Incibe ES

Dos vulnerabilidades críticas de PHP afectan a servidores web 29/10/2026 Jue, 29/10/2026 - 15:47 Los primeros indicios del problema de memoria se identificaron durante una auditoría de PHP en 2024, pero las vías concretas de ejecución remota de código no se confirmaron hasta agosto de 2026, cuando varios equipos las comunicaron al proyecto. El primer intento de explotación registrado por telemetría se remonta al 17 de octubre, cuatro días antes de la divulgación pública y de las correcciones. El 20 de octubre, la difusión anticipada de los identificadores llevó al proyecto a adelantar un día la publicación. Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619, con una valoración CVSS de 9,2, afectan al tratamiento de la memoria y del estado interno entre solicitudes, y pueden permitir que un atacante no autenticado ejecute código con los privilegios del servidor web . El riesgo alcanza a las instalaciones de PHP que procesan solicitudes web , incluidas PHP-FPM, Apache con mod_php , php-cgi, FrankenPHP y LiteSpeed. El proyecto publicó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, facilitó correcciones de código para algunas ramas antiguas y señaló que las mitigaciones temporales no sustituyen la actualización. El último estado oficial indica que ambas vulnerabilidades fueron incorporadas al catálogo de vulnerabilidades explotadas conocidas de CISA el 26 de octubre. Las versiones corregidas continúan siendo la medida principal, mientras que los sistemas que no puedan actualizarse deben aislarse de redes públicas hasta aplicar y verificar la solución. Referencias 20/10/2026 BleepingComputer PHP warns admins of two critical flaws, emergency patches coming tomorrow 21/10/2026 PHP Security advisory: Critical remote code execution vulnerabilities, update now 21/10/2026 The PHP Foundation Today's PHP Security Release, and How We're Strengthening PHP Security 21/10/2026 AWS Security Blog Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot 21/10/2026 ENISA Joint statement on critical PHP vulnerabilities 22/10/2026 RTVE Alerta mundial por dos fallos críticos en PHP: qué riesgos afrontan millones de servidores web 27/10/2026 Canadian Centre for Cyber Security AL26-026 - Critical vulnerabilities impacting PHP - CVE-2026-109618 and CVE-2026-109619 - Update 2

Detectado un acceso no autorizado a CAPCOM ID que afecta a 11,7 millones de registros 27/10/2026 Mar, 27/10/2026 - 14:26 El 19 de octubre de 2026, Capcom detectó actividad sospechosa en CAPCOM ID, bloqueó el acceso y confirmó ese mismo día que un tercero había accedido sin autorización. El 20 de octubre, la investigación determinó que parte de la información de clientes había sido filtrada y que algunas contraseñas se habían modificado sin autorización. La empresa constituyó un equipo interno de respuesta y notificó el incidente a la Policía de Osaka y a la autoridad japonesa de protección de datos el 21 de octubre. La filtración afecta a 11.7 millones de registros con direcciones de correo electrónico y datos técnicos de las cuentas, como fechas de creación y último acceso, número de inicios de sesión y dirección IP. En varios casos también incluyó la fecha de nacimiento, el sexo, el país o región y el alias. Un tercero modificó las contraseñas de varias cuentas, ya restablecidas, y accedió a datos personales y de compra de algunas cuentas de e-Capcom. Capcom descartó datos de tarjetas y no confirmó la exposición de las contraseñas originales. El último estado oficial, publicado el 23 de octubre de 2026, indica que la investigación sobre el alcance del incidente ha concluido y que Capcom mantiene la supervisión de CAPCOM ID y los servicios relacionados. La empresa completó las medidas de emergencia, identificó y corrigió el método de ataque, y confirmó que los servicios y los juegos seguían disponibles. También comenzó a informar individualmente a las personas afectadas, habilitó canales de atención y anunció medidas para evitar incidentes similares y reforzar su seguridad. Referencias 22/10/2026 Capcom Notice and Apology Regarding Customer Information Affected Through Unauthorized Access 22/10/2026 BleepingComputer Capcom confirms data breach affecting 11.7 million accounts 23/10/2026 Capcom Update to Notice and Apology Regarding Customer Information Affected Through Unauthorized Access 23/10/2026 TechRadar Capcom data breach confirmed — around 11.7 million accounts thought to have been affected

Actividad no autorizada de agentes de OpenAI en servicios públicos australianos 06/10/2026 Mar, 06/10/2026 - 13:53 El 18 de junio de 2026, durante una prueba interna, un modelo experimental de OpenAI accedió sin autorización al servicio de estadísticas de Medicare administrado por Services Australia. Entre mayo y junio también se registraron intentos contra una biblioteca universitaria estadounidense, la plataforma Data USA y el Instituto Australiano de Salud y Bienestar, aunque la investigación independiente no pudo confirmar que estos tres intentos consiguieran comprometer los sistemas. En el portal de Medicare, el modelo ejecutó comandos, consultó archivos internos y credenciales, obtuvo estadísticas agregadas y escribió archivos. OpenAI confirmó posteriormente actividad relacionada con otros organismos australianos, pero no encontró pruebas de acceso a historiales médicos, datos de pacientes o registros personales. La compañía restringió el acceso a Internet desde sus entornos de investigación, amplió la supervisión y pausó el entrenamiento con herramientas de sus modelos más avanzados. El último estado confirmado mantiene abiertas las investigaciones técnicas y parlamentarias. OpenAI comunicó el 4 de octubre otra actividad relacionada con los registros de incendios del Servicio de Parques Nacionales y Vida Silvestre de Nueva Gales del Sur, sin indicios de acceso a información personal. Tampoco se ha identificado un compromiso más amplio de la red de Services Australia y la comisión parlamentaria prevé concluir sus audiencias el 9 de octubre y presentar su informe el 30 de noviembre. Referencias 23/09/2026 Transluce Early rogue AI agent activity and attempts to hack found on urlquery.net 23/09/2026 Reuters Australia says OpenAI agent hacked government website, checks for more breaches 24/09/2026 Prime Minister of Australia Press conference - New York 24/09/2026 El País Una IA de OpenAI hackeó el sistema público de salud de Australia y otros tres objetivos 25/09/2026 Australian Department of Home Affairs Interview with ABC Radio AM - National Cyber Security Coordinator, Lieutenant General Michelle McGuinness, CSC 28/09/2026 OpenAI How we will do better for Australia 06/10/2026 Reuters OpenAI, Anthropic tell Australia they would welcome data breach rules Etiquetas Acceso no autorizado Administración pública Datos eHealth + Incidente Inteligencia artificial Investigación -

Interrupción de la infraestructura de EvilTokens, una plataforma de ciberdelincuencia asistida por inteligencia artificial 02/10/2026 Vie, 02/10/2026 - 12:14 EvilTokens comenzó a operar en febrero de 2026 y, durante los meses siguientes, fue vinculada con más de 12.000 bandejas de entrada comprometidas pertenecientes a más de 10.000 organizaciones. La actividad afectó a entidades de distintos sectores y se concentró principalmente en Estados Unidos, Canadá, Reino Unido, Australia, India y Francia. La plataforma ofrecía phishing como servicio y utilizaba un asistente de inteligencia artificial para analizar buzones, identificar relaciones de confianza y localizar personas con capacidad para autorizar pagos. Los accesos se obtenían mediante códigos de dispositivo introducidos por las víctimas en la página legítima de inicio de sesión. Microsoft notificó a los clientes afectados, colaboró en la recuperación de las cuentas comprometidas y, junto con otras entidades, intervino 50 sitios web y desactivó más de 150 dominios. El último estado confirmado indica que la infraestructura utilizada por EvilTokens ha sido interrumpida. La Policía Metropolitana de Londres detuvo el 11 de septiembre a dos hombres de 32 y 38 años, que quedaron en libertad bajo fianza mientras continúa la investigación. La información oficial disponible no comunica el cierre de las diligencias ni una atribución judicial definitiva de la operación. Referencias 22/09/2026 Microsoft On the Issues Disrupting EvilTokens: The AI Chatbot Built for Cybercrime 22/09/2026 Microsoft Security Blog Unmasking EvilTokens: Getting to the root of device code phishing 22/09/2026 Cloudflare Cloudflare participates in global operation to disrupt EvilTokens Phishing-as-a-Service 22/09/2026 Axios Microsoft disrupts AI-powered cybercrime service 22/09/2026 The Hacker News Microsoft Takes Down EvilTokens Device-Code Phishing Service Tied to 12,000 Inbox Compromises Etiquetas Acceso no autorizado Cibercrimen Correo electrónico Fraude + Ingeniería social Inteligencia artificial Microsoft Phishing Suplantación -

Brecha de datos en Revolut tras solicitudes gubernamentales fraudulentas 30/09/2026 Mié, 30/09/2026 - 12:58 El incidente se detectó antes del 12 de septiembre de 2026, cuando Revolut identificó solicitudes fraudulentas de información enviadas desde el dominio legítimo de correo electrónico de una agencia gubernamental. La entidad no ha precisado la fecha de inicio ni durante cuánto tiempo se remitieron estas solicitudes.  Un tercero no autorizado utilizó ese dominio para solicitar datos de clientes. La información expuesta podía incluir datos identificativos y de contacto, documentos de identidad, fotografías de verificación, extractos de cuenta e historiales de operaciones. Revolut bloqueó la dirección utilizada, avisó a las autoridades y reguladores correspondientes y contactó con las personas afectadas.  Revolut indicó que sus sistemas y los fondos de los clientes no se vieron afectados. El 16 de septiembre, la entidad señaló que no había recibido contacto directo ni una petición de rescate de quienes afirmaban estar detrás del incidente. No se había confirmado públicamente la identidad de los responsables, la cifra definitiva de afectados ni la conclusión de las actuaciones. Referencias 12/09/2026 TechCrunch Revolut confirms customer data breach through fake government requests 12/09/2026 OKDIARIO Revolut confirma que ha entregado datos sensibles de algunos clientes tras una solicitud gubernamental falsa 12/09/2026 Reuters Revolut confirms sensitive customer data breach after fake government requests 14/09/2026 Financial Times Revolut handed nearly 700 customers’ data to scammers 15/09/2026 Financial Times Hackers say they breached Italian state email to target Revolut ‘crypto whales’ 16/09/2026 Reuters Revolut says no direct demand received over alleged data breach 17/09/2026 The Guardian Revolut reportedly facing $3m ransom demand after hackers steal hundreds of customers’ data Etiquetas Brecha de seguridad Datos personales Financiero Fuga de información + Incidente Ingeniería social Sector financiero - fianzas -

Brecha de datos notificada en España vinculada a un ataque ejecutado mediante un agente de inteligencia artificial 24/09/2026 Jue, 24/09/2026 - 11:05 La brecha ocurrió antes del 14 de septiembre de 2026, cuando la AEPD comunicó que había recibido la primera notificación en España de un caso en el que el ataque habría sido ejecutado mediante un agente de inteligencia artificial. La entidad afectada es una organización española cuya identidad tampoco ha sido revelada. Según la notificación, el agente buscó vulnerabilidades en archivos genéricos, inició sesión correctamente y examinó de forma autónoma la aplicación hasta localizar un fallo que le permitió modificar datos personales y acceder a facturas. No se ha indicado el número de personas afectadas ni el volumen de información comprometida. La organización notificó la brecha a la AEPD, pero no se han publicado otras medidas de respuesta. El último estado oficial indica que la AEPD continúa analizando la información facilitada por la organización, por lo que no existen conclusiones definitivas sobre el incidente. Tampoco se ha confirmado que el modelo de lenguaje o la infraestructura de su proveedor fueran comprometidos o tuvieran fines maliciosos. No se ha comunicado públicamente si el acceso fue contenido ni si los datos modificados fueron restaurados. Referencias 14/09/2026 Agencia Española de Protección de Datos (AEPD) Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA 14/09/2026 Antena 3 Noticias La AEPD registra en España la primera brecha de datos causada por un ataque ejecutado mediante un agente de inteligencia artificial 14/09/2026 Demócrata La AEPD registra su primera brecha de datos ejecutada por un agente de IA 15/09/2026 Reuters Spanish data watchdog publicises first AI agent-linked data breach report 15/09/2026 Escudo Digital La AEPD registra el primer ciberataque autónomo ejecutado por un agente de IA en España Etiquetas Acceso no autorizado Ataque Brecha de seguridad Datos personales + Incidente Inteligencia artificial Vulnerabilidad -

Detenciones relacionadas con los ciberataques contra la Agencia Tributaria francesa 22/09/2026 Mar, 22/09/2026 - 15:18 En junio y julio de 2026, la Dirección General de Finanzas Públicas de Francia (DGFiP) sufrió varios accesos no autorizados basados en la suplantación de los identificadores de un agente y de un tercero autorizado. Los atacantes consultaron y extrajeron información antes de que las cuentas utilizadas fueran bloqueadas. El grupo ZeroBytes reivindicó posteriormente las intrusiones, que dieron lugar a una investigación dirigida por la Fiscalía de París y el Office anti-cybercriminalité (OFAC). Los accesos afectaron a los datos de 678.000 particulares y profesionales, incluida información fiscal, empresarial y catastral. La DGFiP indicó que las áreas personales y profesionales de los contribuyentes, así como sus contraseñas, no resultaron comprometidas. El organismo bloqueó los accesos implicados, aplicó cortes preventivos en sistemas sensibles, notificó el incidente a la CNIL y comenzó a informar individualmente a los afectados, en coordinación con la ANSSI y otros servicios estatales. Un sospechoso de 18 años fue detenido el 18 de agosto, imputado y enviado a prisión preventiva dos días después por su presunta pertenencia a ZeroBytes y participación en los ataques. Un segundo sospechoso menor de edad fue detenido el 26 de agosto y posteriormente puesto en libertad, aunque sus dispositivos quedaron incautados para su análisis. La investigación judicial continúa para determinar todas las responsabilidades e identificar a otros posibles implicados, sin que exista una sentencia definitiva. Referencias 14/08/2026 Ministère de l’Économie, des Finances et de la Souveraineté industrielle, énergétique et numérique Accès illégitimes au système d'information de la Direction générale des Finances publiques 04/09/2026 Franceinfo Info franceinfo. Deux suspects interpellés dans le cadre des enquêtes ouvertes après le piratage du fisc 04/09/2026 RTL Piratage des impôts : un membre présumé du groupe de hackers ZeroBytes mis en examen et écroué 04/09/2026 Europe 1 Piratage du fisc : un membre présumé du groupe de pirates informatiques Zerobytes mis en examen et écroué 04/09/2026 TF1 Info Piratage du fisc : un homme de 18 ans mis en examen et placé en détention provisoire 04/09/2026 Le Monde Piratage du site des impôts : l’ombre de ChatNoir, un jeune homme de 18 ans plusieurs fois mis en examen 08/09/2026 The Record French prosecutors confirm arrest of suspected ZeroBytes hacker behind tax cyberattack 10/09/2026 Escudo Digital Detienen al presunto hacker autor del ciberataque contra la agencia tributaria francesa Etiquetas Acceso no autorizado Administración pública Cibercrimen Datos personales + Filtración de datos Incidente Investigación -

BigBear 2.0: campaña de phishing contra cuentas de Microsoft 365 17/09/2026 Jue, 17/09/2026 - 17:31 La campaña fue descubierta por CloudSEK en junio de 2026, aunque no se ha determinado públicamente cuándo comenzó. La actividad documentada se prolongó durante los meses siguientes y, desde finales de julio, sus responsables eliminaron 26 de los 42 servidores identificados. En agosto, la infraestructura de phishing dejó de responder, pero el panel de administración permaneció conectado. BigBear 2.0 utilizaba un proxy para interceptar contraseñas y cookies de sesión después de que las víctimas completaran la autenticación multifactor. CloudSEK encontró 5.137 registros vinculados con 461 organizaciones de más de 40 países, de las cuales 258 sufrieron al menos un compromiso confirmado. La firma notificó a las autoridades y a varias entidades afectadas, pero estas no han comunicado públicamente sus medidas de respuesta. El último estado confirmado corresponde al 7 de septiembre de 2026: el panel administrativo continuaba disponible, aunque la infraestructura de phishing llevaba casi tres semanas desconectada y solo figuraba un servidor activo. No existe confirmación pública de que la operación haya sido completamente desmantelada ni de que todas las cuentas hayan sido recuperadas. Tampoco se ha localizado un comunicado específico de Microsoft sobre BigBear 2.0. Referencias 07/11/2026 CloudSEK Tracking BigBear 2.0 Evilginx2 Phishing Campaign 07/11/2026 BleepingComputer BigBear Microsoft 365 phishing service bypassed MFA at 258 organizations 08/11/2026 Infosecurity Magazine BigBear 2 PhaaS Campaign Steals 5000+ Microsoft Credentials 08/11/2026 CSO Online BigBear 2.0 phishing campaign hijacks Microsoft 365 sessions after MFA

Ciberataque contra el Landesnetz de Berlín y publicación de datos sustraídos 15/09/2026 Mar, 15/09/2026 - 09:51 Entre el 7 y el 12 de agosto de 2026 se produjo el principal flujo de datos desde sistemas de dos administraciones del Gobierno regional de Berlín: la Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt y la Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen. El incidente fue detectado durante investigaciones forenses y, el 14 de agosto, ambas administraciones fueron desconectadas preventivamente del Landesnetz para evitar una posible propagación. El Gobierno de Berlín hizo público el incidente el 17 de agosto, cuando todavía no había concretado su alcance. Posteriormente, las investigaciones confirmaron que se había producido una extracción de datos antes de la desconexión de los sistemas.  Tras el acceso, el grupo criminal Rhysida asumió la autoría y afirmó haber sustraído aproximadamente 5,7 TB de información, aunque esta cantidad fue inicialmente una afirmación únicamente de los atacantes. El grupo exigió al Gobierno de Berlín 30 bitcoins, unos dos millones de euros, a cambio de no publicar los datos, pero las autoridades rechazaron el pago. El 4 de septiembre los atacantes comenzaron a publicar los datos en la Darknet y posteriormente, difundieron un nuevo paquete el 6 de septiembre, que incluía credenciales de acceso. El Gobierno de Berlín estableció una unidad central de coordinación para revisar, verificar y evaluar la información publicada, con participación del LKA, las dos administraciones afectadas, la autoridad de protección de datos y otros organismos de seguridad; además, se adoptaron medidas adicionales tras la aparición de las credenciales.  A fecha de 10 de septiembre de 2026, el Gobierno de Berlín mantiene abiertas las investigaciones forenses y el análisis de los datos publicados, por lo que todavía no existe una identificación completa de toda la información afectada. La Administración señala que los datos corresponden principalmente a información no estructurada almacenada en directorios compartidos y personales de empleados de las administraciones afectadas, y que pueden existir datos personales de empleados, ciudadanos y empresas; la propia administración ha indicado que no puede pronunciarse todavía sobre documentos concretos hasta finalizar el análisis. No existen, según el estado comunicado oficialmente, indicios de que el Landesnetz continúe infiltrado, mientras que las personas identificadas como afectadas serán notificadas conforme a la normativa de protección de datos. El 10 de septiembre se habilitó además un punto central de contacto para ciudadanos y empresas afectados.    Referencias 17/08/2026 Land Berlin IKT-Vorfall im Landesnetz Berlin 17/08/2026 Berliner Zeitung Bau- und Verkehrsverwaltung in Berlin nach Hackerangriff vom Landesnetz isoliert 26/08/2026 Land Berlin Mehr Daten beim IKT-Vorfall abgeflossen 05/09/2026 Euronews Las 8 preguntas y respuestas clave del ciberataque y filtración de datos en Alemania Etiquetas Administración pública Cibercrimen Fuga de información

Operación internacional para interrumpir la infraestructura del botnet Sality 10/09/2026 Jue, 10/09/2026 - 11:33 El 31 de agosto de 2026 se llevó a cabo una operación internacional dirigida contra la infraestructura de la botnet Sality, una red P2P utilizada durante más de dos décadas para distribuir cargas maliciosas en equipos comprometidos. La operación estuvo liderada por autoridades estadounidenses y contó con la participación de organismos de Bulgaria, Hungría y Rumanía, con el apoyo de Europol, Eurojust y empresas privadas especializadas en ciberseguridad. Sality había estado activo desde al menos 2003 y, según Europol, en su momento de mayor actividad podía proporcionar a sus operadores acceso a hasta un millón de equipos infectados; a lo largo de los años se asociaron más de 11 millones de direcciones IP únicas con su infraestructura. La actuación se dirigió contra los equipos que formaban parte de la infraestructura P2P de Sality y contra los dominios empleados por la botnet . Las autoridades estadounidenses incautaron dominios vinculados a Sality en EE. UU., mientras que las autoridades de Bulgaria, Hungría y Rumanía actuaron sobre infraestructura adicional localizada en Europa. Paralelamente, CrowdStrike y la Shadowserver Foundation proporcionaron capacidades de inteligencia y análisis técnico y ejecutaron una operación de sinkholing P2P, mediante la cual las comunicaciones de los equipos infectados fueron redirigidas desde la infraestructura criminal. Esta actuación permitió aislar los dispositivos comprometidos y dejar inoperativa la capacidad de comunicación utilizada por el operador. Shadowserver comenzó además a colaborar con proveedores de servicios de Internet y equipos de respuesta a incidentes para identificar sistemas infectados y facilitar la notificación y remediación de las víctimas. Según la información publicada por Europol y los organismos participantes, la operación ha conseguido interrumpir la infraestructura de Sality y dejar inoperativo su canal de control, pero esto no equivale a que el malware haya sido eliminado automáticamente de todos los equipos que habían sido infectados. Las organizaciones participantes mantienen actuaciones destinadas a identificar las infecciones y facilitar la remediación de los sistemas afectados. Europol señala además que la operación es el resultado de varios años de cooperación internacional y que desde 2017 había apoyado a las autoridades en la identificación y desmantelamiento progresivo de componentes de la infraestructura de Sality. En consecuencia, el estado comunicado oficialmente es el de una infraestructura criminal interrumpida, con los equipos que permanecían infectados aislados de la infraestructura del operador y con actuaciones de identificación y remediación de las víctimas todavía en curso.   Referencias 31/08/2026 CrowdStrike Peer Pressure: Inside the Sality Botnet Disruption Operation 01/09/2026 U.S. Department of Justice Sality Malware Disrupted in International Cyber Takedown 01/09/2026 Reuters Russian cybercrime operation being dismantled after two decades, US officials and CrowdStrike say 02/09/2026 Europol Global public-private operation disrupts Sality botnet active for two decades Etiquetas Botnet Ciberdelito

Acceso no autorizado a cuentas de Dropbox mediante una integración de Lenovo ID 08/09/2026 Mar, 08/09/2026 - 09:33 Entre el 4 y el 21 de agosto de 2026 se produjeron accesos no autorizados a cuentas de Dropbox mediante el mecanismo de autenticación asociado a Lenovo ID. Dropbox identificó posteriormente que las cuentas afectadas estaban vinculadas a Lenovo ID y no tenían activada la autenticación de dos factores. Según la información facilitada por Dropbox, aproximadamente 5.000 cuentas resultaron afectadas durante ese periodo. El incidente no consistió en la obtención de las contraseñas de Dropbox, sino en el abuso de un mecanismo de autenticación federada entre Dropbox y Lenovo. Según la investigación comunicada por Dropbox, un problema en el proceso de verificación del correo electrónico de Lenovo ID permitió a terceros registrar una cuenta de Lenovo utilizando la dirección de correo electrónico de otra persona y utilizar posteriormente esa identidad para acceder a la cuenta de Dropbox asociada a la misma dirección. Dropbox indicó que menos de un tercio de las aproximadamente 5.000 cuentas afectadas registraron visualización o descarga de archivos. Lenovo, por su parte, describió el problema como una integración heredada entre Lenovo ID y Dropbox que podía utilizarse para autenticar indebidamente determinadas cuentas. Tras identificar el problema, Dropbox expiró todas las sesiones autenticadas mediante Lenovo ID, eliminó los vínculos entre las cuentas de Lenovo y Dropbox y modificó el proceso para exigir la contraseña de Dropbox antes de permitir el acceso mediante Lenovo ID. Asimismo, Dropbox notificó el incidente a los usuarios afectados y a los organismos reguladores de protección de datos. Actualmente, Dropbox considera mitigado el mecanismo de acceso utilizado durante el incidente: las sesiones autenticadas mediante Lenovo ID fueron cerradas, se eliminaron las vinculaciones existentes y se introdujo una comprobación adicional mediante la contraseña de Dropbox. La compañía comunicó directamente a los usuarios afectados la situación y señaló que quienes no hubieran recibido dicha comunicación no estaban incluidos entre las cuentas afectadas. Lenovo ha indicado que sus propios clientes no resultaron afectados y que su investigación continúa. Por tanto, de acuerdo con las últimas declaraciones disponibles de las compañías, el acceso mediante el mecanismo utilizado en el incidente ha sido bloqueado, mientras que la investigación de Lenovo sobre la integración afectada permanece abierta.   Referencias 31/08/2026 Dropbox Notificación de acceso no autorizado a cuentas entre el 4 y el 21 de agosto 01/09/2026 Reuters Dropbox says about 5,000 accounts compromised in August hack 01/09/2026 Decrypt Dropbox Security Breach: Hackers Access Accounts Through Authentication Flaw 02/09/2026 Lenovo Declaración sobre la integración heredada entre Lenovo ID y Dropbox Etiquetas Acceso no autorizado Intrusión Servicios almacenamiento

Ataques sin interacción contra cuentas de WhatsApp en iPhone con iOS 16 28/08/2026 Vie, 28/08/2026 - 10:20 Durante mayo de 2026 se identificaron en Italia varios casos de cuentas de WhatsApp utilizadas sin autorización en dispositivos iPhone que ejecutaban distintas versiones de iOS 16. Los primeros casos fueron comunicados a la empresa italiana de informática forense Forenser durante varios días de ese mes, después de que usuarios detectaran que desde sus cuentas se habían enviado mensajes solicitando transferencias de dinero a contactos recientes. Las investigaciones forenses realizadas sobre estos dispositivos identificaron elementos comunes entre los incidentes, entre ellos la ausencia de dispositivos desconocidos en la sección «Dispositivos vinculados» y la inexistencia de una acción previa de emparejamiento por parte de las víctimas. Los casos analizados afectaron a diferentes modelos de iPhone, desde el iPhone 8 hasta el iPhone 14, todos ellos con alguna versión de iOS 16. Forenser relacionó los incidentes con una posible cadena formada por CVE-2025-43300, una vulnerabilidad de escritura fuera de límites en ImageIO de Apple, y CVE-2025-55177, una vulnerabilidad de autorización insuficiente en los mensajes de sincronización de dispositivos vinculados de WhatsApp. Esta última permitía que un usuario no relacionado provocara el procesamiento de contenido procedente de una URL arbitraria en el dispositivo objetivo. Ambas vulnerabilidades ya habían sido corregidas por Apple y WhatsApp durante 2025, aunque los dispositivos que permanecían en versiones vulnerables de iOS 16 podían seguir expuestos. En cuanto a las medidas adoptadas, WhatsApp había corregido CVE-2025-55177 en WhatsApp para iOS mediante la versión 2.25.21.73 y en WhatsApp Business para iOS y WhatsApp para Mac mediante la versión 2.25.21.78. Apple, por su parte, corrigió CVE-2025-43300, entre otras versiones, en iOS 16.7.12 y posteriormente en versiones más recientes de sus sistemas operativos. En los casos de 2025, WhatsApp también notificó a menos de 200 usuarios que consideraba potencialmente afectados y recomendó mantener actualizados tanto WhatsApp como el sistema operativo, mientras que Apple informó de que había recibido indicios de explotación de CVE-2025-43300 contra personas concretas. En el estado actual del incidente, la investigación publicada por Forenser continúa describiendo como hipótesis técnica la utilización conjunta de CVE-2025-43300 y CVE-2025-55177 para explicar los casos observados en dispositivos con iOS 16. La evidencia forense recopilada incluye eventos anómalos de «resync» en los registros de WhatsApp y errores relacionados con el procesamiento de imágenes, y Forenser señala que ha conseguido reproducir parte del escenario en un entorno controlado. No obstante, WhatsApp no ha publicado un comunicado específico que confirme que los nuevos casos de mayo de 2026 sean consecuencia de esta misma cadena de vulnerabilidades; por tanto, no puede atribuirse oficialmente a WhatsApp dicha explotación concreta más allá de la relación técnica planteada por la investigación forense.   Referencias 29/08/2025 WhatsApp / Meta WhatsApp Security Advisories 2025 – CVE-2025-55177 29/08/2025 NIST / NVD CVE-2025-55177 Detail 29/08/2025 INCIBE-CERT CVE-2025-55177 29/08/2025 TechCrunch WhatsApp fixes 'zero-click' bug used to hack Apple users with spyware 30/08/2025 The Hacker News WhatsApp Patches Zero-Click Exploit Targeting iOS and macOS Devices 31/08/2025 Tweakers WhatsApp fixt zeroday die gebruikt werd om iPhones te infecteren met malware 25/05/2026 Security Affairs Zero-Click WhatsApp Account Takeover Hits iPhone Users Running iOS 16. No Linked Devices, No Warning Etiquetas Apple Intrusión Suplantación Vulnerabilidad + WhatsApp -

Detección de un acceso no autorizado a datos de clientes de Origin Energy 30/07/2026 Jue, 30/07/2026 - 13:25 Durante el mes de julio de 2026, Origin Energy detectó indicios de un posible incidente de ciberseguridad relacionado con el acceso no autorizado a información de clientes. La compañía indicó posteriormente que llevaba revisando una posible amenaza desde principios de julio, aunque la información disponible en ese momento no permitió considerarla creíble. El 22 de julio, tras recibir nuevos datos que apuntaban a que el incidente podía haberse materializado, la empresa activó su respuesta, inició una investigación formal y notificó a las autoridades competentes. La empresa confirmó que la información comprometida podía incluir nombres, direcciones, fechas de nacimiento, números de teléfono, información de las cuentas de cliente y los últimos dígitos de tarjetas bancarias o cuentas bancarias, precisando que esos datos parciales no permitían realizar pagos ni acceder a las cuentas financieras. Posteriormente, el 28 de julio, la compañía informó de que la fase inicial de su revisión estimaba que aproximadamente 900.000 clientes actuales y antiguos se habían visto afectados. Como respuesta, Origin comenzó a contactar directamente con las personas afectadas, habilitó líneas de atención específicas, ofreció servicios especializados de protección de identidad y apoyo en ciberseguridad, contrató expertos independientes en análisis forense y seguridad, reforzó la protección de sus sistemas y mantuvo la coordinación con el Australian Cyber Security Centre, la Australian Federal Police y la Office of the Australian Information Commissioner.  En la actualidad, el incidente continúa bajo investigación y Origin Energy mantiene abierta su respuesta al suceso. Según la información oficial más reciente, la empresa ha completado la fase inicial de revisión para determinar el alcance de la exposición de datos y continúa notificando individualmente a las personas afectadas, al tiempo que mantiene disponibles los servicios de asistencia y protección ofrecidos tras el incidente.   Referencias 22/07/2026 thenextweb.com Origin Energy investigates potential breach of customer data 23/07/2026 reuters.com Australia's Origin Energy confirms customer data breach (Reuters) 23/07/2026 originenergy.com.au Update on Data Security Incident 28/07/2026 originenergy.com.au Further Update on Data Security Incident 28/07/2026 reuters.com/ Australia's Origin Energy flags possible data exposure of about 900,000 customers (Reuters) 28/07/2026 abc.net.au Origin Energy believes 900,000 customers' data accessed in breach (ABC News) Etiquetas Ciberdelito Filtración de datos Sector energía

Cadena de vulnerabilidades críticas en WordPress, wp2shell 28/07/2026 Mar, 28/07/2026 - 11:33 A mediados de julio de 2026 se hizo pública una cadena de vulnerabilidades críticas que afectaba al núcleo de WordPress, posteriormente denominada wp2shell. El incidente tuvo su origen en dos fallos presentes en WordPress Core que, al combinarse, permitían a un atacante remoto ejecutar código sin necesidad de autenticarse ni de explotar plugins o temas adicionales. El equipo de WordPress coordinó la divulgación de la incidencia con los investigadores que la notificaron de forma responsable a través de su programa de recompensas, publicando simultáneamente versiones de seguridad para corregir el problema. La publicación de las actualizaciones marcó el inicio de la respuesta oficial frente a un riesgo que afectaba a instalaciones vulnerables del gestor de contenidos. Tras la publicación de los parches, diversas empresas de ciberseguridad confirmaron la explotación activa de la cadena de vulnerabilidades contra sitios que aún no habían sido actualizados. Los ataques observados consistían en la instalación de webshells, la creación de usuarios con privilegios administrativos y el despliegue de complementos maliciosos para mantener la persistencia en los sistemas comprometidos. Las versiones afectadas correspondían a determinadas ramas de WordPress 6.8, 6.9 y 7.0, mientras que el proyecto publicó las versiones correctoras 6.8.6, 6.9.5 y 7.0.2. Como medida adicional, el equipo de WordPress activó las actualizaciones automáticas forzadas para las instalaciones compatibles y recomendó a los administradores actualizar inmediatamente sus sitios, así como comprobar si habían sufrido una intrusión antes de aplicar únicamente el parche. En la actualidad, el estado del incidente es el de una vulnerabilidad corregida, con actualizaciones de seguridad disponibles para todas las ramas afectadas y con campañas de explotación documentadas contra sistemas que permanecían sin actualizar. El proyecto WordPress mantiene como recomendación oficial la instalación de las versiones corregidas mediante el mecanismo de actualización automática o manual, mientras que distintos organismos y entidades de ciberseguridad continúan alertando de la existencia de intentos de explotación sobre instalaciones vulnerables. Hasta la fecha, la información oficial difundida por WordPress se centra en la disponibilidad de las correcciones y en la necesidad de mantener los sitios actualizados, sin comunicar cambios posteriores respecto al alcance del incidente ni anunciar nuevas medidas adicionales relacionadas con esta cadena de vulnerabilidades.   Referencias 17/07/2026 wordpress.org WordPress 7.0.2 Release 18/07/2026 seguridadenwordpress.com wp2shell: la RCE de WordPress que afecta tu hosting 19/07/2026 cisoadvisor.com.br wp2shell: Un fallo crítico en el núcleo de WordPress permite la ejecución remota de código (RCE) 20/07/2026 securityweek.com WP2Shell WordPress Vulnerabilities Exploited in the Wild 22/07/2026 hispasec.com Una cadena crítica en WordPress facilita la instalación de webshells sin contraseña Etiquetas Actualización CMS Vulnerabilidad Wordpress

Investigación sobre la filtración de datos personales de miembros de instituciones sensibles del Estado 23/07/2026 Jue, 23/07/2026 - 08:34 Durante los primeros meses de 2026, las autoridades españolas detectaron una campaña de difusión no autorizada de información confidencial que afectó a diversas instituciones consideradas sensibles para la seguridad del Estado. La investigación se inició tras comprobar que datos personales pertenecientes a miembros de organismos públicos estaban siendo publicados y compartidos en distintos canales de Internet, lo que suponía un riesgo para la privacidad de los afectados y para la seguridad institucional. A partir de ese momento, la Policía Nacional puso en marcha una investigación especializada para identificar el origen de las filtraciones, determinar el alcance de la información comprometida y esclarecer las circunstancias en las que se había producido el acceso y la posterior difusión de los datos. Como resultado de la investigación, la Policía Nacional detuvo a un menor de edad en la provincia de Granada como presunto responsable de un delito de revelación de secretos. Según la información oficial, los datos filtrados correspondían a miembros de organismos como la Fiscalía General del Estado, el Instituto Nacional de Ciberseguridad (INCIBE), el Consejo de Seguridad Nacional, la Policía Nacional, la Guardia Civil, el Ministerio de Hacienda y la Agencia Tributaria, entre otros. La actuación policial incluyó la práctica de un registro domiciliario en el que se incautó diverso material informático para su análisis pericial.  En la actualidad, el caso continúa bajo investigación judicial y policial. De acuerdo con la información facilitada por el Ministerio del Interior, el detenido ha sido puesto a disposición de la autoridad judicial competente y las diligencias siguen abiertas para completar el análisis de las pruebas obtenidas durante el registro y esclarecer todos los extremos del incidente. Hasta la fecha, las autoridades no han informado públicamente de nuevos afectados, de la existencia de más personas investigadas ni de una ampliación del alcance de la filtración.   Referencias 01/06/2026 www.europapress.es datos personales de miembros de instituciones sensibles del Estado 01/06/2026 www.infobae.com Detenido un menor de edad por la filtración masiva de datos personales de miembros de instituciones sensibles del Estado 01/06/2026 www.interior.gob.es La Policía Nacional detiene a una persona por la filtración masiva de datos personales de miembros de instituciones sensibles del Estado 01/06/2026 elpais.com Detenido un menor por la filtración masiva de datos confidenciales de altos cargos de la seguridad del Estado Etiquetas Ciberseguridad Filtración de datos

Incidente de ciberseguridad en una filial de Indra. 16/07/2026 Jue, 16/07/2026 - 10:36 A comienzos de julio de 2026, Indra confirmó que había sufrido un incidente de ciberseguridad que afectó a una de sus filiales. Según la información facilitada por la propia compañía, el suceso consistió en un ataque de tipo ransomware detectado por sus sistemas de seguridad, lo que motivó la activación inmediata de los protocolos internos de respuesta ante incidentes.  Indra explicó que el incidente afectó únicamente a una de sus filiales y que no se produjo una propagación al resto de sociedades del grupo. La compañía señaló que su equipo de respuesta ante incidentes de seguridad (CSIRT) activó de forma inmediata las medidas de contención y análisis previstas para este tipo de situaciones. Asimismo, informó de que la prestación de sus servicios continuó desarrollándose con normalidad y que la seguridad de las operaciones no se vio comprometida. Paralelamente, la empresa puso en marcha una investigación para esclarecer las circunstancias del ataque y reforzó las medidas de ciberseguridad con el objetivo de prevenir posibles incidentes similares. La empresa ha confirmado que continuaba investigando el origen y el alcance del incidente como parte de sus procedimientos internos de respuesta. Hasta el momento de su última comunicación pública, Indra sigue sosteniendo que el impacto del ciberataque es mínimo, que la actividad de la compañía se desarrollaba con normalidad y que no existen cambios en la valoración oficial del estado del incidente.   Referencias 01/07/2026 cincodias.elpais.com Indra sufre un ciberataque pero “garantiza la seguridad y la continuidad de sus servicios” 01/07/2026 www.europapress.es Indra "garantiza la seguridad y la continuidad de sus servicios" tras sufrir un ciberataque 01/07/2026 www.servimedia.es Indra registra un ciberataque en una de sus filiales Etiquetas Ciberseguridad Filtración de datos Ransomware

Incidente de ciberseguridad con acceso no autorizado a datos de clientes de ElParking 14/07/2026 Mar, 14/07/2026 - 11:54 El incidente de ciberseguridad tuvo lugar el 14 de junio de 2026, fecha en la que ElParking, servicio integrado en el Grupo Mutua Madrileña, detectaron un acceso no autorizado a determinados datos personales de sus clientes. Según la información comunicada por la compañía, sus sistemas de seguridad identificaron la intrusión durante ese mismo día y activaron de forma inmediata los protocolos de respuesta para contener el incidente. El suceso afectó a la infraestructura que presta servicio a la aplicación ElParking, utilizada para la gestión de estacionamientos y otros servicios de movilidad. Desde el primer momento, la empresa informó de que el objetivo principal fue limitar el alcance del acceso no autorizado y preservar la continuidad de sus servicios mientras se analizaba el incidente. Como consecuencia del acceso no autorizado, quedaron expuestos determinados datos básicos de identificación y contacto de los usuarios, entre ellos el nombre, la dirección de correo electrónico, el número de teléfono, la matrícula del vehículo y el DNI cuando estos habían sido facilitados por los clientes. La compañía indicó que, tras las verificaciones realizadas, las contraseñas de acceso a la aplicación y los datos relativos a los medios de pago no se vieron comprometidos. Asimismo, comunicó que el acceso fue contenido y bloqueado de forma inmediata, reforzó la monitorización de sus sistemas y notificó el incidente a las autoridades competentes, incluida la Agencia Española de Protección de Datos, conforme a la normativa vigente. Además, recomendó a los clientes permanecer atentos ante posibles comunicaciones sospechosas o intentos de fraude que pudieran utilizar la información expuesta. En el momento de las últimas comunicaciones oficiales, la compañía manifestó que no tenía constancia de un uso indebido de los datos personales afectados y que la aplicación continuaba prestando servicio con total normalidad. MutuaMás y ElParking señalaron que el incidente permanecía bajo seguimiento mediante el refuerzo de las medidas de vigilancia y seguridad implantadas tras su detección. La empresa mantuvo abiertas las vías de atención para resolver las dudas de los clientes y reiteró su compromiso de informar sobre cualquier novedad relevante relacionada con el incidente.   Referencias 16/06/2026 informacion.grupomutua.es Comunicado de la Mutua Madrileña 23/06/2026 escudodigital.com Mutua Madrileña comunica a sus clientes una brecha de datos en su app de parking nueve días después de conocer el incidente 23/06/2026 adslzone.net Filtración masiva de datos en MutuaMás: la compañía avisa de urgencia tras sufrir un preocupante hackeo 24/06/2026 abc.es 'ElParking', la app de MutuaMás, sufre una brecha de datos de sus clientes 24/06/2026 bandaancha.eu Filtración de datos de la app MutuaMás de Mutua Madrileña Etiquetas Cibercrimen Ciberdelito Ciberseguridad Filtración de datos

Investigación de una posible filtración de datos relacionados con Hogami de Leroy Merlin 09/07/2026 Jue, 09/07/2026 - 09:36 A finales de junio de 2026, Leroy Merlin España comunicó que estaba investigando un incidente de seguridad relacionado con Hogami, su plataforma de servicios de instalación, mantenimiento y reforma. La información disponible sitúa el suceso en torno al 30 de junio de 2026, momento en el que la compañía activó sus procedimientos internos tras detectar la posible exposición de datos de clientes. El caso se enmarca en un incidente de ciberseguridad reciente cuya existencia fue reconocida por la empresa en el contexto de sus actuaciones de contención y análisis. Según la información difundida, la posible filtración habría afectado a determinados registros de clientes vinculados a Hogami, incluyendo datos identificativos y de contacto como nombre y apellidos, correo electrónico, número de teléfono, DNI y dirección postal, además de algunos identificadores técnicos. La empresa indicó que no se vieron comprometidas contraseñas, credenciales de acceso ni datos bancarios o de pago. Tras detectar el incidente, Leroy Merlin España puso en marcha sus protocolos de seguridad y protección de datos, aplicó medidas de contención, refuerzo y monitorización, informó a las personas afectadas a través de sus canales oficiales y trasladó el caso a las autoridades competentes. Actualmente, la situación sigue descrita públicamente como una investigación en curso sobre una posible filtración de datos. La posición comunicada por la empresa se centra en que el incidente ha sido identificado, que ya se han activado medidas de respuesta y que la notificación a afectados y autoridades ya se ha realizado.    Referencias 25/06/2026 darkwebinformer.com Leroy Merlin Spain Customer Database of Nearly 55,000 Records Allegedly Leaked 26/06/2026 www.hendryadrian.com Leroy Merlin Spain Customer Database of Nearly 55,000 Records Allegedly Leaked 30/06/2026 ciberseguretat.gencat.cat Un incidente de seguridad en la plataforma Hogami, de Leroy Merlin, expone información personal de los clientes Etiquetas Ciberdelito Ciberseguridad Comercio Filtración de datos

Vulnerabilidad en iPhone con procesadores A12 y A13 07/07/2026 Mar, 07/07/2026 - 10:45 En junio de 2026 se hizo público un hallazgo de ciberseguridad que afecta a determinados modelos de iPhone equipados con los procesadores A12 y A13. El suceso se produjo cuando los investigadores de la empresa Paradigm Shift identificaron y divulgaron una vulnerabilidad localizada en el BootROM o SecureROM de estos chips, un componente que forma parte de la cadena de arranque del dispositivo. Antes de la publicación de los detalles técnicos, los investigadores notificaron el descubrimiento al equipo de seguridad de Apple siguiendo el procedimiento habitual de divulgación responsable. La vulnerabilidad fue presentada como un fallo de hardware , es decir, una característica inherente al diseño del chip y no un problema introducido por una versión concreta del sistema operativo. Debido a esta naturaleza, el incidente se enmarca en una vulnerabilidad de bajo nivel cuya existencia se confirmó tras la publicación del informe técnico por parte de los investigadores. La investigación describe un exploit denominado usbliter8, que permite aprovechar la vulnerabilidad para comprometer la cadena de arranque de los dispositivos afectados bajo determinadas condiciones. Según el informe técnico, el ataque requiere disponer de acceso físico al iPhone, conectarlo mediante USB y ponerlo en modo DFU, por lo que no puede explotarse de forma remota a través de Internet. Los dispositivos afectados corresponden a modelos con procesadores A12 y A13, mientras que las generaciones posteriores incorporan un diseño de hardware diferente que no presenta este problema concreto. Al tratarse de un fallo residente en el BootROM, Apple no ha anunciado una actualización de software para corregirlo, ya que este tipo de componente no puede modificarse mediante una actualización de iOS. La compañía ya había introducido cambios de hardware en generaciones posteriores de sus procesadores para evitar esta vulnerabilidad. En la actualidad, el estado actual del suceso es el de una vulnerabilidad conocida, documentada y divulgada públicamente, cuya existencia ha sido reconocida mediante la notificación previa al fabricante y cuya mitigación se basa en las mejoras de hardware implementadas en las generaciones más recientes de dispositivos.   Referencias 23/06/2026 www.europapress.es Algunos iPhone tienen una vulnerabilidad que no puede corregirse y que da pie a su hackeo 23/06/2026 www.abc.es Detectan una vulnerabilidad irreparable en los iPhone que permite su hackeo 23/06/2026 www.menorca.info Algunos iPhone tienen una vulnerabilidad que no puede corregirse y que da pie a su hackeo Etiquetas Ciberdelito Ciberseguridad Filtración de datos Hardware + Vulnerabilidad -

Operación Endgame interrumpe las redes de malware de Amadey, StealC y SocGholish 02/07/2026 Jue, 02/07/2026 - 13:03 A finales de junio de 2026 se anunció una nueva fase de la Operación Endgame, una iniciativa internacional dirigida a desmantelar infraestructuras utilizadas por grupos de ciberdelincuencia para distribuir malware. La actuación se centró en las redes asociadas a las familias de malware Amadey, StealC y SocGholish, ampliamente empleadas para el robo de credenciales, la distribución de otras amenazas y el acceso inicial a sistemas comprometidos. La operación fue coordinada por Europol junto con autoridades policiales y judiciales de varios países, entre ellos Alemania, Países Bajos, Dinamarca, Reino Unido, Estados Unidos y Canadá, con la colaboración de diversas empresas del sector de la ciberseguridad. El objetivo principal fue interrumpir la infraestructura técnica que permitía el funcionamiento y la propagación de estas campañas maliciosas. Durante la operación, las autoridades ejecutaron acciones coordinadas para desmantelar la infraestructura empleada por los operadores de Amadey y StealC, lo que incluyó la intervención de cientos de servidores y dominios utilizados como centros de mando y control. Según la información facilitada por Europol, también se recuperaron aproximadamente 27 millones de credenciales robadas y se inmovilizaron activos en criptomonedas vinculados a la actividad delictiva. Los principales afectados por estas campañas fueron usuarios y organizaciones cuyas credenciales o sistemas habían sido comprometidos por el malware, así como las infraestructuras criminales utilizadas por los responsables de su operación. Las fuerzas de seguridad internacionales, en colaboración con empresas especializadas en ciberseguridad, coordinaron la identificación, incautación y desactivación de los recursos empleados para mantener activas estas amenazas. Según los datos de Europol y el resto de cuerpos policiales implicados, el golpe a las infraestructuras de Amadey, StealC y SocGholish interviniendo sus servidores y dominios ha frenado de forma temporal la actividad de estas redes de malware. Más allá de este bloqueo, la operación logró recuperar un volumen importante de credenciales robadas y congelar fondos vinculados a las actividades ilícitas. A pesar del éxito de estas primeras acciones dentro de la Operación Endgame, las autoridades dejaron claro en sus comunicados que el despliegue internacional contra el cibercrimen sigue en marcha; la investigación continúa totalmente abierta y la cooperación entre países se mantendrá activa para localizar nuevos servidores e identificar a los responsables. Entre los afectados figuran casi 9.000 equipos comprometidos localizados en España, de los que se obtuvieron más de 535.000 credenciales, así como 70.000 credenciales de los usuarios de 3.000 páginas webs españolas.  INCIBE-CERT, en su labor como CERT Nacional de España para las entidades privadas, colabora activamente notificando estos casos dentro de su ámbito para que los afectados puedan desinfectar sus equipos y cambiar todas sus credenciales.   Referencias 19/06/2026 thehackernews.com Operation Endgame Disrupts SocGholish Servers, Cleans 14,971 WordPress Sites 24/06/2026 www.operation-endgame.com Global cyber strike disrupts SocGholish, Amadey, and StealC malware networks 24/06/2026 www.europol.europa.eu Global cyber strike disrupts SocGholish, Amadey, and StealC malware networks 24/06/2026 arstechnica.com One-two punch delivered in global operation disrupts cybercrime “assembly line” 24/06/2026 www.microsoft.com StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them 24/06/2026 therecord.media Three ‘cybercrime as a service’ operations undercut by Microsoft, law enforcement 24/06/2026 www.theregister.com Microsoft uses AI to link two malware operations in racketeering suit 24/06/2026 cyberscoop.com In a first, a court takedown goes after two cybercrime tools at once 24/06/2026 www.bleepingcomputer.com Amadey, StealC malware operations disrupted in Operation Endgame action Etiquetas Cibercrimen Ciberdelito Ciberseguridad Contraseña + Malware -

Evaluación de vulnerabilidades en sistemas clasificados de Estados Unidos mediante inteligencia artificial 30/06/2026 Mar, 30/06/2026 - 13:20 Durante la segunda quincena de junio de 2026, en el marco de un ejercicio autorizado de evaluación de ciberseguridad llevado a cabo por organismos del Gobierno de Estados Unidos, trascendió que el modelo de inteligencia artificial Mythos fue utilizado para analizar la seguridad de sistemas clasificados. El ejercicio tenía como finalidad identificar vulnerabilidades de forma controlada y medir la capacidad de una IA avanzada para apoyar tareas de auditoría de seguridad. Mythos habría localizado vulnerabilidades en sistemas clasificados durante un ejercicio de red teaming autorizado, realizando esta tarea en un plazo de pocas horas. El objetivo del ejercicio era evaluar la eficacia de herramientas de inteligencia artificial para detectar debilidades de seguridad antes de que pudieran ser explotadas por actores maliciosos. No existen evidencias públicas de que los sistemas clasificados fueran comprometidos ni de que se produjera una filtración de información sensible como consecuencia de estas pruebas. Tampoco consta que la NSA informara de una brecha de seguridad derivada del ejercicio.  La información disponible mantiene que las pruebas se desarrollaron en un entorno autorizado con fines de evaluación de capacidades y detección de vulnerabilidades. En consecuencia, no se ha informado oficialmente de sistemas afectados por un ataque, de datos comprometidos ni de una investigación sobre una brecha de seguridad, permaneciendo el episodio descrito públicamente como una actividad de evaluación y fortalecimiento de la seguridad.   Referencias 21/06/2026 ecosistemastartup.com NSA: IA Mythos vulneró sistemas clasificados en horas 24/06/2026 es.euronews.com Una IA de Anthropic detecta vulnerabilidades en sistemas clasificados de EE.UU. en cuestión de horas Etiquetas Ciberdelito Inteligencia artificial Vulnerabilidad

Detección y corrección de la vulnerabilidad CVE-2026-8713 en el complemento Avada Builder para WordPress 25/06/2026 Jue, 25/06/2026 - 12:02 A mediados de mayo, se identificó y procesó una vulnerabilidad crítica que comprometía la integridad de la infraestructura de los sitios web que utilizaban una herramienta de diseño específica dentro de la plataforma de gestión de contenidos WordPress. El comunicado oficial del suceso fue publicado a través del boletín de seguridad de la firma Wordfence el 18 de junio de 2026 detallando los pormenores del hallazgo una vez mitigado el riesgo inicial. El incidente consistió en el descubrimiento de una vulnerabilidad de severidad crítica, catalogada como CVE-2026-8713 con una puntuación CVSS de 9.1, que afectaba al complemento Avada (Fusion) Builder en todas sus versiones hasta la 3.15.3, impactando potencialmente a más de un millón de instalaciones activas en todo el mundo. El fallo radicaba en una validación insuficiente de las rutas de archivos en la función interna encargada de la limpieza periódica de las entradas de formularios almacenadas en la base de datos, lo que permitía a atacantes no autenticados realizar la eliminación de archivos arbitrarios mediante técnicas de salto de directorio (path traversal). Al enviar parámetros manipulados a través de un formulario público, un atacante podía borrar archivos esenciales del servidor como "wp-config.php", forzando a WordPress a entrar en su estado de instalación inicial y permitiendo a un tercero tomar el control administrativo del sitio. Ante este escenario, la empresa desarrolladora reaccionó implementando y distribuyendo con rapidez la versión 3.15.4 del complemento para solventar por completo este fallo de seguridad. Actualmente, la empresa de seguridad Wordfence ha confirmado que las reglas de su cortafuegos web están configuradas de forma activa para detectar y bloquear cualquier intento de explotación que intente utilizar el salto de directorio en los datos de los formularios de Avada. Las recomendaciones oficiales emitidas por los desarrolladores indican de manera taxativa que los administradores de sistemas que utilicen este complemento deben aplicar de forma inmediata la actualización a la versión 3.15.4 para mitigar cualquier vector de riesgo persistente en sus entornos de producción.    Referencias 18/06/2026 wordfence.com Critical Unauthenticated Arbitrary File Deletion Vulnerability Patched in Avada Builder WordPress Plugin 19/06/2026 gbhackers.com Critical WordPress Plugin Bug Could Allow File Deletion Attacks on 1 Million Sites 12/05/2026 wpscan.com Avada Builder < 3.15.2 - Unauthenticated SQL Injection via 'product_order' Parameter Etiquetas CMS Vulnerabilidad Wordpress

Exposición de credenciales en dispositivos Fortinet asociada a la explotación de SSL-VPN 22/06/2026 Lun, 22/06/2026 - 12:53 Recientemente, se ha publicado la existencia de un extenso listado de credenciales vinculado a dispositivos Fortinet, especialmente en FortiGate y entornos SSL-VPN expuestos a Internet. A esta secuencia de sucesos se le ha denominado FortiBleed. FortiBleed se podría vincular, en su origen, a la explotación de vulnerabilidades, como CVE-2023-27997 en FortiOS y FortiProxy SSL-VPN, corregida por Fortinet en junio de 2023. Esta vulnerabilidad afectaba al componente SSL-VPN y podía permitir la ejecución remota de comandos. En junio de 2026 se ha descrito la circulación de un conjunto de credenciales asociadas a decenas de miles de dispositivos Fortinet accesibles desde Internet, incluidos portales VPN y firewalls utilizados por organizaciones de múltiples sectores. Los afectados mencionados en esas coberturas son empresas y entidades cuyas credenciales habrían quedado expuestas, aunque la información observada parecía proceder de incidentes antiguos y de campañas de fuerza bruta, y no de una nueva vulnerabilidad. Las informaciones apuntan a usuarios y organizaciones que mantenían expuestos a Internet dispositivos Fortinet con SSL-VPN que en un momento dado eran vulnerables o tenían credenciales débiles, lo que habría permitido accesos no autorizados, el robo de configuraciones, credenciales y la posterior circulación de credenciales asociadas a esos equipos, así como la instalación de puertas traseras. Si no se aplicaron las actualizaciones a los sistemas publicadas por Fortinet, rotando después contraseñas, revisando los registros de acceso y reforzando la autenticación con mecanismos multifactor, pueden seguir siendo vulnerables a través de las credenciales obtenidas en su momento. Cabe destacar que el robo de credenciales se produjo en distintos momentos, y no todas las credenciales disponibles en el listado son válidas en el momento actual (por ejemplo, porque se haya cambiado después del robo de la misma), aunque desgraciadamente la mayoría de ellas parecen estar activas. No obstante, hay que recordar que no es suficiente con cambiar las credenciales del listado, dado que también es crucial asegurar tanto que el firmware se encuentre actualizado como la inexistencia de puertas traseras. Por otro lado, existe la posibilidad de que se comprometieran asimismo credenciales de usuarios que utilizaran el dispositivo en el período de compromiso. Tanto de los propios dispositivos como del tráfico enrutado a través de los mismos, ya que los actores instalaban sistemas para el análisis de tráfico obteniendo en múltiples protocolos contraseñas y hashes para romper por fuerza bruta mediante el uso de GPU. También se han documentado casos de posteriores movimientos laterales a sistemas internos. Las principales recomendaciones para las organizaciones listadas serían: Cambiar todas las credenciales administrativas y de VPN de FortiGate. Forzar autenticación multifactor en todas las interfaces de acceso remoto. Asegurarse que las inferfaces de gestión no se encuentren expuestas en Internet. Revisar los registros de gateway y autenticación en busca de actividad sospechosa.   Referencias 12/06/2023 fortinet.com Analysis of CVE-2023-27997 and Clarifications on Volt Typhoon Campaign 12/06/2023 fortiguard.com Heap buffer overflow in sslvpn pre-authentication 13/06/2023 watchtowr.com Xortigate, or CVE-2023-27997 - The Rumoured RCE That Was 09/02/2024 incibe.es [Actualización 14/04/2025] Múltiples vulnerabilidades en FortiOS de Fortinet 17/06/2026 techcrunch.com Cybercriminals allegedly hacked tens of thousands of Fortinet firewalls used by major companies all over the world 18/06/2026 bleepingcomputer.com FortiBleed leak exposes Fortinet VPN credentials for 73,000 devices. 18/06/2026 itpro.com Passwords nicked for nearly 74,000 Fortinet devices 21/06/2026 socradar.io Dismantling FortiBleed 21/06/2026 socradar.io SOCRadar FortiBleed: Fortinet Firewalls Compromised

Sanción de la Comisión Europea a Temu por incumplimientos del Reglamento de Servicios Digitales 18/06/2026 Jue, 18/06/2026 - 13:33 La Comisión Europea anunció a finales de mayo de 2026 la imposición de una multa de 200 millones de euros a Temu por incumplimientos del Reglamento de Servicios Digitales (Digital Services Act, DSA). El caso se centra en la presencia y comercialización de productos ilegales o inseguros dentro del mercado digital de Temu, una cuestión que la Comisión consideró suficientemente relevante como para abrir un procedimiento formal. La actuación se enmarca en los esfuerzos de la Unión Europea por reforzar la protección de los consumidores y aumentar la responsabilidad de las plataformas digitales que operan en el mercado comunitario.  La decisión se basa en que Temu no habría evaluado adecuadamente los riesgos asociados a la venta de productos ilegales o potencialmente peligrosos a través de su plataforma. La Comisión Europea concluyó que existía una probabilidad significativa de que los consumidores europeos encontraran artículos que no cumplían los requisitos legales o de seguridad establecidos en la Unión Europea. Los principales afectados por esta situación fueron los usuarios y consumidores que adquieren productos a través de la plataforma, al verse expuestos a mercancías que podrían no ajustarse a la normativa vigente. Como consecuencia de estas conclusiones, la Comisión impuso una sanción económica de 200 millones de euros. Además, la empresa deberá presentar y aplicar medidas correctoras destinadas a reforzar sus sistemas de gestión de riesgos, supervisión y control de los productos comercializados, con el objetivo de adecuar su funcionamiento a las obligaciones establecidas por la DSA. En la actualidad, el procedimiento se encuentra en una fase de cumplimiento de las medidas exigidas por las autoridades europeas. La Comisión Europea ha mantenido vigente la obligación de que Temu adopte acciones correctivas para subsanar las deficiencias identificadas durante la investigación. La empresa ha manifestado públicamente su desacuerdo con algunos aspectos de la decisión, aunque la sanción y los requerimientos regulatorios continúan siendo efectivos.    Referencias 06/04/2026 thecyberwire.com EU fines Temu 200 million Euros for breaching the DSA. 28/05/2026 huffingtonpost.es "Un cliente de incógnito": así encontró la UE pruebas para multar con 200 millones a Temu por no evitar la venta de "productos ilegales 28/05/2026 europa.eu Commission fines Temu €200 million for breaching the Digital Services Act Etiquetas Ciberdelito Tienda online

Compromiso de acceso en cuentas de Instagram por una vulnerabilidad en el sistema automatizado de soporte técnico de Meta 16/06/2026 Mar, 16/06/2026 - 12:48 Desde el 17 de abril hasta el 31 de mayo Instagram sufrió un incidente de ciberseguridad. Durante ese periodo, la compañía logró detectar la anomalía de manera oficial. Este suceso se originó debido a la explotación activa de una vulnerabilidad crítica presente en uno de los sistemas internos automatizados que la empresa utiliza para la gestión de usuarios. Durante este intervalo de tiempo, diversos actores maliciosos aprovecharon un fallo de validación en los flujos de trabajo de soporte técnico para comprometer de forma masiva y sistemática el acceso a miles de perfiles personales dentro de la red social. La vulnerabilidad se debía a un error de código en la herramienta de soporte asistida por inteligencia artificial conocida como "High Touch Support" (HTS), la cual permitía a los ciberdelincuentes solicitar enlaces de restablecimiento de contraseña hacia correos electrónicos externos no asociados originalmente con las cuentas objetivo, facilitando el secuestro de aquellos perfiles que carecían de la autenticación de doble factor (2FA). Según los datos oficiales proporcionados por Meta, un total de 20,225 usuarios de Instagram se vieron afectados globalmente por esta vulnerabilidad, comprometiéndose información confidencial como mensajes directos, datos de contacto, fechas de nacimiento y publicaciones privadas. Como respuesta inmediata tras el descubrimiento del fallo, la empresa procedió a desactivar por completo la herramienta HTS, invalidó todos los enlaces de restablecimiento generados de forma fraudulenta e implementó un punto de control de seguridad obligatorio para forzar a las víctimas a reautenticarse y cambiar sus contraseñas. En la actualidad, Meta ha declarado oficialmente que el problema técnico de seguridad ha sido resuelto con éxito y que todas las cuentas de Instagram que resultaron afectadas ya se encuentran debidamente aseguradas para evitar cualquier acceso no autorizado continuado. Asimismo, la compañía ha confirmado de manera formal que la herramienta de recuperación asistida por inteligencia artificial permanecerá inactiva hasta que se corrija definitivamente la verificación de autenticación en el punto de entrada de recuperación de cuentas. Por último, la dirección de la empresa ha anunciado que se está llevando a cabo una revisión exhaustiva y completa de todos los flujos de recuperación de cuentas similares a lo largo de todas las plataformas del grupo Meta con el objetivo explícito de identificar y remediar preventivamente cualquier otro problema potencial de la misma naturaleza.   Referencias 01/06/2026 krebsonsecurity.com Hackers Used Meta’s AI Support Bot to Seize Instagram Accounts 08/06/2026 securityweek.com Data BreachesMeta Says 20,000 Instagram Accounts Hacked via AI Tool Abuse 08/06/2026 helpnetsecurity.com Hackers used Meta’s AI support system to hijack over 20,000 Instagram accounts 08/06/2026 siliconrepublic.com More than 20,000 Instagram accounts hacked using Meta AI bug 08/06/2026 bleepingcomputer.com Over 20,000 Instagram accounts stolen in Meta AI support hack Etiquetas Instagram Redes sociales Sistema vulnerable Vulnerabilidad

Ciberataque a los sistemas informáticos internos de Transporte Metropolitano de Los Ángeles 11/06/2026 Jue, 11/06/2026 - 10:33 Durante la segunda quincena de marzo de 2026, la Autoridad de Transporte Metropolitano del Condado de Los Ángeles (LACMTA), comúnmente conocida como LA Metro, detectó una actividad no autorizada en parte de su infraestructura tecnológica interna. El incidente fue identificado por los equipos de seguridad de la organización el 16 de marzo, momento en el que se activaron los protocolos de respuesta para contener el acceso indebido. Aunque la investigación continuó durante las semanas posteriores, la organización confirmó posteriormente que había sido víctima de un ciberataque que afectó a diversos sistemas administrativos. Desde el inicio del incidente, LA Metro señaló que los servicios esenciales de transporte ferroviario y de autobuses continuaron operando con normalidad y sin interrupciones para los usuarios. El ataque afectó principalmente a sistemas internos utilizados para tareas administrativas y de gestión. Como medida de contención, LA Metro restringió de forma preventiva el acceso de los empleados a numerosos sistemas corporativos mientras se analizaba el alcance de la intrusión y se verificaba la integridad de los servidores afectados. Durante este proceso se registraron incidencias en algunos servicios tecnológicos de apoyo, como paneles informativos y determinadas funcionalidades relacionadas con la gestión operativa, aunque el transporte público continuó funcionando. Semanas después, un grupo denominado Ababil of Minab reivindicó la autoría del ataque y afirmó haber destruido grandes volúmenes de datos y exfiltrado información. Referencias 26/05/2026 cybersecuritydive.com Iranian government, not hacktivist group, breached LA Metro system, security firm says 27/05/2026 securityweek.com LA Metro Cyberattack Linked to Iranian State-Sponsored Hackers 27/05/2026 securityaffairs.com The LA Metro Attack Wasn’t Hacktivism. It Was a State Operation With a Costume On. Etiquetas Ciberdelito Ferrocarril Sector transporte

Investigación sobre una campaña de phishing dirigida a empleados de la NASA y otras organizaciones estadounidenses 09/06/2026 Mar, 09/06/2026 - 12:32 La investigación divulgada por la NASA se refiere a una campaña de spear phishing llevada a cabo entre 2017 y 2021, en la que un ciudadano chino identificado como Song Wu habría utilizado identidades falsas. Según la información oficial, los mensajes fraudulentos se hacían pasar por comunicaciones legítimas de investigadores o contactos conocidos de las víctimas con el objetivo de generar confianza y obtener acceso a software, código fuente y otra información técnica restringida.  De acuerdo con los detalles publicados por la Oficina del Inspector General de la NASA, algunas de las víctimas compartieron software o documentación técnica creyendo que estaban colaborando con investigadores legítimos, cuando en realidad estaban interactuando con los responsables de la campaña. La investigación determinó que los intentos de obtención de información afectaron a empleados de la NASA, miembros de otras agencias gubernamentales estadounidenses, universidades y compañías privadas relacionadas con la industria aeroespacial y de defensa. Como respuesta, la Oficina del Inspector General de la NASA colaboró con otras agencias federales en la investigación del caso, lo que contribuyó a la presentación de cargos judiciales contra Song Wu por parte del Departamento de Justicia de Estados Unidos. En la actualidad, el caso se encuentra en una fase judicial y de seguimiento por parte de las autoridades estadounidenses. La NASA no ha informado públicamente de una intrusión en sus sistemas ni de un incidente técnico que comprometiera directamente su infraestructura, sino que ha centrado sus comunicaciones en la investigación de una campaña de engaño dirigida contra personas vinculadas a la organización y a otros sectores estratégicos. La investigación permitió identificar al presunto responsable y respaldar las actuaciones judiciales emprendidas por el Departamento de Justicia.    Referencias 24/04/2026 thehackernews.com NASA Employees Duped in Chinese Phishing Scheme Targeting U.S. Defense Software 27/04/2026 techradar.com ‘This was not an isolated incident’: Chinese national exposed by NASA investigation in serial defense software theft phishing campaign that lasted years 28/04/2026 escudodigital.com La NASA destapa una trama de phishing china para robar software militar durante años 19/05/2026 blog.segu-info.com.ar Empleados de la NASA víctimas de una estafa china de phishing dirigida a software de defensa Etiquetas Aéreo Filtración de datos Phishing

Incidente de seguridad en la plataforma de formación online de Matferline 04/06/2026 Jue, 04/06/2026 - 13:14 Un incidente de ciberseguridad afectó a la plataforma de formación online de la empresa Matferline, proveedor tecnológico utilizado por numerosas autoescuelas en España. Según la información difundida sobre el caso, el acceso no autorizado a sus sistemas habría permitido la obtención de datos pertenecientes a alumnos registrados en la plataforma. El suceso salió a la luz durante el mes de mayo de 2026, cuando comenzaron a conocerse detalles sobre la posible exposición de información personal almacenada por la compañía. La magnitud del incidente llamó la atención debido al elevado número de registros presuntamente comprometidos y a la amplia implantación del servicio entre centros de formación vial. Los atacantes habrían accedido a una base de datos que contenía información de alumnos vinculados a las autoescuelas que utilizan los servicios de Matferline. Los principales afectados serían los alumnos cuyos datos estaban almacenados en los sistemas comprometidos, así como las autoescuelas que emplean la infraestructura tecnológica de la empresa.  En cuanto a la situación actual, la información pública disponible no permite confirmar nuevos detalles sobre la evolución de la investigación ni sobre el alcance definitivo de la brecha. Por ello, el estado conocido del suceso continúa limitado a la información difundida inicialmente sobre el acceso no autorizado a los datos.    Referencias 18/05/2026 www.adslzone.net Filtración histórica en las autoescuelas: roban los datos de 800.000 alumnos tras el hackeo a un conocido proveedor 22/05/2026 aepd.es Notificaciones de brechas de datos personales a la AEPD 02/06/2026 adslzone.net Actualiza tu móvil Android cuanto antes: Google corrige 124 fallos y uno de ellos se está usando en ataques reales

Balance de vulnerabilidades detectadas y estado de remediación en Pwn2Own Berlín 2026 28/05/2026 Jue, 28/05/2026 - 12:19 El evento de ciberseguridad conocido como Pwn2Own Berlín 2026 se llevó a cabo durante varios días consecutivos en el transcurso del año 2026. En esta competencia de piratería ética los participantes tuvieron la oportunidad de poner a prueba la resistencia de diversos sistemas tecnológicos de última generación. A lo largo de las jornadas, los analistas ejecutaron ataques controlados en tiempo real para demostrar fallos de seguridad que hasta ese momento eran completamente desconocidos para el público y para los propios fabricantes de la industria tecnológica. Durante el transcurso de la competición, los investigadores de seguridad lograron descubrir y explotar con éxito un total de 47 vulnerabilidades 0day, lo que resultó en una entrega acumulada de premios que ascendió a la cifra exacta de 1.298.250 dólares. Entre los afectados se encuentran diversos fabricantes de software, dispositivos de consumo y plataformas tecnológicas cuyos sistemas actualizados fueron comprometidos de manera controlada por los participantes. Ante estos hallazgos, las empresas afectadas recibieron de forma inmediata los informes técnicos detallados con los fallos descubiertos para que puedan comprender la naturaleza del problema. Siguiendo las políticas del evento, las corporaciones involucradas han tomado la medida de iniciar el desarrollo prioritario de parches de seguridad y actualizaciones de firmware para subsanar estas brechas antes de que la información detallada sea liberada al público general. En la actualidad, el suceso se encuentra en la fase posterior a la clausura, donde los organizadores de la Zero Day Initiative han confirmado formalmente el cierre de las jornadas con la validación de los 47 fallos y la asignación final del presupuesto de recompensas. Por su parte, el estado de la situación según los protocolos establecidos indica que la información detallada de los exploits permanece bajo estricta confidencialidad mientras los equipos de ingeniería de las empresas afectadas trabajan en la verificación y el despliegue de las soluciones definitivas. Los fabricantes involucrados no han reportado incidentes de explotación activa de estas vulnerabilidades en el entorno real, limitándose a confirmar la recepción de los datos y el inicio del proceso formal de remediación. De este modo, el evento concluye operativamente con el compromiso de las marcas de liberar los parches correspondientes dentro del plazo estándar estipulado por la organización.   Referencias 12/05/2026 zerodayinitiative.com Announcing Pwn2Own Berlin for 2026 15/05/2026 prnewswire.com ¿Es seguro Windows 11? En este evento de Berlín logran hackearlo hasta 3 veces 18/05/2026 prnewswire.com TrendAI™ Zero Day Initiative Leads Industry Remediation at Pwn2Own Berlin 18/05/2026 securityweek.com Hackers Earn $1.3 Million at Pwn2Own Berlin 2026 18/05/2026 bleepingcomputer.com Hackers earn $1,298,250 for 47 zero-days at Pwn2Own Berlin 2026 Etiquetas Actualización Competición Explotación de Vulnerabilidades de software Sistema vulnerable + Vulnerabilidad -

Multa del regulador británico a South Staffordshire Water tras una filtración masiva de datos personales 26/05/2026 Mar, 26/05/2026 - 13:37 La empresa británica de suministro de agua South Staffordshire Water sufrió un incidente de ciberseguridad cuyo origen se remonta a septiembre de 2020, cuando atacantes lograron acceder a sus sistemas internos mediante una campaña de phishing dirigida a empleados. Según la investigación posterior de la Information Commissioner’s Office (ICO) del Reino Unido, los intrusos permanecieron dentro de la red corporativa durante un largo periodo de tiempo sin ser detectados, aprovechando vulnerabilidades técnicas y sistemas desactualizados. El incidente no fue descubierto hasta julio de 2022, después de que la compañía detectara anomalías en el funcionamiento de sus sistemas informáticos. Posteriormente, se confirmó que los atacantes habían tenido acceso prolongado a información personal y corporativa sensible.  El ataque comprometió los datos personales de aproximadamente 664.000 personas, entre clientes y empleados de la compañía. Entre la información expuesta se encontraban nombres completos, direcciones, números de teléfono, fechas de nacimiento, datos bancarios y determinada información laboral. Las autoridades británicas indicaron además que parte de esos datos terminaron siendo publicados en Internet por el grupo de ransomware vinculado al ataque. En sus comunicaciones oficiales, la empresa explicó que el incidente afectó principalmente a los sistemas de tecnología de la información corporativa y que el suministro de agua potable no sufrió interrupciones operativas. En la actualidad, el caso se encuentra cerrado desde el punto de vista regulatorio tras la imposición de una sanción por parte de la ICO. La empresa afectada ha comunicado que colaboró con las autoridades durante todo el proceso de investigación y que implementó medidas adicionales de seguridad tras descubrir el incidente.   Referencias 11/05/2026 theregister.com Water company's leaky security earns near-£1M fine 11/05/2026 ico.org.uk Fine of nearly £1m issued against South Staffordshire Plc and South Staffordshire Water Plc following major cyber attack and data breach 12/05/2026 bleepingcomputer.com UK fines water supplier $1.3M for exposing data of 664k customers Etiquetas Ciberseguridad Filtración de datos Ransomware

Inditex refuerza su seguridad tras el incidente de datos vinculado a proveedores externos 21/05/2026 Jue, 21/05/2026 - 09:43 La brecha de seguridad que afectó a Zara e Inditex se dio a conocer públicamente durante el mes de abril de 2026. El incidente fue relacionado con el grupo de ciberdelincuentes ShinyHunters, conocido internacionalmente por participar en filtraciones masivas de información y campañas de extorsión digital. Las primeras publicaciones aparecieron en medios como Reuters y portales de seguridad informática, donde se explicó que la intrusión no se había producido directamente en los sistemas internos de Zara, sino a través de una plataforma de terceros que almacenaba información relacionada con transacciones y servicios de soporte. Poco después, la propia Inditex confirmó la existencia del incidente y señaló que había activado sus protocolos de respuesta y notificación a las autoridades competentes. El incidente se centra en la exposición de información perteneciente aproximadamente a 197.000 clientes, cuyos datos habrían sido obtenidos por los atacantes tras comprometer sistemas asociados a un proveedor tecnológico. Entre los datos afectados se encontrarían direcciones de correo electrónico, identificadores de pedidos, historiales de compras y cierta información operativa relacionada con la atención al cliente. Según la información difundida por la empresa y por distintos investigadores de ciberseguridad, no se habrían visto comprometidas contraseñas de acceso ni datos bancarios completos. Tras detectarse la intrusión, Inditex aseguró haber reforzado las medidas de seguridad, limitado los accesos afectados y comenzado una investigación técnica para determinar el alcance real del ataque. Además, la compañía inició procesos de comunicación con las autoridades regulatorias y con los usuarios potencialmente afectados. Actualmente, el caso continúa siendo objeto de seguimiento por parte de especialistas en ciberseguridad y medios tecnológicos, ya que parte de la información robada habría sido publicada o utilizada como mecanismo de presión por parte de ShinyHunters. Aunque la empresa sostiene que los sistemas críticos y financieros no fueron comprometidos directamente, el incidente ha vuelto a poner en debate la dependencia de grandes compañías respecto a proveedores externos y la necesidad de reforzar los controles de protección de datos.   Referencias 16/04/2026 www.reuters.com Zara owner Inditex reports unauthorised access to transaction databases 08/05/2026 securityaffairs.com Zara Data Breach: 197,000 Customers Exposed in Third-Party Security Incident 08/05/2026 www.moncloa.com Zara sufre brecha de datos: ShinyHunters expone 197.000 clientes tras ataque a proveedor tecnológico 08/05/2026 www.eleconomista.es Zara sufre una filtración de datos que afecta a la información personal de más de 197.000 clientes 09/05/2026 www.cronista.com Hackeo masivo en Zara | Robaron información sensible de este grupo de clientes durante un ciberataque Etiquetas Brecha de seguridad Ciberdelito Ciberseguridad Filtración de datos

Incidente de seguridad digital en Instructure y su impacto en la plataforma Canvas 19/05/2026 Mar, 19/05/2026 - 12:39 A finales de abril y principios de mayo de 2026, el ámbito educativo global se vio afectado por un incidente de seguridad digital que puso en jaque las infraestructuras de aprendizaje en línea. La vulnerabilidad comenzó a ser detectada internamente por la compañía proveedora tecnológica Instructure el 25 de abril. Durante este periodo, coincidente con la época de exámenes finales, la agresión digital paralizó los servicios habituales de miles de campus y generó una alarma internacional ante la exposición masiva de registros confidenciales. El ciberataque fue perpetrado por el reconocido grupo de extorsión informática ShinyHunters, el cual logró vulnerar los sistemas de producción de Instructure y comprometer la plataforma Canvas. Este, afectó a unas 9.000 escuelas de educación primaria y secundaria junto con prestigiosas universidades a nivel mundial, poniendo en riesgo la información personal e identificativa de más de 200 millones de estudiantes y docentes. Entre los datos sustraídos se incluyeron nombres completos, direcciones de correo electrónico, números de identificación académica y miles de millones de mensajes privados intercambiados dentro del sistema, aunque la empresa aclaró que las contraseñas y la información financiera quedaron a salvo. Ante el secuestro visual de las pantallas de inicio de sesión de Canvas por parte de los atacantes para exigir un rescate económico, las instituciones académicas se vieron obligadas a aplicar cierres forzados de sesión, implementar alternativas de conexión de emergencia y alertar a sus comunidades frente a posibles campañas fraudulentas de suplantación de identidad (phishing).  En la actualidad, la situación crítica e inmediata de parálisis operativa se encuentra resuelta tras el restablecimiento del servicio y la intervención de agencias federales de seguridad como el FBI. Instructure emitió un comunicado oficial confirmando que lograron un acuerdo con los atacantes antes de que expirara el ultimátum fijado para el 12 de mayo, obteniendo la recuperación de los datos y pruebas digitales verificables sobre la total destrucción de los registros robados por parte de los ciberdelincuentes.    Referencias 07/05/2026 cnnespanol.cnn.com Hackers irrumpen en Canvas y afectan a universidades en plena semana de exámenes 07/05/2026 www.escudodigital.com El gigante educativo detrás de Canvas sufre un ciberataque que afecta a 8.800 escuelas y universidades 08/05/2026 www.edweek.org A Cyberattack on Canvas Could Cause Lasting Aftershocks for Schools 11/05/2026 www.arlnow.com APS urges families to be vigilant after cyberattacks against Canvas network 14/05/2026 www.reedsmith.com Canvas/Instructure cyberattack – Key developments and action items for higher education institutions Etiquetas Ciberdelito Filtración de datos Vulnerabilidad

Incidente de seguridad en la agencia nacional de identidad digital de Francia 14/05/2026 Jue, 14/05/2026 - 10:13 Entre abril y mayo de 2026, las autoridades francesas confirmaron un incidente de ciberseguridad que afectó a millones de ciudadanos. El caso comenzó a conocerse públicamente después de que aparecieran en foros clandestinos bases de datos supuestamente extraídas de los sistemas de France Titres, anteriormente conocida como ANTS, organismo dependiente del Ministerio del Interior francés. Poco después, la propia agencia reconoció que había detectado una intrusión informática el 15 de abril y que parte de la información personal de usuarios podía haber quedado expuesta. La noticia tuvo una gran repercusión debido a la sensibilidad de los datos almacenados por este organismo, responsable de gestionar documentos oficiales como documentos nacionales de identidad, pasaportes y permisos de conducir.  Según las investigaciones preliminares, los datos comprometidos incluirían nombres completos, direcciones de correo electrónico, fechas de nacimiento, números de teléfono y direcciones postales, aunque las autoridades indicaron que no se habrían visto afectados datos bancarios ni contraseñas. Las sospechas apuntaron hacia un menor de 15 años, investigado por la fiscalía de París por su presunta implicación en el acceso ilegal a los sistemas y en la difusión de la información robada. El caso puso en alerta tanto a organismos públicos como a expertos en ciberseguridad, debido al riesgo de fraude, robo de identidad y campañas de phishing dirigidas a los ciudadanos afectados. Como respuesta inmediata, France Titres activó protocolos de seguridad, notificó el incidente a las autoridades competentes en protección de datos y comenzó una revisión interna de sus sistemas informáticos para contener el alcance de la intrusión y reforzar las medidas de protección digital. Actualmente, la investigación continúa abierta y las autoridades francesas siguen analizando el origen exacto del ataque, el volumen real de datos comprometidos y la posible existencia de más personas implicadas. El menor investigado permanece bajo seguimiento judicial mientras los especialistas forenses revisan dispositivos electrónicos y rastrean las actividades relacionadas con la publicación de la información en foros clandestinos. Paralelamente, el Gobierno francés mantiene labores de supervisión sobre la infraestructura digital de la agencia y ha anunciado medidas para reforzar la ciberseguridad en los servicios públicos que manejan información sensible de la población. Aunque parte de los sistemas afectados ya han sido estabilizados, las autoridades reconocen que todavía existen riesgos derivados del uso indebido de los datos filtrados.    Referencias 20/04/2026 therecord.media Cyberattack at French identity document agency may have exposed personal data 23/04/2026 www.infobae.com Francia reconoce un incidente de seguridad en el portal de la agencia que gestiona los documentos de identidad 30/04/2026 www.theregister.com French prosecutors link 15-year-old to mega-breach at state’s secure document agency 30/04/2026 www.reuters.com France opens formal probe into teenage suspect in massive ID data breach 02/05/2026 www.huffingtonpost.es 11,7 millones de cuentas con datos personales filtradas en Francia: el sospechoso es un menor de 15 años que imitaba a hackers reales con textos de IA Etiquetas Ciberdelito Ciberseguridad Filtración de datos

Rituals detecta un incidente de seguridad que afecta a la base de datos de sus clientes 07/05/2026 Jue, 07/05/2026 - 10:01 Rituals hizo público a finales de abril de 2026 un incidente de ciberseguridad que afectó a parte de su base de clientes, concretamente a los usuarios de su programa de fidelización “My Rituals”. La compañía detectó una actividad sospechosa en sus sistemas durante ese mismo mes, lo que llevó a identificar una descarga no autorizada de datos personales. La rapidez en la detección y comunicación fue un elemento clave en la primera fase de gestión del incidente. La brecha de seguridad implicó el acceso ilícito a datos personales de clientes, incluyendo nombres, direcciones de correo electrónico, números de teléfono, fechas de nacimiento y direcciones físicas. Sin embargo, la empresa aseguró que no se vieron comprometidos datos sensibles como contraseñas o información financiera, lo que limita parcialmente el impacto directo del incidente. Tras detectar la intrusión, Rituals procedió a bloquear el acceso no autorizado, inició una investigación forense para determinar el alcance exacto del ataque y notificó tanto a las autoridades competentes como a los clientes afectados. Además, recomendó a los usuarios extremar las precauciones ante posibles intentos de phishing o fraude utilizando la información sustraída. En el momento actual, el incidente se encuentra bajo investigación, y la compañía continúa evaluando sus implicaciones completas mientras colabora con expertos en ciberseguridad y organismos reguladores. No se han reportado, por ahora, consecuencias masivas derivadas del uso indebido de los datos filtrados, aunque el riesgo permanece latente debido a la naturaleza de la información expuesta.    Referencias 22/04/2026 www.retaildetail.es Unos hackers roban datos de clientes de Rituals 22/04/2026 www.cadena3.com Rituals confirma un robo de datos de sus clientes tras un ataque cibernético 23/04/2026 www.escudodigital.com Un ciberataque roba datos de clientes de la cadena de cosméticos Rituals 24/04/2026 www.techradar.com Dutch cosmetic powerhouse Rituals confirms breach and stolen data from 'My Rituals' membership database 25/04/2026 blog.nivel4.com Gigante de cosméticos europea confirma brecha que expuso datos de clientes de su programa de fidelización Etiquetas Brecha de seguridad Ciberseguridad Filtración de datos

Detección de un acceso no autorizado a datos de usuarios de Booking 05/05/2026 Mar, 05/05/2026 - 12:45 El ciberataque a la plataforma de reservas Booking.com se hizo público el 13 de abril de 2026, cuando la empresa reconoció haber detectado actividad sospechosa en sus sistemas. La noticia comenzó a difundirse ese mismo día a través de medios nacionales e internacionales, tras la notificación enviada a usuarios potencialmente afectados. El incidente implicaba el acceso no autorizado a determinados datos vinculados a reservas. Aunque no se precisó inicialmente el alcance total del ataque, sí se confirmó que se trataba de un problema de seguridad relevante a nivel global. Desde entonces, el caso ha sido seguido de cerca tanto por expertos en ciberseguridad como por autoridades y medios de comunicación. En el desarrollo de los hechos, la empresa explicó que terceros no autorizados habían accedido a información personal de algunos usuarios, incluyendo nombres, direcciones de correo electrónico, números de teléfono y detalles de reservas. No obstante, subrayó que no se habían visto comprometidos datos financieros como tarjetas de crédito. Los principales afectados fueron clientes que habían realizado reservas a través de la plataforma, cuyos datos podrían ser utilizados en intentos de fraude, especialmente mediante técnicas de phishing. Como respuesta inmediata, la compañía implementó medidas como el restablecimiento de PIN de seguridad, el refuerzo de sus sistemas y el envío de advertencias a los usuarios para prevenir posibles estafas. Además, se inició una investigación interna para determinar el origen y alcance exacto del incidente. El caso continúa en análisis mientras la empresa trabaja en reforzar sus protocolos de seguridad y colaboración con expertos externos. Aunque el ataque parece haber sido contenido, persiste el riesgo de que los datos obtenidos sean utilizados en campañas de fraude dirigidas, por lo que las autoridades y la propia plataforma recomiendan mantener la vigilancia.   Referencias 13/04/2026 www.bleepingcomputer.com New Booking.com data breach forces reservation PIN resets 13/04/2026 techcrunch.com Booking.com confirms hackers accessed customers’ data 13/04/2026 securityaffairs.com Hackers access Booking.com user data, company secures systems 13/04/2026 www.rtve.es Booking sufre un ciberataque y confirma el robo de datos personales de algunos de sus clientes 13/04/2026 cadenaser.com Booking notifica un ciberataque que expone datos de clientes y advierte de nuevas estafas en circulación 15/04/2026 www.huffingtonpost.es Alerta en Booking.com: un hackeo expone datos de clientes y dispara las estafas de "secuestro de reservas" Etiquetas Ciberseguridad Filtración de datos

Explotación de la vulnerabilidad React2Shell (CVE-2025-55182) 30/04/2026 Jue, 30/04/2026 - 10:44 La vulnerabilidad conocida como React2Shell (CVE-2025-55182) fue divulgada públicamente a comienzos de diciembre de 2025, cuando el equipo de React emitió un aviso de seguridad urgente alertando de un fallo crítico en su arquitectura de componentes de servidor. En ese mismo periodo, el ecosistema de frameworks que dependen de React, especialmente Next.js, comenzó a evaluar el impacto del problema. En cuestión de días, la comunidad de ciberseguridad y múltiples empresas tecnológicas confirmaron la gravedad de la vulnerabilidad, destacando su potencial para permitir ejecución remota de código sin autenticación. La rapidez con la que se difundió la información hizo que numerosos equipos de desarrollo activaran protocolos de respuesta ante incidentes. Esta vulnerabilidad permite a atacantes explotar fallos en el mecanismo de serialización de React Server Components, facilitando la ejecución de código malicioso en servidores que ejecutan aplicaciones afectadas. Poco después de su divulgación, se detectaron campañas activas de explotación, algunas atribuidas a grupos organizados, que aprovecharon el fallo para comprometer sistemas y extraer datos sensibles como credenciales, tokens y configuraciones internas. Entre los principales afectados se encuentran empresas que utilizan aplicaciones construidas con React y Next.js, incluyendo plataformas en producción que no habían aplicado los parches a tiempo. Como respuesta, los equipos de desarrollo de React y proveedores como Vercel publicaron actualizaciones de seguridad y guías de mitigación, recomendando actualizar dependencias, restringir endpoints vulnerables y monitorizar accesos sospechosos. Además, empresas de ciberseguridad emitieron alertas urgentes ante la explotación activa a gran escala. En el estado actual, la vulnerabilidad se considera conocida y parcialmente contenida, aunque sigue representando un riesgo significativo en sistemas que no han sido actualizados o auditados correctamente. A lo largo de 2026 se han seguido detectando campañas que explotan instancias desprotegidas, lo que indica que el problema persiste más allá de su divulgación inicial.   Referencias 02/04/2026 thehackernews.com Hackers Exploit CVE-2025-55182 to Breach 766 Next.js Hosts, Steal Credentials 05/04/2026 www.bleepingcomputer.com Hackers exploit React2Shell in automated credential theft campaign 06/04/2026 www.darkreading.com Automated Credential Harvesting Campaign Exploits React2Shell Flaw 07/04/2026 gbhackers.com Hackers Exploit Next.js React2Shell Vulnerability, Breach 766 Hosts in 24 Hours 07/04/2026 unaaldia.hispasec.com React2Shell (CVE-2025-55182) se explota para robar secretos en masa en apps Next.js Etiquetas Explotación RCE Vulnerabilidad

Numerosos sitios web afectados tras la detección de una vulnerabilidad en Smart Slider 3 de WordPress 28/04/2026 Mar, 28/04/2026 - 15:15 El incidente se dio a conocer a finales de marzo de 2026, cuando diversos medios especializados en ciberseguridad comenzaron a alertar sobre una vulnerabilidad crítica en el plugin Smart Slider 3, ampliamente utilizado en el ecosistema de WordPress. El fallo fue catalogado con el identificador CVE-2026-3098, lo que indica que había sido registrado formalmente en bases de datos de vulnerabilidades. Desde el primer momento, se destacó la magnitud del problema debido a la enorme cantidad de instalaciones activas del plugin afectado, lo que generó preocupación en la comunidad de administradores web y especialistas en seguridad. El problema radica en una vulnerabilidad que permitía a usuarios con permisos limitados acceder a archivos sensibles del sistema, facilitando así el robo de credenciales y otros datos críticos. Se estima que más de 500.000 sitios web podrían haber estado expuestos, dentro de un total de más de 800.000 instalaciones del plugin. Los principales afectados han sido administradores de sitios web que utilizaban versiones vulnerables del plugin, especialmente aquellos que no contaban con medidas de seguridad adicionales. Tras la divulgación del fallo, se activaron los protocolos habituales de respuesta: notificación a los desarrolladores, difusión en canales de ciberseguridad y previsiblemente la publicación de actualizaciones para corregir la vulnerabilidad, junto con recomendaciones de mitigación como la actualización inmediata y la revisión de accesos. El incidente parece estar en fase de contención, siempre que los administradores hayan aplicado las actualizaciones correspondientes y revisado posibles accesos indebidos. No obstante, persiste el riesgo para aquellos sitios que continúan utilizando versiones desactualizadas del plugin, lo que podría facilitar ataques oportunistas incluso después de la divulgación pública.   Referencias 06/03/2026 telconet.net Vulnerabilidad crítica en plugin User Registration & Membership de WordPress permite creación de cuentas administrador 30/03/2026 cronup.com Feed de Noticias de Ciberseguridad [30/03/2026] 30/03/2026 bitlifemedia.com Un fallo crítico en un plugin de WordPress expone más de 500.000 webs a robo de datos 08/04/2026 mysites.guru Smart Slider 3 Hack Allows Any File to Be Downloaded 21/04/2026 a3sec.com CVE-2026-3098: Más de 800.000 Sitios Afectados - Plugin Smart Slider 3 de WordPress Etiquetas Vulnerabilidad

AstraZeneca refuerza su ciberseguridad tras un ataque informático 21/04/2026 Mar, 21/04/2026 - 16:28 En marzo de 2026, la compañía farmacéutica AstraZeneca sufrió un importante ciberataque que desencadenó una interrupción de sus sistemas informáticos y el robo de datos confidenciales. Aunque AstraZeneca no ha emitido un comunicado oficial confirmando todos los detalles, el ataque generó una gran preocupación debido al tipo de datos involucrados y la vulnerabilidad de las infraestructuras tecnológicas en grandes corporaciones. El ciberataque, presuntamente llevado a cabo por el grupo de hackers LAPSUS$, resultó en la exfiltración de aproximadamente 3 GB de datos, incluyendo códigos fuente internos, credenciales de acceso y otros archivos de alta confidencialidad. La información robada no incluye, según los primeros informes, datos relacionados con pacientes o clientes, lo que sugiere que el impacto podría haber sido limitado en términos de privacidad de usuarios finales. Sin embargo, el robo de datos técnicos e infraestructura pone en riesgo la seguridad de los sistemas y la reputación de la empresa. Hasta ahora, no se han divulgado las medidas tomadas por AstraZeneca, y no se ha confirmado públicamente si los atacantes han intentado vender los datos en mercados clandestinos. A pesar de las afirmaciones de los atacantes de haber puesto a la venta los datos, no ha habido informes oficiales sobre el impacto directo en operaciones comerciales o relaciones con terceros. La situación aún está en desarrollo, y es posible que en las próximas semanas se publiquen más detalles o que la empresa emita un comunicado detallado sobre las acciones correctivas y las investigaciones en curso. Referencias 24/03/2026 pharmaphorum.com AstraZeneca reportedly hit by serious cyberattack 25/03/2026 bitlifemedia.com AstraZeneca sufre un ciberataque con interrupción de sistemas informáticos y robo de datos confidenciales 26/03/2026 apolocybersecurity.com Cyberattack on AstraZeneca: what happened and what it involves Etiquetas Incidente Vulnerabilidad

Incidente con IA en Meta impulsa mejoras en seguridad y control de sistemas autónomos 16/04/2026 Jue, 16/04/2026 - 18:25 El incidente que involucró a un agente de inteligencia artificial de Meta ocurrió a mediados de marzo de 2026 y se dio a conocer inicialmente gracias a filtraciones obtenidas por medios especializados en tecnología. En los primeros días tras el suceso, publicaciones como The Information y posteriormente The Verge y The Guardian comenzaron a difundir detalles del caso. Por otro lado, en redes sociales y algunos portales, la noticia fue presentada de forma sensacionalista como una “rebelión” de la IA, aunque los informes más rigurosos matizaron desde el principio que se trataba de un fallo operativo. El contexto general del incidente se enmarca en el uso creciente de agentes autónomos dentro de entornos corporativos, especialmente para asistencia técnica y automatización de tareas internas. Este tipo de herramientas, aún en desarrollo, operan con cierto grado de autonomía, lo que introduce nuevos riesgos si no se supervisan adecuadamente. El problema surgió cuando un ingeniero de Meta consultó a un agente de IA interno en un foro corporativo y recibió instrucciones incorrectas que, al aplicarse, provocaron la exposición temporal de información sensible a empleados sin autorización. La filtración se mantuvo activa durante aproximadamente dos horas antes de ser detectada y contenida por los equipos de seguridad de la compañía. Aunque no hay evidencia de que datos de usuarios externos fueran comprometidos, sí se reconoce que información interna quedó accesible de forma indebida dentro de la organización. Meta clasificó el incidente como de alta gravedad y activó protocolos de respuesta rápida, incluyendo la restricción inmediata de accesos y la revisión de los sistemas implicados. La empresa también emitió un comunicado en el que atribuyó el origen del problema a información inexacta generada por la IA, subrayando que el error fue posible por la interacción humana que ejecutó dichas indicaciones sin una verificación adicional. El incidente se considera cerrado desde el punto de vista operativo, aunque sigue siendo objeto de análisis interno y debate. Meta ha reforzado sus controles de seguridad, especialmente en lo relativo al uso de agentes de IA en procesos sensibles, y se espera que implemente nuevas salvaguardas para evitar situaciones similares en el futuro. Entre las posibles acciones, tomadas por la empresa, se incluyen la mejora de los sistemas de validación de respuestas generadas por IA, la limitación de permisos automatizados y una mayor supervisión humana en tareas críticas.   Referencias 19/03/2026 news.aibase.com Meta's Rebel AI: Internal Secrets Leaked, Security Level Rises to Second Highest 19/03/2026 www.trendingtopics.eu Two Hours, Zero Control: How a Meta AI Agent Sparked a Major Data Leak 20/03/2026 www.theguardian.com Meta AI agent’s instruction causes large sensitive data leak to employees 25/03/2026 securitybrief.asia Meta AI agent exposes sensitive data in internal leak Etiquetas Filtración de datos Inteligencia artificial

Refuerzo de la ciberseguridad empresarial frente a nuevas campañas de suplantación en plataformas colaborativas 09/04/2026 Jue, 09/04/2026 - 13:04 Los primeros datos sobre una campaña de ciberataques contra entidades del ámbito financiero y sanitario, en la que los atacantes se valieron de herramientas corporativas muy empleadas como Microsoft Teams para ejecutar acciones maliciosas. Las primeras investigaciones, alertaron de un patrón inusual de intrusiones que empleaban métodos sofisticados de ingeniería social. En los días posteriores, distintos medios especializados y organismos de respuesta a incidentes comenzaron a publicar análisis técnicos y alertas, lo que permitió dimensionar el alcance de la amenaza. Este contexto temporal se ubica entre el 15 y el 24 de marzo de 2026 y marca el inicio de la divulgación pública de una campaña que probablemente llevaba activa desde semanas anteriores.  La noticia se cenrta en un método de ataque que combina la saturación de correos electrónicos, conocida como email bombing, con la suplantación de personal de soporte técnico a través de Microsoft Teams, lo que permite a los atacantes ganarse la confianza de las víctimas. Una vez establecido el contacto, los ciberdelincuentes llevan a los usuarios a utilizar herramientas legítimas de acceso remoto como Quick Assist, lo que les permite controlar con facilidad los dispositivos afectados. Tras obtener el acceso, se despliega el malware A0Backdoor, que permite mantener persistencia, exfiltrar información y potencialmente preparar el entorno para ataques más destructivos, como el ransomware. La mayoría de las entidades afectadas pertenecen a áreas con gran sensibilidad de datos, lo que hace que el incidente tenga un mayor impacto. Ante esta situación, diversos CSIRT y organismos oficiales han emitido recomendaciones como restringir accesos remotos, reforzar la autenticación y mejorar la monitorización de tráfico de red, especialmente en lo relativo a técnicas como el DNS tunneling. El incidente se encuentra en fase de contención y análisis, con múltiples entidades de ciberseguridad y organismos públicos monitorizando la evolución de la campaña y compartiendo indicadores de compromiso. A pesar de que no se ha reportado una detención absoluta de la actividad maliciosa, sí se aprecia un incremento en la consciencia y en la implementación de acciones preventivas entre las organizaciones que tienen el potencial de ser vulnerables. Se espera que en el futuro se sigan publicando informes técnicos más detallados que permitan atribuir con mayor certeza la autoría y comprender mejor las capacidades del malware implicado. En este sentido, la evolución del suceso dependerá tanto de la respuesta coordinada entre entidades como de la capacidad de adaptación de los atacantes frente a las nuevas medidas defensivas implementadas.   Referencias 15/03/2026 unaaldia.hispasec.com Atacantes suplantan al soporte técnico en Microsoft Teams para desplegar el malware A0 Backdoor en empresas financieras y sanitarias 16/03/2026 blog.infrascan.net Ataque de Microsoft Teams Quick Assist Despliega A0Backdoor 17/03/2026 seguridad.cicese.mx Atacantes suplantan al soporte técnico en Microsoft Teams para desplegar el malware A0 Backdoor en empresas financieras y sanitarias 17/03/2026 csirt.telconet.net Campaña A0Backdoor vía Microsoft Teams 24/03/2026 ciberseguridadegalicia.gal Campaña activa de suplantación mediante Microsoft Teams para acceso remoto no autorizado Etiquetas Cibercrimen Filtración de datos Ransomware