En una publicación que describe el incidente de seguridad, de forma también que cumple con lo que se esperaría de cualquier compañía que sufre un ataque, se detalla que ha sido creado y desarrollado por un sistema autónomo de IA, aunque la defensa y detección también ha implicado a la IA.

"A principios de esta semana, detectamos y respondimos a una intrusión en parte de nuestra infraestructura de producción. Este era diferente de cualquier cosa que habíamos manejado antes: fue impulsado, de principio a fin, por un sistema de agentes de IA autónomos, y lo detectamos y diseccionamos en gran medida con la propia IA", explican en el comunicado del incidente.

Según explica el equipo de seguridad, el acceso no autorizado se ha dado sobre un conjunto limitado de datos internos, así como diferentes credenciales usadas en los servicios de Hugging Face.

De momento, se desconoce si esto ha afectado a datos de clientes, aunque es algo que continúan investigando para avisar a los terceros afectados, en caso de que esto se así.

Afortunadamente, no se han encontrado evidencias de manipulación de modelos públicos dirigidos al usuario y la cadena de suministro de software se ha verificado y aparece totalmente limpia.

Un LLM malicioso del que aún no se sabe casi nada

El punto de acceso para los atacantes, de los cuales se desconoce su identidad, comenzó en la canalización de procesamiento de datos: el atacante abusó de 2 rutas de ejecución de código en el procesamiento del conjunto de datos, inyectando datos de forma remota, así como inyección en la plantilla de configuración de uno de estos conjuntos de datos.

El actor malicioso pudo de esta forma ejecutar código de forma remota, lo que le permitió acceder a nivel de nodo, recolectar credenciales y trasladarse durante todo un fin de semana a diferentes clústeres.

Y Hugging Face alerta de que el agente autónomo de IA parece estar construido sobre un modelo de lenguaje natural (LLM) aún desconocido, ya que es capaz de ejecutar miles de acciones individuales mediante un enjambre de sandboxes de corta duración.

"Esto coincide con el escenario de atacante agéntico que la industria ha venido pronosticando", subraya el equipo de investigadores de la compañía.

Ahora bien, Hugging Face también sabe cómo usar la IA para defenderse y, precisamente, la detección del ataque ha corrido a cargo de esta, ya que su sistema también está basado en LLM para eliminar el ruido de los ataques reales.

Así, ejecutaron agentes de análisis impulsados por LLM sobre el registro de acción completo del atacante, compuesto por más de 17.000 eventos registrados, algo imposible de analizar por un analista humano.

Con ello, reconstruyeron todos los hechos en el tiempo, extrajeron los indicadores de compromiso, mapearon las credenciales afectadas e identificaron los señuelos para separar el grano de la paja.

No obstante, al usar modelos de API comerciales para el análisis defensivo, se toparon con que estos bloqueaban el modelo, ya que no diferencian lo que hace un atacante de un analista de incidentes de seguridad. Por ello, usaron el modelo abierto GLM 5.2, sin restricciones de este tipo.

En este sentido, Hugging Face desconoce qué modelo pudo usar el atacante, si uno con jailbreak o uno abierto, ya que mientras el actor malicioso no tenía limitación en los términos de uso, ellos sí se han enfrentado a ello durante la defensa.

"Las herramientas ofensivas autónomas impulsadas por la IA ya no son teóricas. Reducen el coste de ejecutar una campaña amplia, paciente y multietapa, y funciona a la velocidad de la máquina", destacan. "Defender una plataforma en línea ahora significa tratar los datos y la superficie del modelo como una superficie de ataque de primera clase, y usar la IA en defensa para mantener el ritmo".

Esto ofrece una mayor rapidez y lógica durante el desarrollo y las consiguientes actualizaciones o parches, pero si una sola pieza está envenenada por algún actor malicioso, automáticamente la infección pasará al conjunto.

Precisamente, los expertos del sector han hecho sonar las alarmas ante una modalidad especialmente difícil de detectar y que ya está siendo explotada por grupos de cibercriminales: lo que se conocen como repositorios huérfanos –dangling commits en el término original–.

En este contexto, GitHub, la mayor fábrica de software del mundo, se ha convertido en una biblioteca perfecta para colar este tipo malware, ya que la mayor parte de desarrolladores comparten aquí sus proyectos; cada colaboración de un programador, se conoce como commit o entrada de código.

GitHub funciona de esta forma como una especie de libro numerado, pero los conocidos como commits huérfanos o colgados no forman parte de dicho índice, ya que en estos casos el programador no vincula las entradas a ninguna sección pública, los llamados branches. Por tanto, el commit queda en una especie de limbo.

En definitiva, el código sí esta subido a los servidores de la plataforma y dentro del proyecto, pero es invisible, una arquitectura que está favoreciendo algunos de los últimos ataques, perfectamente orquestados para alcanzar a la cadena de suministro.

Commits huérfanos y deuda de seguridad en código de terceros

A nivel técnico, esta técnica de ataque ha sido denominado como CHOR –Cross-Fork Object References– por la firma de ciberseguridad Truffle Security, quienes descubrieron que un atacante puede subir malware a una copia de un repositorio, para quedar alojado permanentemente y de forma invisible en la URL legítima de una empresa en GitHub.

Esta forma de ataque no busca así a numerosos individuos, sino la base en la que todos los desarrolladores y compañías confían, aunque los datos a este nivel son cada vez más preocupantes.

En la práctica, además, es capaz de evadir los firewalls, o cortafuegos, que las empresas suelen utilizar para bloquear descargas procedentes de servidores extraños, no precisamente de github.com, que es un sitio de confianza.

Al introducir un commit huérfano, el atacante tiene la grandísima ventaja de que los creadores del proyecto no verán nada extraño en sus paneles de control, por lo que este tipo de código malicioso puede permanecer ahí sin ser visto.

Por si fuera poco, otras firmas como Veracode aseguran que la cadena de suministro de software es cada vez más una diana para los ciberdelincuentes, con actores maliciosos que se dirigen a repositorios de código abierto muy usados, como NPM o PyPI.

Según uno de sus últimos informes, el 82% de organizaciones tienen actualmente deudas de seguridad, con un 60% en un nivel de seguridad crítica; curiosamente, el 66% de la deuda de seguridad crítica proviene de código de terceros.

Desafortunadamente, aunque este tipo de ataques tienen que ver con el propio diseño de la herramienta, GitHub continúa en el punto de mira, con las mismas amenazas que están presentes en todo el conjunto de la cadena de suministro.

Cuando el enemigo no es el código de terceros

El mayor punto de inflexión en esta lucha constante por blindar los servicios que usan miles y miles de programadores, la brecha de seguridad que confirmó recientemente haber sufrido GitHub, con más de 3.700 repositorios privados afectados, es solo una muestra más de que las técnicas siguen evolucionando, pero con los mismos objetivos.

A diferencia de lo que ocurre con los repositorios huérfanos, este último ataque se basó en el robo de las credenciales corporativas de un empleado, el que suele ser el eslabón más débil de la cadena, ya que está expuesto a campañas de phishing que mejoran notablemente con el uso de la inteligencia artificial.

Básicamente, fue una intrusión directa en GitHub, ya que al contar con las claves y el acceso legítimo del empleado, pudieron saltarse todos los controles y acceder ilegalmente a los repositorios infectados.

Por el contrario, la técnica del repositorio huérfano no implica un robo de credenciales ni una alteración del código que la empresa mantiene vigilado, sino más bien un ataque que aprovecha las bifurcaciones de GitHub para subir código malicioso.

De tal forma, el archivo se mantiene en los servidores centrales de GitHub bajo la URL legítima de la compañía afectada, por lo que es totalmente invisible en el historial público del proyecto.

Así, mientras que en el último caso de GitHub los expertos pudieron identificar actividades anómalas desde las cuentas comprometidas, en los repositorios huérfanos el malware puede mantenerse durante mucho tiempo sin que nadie sea capaz de verlo.

O lo que es lo mismo, los ciberdelincuentes utilizan una dirección legítima para ocultarse sin ningún tipo de sospecha, debido a que el archivo se encuentra en esa especie de limbo invisible a antivirus y demás herramientas de ciberseguridad.

De momento, este tipo de repositorios huérfanos son una de las técnicas más elaboradas que existen, ya que los atacantes no necesitan distribuir su código, ya que las plataformas de confianza que lo utilizan lo harían de forma totalmente involuntaria.

La solución de GitHub no reside en eliminar esta funcionalidad –que depende Git–, sino en advertir a quienes acceden a un commit huérfano que no forma parte de las ramas principales del proyecto, algo que lamentablemente funciona como ayuda para los humanos, pero no frena los scripts automatizados o virus ocultos,

Bitdefender, líder global en ciberseguridad, ha publicado una investigación que revela la creciente ola de fraudes relacionados con el fútbol. Entradas falsas, sorteos fraudulentos, productos falsificados y servicios ilegales de IPTV son algunas de las jugadas más peligrosas.

Además, los expertos en seguridad advierten de la aparición de sitios web falsos que suplantan a la FIFA para engañar a los aficionados y obtener información personal y financiera. Según el organismo, los atacantes están creando réplicas muy convincentes que imitan la identidad visual, los logotipos y los servicios oficiales de la organización para recopilar información confidencial.

La pasión juega a la contra: las estafas más comunes

Las estafas se aprovechan de comportamientos predecibles de los aficionados como la búsqueda de entradas con descuentos para los partidos, productos de merchandising, participación en sorteos, búsqueda de servicios gratuitos o no autorizados para ver los partidos y promociones en redes sociales.

España figura entre los países más afectados por estas campañas, junto con Reino Unido, Portugal, Argelia, Estados Unidos, Canadá, México, Bélgica, Alemania, Brasil y Australia. En total, se han detectado más de 55 campañas fraudulentas, especialmente en plataformas de Meta como Facebook. Aunque el Mundial de 2026 es su principal reclamo, también apuntan a páginas relacionadas con clubes, coleccionistas y plataformas de retransmisión online.

Algunas de estas campañas no solo buscan el pago. El verdadero objetivo es recopilar datos personales, documentos de identidad o información bancaria. Para ello, su modus operandi incluye el uso de múltiples dominios, herramientas publicitarias legítimas para mantener activas las estafas, e incluso inteligencia artificial para aumentar su credibilidad, con imágenes falsas o manipuladas.

Un clásico: las entradas falsas

A medida que se acercan los grandes eventos deportivos, los atacantes utilizan la táctica de la urgencia y el compromiso emocional de los aficionados para persuadirles y que actúen antes de verificar la legitimidad de una oferta.

Uno de los fraudes más habituales en grandes eventos es la venta de entradas falsas. Los estafadores crean páginas web que imitan a vendedores oficiales o revendedores legítimos, ofreciendo supuestas entradas a precios de oro. Una vez realizado el pago, o nunca llega la entrada o recibe un código inválido.

Desde Bitdefender recomiendan prestar atención a algunas señales de alarma:

• Precios demasiado bajos o gangas difíciles de creer.
• Mensajes de urgencia como "quedan pocos entradas".
• Sitios webs con URLs sospechosas o recién creadas.

Esto también incluye las estafas en viajes y alojamiento. Con millones de personas desplazándose, también proliferan las webs falsas de reservas de hoteles o paquetes de viaje. Funcionan publicando alojamientos inexistentes o duplicados, piden pagos por adelantado fuera de plataformas seguras y desaparecen inmediatamente tras recibir el dinero.

Sorteos, promociones y productos de nuestro equipo

Los delincuentes también se aprovechan de la pasión que despiertan clubes y selecciones mediante sorteos falsos, promociones exclusivas de merchandising y supuestos servicios de streaming. Estas campañas juegan con la fidelidad de los aficionados para recopilar datos personales o financieros.

Por eso, Bitdefender advierte que se debe tener cuidado con los formularios que solicitan datos sensibles, enlaces acortados o no verificables y los perfiles que se hacen pasar por marcas oficiales. Los ciberdelincuentes adaptan sus campañas de phishing al contexto del Mundial con correos o mensajes aparentan ser de FIFA, patrocinadores o plataformas de venta para solicitar acciones urgentes. Cuando un usuario cae en la trampa, puede terminar cediendo sus credenciales, información sensible o descargando malware sin darse cuenta.

Cómo detectar y prevenir una estafa

Ante este escenario, contar con herramientas de verificación es clave. Bitdefender ofrece soluciones que permiten analizar mensajes, enlaces o interacciones en cuestión de segundos. Una es Bitdefender Scamio, un asistente basado en inteligencia artificial que analiza conversaciones sospechosas y detecta posibles fraudes en tiempo real. También Bitdefender Link Checker, un verificador que permite comprobar si una URL es segura antes de hacer clic.

Estas herramientas son especialmente útiles cuando recibes un enlace o mensaje que te genera dudas, algo cada vez más habitual en campañas vinculadas a eventos masivos. Pero, además de usar estas herramientas específicas, conviene seguir algunas buenas prácticas y consejos básicos como:

• Comprar entradas únicamente en canales oficiales.
• Evitar hacer clic en enlaces de mensajes no solicitados como de correo electrónico, redes sociales o aplicaciones de mensajería.
• Desconfiar de ofertas demasiado atractivas. Si una oferta parece inusualmente generosa o requiere una acción inmediata, trátala con precaución.
• Verificar la URL antes de introducir datos personales. Los atacantes suelen utilizar cambios ortográficos sutiles o extensiones de dominio alternativas que se asemejan a los sitios web legítimos de la FIFA.
• No compartir información sensible por mensaje o correo.
• Activar medidas de seguridad adicionales, como autenticación en dos pasos.

La emoción del fútbol no debería verse empañada por fraudes digitales. Por eso, informarse, mantenerse alerta y apoyarse en herramientas de seguridad son las mejores precauciones para disfrutar de nuestra selección con total tranquilidad.

Una buena defensa siempre marca la diferencia, y por eso, Bitdefender ofrece protección avanzada frente a amenazas online, incluyendo detección de phishing, protección de identidad y herramientas inteligentes para evitar fraudes antes de que ocurran.

Una de las preocupaciones más realistas en ciberseguridad sobre estos modelos es lo que se conoce como inyección de prompts, un tipo de ataque que aprovecha las instrucciones que se ofrecen al propio modelo.

GPT, Gemini y todos estos funcionan mediante este tipo de instrucciones, aunque pueden llegar a ofrecer fallos en caso de que se manipulen para esquivar su entrenamiento; por ejemplo, el típico caso de que no ofrezcan código malicioso.

Uno de los últimos estudios más importantes en este ámbito es el de Cloudforce One, el equipo de inteligencia y amenazas de Cloudflare, que ha puesto a prueba a 7 modelos de IA para comprobar la gravedad de este tipo de ataques.

Tras comprobar en la primera fase del experimento que los modelos eran susceptibles de caer en trampas inyectadas en sus instrucciones, fueron un paso más allá y pusieron señuelos dentro de las indicaciones de modelos fronterizos –los más potentes– y no fronterizos –los más ligeros o en formato "mini"–.

Y el resultado fue devastador: los modelos no son capaces de reconocer las instrucciones maliciosas si estas representan un porcentaje casi nulo, por lo que los ataques a estos son cada vez más sutiles y representan un riesgo real al ser difíciles de identificar.

La inyección indirecta de prompts, un ataque sutil, pero peligroso

Para entender la magnitud real de este nuevo riesgo para la seguridad, hay que comprender que los modelos funcionan de forma probabilística, y que se rigen por instrucciones que limitan –o no– su capacidad.

A día de hoy, ya existen chatbots de IA que son capaces de saltarse todas sus limitaciones mediante lo que se conoce como inyección directa de prompts, el típico mensaje de "olvida tus instrucciones y...".

Pero la inyección indirecta de prompts es algo diferente, y mucho más peligrosa, ya que no reside en engañar directamente a la IA, sino en envenenar las fuentes de las que se alimenta esta para responder, mediante instrucciones que representan menos del 1% de un archivo.

"Mientras que la inyección directa de prompts se produce cuando un usuario ordena explícitamente un LLM a través de una interfaz de chat (por ejemplo, un usuario que le dice a un chatbot que 'ignore todas las instrucciones anteriores'), la indirecta ocurre cuando un atacante coloca instrucciones maliciosas o engañosas dentro de los datos, como el contenido web, los correos electrónicos o el código fuente, que luego es ingerido y procesado por un agente de IA", explican los investigadores de Cloudflare.

Según Cloudforce One, cuando los comentarios maliciosos bajan de ese porcentaje, la capacidad de la IA para detectar este tipo de engaños cae de una tasa de percepción del 67,3% al 53,3%, siendo los modelos no fronterizos los más afectados.

Esto se debe a lo que se conoce como saturación del modelo: por ejemplo, si alguien le dijera al modelo 100 veces que su código es seguro, la IA notaría que algo no va bien; en cambio, si se camufla como algún tipo de excepción, la tasa de percepción del modelo cae.

Básicamente, esto cambia por completo el paradigma de los ciberataques más complejos, ya que esta modalidad no se centra en el uso de la fuerza bruta –muchas repeticiones de algo–, sino en la sutileza y en saber aprovechar las trampas del lenguaje natural para los modelos.

En la práctica, los atacantes pueden utilizar una técnica de seguridad avanzada, como es la ofuscación de código; es decir, la ocultación u obcecación del código para evitar a usuarios con malas intenciones.

Con la inyección indirecta de prompts, los atacantes consiguen en tal caso ofuscar sus indicaciones mediante la saturación o agotamiento de los grandes modelos.

"Los adversarios ya no necesitan convencer a la IA de que su código es seguro; solo necesitan hacer que la señal maliciosa sea demasiado pequeña para que la IA la encuentre", advierten desde Cloudflare.

Los ataques reales han aumentado en los últimos meses

Aunque la de Cloudflare es una prueba de concepto para demostrar que este tipo de ataques son especialmente sensibles en todos los modelos, el equipo de análisis de amenazas de Google ha descubierto que estos se han incrementado en los últimos 4 meses.

Según el informe oficial de la compañía, los incidentes relacionados con la inyección indirecta de prompts han aumentado hasta un 32%, por lo que puede considerarse ya como una modalidad de ataque a tener en cuenta para el robo de datos.

Y para este tipo de técnicas maliciosas no hace falta vulnerar la seguridad de base de un modelo, sino solo ofrecer contenidos camuflados entre guías de ayuda, contenidos optimizados (SEO) y enlaces disponibles que pueden llevar a la exfiltración.

Y Google no es la única compañía preocupada, ya que OWASP sitúa en primer lugar la inyección de prompts como la vulnerabilidad más preocupante para los LLM, al mismo nivel de lo que sería la inyección SQL.

Aunque muchos apuntan a que la revisión humana se refuerce para evitar este tipo de vulnerabilidades, lo cierto es que las técnicas han avanzado tanto que incluso se pueden encontrar prompts en tamaño de fuente cero.

En tal caso, un ser humano que revise el código no se dará cuenta de lo que se está ocultando, pero para el modelo será como leer cualquier otra instrucción.

Definitivamente, la IA ha cambiado por completo la forma de ocultarse de los ciberdelincuentes, que ahora también pueden pasar desapercibidos dentro del propio modelo de lenguaje natural.

Esto quiere decir que la IA ya no es una herramienta puntual, sino que está presente en toda la lógica del ataque desde su origen, haciendo realmente difícil distinguir si se han utilizado este tipo de herramientas.

En la práctica, los ciberdelincuentes han pasado de utilizar la IA como asistente para convertirla en un peligroso agente con autonomía operativa, ya que esta tecnología es capaz de gestionar toda la operación sin que apenas el ser humano necesite intervenir.

Aunque pudieran resultar planteamientos ajenos al actual desarrollo de la tecnología, son algunas de las conclusiones a las que ha llegado la firma de ciberseguridad Check Point Research en su Security Report 2026.

"La inteligencia artificial está cambiando la mecánica de los ciberataques, no solo su volumen", afirma Eusebio Nieva, director técnico de Check Point Software para España y Portugal.

En definitiva, un antes y un después en la implicación de la IA hacia niveles más altos de automatización, como explica Nieva, "con señales tempranas de técnicas autónomas emergentes".

La IA traerá consigo más ataques de día cero

Como ocurre con casi todas las tecnologías, la IA no escapa a los usos maliciosos que se puedan hacer con ella; es una herramienta más, aunque en este caso ha logrado que proliferen los contenidos fraudulentos, en ataques con deepfakes o en la automatización de campañas de ransomware y phishing.

Según el mismo informe de la firma de ciberseguridad, la Península Ibérica está en el foco de este tipo de ataques, mediante campañas coordinadas que representan "un riesgo estructural creciente".

Y, aunque 2025 ha sido el paso definitivo para el uso de la IA en la lógica empresarial, 2026 será el año en el que se consolide a todos los niveles, pasando desde la mera función de asistencia a gestionar cuestiones vitales, como presupuestos, procesos industriales, etc.

Aquí entran en juego varios factores de riesgo, como la mejora de lo que se conoce como inyección de prompts, un término muy ligado al envenenamiento de los datos, como ya se ha podido ver en varios ataques recientes, que escondían prompts maliciosos en su código.

"La inyección de prompts y el envenenamiento de datos transformarán a los sistemas de inteligencia artificial en un equivalente al 'día cero', donde la integridad ya no depende solo del parcheo, sino de una validación y supervisión continuas", advierte el informe.

Y, por supuesto, la firma también alerta sobre la quiebra de la confianza en diferentes entornos, debido a lo que pueden conseguir las herramientas de IA generativa, con capacidad para crear deepfakes, voces clonadas o identidades sintéticas.

Esto puede llevar a campañas de ingeniería social aún más pulidas en cuanto a la manipulación emocional y la urgencia, ya que los modelos son capaces de imitar cualquier conversación humana, más aún con identidades falsas mediante la creación de perfiles con imágenes y vídeos.

"Defenderse frente a este cambio requiere revalidar los fundamentos de seguridad para la era de la IA y adoptar un enfoque preventivo que detenga las amenazas antes de que puedan propagarse", recomienda Nieva.

En conclusión, las organizaciones tendrán que apostar aún más por la prevención, apostando por la ciberseguridad desde el principio; de lo contrario, los atacantes acabarán siendo siempre más rápidos.

"La defensa en la era de la IA no puede basarse en reaccionar más rápido, sino en anticiparse desde el primer momento. Solo así es posible igualar la velocidad y la escala de los atacantes", concluye.

Esto es justo lo que les ha sucedido a 2 hackers de Estados Unidos que recientemente eliminaron 96 bases de datos pertenecientes a administraciones públicas del gobierno del país norteamericano y actualmente están en prisión, como ha informado Ars Technica.

Muneeb y Sohaib Akhter, hermanos gemelos de 34 años que vivían juntos en la ciudad de Arlington (Virginia), trabajaban como desarrolladores para Opexus, una empresa proveedora de servicios informáticos para, entre otros clientes, el gobierno central de Estados Unidos.

Ambos tenían antecedentes penales, ya que habían pasado un tiempo en prisión por un fraude de ciberseguridad. Los hermanos llevaban un largo historial de pequeños ciberdelitos, como robar beneficios por volar en aerolíneas, en muchos casos con la ayuda de herramientas de inteligencia artificial y con escasos conocimientos, pero hasta entonces de poca importancia.

Uno de los hackeos más chapuceros de la historia

La historia empieza cuando la empresa empleadora se dio cuenta de la larga lista de delitos de los hermanos Akhter. Por todo ello, el departamento de recursos humanos les citó a ambos por videollamada el pasado 18 de febrero de 2025 para comunicarles su despido.

Justo tras el despido, los hackers se pusieron de acuerdo y decidieron que, como venganza, iban a eliminar las bases de datos gubernamentales en las que trabajaba Opexus, con hasta 96 listas de datos sensibles y confidenciales de la administración federal de Estados Unidos.

Para ello, se sirvieron de que la empresa aún no les había revocado el acceso a todas sus bases de datos internas, ya que uno de ellos se mantuvo dentro de la VPN de Opexus y procedió a borrar las bases de datos y las copias de seguridad de agencias como el Departamento de Asuntos de Veteranos, el Departamento de Educación y el Departamento de Seguridad Nacional.

Estos hechos delictivos podrían haber parecido un ciberataque de un grupo de hackers externo y que la autoría de Muneeb y Sohaib Akhter nunca se hubiese descubierto. ¿Cuál fue entonces el error que cometieron?

Que cuando fueron despedidos, la persona de recursos humanos salió de la videollamada tras solo 2 minutos y 40 segundos, pero ellos no, por lo que esta reunión siguió grabándose en Microsoft Teams durante una hora más, mientras los hermanos discutían abiertamente sobre cómo iban a atacar a Opexus y a sus principales clientes gubernamentales.

La conversación entera se ha transcrito y ahora forma parte del documento judicial en el que se les acusa del delito del que les cogieron con las manos en la masa.

Primero, uno de los dos hermanos intenta convencer al otro para extorsionar a su ya ex empresa a través de un email en el que les amenazarían con contactar con todos los clientes en cuyas cuentas habían trabajado. Al otro la idea no le convence.

SOHAIB: Chantajearlos para sacarles algo de dinero habría sido…

MUNEEB: No, eso no se hace. Es una prueba de culpabilidad.

SOHAIB: No, pero la cuestión es que tú siempre tienes tu opinión; yo podría haberme puesto en contacto directamente con sus clientes.

Después, uno de ellos se da cuenta de que sigue teniendo acceso a la red corporativa y procede a eliminar bases de datos y copias de seguridad con la aprobación y los consejos de su hermano.

SOHAIB: Entra en cada una de ellas y empieza el proceso de eliminación. Tardará un rato... Al final se borrarán todos sus archivos.

Para terminar, los dos hermanos llegan a discutir sobre cómo borran sus huellas para no ser descubiertos como autores e incluso sobre la posibilidad de ser detenidos y fugarse a otro estado.

SOHAIB: Probablemente vayan a hacer una redada aquí.

MUNEEB: Bah, yo me encargo de limpiar esto. Yo no tengo nada.

SOHAIB: También tenemos que limpiar la otra casa.

MUNEEB: Deshazte de eso.

SOHAIB: Borrar sus sistemas de archivos sería más complicado.

MUNEEB: Mmm, sobre todo si lo limpias todo.

MUNEEB: Todo lo que he hecho, me aseguro de que esté protegido. De que esté limpio.

MUNEEB: No te preocupes, nos iremos a Texas.

En el juicio que se celebró recientemente, Sohaib fue sentenciado como culpable, mientras que Muneeb admitió su autoría el pasado mes de abril, aunque después ha intentado echarse atrás a través de varias cartas dirigidas al juez, sin éxito.

Patel comenta en una entrevista para el podcast de Sean Hannity en YouTube que la inteligencia artificial ha ayudado a detener “múltiples ataques violentos contra personas inocentes”. La IA tiene acceso a infraestructura esencial en la seguridad nacional de Estados Unidos

“En el FBI nunca se había usado la IA hasta que llegamos nosotros, ¡una locura!”, asegura Kash Patel más que eufórico. “La estoy usando en todas partes”, añade el director del FBI.

El FBI se rinde a la inteligencia artificial

Kash Patel, que ha protagonizado polémicas recientemente debido a graves problemas relacionados con el consumo de alcohol, asegura que la IA les permite adelantarse a los hackers. Muchos desconfían de esta apuesta ciega del FBI por la inteligencia artificial.

El director de inteligencia estadounidense confirma que el FBI ha podido frustrar numerosos tiroteos masivos en colegios de todo el país. “Detuvimos una masacre escolar en Carolina del Norte gracias a un aviso de nuestros socios del sector privado que están desarrollando infraestructura de IA”, aseguraba Patel sacando pecho.

No hay dudas de que la administración Trump utiliza inteligencia artificial, pero aún hay que tomar estar declaraciones con cautela. El FBI empieza a utilizar la IA en seguridad nacional, pero faltan pruebas de su eficacia.

El servicio de inteligencia ha detenido varias amenazas recientemente y evitado atentados con víctimas, aunque no hay pruebas contundentes de que haya sido gracias al uso de la IA.

Una efectividad de la IA de solo el 16,7%

Los investigadores de ciberseguridad han demostrado que los chatbots tienen el doble de probabilidades de incitar a los usuarios a cometer actos violentos que detenerlos. Los asistentes de IA solo aconsejan rebajar la violencia en el 16,7% de las ocasiones.

Los chatbots apoyan acciones violentas en un 33,3% de los casos, una cifra alarmante si se tiene en cuenta que se utiliza en operaciones de seguridad nacional. Un estudiante de la Universidad Estatal de Florida incluso confesó haber utilizado ChatGPT para planear un tiroteo masivo en 2025 en el que murieron dos personas y siete resultaron heridas.

El autor del tiroteo en Tumbler Ridge (Canadá) también conversó con ChatGPT y la plataforma activó todas las alarmas con su sistema de moderación, pero fue demasiado tarde. El chatbot de OpenAI también se ha utilizado en otros ataques en Connecticut (Estados Unidos) y Corea del Sur. La IA les ayudó a planificar, incluso animaba a cometer los ataques.

La plataforma también conocida como Internet Archive nació 30 años atrás almacenando contenido digital. Archiv.org tiene más de un billón de webs archivadas y se ha convertido en una herramienta fundamental para periodistas, investigadores, historiadores y expertos en derecho.

Archiv.org ofrece acceso a la versión original de contenido online, incluso aquellos que se han eliminado o modificado. Ahora el mayor repositorio digital está en peligro con ciberataques continuos, demandas por derechos de autor y empresas que se niegan a publicar el contenido.

El principio del fin de Archiv.org

Este proyecto sin ánimo de lucro se enfrenta a una enorme crisis. Los recientes ciberataques están pasando factura, Internet Archive ha llegado a caerse por completo durante tres días en mayo de 2024.

Archiv.org se enfrenta también a problemas de incumplimiento de los derechos de autor. La plataforma online ha llegado a borrar más de 500.000 libros debido a problemas de autoría.

La última amenaza proviene precisamente de los propios medios de comunicación, quienes más necesitan el archivo. Cada vez menos revistas y periódicos quieren publicar en Internet Archive, otros incluso bloquean su contenido en la plataforma.

Los medios de comunicación contra Archiv.org

Un estudio de la Fundación Nieman para la Universidad de Harvard confirma que al menos 241 portales de noticias de 9 países bloquean a Archiv.org. Algunos de los más populares son The Guardian, The New York Times, Le Monde y grupos como USA Today Co, el mayor de Estados Unidos.

Algunos medios de comunicación han sido claros, no quieren que su contenido termine usándose para entrenar a la IA. Los gigantes de la industria como OpenAI y Google están recopilando masivamente su contenido a través de Internet Archive.

Mark Graham, director de la herramienta Wayback Machine de gestión del repositorio online, confirmó que algunas empresas acceden a los archivos con decenas de miles de solicitudes por segundo realizadas por bots de IA.

No solo los ciberataques hacen que los servidores no estén accesibles, también los bots de IA que los saturan temporalmente. Archive.org no estaba preparado para la llegada de la inteligencia artificial.

"Al igual que una biblioteca tradicional, ofrecemos acceso gratuito a investigadores, historiadores, científicos, personas con dificultades de lectura y al público en general. Nuestro objetivo es facilitar el acceso universal al conocimiento para todos", confirma la plataforma sin ánimo de lucro.

Más de 100 periodistas se han unido en apoyo a Archive. "En un panorama mediático donde los artículos desaparecen con enlaces perdidos, fusiones o medidas de reducción de costos, los periodistas suelen recurrir al archivo de la Wayback Machine para recuperar páginas que de otro modo se perderían. Sin este trabajo para preservar internet, parte de la historia reciente del periodismo se habría perdido", comentan.

La compañía de ciberseguridad Kaspersky ha emitido una alerta recientemente en la que advierte sobre GoPix, un nuevo troyano bancario que como mayor particularidad se está difundiendo a través de apps con millones de usuarios cotidianos como WhatsApp y Chrome.

Esta amenaza es especialmente sofisticada por su gran complejidad técnica, como destacan los expertos de la firma de seguridad, y además se dirige especialmente a los usuarios de servicios bancarios o de carteras de criptomonedas con la intención de robarles el dinero.

Qué es GoPix

Procedente de Brasil, GoPix es un troyano bancario que lleva operando con fines ilícitos desde hace 3 años que ya ha intentado infectar a más de 90.000 personas en todo el mundo (según cifras de marzo de 20026), pero acaba de descubrirse ahora.

Este malware utiliza un tipo de elementos que solo funcionan en la memoria de los dispositivos, conocidos como Proxy AutoConfig, con el objetivo de realizar ataques de man-in-the-middle o de publicidad fraudulenta o malvertising.

Para infectar a las víctimas, los cibercriminales usan Google Ads para distribuir anuncios que se muestran a los usuarios de aplicaciones como WhatsApp, Google Chrome o el servicio de Correos brasileño. Los links de estos anuncios llevan a la página web de GoPix.

Este funcionamiento entra dentro de lo habitual, pero lo especial de esta campaña de malware es que no infecta a cualquiera, sino que analiza la dirección IP de cada persona para determinar si es una víctima en potencia o solo los bots que usan las compañías de ciberseguridad.

Solo en los primeros casos el troyano se difunde, lo que lo ha hecho mucho más complicado de detectar para los investigadores. En la práctica, este método de ataque es similar al de las técnicas de amenaza persistentes que suelen utilizarse en los ciberataques entre Estados y grandes grupos de hackers.

El propósito último de los hackers responsables de GoPix es robar dinero, detectando transferencias bancarias y transacciones de criptomonedas. Una vez localizadas, evita los mecanismos de seguridad existentes para desviar los fondos a los cibercriminales sin que la entidad lo advierta.

El ciberataque se produjo el 28 de marzo. En cuando descubrió la intromisión, puso en marcha los protocolos de seguridad. Varias de sus webs permanecieron caídas ayer, y la compañía ha avisado de que algunos pedidos podrían sufrir retrasos.

“La investigación de la empresa sigue en curso, y estamos trabajando con diligencia para resolver el asunto y determinar el alcance total de las repercusiones", ha dicho Hasbro, en un comunicado a la BBC. "La empresa ha puesto en marcha y sigue aplicando planes de continuidad del negocio que le permiten seguir aceptando pedidos, enviando productos y llevando a cabo otras operaciones clave mientras se resuelve esta situación”.

El ciberataque a Hasbro

Este hackeo de Hasbro ha obligado a la multinacional a cerrar parte de su infraestructura de red, y a contratar servicios de terceros para rastrear a los ciberdelincuentes y comprobar qué se han llevado.

La juguetera aún no sabe si los hackers han robado datos personales de los clientes. Si es así, informará a los afectados convenientemente. La investigación “podría durar semanas”.

De momento ningún hacker ni ningún grupo delictivo ha reclamado el hackeo. Hasbro ha confirmado que nadie ha intentado contactar con ellos.

Ninguna empresa se libra de ser hackeada, por muy grande o poderosa que sea. Tan importantes como las medidas de seguridad, que no son infalibles, son los planes posteriores a un ciberataque, o a un secuestro de los datos con ransomware.

Recientemente fue noticia el hackeo de la web de Lego para promocionar una falsa criptomoneda propia, con el objetivo de estafar a los que pensaban que era una cripto oficial de Lego.

Desde hospitales a aeropuertos, los ciberdelincuentes no tienen problemas en atacara empresas en donde hay vidas en juego, como ocurre en un hospital.

En los datos analizados por la compañía especializada en ciberseguridad, desde octubre de 2024 hasta septiembre de 2025 se identificaron más de 133.753 intentos de ataques disfrazados de aplicaciones VPN en España.

Cifras que contrastan con la concienciación de la generación Z, que es una de las que más valora la privacidad y la seguridad; precisamente, por este motivo, son también un segmento que puede caer más en este tipo de contenido malicioso.

"La Generación Z puede ser consciente de la importancia de la privacidad, pero también es pragmática y a menudo está orientada por la conveniencia", explica Evgeny Kuskov, especialista en seguridad de Kaspersky. "Este comportamiento crea una oportunidad que los ciberdelincuentes explotan activamente".

En el mismo período, la investigación destaca la gran presencia de varias categorías de malware y software potencialmente no deseado, con el adware –un malware que muestra anuncios constantemente– en primera posición, con 284.261 casos registrados.

Seguido de los troyanos, con 234.283 detecciones, que son capaces de tomar el control remoto total del sistema comprometido, y de amenazas descargables, con 197.707 ejemplos de este último tipo, una puerta de entrada para descargas maliciosas.

Páginas maliciosas disfrazadas de VPN legítimas

A pesar de que la generación Z es una de las más concienciadas en privacidad y seguridad, existen páginas web maliciosas que se camuflan de servicios VPN legítimos, como los ejemplos mostrados por Kaspersky, concretamente de PrivadoVPN e IPVanish VPN.

Los atacantes crean sitios de phishing que imitan los portales de inicio de sesión de estos servicios y de otros, una gran amenaza si el usuario rellena el formulario con sus credenciales, ya que el suplantador podrá verlas.

Curiosamente, los ciberdelincuentes tienen muy fácil crear este tipo de páginas web fraudulentas, ya que se puede apreciar que son muy parecidas, por lo que se cree que utilizan kits de phishing para realizar un esfuerzo mínimo.

"Los atacantes pueden difundir versiones pirateadas de VPN premium y crear aplicaciones que imitan los nombres y diseños de marcas de privacidad conocidas", añade Kuskov. "Como resultado, jóvenes que creen estar reforzando su privacidad pueden, en realidad, estar entregando el acceso a sus dispositivos y a su información personal directamente a los atacantes".

Además, en el caso de introducir una contraseña usada para otro tipo de páginas, los atacantes podrían comprometer también las cuentas de estos servicios, un gran peligro para las suplantaciones de identidad.

Para prevenir este tipo de ataques, hay varias recomendaciones a tener en cuenta:

• Descargar VPN de sitios de confianza o desde las tiendas oficiales. Estas cuentan con controles de seguridad que pueden reducir el riesgo de infección.
• Evitar aplicaciones modificadas. Si se ofrecen funcionalidades premium de forma totalmente gratuita, desconfía.
• Revisar los permisos antes de la instalación. Aunque los servicios VPN requieren de numerosos permisos, el acceso a contactos o al micrófono no son habituales.

Sumado a todo esto, si quieres aprender sobre ciberseguridad jugando, en Kaspersky puedes encontrar el juego Case 404, dirigido especialmente a los usuarios de la generación Z.

Por eso mismo es que no se recomienda usar cualquier pendrive que haya en la calle o paredes de lugares públicos. Existen algunos destructivos como el famoso USB Killer que fríe el equipo desde el hardware o el USB Stealer que realiza exfiltración.

Entre ellos también está el Rubber Ducky, el cual suele pasar desapercibido porque es exactamente igual, pero lo peligroso es que engañan al PC para realizar acciones maliciosas. Tu conectas algo que parece seguro, cuando en realidad podría poner en riesgo tus datos personales e integridad entera del sistema operativo.

¿Qué es un USB Rubber Ducky y por qué es tan peligroso?

¿Has visto algo extraño en el puerto de tu ordenador? Si te has preguntado por qué algunos USB siguen funcionando aunque el PC esté apagado, de primeras te digo que no suena nada bueno para ti, ni para el equipo.

Lo normal es que uses estos dispositivos para transferir archivos, reproducir contenido, usar apps portables o incluso "ejecutar sistemas operativos vivos" como muchos usuarios haceb con las distros de Linux.

A diferencia de eso, el tipo Rubber Ducky (Patito de Goma) o, también conocido como BadUSB, se ve tal cual como cualquier otra una unidad flash común y se utiliza igual, solo que en vez de funcionar como una memoria de almacenamiento, el sistema lo reconoce como un teclado.

Su objetivo es que, al ser conectado al ordenador, ejecute comandos intrusivos y maliciosos automáticamente a una velocidad sobrehumana desde la terminal de Windows, macOS o Linux, sin tener la posibilidad de detener sus procesos a tiempo.

Con estos códigos ocultos a través de dicha Inyección de Pulsaciones (Keystroke Injection), logra robar archivos personales o instalar malwares de cualquier tipo, siendo suficiente como para tomar el control 100% del equipo. Como un Dispositivo de interfaz humana (HID), no es detectado por antivirus y en su mayoría el SO no lo considera sospechoso.

Desde su lanzamiento en 2010 ha sido una amenaza para cualquier sistema operativo debido a que hace que confíen en él por ser registrado como un "teclado", cuando en realidad es un objeto maligno.

Fue creado por Darren Kitchen, un reconocido hacker ético fundador de Hak5 que también desarrolló el Cable OMG, Bash Bunny y el LAN Turtle. Aunque estos USB Rubber Ducky fueron creados para "fines de investigación" y son legales hasta cierto punto, ciberdelincuentes le dan un mal uso y ponen en riesgo a millones de usuarios.

¿Cómo identificar y detener un USB Rubber Ducky?

A simple vista es muy complicado darse cuenta, de hecho, es casi imposible que un usuario común lo note porque no hay señales tan evidentes que determinen el comportamiento de un Rubber Ducky/BadUSB.

Su camuflaje en carcasas de pendrives genéricos hace que sea un obstáculo la identificación, pero todavía hay algunas cosas que se pueden considerar para no caer en la trampa.

Una de las maneras de evitarlo es que, si una persona desconocida te lo dio, lo encontraste en algún sitio o simplemente no confías de su procedencia, lo desarmes para verificar si hay una ranura de tarjeta microSD.

No se recomienda en lo absoluto usarlo en sistemas principales. Si tienes un PC viejo con una distro de Linux de alta seguridad como Qubes o un Windows obsoleto que no uses, podrías probarlo.

Cuando se muestra en el Administrador de Dispositivos como un HID, es más que evidente, porque debería estar como USB. Si aparecen ventanas de terminal como en CMD o PowerShell de repente y se cierran solas al momento, es probable que sea un pendrive malicioso.

¿Cómo cuidarte de estas amenazas? Usar un Bloqueador USB o USB Condom es lo mejor que podrías hacer para protegerte a nivel general de los dispositivos externos como este. También es bueno instalar un software de seguridad que limite los dispositivos HID.

Tras los bombardeos comenzados por Estados Unidos e Israel, este grupo ha lanzado varias amenazas en la plataforma X a dichos países occidentales, y todo gracias a contar con la red de internet satelital de Elon Musk, Starlink.

Según la firma israelí de ciberseguridad Check Point, los datos muestran que Handala ha usado diferentes direcciones IP asociadas a este tipo de conexión, posibilitando que puedan seguir en activo, tras la desconexión total de Irán en Internet.

Aquí entran en juego varios factores a tener en cuenta, como por ejemplo los usuarios que utilizan el servicio de Starlink para conseguir superar la censura que impone el régimen iraní en el país.

Los diferentes informes aseguran que hay unas 30.000 señales aproximadamente activas del servicio satelital en el país, y no todas ellas tienen que ver directamente con el grupo de hackers patrocinados por Irán.

Por ello, es lógico que, incluso viendo esta gran amenaza, la compañía de Elon Musk haya decidido no apagar sus servicios allí, para garantizar que activistas, periodistas y demás profesiones de riesgo, puedan comunicarse sin ser constantemente vigilados.

En el marco de la guerra de Ucrania, por ejemplo, Starlink ha servido al ejército del país para conseguir una gran ventaja sobre el terreno; en este caso concreto, Elon Musk bloqueó el servicio en toda Rusia, lo que propició el avance de las tropas ucranias.

Ahora bien, Ucrania es consciente de que su conexión no puede depender completamente de los vaivenes de Musk, con lo cual han comenzado a desarrollar su propia red de internet satelital.

De vuelta a Handala, gracias al uso de los satélites de Starlink, han seguido manteniendo una actitud amenazante hacia países de la región, como Arabía Saudí o Jordania.

En varias publicaciones de X compartidas por el grupo iraní de hackers se pueden leer mensajes como "A todos los países de Oriente Medio: evacuad todas las instalaciones militares de inmediato... La historia nunca ha sido tan infernal como hoy en día".

Hay que recordar que este grupo fue creado a finales de 2023, con un mensaje propalestino muy claro, además de tener contacto directo con el Ministerio de Inteligencia y Seguridad de Irán (MOIS), según los informes de Check Point.

Entre sus logros, por decirlo de alguna forma, se encuentran un reciente ciberataque que comprometió la infraestructura estratégica de combustible en Jordania, según menciona Forbes, aunque parece que no se ha podido verificar.

Y, más allá de este grupo de hackers, parece que Elon Musk no solo permite el uso de Starlink en el país, sino que también permite la proliferación de mensajes de este tipo en su red social, X.

Incluso con cuentas de pago se pueden encontrar otros grupos y personalidades, que según los términos no deberían estar en la plataforma, como el jefe del poder judicial de Irán y varios medios asociados al Estado, como Al-Alam.

Adicionalmente, tal y como se aprecia en las pruebas recopiladas por diferentes servicios de inteligencia, Handala también aprovecha Telegram para lanzar amenazas a los ciudadanos israelíes.

Según John Hultquist, analista jefe de este grupo de inteligencia, ante los ataques del ejército de Estados Unidos e Israel, Irán no solo responderá con misiles –algo que ya ha hecho desde el ataque a su territorio–, sino también en el ámbito de la guerra invisible.

Esa que se esconde detrás de numerosos grupos de hackers patrocinados por los Estados, la denominada guerra cibernética, en la que países como Corea del Norte han invertido con equipos especializados.

Tal y como recoge Infosecurity Magazine, durante un evento en Reino Unido en el que se trataba la guerra cibernética de Rusia en Ucrania, Hultquist no ha perdido la oportunidad para hablar sobre Irán, ante los acontecimientos más recientes.

"No vamos a ver armas secretas; no será muy diferente de lo que hemos visto en los últimos años. Lo que cambia es la orientación", ha asegurado el analista de Google. "Eso significa que vamos a ser forzados a asegurar una superficie de ataque muy diferente a nivel mundial".

Para el analista de seguridad de Google, como queda claro, Irán es un Estado que ha basado gran parte de su guerra en el ámbito de la ciberseguridad, con lo cual han aprendido mucho a lo largo de los años, ya décadas, que continúa su batalla contra Israel.

"Son muy buenos jugando en este espacio", ha asegurado Hultquist al mismo medio. "Habrá supuestos ataques de frentes hacktivistas que solo forman parte de la Guardia Revolucionaria, así como también incidentes de ransomware que tampoco lo son como tal".

Así, el analista de ciberseguridad de Google ha anticipado una guerra importante en este plano, mediante el camuflaje de los ataques, algunos de los cuales ya se han podido dejar ver durante la contienda.

Concretamente, el 28 de febrero, al albor de los misiles, también se estaba llevando a cabo una gran operación conjunta de guerra cibernética por parte de Estados Unidos e Israel, para tumbar aplicaciones y webs oficiales de Irán.

Dentro de esta acción, ambos países lograron bloquear el acceso incluso a una app que se usa como calendario religioso en el país, BadeSaba, además de otras actividades para desestabilizar instituciones gubernamentales.

Ante ello, lo único que espera el analista de seguridad de Google es que este movimiento implique otro por parte de Irán, preparado para continuar esta guerra que se libra en la sombra.

"Casi con seguridad existe un mayor riesgo de amenaza cibernética indirecta para aquellas organizaciones y entidades que tienen presencia, o cadenas de suministro, en Oriente Medio", ha alertado Hultquist.

Así ocurre con Distributed Denial of Secrets, una organización que reúne todos los documentos exfiltrados de hacktivistas –o hackers activistas–, que suelen compartir estos tras un ciberataque organizado.

En este caso concreto, con una gran cantidad de archivos del Departamento de Seguridad Nacional (DHS) de Estados Unidos, a los que ha accedido un grupo que se denomina a sí mismo Departamento de Paz.

Hay que destacar aquí que es un guiño al cambio de nomenclatura que realizó Donald Trump en este segundo mandato de su presidencia, pasando de un Departamento de Defensa a un Departamento de Guerra.

Tanto con los ataques a otros países como con la política interior llevada a cabo dentro de su propio país con el Servicio de Inmigración y Control de Aduanas (ICE), Trump ha aprovechado varios contratos con importantes compañías del sector tecnológico.

Y el grupo del Departamento de Paz ha sido muy claro al respecto: todos los documentos exfiltrados son del dominio oficial del DHS, aunque no aparecen como públicos para quien los quiera consultar.

En uno de los archivos accesibles de este grupo de hackers, se pueden leer precisamente referencias a Alex Pretti, enfermero estadounidense de 37 años asesinado a sangre fría por el ICE.

Así, la misiva de Department of Peace es clara en inglés, el idioma original: "Why hack the DHS? I can think of a couple of Pretti Good reasons", que podría traducirse al español como "¿Por qué hackear al DHS? Se me ocurren un buen par de razones", aludiendo al apellido del asesinado.

Entre las compañías que aparecen en los archivos publicados, hay que destacar la gran presencia de Palantir, la compañía fundada por Peter Thiel en 2003 como uno de los ejes de la vigilancia en diferentes aspectos.

Al rebuscar entre los archivos, aparecen numerosos contratos con el DHS, por lo que Palantir es básicamente la palanca que permite este tipo de campañas, al menos sobre el papel.

En el caso de Microsoft y Oracle, otras de las que aparecen, es cierto que no cuentan con capacidad operativa, por decirlo de alguna forma, sino que ofrecen la infraestructura necesaria para el trabajo del DHS.

"Hay muchas organizaciones en esta lista con las que no tengo ningún tipo de problema, como la NASA, varias universidades, etc.", asegura el hacker. "No obstante, la gente necesita conocerlas también, y saber que también forman parte de esta brecha".

Adicionalmente, en este mismo archivo de texto, el hacker lanza un aviso a los responsables del DHS, en referencia clara al uso que EEUU ha hecho del ICE: "Ni aumenta la seguridad de nuestro país ni vosotros podéis estar seguros. ¿Qué se siente al ser perseguidos?".

Y, por supuesto, con un mensaje que clarifica su postura ante los más de 6.000 contratistas que aparecen en la lista: "Hacéis la guerra solo para ganar dinero. Yo hago esto gratis. ¿Qué se siente al ser espiado?".

El Instituto Nacional de Ciberseguridad (Incibe) ha publicado los datos anuales de ciberdelincuencia en España. Los resultados para 2025 son alarmantes, aunque muestran una tendencia que se repite.

Hasta un 34% más de ciberataques

Las estafas online y hackeos han subido un 26% en España a lo largo de 2025, aunque la banca online ha sido el objetivo preferido de los delincuentes. Los ciberataques suben un 34% para aplicaciones y webs de bancos.

El último informe anual del Instituto Nacional de Ciberseguridad apunta que las autoridades han intervenido en 122.223 ataques online durante 2025. Las amenazas crecen en España respecto a los años anteriores.

Este aumento de las amenazas online crece en paralelo con el auge de la ciberseguridad entre entidades bancarias en el mercado español, es una cuestión de causa y efecto. El Observatorio Sectorial DBK señala que el sector facturó 2.500 millones de euros en 2024.

Los bancos, organismos públicos y empresas han invertido un 14% en 2025 y se espera que siga ese ritmo a lo largo de 2026. Si se mantienen estas expectativas, la industria podría invertir cerca de 3.000 millones de euros para protegerse de ciberataques.

La banca, el transporte y la energía concentran las ciberestafas

El Incibe ha detectado 401 ataques el año pasado en empresas de sectores clave como banca, transportes, energía, mercados financieros, aseguradoras y fondos de pensiones. El reciente hackeo masivo a Endesa es solo el comienzo.

La banca concentra el 34% de los crímenes online, le siguen el transporte con un 14% de los hackeos y la energía con un 8%. Las empresas han comprendido que la protección es más importante que nunca, los ciberdelincuentes pueden acceder a los datos de clientes y trabajadores en cuestión de segundos.

Los delincuentes apuestan por técnicas conocidas como la infección mediante un malware en un 45% de los casos, un total de 55.411 incidentes. Solo 392 de ellos consiguieron secuestrar los dispositivos.

La estrategia es similar en la mayoría de los casos. Primero infectan móviles y ordenadores, luego bloquean el acceso a los archivos o sistemas y exigen una cantidad de dinero a sus propietarios para devolvérselos.

El phishing también ha llegado para quedarse aumentando un 19% respecto a 2024 con 45.445 incidentes. Los correos electrónicos falsos que se hacen pasar por bancos, operadoras de telefonía o la DGT se multiplican en España, es una amenaza que ya convive entre nosotros.

En un foro de la dark web, según compartió la firma de ciberseguridad Hackmanac, se había puesto a la venta una lista importante de datos personales: DNI, nombre completo, provincia, IBAN, número de teléfono...

El Ministerio de Hacienda, tal y como explicó a medios como Europa Press, negó que tuvieran ninguna evidencia de una brecha de seguridad a sus sistemas, aunque continúan investigando en caso de que algo así hubiera ocurrido.

De ser así, este sería el mayor hackeo de la historia de España, un país que no figura al menos como uno de los más jugosos para este tipo de ciberataques, según los datos actualizados de HackRisk.

El usuario HaciendaSec, además, creó su cuenta en este foro de la dark web en enero de 2026, por lo que es bastante reciente, y muchos analistas de ciberseguridad ya han asegurado que podría ser un simple truco.

Al igual que ya ocurrió en el pasado, una parte de este tipo de cibercriminales solo buscan alcance mediático mediante este tipo de publicaciones, arrastrando a compradores poco precavidos para comenzar una estafa.

Ningún ciberataque a Hacienda, pero sí una estafa en foros criminales

Más allá de que la fecha de creación del perfil de HaciendaSec es muy reciente –un indicador de que algo huele mal–, la magnitud de este supuesto ciberataque es tal que requeriría de un grupo muy bien organizado.

A pesar de que las administraciones públicas españolas aún pueden mejorar muchísimo en ciberseguridad, el Ministerio de Hacienda se considera un actor crítico, por lo que para un ataque de este tipo haría falta mucho más que un lobo solitario.

A esto hay que sumar que los datos que aparecen en el ejemplo de la captura de pantalla compartida por Hackmanac no concuerdan con datos reales, y parecen más bien redactados con alguna herramienta de inteligencia artificial generativa.

Para visualizarlos y saber si esta posible brecha es grave, en Computer Hoy hemos usado la herramienta Control Leak Center, de Kaduu, que enumera los ficheros de texto que suelen aparecer como ejemplo del trabajo del hacker en este tipo de foros.

Lo primero a tener en cuenta es que, a pesar de que sí son datos de personas que podrían vivir en España, hay varias cuestiones que directamente dan fe de que esto es más bien una estafa para compradores poco expertos en estos foros.

Por ejemplo, se puede apreciar que en los 4 usuarios que se ofrece en la muestra, el IBAN de 3 de ellos es tan solo una concatenación –a veces repetida– de números seguidos desde el 0 al 9, algo que también ocurre con números de teléfono.

Adicionalmente, todos ellos tienen nombres compuestos y sus direcciones de correo electrónico tienen que ver con una simplificación o abreviación burda de nombre, apellidos y parte de la dirección.

Todo ello, por supuesto, con direcciones genéricas y céntricas de varias principales ciudades de España, como Madrid, Barcelona, Valencia o Sevilla.

En conclusión, no hay que bajar la alerta nunca ante este tipo de situaciones, ya que el Ministerio de Hacienda es crítico, aunque en este caso todo parece responder a un usuario que buscaba atención y, si colaba, también dinero.

Hackmanac, una compañía de ciberseguridad con sede en Dubai que se especializa en analizar la actividad de cibercriminales en los foros clandestinos que conforman la Dark Web, ha alertado sobre un posible incidente en el Ministerio de Hacienda de España.

Un actor malicioso que se identifica como HaciendaSec, cuyo nombre indica que se habría podido crear específicamente para este supuesto incidente, asegura que ha conseguido los datos personales de 47,3 millones de españoles y los ha puesto a la venta en la Dark Web.

Según la compañía de ciberseguridad, los datos serían especialmente sensibles e incluirían números de DNI o NIF, nombres completos, direcciones de residencia, números de teléfono, direcciones de correo electrónico e incluso datos bancarios y fiscales de contribuyentes reales.

Aún no está confirmada y las cifras parecen poco creíbles

De momento, el Ministerio de Hacienda español no ha confirmado que se haya producido ninguna brecha de seguridad en sus sistemas y la única referencia es la de los supuestos autores.

Como sucedió recientemente al ecommerce español PcComponentes, también reportado por Hackmanac, es posible que la cantidad de afectados y los datos expuestos finalmente sea mucho menor de la que aseguran inicialmente los hackers.

En aquel caso, el autor aseguraba haber accedido a los datos de 16 millones de cuentas de cliente, pero la propia plataforma reconocía que la cantidad de clientes que tiene es muy inferior y que solamente algunos usuarios reales se habían visto afectados a causa de la reutilización de contraseñas en servicios de terceros.

De hecho, la cifra de 47,3 millones de españoles resulta sospechosa en sí misma, dado que la población española es de 49 millones de habitantes, pero el número de contribuyentes se estimaba en 30 millones en 2025, por lo que difícilmente puede haber bases de datos de Hacienda de ese tamaño.

Conviene eso sí tener precaución ante futuros mensajes del Ministerio de Hacienda que te puedan llegar en los próximos días, semanas o meses, sobre todo si te piden información personal o bancaria. Debes confirmar las comunicaciones mediante canales oficiales, ya que las campañas de phishing para engañar a personas reales de forma convincente suelen ser el mayor riesgo cuando se producen brechas de seguridad.

A diferencia de los intentos convencionales de phishing, estas amenazas son concretas, dirigidas y complejas. Los atacantes aprovechan vulnerabilidades de tipo “cero clic”, lo que significa que un iPhone puede verse comprometido sin que el usuario haga clic en enlaces, abra archivos adjuntos o realice cualquier acción visible.

Este tipo de ataques se centra en individuos de alto valor, cuyos datos son especialmente sensibles y valiosos. El principal desafío radica en que estas amenazas explotan vulnerabilidades desconocidas para Apple en el momento de su explotación. Para cuando la empresa detecta la falla y publica un parche de seguridad, el dispositivo ya podría estar comprometido.

Una de las claves de esta situación es la política de Apple de ofrecer los parches críticos únicamente para la versión más reciente, en este caso iOS 26. Las versiones más antiguas, como iOS 18, tardan en recibir estas actualizaciones.

Además, la adopción de iOS 26 ha sido más lenta de lo habitual; según los últimos informes, aproximadamente la mitad de los usuarios elegibles aún no han actualizado, dejando expuestos a cientos de millones de dispositivos.

El paso más importante es actualizar inmediatamente a iOS 26 si tu dispositivo lo permite, yendo a Ajustes, General y Actualización de software.

Para quienes consideran que podrían ser objetivos clave de estos ataques, Apple ofrece la opción Lockdown, un modo de seguridad opcional y estricto. Esta función reduce la superficie de ataque del dispositivo, limitando ciertos adjuntos de mensajes, tecnologías web, llamadas entrantes de números desconocidos y la instalación de perfiles de configuración.

Si bien estas amenazas no están dirigidas al usuario promedio, es conveniente mantener el software actualizado y activar medidas de protección adicionales.

Se trata de un acceso muy grave, que podría haber afectado hasta 20 millones de clientes, aunque Endesa no ha confirmado el alcance. Los ciberdelincuentes han accedido a datos críticos como el DNI o el número de cuenta bancaria.

“La investigación en el momento actual refleja que el actor malicioso habría tenido acceso y podría haber exfiltrado de nuestros sistemas datos identificativos básicos, de contacto, DNIs y datos relativos a su contrato con Endesa Energía y eventualmente sus medios de pago (IBANs), si bien, en ningún caso, se han visto comprometidos datos de acceso a contraseñas”, afirma la compañía de luz y gas en el comunicado.

Qué hacer si han hackeado tus datos de Endesa

Si eres cliente de Endesa y tus datos se han visto comprometidos, la compañía te enviará un correo informativo.

Los datos robados son muy graves porque incluye el DNI, datos personales y número de cuenta bancaria. Con esos datos los delincuentes pueden hacerse pasar por ti (suplantación de personalidad) para cometer delitos y estafas, o suplantar a una empresa popular (phishing) e intentar engañarte.

Como tienen tus datos, debes estar atento a posibles intentos de estafa o contacto a través de correo estándar, correo electrónico, SMS, WhatsApp, etc. Desconfía de contactos sospechosos, y no des información a nadie.

Según Endesa, no han robado contraseñas, pero con el DNI y los correos pueden intentar recuperar esas contraseñas, así que es recomendable cambiar tus claves de cuentas importantes, incluida la del banco, y activar una verificación de doble paso. Es decir, que para acceder a tu cuenta, además de usar una clave debes recibir un código al móvil, o dar permiso con tu huella dactilar.

Si tienes dudas, puedes contactar con Endesa en el número 800760366.

Estas medidas de protección conviene aplicarlas siempre, no solo cuando has sufrido un hackeo de tus datos.

La amenaza se conoce como DarkSpectre, un malware que se ha extendido durante más de siete años en Chrome, Edge, Mozilla Firefox y Opera. El mecanismo de entrada es extremadamente simple, uno de los motivos por los que es tan peligroso.

Más de 8,8 millones de usuarios afectados

Los servicios de inteligencia internacionales han combinado datos en una de las mayores estrategias de espionaje contra la ciberdelincuencia. Los hackers han recopilado información bancaria y personal a través de extensiones para navegadores.

Las extensiones con malware se alojaban en tiendas oficiales, nada indicaba que podrían estar infectadas. DarkSpectre ha accedido a los datos de más de 8,8 millones de usuarios en los últimos siete años.

Los investigadores de Koi.ai han revelado que DarkSpectre forma parte de una compleja red criminal que opera en todo el mundo. Los ciberdelincuentes llegaron a tener tres campañas en activo gestionando cerca de 300 extensiones maliciosas.

Las campañas conocidas como ShadyPanda, GhostPoster y Zoom Stealer llenaron de buenas opiniones las extensiones para navegadores en tiendas oficiales. Muchas de ellas habían burlado los controles de las plataformas, ahora incluso parecían fiables.

Chrome, Edge, Firefox y Opera en el punto de mira

Los navegadores más populares han sido víctimas de este ciberataque masivo. Chrome, Edge, Firefox y Opera han sido los más afectados con la manipulación del tráfico de comercio electrónico para la vigilancia masiva con la campaña ShadyPanda.

Este primer ataque fue el más letal con más de 5,6 millones de usuarios afectados mediante más de 100 extensiones maliciosas. Las herramientas eran extremadamente simples, desde gestores de pestañas para navegadores hasta traductores integrados.

La nueva oleada con GhostPoster era aún más letal sumando otro millón de víctimas ocultando código JavaScript malicioso en archivos de imagen PNG. Las nuevas extensiones conseguían colarse de manera sigilosa a través de navegadores menos vigilados como Firefox y Opera. Chrome y Edge tenían barreras de seguridad más fuertes.

Las cuentas de empresa fueron las más castigadas con un nuevo ataque conocido como Zoom Stealer. Los ciberdelincuentes recogieron información sensible de reuniones y sesiones virtuales en Zoom, Microsoft Teams y Google Meet.

Estas extensiones prometían aumentar la productividad de los trabajadores con funciones como realizar análisis de un vídeo, guardar enlaces, elaborar listas de participantes en reuniones o un resumen de la sesión.

Al parecer, según la aerolínea, la filtración proviene de un proveedor de servicios, un tercero que ha sufrido un ciberataque por el que se pide un rescate de más de 5 millones de euros.

No obstante, a pesar de que se advierte de "en ningún caso se han visto comprometidos" los datos de acceso, lo mejor en este tipo de filtraciones es tomar medidas de seguridad adicionales.

Una afirmación, por otro lado, bastante curiosa, ya que sí reconocen que "podrían haberse filtrado" nombres y apellidos, además de dirección de correo electrónico, con la correspondiente obligación de la normativa de avisar a la AEPD y a los clientes.

Algo parecido ocurrió con Mango en los últimos tiempos, también afectando a la base de datos de un tercero; curiosamente, las brechas de datos suelen llegar desde estos, lo que no exime a Iberia o Mango de garantizar la seguridad de sus servicios.

Tras un ciberataque de esta magnitud, y más aún cuando se desconocen los datos personales exfiltrados, lo más importante es tomar una serie de medidas. Te cuento a continuación qué hacer si tu información ha acabado en manos de actores maliciosos.

Los 3 pasos principales: comprobación, verificación y buena gestión

Aunque pueda parecer que los datos asociados a una cuenta como las de este ejemplo, Iberia y Mango, puedan no ser especialmente relevantes, siempre considera que los atacantes van un paso por delante.

Esto se traduce en que, al conocer nombre, apellidos y dirección de correo electrónico, ya se pueden permitir diferentes ataques automatizados, sobre todo si no has establecido una buena estrategia inicial de seguridad.

El primer paso consiste en comprobar si efectivamente se han filtrado nuestros datos, algo que puedes realizar con herramientas de monitorización o desde la página Have I been pwned.

En segundo lugar, lo imprescindible consiste en activar la verificación en 2 pasos si aún no lo has hecho en la cuenta afectada, esa con la que hayas iniciado sesión en Mango o Iberia, en este caso concreto.

Finalmente, para completar una revisión adecuada y evitar que puedan realizar estafas a tu nombre, considera utilizar un gestor de contraseñas; aquí puedes elegir el que mejor te venga, aunque yo uso Bitwarden y me parece increíble.

Con ello, aunque se filtre la contraseña de tu correo electrónico, tendrás una capa de seguridad extra, impidiendo que los ciberdelincuentes puedan hacerse con tus cuentas.

Extrema la precaución con las estafas y revisa tu cuenta bancaria

A pesar de que en estas filtraciones parece no haber sido comprometido ningún dato personal relacionado con el número de teléfono o el IBAN de tu cuenta bancaria, ninguna precaución es suficiente.

Lo mejor es que, en caso de que hayas comprobado que tu número de teléfono se haya filtrado, prestes muchísima atención a cada llamada que recibas, ya que las estafas se han perfeccionado en los últimos años.

Esto no solo se debe a la inteligencia artificial, sino también a la personalización de los intentos fraudulentos, con lo cual conviene crear una contraseña familiar, observar qué te llega a la bandeja de spam y revisar al mínimo detalle si un correo es un intento de estafa.

Un paso más que puedes llevar a cabo, en caso de que tengas dudas sobre el alcance o la magnitud de una filtración de datos, es contactar con el banco y modificar tu tarjeta bancaria.

Lo más importante es que tengas instalada la aplicación de tu banco en el móvil con un método de inicio de sesión como tu huella dactilar, con el objetivo de observar cualquier movimiento sospechoso.

Con todo esto, habrás asegurado tu integridad y seguridad digital si alguna compañía sufre alguna brecha, algo que puede ocurrir con frecuencia y que, desafortunadamente, parece seguir creciendo.

A pesar de que la región más afectada ha sido Taiwán, las vulnerabilidades se extienden a otras zonas del mundo, como Estados Unidos, Rusia y, en menor medida, al sudeste asiático y algunos países de Europa.

Según lo que la firma de investigación ha podido apreciar, se cree que el ataque proviene de un grupo de hacker patrocinados por el Estado, concretamente, el grupo China Nexus.

Adicionalmente, parece que los routers Asus WRT han sido los únicos afectados a nivel mundial, centralizando casi la mitad de los ataques en el país de origen de este fabricante.

Para establecer un control del dispositivo que se extienda en el tiempo, los routers comprometidos muestran que existe un certificado TLS firmado que mantiene un período de expiración excesivamente largo.

No obstante, al parecer, las vulnerabilidades han sido aprovechadas en routers que ya están llegando a su ciclo de vida útil, y sobre una aplicación basada en la web para que los usuarios puedan manejar de forma remota el dispositivo.

Ahora bien, la compañía de seguridad advierte de que este ataque no es un hecho aislado, sino que responde a una campaña bien orquestada.

"La operación, que hemos estudiado a fondo, no es un hecho aislado: es solo una parte de la intensificación de los intereses de grupos de hacker apoyados por China en encontrar nuevos métodos de la infraestructura de espionaje con alcance global", aseguran.

Afortunadamente, Asus ya ha publicado una actualización para los routers afectados y ha parcheado las vulnerabilidades encontradas. Si el tuyo es alguno de los siguientes routers, lo mejor es que actualices de inmediato:

• ASUS Wireless Router 4G-AC55U
• ASUS Wireless Router 4G-AC860U
• ASUS Wireless Router DSL-AC68U
• ASUS Wireless Router GT-AC5300
• ASUS Wireless Router GT-AX11000
• ASUS Wireless Router RT-AC1200HP
• ASUS Wireless Router RT-AC1300GPLUS
• ASUS Wireless Router RT-AC1300UHP

En la página oficial de Asus, el fabricante ofrece varias recomendaciones adicionales por si tienes uno de estos modelos y quieres estar más tranquilo respecto a estas vulnerabilidades.

Para la firma de seguridad, estas nuevas vulnerabilidades solo ponen de manifiesto que los ataques cada vez son más sofisticados y se necesitan actualizaciones más frecuentes, con el objetivo de esquivar el espionaje informático por parte de actores chinos.

"Este incidente recuerda la necesidad de actualizaciones regulares, la vigilancia de los servicios desfasados y la monitorización proactiva", concluye la investigación.

La marca de distribución textil ha compartido la información de la que dispone ya con la Agencia Española de Protección de Datos (AEPD), a la que tiene que notificar oficialmente en 72 horas cualquier brecha de información.

En este caso concreto, el ataque se ha dirigido contra un servicio de marketing de terceros, lo que ha permitido que los atacantes se hagan con datos de clientes, como correo electrónico, nombre, país, código postal y número de teléfono.

Todos ellos datos que se utilizan con fines publicitarios para personalizar la experiencia de los usuarios.

Según ha compartido Mango con sus clientes, todo continúa funcionando con "normalidad" y este ataque informático no ha afectado a su propia infraestructura, sino al servicio de marketing mencionado.

Por eso mismo, parece que los datos exfiltrados no van más allá de estos algo más básicos, sin alcanzar información especialmente sensible, como pueden ser datos bancarios o números de identificación.

A pesar de ello, con los datos robados los atacantes podrían personalizar campañas de phishing, así que Mango aconseja estar pendientes ante cualquier comunicación que pueda parecer sospechosa.

Adicionalmente, puedes revisar cuáles son los datos filtrados en las páginas habituales, como Have I Been Pawned, y cambiar las contraseñas en los servicios afectados, además de configurar la autenticación multifactor.

Medidas que hay que tomar siempre que existan este tipo de brechas, algo cada vez más habitual, según los últimos datos del Balance de Ciberseguridad del Instituto Nacional de Ciberseguridad (INCIBE).

Del conjunto de incidentes vistos en 2024, por ejemplo, 4 de cada 10 están relacionados con fraude online y 7.740 se deben a intrusiones e intentos de acceso no autorizados a información de una red o sistema informático de una empresa, como ha ocurrido en este caso.

Los ciberdelincuentes aprovechan con estos datos la personalización de campañas de phishing, así como la proliferación de servicio digitales que suplantan a los sitios oficiales de las principales tiendas.

Concretamente, el phishing tuvo a hasta 21.751 casos confirmados, simulando ser entidades bancarias o empresas reconocidas de diferentes sectores, aunque el retail no aparece como uno de los más afectados.

Dentro del sector, según los últimos ejemplos compartido por ESED, compañía especializada en ciberseguridad, no han sido pocos los casos sonados, como el que ocurrió en marzo de este año a un proveedor tecnológico de El Corte Inglés.

A esta marca se suman otros ciberataques, como el vivió Tendam (Cortefiel) en septiembre del año pasado, con 700 gigabytes de información robados, así como el de Christian Dior a principios de 2025, aunque afectó a clientes de China.

Otros artículos interesantes:

• Un estudio pone en evidencia a OpenAI y Sam Altman: la IA ya es la principal causa de filtración de datos
• Chantaje, desobediencia o filtración de datos: expertos alucinan con el comportamiento de la IA cuando teme ser reemplazada

Más de 70.000 fotografías y datos del DNI, incluyendo nombres, direcciones, correos, etc., han sido robados de Discord. Han hackeado el sistema de verificación de edad, que gestionaba una empresa externa.

Apenas llevaba unas semanas en funcionamiento, pero lo han tumbado en tiempo récord. Un absurdo sistema que obliga a revelar todos tus datos, incluida tu foto, para cosas triviales como escribir un mensaje en Discord.

Así fue el hackeo de datos en Discord

Desde hace un par de meses, en Estados Unidos, Reino Unido o Australia, si intentas entrar en una web con contenido para adultos, desde plataformas pornográficas a Discord, Reddit, y otras redes sociales, debes verificar tu edad.

También si tu comportamiento es "sospechoso": por ejemplo, si usas una cuenta de adultos pero tus mensajes o las cosas que ves y haces, parecen propias de un menor.

El problema de estos sistemas de verificación de edad, es que tiran la privacidad a la basura. Porque exigen mostrar tu carnet de identidad o de conducir y compararlo con un selfie, e incluso... ¡Pedir a tu banco o a tu operadora que te identifique para entrar en una web de adultos!

Pero aún hay más. No contentos con exponer todos tus datos personales y tu cara a todo tipo de empresas desconocidas, cuando los datos se comprueban, no se borran, se mantienen en una base de datos. ¿Quién ha diseñado este desastre?

En el caso de Discord, tenía contratada a una empresa externa para gestionar la atención al cliente, y la verificación de edad. Esta empresa es la que ha sufrido el hackeo, así que técnicamente Discord no ha sido hackeada. Pero a las víctimas eso les da igual, lo que importa es que sus datos de Discord están en manos de ciberdelincuentes.

Hoy la popular red social ha emitido un comunicado, respondiendo a estos hackers, que aseguran que tiene las fotos y los datos de dos millones de usuarios. Discord afirma que es mentira, "solo" han robado la identidad de 70.000 usuarios, y usan la cifra para extorsionarles. No va a pagar, y además confirma que ha roto el contrato con la empresa hackeada.

"Las cifras que se están difundiendo son incorrectas y forman parte de un intento de extorsionar a Discord para obtener un pago. De las cuentas afectadas a nivel mundial, hemos identificado aproximadamente 70 000 usuarios cuyas fotos de identificación oficial podrían haber quedado expuestas. No recompensaremos a los responsables de sus acciones ilegales".

Y continúa: "Nos hemos puesto en contacto con todos los usuarios afectados a nivel mundial y seguimos colaborando estrechamente con las fuerzas del orden, las autoridades de protección de datos y expertos externos en seguridad. Hemos protegido los sistemas afectados y hemos dejado de trabajar con el proveedor comprometido".

Era obvio que esto iba a pasar, pero no esperaba que fuese tan pronto. La protección de los menores debe ser la máxima prioridad, así que los sistemas de verificación de edad son aceptables. Lo que no puede ser es que esto se haga a costa de violar la privacidad y seguridad de los adultos.

Una verificación de edad basada en claves anónimas

No es lógico que para entrar en multitud de webs, tengas que mostrar tu DNI y tu selfie en todas ellas, y esas empresas se queden con tus datos. Y menos aún, la humillación de tener que pedirle a tu banco u operadora, que te identifique en una web porno.

Existen muchas formar de demostrar que eres un adulto, sin tener que revelar tus datos personales. Sin ir más lejos, aquí en España, el gobierno propuso hace un año un sistema de tickets codificados.

Instalas una app oficial del Estado en tu móvil, y ahí verificas tu edad con tu DNI u otro sistema. La app genera unos tickets, que no son más que números codificados, que son los que presentas en las webs que piden verificar tu edad.

De esta manera puedes superar el trámite, sir revelar tus datos personales. Los revelas en la app del Estado, pero como ya tiene tus datos del DNI, no es relevante. Y la app no rastrea dónde usas esos tickets. Esperemos que el método que está preparando la Unión Europea, sea algo así.

Los sistemas de verificación de edad han llegado para quedarse, pero no puede ser a costa de violar la privacidad de los adultos. Estamos en 2025, existen formas más privadas que tener que hacerte un selfie mostrando tu DNI...

Otros artículos interesantes:

• El hacker que robó 10 GB de datos de la web del PSOE es un menor de 17 años
• Estos trucos secretos hacen que ChatGPT 5 trabaje como un hacker ético

Un estudio de la Universidad de California lo ha demostrado, desvelando un nuevo tipo de software espía que además no es un malware, porque hace lo que haría cualquier juego o aplicación convencional: leer los movimientos del ratón. Así que es difícil de detectar.

¿Cómo es posible que un simple ratón grabe la voz, si no tiene micrófono? El único requisito es que disponga de un sensor óptico de alta resolución, como los que tiene los ratones gaming, o los usados en diseño gráfico.

Así graba la voz un ratón óptico, usando vibraciones

El método creado por estos científicos es, en realidad, bastante fácil de implementar. Se basa en que los sensores ópticos de alta densidad de los ratones, en torno a los 20.000 dpi (puntos por pulgada) o más, algo común en los ratones gaming o profesionales, pueden captar hasta la más mínima vibración del ratón.

Es estudio ha comprobado que, cuando una persona habla, las ondas de voz hacen vibrar mínimamente al ratón, y esas vibraciones son captadas por el sensor óptico.

Usando un software que han llamado Mic-E-Mouse, leen estas pequeñas vibraciones. Se pasan por un filtro Wiener, y se convierten en un sonido usando una inteligencia artificial.

Como puedes ver en el anterior vídeo: una lista de números pronunciada a un metro de distancia, es capturada por el ratón, y reproducida por el ordenador.

Tras numerosas pruebas, los investigadores han comprobado que la IA reconstruye las palabras con un acierto de entre el 42 y el 61%. Suficiente para poder interpretar correctamente una conversación.

El problema de este nuevo sistema de espionaje es que es muy fácil de implementar, ya que no implica usar malware. Simplemente lee los movimientos del ratón, algo que hacen todas las aplicaciones.

Para ser efectivo requiere que la víctima tenga un ratón con un alto dpi, que esté quieto en la mesa (no se esté usando), y que el ordenador esté encendido. Es una situación habitual, por ejemplo si estás usando el PC y te llaman por el móvil: lo dejas encendido, y sueltas el ratón.

La conclusión que hay que sacar es que existen muchas más formas de espiarnos de las que imaginamos. Por eso hay que ser muy cuidadosos con la privacidad.

Otros artículos interesantes:

• Espionaje al estilo Harry Potter: así es Voldemort, el malware que se hace pasar por agencias tributarias de Europa, Asia y EEUU
• Cómo eliminar virus y malware de un PC con Windows utilizando una simple memoria USB

Imagina por un momento todo lo que has conectado en casa, desde el televisor hasta las bombillas o los altavoces inteligentes. Todos estos aparatos forman parte de tecnologías de la información (TI), dedicada a gestionar datos y sistemas informáticos.

Un ciberataque a estos terminales podría provocar la fuga de información y el robo de tus datos personales más sensibles. En entornos industriales, esto se agrava aún más, debido a que suelen controlar recursos estratégicos.

Esto es lo que se conoce como tecnología operativa (OT) y, durante los últimos años, se ha integrado con diferentes sistemas informáticos, los cuales pueden ser puertas de entrada para actores maliciosos.

Puede que un ciberataque de este tipo no tenga repercusión alguna, aunque al guardar relación con sectores como la gestión del agua, la energía nuclear o la electricidad, podrían poner en peligro la continuidad del servicio y, con ello, llevar a una crisis sin precedentes.

Desafortunadamente, los conflictos geopolíticos actuales han llevado a que grupos de cibercriminales apunten directamente a servicios de este tipo como su objetivo principal, con ejemplos muy recientes en Ucrania y Estados Unidos.

El apagón energético de Ucrania

A finales de 2015, numerosas compañías de energía ucranianas sufrieron cortes no programados a lo largo de todo el país. Según confirmaría la Agencia de Ciberseguridad y Seguridad de Infraestrcturas (CISA) de Estados Unidos años más tarde, se trataba de hackers patrocinados por el Estado de Rusia.

Los cibercriminales pudieron colar un malware en diferentes infraestructuras críticas, además de otro conocido como BlackEnergy en compañías relacionadas con la informática; es decir, que pasaron del ámbito IT al OT para lograr sus objetivos.

Aproximadamente, según los datos técnicos del informe, se concluyó que había afectado a 225.000 usuarios que perdieron la energía. Incluso cuando se restableció la electricidad, el malware continuó latente y activo en diferentes operaciones.

En cualquier entorno industrial, existen lo que se llaman sistemas de control industrial –ICS, por sus siglas en inglés–, que aglutinan diferentes dispositivos, como las interfaces máquinas-humano (HMI), así como los sistemas de alimentación ininterrumpida (SAI).

Todos estos permiten la monitorización del entorno industrial, además de la continuidad del negocio y las operaciones, con el objetivo de gestionar y solucionar fácilmente las interrupciones o posibles ciberataques, algo cada vez más habitual.

En el caso del ataque a Ucrania, los hackers comprometieron las HMI basadas en Windows, mediante herramientas de escalado de privilegios y, adicionalmente, control remoto de las operaciones. Básicamente, consiguieron permisos de administración para el acceso remoto.

Como es lógico, el objetivo era paralizar y eliminar datos sin motivaciones económicas, por lo que también ejecutaron el malware KillDisk al finalizar el ciberataque, encargado de eliminar archivos concretos para que la actividad no pudiera continuar.

Desafortunadamente, lejos de un contexto de guerra más allá de la cibernética, Ucrania no ha sido el único objetivo de este tipo de ataques.

Un golpe a los oleoductos de Estados Unidos

En octubre de 2020, CISA aseguró que había logrado frenar un ciberataque que había afectado a una compañía de gas natural del país –sin mencionar ningún nombre concreto– que, sorprendentemente, no contaba con un plan de gestión de incidentes de este tipo.

En este caso, debido a una mala segmentación de redes entre IT y OT, sin haber creado las conocidas como zonas desmilitarizadas (DMZ), para prevenir el acceso a importantes segmentos. De nuevo, las HMI se vieron afectadas y, durante 48 horas, las operaciones fueron interrumpidas.

Por supuesto, con las consiguientes pérdidas económicas y de productividad, a pesar de que no fueron afectados los controladores lógicos programables (PLC), un dispositivo que se encarga de controlar las operaciones industriales.

Tan solo un año más tarde, gracias al RaaS –ransomware como servicio, por su traducción al español– DarkSide, un grupo de cibercriminales con motivaciones económicas logró secuestrar más de 100 gigabytes de datos de Colonial Pipeline.

Esta compañía transporta casi la mitad del combustible para aviones en la costa este de Estados Unidos, y el apagón produjo el incremento de los precios, así como importantes pérdidas económicas para el oleoducto.

Con el perfeccionamiento del RaaS o las técnicas de phishing gracias a la inteligencia artificial, estos ataques podrían suponer un futuro negro para la ciberseguridad en entornos de operaciones industriales. Si todo se para, la crisis sería más que evidente.

Otros artículos interesantes:

• Hackers están atacando hoteles y ponen a la venta documentos de clientes en la dark web por 20.000 euros
• Reaparecen los hackers pro rusos de NoName057 más fuertes que nunca y con un claro objetivo: España

La Agencia de Ciberseguridad de la Unión Europea (ENISA), ha confirmado que el ciberataque que sufrió el software MUSE de Collin Aeroespace el pasado viernes, es un ransomware. Eso complica las cosas, porque son muy difíciles de eliminar.

El software MUSE lo usan muchos aeropuertos europeos, aunque no los españoles, y compañías aéreas, para tareas de check-in, control de equipaje, etc.

Los aeropuertos europeos, atacados por un ransomware

En concreto, este software MUSE "permite que varias aerolíneas compartan mostradores de facturación y puertas de embarque en un aeropuerto, en lugar de tener su propia infraestructura dedicada", según la descripción del fabricante.

Está instalado en los aeropuertos de Berlín, Bruselas y Dublin, y en el más transitado de Europa: el de Heathrow de Londres.

El ransomware ha bloqueado por completo el acceso al check-in, lo que ha obligado a las aerolíneas a registrar a los pasajeros manualmente. En algunos casos, literalmente, con papel y bolígrafo.

El lento proceso ha provocado retrasos de hasta una hora, y la cancelación de cientos de vuelos en toda Europa. En el caso de los aeropuertos españoles, no se han visto afectados por el ciberataque, al no usar MUSE, pero si han sufrido retrasos en los vuelos que van y vienen a los mencionados aeropuertos europeos.

Ayer lunes el problema aún no había sido resuelto, según informa Reuters, vía TechCrunch. Solo en el aeropuerto de Bruselas se cancelaron 60 vuelos, y el 42% ha sufrido retrasos de una hora.

ENISA no ha aclarado quienes son los autores de este ataque de ransomware a los aeropuertos europeos. Se especula con alguna de las grandes bandas de ciberdelincuentes que han atacado marcas como Jaguar Land Rover, o hackers rusos a sueldo del gobierno de Putin, que llevan tiempo atacando las infraestructuras y las empresas de la Unión Europea y el Reino Unido.

Si tienes que tomar un vuelo este martes a un aeropuerto europeo, contacta con tu aerolínea, por si hay algún retraso o cancelación.

Otros artículos interesantes:

• Cómo conseguir vuelos más baratos utilizando una VPN en 2025
• Las aerolíneas se están quedando sin números de vuelos y no saben cómo solucionarlo

El software MUSE de la compañía americana Collins Aerospace, que usan numerosos aeropuertos del Reino Unido, Bélgica y Alemania, ha sido hackeado. Entre los afectados están el aeropuerto de Heathrow, en Londres, y los de Bruselas y Berlín.

Los aeropuertos españoles no emplean este software, pero también han sufrido los retrasos por los vuelos que van y vienen de esos aeropuertos hackeados. ¿Qué es lo que pasado?

Retrasos en los aeropuertos europeos por un ciberataque

El software MUSE de Collins Aerospace se utiliza para diferentes operaciones de control de los aeropuertos y compañías aéreas.

Según ha confirmado la propia Collins Aeroespace, el hackeo ha afectado al check-in electrónico de los clientes y a la entrega de equipaje. El problema aún no se ha resuelto, así que los aeropuertos afectados están llevando a cabo check-in manuales, en mostrador. Esto está provocando colas para acceder a los vuelos, y retrasos en algunos de ellos.

Según informa Reuters, al menos 29 vuelos han sido cancelados, y otros muchos han sufrido retrasos.

De momento, no se sabe quién ha provocado este ciberataque. Se especula con algún grupo de ransomware, o hackers rusos a sueldo del gobierno de Putin, que llevan tiempo atacando las infraestructuras europeas.

Según ha confirmado la propia Aena a Europa Press, los aeropuertos españoles solo se han visto afectados con retrasos en los vuelos que llegan desde los mencionados aeropuertos.

Los problemas han continuado este domingo, y de momento no se sabe si se arreglarán para mañana lunes.

Si tienes que volar a Europa en los próximos días, confirma la fecha y horarios con tu aerolínea, por si se produce algún retraso o cancelación del vuelo.

Otros artículos interesantes:

• Un ciberataque ruso hace muy felices a miles de conductores en Países Bajos
• Microsoft alerta de ciberataques masivos: más de 10.000 servidores SharePoint en riesgo en todo el mundo

Ese pequeño instante le permitió descubrir una puerta trasera en una de las utilidades más básicas de Linux. De no haberla identificado, millones de servidores en hospitales, bancos, empresas y administraciones públicas habrían quedado vulnerables a un control remoto total. 

Freund realizaba un mantenimiento de rutina cuando detecto un comportamiento anómalo en el procesador y un ligero retraso en la ejecución de un programa que terminó siendo la pista de un problema mayúsculo. 

Al investigar, descubrió la vulnerabilidad catalogada como CVE-2024-3094, oculta en las versiones más recientes de XZ Utils, una herramienta esencial dentro del ecosistema Linux. Su hallazgo demostró que un detalle aparentemente insignificante puede abrir una amenaza global.

Una puerta trasera en la cadena de suministro

El ciberataque respondía a una estrategia conocida como cadena de suministro, que consiste en comprometer componentes básicos que usan millones de sistemas. En este caso, la manipulación de XZ Utils habría permitido a los piratas informáticos crear un "acceso maestro" en servidores críticos, facilitando el control remoto de infraestructuras en todo el mundo.

La CISA, la agencia de ciberseguridad de Estados Unidos, reaccionó de inmediato recomendando a los usuarios volver a versiones anteriores de la herramienta hasta que el problema quedara resuelto. Este episodio demuestra lo sofisticados que son estos intentos, puesto que no se trataba de un virus común, sino de un ataque cuidadosamente diseñado para pasar inadvertido.

Lo irónico es que la pista inicial fue un retardo de apenas medio segundo, una diferencia imperceptible que destapó uno de los intentos más peligrosos contra Linux, un sistema que soporta buena parte de la infraestructura tecnológica del planeta.

Cabe mencionar que el propio Satya Nadella, consejero delegado de Microsoft, reconoció públicamente la labor de Freund, subrayando que su descubrimiento evitó un desastre de escala inimaginable. 

El caso también revela una verdad incómoda, donde el software de código abierto es transparente y robusto, pero su seguridad depende de la vigilancia constante de la comunidad. Sin esa atención, los atacantes encuentran terreno fértil para infiltrar su código.

El atractivo de Linux para los hackers

La ciberseguridad no depende solo de algoritmos y defensas automáticas; necesita también la intuición y el ojo crítico de los ingenieros. Cada vez más, los ataques se centran en la cadena de suministro, un objetivo prioritario para los hackers.

Además, conviene recordar que Linux no es un sistema marginal, está en servidores de bancos, empresas de telecomunicaciones, redes gubernamentales, hospitales y en la base de los móviles Android. Una brecha en este ecosistema significa comprometer servicios que afectan directamente a la vida diaria de millones de personas.

El interés por comprometer Linux no es nuevo, ya que su popularidad en servidores críticos lo convierte en un blanco prioritario. Herramientas pequeñas como XZ Utils, que muchos usuarios ni siquiera saben que existen, son piezas fundamentales de ese engranaje. Alterarlas significa tener la llave para abrir miles de puertas al mismo tiempo.

Este incidente recuerda a casos recientes como el ataque a SolarWinds, donde se manipuló software de gestión empresarial para espiar a agencias y corporaciones en todo el mundo, o la vulnerabilidad de Log4j, que afectó a millones de aplicaciones Java. 

La reacción rápida de agencias como la CISA es clave, pero insuficiente, sobre todo si no hay cooperación internacional. El carácter distribuido de Internet hace que una vulnerabilidad en un servidor de Estados Unidos pueda tener consecuencias inmediatas en Europa, Asia o América Latina. 

Por eso, la colaboración entre gobiernos, empresas y la comunidad es vital para contener amenazas de este calibre. Este caso también reabre el debate sobre el software libre. 

Millones de personas y organizaciones dependen de él sin ser conscientes, desde las páginas web que visitas hasta los sistemas que gestionan los bancos o los hospitales. Esa dependencia exige un esfuerzo colectivo para que herramientas como XZ Utils no queden en manos de unos pocos.

El hallazgo del ingeniero confirma que los ciberataques más sofisticados pueden esconderse en detalles casi invisibles. Medio segundo de retraso fue suficiente para evitar un ataque que habría puesto en jaque al sistema financiero, sanitario y gubernamental de medio mundo.

Otros artículos interesantes:

• Hackers adolescentes le generan pérdidas de más de 200 millones a una empresa británica por un ciberataque
• ¿Preparados para la guerra? China lanza la mayor campaña de ciberataques de la historia

Jaguar, propiedad de Tata Motors, ha entrado en una profunda crisis, que en esta ocasión no tiene que ver con la llegada de las marcas chinas, la cadena de suministro ni una pandemia mundial. El ciberataque que sufrieron a principios de septiembre ha dejado inoperativo al fabricante.

La marca detiene la producción durante tres semanas

El fabricante ha paralizado la producción durante tres semanas y ha enviado a sus trabajadores a casa. El Gobierno de Reino Unido se ha visto obligado a ayudar a Jaguar Land Rover, la situación empieza a ser dramática.

La marca británica tiene tres plantas de montaje en Gran Bretaña de las que salen cerca de 1.000 coches al día. Jaguar Land Rover ha realizado un comunicado en su web en el que aclaran que la producción no se reanudará hasta el 24 de septiembre y ha enviado a casa a sus 33.000 empleados.

"Hoy hemos informado a colegas, proveedores y socios que hemos extendido la pausa actual en nuestra producción hasta el 24 de septiembre de 2025. Hemos tomado esta decisión mientras continúa nuestra investigación del incidente cibernético y mientras consideramos las diferentes etapas del reinicio controlado de nuestras operaciones globales, lo que llevará tiempo", comenta el fabricante.

El impacto del parón en la cadena de producción británica podría ser brutal para los 104.000 empleados que tiene actualmente en todo el país. Desde Reuters estiman que Jaguar está perdiendo 72 millones de libras al día, unos 83 millones de euros al cambio.

Otros medios como el periódico británico The Telegraph apuntan que el cierre en la producción podría durar hasta noviembre, JLR lo niega. El ciberataque forma parte de un ransomware masivo distribuido a otras empresas de todo el mundo, en este caso ha afectado a los datos confidenciales, aunque no está claro si afecta a la información de clientes, proveedores o sistemas internos.

El Gobierno de Reino Unido ayudará a Jaguar Land Rover

La situación ha escapado del control de JLR, la marca ha pedido apoyo gubernamental. El ciberataque llega en un momento en el que la marca atraviesa dificultades con una caída de los beneficios debido a los aranceles de Estados Unidos. 

Chris McDonald, ministro del Departamento de Negocios y Comercio, aseguró a Reuters que se había reunido con la compañía el martes para "discutir sus planes para resolver este problema y reiniciar la producción". Al mismo tiempo, Jaguar se prepara para la llegada de su nuevo coche eléctrico con el que pretende recuperarse de la caída de ventas. 

Otros artículos interesantes:

• Estos trucos secretos hacen que ChatGPT 5 trabaje como un hacker ético
• “Convertirse en hacker es un juego de niños”: Evil-GPT, el clon malvado de ChatGPT, se vende por 10 euros en la dark web

En la historia original, Fawkes era un soldado católico de Inglaterra que había luchado en las guerras de Países Bajos contra los protestantes. Durante el siglo XVI, Inglaterra oficializó la rama anglicana del cristianismo como religión de Estado y comenzó una dura persecución contra el catolicismo.

Para luchar contra la persecución anglicana, a Fawkes se le encargó la misión de colocar 36 barriles de pólvora debajo del parlamento para prenderla cuando el monarca llegara, aunque fue arrestado antes de cometer el atentado, debido a un soplo proveniente del propio grupo de conspiradores.

La máscara fue diseñada por el ilustrador David Lloyd en la novela gráfica de Alan Moore y, rápidamente, se convirtió en un símbolo de resistencia contra Estados autoritarios. Aquí también apareció Anonymous, que hizo suyo el símbolo en el mundo digital.

Prácticamente entrado el siglo XXI, Anonymous comenzó su actividad como un grupo descentralizado de hacktivistas, o ciberactivistas, con planteamiento políticos y sociales que, en los últimos años, también se han dirigido hacia Elon Musk.

En los últimos años, no obstante, su actividad ha sido mucho más tibia, así que la pregunta es evidente: ¿qué ha sido de Anonymous?

Los inicios en 4chan y la Iglesia de la Cienciología

El foro 4chan fue uno de los más populares en los inicios de los 2000, debido a que garantizaba el anonimato de sus usuarios, quienes podían intercambiar publicaciones con imágenes juntos a alguna reflexión.

A lo largo de 2003, varios usuarios comenzaron a escribir diferentes publicaciones apelando a esto, aunque en un principio sin una motivación política más allá del troleo –bromas en Internet– o las raids –visitas a otros sitios web en masa–.

Tras 5 años creando una organización descentralizada, el grupo comenzó su actividad y apuntó directamente a la Iglesia de la Cienciología con un mensaje político claro: "No tienen donde esconderse, porque estamos en todas partes [...]. Somos Anonymous. Somos legión. No perdonamos. No olvidamos. Espéranos".

En este vídeo de aproximadamente 2 minutos de duración, y que puedes ver aquí, se llama a la comunidad a atacar directamente a esta secta, tras otro vídeo en el que Tom Cruise –miembro de la misma– promocionaba a la Cienciología y que intentaron que fuera retirado de Internet.

Siguiendo sus principios fundacionales, Anonymous comenzó una serie de ataques de denegación de servicio –DDoS–, con otras tácticas como el envío de faxes, bromas telefónicas y cualquier técnica orientada a frenar la actividad de la Cienciología en Internet.

La protesta de Anonymous en Internet no tardó en llevarse a las calles y miles de personas se reunían frecuentemente a las puertas de los centros de la Iglesia de la Cienciología. El grupo de hacktivistas, por su parte, recomendó el uso de una máscara para proteger sus identidades.

Los ciberataques que marcaron a Anonymous

Aunque 2008 supuso un antes y un después para el grupo de hacktivistas, ya habían mostrado su presencia en 2006 mediante una raid en Habbo, una red social virtual que funcionaba de forma parecida a un metaverso, ante la prohibición de bañarse en un parque de atracciones de Alabama a un menor.

La justificación se basaba en que el niño de 2 años era positivo en VIH, lo que desató la rabia de Anonymous, que saturó Habbo rodeando la piscina virtual con avatares de hombres negros con un traje gris y prohibiendo el baño a los usuarios.

A finales de 2007, el grupo también estuvo implicado en la detención de Chris Forcand, un depredador sexual que fue acusado por las autoridades por relaciones con un menor de 14 años de edad.

A pesar de estos ataques, uno de los grandes saltos a las esferas políticas supuso el apoyo a WikiLeaks. En 2010, con el nombre de Operación Assange Revenge, el grupo comenzó ataques DDoS contra importantes compañías, como MasterCard, Visa, PayPal y Amazon.

Durante 2011, en el marco de la denominada Primavera Árabe, Anonymous también se implicó políticamente y atacó con un DDoS a sitios de Túnez, Egipto, Marruecos, Jordania y Libia; sin embargo, el grupo también se dividió en facciones políticas con sus propios ataques.

En su extensa lista de ciberataques, también aparecen uno a la Policía Nacional, la Operación Intifada, la Operación Facebook, la Operación Megaupload y más de una veintena de ofensivas contra lo que Anonymous consideraba que suponía una censura para Internet.

Dónde está Anonymous en la actualidad

En eventos más recientes, Anonymous inició una ofensiva cibernética contra Rusia como represión ante la invasión de Ucrania, además de enviar mensajes muy claros para Benjamin Netanyahu ante el genocidio cometido por el Estado de Israel contra la población palestina.

Desde 2011, las autoridades han detenido a numerosos implicados supuestamente en el grupo, aunque la descentralización del mismo ofrece complicaciones evidentes para su identificación. Por eso, aunque se corte una cabeza, las demás continúan actuando.

En la actualidad, uno de los últimos avisos de Anonymous fue dirigido hacia Elon Musk, al que acusan de manipular el mercado de criptomonedas, de favorecer la proliferación de bulos y discursos de odio en X y de impactar negativamente en la sociedad.

Fruto de ello, parece que Anonymous estuvo detrás del hackeo a la web de DOGE –Departamento de Eficiencia Gubernamental–, del que Musk fue responsable durante la última administración de Donald Trump.

También a este último se dirigió el hackeo contra GlobalX, una aerolínea encargada de las deportaciones de inmigrantes de origen venezolano a cárceles de El Salvador. Lógicamente, para Anonymous, Trump también es un objetivo primordial en la actualidad.

A día de hoy, Anonymous no mantiene una comunicación directa en foros públicos como sí podía hacerlo en la época de 4chan. Y, aunque existen numerosos perfiles en redes sociales, parece que ninguno es el "oficial" del grupo.

Porque, precisamente, en eso consiste el grupo de hacktivistas: estar en todas partes y, al mismo tiempo, en ningún sitio.

Otros artículos interesantes:

• Adiós al negocio más lucrativo de Elon Musk: Tesla pierde su 'mina de oro' por culpa de Donald Trump
• Elon Musk tiene nuevos problemas: xAI ha hecho públicos 370.000 chats privados de usuarios de Grok

Según el último análisis técnico de la compañía especializada en ciberseguridad ESET, basándose en diversos factores, se puede concluir que el actor de amenazas previamente desconocido es aliado de China y es el responsable de estos ataques.

Así, lo han bautizado como GhostRedirector y es uno de los más peligrosos que han podido verse en los últimos años, ya que ha sido capaz de utilizar puertas traseras para ejecutar comandos en los servidores de la víctima.

A nivel mundial, se han podido identificar hasta 65 servidores de Windows afectados, concretamente en países como Brasil, Tailandia y Vietnam, gracias a una puerta trasera en C++ a la que se ha denominado Rungan.

El nuevo actor de amenazas, GhostRedirector, ha usado 2 herramientas que nunca habían sido identificadas, como la puerta trasera pasiva en C++ –la ya mencionada Rungan– y un módulo malicioso en Internet Information Services (IIS), bautizado como Gamshen.

Estas herramientas, no obstante, son bastante diferentes, aunque forman parte de la misma estrategia de ataque: mientras que Rungan permite la ejecución de comandos en servidores comprometidos, Gamshen se dedica a ofrecer fraude SEO como servicio.

En definitiva, Gamshen está dirigido a envenenar el buscador de Google para mejorar el posicionamiento web de un sitio previamente configurado, aunque solo modifica la respuesta cuando la solicitud proviene de Googlebot –un rastreador de Google que se hace pasar por un usuario–.

Concretamente, Gamshen se implementa en el módulo nativo de ISS –el software del servidor web de Microsoft para Windows–, y podría clasificarse como un troyano con el objetivo principal de facilitar el fraude SEO, en las búsquedas de Google.

En el análisis de ESET, referente al período comprendido entre los meses de diciembre de 2024 a junio de 2025, también se han identificado víctimas adicionales a los países mencionados, siendo Portugal uno de los pocos en la región europea.

Aunque todo apunta en el informe técnico que los principales objetivos formaban parte de territorios como Estados Unidos y América Latina.

La gran preocupación de los analistas de ciberseguridad respecto a GhostRedirector es su capacidad de resistir y cambiar de forma, con el objetivo de mantener el acceso a largo plazo en la infraestructura comprometida.

Ningún actor de amenazas se ha atribuido este ataque, aunque todo apunta a China: varias cadenas codificadas están en chino, se ha usado un certificado de firma de código emitido a una compañía del país y una de las contraseñas de usuarios creados por el grupo contiene un término chino.

Finalmente, parece que GhostRedirector no tiene interés en un sector en particular, ya que se han identificado ataques en industrias como la atención médica, los seguros, el transporte, la tecnología, el comercio minorista y la educación.

Otros artículos interesantes:

• Esta aleación secreta podría darle a China la clave definitiva de la energía infinita
• Nuevas gafas inteligentes de China permiten a las tripulaciones de tanques de guerra ver a través del blindaje

Algunas de las localidades más afectadas en la primera oleada de ciberataques fueron Palma, Mérida, A Coruña, Vigo, Santiago de Compostela, Lugo y Murcia, incluso afectó a webs como la de la Casa Real, la Casa de la Moneda o los ministerios de Justicia y Política Territorial.

Todos los ciberataques seguían un patrón similar, el conocido como ataque de denegación de servicio distribuido o DDoS. Los hackers colapsaron los servidores desde diferentes puntos usando bots.

NoName057 sufrió un duro golpe

El grupo de hackers NoName057, uno de los más activos desde el inicio de la guerra en Ucrania, ha vuelto a atacar en España. La operación internacional Eastwood fue un duro golpe para su infraestructura y provocó varias detenciones en Europa, pero no ha sido suficiente.

La operación Eastwood desarticuló parte de la red de este grupo de hackers pro-rusos en julio de 2024. La Guardia Civil arrestó a tres personas vinculadas a NoName057 en Manacor (Baleares), Huelva y Sevilla.

La investigación ha contado con la colaboración de decenas de países de todo el mundo. Los detenidos por su supuesta implicación en los ataques de denegación de servicio habían atacado instituciones públicas y sectores estratégicos españoles, también de otros países de la OTAN.

Los hackers pro-rusos vuelven a atacar en España

La operación Eastwood no ha conseguido desarticular por completo al grupo criminal. El equipo de hackers ha resurgido en las últimas semanas con ataques a ayuntamientos, webs de transporte y organismos públicos de España, según ha alertado la empresa de ciberseguridad Check Point. 

NoName057 cuenta en esta ocasión con la ayuda de otros grupos criminales como Z-pentest o Mr.Hamza. El equipo de hackers ha demostrado que sigue teniendo una enorme capacidad para realizar ataques de DDoS.

Los hackers pro-rusos no han tardado en contraatacar a las detenciones. Los atacantes han utilizado lemas que empiezan a resonar en redes sociales como #timetoretribution, #fuckingeastwood y #opSpain.

El grupo de cibercriminales está cada vez más cercado por las autoridades y la presión internacional no deja de crecer, pero NoName057 no da un paso atrás. Los ataques masivos cortan el servicio de webs durante unos pocos segundos, aunque los desarrolladores tardan horas en recuperar las defensas de las páginas, afectando a servicios públicos esenciales.

NoName057 anuncia previamente sus objetivos de ciberataques en foros con unas 24 horas de antelación, luego difunden capturas de pantalla o “pruebas” del hackeo en sus canales de propaganda digital.

Los ataques iniciales se centraban en bloquear los servicios básicos mediante DDoS, pero los expertos en ciberseguridad advierten que el grupo criminal está utilizando tácticas cada vez más sofisticadas como la filtración de datos. El nivel de riesgo es máximo para las administraciones públicas.

Otros artículos interesantes:

• Opciones de seguridad de Windows 11 que los hackers no quieren que utilices
• Hackers crean avisos de programas legítimos para infectar tu PC y millones de usuarios están en peligro

En organizaciones complejas, este puede llevar a la exfiltración de datos personales de clientes, además de las consiguientes pérdidas económicas, así como consecuencias legales y, por supuesto, en la reputación del negocio.

Según el último informe de Check Point, titulado Ransomware Threat Intelligence Report, una de las preocupaciones más importantes en la actualidad es la fragmentación de las amenazas; es decir, algunos grupos de ransomware han desaparecido, pero el ecosistema sigue ahí.

"El ransomware no está desapareciendo, solo está cambiando de forma", advierte Eusebio Nieva, director técnico de Check Point Software para España y Portugal. "La profesionalización del delito, el uso de IA y la fragmentación del panorama obligan a las empresas a mantenerse un paso por delante con tecnologías inteligentes, detección temprana y estrategias de respuesta adaptadas al nuevo entorno".

Entre las conclusiones de la investigación, que tiene que ver con el segundo trimestre de 2025, aparece una clave importante, que es la metamorfosis del ransomware, con nuevas técnicas de extorsión, aunque también un descenso en los pagos por rescatar dichos datos cifrados.

Más aún, a pesar de esta tasa de pago de rescates ha disminuido, los grupos identificados de cibercriminales continúan evolucionando en un mundo en el que la inteligencia artificial puede ser un arma letal.

La metamorfosis del ransomware: del cifrado al robo y la filtración

El cifrado de los datos para pedir un rescate monetario a cambio parece no ser uno de los objetivos actuales de los grupos asociados al ransomware. Al parecer, un cambio propiciado por la colaboración internacional en ciberseguridad, además de la prohibición de pagar dichos rescates en algunos países.

Esto ha llevado a que la tasa de pagos se sitúe en mínimos históricos, cercanos al 25% y el 27%, por lo que sale más caro gestionar una campaña maliciosa de este tipo. Además, durante mayo de este mismo año, se llevó a cabo el cierre de unos 300 servidores, 650 dominios y el arresto de 20 sospechosos.

A pesar de que son noticias muy positivas, el número de víctimas en junio de 2025 es aún mayor que durante el mismo mes del año pasado, con 494 y 347, respectivamente. Cifras que quedan lejos de las 927 que sufrieron este tipo de ataque en febrero de 2025.

Todos estos factores han favorecido que el ransomware caiga, aunque también la fragmentación de diferentes grupos de cibercriminales hacia otras modalidades de ataque.

De la misma forma, aunque algunos grupos de hackers se han logrado desactivar, esto también implica retos mayúsculos en futuras detecciones, ya que han virado hacia técnicas algo menos complicadas, como el robo de datos y la exfiltración.

Precisamente, uno de los grupos de ransomware más activos es Qilin, que ha implementado nuevas técnicas de extorsión, con método novedosos para presionar a las víctimas y, en consecuencia, aumentar la cantidad pagada en rescates.

DragonForce, el "cártel del ransomware"

"Es tiempo de cambio". Así anunciaba el denominado "cártel de DragonForce" sus nuevas técnicas de ransomware en el foro de Ramp, adoptando nuevas herramientas más dirigidas al robo y la filtración de datos, mediante la extorsión.

El modus operandi es el siguiente: enviar notificaciones privadas a ejecutivos o miembros de la junta directiva; no encriptar los datos o provocar disrupciones, y publicar las claves de descifrado de víctimas del pasado.

Entre las principales regiones afectadas por este tipo de ataques, aparece Estados Unidos con un 49%, aunque seguida por otras como Alemania, Canadá y Reino Unido, todas ellas con un 5%, Italia, con un 3% y, finalmente, España (2%).

Algunos de los sectores más afectados por estos ciberataques son el de los negocios, que lidera la lista con un 10,7%; manufactura, con un 9,8%; construcción, con un 9,5%, y el de la salud, con un 7,8%. 

Check Point también ha identificado varias herramientas impulsadas por inteligencia artificial que ayudan a los hackers a cometer estos ataques. Así, la IA se utiliza para identificar los datos más valiosos recabados tras el robo y la filtración.

Adicionalmente, también se ha conseguido mejorar el malware mediante IA, con el objetivo de evadir las tradicionales herramientas antivirus, así como las que basan sus detecciones en comportamiento sospechoso.

Finalmente, también han alertado de nuevas campañas de phishing impulsadas por IA, un elemento nuevo que ya se ha podido ver durante este año en otros ataques, con la generación de vídeos o audios falsos para escalar privilegios en una organización.

Otros artículos interesantes:

• Nace LameHug: el primer malware con IA que hackea Windows usando ZIP y lenguaje natural
• Kali Linux y los falsos positivos de malware en Windows: errores de novato que he cometido

Estos ciberdelincuentes abrieron las compuertas de la presa, y liberaron 7,2 millones de litros de agua. Por suerte, el río pudo absorber el nuevo caudal.

La policía está convencida de que la intención de los hackers no era provocar una inundación, sino "avisar" de que pueden hacerlo, para infundir miedo.

Cuando un hacker puede inundar pueblos y ciudades

Según el informe del Servicio de Seguridad de la Policía de Noruega (PST), la policía ha encontrado un vídeo de tres minutos en los canales de Telegram que frecuentan estos grupos, en donde los hackers muestran cómo abren las compuertas de la presa.

El vídeo tiene el logo de un conocido grupo hacker ruso, a sueldo de Rusia. Se ha rumoreado que se trata del grupo Sandworm (APT44).

"No pretenden necesariamente causar destrucción, sino demostrar de lo que son capaces. El objetivo de este tipo de acciones es ejercer influencia y generar miedo o inquietud entre la población", ha dicho el jefe del PST, Beate Gangås.

Los técnicos noruegos tardaron cuatro horas en contrarrestar el ataque hacker, para volver a cerrar la presa.

Esta es la segunda vez que Rusia ataca objetivos noruegos. Hace unos meses realizó un ataque DDoS contra los servicios estatales. También se da por hecho que el cable submarino que fue dañado en el Mar del Norte tras iniciarse la invasión de Ucrania, es obra de Putin.

El jefe de inteligencia de Noruega, Nils Andreas Stensønes, ha dicho que, aunque Noruega no está en guerra con Rusia, Putin utiliza este tipo de ataques hacker para mantener la tensión en toda Europa.

Otros artículos interesantes:

• Rusia "reinventa" la guerra con un caza con accesorio: un dron atado con bridas de plástico
• Adiós a WhatsApp y Telegram: Rusia podría prohibir las aplicaciones de mensajería

Según el último informe de inteligencia de CrowdStrike, que identifica a los principales actores de amenaza desde julio de 2024 hasta junio de 2025, grupos relacionados con Corea del Norte, Rusia y China están usando la IA generativa para perfeccionar sus técnicas de ataque.

De esta forma, la investigación ha destacado nuevas modalidades que prácticamente no tienen que ver con ningún tipo de malware –el 81% de las intrusiones no utilizaron esta práctica–, sino más bien con el aprovechamiento de la IA generativa para evadir los métodos de detección tradicionales.

En este conjunto, cabe destacar que el 73% del total de intrusiones interactivas en el mismo período tuvieron que ver con el conocido como cibercrimen, con un aumento del 40% en las intrusiones presuntamente relacionados con actores vinculados a China.

Uno de los principales actores identificados ha sido Famous Chollima, un grupo de Corea del Norte que lleva activo desde 2018, y que ha aumentado sus ataques en el último año hasta en un 220%, atacando a más de 320 empresas, mediante la utilización de la IA generativa.

En su caso concreto, este grupo de hackers patrocinados por Corea del Norte ha usado esta tecnología para generar identidades falsas en procesos de contratación y empleo, pudiendo infiltrarse así en diferentes organizaciones.

"Cada agente de IA es una identidad superhumana: autónoma, rápida y profundamente integrada, lo que los convierte en objetivos de alto valor", explica a Silicon Adam Meyers, jefe de operaciones contra adversarios en CrowdStrike. 

"Los cibercriminales están tratando a estos agentes como infraestructuras, atacándolos del mismo modo que atacan plataformas SaaS, consolas en la nube y cuentas privilegiadas. Proteger la IA que impulsa el negocio es el nuevo caballo de batalla", ha añadido.

Además del grupo norcoreano de hackers, también se ha identificado como uno de los principales actores de amenaza al ya conocido Scattered Spider, un grupo de cibercriminales que conocen de primera mano las principales técnicas de ingeniería social, destacando el vishing.

Con actividad conocida desde 2022, este grupo –que se cree afincado en Estados Unidos y Reino Unido– utiliza comúnmente el fraude telefónico para adentrarse en compañías tan diferentes como las aerolíneas o entidades bancarias.

Adicionalmente, aprovechan la confianza de empleados y usuarios para comenzar ataques mediante ransomware, secuestrando información relevante y pidiendo a continuación un rescate para descifrar los datos sensibles de las víctimas en cuestión.

Según el equipo de inteligencia de CrowdStrike, las herramientas de IA generativa han permitido que estos actores de amenaza incrementen la velocidad de sus ataques, accedan a mayor conocimiento y puedan escalar fácilmente sus operaciones.

Entre las conclusiones generales sobre las técnicas empleadas, la compañía ha podido identificar varios patrones, como la utilización de identidades digitales falsas creadas con IA, la creación de documentos falsos o el uso de herramientas de lenguaje natural para el phishing.

Adicionalmente, también se ha podido comprobar que parte del código utiliza LLM para generarse de forma automática, por ejemplo, con familias de malware –como SparkCat y FunkLocker– agregando código repetitivo mediante el uso del LLM WormGPT.

Finalmente, el informe de inteligencia también advierte sobre la propaganda falsa compartida en diferentes foros y plataformas de Internet, algo que ha usado Ember Bear –relacionado con Rusia– con el objetivo de expandir información falsa prorrusa.

Otros artículos interesantes:

• Nace LameHug: el primer malware con IA que hackea Windows usando ZIP y lenguaje natural
• Los expertos en ciberseguridad han elaborado una lista con las búsquedas más peligrosas que nunca harían en Google

Concretamente, el malware ha sido escrito en Go, un lenguaje de programación bastante usado, y se ha distribuido mediante paquetes que afectan al navegador de Mozilla, Firefox, con firefox-patch-bin; a LibreWolf, con librewolf-fix-bin, y a Zen, con zen-browser-patched-in.

Estos 3 paquetes, que ya han sido retirados, contenían cargas maliciosas, como el conocido Chaos RAT, un troyano de acceso de remoto, para mantener el control total sobre la máquina infectada, aunque no solo podría afectar a Arch Linux.

Chaos RAT lleva activo desde 2022, tuvo una gran evolución durante 2024 y, en 2025, ya se ha convertido en una peligrosa herramienta de administración remota de código abierto, incluso llegando a sistemas operativos Windows.

Fue desarrollado con Golang –el lenguaje Go mencionado–, según explican en Acronis, y permite la compatibilidad entre plataformas con sistemas Windows y Linux, un ejemplo claro de que las herramientas legítimas también pueden ser utilizadas para cometer ciberataques si caen en las manos equivocadas.

Según el informe técnico de Acronis, a diferencia del malware creado en principio con el lenguaje C y otros, Go permite que se reduzcan los tiempos de desarrollo, además de que permite mayor flexibilidad.

De nuevo, hay que destacar que Chaos RAT se creó como una herramienta legítima para la gestión remota de dispositivos, aunque al ser de código abierto los actores maliciosos lo han usado para desarrollar un troyano con malas intenciones.

Como su propio nombre indica, este malware caótico comenzó a infectar diferentes máquinas mediante el phishing en correos electrónicos, con archivos adjuntos o enlaces maliciosos que modificaban el archivo /etc/crontab.

Este último es un programador de tareas que utilizan los actores de amenazas persistentes para actualizar o cambiar la carga útil sin necesidad de tocar nada en el sistema de destino; en sus primeras campañas, comprometió dispositivos para reunir información y minar criptomonedas.

Gracias a su interfaz tan accesible, Chaos RAT no requiere de profundos conocimientos técnicos, ya que desde ella se pueden construir y controlar cargas útiles, con un panel de administración que se puede lanzar de forma local.

Entre los grandes riesgos de su uso por cibercriminales, aparecen datos personales sensibles de la máquina infectada, como la dirección IP, información del sistema operativo, identificación del usuario y la posibilidad de navegar por los archivos del sistema.

Pero no solo eso, ya que también es capaz de cargar, descargar, eliminar y ejecutar cualquier archivo que se encuentre a nivel local, un riesgo tanto para Linux como para Windows.

Una vez que el malware ha analizado toda la información del dispositivo, comienza a recopilar diferentes metadatos, además de identificadores como la arquitectura del sistema, entrando en un bucle infinito con capacidad de monitorización en tiempo real.

Por si no fuera suficiente, Chaos RAT es capaz de acceder a la consola y controlar el proxy de red, lo que permitiría al atacante la exfiltración de datos o, directamente, utilizar la máquina para lanzar un ransomware, uno de los malware más temidos.

Es bastante probable que Chaos RAT y otras amenazas persistentes continúen pisando fuerte durante este año, ya que las herramientas de código abierto pueden suponer un arma letal en manos de grupos de ciberdelincuentes.

Otros artículos interesantes:

• Así es Brokewell, el peligroso troyano que se hace pasar por una actualización de Google Chrome
• ToxicPanda, el nuevo troyano bancario para móviles Android se expande peligrosamente por España

Los ciberdelincuentes deben adaptarse a sistemas de seguridad de ordenadores y software cada vez más sofisticados. Los virus deben ser cada vez más complejos, y esta tarea no es sencilla para los hackers, así que ChatGPT tiene la solución.

La IA de Sam Altman puede crear un virus que infecte miles de móviles y ordenadores en tiempo récord, desde controlar los dispositivos en remoto hasta acceder a la información sensible de los usuarios.

Ciberataques diseñados con ChatGPT

Los grandes modelos de lenguaje (LLM) han descubierto que pueden aprovechar los exploits, es decir, errores, vulnerabilidades o fallos del software para ejecutar acciones no autorizadas. Los malware pueden acceder a las claves guardados en el dispositivo, ejecutar comandos en remoto, robar los datos o bloquear una aplicación.

Los expertos en ciberseguridad han descubierto que pueden generar exploits automáticamente desde ChatGPT. Los investigadores de un estudio publicado en Computer Networks han automatizado la generación de un malware.

ChatGPT y Llama 2, la IA de código abierto de Meta, están en el punto de mira. Los resultados tras una conversación milimétricamente calculada han sorprendido a los propios investigadores.

"Trabajamos en el campo de la ciberseguridad con un enfoque ofensivo", comenta Simon Pietro Romano, coautor del artículo, a Tech Xplore. "Nos interesaba comprender hasta dónde podíamos llegar aprovechando los LLM para facilitar las pruebas de penetración", añade.

Entrenar a ChatGPT y Llama 2 para crear un malware

La tarea no ha sido sencilla, ChatGPT se negará a crear código potencialmente dañino si los usuarios lo solicitan. Los investigadores tuvieron que asignar diferentes roles a los modelos de IA y seguir una serie de pasos previamente calculados.

ChatGPT y Llama 2 tenían una misión en cinco pasos: analizar un programa vulnerable, identificar los posibles exploits, planificar un ataque basado en estos exploits, revisar el comportamiento de los sistemas de hardware y generar el código del malware.

"Permitimos que dos LLM diferentes interoperaran para completar todos los pasos del proceso de creación de un exploit válido para un programa vulnerable", ha explicado Romano. "Uno de los LLM recopila información sobre el programa vulnerable y su configuración de ejecución. Luego, el otro LLM crea un exploit funcional".

La clave para crear un malware está en combinar varios modelos de IA. El resultado ha asustado a los propios investigadores, el código permite ejecutar un ciberataque de desbordamiento de búfer en el que se sobrescriben los datos almacenados en un sistema para alterar el comportamiento de apps instaladas.

La investigación es una mera prueba del potencial de la inteligencia artificial, pero Simon Pietro Romano advierte que "demuestra claramente la viabilidad del enfoque". La IA incluso podría obtener datos de la efectividad de su propio exploit.

Otros artículos interesantes:

• DNS4EU, ya puedes usar las DNS de la Unión Europea que protegen del malware y el spam
• Un malware oculto en el DNS y armado con IA pone en jaque a los antivirus

Entre los ayuntamientos afectados, aparecieron localidades como Palma, Mérida, A Coruña, Vigo, Santiago de Compostela, Lugo y Murcia, afectando a sus páginas web, así como ataques a otras instituciones como la Casa Real.

El ciberataque en cuestión fue el conocido como ataque de denegación de servicio distribuido o DDoS, que permite a los hackers centrarse en colapsar el servidor objetivo mediante diferentes puntos de ataque, usando redes de bots o botnets, equipos infectados considerados zombies.

En una operación internacional conjunta, bautizada como Eastwood y coordinada por Europol y Eurojust, autoridades de diferentes países –como España– colaboraron para tomar medidas contra NoName057(16).

Así, la operación condujo a la interrupción de una infraestructura de ataque consistente en más de un centenar de sistema informático alrededor de todo el mundo, desconectando parte de los servidores centrales usados por este grupo, según ha compartido en un comunicado Europol.

Aunque ha sido un golpe duro para la organización a nivel internacional, expertos en seguridad aseguran que el grupo prorruso de hackers continúa activo en canales de Telegram y Discord.

Europol intensifica su persecución contra NoName057(16)

Las actuaciones llevadas a cabo por Europol se han saldado con hasta 6 órdenes de busca y captura por parte de Alemania de criminales residente en la Federación de Rusia, tal y como ha compartido en su página de más buscados a nivel internacional. 

En su caso concreto, 2 de estos están acusados de ser los principales instigadores responsables del grupo, como Olga Evstratova, de 21 años de edad y nacionalidad rusa, y Mihail Evgeyevich Burlakov, de 38 años.

A ellos se sumarían otros miembros a los que se acusa de participación en organización criminal, con nombre como Maxim Lupin, Andrey Muravyov y Andrej Stanislavovich Avrosimow, según las identificaciones de Europol. 

Desde Check Point Software, Rafael López, ingeniero de seguridad de la compañía especializada, ha asegurado que este grupo continúa su actividad en canales de Telegram y Discord, así que pide a las compañías que refuercen sus estrategias de seguridad.

"Al mantenerse alerta y adoptar un enfoque proactivo, las empresas podrán protegerse mejor frente a amenazas en constante evolución como las que representa NoName057(16)", ha recomendado López.

Así, pide a a las organizaciones que refuercen sus defensas, incluyendo protección robusta frente a DDoS, con sistemas de detección de intrusiones y realizando auditorías de seguridad de forma periódica.

Y, cómo no, también pidiendo responsabilidad a los empleados, ya que el ser humano puede ser una puerta abierta para diferentes técnicas de ataque.

"También es esencial formar a los empleados sobre los riesgos de los ciberataques y vigilar actividades inusuales en plataformas de comunicación que puedan indicar posibles intentos de reclutamiento", ha alertado el ingeniero de seguridad de Check Point Software.

De momento, la operación Eastwood se ha saldado con 2 arrestos –uno de ellos en España–, 7 órdenes de detención, 24 registros domiciliarios, 13 personas interrogadas, más de 1.000 simpatizantes del grupo, la interrupción de más 100 servidores en todo el mundo y la desconexión de la mayor parte de NoName057(16).

Otros artículos interesantes:

• El lado oscuro de Python: se convierte en el arma preferida de los hackers norcoreanos
• Expertos alertan de un nuevo tipo de ataques invisibles a Android que te exponen a hackers

Según ha confirmado el Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA), un nuevo malware conocido como LameHug es el responsable de haber robado datos de dispositivos con sistemas operativos Windows 10 y Windows 11.

Creado con Python, el lenguaje más popular en la actualidad en el ámbito de la ciberseguridad, este malware utiliza la API de HuggingFace –una herramienta que recopila varios modelos– y usar Qwen 2.5-Coder-32B-Instruct, el modelo de código abierto de Alibaba.

De esta forma, el malware genera de forma automática las instrucciones de ataque y se extiende mediante phishing, como se ha podido identificar en un correo electrónico al que se adjunta un archivo ZIP que contiene la carga maliciosa.

Dentro de este archivo ZIP, se han enumerado varios archivos –aunque podrían ser más–, bajo el nombre de Attachment.pif, AI_generator_uncensored_CANVAS_PRO_v_v.ash0.0.exe e image.py, extensiones que hacen referencia a Python y a un ejecutable.

Tras la apertura de dichos archivos, LameHug ejecuta comandos de forma automática para estudiar directorios del sistema de Microsoft, como la carpeta de Documentos, Descargas y Escritorio, así como archivos asociados a las aplicaciones de Office y a las extensiones PDF y TXT.

Así es el primer malware que usa LLM para generar comandos

Según ha explicado X-Force Exchange, el equipo de respuestas a incidentes de ciberseguridad de IBM, este malware es único en el uso de un LLM para ejecutar comandos en diferentes sistemas Windows comprometidos mediante la técnica de phising ya descrita.

La estrategia hizo uso de la ingeniería social para suplantar la identidad de funcionarios de un ministerio ucraniano en dicho correo y, gracias a los archivos adjuntos, LameHug podía reconocer el sistema, así como exfiltrar los datos.

Con un grado medio de confianza, se ha atribuido este nuevo ataque con inteligencia artificial al grupo de cibercriminales prorrusos conocido como APT28 y supone una gran amenaza ante el avance imparable de la IA.

Así, al igual que ocurre en otro tipo de ataques que pueden pasar desapercibidos, en este caso la amenaza es mucho mayor, ya que los comandos en la consola de Windows se ejecutan de forma automática y dinámica.

Esto implica que las herramientas de análisis estático, así como los diferentes softwares de seguridad –como el antivirus de Windows–, no son capaces de reconocer la amenaza hasta tiempo después de la infección.

Dicho esto, cabe destacar que LameHug fue identificado por el CERT-UA el 10 de julio, aunque publicó su investigación una semana después, sin concretar si este malware había sido capaz de infectar algún equipo.

Además, cabe esperar que estos ataques se repitan con el avance de la guerra entre Rusia y Ucrania, ya que APT28 –también conocido como FancyBear, BlueDelta o Forest Blizzard– mantiene vinculación con la dirección de inteligencia de Rusia.

Sea como sea, el primer malware que usa LLM de código abierto ya supone una escalada en la guerra cibernética y abre la puerta a un escenario desconocido para agencias y oficinas de seguridad.

Otros artículos interesantes:

• Un malware oculto en el DNS y armado con IA pone en jaque a los antivirus
• Kali Linux y los falsos positivos de malware en Windows: errores de novato que he cometido

Google ha explicado que este agente, anunciado el año pasado, es resultado del trabajo de Google DeepMind y Google Project Zero. Tiene como misión buscar e identificar de forma activa vulnerabilidades de seguridad desconocidas en el software.

Lo cierto es que esta herramienta tiene cierto recorrido, porque en noviembre del año pasado detectó su primera falla de seguridad real, "lo que demuestra el inmenso potencial de la IA para solucionar vulnerabilidades de seguridad antes de que afecten a los usuarios".

Así lo ha explicado la compañía en un comunicado compartido en su blog, donde ha señalado que el agente le ha seguido dando alegrías desde entonces, descubriendo "múltiples vulnerabilidades reales", superando sus expectativas y acelerando la investigación de brechas impulsada por inteligencia artificial.

Prevención basada en IA

Para Google, el talento de Big Sleep es descomunal y así lo ha expresado al comentar su último éxito, que no ha sido otro que detectar y frenar un ciberataque antes de que éste se llevara a cabo. 

Esto ha sido posible gracias a Google Threat Intelligence, con la que este agente ha descubierto una vulnerabilidad de SQLite (conocida con el nombre CVE-2025-6965), que era crítica, ya que solo la conocían los actores de amenazas y corría el riesgo de ser explotada.

"Gracias a la combinación de inteligencia de amenazas y Big Sleep, Google ha podido predecir el inminente uso de una vulnerabilidad y prevenirla de antemano", ha señalado la firma.

Con ello, ha adelantado que, con toda probabilidad, "esta es la primera vez que se utiliza un agente de IA para frustrar directamente los intentos de explotar una vulnerabilidad en la práctica".

Big Sleep más allá de Google

La tecnológica que actualmente dirige Sundar Pichai sabe que puede sacarle mucho más partido a su herramienta de inteligencia artificial y, por ello, ya ha comenzado a expandirla a otras áreas.

En concreto, la ha puesto en marcha en los proyectos de código abierto que actualmente se utilizan ampliamente, para mejorar su seguridad. Esto "supone un gran avance para garantizar una seguridad más rápida y eficaz en internet", según Google.

Por otra parte, la empresa ha avanzado cuáles son sus planes de aquí a los próximos meses, entre los que se encuentra ampliar Timesketch, la plataforma de análisis forense digital colaborativo de código abierto de Google, que está impulsada por Sec-Gemini.

Con ello, ha explicado que sus agentes de IA estarán más y mejor relacionados con el equipo conocido como FACAD (siglas que corresponden a la Detección rápida y precisa de anomalías contextuales), para que conozcan cómo procesa millones de eventos de seguridad diarios en Google. De esa manera, seguirán identificando amenazas internas.

En base a estos planes, Google ha puesto toda la carne en el asador de cara a este verano, momento en que seguirá avanzando en la inteligencia artificial. "Al desarrollar estas herramientas correctamente, aplicarlas de nuevas maneras y colaborar con la industria y los gobiernos para implementarlas a gran escala, podemos dar paso a un futuro digital no solo más próspero, sino también más seguro".

Otros artículos interesantes:

• Hackers adolescentes le generan pérdidas de más de 200 millones a una empresa británica por un ciberataque
• ¿Preparados para la guerra? China lanza la mayor campaña de ciberataques de la historia

Durante bastante tiempo, la supuesta organización lanzaba diferentes acertijos, con mensajes ocultos en imágenes o libros, a mitad de camino entre la estenografía y la criptografía, conceptos muy usados en el ámbito de la ciberseguridad.

Aunque puedan resultar términos idénticos, guardan alguna que otra diferencia: mientras que la esteganografía permite ocultar mensajes en diferentes archivos, la criptografía necesita de codificación para que el usuario que los reciba los desencripte.

Para poner un ejemplo algo más claro y sencillo, imagina que tienes un cuadro en casa que muestra un paisaje, pero elaborado con recortes de periódicos con diferentes titulares o letras; al acercarte, podrás reconocer el mensaje oculto.

Mientras que, si te alejas, verás los colores como el ojo humano los percibe. Curiosamente, ya hace 2.000 años algunas sociedades utilizaban una especie de tinta invisible para enviar cartas que el enemigo no podía capturar.

La esteganografía, en la actualidad, ha mejorado notablemente con el avance digital, aunque la técnica continúa siendo prácticamente la misma; a continuación, te muestro varios ejemplos.

Mensajes ocultos a través de la historia

A principios del siglo XVII, vio la luz el libro Steganographia, del abad alemán Johannes Trithemius, que lo había escrito un siglo antes, y enumeraba las técnicas de escritura oculta que usaban en la Antigua Grecia.

Este abad fue el primero en definir este concepto y, desde entonces, la esteganografía ha estado presente en numerosos textos publicados en medios de comunicación, en cartas o en mensajes secretos revelados por espías.

Durante la Primera Guerra Mundial, por ejemplo, un espía alemán envió el siguiente mensaje:

Al extraer las segundas letras de cada término, como puedes ver en el texto, descubrirás el mensaje oculto: "Pershing sails from NY June 1". La técnica, aunque llegó tarde para dar aviso, es un ejemplo más de la utilización de la esteganografía en la historia.

Si has visto una de las series más populares en ciberseguridad de los último tiempos, Mr. Robot, verás cómo su protagonista esconde información confidencial en una funda con CDs titulados con nombres de bandas de rock internacional.

Actualmente, la técnica ha mejorado, pero lo que continúa estando oculto para el ojo humano, no lo está para las máquinas.

Esconder mensajes en el mundo digital

Aunque la esteganografía pueda parecer un juego de adivinanzas, en muchos casos se utiliza con objetivos realmente importantes, como proteger una información valiosa, marcar un archivo con elementos imperceptibles o, en algunos casos, esquivar la censura.

Más aún, en las manos equivocadas puede suponer un gran peligro para la ciberseguridad, ya que los grupos de criminales esconden, por ejemplo, código malicioso que parece legítimo, con la intención de exfiltrar datos sin que el equipo de seguridad se percate.

Esto puede ocurrir con elementos tan básicos como los banners de publicidad que aparecen en ciertas páginas, que podrían introducir código malicioso para dirigir al usuario a un sitio web en el que robar sus datos.

Durante los últimos años, según relata Kaspersky en su blog, ha habido varios casos preocupantes. Uno de los peores fue el de SolarWinds en 2020, cuando un grupo de cibercriminales escondió malware en una actualización aparentemente legítima.

El resultado fue la infiltración en sistemas de compañías importantes del sector tecnológico, como Intel, Cisco y Microsoft, además de otras agencias de Estados Unidos. 

El mecanismo de ataque hizo uso de la esteganografía para ocultar información en archivos XML que no aparentaban ser peligrosos y se incluían en mensajes de respuestas HTTP de algunos servidores, con datos escondidos en cadenas de texto.

Ahora bien, aunque las herramientas de detección han mejorado notablemente, los mensajes ocultos pueden pasar desapercibidos para los equipos de seguridad, ya que en la práctica identificar este tipo de técnicas puede llegar a ser una actividad hercúlea.

Desafortunadamente, para un usuario sin conocimientos avanzados, la única técnica posible consiste siempre en desconfiar, al igual que ocurre con el phishing. Como recomendación, siempre sospecha de archivos adjuntos HTML o HTM, ya que podrían ocultar un código malicioso.

Otros artículos interesantes:

• La criptografía cuántica puede tener agujeros de seguridad
• "En 2030, la computación cuántica tendrá la capacidad de agredir nuestra criptografía", advierte esta experta

En uno de los programas de Colgados del aro, Juanma Iturriaga, el exjugador de baloncesto, relató cómo cayó de la forma más tonta en la popular y conocida estafa del familiar necesitado. Todo comenzó con un mensaje de urgencia que, supuestamente, le había mandado su hija.

Al parecer, Iturriaga recibió un SMS del estafador, que se hacía pasar por su hija, y le pedía que le enviara un mensaje a ese nuevo número a través de WhatsApp, ya que había pedido un crédito y tenía que pagarlo ese mismo día.

Aunque el exjugador no respondió inmediatamente, los estafadores insistieron, a lo que él respondió yendo a la sucursal bancaria, para realizar diferentes transferencias inmediatas hasta alcanzar los 9.811 euros.

Una vez realizados los pagos, llamó a su hija para saber cómo iban las transferencias, y al otro lado del móvil, tan solo llegó a escuchar "¿Qué transferencias?" para darse cuenta de que había caído en una trampa.

Este ejemplo es solo uno más de los que podrías encontrarte, debido a que existen varios factores psicológicos que nos llevan a caer en este tipo de estafas, los cuales aprovechan y conocen muy bien los ciberdelincuentes.

La psicología humana y cómo la aprovechan los ciberdelincuentes

Hace ya varios años, uno de los estudios más completos llegó a la conclusión de que existían varios factores sociales y psicológicos asociados a las estafas, más allá de la del familiar necesitado.

Así, los factores que destacaron como principales, tras varias encuestas a estudiantes universitarios y visitantes de la web Ars Technica, fueron la influencia social, cumplir con la autoridad, la necesidad de coherencia y la falta de autocontrol.

Adicionalmente, también concluyeron que, en lo relacionado con la demografía de las estafas, las personas con menor nivel de estudios son más propensas a caer en estas que las que han accedido a estudios superiores.

En otra investigación llevada a cabo por la Universidad de Exeter (Reino Unido), se enumeran algunos factores adicionales, tanto motivacionales como cognitivos, como puede ser la ilusión de tener el control o evitar el arrepentimiento.

Esta tipología se puede ver, sobre todo, en esas estafas que ofrecen una cantidad monetaria a ganar, de forma urgente, y posiciona a la víctima como un ganador exclusivo de cierto premio. En definitiva, esto responde a la ilusión de control, una conducta irracional del ser humano.

En este punto, el mismo estudio destaca que el perfil de víctimas de estafas también está asociado con el exceso de confianza. Seguramente hayas escuchado en tu entorno decir a personas que ellas nunca caerían en la trampa, aunque nadie está exento.

Comunicación persuasiva, aislamiento y personalización

Aquí adquiere gran importancia el concepto de comunicación persuasiva, ampliamente analizado en el corpus teórico y práctico de la psicología, de la cual se aprovechan los ciberdelincuentes. 

Uno de los elementos esenciales de este tipo de comunicación consiste en mantener aislada a la víctima, con el objetivo de que no pueda hablar con alguien que le advierta de que le están estafando, un aspecto muy relacionado con la sensación de urgencia.

Además de estos aspectos, la Senate Federal Credit Union de Estados Unidos, recoge otras técnicas de manipulación psicológicas que pueden darse en las estafas, como el principio de reciprocidad, es decir, que si alguien te ofrece algo, te sientas obligado a devolver otra cosa a cambio.

En este sentido, también entran en juego las pruebas sociales, que suelen ser reseñas manipuladas por los mismos atacantes, para ofrecer a la víctima la sensación de seguridad antes de realizar cualquier desembolso monetario.

Volviendo al ejemplo concreto de Iturriaga, en su caso, convergen otras cuestiones como la popularidad: es más fácil recopilar datos y perfeccionar la estafa con personajes célebres, como el exjugador de baloncesto.

En definitiva, caer en una estafa no es plato de buen gusto para nadie, aunque conocer los factores psicológicos que explotan los atacantes podría ser vital, para que el día de mañana puedas reconocer perfectamente si te están timando.

Otros artículos interesantes:

• Cuidado con la IA: así es la popular estafa que puede arruinarte las vacaciones
• La clave de una experta ciberseguridad para evitar estafas: "Si te llaman de estos números, no los cojas"

Máxime si tenemos en cuenta lo que se ha sabido en las últimas semanas, ya que se han descubierto varios conjuntos de datos en línea que contienen miles de millones de credenciales de cuentas expuestas. En total, 16.000 millones de claves de inicio de sesión.

Por si fuera poco por su magnitud, la situación se ha agravado al comprobar que estos nombres de inicio de sesión y claves de acceso pertenecían a plataformas populares desarrolladas por Google, Apple y Facebook, tal y como avanzaron hace unos días los investigadores de Cybernews.

La punta del iceberg

Los encargados de dar a conocer la situación han sido los investigadores Aras Nazarovas y Bob Diachenko, que han revelado la filtración de datos y han explicado cómo ha sido el procedimiento de identificación y clasificación de la filtración.

En primer lugar, han aclarado que esta enorme filtración de datos viene reunida en 30 bases de datos diferentes y que lo más probable es que hayan sido los infostealers los encargados de organizar semejante campaña. 

Estos, además, ahora tienen un acceso sin precedentes a credenciales personales que podrían utilizar para apropiarse de cuentas, robar identidad y realizar ataques de phishing dirigidos, entre otros.

Asimismo, los investigadores han aclarado que su descubrimiento se relaciona con la misteriosa base de datos con aproximadamente 184 millones de contraseñas sin ningún tipo de protección para servicios como Gmail, WordPress y Outlook descubierta hace solo unas semanas por Jeremiah Fowler.

"Parece mucho, pero apenas muestra la superficie de lo que descubrimos", han reconocido los investigadores de Cybernews esta vez, quienes han subrayado que lo que es aún más preocupante es que siguen apareciendo nuevas filtraciones masivas cada pocas semanas.

Una "ciberplaga"

Para uno de los miembros encargados de esta investigación, los infostealers se han convertido en la "plaga cibernética" actual. "En algún lugar, alguien está exfiltrando datos de sus ordenadores, en este preciso instante", ha subrayado Diachenko en declaraciones recogidas por CNBC. 

Estas impresiones también las ha suscrito Simon Green, el presidente del área de Asia-Pacífico y Japón en Palo Alto Networks, que considera que los 16.000 millones de credenciales expuestas es "alarmante", pero que no es sorprendente en vista de cómo está evolucionando el campo de la ciberdelincuencia.

"Muchos ladrones de información modernos están diseñados con técnicas de evasión avanzadas, lo que les permite eludir los controles de seguridad tradicionales basados en firmas, lo que dificulta su detección y detención", ha subrayado en esta entrevista.

Debido a que los ciberdelincuentes llevan la delantera, una vez más, se ha producido un repunte en los ataques de robo de información de alto perfil, tal y como demuestra una investigación reciente ejecutada por el equipo de Microsoft Threat Intelligence, que reveló una campaña que afectó a cerca de un millón de dispositivos en todo el mundo.

Ciberdelito como servicio

Y si hay algo claro que tienen los expertos de Palo Alto es que este incremento en escala y peligrosidad de estos ladrones de información se ha intensificado gracias a lo que se conoce como ciberdelito como servicio.

Se trata de una modalidad en la que los proveedores cobran a los clientes por acceder a herramientas maliciosas y datos confidenciales, así como otros servicios ilícitos online, algo que se ha democratizado y que se ha convertido "en el factor clave" para el progreso de los infostealers, según Green.

A esto hay que sumarle que en el mercado negro de la deepweb es muy fácil encontrar kits de malware y otros recursos no demasiado difíciles de utilizar, que pueden ayudar a los menos expertos a ejecutar ataques de robo de información.

Ante un panorama bastante desolador, solo queda esperar que, por un lado, las empresas de ciberseguridad sigan trabajando en soluciones destinadas a frenar esta plaga y, por otro, que sean los propios usuarios quienes se cubran las espaldas para evitar más catástrofes.

Otros artículos interesantes:

• Un ciberataque masivo tumba a X y Elon Musk echa la culpa a Ucrania
• Experto en energía descarta el ciberataque pero avisa: "Va a repetirse en los próximos meses"

Esta biblia de la ciberdelincuencia busca servir a investigadores y hackers éticos como base para determinar a qué actores de amenazas patrocinados por estados se enfrentan y cuáles son las acciones que éstos llevan a cabo para que, con un solo golpe de vista, sean capaces de ubicarlos, debido a que muchos de ellos tienen varios apodos no oficiales.

Así lo ha explicado Microsoft en una entrada en su blog, donde ha señalado que, con este glosario, busca "ayudar a los investigadores de seguridad, quienes ya se enfrentan a una cantidad abrumadora de datos de inteligencia de amenazas". 

Asimismo, su vicepresidente corporativo de Seguridad, Vasu Jakkal, cree que esta iniciativa acelerará su "respuesta y defensa colectiva contra estos actores de amenazas", según ha avanzado a Reuters. 

Varios nombres, un solo grupo de amenazas

En el ámbito de la ciberseguridad, es muy común que un grupo de ciberdelincuentes cambie de nombre según vayan evolucionando sus objetivos y sus técnicas de ataque. Esto es algo que demostró Secureworks, que ahora es propiedad de Sophos, en 2016. Fue entonces cuando comenzó a utilizar el nombre de Iron Twilight en lugar de TG-4217, que era como se denominaba antes a dicho grupo de hackers rusos. 

En la misma línea, también es muy habitual que un grupo de piratas informáticos sea referenciado de varias formas diferentes, con nombres que incluyen letras y números al azar, como APT1, advertido por Mandiant, o TA453, descubierto por Proofpoint. Pureba de ello también es el grupo norcoreano APT ScarCruft, conocido como APT37.

Otras firmas de ciberseguridad, como CrowdStrike, han optado por nombres más llamativos, como Kryptonite Panda, para un grupo de ciberdelincuentes chinos, o Cozy Bear, para otro de hackers rusos. En la misma línea creativa se han expuesto Earth Lamia, rastreado por TrendMicro, o Equation Group, ya investigado por Kaspersky.

Esto solo es una muestra de que cada empresa tecnológica llama a los grupos de cibercriminales siguiendo sus propios patrones, tal y como ha sugerido Microsoft, que ha recordado que emplea una taxonomía de nombres alineada con el clima para actores de amenazas.

Teniendo en cuenta que los clasifica en cinco grupos clave (actores de estados-nación, con motivación financiera, ofensivos del sector privado o PSOA, operaciones de influencia y grupos de desarrollo), para formular sus nombres, añade un fenómeno meteorológico como apellido para ubicar a cada uno de estos grupos.

De ese modo, para identifica como Tifón a cualquier campaña delictiva ejecutada por china, mientras que su segundo nombre, Tempestad, indica actores con motivaciones económicas. Con esta inventiva, ha pasado de rastrear acciones fraudulentas con nombres formales y temáticos como Rubidium a otros como Sangria Tempest y Lemon Sandstorm.

También hay reticencias

Si bien algunas de las empresas de ciberseguridad han aplaudido esta propuesta —Michael Sikorski, el director de tecnología de la unidad de inteligencia de amenazas de Palo Alto, ha opinado que esto supone un "cambio de paradigma"— otras se han mostrado menos optimistas.

Es el caso de SentinelOne, cuyo director ejecutivo de investigación de inteligencia y seguridad, Juan Andrés Guerrero-Saade, ha sugerido que las grandes empresas de ciberseguridad acaban acaparando todas las investigaciones. "Esto es polvo de hadas del marketing de marca esparcido sobre las realidades comerciales", ha señalado.

En cualquier caso, parece que el proyecto a por buen camino, ya que desde CrowdStrike han reconocido que esta medida ha ayudado a sus analistas a vincular dos grupos de ciberdelincuentes, como son Salt Thyphoon de Microsoft y Operador Panda de la propia CrowdStrike.

Otros artículos interesantes:

• Alerta hacker: el error común que los ciberdelincuentes aprovechan sin necesidad de tu contraseña
• Fallo global de Microsoft y CrowdStrike: "Basta un 'despiste' para que la hiperdependencia tecnológica lo magnifique a niveles como el vivido"

En un video de TikTok de la experta (@mariaperadorcriminologia), alerta a los usuarios sobre lo vulnerables que son sus cuentas digitales. Como explica ella, la mayoría de la gente ni siquiera sabe que su información ya forma parte de las bases de datos que circulan libremente en la dark web.

El gran problema no es solo que nuestras contraseñas sean débiles, sino que seguimos usándolas una y otra vez en diferentes plataformas. Perado explica que los ciberdelincuentes no necesitan romper la seguridad de los sistemas más avanzados, porque muchas veces, lo único que hacen es probar combinaciones filtradas en múltiples servicios hasta que una funciona. 

Tus datos personales ya están en manos de otros

Las filtraciones masivas ocurren todos los años, afectando a grandes empresas, servicios online e incluso administraciones públicas. Sitios como Have I Been Pwned permiten comprobar si tus datos han sido expuestos, y la mayoría de usuarios se sorprenden al descubrir que su información se filtró hace años, y sigue circulando. 

Una vez que tus credenciales están fuera, se venden o intercambian en foros ocultos, y pueden usarse para suplantaciones de identidad, fraudes o ataques dirigidos.

Además, no basta con cambiar la contraseña de vez en cuando. Si alguien accede a una de tus cuentas y activa la verificación en dos pasos, podrías quedarte sin acceso sin darte cuenta. Y si usas las mismas claves para todo, el daño se multiplica, ya que, lo que empezó como una intrusión en una red social puede derivar en pérdidas económicas importantes.

Según la experta, muchas personas siguen utilizando contraseñas como 123456, qwerty o elnombredeperro2020. Y lo más grave es que esas claves suelen ser las mismas que usaban hace años. Si esa contraseña fue filtrada en una brecha de datos en 2018 y todavía la estás usando, estás expuesto sin saberlo.

También es habitual que las personas creen contraseñas  "difíciles" que en realidad no lo son tanto, como combinaciones como María1992!, o Sevilla2024 se descifran fácilmente con herramientas automáticas que prueban variaciones con nombres, fechas y palabras comunes. Los ciberdelincuentes ni siquiera tienen que esforzarse demasiado, porque el propio software lo hace todo por ellos.

¿Qué puedes hacer para protegerte?

La buena noticia es que todavía puedes mejorar tu seguridad digital con unas cuantas prácticas sencillas. Para empezar, deja de usar la misma contraseña para todo. 

Utiliza claves diferentes para cada cuenta importante, especialmente para el correo, las redes sociales y los servicios bancarios. Si no puedes recordarlas todas, apóyate en un gestor de contraseñas confiable, que genere y almacene claves complejas por ti.

Otro consejo clave de los expertos es activar siempre la verificación en dos pasos (2FA), que añade una capa extra de seguridad. Incluso si alguien averigua tu contraseña, no podrá entrar en tu cuenta sin ese segundo factor, como un código que recibes en el móvil. Y, por supuesto, revisa si tus datos se han filtrado usando herramientas como Firefox Monitor o Have I Been Pwned.

Como dice María Perado en sus vídeos: "Si crees que nunca te han hackeado y que tu contraseña está segura, tienes un 60% de posibilidades de estar equivocado". Por eso, la mejor defensa es tomar medidas cuanto antes. 

Otros artículos interesantes:

• Si ves esto en tu móvil Android, el hackeo ya ha comenzado
• Apaga tu iPhone una vez a la semana y otros consejos de la NSA para evitar hackeos

La compañía detrás del sistema operativo más popular del mundo ha elaborado un mapa con las regiones más afectadas por Lumma Stealer, un programa malicioso que se ha propagado desde el pasado 16 de marzo.

Europa es el objetivo de Lumma Stealer

Microsoft ha colaborado con los servicios de inteligencia internacionales para desmantelar al grupo de ciberdelincuencia detrás de uno de los malwares más peligrosos de los últimos tiempos. Lumma Stealer se ha distribuido por todo el mundo entre el 16 de marzo y el 16 de mayo.

Europa ha sido el continente más afectado, especialmente la zona central con el norte de Francia y países como Alemania, Suiza, Polonia, Países Bajos o Austria, España no se libra. Lumma Stealer también ha infectado miles de dispositivos en la zona este de Estados Unidos, Latinoamérica y Asia con Corea del Sur y Japón en el punto de mira.

Microsoft ha alertado en un comunicado en su blog que los ciberdelincuentes utilizaban Lumma para acceder a los datos de los usuarios. Una vez los tenían en su posesión, pedían un rescate para devolverles sus contraseñas, claves del banco o carteras de criptomonedas.

Microsoft ha tomado acciones legales

No es la primera ocasión en la que los de Redmond sufren un ciberataque, pero este es uno de los más peligrosos debido a la cantidad de dispositivos infectados y la enorme área en la que trabajan los ciberdelincuentes.

El gigante tecnológico ha informado que el pasado 13 de mayo su unidad contra delitos digitales ha solicitado una orden judicial en un tribunal de Georgia (Estados Unidos) para desarticular la banda criminal.

Microsoft asegura que esto les permitió "incautarse y facilitar la caída, suspensión y bloqueo de unos 2.300 dominios" que formaban "la infraestructura de Lumma". Estados Unidos descubrió toda una red que se esconde detrás de este malware.

Los de Redmond han informado que el Departamento de Justicia de EEUU "incautó la estructura de comando central de Lumma e interrumpió los mercados donde se vendía la herramienta a otros ciberdelincuentes".

La operación ha contado con la colaboración de los servicios de inteligencia y ciberseguridad de la Unión Europea y Japón, que ayudaron a cerrar las infraestructuras locales que utilizaban los ciberdelincuentes para distribuir el malware.

"Trabajando con las autoridades y socios del sector, hemos cortado las comunicaciones entre la herramienta maliciosa y las víctimas", ha confirmado Microsoft asegurando que los ordenadores con Windows vuelven a estar seguros.

Otros artículos interesantes:

• Microsoft arregla por fin una de las debilidades de Windows 11: el calendario
• Microsoft da marcha atrás: los segundos regresan al reloj de Windows 10

La web de Marks & Spencer se ha caído durante casi un mes, la compañía ha paralizado la contratación de empleados y tienen problemas para suministrar productos frescos a los supermercados. El ciberataque ha ido más allá, los hackers han accedido a los datos personales de sus clientes, aunque las claves bancarias están protegidas.

50 millones de euros de pérdidas por semana

La situación es dramática para Marks & Spencer, que aún no se ha recuperado por completo de las consecuencias del ciberataque. El gigante de las ventas tiene una caída en bolsa del 14% desde el fatídico 22 de abril.

La compañía ha empezado a hacer un balance de los daños. Marks & Spencer apunta que podrían haber perdido cerca de 50 millones de euros a la semana, un total de 200 millones hasta el momento.

La empresa no ha revelado la identidad de los autores de los hechos, pero los expertos en ciberseguridad apuntan a un grupo de hackers de unos 20 años vinculados a la red Scattered Spider. Los estafadores han subcontratado un programa denominado DragonForce para acceder a las bases de datos de Marks & Spencer.

Los hackers usan la técnica "crimen organizado como negocio"

El incidente va más allá de un simple ciberataque, es un claro ejemplo de crime as a service, también conocido como "crimen organizado como negocio”. Esta es una de las estafas más peligrosas.

“Han conseguido introducir un programa en la empresa que ha encriptado sus datos y piden dinero para descifrarlo. Si la empresa paga contribuye a su negocio", señala Francesc Xavier Vendrell, analista senior de ciberseguridad de Parlem Tech. "Y además no tiene ninguna seguridad de que le den las claves, de que funcionen o de que no hayan vendido los datos de los clientes”, añade.

Los adolescentes que atacaron Marks & Spencer forman parte del grupo Scattered Spider, principalmente formado por jóvenes británicos y estadounidenses de entre 16 y 20 años que se coordinan en foros online. 

El primer ataque de Scattered Spider se produjo en 2022 y desde entonces han hackeado un centenar de compañías como operadores de telecomunicaciones, entidades financieras y empresas del sector del juego. Uno de los mayores golpes fue a Caesars y MGM Resorts, dos operadores de casinos de Las Vegas, que llegaron a pagar 15 millones de euros para poder volver a operar.

Un error humano fue el inicio del hackeo

Los hackers utilizan campañas de correos electrónicos o SMS falsos para engañar a las víctimas para que faciliten sus datos personales. Varios empleados de Marks & Spencer proporcionaron sus claves tras recibir una supuesta llamada del servicio técnico, el error costó millones de euros.

Pere Martínez asegura que el ciberataque podría haberse evitado con un sistema de doble identificación más efectivo como solicitar una prueba biométrica a los empleados, especialmente si se conectan en horas y ubicaciones que no son habituales.

“Parece que Marks & Spencer no tenía un plan de contingencia para hacer frente a un ataque o sistemas de recuperación rápida, como copias de seguridad inmutables. Una empresa no puede permitirse estar tantos días así”, según el experto en ciberseguridad para La Vanguardia.

Otros artículos interesantes:

• Cómo proteger tu móvil de los hackers: las reglas de oro que todo el mundo debería saber
• Ni Windows ni Mac OS, estos son los sistemas operativos que usan los hackers

Los hackers han realizado un ataque de lo que se conoce como ingeniería social, es decir, utilizan a personas para obtener acceso no autorizado a los datos en lugar de buscar fallos en el código de las plataformas. El mundo de las criptomonedas tiene un verdadero problema con este tipo de estafas.

Los hackers se hacen pasar por trabajadores de Coinbase

La plataforma de intercambio de criptomonedas fundada en junio de 2012 por Brian Armstrong y Fred Ehrsam está más que acostumbrada a los ciberataques, pero ninguno ha sido de la magnitud de este último. El hackeo ha afectado a usuarios de criptodivisas como Bitcoin, Bitcoin Cash, Ethereum, Litecoin, Dogecoin o Zcash.

Los empleados de Coinbase han tenido un papel fundamental en el hackeo. Los ciberdelincuentes han sobornado a trabajadores de atención al cliente para obtener acceso a los datos de los usuarios, desde información personal hasta claves bancarias, fecha de creación de las cuentas y su saldo. 

“Lo que hacían estos atacantes era encontrar empleados y contratistas de Coinbase con sede en India que estuvieran asociados con nuestras operaciones de subcontratación de procesos comerciales o de soporte, ese tipo de cosas, y sobornarlos para obtener datos de los clientes”, ha explicado el portavoz de la compañía. 

Coinbase comenzó a detectar una actividad sospechosa el pasado mes de enero. Los hackers suplantaban la identidad de los trabajadores de la plataforma para convencer a los clientes de que permitan el acceso a sus cuentas, incluso por otros usuarios. Bloomberg News ha revelado que han accedido a los datos de una persona de alto patrimonio, pero no revelan su identidad por razones de privacidad.

David Jeong, fundador de criptomonedas, asegura que ha recibido un mensaje de texto de un número desconocido el 3 de abril en el que se le solicitaban que verificara el inicio de sesión de su cuenta. Poco después recibió otro mensaje que le informaba que no había usado el código OTP de Coinbase en 2 años, todo era una estafa.

Un rescate de 20 millones para borrar los datos

Coinbase ha informado que ha recibido un correo electrónico anónimo de los hackers exigiendo el rescate el pasado 11 de mayo. La plataforma había detectado unos meses atrás que algunos trabajadores de atención al cliente fuera de Estados Unidos recopilaban datos de los sistemas internos, pero no imaginaban la magnitud del problema. 

La plataforma de criptomonedas se ha negado a pagar los 20 millones de dólares que exigen los hackers para borrar los datos que han recopilado durante meses. Coinbase ha ofrecido una recompensa de esa misma cantidad a las personas que revelen la identidad de los atacantes.

Este incidente llega en un momento crítico para Coinbase, que se incorpora al índice S&P 500 la próxima semana. Las acciones de la empresa se han desplomado un 7% y los fundadores estiman que el hackeo les podría costar hasta 400 millones de dólares.

Otros artículos interesantes:

• Ni Windows ni Mac OS, estos son los sistemas operativos que usan los hackers
• He activado el modo hacker de mi Amazon Fire TV y estoy alucinando