Esta semana, algunos ataques no requirieron de estrategias complejas. Un llamado de soporte falso, una extensión confiable, un enlace compartido o un dispositivo sin contraseña. Detalles aparentemente insignificantes que, en realidad, tienen el potencial de desatar serios problemas. Sin embargo, los incidentes más graves fueron aún más alarmantes. Se estima que miles de millones de dólares han sido sustraídos, se han detectado redes ocultas de dispositivos hackeados, software envenenado y atacantes que encuentran nuevas formas de utilizar herramientas comunes en contra de sus usuarios. Resulta paradójico que, en muchos casos, el daño comenzara en lugares donde nadie estaba prestando atención.

Además, la lista de nuevas vulnerabilidades, servicios poco fiables y estafas en circulación parece interminable. A continuación, se presentan algunos de los incidentes más destacados.

Un grupo de hackeo patrocinado por el estado norcoreano ha establecido un nuevo récord al robar 6.43 mil millones de dólares en activos virtuales de la plataforma Binance, según la atribución oficial del Buró Federal de Investigación (FBI) de Estados Unidos, que ha señalado al grupo de hackers conocido como TraderTraitor como responsable de este robo. Este hurto supera ampliamente los 1.46 mil millones de dólares que fueron saqueados de Bybit en febrero de 2025, convirtiéndose así en el mayor robo de criptomonedas en la historia. Los fondos fueron sustraídos a través de 11 blockchains, de las cuales el 82% pertenecen a Ethereum y Bitcoin. De los 6.43 mil millones de dólares robados por TraderTraitor, aproximadamente 2.85 mil millones de dólares han sido congelados en cadena por las plataformas Tether, Circle, Ripple, Arbitrum y Optimism.

El grupo de hackeo chino patrocinado por el estado, Volt Typhoon, ha estado utilizando un marco que se basa en cadenas rotativas de dispositivos comprometidos a demanda, lo que les permite llevar a cabo ataques de día cero dirigidos a sistemas de alto valor. Este esquema, denominado "Silent Train" (Tren Silencioso), se caracteriza por el uso selectivo contra objetivos específicos, donde el actor de amenazas limpia el rastro tras cada operación para minimizar la detección y la atribución, y lo actualiza de manera continua. Silent Train funciona como una infraestructura de relay compuesta por dispositivos comprometidos que ocultan el origen de los ataques. Las investigaciones han revelado evidencias de esfuerzos para posicionar previamente accesos en lo que se ha descrito como "comunicaciones estratégicas, infraestructura crítica y otros ecosistemas que se vuelven esenciales durante tensiones geopolíticas o crisis". La naturaleza de las víctimas sugiere un esfuerzo deliberado por mantener acceso a ecosistemas críticos que respaldan operaciones de defensa, logística, comunicaciones, tanto militares como civiles, especialmente en momentos de tensiones elevadas en la región Indopacífica.

Por otro lado, la plataforma de mercados de predicción Polymarket suspendió temporalmente el comercio tras un ataque que comprometió a DebugBear, un servicio de terceros. Los atacantes utilizaron este acceso para distribuir un JavaScript malicioso que drenó aproximadamente 2.7 millones de dólares en activos de 33 billeteras en menos de una hora. DebugBear informó en una actualización, el 31 de octubre de 2026, que sus registros de servidor DNS fueron comprometidos a través de su registrador de dominio, lo que les impidió recibir correos electrónicos enviados a su dominio. Según su investigación inicial, este ataque estaba dirigido al sitio web de un cliente específico, aunque no había indicios de que sus sistemas internos fueran vulnerados. En junio, Polymarket había revelado otro compromiso de un tercero que inyectó un script malicioso en su interfaz, lo que resultó en pérdidas reportadas de alrededor de 3 millones de dólares.

Investigadores de Parameter Labs dieron a conocer una vulnerabilidad, ya corregida, en ChatGPT que convertía un enlace de compartir ordinario en un JavaScript controlado por el atacante, ejecutándose dentro de la sesión autenticada del usuario que lo abría. Según Parameter Labs, un atacante podría crear una conversación maliciosa, publicarla utilizando la función normal de compartir de ChatGPT y enviar el enlace a otro usuario. Cuando la víctima abría el enlace compartido, el payload se ejecutaba como si fuera chatgpt.com, con acceso a la sesión web autenticada de la víctima. La explotación exitosa de esta vulnerabilidad podría permitir al atacante enumerar la lista de conversaciones de la víctima, recuperar contenido de una conversación privada y enviar datos de esa conversación a un servidor externo.

Finalmente, se ha detectado que dos versiones de la extensión Claude Code distribuidas a través de Cursor Marketplace fueron manipuladas para instalar un backdoor SSH persistente en los sistemas afectados. Cursor informó que este incidente impactó a hasta 5,000 usuarios. En respuesta, la empresa rotó sus claves, reconstruyó el mercado y trabajó con el proveedor de servicios en la nube para desconectar el servidor, asegurando que el shell inverso ya no fuera funcional. Aunque Cursor enfatizó que no hubo modificaciones maliciosas en otras extensiones como parte del ataque, quedan muchas preguntas sin respuesta sobre cómo el actor de amenazas logró publicar una extensión maliciosa bajo el nombre de Anthropic en el mercado de Cursor y qué nivel de acceso pudo obtener.

El FBI confisca el proveedor de hosting a prueba de balas Virtualine. El Departamento de Justicia de Estados Unidos (DoJ) ha anunciado la incautación de un dominio asociado a un proveedor de hosting conocido como Virtualine, el cual ha sido señalado como un facilitador de actividades delictivas de gran envergadura. Entre las actividades criminales que se llevaban a cabo a través de este servicio se incluyen la publicidad de imágenes sexualmente explícitas de menores, la divulgación intencionada de representaciones visuales íntimas no consensuadas de adultos y menores, así como el blanqueo de capitales a nivel internacional, diseñado para ocultar y promover conductas delictivas. A pesar de estas medidas enérgicas, se ha puesto en duda el impacto a largo plazo de tales acciones. Según informes de Intel 471, estas interrupciones han llevado a los clientes a buscar nuevos servicios dirigidos por antiguos revendedores, fragmentando así el mercado en lugar de eliminar la demanda existente. Esta revelación se produce en un momento en que la Australian Signals Directorate ha afirmado haber obtenido acceso al backend de las operaciones de Amadey, cortando su acceso a 180,000 computadoras en todo el mundo.

Keystone destruye 18,835 carteras de hardware. Keystone ha confirmado un incidente de seguridad relacionado con su sitio web oficial, donde un atacante aprovechó una vulnerabilidad en una herramienta de monitorización de datos de terceros para escalar privilegios y obtener cierta información de clientes, así como una clave utilizada para verificar la autenticidad de sus dispositivos. Este ataque afectó a un total de 25,964 registros que contenían nombres, datos de contacto, direcciones de envío e información de pedidos, además de 12,873 registros de compra que incluían también datos personales y de envío proporcionados por los usuarios. Aparte de dejar de utilizar la antigua clave, Keystone ha anunciado su intención de destruir 18,835 dispositivos en su inventario que todavía contienen dicha clave comprometida. "El envío de todos los pedidos no enviados desde nuestro sitio web oficial ha sido suspendido", declaró la empresa. "Las ventas cambiarán a un modelo de pre-pedido hasta que se complete la producción de dispositivos que utilicen la nueva clave, momento en el cual se reanudará el envío." En un desarrollo relacionado, otro fabricante de carteras de criptomonedas, Trezor, ha informado haber recibido informes creíbles sobre un posible implante de robo de hardware en un Trezor Safe 5 vendido por su revendedor CryptoBilis en el sudeste asiático. "Si compraste un Trezor de CryptoBilis a partir de marzo de 2026 y lo estás utilizando para almacenar fondos, te instamos a que muevas tus activos a una nueva cartera con una nueva semilla lo antes posible", advirtió la compañía.

El spyware para Android uCreator puede clonar cuentas de WeChat. Un spyware comercial para Android, conocido como uCreator, ha sido diseñado para dirigirse a usuarios comunes de billeteras móviles y aplicaciones de mensajería en China y el sudeste asiático, incluyendo plataformas como GCash (Filipinas), WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber y MoMo. Además, tiene la capacidad de clonar cuentas de WeChat. Las víctimas instalan copias reempaquetadas de aplicaciones legítimas distribuidas a través de sideloading o flujos de ingeniería social. El ataque utiliza una variación de técnicas de virtualización en dispositivo que se han observado en malware como GodFather para llevar a cabo fraudes. "GodFather ejecuta la aplicación bancaria dentro de un contenedor virtual y coloca una superposición falsa encima para robar credenciales: la víctima está realmente escribiendo en la pantalla del atacante", explicó el investigador de seguridad Ovi Liber. "uCreator comparte el sustrato, pero no dibuja ninguna superposición. Este es un caso de superponer la aplicación versus instrumentar la aplicación, siendo esta segunda opción más silenciosa y no confinada a una pantalla de inicio de sesión. Como operador, puede escalar a cualquier aplicación para la que el proveedor escriba un módulo."

Gheist convierte GitHub Actions en un servicio de extracción de secretos. Se ha observado una campaña automatizada denominada Gheist que planta un flujo de trabajo de volcado de secretos, llamado "sync-check", en cada repositorio al que pueden acceder los tokens de GitHub robados. "El flujo de trabajo busca imprimir los secretos del repositorio en su propio registro de flujo de trabajo", afirmó Wiz. "Luego, la herramienta descarga el registro a través de la API de GitHub y elimina la ejecución segundos después." La compañía de seguridad en la nube de Google ha recuperado más de 13,500 ramas plantadas de más de 850 cuentas comprometidas. Esta campaña fue detectada por primera vez a mediados de septiembre de 2026.

Los errores se reportan semanalmente, y la brecha entre un parche y un exploit se está reduciendo rápidamente. Estos son los fallos más críticos de la semana: aquellos de alta severidad, ampliamente utilizados o que ya están siendo explotados en la naturaleza. Es esencial revisar la lista, aplicar los parches disponibles y atender primero aquellos marcados como urgentes, tales como CVE-2026-115889, CVE-2026-115893 (Wasmtime), CVE-2026-90975 (Fireblocks mpc-lib), CVE-2026-91141 (COVESA vsomeip), CVE-2026-88781, CVE-2026-75775, CVE-2026-75779, CVE-2026-93489, CVE-2026-17518, CVE-2026-75753, CVE-2026-102438, CVE-2026-14911, CVE-2026-16528, CVE-2026-19386, CVE-2026-19396, CVE-2026-93495, CVE-2026-14157, CVE-2026-13313 (ASUS), CVE-2026-114573, CVE-2026-9082, CVE-2026-118539 (Drupal), CVE-2026-114595, CVE-2026-114596, CVE-2026-114597, CVE-2026-114598 (EPICS Base), CVE-2026-97631 (TianoCore EDK II), CVE-2026-115881, CVE-2026-115884 (GoAhead), CVE-2026-110720 (HashiCorp consul-k8s), CVE-2026-90885, CVE-2026-85250, CVE-2026-88901, CVE-2026-88900, CVE-2026-78165, CVE-2026-85251 (Apache Camel), CVE-2026-115547 (Okta), CVE-2026-114349, CVE-2026-111551 (Apache Kafka), CVE-2026-118306, CVE-2026-118331, CVE-2026-118348, CVE-2026-118344, CVE-2026-106378 (Google Chrome), desde CVE-2026-117860 hasta CVE-2026-117954, desde CVE-2026-118005 hasta CVE-2026-118017 (Mozilla Firefox), CVE-2026-98432 (núcleo de Linux), CVE-2026-18672, CVE-2026-19219 (Telerik UI para ASP.NET AJAX), TRA-2020-14 (Kodi), CVE-2026-107239, CVE-2026-107238, CVE-2023-22793 (Veeam), CVE-2026-103401, CVE-2026-103402, CVE-2026-103403, CVE-2026-103404, CVE-2026-103405, CVE-2026-103406, CVE-2026-103407, CVE-2026-103408, CVE-2026-103409 (Juniper Networks Session Smart Router), CVE-2026-111585 (TeamViewer), CAN-2026-2035970 (cámaras IP de Intelbras), CVE-2026-103594, CVE-2026-112709, CVE-2026-112710, CVE-2026-93857, CVE-2026-103593, CVE-2026-93865, CVE-2026-93866 (WatchGuard Fireware OS), CVE-2026-101296, CVE-2026-101356, CVE-2026-103119 (Apache Tomcat), CVE-2026-112816 (Canonical LXD), CVE-2026-93680, CVE-2026-110186 (Langflow OSS), y una vulnerabilidad de ejecución remota de código autenticada en TightVNC.

La importancia del contexto de identidad en la respuesta del SOC

Las herramientas de ciberseguridad son capaces de detectar actividades sospechosas, pero sin un contexto de identidad adecuado, las amenazas críticas pueden pasar desapercibidas. A medida que las identidades de máquina y los agentes de inteligencia artificial amplían la superficie de ataque, los equipos del Centro de Operaciones de Seguridad (SOC) requieren una visibilidad más profunda para responder de manera efectiva. En este sentido, se invita a participar en un seminario web dirigido por expertos, donde se explorará cómo la conexión de la inteligencia de identidad con las operaciones de seguridad puede ayudar a descubrir riesgos ocultos, acelerar las investigaciones y contener las amenazas de manera más rápida.

Amenazas de IA: Un desafío inminente para la ciberseguridad

Los ciberataques impulsados por inteligencia artificial están en auge, reduciendo drásticamente el tiempo que los equipos de seguridad tienen para detectar, investigar y responder a incidentes. La pregunta que se plantea es si las defensas actuales están preparadas para hacer frente a esta nueva realidad. En un próximo seminario web, se abordará cómo fortalecer la preparación ante amenazas de IA, mejorar la visibilidad de la superficie de ataque y construir operaciones de seguridad más rápidas y resilientes antes de que los atacantes tomen la delantera.

Campaña masiva de secuestro de búsquedas

Una importante campaña de secuestro de búsquedas, denominada Searchjacked, ha involucrado a 319 extensiones de Chrome con un total de 13.4 millones de instalaciones reportadas, que han interceptado las búsquedas de los usuarios a través de servidores de seguimiento, capturando consultas y recolectando pagos por referencia de Microsoft Bing y Yahoo. Los hallazgos de la empresa Socket amplían las revelaciones de abril de 2025, cuando se identificaron 57 extensiones de Chrome con seis millones de usuarios, añadiendo 264 nuevos complementos que suman otros 8.7 millones de usuarios. Aunque estas extensiones están alojadas en la Chrome Web Store, no están listadas y no aparecen en las búsquedas de los usuarios en la tienda de extensiones. En su lugar, se promocionan a través de anuncios dudosos que aparecen como ventanas emergentes en diversos sitios web. Además, Socket ha descubierto un grupo de extensiones maliciosas para Firefox que imitan a las carteras Phantom, Jupiter y Bitget con el fin de robar frases de recuperación y claves privadas. Una tercera campaña, documentada por Am I Being Pwned?, involucra 60 extensiones de Chrome con 2.3 millones de instalaciones distribuidas entre cuatro cuentas de publicadores. Estas extensiones, conocidas como OffiDocs, se hacen pasar por programas de documentos y exfiltran todas las URL visitadas por los usuarios para ser compartidas con socios comerciales y otras terceras partes, o redirigen a los usuarios a sus páginas en redcoolmedia.net o runapps.org.

Intrusiones operadas por humanos

Microsoft ha revelado detalles sobre dos intrusiones operadas por humanos en las que los actores de amenazas utilizaron mensajes y llamadas de Microsoft Teams para hacerse pasar por personal de TI o asistencia técnica, manipulando socialmente a los usuarios para que concedieran acceso remoto interactivo, principalmente a través de Quick Assist. Según Microsoft, "una vez conectados, los actores de amenazas instalaron entornos portátiles de Python, Bun o Java, realizaron descubrimientos de host y red, y evaluaron los Servicios de Certificado de Active Directory (AD CS) en busca de rutas de autenticación basadas en certificados". Este patrón de intrusión es de alto impacto porque una sesión remota aprobada por el usuario puede convertirse en acceso respaldado por certificados a identidades privilegiadas e infraestructuras de dominio.

Vulnerabilidades como puerta de entrada

Los actores de amenazas están cada vez más recurriendo a las vulnerabilidades como un medio para infiltrarse en los sistemas corporativos, mientras que los ataques de exfiltración y extorsión han emergido como la categoría de mayor crecimiento en el tercer trimestre de 2026.

Navegadores anti-detección

Check Point ha detallado tres navegadores anti-detección: Kameleo, AdsPower y MultiLogin, que permiten a un único operador gestionar silenciosamente miles de cuentas aisladas en múltiples plataformas y evadir los sistemas de detección que buscan estafas y comportamientos inauténticos coordinados. "Los actores de amenazas abusan de estas plataformas, apoderándose de cuentas y utilizándolas para fraudes financieros, phishing y distribución de malware", afirmó Check Point. "Estas cuentas también pueden ser utilizadas para coordinar operaciones de influencia, lo que se convierte en una preocupación aún mayor de cara a las elecciones. Estas herramientas ya integran inteligencia artificial, desde plantillas de automatización incorporadas hasta la oferta de un servidor MCP dedicado que envía contenido generado por LLM directamente a perfiles de cuenta precalentados a velocidad de máquina. Ahora, llevar a cabo una operación de redes sociales a gran escala requiere solo una tarjeta de crédito en lugar de un equipo técnico".

Ciberataques a sistemas de alerta de emergencia

Tanto Rusia como Ucrania han informado que sus sistemas de alerta de emergencia fueron objeto de ciberataques. Estos ataques provocaron que ambos sistemas enviaran alertas de emergencia falsas. Según la BBC, la aplicación de alertas de ataques aéreos de Ucrania emitió falsos avisos de alerta roja a nivel nacional. Unas horas más tarde, Rusia anunció que su aplicación de alertas también había sido atacada, pero afirmó que era solo un servicio "ancilar" entre sirenas y otras advertencias. No está claro si los dos incidentes están conectados.

Campaña de malware sofisticado en el sector bancario indio

Una sofisticada campaña de malware en Android ha estado atacando el sector bancario indio desde julio de 2025, utilizando siete familias de troyanos distintas que facilitan el fraude bancario a través de phishing coordinado, robo de credenciales y criptominería no autorizada. Esta campaña es orquestada por un grupo de amenazas motivado financieramente, conocido como CyberDakait, que opera en India desde enero de 2025. Las familias de malware identificadas son GhostBat, cyb3rx, godz, d-passive, d-shine, tenxen y appkjl. Distribuidos mediante campañas de smishing y vishing coordinadas, están diseñados para recopilar información sensible, incluyendo credenciales de aplicaciones móviles bancarias, detalles de tarjetas de crédito y saldos pendientes, a través de sofisticados ataques de superposición. "El objetivo principal de la campaña es la distribución de malware en Android para llevar a cabo criptominería y fraude bancario elaborado", declaró Group-IB. "Las aplicaciones maliciosas suelen estar alojadas en repositorios de GitHub para mantener su legitimidad y evadir controles de seguridad, donde el APK inicial actúa como un dropper que descarga y ejecuta la carga principal junto con un módulo de minería de criptomonedas, permitiendo a los actores de amenazas generar ingresos tanto por robo financiero directo como por minería de criptomonedas no autorizada en dispositivos infectados". Hasta la fecha, se han identificado al menos 17,960 dispositivos comprometidos, y aproximadamente 7.6 millones de mensajes SMS han sido interceptados desde dispositivos de las víctimas.

Una nueva campaña de phishing ha disfrazado el robo de credenciales como una invitación a un evento privado sobre inteligencia artificial organizado por Anthropic. Esta táctica utiliza la marca de GoTo Webinar, una página de registro similar a Zoom y páginas de inicio de sesión convincentes de Google y Microsoft, todo con el objetivo de capturar las credenciales de acceso de los usuarios. Según Cofense, los riesgos que enfrenta una organización a causa de esta campaña son significativos: los actores amenazantes pueden comprometer cuentas sensibles, acceder a documentos confidenciales (por ejemplo, material de marketing propietario) y utilizar la cuenta comprometida como un vector inicial para infiltrar aún más la organización.

Por otro lado, se ha identificado una nueva campaña que utiliza correos electrónicos de phishing con temática judicial, dirigidos a organizaciones colombianas, para distribuir el malware XWorm a través de una cadena de múltiples etapas. Según Arctic Wolf, los archivos adjuntos iniciales imitan correspondencia administrativa o judicial legítima de Colombia, lo que aumenta la probabilidad de que se engañe a las víctimas.

Además, múltiples equipos de "traffickers" de habla rusa han adaptado modelos de fraude por afiliación para capitalizar el creciente interés público en los mercados de predicción, como PolyMarket y Kalshi. Según Recorded Future, las plataformas ofrecidas por tres de estos equipos —AtlasCore, PolyFucked y Magnetic Team— proporcionan sitios web, paneles de administración, infraestructura de pago en criptomonedas, capacidades de gestión de víctimas, soporte técnico y orientación promocional. Este modelo reduce las barreras de entrada para los afiliados y permite a las campañas escalar rápidamente a medida que nuevas tendencias atraen a posibles víctimas. Los servicios combinan interfaces de mercado de predicción convincentes con mecanismos de fraude establecidos, diseñados para manipular a las víctimas y prevenir que recuperen los fondos depositados. La compensación publicitada incluye entre el 70% y el 80% de los beneficios netos para los afiliados de AtlasCore, una participación mínima del 60% de los ingresos para los afiliados de PolyFucked y un 70% de participación base sobre los depósitos de las víctimas para los afiliados de Magnetic Team.

Nozomi Networks ha detallado un nuevo malware basado en Go para Linux, denominado Kairos, que convierte una máquina comprometida en un nodo dentro de la botnet de DDoS del operador. Según Nozomi Networks, "bajo comando, el bot abre cientos a miles de conexiones TCP hacia un objetivo elegido por el operador y las mantiene abiertas durante el tiempo solicitado, enviando un solo byte de 'keepalive' casi vacío cada pocos segundos". El acceso inicial se realizó a través de Telnet, utilizando las credenciales predeterminadas (usuario root, contraseña vacía). Posteriormente, el operador preparó la carga útil mediante una breve secuencia de comandos que la descargó a través de HTTP desde el mismo servidor al que el bot posteriormente se conecta.

Un kit de phishing para códigos de dispositivo de Microsoft, denominado MadApe, aún no documentado, está utilizando señuelos en formato PDF de temática empresarial, redirecciones configurables y páginas falsas de compartición de documentos para engañar a las víctimas y hacer que completen la autenticación del código de dispositivo de Microsoft. Este kit fue observado por primera vez por Group-IB el 7 de enero de 2026.

Los actores de amenazas detrás del ransomware Aur0ra, también conocido como Gold Ogre, están utilizando de manera extensiva la inteligencia artificial para desarrollar herramientas y orquestar así como ejecutar operaciones de ransomware, según Sophos. El marco de post-explotación asistido por inteligencia artificial se desarrolla con la ayuda de Cursor AI. "Los actores de amenazas utilizaron Cursor para escalar desde el acceso a credenciales hasta convertirse en administradores de dominio, en preparación para la recolección de datos y el despliegue de ransomware", afirmó Sophos. "Las medidas de seguridad de la inteligencia artificial fueron eludidas al enmarcar las intrusiones como actividades autorizadas de un equipo rojo o 'pruebas de diagnóstico'. Las intrusiones fueron orquestadas por el modelo de codificación agencial de Composer de Cursor, así como por modelos de inteligencia artificial proporcionados por Anthropic, xAI y Moonshot". Aunque inicialmente los actores de amenazas utilizaron casi exclusivamente a Anthropic, han comenzado a introducir otros modelos.

Además, repositorios de modelos maliciosos en Hugging Face están siendo utilizados para alimentar una campaña de criptominería y puertas traseras. Según Pluto Security, "las cargas útiles fueron escritas para hosts de GPU que ejecutan inferencias autohospedadas, especialmente Xinference y GPUStack, junto con máquinas de GPU alquiladas, cuadernos de investigación compartidos y trabajos de integración continua que extraen pequeños modelos de prueba sin que nadie revise el código". En lugar de utilizar pesos envenenados o exploits de pickle, la campaña abusa de una opción de Hugging Face, trust_remote_code, que permite a un modelo enviar su propio código Python. Cuando esta opción se activa, el código se ejecuta automáticamente en la máquina de la víctima tan pronto como el modelo se carga.

Por último, un fraude relacionado con el soporte técnico está dirigiendo a las víctimas a instalar la aplicación de acceso remoto comercial UltraViewer. Infoblox, que ha desglosado los detalles de la campaña, ha encontrado enlaces a una campaña de phishing de QuickBooks que lleva en funcionamiento mucho tiempo. "Esa campaña utiliza más de 350 dominios similares a QuickBooks y dirige a las víctimas a llamar a estafadores que intentan robar las credenciales de QuickBooks", indicó Infoblox. La estafa ha sido identificada dirigiendo a los usuarios a versiones trojanizadas de UltraViewer y UltraMailer, instaladores que conducen a la implementación de DarkKometa y njRAT, respectivamente.

En un análisis del ecosistema de The Com, la empresa Flare destacó que este colectivo, de estructura laxa y poco cohesionada, se compone de tres clústeres de intrusión distintos: Scattered Spider, LAPSUS$ y ShinyHunters. A su vez, SP1D3R HUNTERS, también conocido como Scattered LAPSUS$ Hunters, representa una amalgama de los tres grupos mencionados. El investigador en ciberseguridad Jon DiMaggio advirtió sobre la necesidad de no atribuir ninguna actividad posterior a 2022 al grupo LAPSUS$, que dejó de operar hace años. DiMaggio señaló que "LAPSUS$ operó a plena capacidad durante aproximadamente nueve meses, desde su ataque en diciembre de 2021 contra el Ministerio de Salud de Brasil hasta su campaña concentrada a inicios de 2022. Este ciclo llegó a su fin tras una serie de arrestos en la mitad y finales de 2022, que desmantelaron su estructura organizativa". Además, el experto subrayó que "Scattered Spider y LAPSUS$ se superpusieron durante unos meses al inicio de sus actividades, y al menos una persona estuvo involucrada en ambos grupos a lo largo de sus trayectorias. Sin embargo, cada uno de ellos operaba con diferentes guiones de ataque, dirigiéndose a objetivos diversos y con fines distintos".

Lo que se observa es que el panorama de los ataques cibernéticos ha evolucionado de tal manera que, aunque algunos de ellos son resultado de una planificación minuciosa, otros se llevan a cabo por errores simples y comunes, como hacer clic en el enlace equivocado, confiar en una herramienta poco segura o dejar expuestas vulnerabilidades. Aunque los métodos son variados, el resultado suele ser el mismo: una brecha de seguridad. Con tantos sistemas interconectados, incluso un pequeño desliz puede tener repercusiones mucho mayores de lo que se podría imaginar.

La preocupación más relevante radica en la normalización de muchos de estos ataques. No se requiere una sofisticación particular cuando las vías más sencillas aún son efectivas. Es fundamental mantenerse alerta sobre quién tiene acceso a los sistemas, revisar qué elementos necesitan ser corregidos y no asumir que lo familiar es necesariamente seguro. Hasta la próxima semana.