en los Juegos Olímpicos los investigadores criminales del HSI se encargarán de aportar inteligencia sobre amenazas criminales transnacionales, con énfasis en ciberdelitos y riesgos para la seguridad nacional.

El director de comunicaciones del Comité Olímpico Internacional (COI), Mark Adams, prefirió no hacer comentarios sobre cuestiones de seguridad, siguiendo la política habitual de la organización. Por ahora, las autoridades italianas y los equipos de ciberseguridad continúan monitoreando la situación para garantizar el normal desarrollo de los Juegos.

En paralelo, activistas pro-palestinos preparan una manifestación en Milán este jueves, coincidiendo con la llegada de la llama olímpica, para protestar por la participación de Israel en la competencia internacional.

Además de las protestas políticas, los críticos del evento expresaron su preocupación por el impacto ambiental de la infraestructura necesaria para los Juegos. Entre los cuestionamientos figuran desde la construcción de nuevos edificios y sistemas de transporte en zonas sensibles de montaña, hasta el uso generalizado de nieve artificial, que requiere un alto consumo energético y afecta a los ecosistemas locales.

(Con información de AFP)

La firma de ciberseguridad Hackmanac difundió a través de la red social X que un grupo identificado como “HaciendaSec” estaría ofreciendo a la venta una base de datos que contendría información de 47,3 millones de ciudadanos relacionada con sus números de DNI o NIF, nombres completos, domicilios, contactos telefónicos, direcciones de correo electrónico, datos bancarios e información fiscal. La Oficina de Seguridad del Ministerio de Hacienda ha tomado conocimiento de esta amenaza e inició una investigación para confirmar su veracidad, aunque hasta el momento no existen pruebas concluyentes de que haya ocurrido un acceso no autorizado a sus sistemas.

Según consignó Europa Press tras consultar fuentes del Ministerio dirigido por María Jesús Montero, la cartera se encuentra analizando la situación y ha incrementado las medidas de control para determinar si realmente se ha visto comprometida la integridad de sus bases de datos. Las autoridades insisten en que no existen indicios claros de que el hackeo haya sucedido, pero mantienen las indagaciones con el objetivo de descartar cualquier vulneración.

De acuerdo con la información publicada por Hackmanac, la supuesta filtración afectaría a casi toda la población española, alcanzando un volumen sin precedentes tanto por la magnitud como por la sensibilidad del material: además de los datos de identidad y contactos, se incluiría información bancaria y fiscal recopilada por el propio Ministerio de Hacienda. El colectivo conocido como “HaciendaSec” sostiene haber atacado los sistemas del organismo hacendario y ha comenzado a ofrecer estos datos para su compra, lo que generó preocupaciones en el ámbito de la ciberseguridad.

Europa Press detalló que la alerta se originó cuando desde la cuenta oficial de Hackmanac en X se difundió una advertencia dirigida tanto a los medios como a la ciudadanía, señalando la posibilidad de que los datos expuestos estuvieran disponibles en la red a través de foros y canales de compraventa ilegales. El anuncio generó repercusiones inmediatas debido a la naturaleza potencialmente masiva de la filtración.

El Ministerio de Hacienda ha reiterado que, pese a la alarma desatada por la divulgación de la supuesta amenaza, no existen pruebas que confirmen la materialización del ataque informático o la extracción real de los datos. Fuentes del Departamento, citadas por Europa Press, recalcaron que los equipos técnicos especializados en seguridad digital permanecen atentos y realizan verificaciones adicionales en los sistemas bajo su control.

El incidente se produjo en un contexto de creciente preocupación por la protección de la información personal en diferentes administraciones y entidades públicas españolas. La posibilidad de que datos fiscales y bancarios se encuentren en riesgo ha motivado que tanto el propio Ministerio como organismos externos refuercen la vigilancia y evalúen posibles vulnerabilidades.

Según el reporte de Europa Press, el episodio ha encendido el debate acerca de la robustez de las infraestructuras informáticas estatales, así como sobre las capacidades de reacción ante amenazas que emplean métodos de ingeniería social y ciberataques cada vez más sofisticados. A raíz de la alerta, responsables de seguridad y expertos consultados recalcan la importancia de actualizar permanentemente los mecanismos de defensa y respuesta ante posibles intrusiones en servicios críticos.

Finalmente, tanto la investigación en curso como el monitoreo de publicaciones en la red y foros clandestinos se mantienen activos. La situación permanece bajo observación mientras el Ministerio de Hacienda trabaja para clarificar la credibilidad de la supuesta vulneración y determinar si efectivamente se ha producido el acceso ilícito a la información de millones de ciudadanos, según ha publicado Europa Press.

El Ministerio de Hacienda investiga un posible ciberataque a sus bases de datos tras una alerta difundida por la firma especializada en ciberseguridad Hackmanac que apunta a una presunta filtración masiva de información personal, bancaria y fiscal correspondiente a unos 47,3 millones de ciudadanos. Por el momento, el Departamento asegura que no existen indicios de que se haya producido una intrusión efectiva en sus sistemas, aunque los equipos técnicos continúan trabajando para verificarlo y descartar cualquier brecha de seguridad.

Fuentes del Ministerio que dirige María Jesús Montero han confirmado a Europa Press que, tras las primeras comprobaciones, no se ha detectado ningún acceso no autorizado, si bien recalcan que el análisis sigue en marcha debido a la gravedad potencial del aviso recibido. “Se está revisando para comprobarlo”, señalan desde Hacienda, que insiste en la prudencia mientras avanzan las labores de verificación.

Una alerta difundida en foros especializados

La alerta inicial partió de Hackmanac, una plataforma dedicada al seguimiento de riesgos cibernéticos y a la difusión de avisos tempranos sobre posibles ataques. A través de la red social X y de su página web, la firma advirtió de un supuesto ciberataque contra el Ministerio de Hacienda que habría puesto en riesgo datos especialmente sensibles de prácticamente toda la población española.

Según la información publicada por Hackmanac, las amenazas procederían de un actor que opera bajo el alias de ‘HaciendaSec’, quien afirma haber accedido de forma fraudulenta a una base de datos del Ministerio. Siempre según esta versión, aún no confirmada oficialmente, el supuesto atacante estaría ofreciendo a la venta una base de datos actualizada que incluiría información de 47,3 millones de personas.

Entre los datos presuntamente sustraídos figurarían números de DNI y NIF, nombres y apellidos completos, direcciones residenciales, números de teléfono, direcciones de correo electrónico, datos bancarios como códigos IBAN y diversa información financiera vinculada a obligaciones tributarias. Hackmanac señala que esta información estaría siendo ofrecida en entornos digitales frecuentados por ciberdelincuentes, donde se comercia con datos robados.

El aviso se apoya, entre otros elementos, en un mensaje publicado en el foro ‘ForumBreach’, acompañado de una supuesta muestra de los datos obtenidos como prueba de la intrusión. La cuenta desde la que se difundió ese mensaje fue creada el mes pasado y cuenta con una única publicación, un detalle que los especialistas tienen en cuenta a la hora de evaluar la credibilidad de este tipo de anuncios.

El Ministerio de Ciencia, también señalado

El posible incidente en Hacienda no es el único que ha sido señalado en las últimas horas por Hackmanac. La plataforma también ha alertado de una presunta brecha de seguridad en el Ministerio de Ciencia e Innovación, igualmente pendiente de confirmación. En este caso, el ataque habría sido atribuido a un usuario distinto, identificado con el seudónimo ‘GordonFreeman’.

Según la información difundida, el supuesto atacante habría aprovechado una vulnerabilidad conocida como referencia directa a objetos insegura (IDOR), combinada con credenciales previamente filtradas, lo que le habría permitido obtener acceso administrativo completo y extraer datos personales y académicos mediante la enumeración secuencial de DNI o NIE. Al igual que ocurre con Hacienda, las autoridades competentes se encuentran analizando la situación para determinar si la brecha se ha producido realmente.

Precedentes recientes

No es la primera vez que el Ministerio de Hacienda se ve vinculado a presuntos episodios de este tipo. En octubre de 2025, varios foros especializados detectaron la posible filtración de 238.799 archivos atribuida a la organización de ransomware Qilin. En aquella ocasión, la Agencia Tributaria negó que se hubieran visto comprometidos datos personales de los contribuyentes.

Ese grupo mantiene desde 2023 un portal en la denominada ‘dark web’ donde publica listados con información de presuntas víctimas. Entre los ataques que se le atribuyen figura una filtración masiva de datos de varios hospitales del Servicio Nacional de Salud del Reino Unido (NHS). Fuentes de Hacienda han explicado que desconocen a esta organización y sus actividades en Europa, así como cualquier relación con la alerta actual difundida por Hackmanac.

La industria del entretenimiento se prepara para un escenario en el que los fraudes, las filtraciones y los ciberataques aumentarán de la mano de la inteligencia artificial. Procesos esenciales como la venta de entradas, la creación y la distribución de contenidos ya están siendo transformados por estas tecnologías, lo que incrementa la exposición a nuevas amenazas.

Así lo ha señalado el último informe de ciberseguridad de Kaspersky, que logró identificar a la IA como un factor clave en la evolución de los riesgos para estudios, plataformas y usuarios.

De acuerdo con el informe, la creciente dependencia de sistemas basados en inteligencia artificial convierte a estas tecnologías en infraestructuras críticas para el sector.

Un fallo, abuso o ataque ya no solo tiene consecuencias técnicas, también económicas, legales y reputacionales, especialmente en un contexto de estrenos globales, transmisiones en directo y audiencias masivas.

Cuáles son los riesgos digitales causados por la IA

Fueron identificadas cinco áreas principales de vulnerabilidad asociadas a la expansión de la inteligencia artificial en la industria del entretenimiento. El documento subrayó que estos desafíos afectan a toda la cadena de valor y requieren atención urgente.

1. Venta de entradas y bots: manipulación automatizada

El uso de inteligencia artificial permite ajustar precios de entradas con mayor rapidez y precisión. Sin embargo, también ofrece nuevas herramientas a los revendedores, que pueden emplear bots para detectar eventos de alta demanda y modificar precios de reventa casi al instante.

Incluso cuando los artistas mantienen precios fijos, los mercados secundarios pueden experimentar aumentos automáticos, reduciendo el acceso legítimo del público.

1. Efectos visuales en la nube: proveedores externos bajo amenaza

El crecimiento del uso de plataformas de IA en la nube para generar efectos visuales incrementa la dependencia de proveedores externos y profesionales independientes. Esto amplía los puntos de vulnerabilidad.

Los atacantes pueden acceder a sistemas de renderizado o herramientas de terceros para obtener escenas o episodios antes del lanzamiento, sin comprometer directamente los servidores de los grandes estudios.

1. Redes de distribución: objetivo de ciberataques

Las redes de distribución de contenidos almacenan materiales valiosos como episodios inéditos, películas terminadas o transmisiones en vivo. Los atacantes emplean inteligencia artificial para analizar estas redes, localizar archivos sensibles y detectar accesos insuficientemente protegidos.

Un solo incidente puede afectar múltiples títulos o permitir la inserción de código malicioso en emisiones oficiales.

1. Videojuegos: generación de contenidos y riesgos para la privacidad

De acuerdo con el equipo de Kaspersky, los usuarios exploran formas de sortear las restricciones de las herramientas de IA para crear personajes, modificar juegos o incorporar materiales inapropiados.

Si los datos empleados para entrenar los modelos no cuentan con controles adecuados, la IA podría producir contenidos con información personal sensible, exponiendo a empresas y jugadores a nuevos riesgos.

1. Regulación y transparencia: nuevas exigencias para el sector

Las regulaciones que se están implementando obligarán a las empresas a ser más transparentes sobre los contenidos generados con IA y sobre el consentimiento y las licencias para entrenar modelos con obras protegidas por derechos de autor. Esto forzará la creación de nuevos roles y procesos internos para supervisar el uso de IA tanto en la actividad creativa como comercial.

Recomendaciones para minimizar los riesgos en ciberseguridad

Expertos en seguridad informática han sugerido que las compañías del sector realicen un inventario y mapeo detallado del uso de inteligencia artificial a lo largo de toda la cadena de valor. Esta información debe integrarse en los modelos de amenaza y evaluaciones periódicas de riesgo.

Capacitar continuamente a los empleados en ciberseguridad, reforzando los conocimientos sobre riesgos relacionados con la IA y estableciendo controles claros sobre los accesos a recursos digitales según el rol y las necesidades operativas.

También plantea la necesidad de revisar la arquitectura de las redes de distribución y desplegar sistemas para detectar anomalías en tráfico y accesos, incluso cuando se trate de proveedores tradicionales.

De acuerdo con el análisis de la compañía, estudios, plataformas y titulares de derechos deben considerar tanto los sistemas de IA como los datos que los alimentan como parte de su superficie crítica de ataque, y no solo como herramientas creativas o de optimización.

WhatsApp ha lanzado una función que centraliza medidas avanzadas de privacidad para proteger a los usuarios frente a intentos de acceso no autorizado y ciberataques sofisticados.

La herramienta, denominada 'Configuración estricta de la cuenta‘, se presenta como una respuesta a las crecientes amenazas sobre la seguridad digital, permitiendo activar múltiples restricciones de forma simultánea y rápida.

Un “confinamiento digital” para momentos críticos

La introducción de la Configuración Estricta de la Cuenta marca un cambio en la manera en que Meta aborda la protección en aplicaciones de mensajería. Este mecanismo permite a los usuarios bloquear archivos adjuntos y contenido multimedia provenientes de remitentes desconocidos, además de silenciar llamadas de números no registrados en la lista de contactos.

Según la información publicada en el blog oficial de WhatsApp, la activación de este sistema se realiza desde el menú de Ajustes, en la sección de Privacidad, bajo la pestaña Avanzado, donde basta con un solo toque para reforzar la seguridad.

Esta función ha sido diseñada pensando en perfiles vulnerables a ataques dirigidos, como periodistas y figuras públicas. Meta detalla que la herramienta actúa como una especie de “confinamiento digital” temporal, limitando funcionalidades de la propia aplicación y restringiendo interacciones que pudieran resultar riesgosas ante un potencial intento de intrusión.

De acuerdo con el comunicado, la activación y desactivación pueden realizarse cuantas veces sea necesario, adaptándose así a diferentes niveles de exposición o amenaza.

Entre las restricciones que se aplican se encuentran el bloqueo automático de archivos y multimedia de desconocidos, el silenciamiento de llamadas de números ajenos a la red de confianza y la desactivación de previsualizaciones de enlaces.

Asimismo, se activa la verificación en dos pasos y las notificaciones de seguridad que alertan sobre cambios en los códigos de los contactos. Esta centralización de mecanismos permite a los usuarios responder rápidamente ante situaciones de riesgo, sin necesidad de modificar cada ajuste de privacidad por separado.

Más privacidad, menos exposición

La actualización también ajusta los parámetros de visibilidad de la cuenta. Solo los contactos autorizados pueden ver la última hora de conexión, la foto de perfil, la información personal y los enlaces compartidos en el perfil. La opción para ser añadido a grupos queda restringida exclusivamente a contactos seleccionados, lo que reduce la probabilidad de ser incorporado en conversaciones por desconocidos.

Meta informó que la Configuración Estricta de la Cuenta solo puede activarse desde el dispositivo principal asociado a la cuenta, excluyendo plataformas como WhatsApp Web o la versión para Windows. Esta limitación busca mantener el control de seguridad en el entorno más seguro posible.

El despliegue de la función es gradual y estará disponible para todos los usuarios en las próximas semanas. La compañía ha reiterado que la iniciativa responde al aumento de intentos de suplantación, accesos indebidos y campañas dirigidas a obtener información sensible de cuentas con riesgo especial.

El objetivo es proporcionar una herramienta eficaz que refuerce la privacidad con pocos pasos y evite filtraciones o secuestros de datos mediante defensas automatizadas.

La nueva función se suma al cifrado de extremo a extremo, que ya constituye un estándar en WhatsApp, y representa una evolución en la estrategia de seguridad de la plataforma. Meta sostiene que la actualización facilita la protección dinámica del entorno digital, permitiendo a los usuarios mantener el control sobre su privacidad y adaptarse a las amenazas cambiantes del panorama digital actual.

Un ataque informático ha paralizado este lunes el funcionamiento interno del Ayuntamiento de Sanxenxo, en la provincia de Pontevedra, después de que un programa malicioso lograse infiltrarse en el servidor municipal y bloquear el acceso a miles de documentos administrativos. El propio gobierno local ha confirmado los hechos a través de un comunicado oficial en el que detalla el alcance del incidente y las medidas adoptadas para contenerlo.

Según la información facilitada por el consistorio, fue a primera hora de la mañana cuando los servicios municipales detectaron una incidencia grave en los sistemas informáticos de la Casa Consistorial. Tras las primeras comprobaciones técnicas, se constató la entrada en la red municipal de un ‘malware’, un tipo de software diseñado para actuar de forma furtiva con el objetivo de dañar o inutilizar los sistemas en los que se introduce.

La acción del virus provocó una encriptación masiva de los archivos que maneja la administración local en su gestión diaria. Como consecuencia directa, los trabajadores del Ayuntamiento se vieron imposibilitados para acceder a una gran cantidad de documentos, lo que paralizó durante horas la actividad administrativa ordinaria. La afectación alcanzó a expedientes, archivos internos y documentación necesaria para la tramitación de procedimientos municipales.

La exigencia de pago

Una vez ejecutado el bloqueo de los archivos, el ataque dio paso a una extorsión digital. Los responsables del malware exigieron al Ayuntamiento el pago de 5.000 dólares en bitcoins como condición para facilitar la clave que permitiría desencriptar los documentos y recuperar el acceso a la información secuestrada. Se trata de un patrón habitual en este tipo de ataques, conocidos como ‘ransomware’, que buscan obtener un beneficio económico directo mediante el chantaje a instituciones o empresas.

El gobierno municipal decidió no acceder a la exigencia económica. En lugar de efectuar el pago solicitado, el Concello optó por activar los protocolos de seguridad y poner los hechos en conocimiento de las fuerzas de seguridad. En este sentido, se presentó la correspondiente denuncia ante la Guardia Civil, que ya ha iniciado las diligencias oportunas para investigar el origen y las características del ataque.

Desde el Ayuntamiento se subraya que la negativa a pagar responde tanto a criterios de seguridad como a la voluntad de no fomentar este tipo de delitos, que en los últimos años han afectado de forma creciente a administraciones públicas de distintos tamaños en todo el país.

Recuperación a partir de copias de seguridad

Para revertir los efectos del malware y restablecer el funcionamiento normal de los sistemas, los servicios técnicos y de seguridad informática del Concello recurrieron a las copias de seguridad de las que dispone la administración local. Según ha explicado el gobierno municipal, el sistema informático del Ayuntamiento realiza una réplica diaria de los datos, lo que ha permitido contar con un respaldo actualizado de la información afectada.

Gracias a este mecanismo, se prevé que la recuperación de los archivos y la normalización de los servicios internos pueda completarse en las próximas horas. Las tareas de restauración se centran en la comprobación de la integridad de los datos y en garantizar que el ‘malware’ ha sido completamente eliminado antes de volver a poner en funcionamiento los equipos afectados.

Mientras se desarrollaban estos trabajos, la actividad administrativa se mantuvo parcialmente detenida, a la espera de que los sistemas recuperen la operatividad necesaria para el acceso seguro a la documentación municipal.

El ataque informático no tuvo impacto en todas las áreas vinculadas al Ayuntamiento. Según ha precisado el propio Concello, las empresas municipales Nauta y Turismo de Sanxenxo no se vieron afectadas por el virus, ya que operan con una red informática independiente de la del Ayuntamiento. Esta separación de sistemas permitió que ambas entidades continuasen prestando sus servicios con normalidad durante la jornada.

Tampoco resultó afectada la sede electrónica municipal, que permaneció operativa a lo largo de la mañana. De este modo, los trámites electrónicos accesibles para la ciudadanía pudieron seguir realizándose sin incidencias, pese a la paralización interna de los equipos de la Casa Consistorial.

El gobierno local ha recalcado que el incidente se circunscribe al ámbito interno de la red municipal y que, en ningún caso, se ha confirmado la filtración de datos personales o información sensible de los vecinos. Las investigaciones en curso deberán determinar el alcance exacto del ataque y si los autores lograron acceder a algún contenido más allá del bloqueo de los archivos.

Óscar Puente, ministro de Transportes y Movilidad Sostenible, destacó hoy que en los últimos cinco días Rodalies atravesó una de las semanas más difíciles tras el accidente en Gelida que provocó la muerte de un maquinista. Ahora, después de nuevos incidentes ocurridos durante la madrugada en la Estación de Francia, las autoridades investigan diferentes posibles causas, incluyendo una acción informática, aunque todavía no disponen de datos concluyentes. La noticia de la investigación se conoció durante una entrevista con TVE, reproducida por Europa Press, donde el titular de Transportes señaló que se manejan varias hipótesis ante las dos interrupciones prácticamente consecutivas en la red ferroviaria catalana.

Según explicó Puente durante su intervención en el medio estatal, no se descarta la posibilidad de que los fallos registrados respondan a un ciberataque, si bien reiteró la falta de información suficiente para afirmar o descartar esta hipótesis con certeza. “Es una de las hipótesis de ciberataque, pero en fin, yo tampoco quiero aquí decir nada porque no quiero alimentar nada que no sabemos lo que ha sucedido”, expresó el ministro, tal como recogió Europa Press.

Durante la entrevista, el titular de Transportes explicó que todavía analizan las causas de las interrupciones. Las incidencias afectaron en dos ocasiones el servicio de Rodalies la pasada madrugada en la Estación de Francia, una de las principales terminales ferroviarias de Cataluña, según reportó Europa Press. Ante la falta de información definitiva, Puente insistió en la importancia de no lanzar conclusiones precipitadas y mantener la prudencia mientras continúan las pesquisas técnicas en busca de detalles concretos sobre lo ocurrido.

El ministro remarcó que las averías, catalogadas como “caídas” del sistema, tuvieron lugar con muy poco margen de tiempo entre una y otra, lo que ha forzado a los equipos técnicos y de seguridad ferroviaria a analizar diferentes escenarios, entre ellos el de una posible acción maliciosa sobre los sistemas informáticos que controlan el tráfico de trenes. Europa Press detalló que el funcionario enfatizó la normalidad previa al suceso, lo que refuerza la incógnita del origen de las fallas.

Al margen del episodio reciente, el responsable de la cartera de Transportes abordó el contexto en el que se produjeron las incidencias, ya que Rodalies venía de soportar varias jornadas con paros y limitaciones, con especial gravedad tras el choque en Gelida donde se registró una víctima mortal y la circulación ferroviaria sufrió trastornos significativos. Según consignó Europa Press, Puente recalcó que tras estos “terribles cinco días en Rodalies”, la prioridad pasa por una restauración plena del servicio y la vuelta a la normalidad para los miles de usuarios cotidianos.

El Ministerio de Transportes y Movilidad Sostenible colabora con los equipos técnicos y organismos implicados para determinar si las incidencias responden a un fallo técnico fortuito, a un problema recurrente de la infraestructura o si existe efectivamente alguna intencionalidad digital detrás de las dos interrupciones. Puente insistió, según Europa Press, en la necesidad de esperar a los informes preliminares antes de alimentar cualquier hipótesis y centrar los esfuerzos en garantizar la regularidad y seguridad de las operaciones ferroviarias.

Europa Press informó que el ministro adoptó una postura cautelosa, subrayando que, aunque el entorno tecnológico de las infraestructuras públicas es un objetivo habitual de intentos de ataque, la falta de información concreta en este caso concreto obliga a mantener todas las opciones abiertas y avanzar en la investigación antes de hacer declaraciones definitivas. Además, Puente remarcó la relevancia de mantener operativo el servicio de Rodalies, dada la importancia que tiene para los desplazamientos diarios en la región catalana.

En sus declaraciones, el ministro subrayó que solo una vez completados los análisis técnicos y conclusiones de los equipos responsables se podrá transmitir información más precisa sobre el origen de las caídas del sistema. Europa Press recogió que, hasta entonces, la administración optará por comunicar solo los hechos verificados, evitando alimentar especulaciones sobre posibles ataques o motivos detrás de las interrupciones en la Estación de Francia.

Mientras tanto, el tráfico ferroviario en la red de Rodalies restaura progresivamente la frecuencia y normalidad en los trayectos habituales, con el objetivo de minimizar el impacto sufrido por las incidencias. El ministro concluyó que, tras los incidentes recientes y el accidente en Gelida, la atención del Ministerio de Transportes sigue puesta en recuperar la plena operatividad de la línea y proteger a los usuarios frente a futuros imprevistos.

Apagar el celular periódicamente se posicionó como una medida clave de ciberseguridad cuando el primer ministro de Australia, Anthony Albanese, impulsó públicamente este hábito como defensa frente a los ciberataques.

La propuesta coincidió con las pautas previas de la Agencia Nacional de Seguridad de Estados Unidos (NSA), instalando el debate sobre la frecuencia y efectividad real de esta práctica.

Tanto la NSA como el gobierno australiano afirman que reiniciar o apagar los dispositivos interrumpe la actividad de programas maliciosos y dificulta el acceso no autorizado a datos privados. La discusión actual se centra en la frecuencia adecuada y en cómo integrar esta medida en la vida cotidiana sin afectar la rutina del usuario.

Qué aconsejan las autoridades: una vez al día o una vez a la semana

Las sugerencias varían. Mientras el primer ministro australiano sugiere un apagado diario, la NSA sugiere hacerlo al menos una vez por semana. Ambas opciones buscan el mismo objetivo: impedir que los software dañinos mantengan una conexión persistente que permita el acceso remoto al dispositivo.

Los expertos debaten la frecuencia óptima. Algunos sostienen que la regularidad diaria fortalece la protección, aunque realizar el reinicio semanal aporta beneficios importantes. En ambos casos, la interrupción del funcionamiento continuo de los dispositivos reduce las oportunidades para los atacantes.

Por qué se sugiere apagar el celular periódicamente

La sugerencia de apagar el celular durante 5 minutos cada día fue presentada por el primer ministro de Australia, quien alentó a la población a adoptar esta acción como parte de sus hábitos diarios.

Según Albanese, solo es necesario realizarla durante actividades cotidianas, como cepillarse los dientes, para que el beneficio sea efectivo.

Apagar o reiniciar un teléfono ayuda a interrumpir la persistencia de programas maliciosos, incluidos aquellos que operan en segundo plano sin que el usuario lo perciba. Al cortar la sesión activa, se dificulta la continuidad de amenazas como spyware o ataques que pueden operar sin intervención del usuario.

Cuánto tiempo debe durar apagado el celular para reducir los ciberataques

El lapso de 5 minutos se estableció para asegurar que todos los procesos en segundo plano se detengan completamente. Este periodo resulta suficiente para liberar la memoria del dispositivo y cerrar la actividad de software malicioso que depende de sesiones activas.

Durante esos minutos, el sistema operativo y las aplicaciones se reinician sin cargas residuales, impidiendo que amenazas ocultas sobrevivan al apagado. Al tratarse de una acción sencilla y breve, es fácil incorporarla a la rutina diaria sin generar grandes molestias.

Hasta qué punto protege esta medida frente a ciberataques complejos

Aunque apagar el teléfono reduce las ventanas de oportunidad para los atacantes, no garantiza una protección absoluta ante amenazas sofisticadas que pueden persistir tras un reinicio si logran modificar elementos profundos del sistema.

Sin embargo, este hábito dificulta la labor de los ciberdelincuentes y los obliga a emplear métodos más complejos para mantener el acceso a los dispositivos.

Por ello, las autoridades lo consideran una medida preventiva sencilla y eficaz, que debe integrarse junto a otras prácticas de seguridad para formar una defensa integral frente a los riesgos digitales.

Qué otras pautas acompañan esta medida de ciberseguridad

Apagar el teléfono periódicamente debe complementarse con otras prácticas de seguridad digital. Entre ellas se encuentra el uso de contraseñas robustas, que cuenten con más de 12 caracteres, la activación de la autenticación en dos pasos y la descarga de aplicaciones únicamente desde tiendas oficiales.

Asimismo, mantener el sistema operativo del teléfono actualizado, evitar conectarse a redes WiFi públicas desconocidas y no compartir información sensible a través de vías no oficiales o con personas no identificadas, son medidas adicionales que refuerzan la protección ante posibles ciberataques.

Un fallo detectado en un popular complemento de WordPress ha dejado a más de 50.000 sitios web expuestos a la posibilidad de ser controlados por atacantes.

La vulnerabilidad afecta al plugin Advanced Custom Fields: Extended (ACF Extended), utilizado principalmente por desarrolladores y administradores de páginas que buscan ampliar las capacidades de personalización de sus sitios.

El fallo permite que personas no autenticadas obtengan permisos de administrador y, en consecuencia, puedan tomar el control total de los sitios afectados.

Detalles de la vulnerabilidad crítica

La brecha de seguridad, identificada como CVE-2025-14533, fue descubierta por el investigador de seguridad Andrea Bocchetti y reportada a la firma de ciberseguridad Wordfence a mediados de diciembre de 2025. El plugin ACF Extended está presente en unos 100.000 sitios web activos.

El riesgo se centra en las versiones 0.9.2.1 y anteriores del complemento, en las cuales no se aplican correctamente las restricciones de roles durante la creación o actualización de usuarios mediante formularios personalizados.

La vulnerabilidad específica reside en la acción de formulario “Insert User / Update User” del plugin. Wordfence detalla: “En la versión vulnerable, no existen restricciones para los campos del formulario, por lo que el rol del usuario puede establecerse de forma arbitraria, incluso como ‘administrador’, sin importar la configuración de los campos, siempre que exista un campo de rol en el formulario”.

Cualquier usuario externo, sin autenticación previa, puede autoconcederse privilegios de administrador y obtener control total sobre el sitio.

Aunque la gravedad del fallo es alta —con una puntuación de 9,8 sobre 10 según los criterios de ciberseguridad—, el alcance de la explotación está limitado a aquellos sitios que utilizan formularios personalizados para crear o actualizar usuarios y que incluyen un campo de rol asignado. Los expertos advierten que este tipo de vulnerabilidad de escalada de privilegios podría derivar en la completa toma de control de los portales afectados.

Actualizaciones urgentes y recomendaciones

El error fue subsanado por el desarrollador del plugin apenas cuatro días después de ser informado, mediante el lanzamiento de la versión 0.9.2.2 de ACF Extended. Sin embargo, los datos de descargas oficiales de wordpress.org muestran que unas 50.000 instalaciones ya han sido actualizadas, lo que deja a una cifra similar de sitios aún expuestos al ataque.

Los administradores de sitios web que utilizan WordPress y especialmente el complemento ACF Extended deben comprobar de inmediato la versión instalada y, de ser necesario, aplicar la actualización correspondiente. Los expertos recomiendan evitar el uso de formularios personalizados con campos de rol configurados mientras persista el riesgo, y revisar los permisos de usuario asignados.

La consultora de seguridad Wordfence remarcó la importancia de mantener los complementos de WordPress actualizados, ya que vulnerabilidades como CVE-2025-14533 pueden permitir a atacantes remotos tomar el control de los portales afectados. El 50 % de los usuarios ya corrigió el fallo, pero otros tantos permanecen vulnerables, lo que representa un riesgo persistente para miles de páginas en todo el mundo.

Prácticas que debes evitar en internet

Esta es una serie de recomendaciones de hackers profesionales orientadas a reducir los riesgos al navegar por internet:

• Reaccionar sin pensar ante mensajes urgentes o emocionales: Los ciberdelincuentes suelen apelar a la emoción o la urgencia para que los usuarios actúen impulsivamente. Antes de responder a mensajes sospechosos, se recomienda verificar su autenticidad.
• Navegar sin protección antivirus: Mantener un antivirus actualizado es clave para bloquear software malicioso y prevenir infecciones.
• Abrir enlaces o archivos de correos electrónicos sospechosos: Hacer clic sin precaución en enlaces o archivos adjuntos puede facilitar el robo de datos. Es mejor ingresar manualmente a los sitios oficiales o consultar fuentes confiables.
• Repetir contraseñas o usar combinaciones predecibles: Utilizar la misma clave en varios servicios multiplica el riesgo de accesos no autorizados. Se aconseja usar contraseñas fuertes y diferentes para cada cuenta apoyándose en gestores de contraseñas.
• Compartir información personal en formularios o respuestas online: Proporcionar datos sensibles puede facilitar el acceso a cuentas personales. Es preferible omitir detalles privados o usar respuestas ficticias en preguntas de seguridad.
• Acceder a cuentas importantes desde redes Wi-Fi públicas: Estas conexiones pueden facilitar la interceptación de información sensible. Se recomienda evitarlas para operaciones delicadas.
• Instalar aplicaciones sin revisar los permisos solicitados: Algunas apps piden permisos excesivos que podrían comprometer la privacidad y seguridad del usuario. Solo se deben instalar aquellas que soliciten permisos acordes a su función.