Los últimos modelos de IA como Claude Mythos de Anthropic están poniendo patas arriba la industria de la ciberseguridad tal y como la conocíamos, por lo que la empresa de Sam Altman estaba actualmente en las últimas fases de desarrollo de su mayor competidor hasta la fecha, Astra.

Sin embargo, el pasado mes de agosto la creadora de ChatGPT tuvo que poner en pausa el desarrollo de Astra, tras detectar signos preocupantes de que podía haber alcanzado el umbral de capacidad de seguridad críticas.

Durante el último mes, la compañía ha recopilado toda la información y evaluado su algoritmo y ahora ha confirmado que Astra es su primer modelo con "capacidad de ciberseguridad críticas", como ha informado en un comunicado.

Esto implica que, con los accesos necesarios, Astra ya es capaz de encontrar brechas de seguridad desconocidas previamente y encontrar formas completamente nuevas de explotarlas, pudiendo así realizar ciberataques en sistemas teóricamente protegidos y de forma completamente autónoma.

"Durante las últimas semanas, hemos retrasado algunas fases del desarrollo y el lanzamiento de Astra mientras reforzábamos y probábamos las medidas de protección contra el uso indebido en el ciberespacio y las acciones no autorizadas del modelo", explica la compañía de Sam Altman.

Medidas de seguridad inspiradas por el hackeo a Hugging Face

Esta noticia llega tras la polémica por el ciberataque a Hugging Face de julio, en el que un agente de IA de OpenAI que la empresa probaba en ese momento hackeó de forma independiente a esta compañía y se infiltró en su red corporativa.

Aunque la empresa de ChatGPT niega que la IA responsable fuese Astra, ha explicado que su experiencia gestionando ese incidente le ha servido para desarrollar los mecanismos de seguridad implantados ahora en su última IA.

En concreto, OpenAI ha entrenado a su IA para que rechace con mayor fiabilidad las peticiones peligrosas y respete por defecto las medidas de seguridad, poniendo más difícil el uso malintencionado. Esto "minimiza de forma suficiente el riesgo de daño severo", según la empresa.

Astra se lanzará pronto, pero de forma limitada

Tras estas medidas, OpenAI ha confirmado ahora que el lanzamiento de Astra se producirá "pronto", pero de una forma distinta a lo que se había planteado inicialmente.

Al igual que pasó con Mythos, las capacidades de ciberseguridad más avanzadas de este modelo no estarán disponibles en un primer momento, y habrá dos modelos, uno general y otro para expertos y empresas, como pasa con Claude Fable y Claude Mythos.

"Las funciones avanzadas de ciberseguridad estarán disponibles inicialmente para un grupo de probadores, que podrán acceder a ellas a través de Daybreak Blue, y posteriormente se ampliará su uso con fines defensivos", ha apostillado la empresa estadounidense.

El archivo se ha nombrado como Steam2 Teraleak y tiene información de la antigua infraestructura que utilizaba Valve para Steam. Los datos corresponden, aproximadamente, al periodo entre 2003 y 2013, justo antes de que la compañía cambiara su sistema de distribución.

Y dentro hay de todo, desde versiones normales de juegos hasta betas, pruebas, prototipos y contenido que nunca llegó a las tiendas.

Pese a que esto puede sonar a un hackeo en toda regla, el investigador de Valve Gabe Follower afirma que se podía perfectamente acceder al contenido mediante una API que era pública. Es decir, parte de estos datos habría estado ahí, para que cualquiera echase un vistazo, durante años.

Ahora la comunidad está entrando en el archivo para ver qué tiene. Y lo que se ha ido descubriendo es una auténtica joya escondida, sobre todo para los fans de Valve. Hay versiones antiguas de Portal 2, Left 4 Dead 2 y Counter-Strike: Global Offensive, además de material relacionado con proyectos que nunca llegaron a ver la luz.

¿Qué juegos aparecen en la gran filtración de Steam?

El gran protagonista es Portal 2. Se han podido encontrar versiones de desarrollo que permiten ver cómo era el juego antes de convertirse en lo que es hoy.

Han visto diálogos que fueron eliminados, escenas que cambiaron y mecánicas que no llegaron a la versión final. También aparecen algunas ideas que se quedaron en el cajón, como portales perfectamente redondos, un gel adhesivo o armas capaces de ralentizar el tiempo.

Incluso también ha aparecido contenido relacionado con Cave Johnson, uno de los personajes más recordados de Portal 2..

Y luego está Half-Life 2: Episode 3, uno de los grandes misterios de Valve. Aquí aclarar que no hay un Half-Life 3 completo escondido en la filtración. Tampoco se ha encontrado una versión jugable completa de Episode 3. Lo que sí hay son archivos que parecen estar relacionados con el proyecto que nunca llegó a salir a la luz.

Por otro lado, también se han visto versiones antiguas de Left 4 Dead 2 y Counter-Strike: Global Offensive con ciertas partes que fueron cambiadas durante el desarrollo.

Por supuesto, esto es solo una muy pequeña parte. Recuerda que hablamos de 12 TB de datos que pueden esconder absolutamente de todo y que, por una cuestión de tiempo, todavía no se han revisado a fondo.

Eso sí, esta filtración no tiene solo material de Valve. También incluye archivos de juegos de otras compañías que estaban en Steam antes de 2013.

Se han encontrado también versiones de juegos como Spore, Dragon Age: Origins, Batman: Arkham Asylum, Sonic the Hedgehog 4 y Spec Ops: The Line, entre otros.

¿Por qué aparecen ahora tantos juegos antiguos en la filtración de Steam?

Todo se reduce a Steam2, el antiguo sistema que usaba Steam antes de pasarse a SteamPipe en 2013. Este último sistema permite gestionar mejor las actualizaciones y descargar solo los archivos que habían cambiado.

Como resultado, muchas versiones antiguas ya no estaban disponibles para los jugadores. Algunas sobrevivieron solo porque jugadores y coleccionistas habían guardado copias en sus propios ordenadores.

Una investigación realizada por el equipo de inteligencia de amenazas de Zscaler ha sacado a la luz una nueva campaña conocida como ClaudeFix, que utiliza los chat legítimos del LLM de Anthropic para instalar de forma silenciosa un malware denominado MacSync Stealer.

Este código está específicamente dirigido a los dispositivos que usen macOS y permite que el atacante pueda robar credenciales de inicio de sesión, cookies del navegador, claves de cifrado e incluso billeteras de criptomonedas.

La compañía desconoce exactamente cuál ha sido el alcance concreto de esta campaña, pero tuvo lugar en un período muy concreto, entre el 12 y el 19 de junio de este mismo año, una estrategia que responde a la rapidez con la que querían actuar los ciberdelincuentes para que Anthropic no se diera cuenta.

En este sentido, los atacantes iniciaban su plan aprovechando la funcionalidad legítima de los chats compartidos de Claude, por lo que así aprovechaban la confianza de las víctimas desde el principio.

Tras ello, patrocinaban anuncios en buscadores legítimos relacionados con macOS para que los usuarios siguieran las instrucciones de estos chats oficiales compartidos. El resultado era la infección total con la técnica de ClickFix, ya conocida desde 2024 en el mundo de la ciberseguridad.

Los atacantes usaban enlaces legítimos de chats compartidos de Claude

Según detalla el informe técnico de Zscaler, esta campaña no comenzaba como suele ser habitual, con un enlace malicioso enviado al correo electrónico de la víctima, sino que estaba directamente indexado en los motores de búsqueda más habituales.

Los atacantes usaban una técnica conocida como malvertising –una modalidad del envenenamiento SEO que contrata espacios publicitarios en las primeras posiciones mediante Google Ads–, por lo que sus enlaces se situaban entre las primeras posiciones cuando un usuario buscaba el término "Claude Mac".

Es decir, que se aprovechaba de enlaces fiables de Claude para usuarios que buscaran esta IA para su dispositivo Mac, por lo que ya se ganaban desde el principio la confianza de las víctimas.

A partir de aquí, los investigadores de seguridad han detallado que el 100% de los enlaces provenían de Google Ads, la plataforma de la multinacional para posicionar en primer lugar los enlaces patrocinados habituales tras una búsqueda.

En su caso concreto, detectaron hasta 22 identificadores de campaña únicos, por lo que se podría decir que existía una infraestructura bien organizada para evadir los bloqueos en una sola cuenta.

Entre los términos asociados a esta campaña maliciosa, aparecen los básicos que se relacionarían con una búsqueda de Claude, como claude, claude ai, claude code, claude mac, ai claude, claude code desktop mac e incluso una versión específica en chino simplificado.

Una vez que el usuario pinchaba en el enlace malicioso, este redirigía a una URL oficial de Claude directamente alojada en los servidores de Anthropic, como es la de un chat compartido, que comienza con el dominio claude.ai/share/...

Un malware que roba absolutamente todo sin levantar sospechas

Tras ganarse la confianza del usuario, el chat compartido solía mostrar instrucciones propias de Claude para que la víctima realizada diferentes pasos en la terminal de su ordenador, incluso pudiendo copiar un script malicioso directamente.

"Al pegar la instrucción provista por la interfaz engañosa, la víctima ejecutaba una sintaxis basada en curl que descargaba de forma transparente el script malicioso de primera etapa y lo canalizaba de inmediato al intérprete de comandos Zsh, evitando almacenar un archivo en el disco que pudiera ser analizado de forma preliminar por el antivirus local", detallan en la investigación.

De esta forma, el usuario ejecutaba un script en la terminal que se saltaba cualquier barrera de seguridad; al ejecutarlo, se modificaba la configuración de la terminal para ser persistente, por lo que cada vez que la víctima abriera una nueva ventana en la terminal este se instalaba y ejecutaba de nuevo.

Incluso en pasos posteriores se aprovechaba de los menús de seguridad de Apple para aprovechar estos y que la víctima concediera accesos de privilegios al atacante, eliminando cualquier rastro y, por supuesto, accediendo a todos los archivos del sistema.

Con el acceso total y sin límites a los archivos, el malware creaba un directorio temporal donde se guardaba toda la información extraída: copiaba los datos de navegadores web basados en Chromium, accedía a las bases de datos del llavero de macOS y permitía buscar archivos directamente según extensiones, como documentos confidenciales en pdf, docx, txt y otros, además de llaves criptográficas de criptomonedas, sus certificados y las configuraciones VPN.

Tras haber recopilado toda la información, MacSync realizaba la exfiltración de datos personales sin levantar ningún tipo de sospecha mediante la compresión de los archivos en bloques idénticos de 10 megabytes.

En segundo lugar, si existía algún fallo en cualquier fragmento de datos por cuestiones derivadas de la red del usuario, volvía a intentar el envío hasta en 8 ocasiones más por cada bloque.

Una vez conseguida la exfiltración de los datos, el malware eliminaba todas las pruebas después del último envío al servidor del atacante, por lo que encontrar su rastro se hacía prácticamente imposible para los forenses digitales.

Lógicamente, Zscaler ha avisado sobre esta nueva modalidad a Anthropic y esta última compañía ha actuado rápidamente para desactivar todos estos enlaces comprometidos, por lo que ya no están disponibles.

Ahora bien, esto no quiere decir que no vuelvan a existir campañas de este tipo en un futuro no muy lejano, ya que desafortunadamente el control sobre este tipo de técnicas es muy limitado para los equipos de seguridad, más aún cuando el malware no deja rastro y es prácticamente invisible para las herramientas de seguridad.

De cualquier forma, a medida que estos asistentes de IA avanzan de forma imparable, se hace más necesario un análisis y una previsión sobre estas técnicas novedosas, para garantizar que un usuario no acabe regalando todos sus datos –y su dinero– a ciberdelincuentes.

asasa

Muchas veces lo hacemos para registrarnos rápidamente en una web o servicio y después olvidamos que esa autorización sigue existiendo. Es algo que puede ocurrir después de utilizar durante años diferentes páginas web, tiendas, juegos o aplicaciones.

Cabe señalar que una cuenta de Google puede terminar vinculada con numerosos servicios que ya no utilizamos, aunque en su momento necesitáramos ese acceso para crear una cuenta o iniciar sesión.

La experta en ciberseguridad María Aperador ha puesto el foco precisamente en este aspecto y afirma que, si utilizas una cuenta de Google, puedes consultar qué servicios externos están conectados con ella y decidir cuáles siguen teniendo sentido.

Es importante mencionar que se trata de una comprobación sencilla que permite recuperar cierto control sobre permisos concedidos en el pasado, además de que te ayudará a tener más control sobre tus datos, seguridad, pero sobre todo de tu privacidad en internet.

Qué ocurre cuando utilizas "Iniciar sesión con Google”

La opción de acceder a una página o aplicación utilizando la cuenta de Google evita tener que crear otra contraseña. El proceso resulta cómodo, pero implica autorizar al servicio para utilizar determinados datos de la cuenta que sean necesarios para esa integración.

Así que la cantidad y el tipo de información disponible dependen de los permisos que se hayan concedido. Por eso, utilizar esta opción no significa automáticamente que una app pueda acceder a toda la información almacenada en Google.

El problema aparece cuando acumulamos autorizaciones que ya no necesitamos. Una aplicación que utilizaste una vez puede permanecer vinculada a la cuenta aunque lleves años sin volver a abrirla. Por lo que revisar esas conexiones permite localizar precisamente esos casos.

Para hacer la revisión, hay que entrar desde un navegador en la cuenta de Google y acceder al apartado dedicado a las aplicaciones y servicios conectados. Allí aparece la relación de servicios que tienen algún tipo de autorización asociada.

Conviene revisar la lista sin asumir que todos los accesos son innecesarios. Algunos pueden corresponder a herramientas que todavía utilizas y cuya conexión necesitas mantener para que funcionen correctamente.

Cuando encuentres un servicio que ya no necesitas, puedes abrir su información y seleccionar la opción para eliminar el acceso. La operación se realiza individualmente, por lo que es posible conservar unas conexiones y retirar otras.

Después solo queda continuar con la revisión hasta comprobar los servicios que aparecen asociados a la cuenta, por lo que no es necesario eliminar todas las autorizaciones.

Por qué merece la pena revisar estos permisos

Eliminar conexiones antiguas reduce el número de servicios externos que siguen autorizados a interactuar con la cuenta. Eso facilita saber qué apps tienen una relación activa con ella y evita mantener permisos que dejaron de tener utilidad.

También puede servir para detectar servicios que habíamos olvidado por completo. Una cuenta utilizada durante años puede acumular conexiones procedentes de registros puntuales, pruebas de aplicaciones o páginas que ya no forman parte de nuestra vida digital.

Eso sí, retirar un permiso no equivale a borrar automáticamente la cuenta que tengamos en ese servicio ni garantiza que desaparezcan los datos que la empresa ya hubiera recibido.

La recomendación de Aperador tiene sentido precisamente por su sencillez. No se trata de desconfiar de cualquier app que utilice la cuenta de Google, sino de revisar de vez en cuando las autorizaciones y conservar únicamente aquellas que todavía necesitamos.

Así que mantener bajo control estos accesos es otra forma de reducir conexiones innecesarias y saber mejor qué servicios forman parte de nuestro entorno digital.

Sin embargo, instalar estas apps no verificadas puede convertir tu dispositivo en una puerta abierta a ciberdelincuentes capaces de acceder a información, incluyendo credenciales bancarias y datos personales.

De acuerdo con 20minutos, se ha advertido de este riesgo y se ha señalado a Massiv, un malware capaz de acceder a información sensible y de poner en peligro incluso las apps del banco.

Cabe señalar que este troyano no solo compromete el dispositivo, sino que está diseñado específicamente para robar datos bancarios mediante técnicas sofisticadas de vigilancia digital.

Massiv convierte una app de IPTV en una amenaza

Cabe mencionar que Massiv es un troyano bancario para Android descubierto por los investigadores de ThreatFabric, cuyo objetivo no es simplemente mostrar publicidad o robar algún dato personal.

Cuenta con capacidades para tomar el control del dispositivo y utilizarlo para realizar acciones fraudulentas. Y una de sus técnicas consiste en mostrar pantallas falsas sobre aplicaciones legítimas.

Si la víctima abre una aplicación bancaria, por ejemplo, el malware puede colocar encima una interfaz que imita la original y solicitar las credenciales o información que necesita el atacante.

También puede registrar las pulsaciones del teclado del móvil e interceptar mensajes SMS y notificaciones. Esto resulta peligroso porque muchos servicios utilizan mensajes o notificaciones para confirmar operaciones.

Si el ciberdelincuente consigue controlar el dispositivo y acceder a esa información, puede tener más posibilidades de completar operaciones fraudulentas.

ThreatFabric también documentó casos en los que se utilizaron datos obtenidos de dispositivos infectados para abrir nuevas cuentas a nombre de las víctimas.

La investigación identificó campañas dirigidas inicialmente contra usuarios de Portugal y Grecia, aunque el uso de aplicaciones que imitan servicios IPTV también se ha observado en España, Francia y Turquía.

Así consiguen que el usuario instale el malware

El ataque parte de un engaño bastante sencillo, donde los hackers crean una aplicación que parece un servicio IPTV y la distribuyen fuera de las tiendas oficiales mediante páginas web u otros canales.

Esto aprovecha una particularidad del público que busca determinadas plataformas IPTV, ya que está más acostumbrado a instalar apps mediante archivos APK externos.

En algunos casos, la app que ve el usuario ni siquiera es la que contiene directamente todo el malware. ThreatFabric encontró aplicaciones que muestran una página IPTV mediante un navegador integrado mientras el componente malicioso ya está instalado y funciona en segundo plano.

Durante el proceso también pueden aparecer solicitudes de permisos que conceden al programa un acceso mucho mayor al teléfono. Aceptarlos sin comprobar qué está pidiendo la app puede facilitar que el atacante controle diferentes funciones del dispositivo.

Qué hacer para evitar el malware

La principal protección consiste en no instalar aplicaciones IPTV procedentes de fuentes desconocidas, especialmente cuando exigen descargar un APK desde una página externa o activar permisos que no parecen necesarios para su funcionamiento.

También conviene comprobar quién desarrolla la app, revisar los permisos antes de aceptarlos y desconfiar de programas que prometen acceso gratuito a contenidos de pago a cambio de instalar componentes adicionales.

Si una aplicación desconocida solicita permisos de accesibilidad, acceso a mensajes o cualquier otro privilegio que no tenga relación clara con su función, lo recomendable es detener la instalación.

El problema no es la tecnología IPTV en sí misma, sino que el peligro aparece cuando una aplicación falsa utiliza ese reclamo para introducir malware en el teléfono.

Massiv demuestra que el coste de conseguir una retransmisión gratis puede terminar siendo mucho mayor si el usuario entrega sin saberlo el control de su dispositivo y el acceso a información financiera.

Esto es algo que los expertos en seguridad pueden confirmar de manera fehaciente, como es el caso de la empresa de ciberseguridad Surfshark ha llegado a esta conclusión recientemente, a raíz de una investigación con la que ha querido conocer hasta dónde llegan los navegadores móviles y qué cantidad de datos de los usuarios pueden llegar a conocer.

Para poner en marcha el estudio, esta firma de VPN especializada en privacidad y seguridad en línea identificó las 10 aplicaciones de navegadores web más populares en Estados Unidos con AppMagic y les añadió Safari, que viene instalado por defecto en los iPhone. A continuación, examinó si todos ellos recopilaban datos con fines de Publicidad de terceros.

La principal conclusión del análisis señala que los navegadores que más datos recopilan suelen ser los que más se utilizan y que el 30% recopilan datos de usuarios para publicidad de terceros, ya sea mostrando anuncios en la aplicación o compartiendo información de la gente con empresas que sí lo hacen.

El único que recopila datos de pago y la agenda de contactos

Surfshark ha señalado que, entre los 10 navegadores analizados, Chrome es el que más datos consume, al recopilar 20 tipos diferentes de datos en numerosas categorías. Entre ellas, información de contacto, financiera, ubicación, historial de navegación, de búsqueda, identificadores, datos de uso, diagnósticos, etc.

Chrome, además, es el único navegador que hace uso de los contactos del teléfono, la libreta de direcciones o las redes sociales del usuario. "Para poner esto en perspectiva, los otros 9 navegadores recopilan un promedio de solo 6 tipos de datos, siendo la aplicación Bing la segunda que más datos consume, recopilando 12", se señala en este informe.

Otros navegadores que sí presumen de estar centrados en la privacidad son más comedidos. Es el caso de Brave, que recoge identificadores y datos de uso. TOR, por su parte, no toma ningún tipo de información del usuario, ya que está diseñado para proteger el anonimato del usuario y evitar el rastreo.

Otro aspecto al que hace referencia el informe es el de la ubicación, ya que el 40% de las apps de navegador, siendo Safari, Chrome y Opera los que recopilan información aproximada, mientras que Bing se posiciona como la única que recoge datos precisos.

Además, los investigadores han determinado que este navegador, junto con Opera y Pi Browser, recopilan datos para fines publicitarios de terceros, como mostrar anuncios de terceros en la aplicación o compartirlos con entidades que también incluyen este tipo de promociones.

Chrome y Safari representan el 90% de la cuota de mercado

El problema no es solo que Chrome pueda llegar a conocer tal cantidad de información sino que, además, es uno de los navegadores estrella en todo el mundo. Tanto es así que, junto con Safari, representan el 90% de la cuota de mercado de navegadores móviles y es especialmente popular en Reino Unido, Alemania, Francia y Corea del Sur.

Es por eso que los investigadores proponen otros formatos, como DuckDuckGo o Firefox, que evitan lo que consideran "prácticas más sensibles". De ese modo, DuckDuckGo o Firefox ofrecen equilibrio entre funcionalidad y privacidad. toman la información de contacto, como el nombre o el correo electrónico, identificadores de usuario, datos de uso y diagnósticos, a fin de ofrecer un equilibrio entre funcionalidad y privacidad.

"Estos navegadores pueden ser adecuados para usuarios con preocupaciones moderadas sobre la privacidad, pero aun así requieren capacidades de navegación robustas", sostienen en este documento.

Otros artículos interesantes:

• Proyecto Ruiseñor: así recopiló Google datos de la salud de millones de estadounidenses
• El modo IA del Buscador de Google ahora deja compartir conversaciones y hacer reservas en tiempo real

Aproximadamente sobre las ocho y media de la tarde del 2 de noviembre de 1988, un programa malicioso se había colado en la red y llegó a infectar a alrededor de 6.000 ordenadores del total de 60.000 que conformaban la red en aquel entonces.

Los ordenadores afectados no solo fueron los del MIT, sino que el responsable de observar el inicio de este supuesto ataque era un estudiante que pertenecía a la Universidad de Berkeley, en California (Estados Unidos), donde sus máquinas comenzaban a detenerse.

Cuando descubrieron lo que había ocurrido, los investigadores se dieron cuenta de que un gusano había afectado a muchísimos centros educativos y universidades de referencia, como las ya mencionadas, y el FBI llegó a pensar que se estaba produciendo una incursión a gran escala en sus sistemas.

Los 6.000 ordenadores afectados en aquel entonces utilizaban una versión específica derivada del sistema operativo Unix, aunque se amplió rápidamente aprovechando puertas traseras en el sistema de correo electrónico primitivo de aquella época.

Además, afectó a otro programa que permitía identificar individualmente a todos los usuarios conectados a la red. El FBI continuó la investigación, a la par que el gusano se extendía aún más y afectaba a más y más servicios. Curiosamente, ningún agente externo había atacado la red, sino que había sido un experimento.

El experimento inofensivo que acabó investigando el FBI

El gusano, al que más adelante se acabó apodando el gusano Morris, no fue uno de los peores, pero podía recorrer todos los servicios de aquel Internet original, por lo que llegó a afectar a prestigiosas organizaciones, como la Universidad de Harvard, la de Princeton, Stanford, Johns Hopkins, a la NASA y al Laboratorio Nacional Lawrence Livermore.

El FBI comenzó a investigar, ya que a pesar de que no había destruido archivos, sí había logrado ralentizar toda la red, el cliente de correo electrónico e implicó una investigación conjunta para saber cómo acabar con el gusano Morris.

La institución estimó las pérdidas en un principio en aproximadamente unos 100.000 dólares que, tras unos días, alcanzó millones de dólares en daños; algunas instituciones limpiaron sus sistemas, mientras que otras optaron por desconectar sus máquinas durante una semana entera, con lo que esto implicó.

Tras intentar solucionar aquel desastre, un programador escribió a 2 amigos para explicarles que había sido él el responsable, que había lanzado aquel gusano, pero había perdido totalmente el control de la situación. Y, como era lógico, no sabía qué hacer.

Este joven programador de 23 años, Robert Tappan Morris –de ahí el nombre posterior con el que se bautizó al gusano–, pertenecía a la Universidad de Cornell, y le pidió a uno de sus amigos que enviara un mensaje anónimo en Internet pidiendo perdón por todo lo sucedido.

En dicho mensaje, el programador pedía disculpas por haber causado tantos daños; irónicamente, muchas de las instituciones no recibieron el mensaje por culpa de estar infectados con el gusano Morris. Así que, paralelamente, su otro amigo realizó una llamada anónima a The New York Times.

Según contó este al medio, todo formaba parte de un experimento inofensivo y el resultado de la propagación había sido un error de programación; este también se refirió a él por sus iniciales, RTM, lo que llevó a los periodistas de The Times a dar con el nombre completo del causante.

A pesar de que Morris no lo había hecho de forma malintencionada, sí había vulnerado las leyes federales, ya que había comenzado pirateando un ordenador del MIT, gracias a los conocimientos que había adquirido con los conocimientos de su padre, que trabajaba en Bell Labs.

Morris era un experto en Unix, un estudiante con muy buenas calificaciones y, además, también era bastante bromista. Había desarrollado en secreto un programa que podía extenderse lentamente por Internet y había logrado cubrir todos sus rastros.

El FBI comenzó rápidamente una investigación más exhaustiva y entrevistó a Morris y a sus amigos, lo que dio lugar a numerosas pruebas que lo incriminaban; el resultado fue una investigación federal por incumplir la Ley de Fraude y Abuso Informático aprobada por el Congreso en 1986, 2 años antes del incidente ocurrido.

Esta prohibía el acceso no autorizado a ordenadores protegidos, como el que pirateó del MIT, por lo que acabó convirtiéndose en la primera persona de todo el mundo en ser condenada por este tipo de actos.

A pesar de ello, pudo evitar la cárcel y recibió a cambio una multa de 10.050 dólares, la libertad condicional durante 3 años y tuvo que realizar hasta 400 horas de servicios sociales. En cualquier caso, el gusano Morris se hizo muy popular en un país que jamás había vivido una situación así.

Más adelante, Morris siguió de forma normal con su carrera en informática y comenzó su carrera como investigador, incluso dando clases en el MIT, además de desarrollar diferentes proyectos para compañías privadas.

De cualquier forma, el gusano Morris dio lugar a nuevas modalidades de ataques durante el inicio de Internet, pero también al inicio del equipo de respuesta, el Computer Emergency Response Team (CERT), para coordinar las respuestas a vulnerabilidades y ataques de este tipo.

En aquel entonces, el 10% de los ordenadores conectados ya suponían una superficie de ataque increíble; en la actualidad, con el aumento de los dispositivos conectados, se hace más que evidente que aquel inicio de Morris fue casi imprescindible para aprender sobre los errores de seguridad.

Y, gracias a aquel ejemplo tan temprano, el sistema pudo desarrollar sus defensas, provocando un aumento de los equipos de seguridad, algo que ni siquiera preocupaba al principio, al ser una red más cerrada que prácticamente utilizaban centros y universidades.

Entre las cosas que se recomendaban siempre, además de tener un antivirus, era apagar el teléfono una vez a la semana para detener procesos de malwares persistentes.

Hasta en 2025 fue algo efectivo para millones, pero en 2026, las cosas se están poniendo difíciles para aquellos que intentan defenderse. Todo se debe a que hay cada vez más estrategias maliciosas aplicadas a través de numerosos virus.

Las autoridades recomiendan cambiar la frecuencia en la que se hacen los reinicios y agregar otras formas de protegerse de las amenazas que aprenderás en la siguiente información.

¿Por qué ya no sirve apagar o reiniciar el móvil una vez por semana ante los ciberataques?

Apagar o reiniciar el teléfono cada semana ya no sirve de mucho ante los ciberataques y es que este año las cosas se complican aún más. Los piratas informáticos no solamente están creando campañas de phishing para engañarte con el fin de compartir tu información personal, sino que también han surgido malwares roba datos.

Algunos virus le permiten a los atacantes tomar el control de los dispositivos sin que el usuario se dé cuenta, mientras que otros actúan silenciosamente para hacer acciones fraudulentas o adentrarse en tus cuentas de banco y redes sociales.

Anteriormente, los expertos recomendaban usar esa táctica de ciberseguridad mencionada porque detiene los procesos cada cierto tiempo. Para este 2026, la Agencia de Seguridad Nacional de los Estados Unidos (NSA) y el Primer Ministro de Australia, Anthony Albanese, advierten a los usuarios de hacer esto al menos una vez al día y no semanal.

“Todos tenemos una responsabilidad. Cosas sencillas: apaga el teléfono cinco minutos cada noche. Para quienes ven esto, hazlo cada 24 horas, mientras te cepillas los dientes o haces lo que sea” - Albanese.

Desde The Guardian explican que con realizarlo cada 24 horas y dejarlo apagado unos 5 minutos, garantiza que los procesos de los cibercriminales se detengan. Esta simple acción sirve para impedir que se lleven a cabo los spywares, ataques zero-click y otros programas maliciosos.

Es una medida simple, pero efectiva hasta con estrategias sofisticadas. El único problema es que para algunos usuarios podría ser “fastidioso” o algo que se puede olvidar fácilmente.

En efecto, el profesor especialista en ciberseguridad de la Universidad de Tecnología de Sídney, Dr. Priyadarsi Nanda, afirma que conoce “casos en los que las personas no han apagado sus teléfonos en un año entero”

La clave está en tomarlo como un hábito, donde cualquier momento libre o cuando estés haciendo algo donde no necesites el móvil, ejecutar el apagado y así no afecta de ninguna manera la experiencia, pues son solo 5 minutos.

Otras medidas de seguridad que deberías aplicar en tu móvil

Eso no es todo, la propia NSA ha dicho que se deben considerar otros métodos de protección si de verdad se quiere mantener la integridad de los datos y el sistema.

Hay que empezar con lo básico y es que, si está dentro de tus posibilidades, lo mejor es que uses un antivirus en tu Android o iOS, mientras que también podrías agregar una VPN para mantener la protección al navegar por Internet.

Las otras recomendaciones son cosas fundamentales como actualizar siempre el SO, descargar archivos solo de fuentes confiables y evitar las redes públicas de WiFi y Bluetooth. Además, es bueno usar la autenticación de dos pasos en las plataformas donde te registres.

La empresa, en caso de no haber comunicado en tiempo y forma este ataque se enfrentará a consecuencias legales, reputacionales y, por supuesto, económicas; sin embargo, tus datos seguirán apareciendo en paquetes que venden ciberdelincuentes.

En el mundo de la ciberseguridad, suele apuntarse a este tipo de empresas como responsables de la brecha de datos, pero antes de esto hay una responsabilidad subyacente: la del usuario que utiliza unos u otros servicios y aplicaciones.

Es bastante común decir que, por ejemplo, en técnicas como el phishing el eslabón más débil es el ser humano que cae en este tipo de estafas, pero hay formas de evitar que un atacante se haga con el control de tus datos. Y son cuestiones muy básicas que cualquier analista de seguridad utiliza en el día a día.

Todas las que te cuento aquí son utilizadas por los equipos de seguridad como la protección más básica, no solo para los individuos de una organización, sino también para la continuidad del propio negocio.

Si quieres asegurar tus dispositivos con las nociones más básicas, lo mejor es que sigas estas reglas desde el principio, así podrás esquivar las filtraciones masivas de datos o los correos constantes de spam.

El principio del privilegio mínimo

En todas las compañías que quieran cumplir con una política básica de ciberseguridad, el principio de privilegio mínimo es indispensable: si un empleado o cargo no necesita una cuenta, lo mejor es no crearla para evitar ataques.

Si utilizas Windows o macOS, la mejor forma de conseguir esto es crear un usuario para cada cosa. Por ejemplo, uno que no tenga permisos de administrador para navegar, acceder a aplicaciones y lo más básico, y otro aparte que sí tenga este tipo de acceso privilegiado para realizar actualizaciones y parches.

Con ello, evitarás que el usuario con permisos de administrador pueda ejecutar un malware si visitas alguna página infectada o descargas una aplicación maliciosa. Es lo más básico para proteger tu ordenador.

En el caso de otros dispositivos como el móvil, Android se lleva la palma y permite también crear diferentes usuarios, por lo que es conveniente, ya que así tendrás un perfil separado según lo que estés haciendo en el momento, con la protección adecuada en cada caso, algo que también sirve para proteger a los más pequeños de la casa, en caso de que les permitas utilizar el móvil durante un tiempo.

La reducción de la superficie de ataque

Uno de los mantras en ciberseguridad es que no tengas en tu dispositivo aquello que no vas a utilizar. Tanto las aplicaciones como los servicios o las redes que hayas conectado son lo que se conoce como la superficie de ataque.

Es decir, todo aquello que un atacante pueda aprovechar para infectar tu máquina. Por esto mismo, reducir la superficie de ataque es crucial, ya sea desinstalando servicios innecesarios, aplicaciones que ya no utilices o aislando redes, algo que puedes hacer fácilmente desde la configuración del router con una red de invitados.

Como recomendación, si eres usuario de Windows, desactiva completamente todo lo relacionado con la inteligencia artificial y la telemetría; funcionalidades como Recall toman capturas de pantalla cada cierto tiempo, un aspecto que Microsoft ha introducido con muchísimas críticas por parte de la comunidad.

Si estás usando un móvil, elimina todo el bloatware, las aplicaciones que llegan preinstaladas de forma obligatoria cuando te compras un terminal nuevo, muchas de ellas juegos casuales que nunca utilizarás.

El modelo de confianza cero

El modelo de confianza cero podría traducirse fácilmente, como siempre me ha dicho mi madre, en el siguiente refrán: "De lo que no veas no creas; y de lo que veas, la mitad".

Esto se traduce en ciberseguridad en una máxima indiscutible, como desconfiar desde el principio ante ese mensaje que llega a WhatsApp, ese correo electrónico en el que has ganado un sorteo o cualquier publicación que pueda ser sospechosa.

Lo mejor aquí es no confiar en situaciones que puedan ser comunes, pero aun así extrañas, optando por una vía secundaria de verificación; por ejemplo, si te llega un mensaje al WhatsApp de un supuesto familiar que ha perdido el móvil, opta por otro canal de comunicación para contactar con dicho familiar.

La urgencia aquí es uno de los ganchos que utilizan los ciberdelincuentes para quedarse directamente con tu dinero o tus datos personales. Como también dice la sabiduría del refranero popular español, "las prisas no son buenas consejeras".

El análisis en entornos aislados y controlados

No descargues o visites cualquier tipo de página antes de asegurarte de que no va a infectar tu máquina. Puede ser una cuestión de perogrullo, aunque mucha gente continúa descargando todo lo que se encuentra sin revisarlo antes.

Para ello, no hacen falta conocimientos avanzados en ciberseguridad, ya que la web VirusTotal puede escanear enlaces, documentos o direcciones para que veas si ese enlace que estás visitando o ese archivo que has descargado son maliciosos, según los análisis de diferentes compañías especializadas.

Si quieres ir un paso más allá o estás ejecutando un sistema o varios programas al mismo tiempo, lo mejor es que crees un sandbox; es decir, un entorno aislado y controlado.

Aquí puedes elegir una máquina virtual para que tu máquina anfitriona no quede afectada si descargas e instalas malware, pero también puedes probar con Docker si necesitas ir un paso más allá.

Básicamente, consiste en crear diferentes "contenedores" para evitar que el sistema principal de tu PC se infecte por haber probado una aplicación de dudosa procedencia.

Si cualquier amenaza se cuela en el sistema, todo esto se pone en peligro, tanto en Android como en iPhone. Habiendo tantos casos de phishing y malware rondando en internet, detectar a tiempo una posible intrusión se ha convertido en una prioridad para todos.

¿Crees que alguien ha accedido a tu teléfono sin tu consentimiento? Si notas comportamientos extraños o que el dispositivo está infectado de virus, hay que analizar con mucha atención las señales.

En 2026, los casos aumentan y prepararse antes de cualquier cosa es lo que te va a mantener a salvo de las garras de los ciberdelincuentes. Por eso, en este artículo vas a aprender todo sobre cómo monitorear tu smartphone para determinar si te han hackeado.

Señales que indican que tu smartphone podría estar siendo vigilado

No todos los comportamientos extraños significan que tu teléfono ha sido hackeado y es por eso que hay que tener en cuenta cada detalle. De hecho, es posible confundir ciertas cosas con problemas de rendimiento u otros errores que se presentan en el sistema.

A medida que se va utilizando el dispositivo, surgen estos inconvenientes, pero lo bueno es que existen ciertas señales que indican si se trata de algo con lo que hay que tener mucho cuidado.

Uno de los síntomas más habituales es el consumo anormal de batería, pues cuando comienza a perderse porcentaje drásticamente sin que se esté haciendo nada, es posible que se trate de un malware realizando acciones en segundo plano sin que te des cuenta.

Evidentemente, la vida útil es un tema, pero cuando es una exageración lo de la energía, seguro que hay algo causando el problema. También debes prestar atención al sobrecalentamiento frecuente sin que se esté ejecutando una app o juego exigente.

Por otra parte, está el consumo de datos móviles porque muchas de las amenazas drenan esto rápido cuando inyectan programas de espionaje o recopilan información para mandarla a fuentes externas.

Asimismo, la aparición de aplicaciones que no recuerdas haber instalado, permisos excesivos concedidos a ciertas apps o publicidad emergente fuera de lo normal.

Llamadas, mensajes o notificaciones extrañas y reinicios inesperados junto a intentos de inicio de sesión que no has hecho, son suficientes como para darte cuenta de que hay un intruso.

¿Qué debes comprobar antes de cambiar de teléfono?

¿Tienes que comprar de una vez un nuevo móvil? Cuando un teléfono está infectado, es normal pensar si es necesario reemplazar el dispositivo o cambiar el número.

Sin embargo, los especialistas en ciberseguridad advierten que esta decisión no siempre resuelve el problema de fondo. Uno de los casos que los describe es el que se comparte en el medio AnalisiDifesa, en Italia se ha hecho una denuncia del experto Andrea Mavilla debido a que ha revelado números telefónicos y datos institucionales.

Esto se hizo sin necesidad de recurrir a técnicas avanzadas de hackeo o a la dark web. De aquí se abrió una investigación para poder encontrar el origen de los registros y dieron con que todo giraba alrededor de las cuentas vinculadas al smartphone y diversas plataformas en internet.

Por esto mismo, se recomienda encarecidamente que, antes de considerar sustituir el móvil, es necesario verificar todas las cuentas con sesiones activas de Google, Apple, Microsoft y redes sociales para cerrarlas.

Cambiar las contraseñas y activar la autenticación multifactor es crucial. Además, es importante mantenerse al día con los posibles dispositivos desconocidos que estén vinculados.

En sí, cuando un atacante ya obtuvo acceso a tus cuentas, reemplazar únicamente el hardware podría dejar intacta parte del riesgo. De hecho, si vas a vender o tirar el dispositivo, siempre haz un restablecimiento de fábrica para no comprometer nada.

Cómo proteger tu móvil y recuperar la seguridad en 2026

Los hackers siempre buscan los datos más valiosos con los que puedan afectarte directamente a corto o largo plazo. Cualquier información que sirva para robar tu identidad o dinero es suficiente.

Aquí se incluyen los contactos, correos electrónicos, números de teléfono, cuentas iniciadas, tarjetas y mucho más. Por ello, la investigación y la contención deben realizarse de forma conjunta antes de considerar resuelto el incidente.

¿Qué hacer entonces para mantener el dispositivo listo? Cuando notas que hay algunas de las señales mencionadas en los anteriores apartados, lo primero que tienes que hacer es mantener el sistema actualizado, al igual que todas las aplicaciones.

Principalmente, se debe a que los desarrolladores suelen agregar los parches de seguridad necesarios para combatir las amenazas. Sin embargo, en varias situaciones eso no es suficiente.

Es recomendable eliminar aplicaciones que no utilices y revisar individualmente los permisos concedidos en cada una de ellas. Si tienes plataformas de cifrado de extremo a extremo, mejor.

Las recomendaciones más recientes de la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) destacan la importancia de activar métodos de autenticación resistentes al phishing y todos los métodos de seguridad al día.

Si persisten los indicios de compromiso, realiza una copia de seguridad de la información esencial y valora restablecer el teléfono a los ajustes de fábrica. Recuerda no ingresar a cualquier página web, comprueba los mensajes o correos de marcas y no compartas tus datos a la ligera en Internet.

Esto quiere decir que los navegadores más populares de la actualidad son unos de los softwares más afectados. Millones de usuarios están a punto de sufrir la amenaza "arrayref", un create que impacta directamente con proyectos relacionados con criptografía, blockchain e interfaces gráficas.

Además, la situación recuerda otros incidentes recientes que han afectado repositorios y registros de software de uso masivo. El problema es más grande de lo que parece y por eso las autoridades recomiendan prestar atención para tomar cartas sobre el asunto.

¿Cómo se produjo el ataque y por qué preocupa tanto a la comunidad Rust?

Los hackers vuelven a hacer de las suyas con respecto a los malware. Esta vez se trata de uno que definitivamente está llamando la atención del sector de los desarrolladores.

Para ser más específicos, los investigadores de StepSecurity descubrieron que un atacante comprometió la cuenta de mantenimiento asociada a varios crates de Rust para distribuir código malicioso a través de actualizaciones aparentemente legítimas.

Básicamente, engañaron el sistema para que reemplazara versiones correctas por unas infectadas con el fin de agregar las respectivas "actualizaciones".

Según BleepingComputer, las versiones afectadas fueron "arrayref 0.3.10", "append-only-vec 0.1.9" e "internment 0.8.7". Cada una de estas está relacionada con la misma cuenta de mantenimiento y parte de una dependencia en específico.

Esta en cuestión es conocida como "proc-macro1", la cual fue modificada para hacerse pasar por "proc-macro2". En este proceso, se inyectó el malware sin levantar sospechas, ya que el hacker mantuvo todo lo demás intacto, insertando todo el contenido malicioso por este medio.

El archivo "build.rs" de "proc-macro1" se ejecutaba automáticamente durante el proceso de compilación para que el script generara componentes codificados en Base64. Eso fue suficiente como para construir una infección específica para cada sistema operativo: Windows, Linux, macOS Intel y macOS ARM.

En Windows, creaba "%TEMP%\rust-setup.ps1" y utilizaba una combinación de scripts VBS y procesos ocultos mediante wscript.exe para garantizar la ejecución continua del código malicioso.

El atacante mantuvo intacto prácticamente todo el código original de los proyectos comprometidos, incorporando únicamente esta dependencia maliciosa.

De esta forma, la actualización parecía normal y pasaba desapercibida incluso sobre revisiones superficiales. En efecto, aprovechaba la confianza de los desarrolladores sobre las dependencias, porque todo se ejecutaba en segundo plano.

Malware multiplataforma, robo de credenciales y medidas urgentes para los desarrolladores

El ataque comenzó el 20 de agosto con la creación de cuentas falsas que imitaban a desarrolladores reconocidos de la comunidad Rust. Entre los objetivos de este ataque identificados se encontraban las bases de datos SQLite utilizadas por los navegadores Google Chrome, Microsoft Edge y Brave para almacenar información de acceso.

Eso no era todo porque el malware implementaba mecanismos de persistencia. Se dice que se quedaba en Run del Registro de Windows, servicios systemd en Linux y LaunchAgents en macOS.

La buena noticia es que Crates.io retiró "proc-macro1" y eliminó las versiones comprometidas cuando se confirmó el incidente. De igual manera, StepSecurity, SafeDep y Aikido compartieron análisis que ayudaron a identificar las infecciones.

Los desarrolladores que hayan instalado alguno de los paquetes afectados durante la ventana de exposición, la recomendación es verificar archivos Cargo.lock, buscar contenido generado por el ente malicioso y analizar conexiones hacia la dirección 23.254.165.112 a través de los puertos 9089 y 443.

Cuando se confirma que se ha afectado, hay que rotar inmediatamente todas las contraseñas, tokens y otros sistemas similares. A su vez, los entornos contaminados deben ser reconstruidos para evitar que el atacante se siga colando en el código.

El problema afecta a la función Compartir pantalla de macOS. Según el Centro Nacional de Ciberseguridad de Países Bajos, el fallo estaba relacionado con una gestión incorrecta del estado durante el proceso de autenticación. En determinadas circunstancias, un atacante podía saltarse la comprobación de credenciales y acceder al equipo a través de la red.

La situación es preocupante porque existe evidencia de que la vulnerabilidad ya estaba siendo utilizada. El NCSC-NL detectó la circulación pública de una prueba de concepto funcional y posteriormente se identificaron ataques contra varios Mac a través del puerto 5900, utilizado por Compartir pantalla cuando esta función está activada.

Pero el riesgo no terminaba con el acceso inicial. Los atacantes habrían conseguido en algunos casos privilegios de root, el nivel más alto de permisos del sistema. Esto les permitiría ejecutar código malicioso y modificar componentes del equipo con mucha más libertad. Entre las amenazas detectadas se encuentra incluso la instalación de un troyano destinado a utilizar los Mac para minar criptomonedas Monero.

La vulnerabilidad afecta a varias versiones recientes del sistema operativo de Apple. La compañía ya ha publicado las correspondientes correcciones para macOS Sequoia 15.7.9, Sonoma 14.8.9 y Tahoe 26.6.1.

Por tanto, si utilizas un Mac con alguna de estas versiones anteriores y tienes activada la función de Compartir pantalla, actualizar cuanto antes es especialmente importante. Aunque no utilices habitualmente esta función, comprobar que está desactivada puede reducir la superficie de ataque.

Por eso, una de las partes más importantes de cualquier ciberataque contra un smartphone no consiste únicamente en conseguir esos datos, sino en encontrar una forma de enviarlos a los atacantes.

Los programas maliciosos para Android suelen depender de una conexión con la infraestructura de quienes los controlan para transmitir la información que consiguen.

Por ello, cuando esa comunicación no está disponible, el ciberdelincuente pierde una de las piezas necesarias para aprovechar los datos robados. Pero Manic plantea una solución distinta.

Este malware puede utilizar otros teléfonos Android infectados que se encuentren cerca para continuar con la extracción de información.

En este caso, el dispositivo comprometido puede comunicarse con ellos mediante conexiones inalámbricas de corto alcance y aprovechar el acceso a internet de otro móvil para sacar los datos fuera del equipo.

Manic no solo roba información, también busca cómo sacarla del smartphone

Cabe señalar que Manic es una familia de malware para Android centrada en el robo de información y el fraude financiero. Puede vigilar aplicaciones relacionadas con banca, pagos, criptomonedas, mensajería y otros servicios que manejan datos sensibles.

Los investigadores de ThreatFabric identificaron compatibilidad con 169 aplicaciones utilizadas en Europa y descubrieron que entre sus capacidades se encuentran la captura de información mostrada en pantalla y de las pulsaciones realizadas por el usuario.

Esto puede exponer credenciales, códigos de acceso, así como otros datos introducidos en las aplicaciones. Pero conseguir la información es solo una parte del ataque.

Y es que Manic puede conservar los datos en el propio dispositivo y esperar hasta disponer de una vía para enviarlos. Aquí es donde aparece su característica más llamativa.

Otros móviles infectados pueden actuar como intermediarios

Si el teléfono comprometido no tiene acceso directo a internet, Manic puede buscar otros dispositivos infectados que estén cerca. Para comunicarse con ellos puede utilizar Bluetooth, Bluetooth Low Energy (BLE) y Wi-Fi Direct.

El funcionamiento depende de que exista otro dispositivo comprometido en las proximidades. Si ese segundo móvil también está infectado y dispone de conexión, puede convertirse en el intermediario que necesita el malware.

De esta manera, el móvil que ha recopilado los datos los transmite al dispositivo cercano. Este, a su vez, puede enviarlos a la infraestructura de los atacantes utilizando su propia conexión. El malware consigue así crear un recorrido alternativo para sacar la información del primer dispositivo.

Cabe señalar que no significa que cualquier móvil cercano pueda utilizarse como puente, ya que el segundo dispositivo debe estar comprometido y contar con una conexión que permita completar la comunicación.

Una conexión inalámbrica puede convertirse en otra vía de ataque

Las tecnologías de proximidad como Bluetooth no son nuevas como posibles canales para extraer información de dispositivos comprometidos.

Lo particular de Manic es que incorpora esta posibilidad como parte de su estrategia para mantener la comunicación cuando la conexión directa no está disponible. Esto obliga a mirar más allá del tráfico que sale directamente hacia internet.

Un teléfono puede estar intercambiando información con otros dispositivos próximos y, si alguno de ellos está comprometido, esa comunicación puede terminar formando parte del ataque.

Manic lleva esa posibilidad al terreno del malware y demuestra que un smartphone infectado puede buscar una salida a través de otro dispositivo comprometido.

La amenaza, por tanto, no está únicamente en lo que el malware consigue robar, sino en su capacidad para encontrar una ruta alternativa para sacar esa información del móvil.

Esto es lo que se conoce como smishing, una tipología de ataque muy parecida al phishing por correo electrónico, pero que en este caso envía mensajes de texto (SMS) fraudulentos que suplantan la identidad de la Tesorería General de la Seguridad Social (TGSS).

En este, concretamente, se asegura al usuario que existe una actualización pendiente de la TGSS y se comparte un enlace que difiere según el mismo, como si fueran legítimos de la TGSS.

"Desde INCIBE hemos detectado una campaña de smishing en la cual se suplanta a la Tesorería General de la Seguridad Social (TGSS) informando de una actualización pendiente y solicitando consultarla para su gestión a través de un enlace fraudulento que suplanta la web de la Seguridad Social", detallan.

Hace un año por lo menos que consulté con INCIBE y con la Seguridad Social sobre este tipo de enlaces acortados, ya que siempre comienzan con HTTP, aunque esto por ende no implica que sea malicioso, ya que al acortarse se quedan con este protocolo, en sus propias palabras.

"Hasta el momento se han detectado varios tipos de mensajes con la misma finalidad, los cuales incluyen una URL con diferentes direcciones web que simulan ser un dominio legítimo de la Seguridad Social, tratando así de confundir al usuario", continúan.

En esta nueva campaña de smishing, una vez que el usuario pincha en el enlace fraudulento, se le notifica que existe una prestación económica disponible de 305,85 euros, dividido con un subsidio básico de 245 euros, además de un complemento de ajuste por inflación (según zona de residencia) de 42,15 euros y un complemento familiar de energía de 18,7 euros.

Ya de por sí esto es realmente extraño, debido a que este tipo de complementos suelen depender de las condiciones individuales de cada núcleo familiar; en cualquier caso, tanto la interfaz como la ortografía y el diseño son extremadamente parecidas a las de la TGSS, por lo que no es difícil caer en la trampa.

"Al pulsar en el enlace, nos redirige a una web fraudulenta que imita a la legítima, donde nos pedirán datos personales como el DNI y se informa de una supuesta prestación económica pendiente de revisión y cobro", explican desde INCIBE.

Bajo el título de Asistencia para la adaptación energética 2026, el usuario tendrá que introducir su DNI/NIE, además de datos sobre la dirección postal, como la calle, el número, el código postal y la provincia o ciudad.

Con ello, los atacantes ya tendrán a su disposición los datos personales de los usuarios, aunque la técnica continúa solicitando una verificación de cuenta y titularidad con los datos bancarios –titular de la tarjeta, número de tarjeta, fecha de caducidad y CVV–.

"La Seguridad Social no solicita el pago de deudas ni la actualización de datos personales mediante enlaces recibidos por SMS", aseguran desde INCIBE, y aconsejan siempre revisarlo todo desde IMPORTASS, Portal de la Tesorería General de la Seguridad Social, la aplicación oficial de este organismo.

En caso de no poder acceder a esta aplicación, también se pueden revisar todas las notificaciones desde la Sede Electrónica de la Seguridad Social.

Por lo demás, para los usuarios que hayan recibido este SMS, pero no hayan pinchado en el enlace, INCIBE recomienda que se realice un reporte en su buzón de incidentes, con el objetivo de poder recopilar toda la información y prevenir que otros usuarios caigan en este tipo de fraude. Adicionalmente, bloquea al remitente y elimina el SMS.

En el peor de los casos, si has pinchado en el enlace y has facilitado información personal o bancaria, contacta directamente con la Línea de Ayuda en Ciberseguridad para recibir asesoramiento. Además, pide a tu entidad bancaria que bloquee cualquier movimiento no autorizado y la tarjeta.

Por último, presenta una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado, sobre todo para evitar futuribles suplantaciones de identidad y aportando todas las pruebas que hayas recopilado. Finalmente, en los próximos meses vigila bien si tu información personal ha sido expuesta y se ha utilizado de forma indebida.

El ransomware es uno de los tipos de estas amenazas que se conoce por secuestrar datos para extorsionar, algo que suele afectar a grandes compañías. Aunque lamentablemente es común hoy en día, el nuevo Medusa está invadiendo infraestructuras críticas.

Cientos de organizaciones están siendo afectadas y las agencias de seguridad están volviendo a levantar las alarmas porque la situación está aumentando a un punto de alta gravedad. Incluso los organismos federales advierten de las capacidades que tiene este ciberataque.

Más de 500 organizaciones críticas afectadas por Medusa

El ransomware Medusa no es uno de los que se tenga que tomar a la ligera, pues ha hecho que reaccionen las agencias más importantes de Estados Unidos.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA), en coordinación con la Oficina Federal de Investigaciones (FBI) y el Departamento de Salud y Servicios Humanos (HHS), ha advertido el alcance que tiene esta campaña de ciberdelincuentes en la actualidad.

La amenaza ha comprometido a más de 500 organizaciones pertenecientes a sectores de infraestructura crítica desde junio de 2021. Por lo tanto, han estado bajo constante ataque por años y hasta abril de 2026 las víctimas abarcan áreas tan sensibles como la salud pública.

Varios sistemas registrados se vinculan a servicios gubernamentales, sector financiero y tecnología. Esto hace que el problema sea más grande de lo esperado porque se involucran organizaciones médicas, educativas, jurídicas, aseguradoras, tecnológicas y manufactureras.

En tan solo marzo de 2025, la cifra de víctimas iba alrededor de las 300 y eso ha aumentado casi el doble en tan solo un año. En el comunicado oficial de las autoridades, se menciona que los operadores de Medusa siguen aprovechando vulnerabilidades de seguridad.

Las brechas que se encuentran en los dispositivos son suficientes como para acceder a sistemas corporativos. Por esto mismo es que se recomienda que se mantengan los sistemas operativos, software y firmware actualizados.

También es una buena idea la segmentación de redes para impedir movimientos laterales y la restricción del acceso remoto desde ubicaciones o fuentes no confiables.

¿Cómo opera Medusa y por qué sigue siendo una amenaza relevante?

Tras varios años operando, es normal preguntarse por qué sigue haciendo de las suyas, habiendo tantos métodos para hacerle frente. La cuestión es que se trata de uno de los ransomwares más peligrosos que han afectado a las infraestructuras estadounidenses.

La operación Medusa apareció originalmente en enero de 2021, aunque su actividad ganó notoriedad a partir de 2023 con el lanzamiento de su portal de filtración conocido como Medusa Blog. Ahora, se aplica la estrategia de doble extorsión y parece que los ciberdelincuentes no se van a detener muy pronto.

El ataque sigue el camino de cifrar los archivos de las víctimas para bloquearlos y pedir algo a cambio. En su mayoría, se trata de transferencias de dinero altas. De lo contrario, los atacantes amenazan con liberar la información o simplemente dejarla restringida para que no puedan entrar a ella.

De acuerdo con la alerta de CISA, Medusa evolucionó desde un modelo de ransomware cerrado hacia una estructura de ransomware como servicio (RaaS) basada en afiliados, por lo que los desarrolladores reclutan Initial Access Brokers (IAB) constantemente para poder hacer que la operación sea masiva.

El aviso destaca que estos colaboradores pueden recibir pagos que oscilan entre 100 y 1 millón de euros por facilitar el proceso. Otro aspecto importante es que el nombre Medusa suele generar confusión dentro del ecosistema de amenazas digitales.

Existen diferentes familias de malware y operaciones cibercriminales que utilizan esa denominación, como MedusaLocker que no tiene nada que ver con esta.

La nueva advertencia de las autoridades estadounidenses deja claro que Medusa continúa siendo una de las amenazas más activas en la actualidad y se debe tener muchísimo cuidado porque un ataque tan masivo podría afectar otros países, incluyendo España.

En esta investigación, titulada CATAnA: on the dangers of SIM-Originating AT commands y presentada durante la conferencia USENIX WOOT de este año, el equipo ha conseguido secuestrar desde móviles de última generación hasta infraestructuras críticas, como puntos de recarga de coches eléctricos.

"En lugar de almacenar exclusivamente secretos de autenticación, las SIM son también pequeños ordenadores que se comunican con el módem del dispositivo móvil", explican los investigadores en referencia a que la comunicación no es unidireccional.

Por ejemplo, mediante los conocidos como comandos proactivos, la tarjeta SIM puede tomar la iniciativa. Y aquí existe un peligro real al lanzar el comando RUN AT, que permite a la SIM enviar instrucciones directamente al procesador de comunicaciones del dispositivo en cuestión con el lenguaje AT.

Este protocolo nació en la década de los 80, pero continúa siendo el estándar que se utiliza para la configuración de los módems más modernos. "Nuestra investigación muestra que los comandos SIM AT representan un riesgo de seguridad significativo para los equipos móviles", advierten.

Para comprobar toda la superficie de ataque, el equipo ha desarrollado la herramienta CATANA, que permite interactuar de forma automatizada con la interfaz SIM AI, probando hasta 26 dispositivos diferentes –18 móviles y 8 módulos del IoT–. El resultado fue que 9 de estos aceptaron comandos directos de la SIM.

Ahora bien, muchos móviles modernos ya limitan esta funcionalidad, pero los dispositivos IoT son los que más preocupan al equipo por seguir estando expuestos: "La mayoría de módems IoT admiten comandos AT originados en la SIM, ofreciendo una superficie de ataque importante para tarjetas SIM hostiles".

De la misma forma, el estudio ejemplifica esto con diferentes módulos, como los cargadores de vehículos eléctricos, concretamente con una demostración con un cargador comercial Autel, logrando ejecutar código arbitrario en un ataque en 2 fases.

Y también con modelos concretos de móviles, como el Oppo Reno 14 F 5G, el cual lograron forzar para que se conectara exclusivamente a redes 2G, las cuales carecen de autenticación mutua y facilita ataques mediante estaciones base falsas, pudiendo espiar las comunicaciones.

Adicionalmente, la investigación muestra cómo con este tipo de ataque se puede conseguir que, desde una SIM maliciosa, el móvil se pueda apagar o desconectar el módem de forma permanente, hasta que se vuelva a reiniciar el dispositivo de forma manual.

Incluso en los módulos de la marca Quectel se ha descubierto una vulnerabilidad que posibilitaba que la SIM leyera archivos sensibles del sistema operativo Android y, posteriormente, realizara una exfiltración de estos datos a un servidor externo mediante SMTP.

"La falta de exploración de los ataques AT originados en la SIM constituye un importante punto ciego en nuestra comprensión del panorama de amenazas a la seguridad móvil", reconocen los investigadores.

No obstante, la duda es bastante clara: ¿cómo puede llegar una tarjeta SIM hostil al dispositivo en cuestión? El equipo lo ejemplifica con varios escenarios, como el acceso físico directo, la instalación de un adhesivo con un chip e incluso ataques en la cadena de suministro o ataques a los sistemas de administradores de las operadores de telefonía móvil.

De nuevo, los dispositivos IoT son los más perjudicados, ya que suelen estar cerrados y exponen varias interfaces para los atacantes, por lo que las tarjetas SIM maliciosas podrían ser el vector de entrada perfecto para los ciberdelincuentes.

Sea como sea, Qualcomm ya está trabajando para endurecer las configuraciones de esta interfaz por defecto, aunque el riesgo sigue presente en millones de dispositivos que no reciben actualizaciones continuas de firmware.

El mayor objetivo, por otro lado, son los servidores y los ordenadores más potentes, que suponen la primera línea de entrada para todos los usuarios, un aspecto en el que el kernel de Linux sí ha vivido un año trágico: las vulnerabilidades alcanzaron la cifra de 5.530, según los informes del NIST.

Esto supone en la práctica un aumento del 28% respecto a 2025; o lo que es lo mismo, un promedio de 8 a 9 vulnerabilidades descubiertas cada día, algo que satura a los equipos de desarrolladores, también por culpa de la inteligencia artificial.

Teniendo en cuenta que Linux mantiene el 90% de toda la infraestructura a nivel mundial, es una cifra bastante importante a nivel de seguridad, y muestra que los atacantes no solo se centran en dispositivos individuales, sino que apuntan directamente al origen.

Aquí hay que tener en cuenta que muchísimos móviles utilizan Android, que también utiliza el kernel de Linux, con lo cual la superficie de ataque sí aumenta considerablemente en este tipo de dispositivos.

En un contexto en el que grandes modelos de lenguaje natural (LLM) pueden perpetrar ataques de forma autónoma, la inteligencia artificial puede ser el talón de Aquiles de Linux, pero también su propia salvación.

El aumento de los ciberataques sobre Linux

Linux es uno de los objetivos principales para el cibercrimen y los datos dan fe de ello. Según los análisis de firmas de seguridad importantes del sector, como Kaspersky o Palo Alto Networks, este sistema operativo es una diana clara.

En el terreno de las inyecciones de código, se ha registrado un espectacular aumento del 746%; en términos coloquiales, los atacantes se dedican a explotar errores, por decirlo de alguna forma, que están alojados en Linux para ejecutar comandos con privilegios de administración.

Adicionalmente, los errores de gestión de memoria en C o C++ –algo que mejora Rust con su entrada triunfal como lenguaje oficial de programación en Linux– también aumentaron en un espectacular 597%, situando el desbordamiento de memoria como una de las opciones favoritas de los ciberdelincuentes para ejecutar código de forma remota.

Por si esto no fuera suficiente, hay que tener en cuenta a los grupos de amenaza persistente que suelen estar patrocinados por Estados, como Akira, LockBit o BlackCat, que mejoran sus técnicas con el avance de los años, también aprovechando la automatización que permiten modelos de IA sin restricciones, un elemento cada vez más presente.

Quizá uno de los mejores ejemplos de cómo la IA puede utilizarse de forma ofensiva es el último "ataque" a Hugging Face, perpetrado por un agente autónomo, sin la necesidad de intervención humana, por parte de uno de los últimos modelos de OpenAI, según confirmó esta última compañía posteriormente.

En este caso, se creía que un atacante humano había utilizado un LLM mediante jailbreak e incluso que había desarrollado su propio modelo, ya que desde Hugging Face no daban crédito a lo que habían tenido que vivir.

Un día después, OpenAI confirmó que el modelo GPT-5.6 Sol había actuado de forma autónoma para comprometer credenciales y servicios de Hugging Face, un hecho que supone un nuevo paradigma en el ámbito de la ciberseguridad.

Si una IA puede gestionar un ataque autónomo sin revisión humana, ¿es posible que la misma IA pueda utilizarse para el análisis automatizado o el análisis forense digital? Precisamente, este ciberataque por IA ha mostrado que no es solo posible, sino que es prácticamente obligatorio en los tiempos que corren.

Usar la IA para la defensa, un aspecto no tan sencillo

Antes de que OpenAI anunciara que su modelo se había descontrolado, por decirlo de alguna forma, Hugging Face ya había intentado utilizar la inteligencia artificial para realizar un análisis, algo prácticamente imposible para un ser humano, teniendo en cuenta que se enfrentaban a más de 17.000 acciones automatizadas al mismo tiempo y durante todo un fin de semana.

En la práctica, los LLM son utilizados para perpetrar este tipo de ciberataques mediante un jailbreak, pero en este caso se enfrentaban a un agente autónomo totalmente desprovisto de objeciones éticas y legales.

Básicamente, se enfrentaron a un agente artificial que decidía por su propia cuenta cómo actuar para saltarse las restricciones de seguridad de la plataforma, a lo que Hugging Face respondió con su propia medicina: el uso de la IA para el análisis forense digital.

Esta etapa es crucial en cualquier tipo de ciberataque, ya que se basa en recopilar pruebas digitales del atacante para comunicarlo públicamente, algo obligatorio al menos en la Unión Europea y, concretamente, en España.

Ahora bien, los modelos comerciales no fueron capaces de diferenciar entre esta técnica para defenderse de lo que pediría un usuario que quisiera utilizar el LLM para actividades maliciosas, por lo que tuvieron que usan otro LLM abierto para revisar todo lo que había ocurrido.

Gracias a este LLM, Hugging Face descubrió todas las vulnerabilidades aprovechadas por el LLM autónomo atacante, además de que pudo revisar hasta dónde había podido llegar, solventando en el momento cualquier tipo de problema de exfiltración de datos.

A día de hoy, aunque es más fácil utilizar estos modelos para tareas ofensivas que para la defensa, como queda claro con este ejemplo, la IA es crucial para esas compañías que gestionan datos tan importantes como el entrenamiento de los modelos de IA.

En definitiva, es uno de los aspectos más positivos de la IA y uno de los rincones que menos aprovechan las compañías y usuarios que, indudablemente, se enfrentarán cada vez con más frecuencia a ataques autónomos impulsados por este tipo de modelos artificiales de lenguaje.

"Las notificaciones de amenazas de Apple están diseñadas para informar y ayudar a los usuarios que pueden haber sido atacados individualmente por ataques de spyware mercenarios, probablemente debido a quiénes son o lo que hacen", explican en la página oficial de Apple.

Según han podido confirmar medios como TechCrunch, el blanco de estos ataques son tanto organizaciones civiles como militares y ciudadanos con información especialmente sensible o relevante, como el ejército ucraniano, afectado en este caso.

Desde 2021, fecha en la que se activó este servicio, Apple ha mandado numerosas alertas varias veces al año a usuarios en más de 150 países; en este incidente más reciente, la notificación ha abarcado a usuarios de iPhone en más de 110 países. Aunque estos no suelen ser casi nunca civiles.

"Tales ataques son mucho más sofisticados que la actividad civil regular, ya que los atacantes de spyware mercenario aplican recursos excepcionales para apuntar a un número muy pequeño de individuos específicos y sus dispositivos", añaden en el comunicado.

Para que los atacantes no sepan cómo funcionan los métodos que usa Apple para identificar la infección, Apple no comparte ningún detalle sobre las investigaciones internas de inteligencia de amenazas. Adicionalmente, aseguran que, aunque no exista una certeza absoluta de infección, sí son alertas altamente confiables y deben tomarse muy en serio.

"Los ataques de spyware de mercenarios cuestan millones de dólares y a menudo tienen una vida útil corta, lo que los hace mucho más difíciles de detectar y prevenir. La gran mayoría de los usuarios nunca serán blanco de tales ataques", continúan.

Asimismo, aseguran que las víctimas suelen ser periodistas, activistas, políticos y diplomáticos; es decir, un número de usuarios más pequeño, aunque los ataques de spyware mercenario son continuos y globales.

Una vez que la compañía identifica un iPhone infectado, Apple alerta en una notificación en el propio dispositivo, además de enviar otra mediante correo electrónico a las direcciones asociadas a la cuenta de la compañía. Aquí puedes ver un ejemplo:

Apple recomienda que, en caso de haber recibido una alerta de este tipo en el iPhone, los usuarios soliciten la ayuda de expertos en la materia, ya que infectarse con un spyware de este tipo dará lugar al acceso total a toda la información.

Además, avisa de que este tipo de notificaciones nunca pedirán al usuario que haga clic en ningún enlace, abra archivos, instale aplicaciones o perfiles, o que proporcione ninguna contraseña de la cuenta de Apple o código de verificación por correo electrónico teléfono.

Sea como sea, si eres un usuario normal y no perteneces a las categorías antes mencionadas, lo más probable es que nunca recibas una alerta de spyware, por lo que deberías estar tranquilo. De todas formas, si te llega, actúa de inmediato.

Su nombre proviene precisamente de una cadena de texto ("evooo1") que los atacantes han dejado grabado en el código del programa, según ha descubierto el equipo FortiGuard Labs de Fortiinet en una investigación de seguridad.

Este malware ha sido específicamente diseñado para atacar a dispositivos con sistemas operativos Linux, concretamente a aquellos como routers, firewalls o cámaras IP, y lleva activo al menos desde julio de 2026, por lo que ha infectado a importantes marcas como D-Link, TP-Link, NETGEAR, Tenda y Alcatel.

Evooo1Bot aprovecha una gran lista de vulnerabilidades conocidas, pero que no se han parcheado o actualizado correctamente, por lo que se dedica a explotar todas estas para comenzar el ataque y lograr entrar en estos dispositivos.

Tras lograr acceder, se ejecuta un comando que descarga la versión exacta del virus que mejor se adapte a la arquitectura del dispositivo en cuestión y, para no dejar ningún tipo de huella, borra toda el historial de comandos con la imposibilidad de que el dueño no se percate del ataque.

A diferencia de lo que ocurre con los botnets tradicionales más orientados a saturar los servidores web y hacer caer páginas en un ataque totalmente coordinado, Evooo1Bot funciona más bien como una herramienta modular bastante peculiar.

Su característica principal, y la más peligrosa, es que se disfraza para convertir el dispositivo infectado en un proxy o intermediario, lo que permite al atacante navegar por internet con la conexión de la víctima u ocultar su ubicación real, además de acceder a la red interna de una empresa desde el interior, para no levantar ningún tipo de sospecha.

En segundo lugar, cuenta con un escáner de contraseñas mediante la fuerza bruta, por lo que es capaz de adivinar credenciales de dispositivos del hogar, pero también de bases de datos profesionales o herramientas de desarrollo.

A partir de aquí, es capaz de rastrear todo el tráfico del dispositivo infectado para hacerse con las cookies o las credenciales de cualquier usuario, una técnica muy sofisticada y difícil de atrapar.

Quizá lo más curioso es que actúa prácticamente como un ninja para no ser descubierto: si observa que hay herramientas de análisis como Wireshark o está corriendo en un entorno virtual (sandbox) se para completamente para que nadie lo pueda descubrir.

Y los firewalls tampoco son capaces de identificarlo, ya que oculta la comunicación con los servidores de los atacantes mediante técnicas de cifrado complejas –AES y ChaCha20–, mezclando el tráfico legítimo de internet en el puerto 443 con el suyo propio. Básicamente, una odisea para los equipos de seguridad.

Aunque según los analistas la solución es sencilla y pasa por la prevención. En este sentido, recomiendan no olvidarse de los dispositivos conectados más olvidados, como pueden ser los de red, que suponen la primera línea de defensa para no infectarse y forma parte de una red zombi.

Desde Fortinet recomiendan mantener los parches de seguridad actualizados de forma inmediata, ya que Evooo1Bot explota vulnerabilidades ya conocidas; obligatorio entonces mantener el firmware del router actualizado, además de las cámaras asociadas.

Como paso crucial, también es imprescindible haber cambiado las contraseñas por defecto de estos dispositivos, debido a que el malware busca de forma activa los que mantienen aún las de fábrica, al ser más fáciles de infectar.

En definitiva, Evooo1Bot recuerda que, por más que haya dispositivos menos importantes conectados a la red de una organización, la prevención es vital para no caer en este tipo de técnicas, que pueden ser más complicadas de identificar durante la monitorización.

De Mitnick, quizá el hacker más famoso de todos los tiempos, llegó a decir la fiscalía, con el beneplácito del FBI y el Departamento de Justicia, que era capaz de "iniciar una guerra nuclear únicamente silbando por el auricular de un teléfono público".

Y, aunque es una hipérbole desmesurada, este hacker se convirtió en una de las figuras más perseguidas a nivel global por saber cómo manejar perfectamente la psicología de los usuarios, quizá el mayor exponente de lo que se conoce como ingeniería social.

Lo que Mitnick demostró, a pesar de ser calificado como terrorista o un actor que formaba parte de un Estado agresor, fue que, aunque una compañía multimillonaria gaste muchísimo en el mejor software, la mente humana continúa siendo uno de los peores apartados de la seguridad de cualquier negocio.

Era, en definitiva, un hacker que sabía cómo hacer trucos de magia ante los ojos ingenuos de un ser humano, además de conocer perfectamente cómo piensa cualquier ser humano, el embrión del phishing y este tipo de manipulaciones en la actualidad.

"Puedes gastar millones de dólares en cortafuegos, sistemas de detección de intrusos y cifrado, pero si un atacante logra convencer a un empleado para que le dé su contraseña por teléfono, toda esa tecnología no sirve de nada", advirtió ya en su momento.

De pequeñas estafas a ser buscado por el FBI

Mitnick nació en Los Ángeles (Estados Unidos) en 1963 y su familia era bastante humilde. Sus padres estaban divorciados y fue criado por su madre, que tenía que encadenar largas jornadas de camarera para sacar adelante al pequeño hacker.

Éste se topó con el ilusionismo con tan solo 12 años de edad y esto fue lo que dio paso a su primera gran estafa; en aquella época, los autobuses de Los Ángeles contaban con una maquina que picaba el billete, así que Mitnick ideó una estrategia para que los viajes le salieran gratis.

Por un lado, convenció a su madre para que le comprara uno de los punzones oficiales que utiliza el autobusero para picar el billete; por otro, se dedicó a recoger billetes usados del suelo que se encontraba en las paradas.

Aprendió el patrón exacto y, de esta forma, pudo viajar gratis durante muchos años burlando el sistema; así, había nacido un hacker que se aprovechaba de las fugas del sistema para favorecerse.

Entrado ya en la adolescencia durante la década de los 70, Mitnick se adentró en una subcultura urbana bautizada como phone phreaking, un colectivo de jóvenes que aprovechaban las fallas de la compañía telefónica Pacific Bell.

Así, consiguió acceder a llamadas internacionales gratuitas, redirigir líneas o directamente escuchar conversaciones ajenas, una situación que le acercaría aún más al mundo de la informática.

Una vez que en los años 80 los ordenadores ya se mantenían conectados entre sí, Mitnick continuó perfeccionando sus técnicas y decidió infiltrarse en numerosas organizaciones, como universidades, grandes compañías tecnológicas y administraciones públicas.

Todo esto le llevó a darse de bruces contra la realidad y fue arrestado en 1988 por haber robado el código fuente del sistema operativo VMS de Digital Equipment Corporation (DEC), lo que le llevó a tener que pasar un año en la cárcel ante lo que las autoridades consideraron como una "adicción a los ordenadores".

En aquel entonces, la figura de Mitnick se asimilaba más a una persona con problemas de adicción que a un verdadero hacker, debido a que ni siquiera las autoridades sabían a lo que se enfrentaban, a pesar de que tras él llegaron muchos otros.

Tras salir de la cárcel, el FBI intentó arrestarlo de nuevo en 1992, pero Mitnick ya no se dejó atrapar y huyó; durante más de 2 años, el hacker actuó como un fugitivo, a pesar de que nunca había robado datos, pedido una recompensa económica ni nada parecido. Solo lo hacía por ego y reconocimiento.

Precisamente, esto le llevó a cometer uno de los errores más graves de su carrera, al intentar atacar la red privada de Tsutomu Shimomura, físico informático y experto en ciberseguridad. Shimomura se tomó esta intentona como algo personal y unió fuerzas con The New York Times y el FBI.

En 1995, Mitnick fue interceptado de madrugada por el FBI en su apartamento en Carolina del Norte. En definitiva, 2 años de fuga que no habían servido al hacker más buscado de la historia. Quizás el ego fue lo que le convirtió en una presa fácil...

Su reconversión hacia un hacker de sombrero blanco

Mitnick pasó tras este suceso cinco años en prisión, pero las autoridades mantuvieron la prohibición del uso de tecnología –a excepción del teléfono fijo– hasta 2003, momento en el que el hacker decidió situarse en el otro lado, el lado defensivo de la ciberseguridad.

Con ello, se convirtió en lo que se conoce como un hacker ético, dando lugar a este tipo de espacio para esta modalidad; ahora bien, todo después de una campaña internacional por parte de hackers a nivel mundial que pedían directamente su libertad, bajo el lema "Free Kevin".

En 2002, aún con las restricciones impuestas para el uso de tecnología, publicó el libro líder en ventas El arte del engaño; y durante las conferencias y las rondas de presentaciones, popularizó la frase que se quedaría para los anales de la historia: "No hay ningún parche para la estupidez humana".

Lo que mostró Kevin al mundo es que no hace falta conocer sobre código muy complejo o gastar miles de euros en software especializado, sino que simplemente con la manipulación psicológica se podía conseguir este tipo de técnicas.

En un escenario en el que las empresas grandes gastaban miles de millones de dólares en herramientas muy complejas, pero que descuidaban la formación para que sus empleados no cayeran en este tipo de trampas.

Mitnick falleció en 2023 a sus 59 años de edad, tras una cruenta batalla contra un cáncer de páncreas, pero su recuerdo ha quedado para la historia, como el hacker que mejor supo utilizar la ingeniería social, en lugar de herramientas caras.