Con PHP2Shell, una de las vulnerabilidades más importantes registradas en la historia de internet, básicamente estos mismos cimientos han afectado a millones de páginas web en todo el mundo, así como a servicios gubernamentales críticos y empresas privadas, en tan solo cuestión de horas.

La alarma saltó al descubrirse 2 fallos críticos de ejecución remota de código, ambos bautizados en conjunto PHP2Shell –con los identificadores CVE-2026-109618 y CVE-2026-109619–, que tienen puntuaciones de gravedad realmente altas en la escala que mide este tipo de vulnerabilidades, CVSS, y que afecta a las versiones de PHP que van desde la 5.4 hasta la 8.5.

El fallo técnico, como tal, está centrado en cómo se gestionan algunos estado internos de solicitudes y memoria en los procesos de trabajo, y en la práctica permite que los atacantes puedan enviar peticiones maliciosas con el objetivo de controlar los servidores afectados, instalar puertas traseras o directamente realizar saltos hacia otros sistemas conectados.

Y una de las cuestiones más importantes en todo este lío con PHP2Shell ha sido la inteligencia artificial, que ha sido la principal baza de los equipos de seguridad para poder hacer frente a una vulnerabilidad crítica como esta.

El papel de la IA

Aunque algunos errores se descubren por casualidad o por un trabajo que suele llevar meses de investigación, en este caso, PHP2Shell ha sido descubierto por agencias de ciberseguridad independientes que han usado modelos avanzado de lenguaje y han investigado código a gran escala mediante el análisis automatizado.

En este sentido, la IA ha sido el motor principal para poder auditar millones de líneas de código fuente heredado y localizar anomalías que anteriormente habían pasado ocultas o desapercibidas para los humanos en los últimos 15 años.

Con ello, lo más lógico es pensar en que, si en este caso ha sido la gran defensora, la IA también puede ayudar a que los ciberdelincuentes encuentren estos mismos errores en un tiempo muy corto, a gran velocidad y, por supuesto, que los exploten fácilmente y de forma automatizada.

Ante este desafortunado evento, numerosas agencias gubernamentales de Europa, sistemas de educación, plataformas de contenido o muchísimos foros que tienen gran cantidad de usuarios han optado directamente por desconectar totalmente los servicios o, en su defecto aplicar un cortafuegos de emergencia mediante Web Application Firewall (WAF).

Esto se debe mayormente a que, a diferencia de otros fallos comunes en complementos de CMS, aquí actualizar WordPress o Drupal no sirve para absolutamente nada, debido a que el problema se encuentra en el centro del lenguaje.

Cuánto tardará en solucionarse este problema

De momento, los mantenedores de PHP han lanzado parches críticos para versiones con soporte oficial 8.2, 8.3, 8.4 y 8.5; no obstante, hay una gran cantidad de servidores que aún usan versiones antiguas u obsoletas, como PHP 7.4 o PHP 8.1, y que ya no cuenta con soporte oficial.

Por otro lado, la resolución de este problema dependerá de 2 factores, como la respuesta técnica más mediata o la dificultad operativa en el largo plazo. En el primer caso, los parches oficiales ya están disponibles y los principales paneles de control y distros de Linux ya han liberado estos paquetes. En los entornos mejor organizados, por tanto, aplicar esto supone horas.

Sin embargo, para la solución a largo plazo el tiempo necesario podrían ser semanas o meses, ya que hay una gran cantidad de servidores desatendidos con versiones desactualizadas de PHP y de los cuales sus administradores ni siquiera conocen su exposición.

Adicionalmente, la recuperación no simplemente requiere de aplicar los parches, sino que tendrá que llevar asociadas auditorías para descartar que cualquier atacante haya podido introducir previamente código malicioso.

Para informar sobre este problema, el equipo de ciberseguridad del equipo de HP ha compartido su último informe Threat Insights Report, este analiza millones de dispositivos que estaban protegidos con HP Wolf Security para poder identificar ciberataques más recientes.

Todo ello, con el objetivo de avisar sobre nuevas técnicas que utilizan los delincuentes para evitar los sistemas de seguridad y acceder a los ordenadores de las personas sin permiso. Durante abril y junio de 2026, se detectaron tres campañas de ataques en las que los delincuentes utilizaron el creciente interés por la IA para engañar y estafar a los usuarios.

¿Cómo utilizan los ciberdelincuentes la IA para robar criptomonedas?

Uno de los ataques descubiertos por HP consistía en una página web que anunciaba un supuesto asistente de inteligencia artificial para comprar y vender criptomonedas automáticamente. Los delincuentes prometían a los usuarios una herramienta capaz de gestionar sus inversiones las 24 horas del día. Sin embargo, al descargar el programa, las víctimas instalaban Needle Stealer, un software malicioso diseñado para robar información de sus monederos digitales.

Una vez instalado, el malware buscaba extensiones de monederos de criptomonedas en el navegador, como MetaMask, Coinbase Wallet y Trust Wallet, e intentaba sustituirlas por versiones falsas. Entonces, cuando el usuario introducía su contraseña, los datos llegaban directamente a los ciberdelincuentes, que podían utilizarlos para acceder a sus fondos.

¿Qué técnicas de 'phishing' utilizan los ciberdelincuentes para engañar a los usuarios?

La investigación también descubrió campañas de 'phishing' mediante códigos QR, una técnica más conocida como 'quishing'. Mediante ella, los delincuentes enviaban correos con facturas falsas en PDF e incluían un código que las víctimas escaneaban con su teléfono móvil. Pero el enlace las llevaba a una página que imitaba un servicio de Microsoft, y les pedía introducir sus datos para acceder a ella.

Por otro lado, HP identificó una técnica conocida como ‘trust gap’ o brecha de confianza, que consiste en aprovechar que los usuarios confían en programas y páginas web que parecen oficiales. Por lo que los ciberdelincuentes distribuían aplicaciones falsas que imitaban herramientas para editar PDF o gestionar archivos comprimidos. Una vez instaladas, algunas llevaban a cabo acciones conocidas como ‘hijacks’, es decir, tomaban el control de determinados ajustes del navegador y cambiaban el buscador predeterminado sin permiso para obtener beneficios, mayormente económicos.

Además, el informe detectó ataques que distribuían Phantom Stealer, un programa malicioso diseñado para robar información de los ordenadores. Para conseguirlo, los delincuentes lo escondían en archivos enviados por correo, utilizando incluso imágenes para ocultar parte del código. Según HP Wolf Security, el 56 % de las amenazas detectadas por HP Sure Click durante el segundo trimestre de 2026 llegó por email, mientras que el 24 % procedía de descargas desde navegadores.

En el caso de otras investigaciones de inteligencia, como las llevadas a cabo por el equipo Unit 42 de Palo Alto Networks, también se expresan estas preocupaciones: desde que los atacantes logran acceder a su objetivo, apenas tardan unos 39 segundos en comenzar a exfiltrar toda la información confidencial robada. A esto hay que sumar que los ciberdelincuentes están aprovechando más que nunca la IA a nivel ofensivo, y el uso de este tipo de herramientas se han incrementado un 89% desde el último año, además de que el 82% de las detecciones ya no emplean código malicioso tradicional, sino que explota identidades legítimas o credenciales robadas.

Todo esto ha llevado a que, según los datos más recientes de IBM, 1 de cada 4 brechas de seguridad en grandes empresas estén impulsadas por la IA, con un coste medio por incidente que supera notablemente los 6 millones de dólares.

La mejor defensa ante la IA es la propia IA

La operación JADEPUFFER fue la primera registrada en la que un modelo de lenguaje (LLM) autónomo actuaba íntegramente para colar un ransomware aprovechando una vulnerabilidad para lograr el acceso a toda la red interna.

Este tipo de agente tenía la capacidad para analizar los fallos durante la intrusión, reescribir su propio código y ejecutar correcciones en solo 31 segundos, una velocidad para la que un ser humano jamás estaría preparado y para el que supondría al menos unas decenas de minutos.

Durante otro incidente ocurrido en Tailandia, el Ministerio de Finanzas se enfrentó a Hermes, un agente de IA de código abierto que sirvió para el ciberespionaje contra el país de forma totalmente desatendida e incluso instalando otro agente personalizado bautizado como Hades.

En una entrevista con el medio Analytics India Magazine, Jyoti Prakash, responsable de seguridad de Google Cloud India, ha asegurado que "no es fácil tener a un grupo de desarrolladores haciendo un escaneo a diario porque las amenazas y vulnerabilidades avanzan a la velocidad de la máquina".

Principalmente porque los atacantes ya están empleando modelos de IA muy potentes para rastrear vulnerabilidades y comenzar con las intrusiones en tiempo récord, por lo que única solución sería utilizar la misma herramienta a nivel defensivo.

"Para abordar y gestionar este tipo de ataques, también es necesario aprovechar la IA", ha asegurado el responsable de Google. "La seguridad ya no puede tratarse como una capa independiente añadida después del despliegue".

Dentro de la multinacional, a nivel de seguridad defensiva, han desarrollado diferentes herramienta de análisis preventivo para tratar de frenar este tipo de ataques, como son Big Sleep y CodeMender, que están especializadas en rastrear vulnerabilidades en el código fuente antes de que los programas salgan a producción.

Aunque esto no solucionaría en ningún caso las exfiltraciones tan veloces que se han dado en segundos, por lo que una solución más factible se daría con lo que se conocen como agentes SOC –los de los centros de operaciones de seguridad–, capaces de adelantar en velocidad a equipos humanos que tendrían que correlacionar los registros, verificar si un ataque es real o un falso positivo, etc., lo que podría llevar al menos 30 minutos.

El agente de este tipo de Google, que está basado en el modelo de Gemini, es capaz de reducir el tiempo de análisis manual desde los 30 minutos hasta apenas 1 minuto, lo que ha llevado a otras grandes compañías a adoptar este tipo de agentes para asegurar sus infraestructuras.

Estos agentes autónomos de defensa también tienen riesgos

Por supuesto, estos mismos agentes autónomos también pueden convertirse en un arma de doble filo, como ocurrió también con un modelo Gemini durante las propias pruebas de seguridad de su propia compañía.

Debido a una mala configuración en un entorno controlado, el propio modelo fue capaz de salir del entorno virtual aislado e interactuar con los sistemas de 3 compañías reales, incluso llegando a adivinar contraseñas mediante fuerza bruta y usando claves expuestas en repositorio públicos.

Afortunadamente, el modelo identificó que estas se trataban de empresas reales y detuvo por su propia cuenta todas las acciones que había comenzado. Si esto ocurre en un entorno controlado de pruebas, imagina todo lo que puede suceder sin este tipo de controles.

Con el avance de los años, numerosas empresas de sectores tan críticos como las finanzas, la energía o las telecomunicaciones han elegido a agentes de IA para realizar ciertas automatizaciones.

Estos mismos tienen acceso importante a credenciales, claves API y privilegios de red que, a pesar de que sean vitales, requieren aún de una supervisión humana bajo los principios de confianza cero.

Según el responsable de seguridad de Google, lo más importante es unificar todas las defensa y no fragmentar las herramientas, uniendo la protección del código fuente, la infraestructura en la nube, la seguridad de los dispositivos finales y las operaciones del equipo de seguridad.

Esta es una de las pocas soluciones que la industria tiene si quiere evitar ataques que apenas duran ya segundos y que pueden causar grandes pérdidas.

La situación alcanzó una magnitud poco habitual debido al enorme alcance de PHP, una tecnología utilizada por una gran parte de las páginas web actuales y presente en plataformas tan populares como WordPress, Drupal, Joomla o Magento. Ante el riesgo de ataques, organismos de ciberseguridad europeos recomendaron actuar de inmediato, y algunas organizaciones optaron por retirar temporalmente servicios de Internet hasta disponer de una solución.

Aunque las actualizaciones ya están disponibles, el peligro todavía no ha desaparecido por completo. Los expertos advierten de que ahora comienza una carrera contrarreloj para instalar los parches en millones de servidores. Cuanto más tiempo permanezcan sin actualizar, mayor será la posibilidad de que ciberdelincuentes intenten aprovechar sistemas vulnerables antes de que queden protegidos.

Un fallo descubierto con inteligencia artificial disparó la alerta mundial

Uno de los aspectos más llamativos de esta crisis es que las vulnerabilidades permanecieron ocultas durante años hasta ser descubiertas mediante herramientas de inteligencia artificial. Varias compañías de ciberseguridad identificaron los fallos utilizando modelos avanzados de IA y colaboraron con el equipo de PHP para desarrollar una corrección antes de hacer pública la amenaza.

Sin embargo, la publicación de los parches también ha elevado la preocupación entre los especialistas. Una vez que la solución se hace pública, los atacantes pueden analizar los cambios introducidos para comprender mejor los fallos corregidos y buscar servidores que todavía no han sido actualizados.

Esta situación ha llevado a algunos expertos a advertir de una posible oleada de intentos de explotación contra sistemas desprotegidos durante los próximos días, especialmente en organizaciones con recursos técnicos limitados o que dependen de proveedores de alojamiento compartido.

Gobiernos europeos y grandes plataformas llegaron a desconectar servicios

La gravedad de la situación quedó reflejada en las medidas adoptadas por distintas administraciones públicas. Organismos y servicios de varios países europeos optaron por desconectar temporalmente páginas web expuestas a Internet como medida preventiva mientras se preparaban para instalar las actualizaciones de seguridad.

También algunas plataformas y organizaciones tecnológicas aplicaron restricciones temporales sobre determinados sistemas para minimizar riesgos. La preocupación era elevada porque el problema afectaba a una tecnología básica sobre la que funciona una parte muy importante de la web moderna.

Los investigadores estiman que el alcance potencial del incidente es enorme debido a la amplia adopción de PHP en Internet. Por ese motivo, las recomendaciones de los equipos de respuesta ante emergencias informáticas han sido claras desde el primer momento: actualizar inmediatamente o, si no es posible, limitar la exposición de los servicios hasta completar la instalación de los parches.

Las nuevas versiones ya están disponibles

La parte positiva es que las correcciones ya pueden descargarse. Los desarrolladores han publicado las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que solucionan las vulnerabilidades detectadas.

A partir de ahora, la seguridad de cada sitio web dependerá en gran medida de la rapidez con la que los administradores apliquen las actualizaciones.

La compañía ya había inhabilitado a más de 20.000 cuentas vinculadas a la red y, además, bloqueó más de 100.000 dominios usados para suplantar marcas. En este contexto, eran más de 750 millones de los mensajes fraudulentos los que se habían detectado como objetivo a clientes de Microsoft. Para poder llevar a cabo esta operación, la compañía y la organización Health-ISAC contaron con una autorización judicial de un tribunal del sur de Florida, en Estados Unidos. Gracias a ello, pudieron tomar el control de los dominios que los ciberdelincuentes utilizaron y redirigirlos.

¿Cómo funcionaba la red de estafas y quién estaba detrás?

Se trataba de mensajes que replicaban avisos que las personas pueden recibir diariamente, como por ejemplo, una alerta de que un paquete no se entregó, no pagar un peaje, problemas con la cuenta del banco o incluso alguna deuda pendiente. A finales de 2025 fue cuando la investigación comenzó de la mano de la Agencia Nacional de Policía de Japón, que alertó a Microsoft sobre el envío de mensajes falsos para intentar engañar y estafar a ciudadanos y empresas de Japón.

En la investigación identificaron un mercado clandestino chino, llamado YAM Stores, que se dedicaba a vender cuentas falsas o robadas de Microsoft y de Google. Además del acceso a los servicios de alojamiento, los compradores podían escoger las cuentas que querían adquirir según el tiempo que llevaban activas o el tipo de empresa u organización al que pertenecían.

Para poder descubrir cómo funcionaba este negocio ilegal, los investigadores de Microsoft compraron algunas cuentas y herramientas como parte de su investigación. De este modo, pudieron comprobar cómo los ciberdelincuentes robaban los datos de acceso y después los vendían a otros delincuentes.

¿Cómo los ciberdelincuentes usaban el 'phishing' para hacerse pasar por Amazon o Apple?

Por otro lado, este mercado también ofrecía tres kits de 'phishing', llamados CoGUI, Haozi e Iron Man, que vendían sitios y mensajes para usar como si fueran de bancos, organismos de gobierno, entidades de salud, incluso de empresas. De estos tres sistemas, Iron Man es el más reciente y cuenta con más de 2.300 plantillas que imitan a empresas y organizaciones de más de 150 países. Los tres kits llegaron a utilizar cerca de 17.000 dominios de internet diferentes para llevar a cabo sus estafas.

Por su parte, CoGUI fue uno de los más utilizados para engañar a usuarios de Japón y Estados Unidos. Desde octubre de 2024. Los ciberdelincuentes se hacían pasar por empresas conocidas, como Amazon, Apple y Rakuten, para conseguir los datos personales de las víctimas. Como consecuencia, se llegaron a bloquear más de 100 millones de mensajes fraudulentos al mes relacionados con esta herramienta.

Sin embargo, desde junio de 2026, Iron Man comenzó a ganar terreno frente a CoGUI y los responsables de este negocio ilegal también aceptaban pagos en criptomonedas, como USDT y Ethereum, para así dificultar que las autoridades pudieran seguir el rastro del dinero conseguido a través de estas prácticas. Estas estafas también afectaron a servicios ajenos a Microsoft, de manera que continúa eliminando páginas y bloqueando dominios fraudulentos.

Según Ali, esta información tiene que ver con los numerosos mecanismos de los que disponen las empresas tecnológicas para conocer nuestros intereses sin activar el micrófono del dispositivo. En una publicación de su perfil de LinkedIn, el divulgador especializado en privacidad y protección de datos analiza por qué determinados anuncios parecen responder a conversaciones que acabamos de mantener con otras personas. Además, destaca que la grabación continua de audio supondría un elevado consumo de batería y datos, además de que será más sencillo de detectar en los smartphones actuales.

Por ello, Simman Ali deja claro que las plataformas publicitarias son capaces de anticipar nuestras necesidades usando información mucho más sencilla de recopilar de lo que supondría grabar audio, como es la ubicación, las compras realizadas o las propias relaciones e interacciones digitales.

Cómo saben las aplicaciones lo que te interesa sin escuchar tus conversaciones

Para explicar cómo funciona este fenómeno, Simman Ali plantea una situación habitual del día, en la que una persona habla de una chaqueta y, posteriormente, encuentra publicidad de ese mismo producto en su teléfono móvil. Aunque pueda parecer que alguien ha escuchado la conversación, existen otras explicaciones, comenzando por el historial de ubicaciones.

Si una persona ha estado visitando una tienda de ropa, las aplicaciones que disponen de información sobre sus desplazamientos pueden ayudar a crear un perfil de sus posibles intereses comerciales. También intervienen las conexiones entre usuarios, pues el experto en privacidad explica que compartir una misma red con alguien que ha buscado recientemente un producto determinado puede aportar información extra a algunos sistemas de seguimiento publicitario.

A estos mecanismos se suman el historial de compras, las relaciones entre contactos y los datos recopilados a través de herramientas publicitarias integradas en diferentes aplicaciones. Cuando esta información se puede combinar, los anunciantes tienen a su disposición más elementos para poder predecir el comportamiento del consumidor y ofrecerle lo que está buscando.

Otro factor a tener en cuenta son los intereses previos del propio usuario, puesto que es posible que una persona mencione un artículo en una conversación porque ya estaba pensando en comprarlo y había consultado información relacionada o la había buscado anteriormente en otro dispositivo conectado de alguna manera.

Por lo tanto, el hecho de que un anuncio aparezca después de mantener una conversación en la que se menciona no demuestra por sí solo que el teléfono haya grabado la charla. La coincidencia puede explicarse mediante distintas señales digitales, aunque no siempre sea posible identificar cuál ha provocado una publicidad concreta.

En este sentido, Simman Ali insiste en que comprobar únicamente si el micrófono está encendido no es suficiente para poder evaluar el nivel de privacidad del usuario. Por este motivo, asegura que es más útil analizar las apps que tienen permiso para conocer la ubicación en un segundo plano, así como cuáles comparten información con redes publicitarias y qué datos se utilizan para construir el perfil como consumidor.

Los propios sistemas operativos de los dispositivos poseen herramientas para revisar parte de esta actividad, pudiendo gestionar los permisos y conocer los accesos recientes a información sensible. Su recomendación como experto es revisar los permisos innecesarios, limitar el seguimiento publicitario y consultar las preferencias de anuncios.

GrapheneOS nació en 2014 con el nombre de CopperheadOS pero no fue hasta 2019 cuando adoptó su denominación actual. Según Maldonado, convierte el móvil en un dispositivo sin rastreo gracias a que tiene unos permisos muy restrictivos por defecto, con protecciones adicionales de memoria y de red y un calendario de actualizaciones serio. Está destinado principalmente a periodistas, activistas y profesionales que no pueden permitirse una filtración, y rechaza la idea de que sea un capricho de desconfiados al definirlo como un sistema con el que se puede trabajar a diario.

La limitación más llamativa es que solo se instala en los Pixel, y el especialista explica que el motivo es porque esos teléfonos incorporan hardware de seguridad específico, arranque verificado y actualizaciones de firmware durante años, condiciones que permite un nivel de protección inalcanzable en móviles baratos que el fabricante deja de actualizar a los pocos meses de ponerlos a la venta.

Los móviles que admiten GrapheneOS

La documentación oficial del proyecto informa en detalle de los requisitos, GrapheneOS da soporte a 22 modelos, desde el Pixel 6 hasta el Pixel 10a, y considera que la protección completa, con etiquetado de memoria y límites a los intentos de desbloqueo en el chip de seguridad, se cumple a partir del Pixel 8. Esos terminales reciben un mínimo de siete años de actualizaciones desde su lanzamiento, de modo que un Pixel 8 estará cubierto hasta octubre de 2030 y un Pixel 10a hasta marzo de 2033. La instalación se hace desde el navegador con un instalador web oficial, sin herramientas adicionales, y el cargador de arranque debe volver a bloquearse al terminar, un paso que borra todos los datos del teléfono, por lo que conviene hacerlo antes de configurar nada.

Maldonado reconoce un inconveniente: algunas aplicaciones que dependen mucho de la infraestructura de Google dan problemas, y la primera jornada con el sistema exige paciencia. El proyecto no incluye las aplicaciones de Google de serie, pero permite instalarlas como programas normales, sin privilegios sobre el sistema, de forma que el usuario decide qué otras apps pueden comunicarse con ellas. Para las tareas habituales, llamadas, mensajería, navegación o banca por web, el especialista asegura que el teléfono responde como cualquier otro móvil actual.

Su mensaje de fondo tiene que ver con la elección. En su opinión, Google y Apple ofrecen comodidad a cambio de datos personales, desde las fotos y la ubicación hasta los contactos o las horas de sueño, y cada persona debe valorar si ese intercambio le compensa, siempre que la elección sea consciente y no la configuración que viene de fábrica.

El propio Maldonado matiza que este grado de protección no es necesario para todos. Para la mayoría de usuarios dice que basta con mantener el móvil actualizado, apoyarse en un gestor de contraseñas y mirar con recelo las aplicaciones gratuitas que se financian con los datos de quien las instala. GrapheneOS cobra sentido cuando el riesgo aumenta, como ocurre con periodistas, activistas o directivos. Como primer paso, propone un ejercicio sencillo: revisar los permisos concedidos a las diez aplicaciones más usadas y retirar todos los que no sean imprescindibles.

Esto significa que, al aprovechar la brecha, los agentes maliciosos han podido acceder a espacios de ejecución de código de manera remota y obtener información sensible de determinados sistemas. Entre ellos, contraseñas WiFi en texto plano.

De esa manera, actores malintencionados podrían activar esta vulnerabilidad de manera remota a través de WiFi, sin necesidad de conocer la clave ni completar un registro WPS normal, según ha explicado el experto.

Descubre una brecha de seguridad internacional usando la IA de GPT

Kaiser ha llegado a esta brecha mientras analizaba el firmware de Broadcom con la asistencia de la inteligencia artificial de GPT-5.6 Sol, en su versión para usos dedicados a la seguridad, con acceso limitado, tal y como sostienen desde Banda Ancha.

Tal y como ha explicado el experto, esta falla crítica de seguridad en los chipsets de Broadcom permite a los atacantes obtener acceso root, ejecutar código y lleva activa en estos componentes desde 2010. Sin embargo, no fue hasta 2018 cuando el fabricante descubrió el problema.

En este escenario, Broadcom no asignó un código de vulnerabilidad determinado, conocido como CVE, de modo que muchos de los fabricantes que emplean sus chips no llegaron a actualizar la pieza de código afectada.

En consecuencia, los fabricantes de repetidores continuaron integrando este componente en sus productos y estos han terminado llegando a millones de hogares, incluidos los españoles, con enrutadores que distribuyen algunas de las grandes teleoperadoras de este país.

Estos son los routers afectados con chips Broadcom por la brecha de seguridad

El investigador ha compartido una lista con los scripts para identificar más modelos afectados y en el listado se pueden encontrar cuatro modelos presentes en España, que emplean diferentes teleoperadoras.

Es el caso del ZTE F680 v4, que emplean Jazztel y MásMóvil. Asimismo, en esta lista se encuentran el modelo Comtrend VG8050, que utilizan los clientes con planes contratados con Movistar y O2, junto con el Sagecom Fast 5656, que distribuyen Orange, Jazztel y Simyo entre las personas que utilizan sus servicios.

De parte de Movistar, el investigador también ha avanzado que hay dos routers en el punto de mira. Es el caso del modelo Askey RTF3505VW, que viene con firmware ES_R3505VWSTD203_N43; así como el MitraStar GPT-2541GNAC, con software ES_g8.4_100VNJ0b78.

Este medio se ha puesto en contacto con estas operadoras para determinar cuáles son sus planes de cara a garantizar una solución fiable los usuarios de sus routers. No obstante, en el caso de Movistar han indicado que, por el momento, no tienen constancia de que la vulnerabilidad haya sido empleada para comprometer algún router específico.

Indicar, no obstante, que el alcance de esta gran brecha de seguridad ha sido inmenso y que afecta a decenas de fabricantes, cientos de modelos y millones de routers en todo el mundo. Entre los operadores afectados se encuentran Proximus, VOO y Orange en Bélgica, mientras que KPN está en el punto de mira en Países Bajos y SFR en Francia. Además, la brecha ha llegado a repetidores distribuidos en países como Tailandia, Vietnam, Indonesia y Egipto.

El espionaje lleva asociados diferentes riesgos, con el robo de datos confidenciales como contraseñas, datos bancarios, mensajes de texto y correos electrónicos, además de poder llegar a tomar el control total del hardware. Los ciberdelincuentes pueden activar la cámara y el micrófono de manera remota y sin que el usuario lo note, además de rastrear la ubicación GPS en tiempo real. Todo ello puede derivar en graves consecuencias personales y financieras, con chantajes, acosos, fraudes económicos o suplantaciones de identidad.

El experto en tecnología avisa de que, en un mundo donde el spyware y los ataques dirigidos son cada vez más comunes, la privacidad ha dejado de ser un ajuste opcional para convertirse en una necesidad de supervivencia digital. Por ello, invita a que los usuarios aprovechen las últimas actualizaciones de Google para protegerse, con la llegada del nuevo Advanced Protection Mode.

Cómo funciona la nueva protección de Google contra el espionaje en Android

Elías Rodríguez destaca que el nuevo Advanced Protection Mode de Google no es un simple antivirus que se instala en el dispositivo móvil Android, sino que se trata de “un interruptor maestro” que, cuando se activa, añade más de 20 capas de seguridad adicionales que ayudan a proteger la privacidad y seguridad de los usuarios.

El experto destaca especialmente una función que incorpora y que consiste en el bloqueo de las APIs de accesibilidad para aplicaciones no esenciales, de manera que evita que las apps maliciosas desarrolladas por los ciberdelincuentes puedan llegar a tomar el control remoto del dispositivo móvil y espiar mensajes, o activar la cámara, el micrófono o el GPS.

En su caso, explica que para quienes son profesionales y manejan información sensible en sus dispositivos móviles es especialmente importante activar este nuevo modo, ya que, aunque confiesa que “puede resultar un poco más restrictivo en el uso diario”, al limitar ciertas automatizaciones que no se pueden realizar, considera que compensa teniendo en cuenta el nivel de tranquilidad que proporciona.

Elías recuerda que, al igual que la tecnología avanza, también es importante que lo hagan las medidas de protección, más aún si se pueden activar de manera tan sencilla como con solo activar una nueva función de Google que ya está disponible para todos los usuarios en España tras la actualización del pasado mes de agosto.

El Advanced Protection Mode en Android ofrece el máximo nivel de seguridad del sistema operativo frente a ciberataques dirigidos, malware y robo de datos. Inicialmente fue diseñado para perfiles de alto riesgo, pero realmente cualquier usuario lo puede activar de forma gratuita para blindar su dispositivo.

Su activación aporta diferentes ventajas, entre las que se encuentra un bloqueo estricto de malware, impidiendo la instalación de apps desde fuentes desconocidas, además de proteger frente al phishing e incluso blindando contra el robo físico, incluyendo en sus versiones más recientes la posibilidad de bloquear un dispositivo automáticamente tras varios fallos de autenticación seguidos en apps confidenciales como la del banco.

Esta ha identificado una vulnerabilidad relacionada con una extensión de Adobe Acrobat para Google Chrome, capaz de exponer información personal y conversaciones a través de un procedimiento en el que no se necesitaba instalar programas maliciosos. De ella ha hablado el experto en ciberseguridad Shaked Biner, que advierte de una serie de fallos en la extensión mencionada, instalada en aproximadamente 239 millones de navegadores alrededor del planeta, y que permitía a un atacante acceder al contenido visible de WhatsApp Web.

El descubrimiento, que ha recibido el nombre de HermeticReader, mostró que era suficiente con visitar una página web preparada por un ciberdelincuente para activar una cadena de vulnerabilidades. Lo más preocupante de este asunto es que la extensión de Adobe puede dejar las conversaciones de WhatsApp al descubierto sin robar contraseñas ni aprovechar un fallo de seguridad propio de la app de mensajería instantánea de Meta.

Una vulnerabilidad que compromete conversaciones de WhatsApp

La investigación de Guardio Labs comenzó después de que Adobe publicase el 3 de junio de 2026 la versión 26.5.2.1 de su extensión para Google Chrome, en la que se incorporaban funciones con la integración de Acrobat en WhatsApp Web. Usando herramientas de inteligencia artificial combinadas con análisis humano, los investigadores lograron identificar una cadena de vulnerabilidades en menos de cuatro horas.

El problema surgía de la combinación de distintas debilidades en el funcionamiento interno de la extensión. Según explicó Shaked Biner, una página controlada por un atacante podría enviar determinadas instrucciones que la herramienta interpretaba como legítimas. De esta forma, era posible activar funciones internas y manipular elementos de WhatsApp Web sin que el usuario tuviera que conceder permisos adicionales para ello.

Uno de los mayores peligros de esta vulnerabilidad tenía que ver con la posibilidad de extraer el texto visible de las conversaciones, incluyendo nombres de contactos, vistas previas de mensajes, información del perfil y contenido del chat abierto. Los investigadores comprobaron que estos datos podían enviarse a un servidor externo mediante la manipulación de elementos de la propia página.

Asimismo, en la investigación se encontró otro riesgo importante, como la posibilidad de sustituir el código QR usado para vincular dispositivos por uno controlado por un ciberdelincuente. De esta manera, si el usuario lo escaneaba, podía terminar por asociar su cuenta de WhatsApp con una sesión ajena, lo que facilita el posible robo de la cuenta.

Aunque Biner explica la relevancia de este hallazgo, recalca que esto no significa que los millones de usuarios de la extensión sufrieran un ataque. Guardio Labs demostró técnicamente que la vulnerabilidad era explotable, pero en su informe no documenta una campaña masiva de robo de conversaciones utilizando este procedimiento.

Una vez descubierto el problema, los investigadores pusieron los resultados en conocimiento de Adobe, que reconoció la existencia de la vulnerabilidad y publicó una actualización correctiva durante el mismo fin de semana. Este caso demuestra que incluso las extensiones desarrolladas por grandes compañías pueden sufrir riesgos inesperados.

Por ello, Shaked Biner recuerda la importancia de mantener actualizado el navegador y sus complementos, además de revisar las extensiones instaladas y prestar atención a los permisos que estas solicitan.

Además, si alguien comete un acto ilegal desde tu dirección IP, aunque tú no seas consciente, esto puede llevar a consecuencias legales para ti al ser el usuario que está siendo identificado en el caso de que comience una investigación.

A día de hoy, hay muchísimas opciones disponibles para consultar si alguien se ha colado en tu red WiFi, algunas disponibles fácilmente desde aplicaciones que ya han sido pensadas para ver todo el tráfico, mientras que otras herramientas son algo más avanzadas.

Sea como sea, vas a necesitar conocimientos básicos al menos sobre direcciones IP, direcciones MAC y términos generales de redes, para saber perfectamente si alguien te está robando tu WiFi.

Las formas más sencillas para ver si alguien se ha colado en tu WiFi

La técnica más sencilla y que siempre recomiendo para realizar un análisis a los usuarios que no quieran complicarse mucho es revisar directamente desde el panel de control del propio router, ya que este recopila todos los dispositivos conectados.

Accede al panel de administración introduciendo en el navegador la dirección 192.168.1.1 o 192.168.0.1 y busca entre los menús del router –generalmente en la pestaña de Avanzado– algo que ponga tabla de concesiones DHCP, que te mostrará todas las direcciones IP privadas que se asignan dinámicamente a cada dispositivo conectado, junto a detalles como el tiempo y el nombre del host.

Adicionalmente, localiza algo como tabla ARP, que mapea de forma concreta la dirección IP y la dirección MAC física de cada dispositivo. Y, finalmente, también puedes ver los clientes WiFi en una tabla, que también muestra la dirección MAC y la intensidad de la señal.

En muchos casos, no aparecen los nombres concretos, sino que muestran nombres de host genéricos, por lo que quizá la información no sea la más detallada y cueste identificar algún dispositivo, sobre todo si ya tienes muchos conectados, como altavoces, luces, etc.

Si ves que con este panel de administración no puedes ver muchos detalles, lo mejor es apostar por la aplicación Fing, que la tienes disponible en todos los sistemas operativos más usados, como Android, iOS, Windows y macOS, aunque he de decir que con el paso del tiempo la versión gratuita está bastante limitada.

Es una herramienta muy buena para saber qué dispositivos con la dirección MAC correspondiente están conectados a una red WiFi, también para cuando viajes y pienses que pueda haber una cámara escondida que esté conectada a internet.

Tiene capacidad para analizar diferentes protocolos, como NetBIOS, UPnP, mDNS y determinar cuáles son los puertos que están abiertos para identificar la marca y el modelo del terminal que está conectado; en la práctica, sabrás si hay una smart TV, una consola como una PlayStation 5 o un altavoz inteligente de cualquier marca conectado.

Si tienes Windows –cualquier versión– y no quieres complicarte mucho, la opción más apta es Wireless Network Watcher de NirSoft, que es de código abierto, muy ligera y está diseñada específicamente para este sistema operativo.

Realiza peticiones ARP en todo el rango de subred asignado y recopila detalles como la dirección IP, la dirección MAC, el fabricante de la tarjeta de red, el nombre del equipo conectado, además de un recuento de detecciones. Como grandísima ventaja, puedes automatizarla para que realice alertas cuando hay una dirección MAC que no esté registrada de antemano.

Estas son las más básicas si no quieres complicarte mucho la vida, aunque las más detalladas son las que se utilizan mediante línea de comandos, las mismas que se suelen utilizar en auditorías de seguridad red avanzadas.

Herramientas avanzadas para identificar intrusos en la red WiFi

En un escalón más avanzado aparece la que es la herramienta por excelencia, como es Nmap. Para no complicarte tampoco mucho la vida, lo mejor es descargarla desde la página oficial según tu sistema operativo y, dentro de su carpeta, buscar el archivo ejecutable de Zenmap, que es una interfaz gráfica muy intuitiva.

Dentro de esta, simplemente tendrás que marcar un objetivo. Busca en Windows o cualquier otro sistema cuál es tu dirección IP y deja los 3 primeros bloques intactos, pero cambia el segundo por 0/24 para ordenar a la herramienta que busque en toda tu subred y no solo en tu dispositivo desde el que estás buscando.

Verás que te aparecen muchísimos dispositivos. Ahí tendrás toda la información exacta de los dispositivos conectados a tu red, también con los puertos que están abiertos, la latencia y el modelo de los dispositivos, ya sean Amazon, TP-Link, etc.

La segunda opción más avanzada que existe es Wireshark, para la que ya necesitas también aprender sobre filtros avanzados, ya que captura todo el tráfico en tiempo real y puede ser una información algo abrumadora al principio si no sabes cómo realizar las búsquedas.

Lo primero es descargarla desde este enlace, de nuevo seleccionando tu sistema operativo, abrirla cuando finalice la instalación y buscar en la red principal, la que aparezca más arriba, según algún filtro.

Aquí puedes introducir directamente el comando ip.src == tudirecciónip. Así sabrás hacia dónde están viajando todos los paquetes de la red de tu WiFi principal, con la dirección IP concreta del servidor –apps, páginas web, etc.–, además del puerto que están abriendo.

En definitiva, estas herramientas pueden ser algo más complicadas si no tienes conocimientos algo más avanzados en gestión de redes, pero son con las que mejor vas a aprender sobre esta temática, además de que podrás vigilar constantemente en un análisis activo que te alerte.

Al contar su caso, ha querido dejar claro que, como lleva advirtiendo desde hace años, nadie es totalmente invulnerable en el entorno digital, aunque sí que recalca que hay algunas formas de minimizar el daño y que es muy importante actuar con rapidez cuando sucede. En su caso, el perfil falso que buscaba llevar a los seguidores de Pablo F. Iglesias a un grupo de WhatsApp en el que supuestamente enseñaba a invertir en criptomonedas estuvo activo durante cinco horas, pero lograron que Meta eliminase la cuenta fraudulenta relativamente rápido.

En una entrevista, el experto en ciberseguridad hablaba del motivo por el que los delincuentes le eligieron, al preguntarse si existe algún tipo de criterio al elegir a la víctima o no. En este sentido, Pablo destacó que existen campañas masivas y automatizadas donde el volumen es la estrategia, en la que los ciberdelincuentes lanzan el anzuelo a miles e incluso millones de personas en la búsqueda de cualquier persona que pique y se convierta en víctima.

Sin embargo, también existen ataques dirigidos en los que el perfil de la víctima es un factor clave, y en su caso en particular, el hecho de que sea una figura pública en el terreno de la ciberseguridad, junto a una comunidad de seguidores que confían en él, hace que sea un objetivo muy atractivo para los estafadores.

Si estos consiguen usar su imagen para redirigir a sus seguidores a una estafa, el retorno potencial para ellos es mucho mayor que si hacen lo propio con un perfil anónimo.

Cómo actuar si suplantan tu identidad en redes sociales

Tras sufrirlo en sus carnes, Pablo F. Iglesias explica qué hacer en aquellos casos en los que una persona se encuentra con un perfil falso que se hace pasar por ella. Para empezar, recomienda documentar todo de forma inmediata, con capturas de pantalla del perfil falso, de los mensajes que envía a los contactos y de cualquier otra evidencia disponible. Aconseja hacerlo rápidamente porque la cuenta puede modificarse o desaparecer.

A continuación, se debe avisar a la comunidad y seguidores, de manera que la gente que te sigue debe saber lo antes posible que existe un perfil fraudulento cometiendo una suplantación de identidad, ayudando de esta manera a reducir las posibilidades de que caigan en la trampa.

Hecho lo anterior, llega el momento de denunciar el perfil directamente en la plataforma, que en el caso de Instagram consiste en acceder al perfil falso en cuestión y, tras pulsar en el botón de los tres puntos, hacer lo siguiente: Denunciar -> Se hace pasar por alguien -> Por mí. En las cuentas con una cuenta verificada o una comunidad amplia, la respuesta de Meta es relativamente rápida.

En ese momento, aconseja que se movilice a los seguidores para que también denuncien la cuenta, dado que las redes sociales responden con mayor velocidad cuando reciben un volumen alto de denuncias simultáneas del mismo perfil.

Finalmente, hay que interponer una denuncia policial, sobre todo si hay personas que han sido contactadas o estafadas. Es posible denunciar de forma presencial o telemática a través de la Policía Nacional o la Guardia Civil.

La actualización de octubre continúa una tendencia al alza que se viene observando durante los últimos meses. Desde que Microsoft comenzó a utilizar modelos de inteligencia artificial para analizar su software en busca de vulnerabilidades, el número de fallos detectados y corregidos ha aumentado significativamente.

Windows acumula más de 1.100 vulnerabilidades corregidas

De las 1.453 vulnerabilidades solucionadas durante este Patch Tuesday, un total de 1.105 correspondían a Windows. El resto se repartía entre otros productos importantes del ecosistema de Microsoft.

Office fue el segundo software más afectado, con 164 fallos corregidos, seguido de SharePoint Server con 37, SQL Server con 22 y varias herramientas destinadas a desarrolladores.

Aunque la cifra puede parecer alarmante, el aumento no implica necesariamente que Windows sea ahora menos seguro. En gran medida refleja la capacidad de Microsoft para encontrar más errores antes de que sean aprovechados por ciberdelincuentes, gracias al uso de sistemas automatizados de análisis y detección.

Tres vulnerabilidades zero-day preocupan especialmente a Microsoft

Entre todas las correcciones realizadas este mes destacan tres vulnerabilidades de tipo zero-day, es decir, fallos que ya eran conocidos o podían estar siendo utilizados antes de la publicación de los parches.

La más preocupante es CVE-2026-96951, una vulnerabilidad de Windows que permite eludir determinadas funciones de seguridad del sistema y que, según Microsoft, ya estaba siendo explotada activamente por atacantes.

Las otras dos vulnerabilidades críticas afectan al .NET Framework y a MessagePack-CSharp, una popular biblioteca utilizada por desarrolladores para la serialización de datos. Aunque no se ha informado de ataques activos relacionados con estos errores, Microsoft recomienda instalar las actualizaciones cuanto antes.

Según se ha compartido en Reddit, la aplicación fraudulenta aparecía incluso en algunos resultados patrocinados cuando los usuarios buscaban WhatsApp en Google Play. A simple vista era difícil distinguirla de la aplicación auténtica, ya que utilizaba capturas de pantalla, descripciones e imágenes prácticamente idénticas a las oficiales.

La aplicación estaba publicada bajo el nombre del desarrollador Agment Assets sallu, una cuenta que únicamente tenía esta app disponible. A pesar de tratarse de una copia, logró permanecer activa durante semanas y alcanzar una cifra de descargas sorprendentemente alta para una aplicación fraudulenta.

Cómo consiguió engañar a tantos usuarios

Uno de los aspectos más llamativos del caso es que la falsa aplicación parecía aprovechar el programa Early Access de Google Play. Este sistema permite a algunas aplicaciones ofrecer versiones preliminares a los usuarios, pero también tiene una consecuencia importante: las reseñas públicas no están disponibles mientras la aplicación forma parte de este programa.

Expertos en seguridad ya habían advertido recientemente de que esta característica puede ser utilizada por desarrolladores maliciosos para ocultar señales de alerta que normalmente ayudarían a los usuarios a identificar una aplicación sospechosa. Sin opiniones visibles ni valoraciones negativas, resulta más complicado detectar que una aplicación no es legítima.

Además, el hecho de que imitara con tanta precisión la página oficial de WhatsApp contribuyó a generar una falsa sensación de confianza. Aunque la auténtica aplicación de Meta supera los 10.000 millones de descargas, muchos usuarios podrían haber instalado la copia sin percibir diferencias evidentes.

Afortunadamente, tras la repercusión del caso y las críticas recibidas, Google ya ha eliminado la aplicación fraudulenta de Google Play.

Las pruebas de penetración, el análisis de aplicaciones y la búsqueda de fallos están incorporando agentes capaces de investigar sistemas, localizar vulnerabilidades y generar código para explotarlas. Así que el cambio no consiste en que las técnicas tradicionales hayan desaparecido, sino en que la inteligencia artificial permite automatizar y encadenar muchas de esas tareas con una velocidad y una autonomía cada vez mayores.

De este modo, el nuevo jugador son los modelos de IA, cuya capacidad para actuar mediante herramientas y comunicarse con otros agentes abre posibilidades nuevas, pero también introduce riesgos como las alucinaciones, la inyección de instrucciones y los jailbreaks. En la conferencia, Chema Alonso explica cómo varios agentes pueden coordinarse para ejecutar un ataque fragmentado, aunque cada uno parezca estar realizando una tarea inofensiva. También presenta una prueba de concepto para detectar estos comportamientos, un desafío que se complica cuando intervienen cientos o miles de agentes.

Cómo funcionan los ataques fragmentados entre agentes de IA

Los Fragmented Jailbreak Attacks consisten en dividir un objetivo malicioso en varias tareas y repartirlas entre distintos agentes de inteligencia artificial. Significa que, en lugar de pedir a un único modelo que ejecute una operación completa, un sistema coordinador distribuye el trabajo para que cada agente se ocupe de una parte.

Alonso ilustra el problema con una demostración en la que cinco agentes participan en un ataque simulado, donde cada uno ejecuta su tarea sin reconocer necesariamente el propósito general. Pero el riesgo aparece cuando se reúnen todas las acciones y se descubre que forman parte de una misma operación maliciosa.

Cabe señalar que la dificultad está en que revisar cada agente por separado puede no ser suficiente, sobre todo porque una petición aislada puede parecer legítima, aunque forme parte de una secuencia diseñada para vulnerar un sistema. Por eso, Alonso plantea que la detección requiere supervisar las acciones de todos los agentes, sus comunicaciones y el historial de operaciones, incluso cuando las tareas se ejecutan con intervalos de tiempo.

El experto español presenta un monitor experimental que analiza esta actividad para identificar y bloquear comportamientos sospechosos. Según explica, lo ha probado con cinco y cien agentes. Sin embargo, también plantea el reto de llevar esta vigilancia a entornos con miles de agentes distribuidos.

La IA también introduce nuevas vulnerabilidades

Otro de los riesgos destacados es la inyección de instrucciones o prompt injection, en el cual un agente de IA puede encontrar órdenes maliciosas en una página web, un correo electrónico o un documento y darles prioridad sobre las instrucciones originales. Si dispone de permisos para acceder a información o ejecutar acciones, las consecuencias pueden ser más graves que una respuesta incorrecta.

A esto se suman los ya mencionados jailbreaks, que buscan eludir las restricciones de seguridad, y las alucinaciones, que pueden llevar a utilizar bibliotecas, direcciones web o herramientas inexistentes. Chema Alonso también advierte de que los modelos inteligentes permiten automatizar la búsqueda de vulnerabilidades y la creación de exploits.

El desafío, por tanto, no consiste únicamente en desarrollar modelos más seguros, sino que también exige limitar sus permisos, controlar las herramientas que utilizan y supervisar las interacciones entre agentes. Cuanto más autónomos sean estos sistemas, más importante será comprobar no solo qué hace cada uno, sino qué resultado producen todos juntos.

En cambio, no todos los hackers son ciberdelincuentes, ni todas las personas que tienen conocimientos avanzados de informática utilizan sus habilidades para cometer delitos. Por ello, la diferencia entre hacker y cracker es importante para entender quién protege los sistemas digitales y quién intenta cometerlos.

¿Qué diferencia hay entre un hacker y un cracker?

Aunque muchas veces se utilizan ambos términos indistintamente, hacker y cracker no son lo mismo. La principal diferencia entre ellos está en cómo usan sus conocimientos informáticos y con qué finalidad se accede a un sistema.

Por un lado, un hacker es una persona con una serie de habilidades técnicas avanzadas que investiga cómo funcionan los programas, dispositivos y las redes informáticas. Su objetivo puede ser encontrar errores, resolver problemas complejos o descubrir nuevas formas de utilizar la tecnología. Además, muchas empresas los contratan para poner a prueba su sistema de seguridad, son los llamados hackers éticos.

Por otro lado, un cracker es la persona que intenta vulnerar los sistemas de seguridad sin autorización. Entre sus actividades, pueden encontrarse el robo de contraseñas, el acceso a información confidencial o la distribución de programas maliciosos. El Jargon File, un glosario de la cultura informática, sitúa la popularización de este término en 1985, cuando parte de la comunidad de los hackers buscaba diferenciar sus actividades de los verdaderos delincuentes.

¿Qué significan los hackers de sombrero blanco, gris y negro?

La diferencia entre hacker y cracker no resulta suficiente para poder explicar todos los comportamientos relacionados con la ciberseguridad. Por ello, dentro de la propia comunidad informática se utiliza una clasificación basada en tres colores que permite distinguir a los distintos especialistas:

• Sombrero blanco (white hat): Profesionales que identifican vulnerabilidades con autorización para mejorar empresas u organizaciones.
• Sombrero gris (grey hat): Personas que pueden descubrir fallos sin permiso, aunque no pretendan causar daños. Puede tener consecuencias legales.
• Sombrero negro (black hat): Personas que aprovechan vulnerabilidades para robar información, obtener beneficios económicos o perjudicar a la gente.

En el mundo de la ciberseguridad, los hackers éticos realizan un papel importante en la protección de las empresas y de las personas. Estos especialistas pueden detectar vulnerabilidades en redes, aplicaciones y dispositivos antes de que puedan ser aprovechadas por ciberdelincuentes. Estas medidas son las que permiten corregir fallos, reforzar la protección de los datos de las personas y reducir ese riesgo de sufrir ataques informáticos.

Esta gran novedad todavía se encuentra en fase de vista previa pública, así que no podemos hablar de un lanzamiento definitivo. Además, no está pensada para que cualquiera se lo descargue y lo instale en su ordenador personal. Microsoft quiere incluir este sistema de seguridad en empresas y organizaciones.

Esto forma parte de esta unión Windows-Linux de la que llevamos tiempo hablando. Si hablamos de servidores de empresas, Linux es el rey. Además, cada vez más trabajadores lo utilizan para programar y probar aplicaciones. Y, como ocurre con cualquier sistema, esos equipos también pueden convertirse en un objetivo para los ciberdelincuentes.

Por eso, Microsoft quiere que las empresas puedan proteger sus ordenadores Linux con las mismas herramientas que ya utilizan para otros dispositivos que ya tienen.

Buscan que no haya varias herramientas funcionando a la vez, sino una sola que pueda hacerse cargo de cualquier sistema que tenga una empresa, sea del sistema operativo que sea.

¿Qué es Microsoft Defender y para qué sirve en Linux?

En Windows, muchos lo conocen por haberse convertido en su antivirus de confianza integrado, que permite detectar virus y malware sin necesidad de instalar otro antivirus. Sin embargo, la versión que van a sacar ahora para empresas va bastante más allá de lo que ya se conoce.

Con Microsoft Defender for Endpoint, las empresas pueden vigilar sus ordenadores, detectar comportamientos sospechosos, investigar posibles ataques y actuar cuando algo no va bien. No se trata solo de buscar virus, sino también de comprobar qué está pasando en cada dispositivo y si alguien está intentando entrar donde no debe.

Hasta ahora, Microsoft ya contaba con estas herramientas para proteger servidores Linux, pero ahora esto llega a los PC de escritorio, que son los que realmente utilizan los trabajadores por su potencia.

Todo lo que puede hacer Microsoft Defender en un ordenador Linux

Se han incluido algunas herramientas extra como EDR, siglas de Endpoint Detection and Response, que permite vigilar lo que ocurre en un ordenador para detectar actividades extrañas.

Por ejemplo, si un programa empieza a comportarse de una forma rara o intenta hacer acciones sospechosas, los encargados de la ciberseguridad pueden investigar qué está pasando y tomar medidas.

Esto va más allá de buscar un archivo que tenga un virus. A veces, un ataque no se detecta por un único archivo, sino por una serie de acciones que, en conjunto, pueden dar pie a algo más grande cuando ya es demasiado tarde.

Por otro lado, Defender también cuenta con herramientas para analizar las amenazas que se han detectado y encontrar señales de que un equipo está infectado. Los administradores pueden encontrar la actividad sospechosa y ver si el problema afecta a otros dispositivos.

A esto se le suma la posibilidad de poder actuar sin estar delante del ordenador. Los encargados de la seguridad pueden moverse por los PC de forma rápida y remota y hacer lo que se necesite para parar un potencial problema.

Y lo mejor de todo es que, si se detecta un ataque, puede ser necesario aislar el ordenador afectado para evitar que todo se acabe expandiendo. Estos pueden actuar de forma libre si lo consideran necesario.

¿Qué distribuciones de Linux son compatibles?

Microsoft ya ha comentado que las distribuciones de Linux que ya admite Defender en servidores también son compatibles con esta nueva opción para ordenadores de escritorio.

Hablamos, en concreto, de Ubuntu, Debian, Fedora, Red Hat Enterprise Linux (RHEL), CentOS, SUSE Linux Enterprise Server (SLES) y Oracle Linux.

En cuanto al entorno gráfico, la compañía también incluye escritorios como GNOME y KDE.

Eso sí, que una distribución aparezca en la lista no significa que todas sus versiones sean compatibles de forma automática. La compañía de Windows ha querido establecer, como ya es costumbre, unos requisitos mínimos de sistema y configuración, por lo que, si como empresa quieres hacer uso de este sistema, deberás cumplir con lo que solicitan.

Como ya se ha mencionado alguna que otra vez, password encabeza la lista de contraseñas del router más usada en el mundo con más de 4,9 millones de veces. 123456 se utiliza en 1,5 millones de casos y ambas dos se resolverían en menos de un segundo si un hacker se lo propone.

Es por eso que la Unión Europea ha dicho basta y está obligando a los fabricantes a poner más trabas a las contraseñas débiles y algunos modelos nuevos ya no permiten poner algunas muy sencillas.

Eso sí, esto no significa que mañana vayas a tener que cambiar la contraseña de tu router ni que todos los fabricantes estén aplicando las mismas condiciones.

La normativa europea establece requisitos de seguridad, pero no fija unos parámetros de longitud o caracteres especiales para todas las contraseñas WiFi. Cada fabricante puede poner sus propias medidas para cumplirlos.

Por qué tu router WiFi puede empezar a rechazar las contraseñas fáciles

Hasta ahora, muchos routers permitían utilizar contraseñas WiFi de ocho caracteres. El estándar admite esa longitud mínima para las redes WPA2 y WPA3 con contraseña, pero eso no significa que cualquier combinación sea igual de segura

No es lo mismo utilizar una clave como casa1234 que una combinación larga y difícil de predecir. Aunque nada ya es 100% seguro, lo cierto es que, una contraseña larga y aleatoria pone las cosas bastante más difíciles a quien intente entrar.

Por eso, algunos fabricantes han empezado a exigir claves más seguras durante la configuración de sus routers. En algunos modelos, la contraseña debe tener al menos 12 caracteres y mezclar distintos tipos de caracteres.

El problema viene cuando llevas mucho tiempo utilizando la misma y tienes muchos dispositivos conectados a ella. Si cambias de router y el nuevo equipo no acepta tu contraseña de siempre, tendrás que configurar una nueva y volver a conectar el WiFi en todos tus dispositivos.

Cuánto tarda un hacker en descifrar una contraseña WiFi

Aquí todo depende de las intenciones, herramientas y tiempo que tengan los ciberdelincuentes. Si se lo proponen, realmente lo conseguirán. Básicamente, un atacante puede probar distintas combinaciones hasta dar con la correcta.

Si a esto encima le añades el uso de la inteligencia artificial para que ya directamente incluso lo consigan tumbados en la cama, la situación se pone aún más fea. Si usas la misma contraseña para todo, estás cometiendo un grave error.

Una contraseña de ocho caracteres formada solo por números puede caer en apenas 37 segundos si un atacante utiliza la fuerza bruta. Si esa clave pasa a tener 16 números, el tiempo estimado aumenta hasta los 119 años.

Cómo crear contraseñas seguras sin volverte loco

Ya que parece que no podemos confiar en nadie, al menos hagamos que robar nuestras credenciales sea un laberinto para los hackers. Aquí van algunos trucos:

1. Olvídate de las contraseñas típicas:

Nada de nombres propios, fechas de nacimiento o Contraseña123. Si puedes recordarla fácilmente, un hacker también puede adivinarla.

2. Usa frases en lugar de palabras:

En vez de Perro@2024, usa algo como MiPerroComeZapatosEn2024!!. Es larga, fácil de recordar y difícil de descifrar.

3. Aprovecha los generadores de contraseñas:

Si no quieres pensar, deja que un generador de contraseñas cree un caos de letras y símbolos por ti. Solo asegúrate de guardarla en un lugar seguro.

4. Activa la autenticación en dos pasos (2FA):

Incluso si roban tu contraseña, un código extra desde tu móvil o correo puede salvarte. Usa apps como Authy o Google Authenticator en lugar de SMS.

5. Cambia tus contraseñas más usadas:

Si usas la misma clave para todo, ya estás en peligro. Cambia las contraseñas de correos, redes sociales y cuentas bancarias más pronto que tarde.

6. No guardes contraseñas en tu navegador:

Chrome y Edge te lo ponen fácil, pero también son objetivos de ataques. Mejor usa un gestor de contraseñas en tu móvil al que puedas acceder con una contraseña maestra o incluso tu huella al estilo NordPass.

La firma de seguridad Push Security ha publicado una investigación sobre esta técnica, bautizada como Adception, que combina anuncios publicitarios, redirecciones entre servicios legítimos y una página que suplanta las instrucciones de instalación de Anthropic.

Cabe señalar que lo más peligroso está en un botón que parece copiar el comando necesario para instalar la aplicación en el ordenador, pero en realidad tiene una instrucción oculta en el portapapeles.

De acuerdo con las investigaciones, se detectó que la campaña se dirige a usuarios de macOS que buscan Claude y utiliza técnicas de ingeniería social para conseguir que ejecuten código en su ordenador.

No obstante, los expertos no han podido determinar qué malware se instala finalmente en esta operación, por lo que no se puede afirmar que todos los equipos afectados hayan sufrido un robo de información.

Así funciona el engaño que suplanta la instalación de Claude para Mac

La investigación de Push Security describe una cadena de redirecciones diseñada para ocultar la página maliciosa. Todo comienza cuando el usuario busca "Claude Mac" en Google y encuentra un anuncio patrocinado cuyo destino muestra el dominio "bing.com".

Al pulsar, el navegador atraviesa varias etapas antes de llegar a la web fraudulenta. Los investigadores identificaron una redirección publicitaria de Google y una página de WordPress comprometida que termina enviando al usuario a un sitio que imita la instalación de Claude.

La web también incorpora mecanismos para dificultar su detección. Según Europapress, comprueba determinadas características de la visita y puede mostrar un error si alguien intenta acceder directamente, sin seguir el recorrido esperado desde el buscador.

Una vez dentro, el usuario encuentra unas instrucciones que parecen legítimas, donde la página muestra un comando de instalación utilizado por Anthropic, pero el botón destinado a copiarlo introduce una instrucción diferente en el portapapeles.

De este modo, si la víctima pega el comando en la Terminal y la ejecuta, puede descargar y poner en marcha código malicioso desde una infraestructura controlada por los atacantes.

Cómo evitar caer en la trampa

Es importante mencionar que, para evitar este tipo de engaños, conviene descargar Claude desde los canales oficiales de Anthropic y desconfiar de las páginas que solicitan copiar comandos en Terminal sin poder verificar su procedencia.

Del mismo modo, es importante no asumir que un anuncio es seguro por aparecer en Google o utilizar un dominio conocido durante una redirección, en este caso se debe tener mucho cuidado.

Estas precauciones son importantes en un contexto donde los atacantes ya no dependen de páginas evidentemente falsas, sino de técnicas capaces de camuflarse entre servicios que los usuarios consideran seguros.

Sin embargo, también son algunos de los símbolos que podrían estar advirtiéndote de que un hacker ha logrado su objetivo. Malwares o virus podrían estar rondando por el sistema operativo sin que te des cuenta, cuando en realidad dan muchas señales que puedes detectar a tiempo para evitar que se convierta en un problema mayor.

Sea Windows o macOS el entorno que tengas, hay varios comportamientos que suelen ser sospechosos. Alejarte de todo esto, es de suma importancia para que se mantenga la integridad del dispositivo, así también como tu seguridad virtual. Actuar cuanto antes hace una gran diferencia y por eso en esta guía está la ayuda que necesitas para aprender a identificarlos y solucionarlos.

• El antivirus se desactiva sin que te des cuenta
• Tu navegador cambia su configuración o no funciona igual
• Alertas de inicio de sesión desconocidos
• Nuevos programas o archivos extraños aparecen en el escritorio o carpetas
• Muchas ventanas emergentes o anuncios de la nada
• El ordenador disminuye su rendimiento de forma repentina

El antivirus se desactiva sin que te des cuenta

Una de las cosas que buscan los malwares es desactivar directamente la protección del antivirus. Lo más impresionante de esto es algo que, en su mayoría, se realiza de forma silenciosa, sin dejar rastros o llamar la atención. Por esto mismo, debes mantenerte alerta sobre los avisos o revisar de vez en cuando el status.

Si sospechas que se ha deshabilitado la protección en tiempo real, debes actuar de inmediato. En Windows, es necesario que vayas a Configuración>Privacidad y seguridad>Seguridad de Windows>Protección Contra Virus y Amenazas. Verifica que todo esté activado, tanto Microsoft Defender, como las opciones de Firewall y demás.

Con respecto a macOS, si tienes un antivirus instalado, revisa que funcione de manera adecuada desde la carpeta de Aplicaciones. También es importante que hagas lo mismo en Windows si cuentas con apps de terceros para la defensa virtual.

Tu navegador cambia su configuración o no funciona igual

Podrías estar utilizando tu navegador a diario sin darte cuenta de que un posible virus ha estado configurando los parámetros para que determine enfoques de búsquedas predeterminadas a sitios maliciosos. Muchos de estos entes malignos actúan con el fin de beneficiar a los hackers que realizan phishing.

¿Crees que ya no tienes el control? Si ves mucha publicidad falsa, posicionamiento de páginas que no son oficiales o cualquier otra cosa extraña, lo primero es usar el antivirus que tengas para aplicar un análisis general.

Cuando el programa detecte amenazas, elimínalas o si no hay nada, de igual manera continúa con el siguiente paso. En algunos casos, también podría tratarse de extensiones maliciosas, así que revísalas y desinstalas las sospechosas.

Desde tu navegador, cambia los ajustes fundamentales de búsqueda. Por ejemplo, en Chrome, debes ir a Configuración>Buscador para ver si se mantiene igual. Desde aquí, debes eliminar todas las entradas o páginas que no conozcas desde Gestionar Motores de Búsqueda y Búsqueda de sitios. Aplica el proceso similar con otros navegadores, en sí, las opciones son similares.

Alertas de inicio de sesión desconocidos

El phishing crece cada día y millones de víctimas caen en las trampas de los ciberdelincuentes al replicar páginas falsas idénticas a las de las plataformas originales. Prevenir es lo mejor y por eso es crucial verificar la URL oficial del sitio y no poner datos en cualquier lugar ni enviar información confidencial a cualquier contacto.

El problema de esto es que los hackers recopilan cada uno de esos datos para poder ingresar a tus cuentas de redes sociales, plataformas de diversos tipos e incluso al banco. De repente, un aviso podría llegarte de que han accedido o te has dado cuenta de que te han hackeado y hay que realizar pasos seguros lo más rápido posible.

Algunas de las cosas que ayudan a detener el ciberataque es cambiar la contraseña de todas las cuentas inmediatamente, que sean robustas y diferentes en cada uno de los sitios. También, hay que verificar si todas esas credenciales rondan en la Dark Web con la herramienta de Google.

Por otro lado, siempre que puedas, activa la Autenticación de Dos Factores (2FA) y comprueba el status de los dispositivos conectados. En cualquier situación grave, ejecuta un análisis del antivirus para detectar si no se trata de un troyano o stealer que previamente fue insertado en el sistema.

Nuevos programas o archivos extraños aparecen en el escritorio o carpetas

Revisas tu escritorio o una carpeta que conoces y ves archivos extraños. Si es así, entra en estado de alerta porque podría tratarse de un software instalado de manera forzada por algún malware. Lo peligroso de esta táctica que usan los piratas informáticos es que toman el control del equipo y comienzan a generar todo tipo de virus.

No todo el tiempo es así, porque ciertos elementos se podrían generar con actualizaciones o cualquier otro tipo de acción normal, pero si has detectado algo peculiar, busca el nombre en Windows 11 desde Configuración>Aplicaciones>Aplicaciones Instaladas o en macOS Buscador>Aplicaciones.

En ambos sistemas, es necesario que prestes atención a las cosas que no has instalado o que no forman parte del sistema y desinstálalas. Es posible que no sepas con exactitud de qué se trata, pero puedes copiar el nombre e investigar en Internet para descartar problemas. Por otro lado, en el SO de Microsoft también puedes revisar el Administrador de Tareas para comprobar procesos.

Muchas ventanas emergentes o anuncios de la nada

Entre la gran variedad de problemas que pueden dar los entes maliciosos son los anuncios excesivos. Sin abrir nada, sin entrar en ninguna página, te comienzan a salir ventanas y más ventanas sin cesar, todo el tiempo.

Esto es una señal clara de que hay adware en tu PC y aunque en un principio solo se realiza para que caigas en publicidad de dudosa procedencia, con el tiempo se vuelve cada vez peor y consume mucha memoria RAM, hasta el punto en el que puede colgar el sistema. No solo eso, también desde aquí podrías caer en las trampas de phishing o ser afectado por spyware.

Haz un análisis con tu antivirus, elimina las apps instaladas recientemente que sean sospechosas y realiza una limpieza general antimalware de ser necesario. Además, puedes desinstalar los navegadores y elimina sus carpetas principales para después reinstalarlos.

El ordenador disminuye su rendimiento de forma repentina

Que el rendimiento se degrade con el tiempo es normal porque se van acumulando procesos y aplicaciones o también porque no hay memoria RAM suficiente para lo que se necesita. Sin embargo, cuando esta velocidad y fluido cambia de un momento a otro, al ser drástico, quiere decir que ha ingresado un intruso.

En la mayoría de los casos, los malwares consumen una gran parte de los recursos porque hacen actividades como robar datos, minar criptomonedas o ejecutan otros programas en remoto. Simplemente, usa un antivirus o antimalware y trata de eliminarlos o haz un restablecimiento de fábrica si la situación es crítica.

Al saber todos estos trucos, te vas a preparar para detectar a la mayoría de los virus en el ordenador y sabrás cómo actuar ante diversas circunstancias para que no te conviertas en una víctima de los temidos hackers.

Otros artículos interesantes:

• Los 5 malwares más peligrosos para tu PC y cómo evitarlos
• Cómo eliminar virus y malware de un PC con Windows utilizando una simple memoria USB