El descubrimiento ha sido realizado por los investigadores de Zimperium zLabs, que han analizado las capacidades de esta amenaza.. RatHat estaría llegando a los usuarios mediante campañas de publicidad maliciosa, SMS y páginas de phishing que ofrecen archivos APK fuera de Google Play.

Una vez instalado, el malware intenta conseguir permisos de accesibilidad de Android, que utiliza para realizar acciones con un nivel elevado de control sobre el dispositivo. Además, activa las opciones de desarrollador y la depuración inalámbrica para obtener acceso a una consola local con privilegios de ADB, sin necesidad de conectar físicamente el teléfono a un ordenador.

RatHat instala después un agente desarrollado en Go que puede ejecutar comandos con privilegios de shell de ADB. Este componente también incorpora mecanismos para evitar algunas restricciones de batería y mantener la presencia del malware en el dispositivo.

La amenaza también cuenta con otro agente encargado de establecer un túnel persistente con los atacantes. A esto se suma una larga lista de funciones destinadas a robar información: RatHat puede mostrar falsas interfaces sobre aplicaciones bancarias y de criptomonedas para capturar credenciales, interceptar SMS y notificaciones, incluidos códigos de un solo uso, y extraer las direcciones de las páginas web que visita la víctima.

El malware también puede registrar cambios de texto y obtener información sensible como el PIN de bloqueo, contraseñas y patrones de desbloqueo.

La parte más novedosa de RatHat está en su sistema de automatización. El malware convierte la estructura de accesibilidad que representa la interfaz de Android en datos XML y los envía a una herramienta de inteligencia artificial. A partir de esa información, el sistema puede identificar elementos concretos de la pantalla, averiguar qué texto muestran y devolver instrucciones para desplazarse por la interfaz.

Esto permite que los atacantes controlen el dispositivo de una forma más flexible que mediante scripts rígidos que solo pueden ejecutar una secuencia de acciones previamente definida.

Además, RatHat intenta dificultar su eliminación. Si la víctima trata de desinstalarlo, puede interceptar la pantalla de confirmación y cancelar el proceso, mostrando después una falsa interfaz de Google Play con un supuesto mensaje de error.

La amenaza ha sido bautizada como Mantax Otax y, según los investigadores de la compañía de seguridad móvil Zimperium, está siendo distribuida por operadores de Indonesia mediante archivos APK maliciosos. Los atacantes recurren a mensajes de phishing y técnicas de ingeniería social para intentar convencer a sus víctimas de que instalen estas aplicaciones fuera de Google Play.

Una vez instalado, el malware solicita acceso a los servicios de accesibilidad de Android. Con este permiso puede realizar numerosas acciones en el dispositivo y automatizar interacciones como si estuviera manejándolo el propio usuario.

Las capacidades de Mantax Otax van mucho más allá del ransomware. El malware puede obtener información como la ubicación del teléfono, el operador móvil, la versión de Android y el identificador del dispositivo, además de comunicarse con la infraestructura controlada por los atacantes.

Los investigadores también han descubierto funciones capaces de obtener el PIN de la pantalla de bloqueo, leer SMS y códigos de un solo uso, consultar registros de llamadas, contactos, historial de navegación, aplicaciones instaladas e información relacionada con la cuenta de Google.

La amenaza puede incluso acceder a perfiles y conversaciones de WhatsApp y Telegram utilizando las funciones de accesibilidad para simular interacciones dentro de las aplicaciones.

Además, Mantax Otax puede capturar la pantalla, grabar vídeos y transmitir lo que ocurre en ella prácticamente en tiempo real. También tiene capacidad para utilizar las cámaras del dispositivo y enviar fotografías a los atacantes.

La parte más llamativa del malware es su capacidad para cifrar archivos, aunque esta función afecta principalmente a dispositivos antiguos. Mantax Otax busca determinados archivos almacenados en el almacenamiento compartido y los cifra utilizando una clave AES específica para cada víctima.

Después elimina los originales y añade una extensión distinta a los archivos cifrados. También puede sustituir imágenes almacenadas en el dispositivo por mensajes de rescate y mostrar una pantalla de chat para negociar el pago.

Sin embargo, el componente de ransomware únicamente funciona contra dispositivos con Android 9 o versiones anteriores.

La combinación de espionaje, control remoto, robo de información y estas técnicas de intimidación convierte a Mantax Otax en una amenaza invasiva.

La buena noticia es que los dispositivos Android actualizados con Google Play Protect activo ya detectan y bloquean este malware.

Según Microsoft, ciertos grupos de ciberdelincuentes están utilizando este método para entrar en redes empresariales y robar grandes cantidades de información almacenada en la nube.

El ataque suele comenzar con una llamada telefónica o un mensaje en el que el delincuente se hace pasar por un técnico del departamento de informática de la empresa. Con la excusa de evitar que el trabajador pierda el acceso a sus servicios, le pide que modifique alguna configuración de seguridad y le proporciona un enlace.

El problema es que ese enlace conduce a una página falsa que imita el aspecto de Microsoft. Si el empleado introduce allí sus datos, los atacantes pueden hacerse con las credenciales o incluso con la sesión ya iniciada.

Otra variante es cuando el atacante proporciona un código y pide a la víctima que lo introduzca en la página oficial de Microsoft. Al aprobar la solicitud, el delincuente puede conseguir un permiso de acceso sin necesidad de superar de nuevo la autenticación multifactor.

Una vez dentro, los atacantes no se limitan necesariamente a una cuenta. Si la empresa utiliza Microsoft 365 como puerta de entrada a otros servicios, el acceso comprometido puede abrirles camino hacia plataformas como Salesforce, Slack, Dropbox o Google Workspace.

Además, los delincuentes pueden añadir sus propios números de teléfono o aplicaciones de autenticación a la cuenta. Así consiguen mantener el acceso incluso después de que termine el engaño inicial.

El objetivo final puede ser mucho más amplio. Microsoft ha detectado robos masivos de archivos almacenados en SharePoint y OneDrive, además de accesos a correos electrónicos de Exchange Online. Para evitar levantar sospechas, los atacantes pueden repartir el robo durante horas o incluso varios días, en lugar de descargarlo todo de golpe.

Microsoft recomienda vigilar los inicios de sesión sospechosos seguidos de cambios en los métodos de autenticación. También aconseja utilizar sistemas de MFA resistentes al phishing, limitar el acceso a dispositivos gestionados y desactivar la autenticación mediante códigos de dispositivo cuando no sea necesaria.

La vulnerabilidad ha sido publicada por un investigador anónimo conocido como Nightmare Eclipse, que ha compartido una prueba de concepto poco después de la llegada del último paquete de actualizaciones de Windows. Según el investigador, el problema está relacionado directamente con otro fallo de Defender que Microsoft había solucionado recientemente.

La compañía había corregido ShieldBreak, una vulnerabilidad identificada como CVE-2026-69414 que podía utilizarse para conseguir privilegios elevados. Sin embargo, Nightmare Eclipse asegura que el parche no habría cerrado completamente todas las posibilidades de explotación.

El nuevo método permitiría provocar un acceso arbitrario a archivos utilizando los privilegios de SYSTEM, el nivel de permisos más elevado disponible en Windows. La prueba publicada afecta a sistemas completamente actualizados con Windows 10, Windows 11 y Windows Server compatibles.

Hay una diferencia importante respecto a un ataque que proporcione control total del ordenador. El código publicado actualmente no permite escribir en el sistema comprometido, sino que demuestra que es posible leer archivos arbitrarios con privilegios de SYSTEM. Aun así, el hallazgo resulta relevante porque demuestra que las modificaciones realizadas para solucionar ShieldBreak podrían no haber sido suficientes.

El investigador explica que Microsoft solucionó varios elementos para impedir que el fallo anterior pudiera volver a utilizarse, pero habría dejado una vía alternativa que permite reproducir el problema bajo determinadas condiciones.

Por ahora, Microsoft no ha dado una respuesta pública específica sobre ShieldCrash cuando se publicó el hallazgo. Esto significa que los usuarios afectados tendrán que esperar para saber si la compañía considera necesario lanzar una nueva corrección.

La campaña ha sido descubierta por los investigadores de seguridad de ThreatFabric y ha tenido un impacto especialmente importante en España. Entre el 11 de junio y el 3 de julio de 2026, uno de los anuncios maliciosos difundidos a través de Meta habría alcanzado aproximadamente 570.000 usuarios.

Todo comienza con un anuncio que presenta un supuesto servicio de televisión en streaming gratuito. El usuario que pulsa sobre él termina en una página web preparada específicamente para continuar con el engaño.

La página comprueba qué dispositivo está utilizando la víctima. Si no es Android, muestra un error, mientras que los usuarios de teléfonos Android reciben instrucciones para descargar una aplicación en formato APK.

El proceso está diseñado para parecer legítimo y cambia incluso dependiendo de si la víctima llega desde Facebook, Instagram, TikTok o directamente desde un navegador.

El objetivo es convencer al usuario de que permita la instalación de aplicaciones procedentes de fuentes desconocidas y, posteriormente, conceda a la aplicación acceso a los Servicios de Accesibilidad de Android. Y ahí es donde la situación empieza a complicarse.

La aplicación descargada funciona inicialmente como un instalador que se encarga de introducir el malware definitivo en el teléfono. Incluso puede pedir al usuario que la establezca como lanzador predeterminado del dispositivo, de manera que el botón de inicio termine mostrando su propia interfaz.

Una vez instalado StreamRat y obtenidos los permisos necesarios, el malware establece comunicación con sus servidores y comienza a recopilar información del teléfono.

Entre sus capacidades se encuentra la posibilidad de supervisar lo que aparece en pantalla y capturar información introducida por el usuario. Además, incluye diferentes mecanismos para que los atacantes puedan controlar remotamente el dispositivo.

Uno de ellos utiliza VNC junto con la función de proyección de pantalla de Android. Pero existe otro método todavía más discreto que utiliza los Servicios de Accesibilidad para realizar capturas sin mostrar el indicador habitual asociado a la grabación o transmisión de pantalla.

Según ThreatFabric, este sistema puede llegar a realizar una captura aproximadamente cada 200 milisegundos, proporcionando al atacante una visión prácticamente en tiempo real del teléfono.

El malware también puede reconstruir el contenido de la pantalla utilizando los elementos de accesibilidad de Android en lugar de enviar una imagen completa.

StreamRat no se limita a espiar el teléfono. El troyano puede mostrar interfaces falsas por encima de aplicaciones legítimas, algo especialmente peligroso cuando la víctima abre una aplicación bancaria.

De esta forma, los atacantes pueden intentar engañarla para que introduzca sus credenciales en una pantalla controlada por el malware.

Además, puede bloquear prácticamente toda la pantalla con una superposición negra, mostrando incluso falsas pantallas de actualización de Android para mantener al usuario distraído mientras el atacante opera en segundo plano.

El problema está identificado como CVE-2026-85046 y afecta al motor V8 de Chrome, encargado de ejecutar JavaScript y WebAssembly. Google lo ha clasificado como una vulnerabilidad de alta gravedad y ha confirmado que existe un exploit circulando actualmente.

La vulnerabilidad es de tipo type confusion, un problema que puede provocar que el software interprete de forma incorrecta determinados objetos en memoria. En determinadas circunstancias, un atacante podría aprovechar este comportamiento para provocar una corrupción de memoria.

Aunque Google no ha publicado detalles técnicos sobre cómo se están llevando a cabo los ataques, el funcionamiento del fallo resulta relevante porque V8 procesa código JavaScript procedente de las páginas web que visitamos.

Esto significa que, al menos en teoría, una página especialmente diseñada podría utilizar el fallo para ejecutar código malicioso dentro del proceso de Chrome. El aislamiento del navegador proporciona una capa de protección adicional, pero una vulnerabilidad de este tipo sigue representando un riesgo importante, especialmente cuando ya está siendo explotada.

La compañía ha decidido mantener bajo reserva buena parte de la información técnica para evitar facilitar el trabajo a los atacantes mientras los usuarios terminan de recibir el parche.

La actualización no se limita a esta vulnerabilidad. Google también ha solucionado otros fallos de seguridad de alta gravedad relacionados con componentes como WebGL, DevTools, Skia, CacheStorage, Network y el propio V8.

La vulnerabilidad CVE-2026-85046 es, además, el sexto fallo de día cero de Chrome explotado activamente que Google ha corregido durante 2026. La frecuencia de estos incidentes demuestra la importancia de mantener el navegador actualizado incluso cuando aparentemente funciona con normalidad.

Para comprobar si la actualización ya está disponible, basta con abrir Chrome y entrar en Configuración e Información de Chrome. El navegador comprobará automáticamente si existe una nueva versión y comenzará a descargarla cuando corresponda.

La versión que Google está distribuyendo es la 152.0.7977.82/.83 para Windows y macOS, mientras que Linux recibe la 152.0.7977.82.

Una vez instalada, será necesario reiniciar Chrome para que las correcciones de seguridad queden activas.

Los usuarios de navegadores basados en Chromium, como Microsoft Edge, Brave, Opera o Vivaldi, también deberían estar atentos a sus respectivas actualizaciones, ya que las correcciones pueden llegar con algunos días de diferencia.

El problema no requiere conocimientos técnicos ni un complicado ataque informático. Basta con tener acceso físico al teléfono y recibir una videollamada de WhatsApp para, siguiendo varios pasos dentro de la propia aplicación, llegar hasta la galería de imágenes sin introducir el código de desbloqueo.

La vulnerabilidad ya ha sido comunicada a Meta y Google, aunque por el momento no todos los dispositivos Android parecen estar afectados. De hecho, las pruebas realizadas en diferentes móviles muestran que el comportamiento depende en buena medida del software utilizado por cada fabricante.

El fallo aprovecha algunas de las funciones que WhatsApp permite utilizar mientras el teléfono permanece bloqueado. Cuando llega una videollamada, el usuario puede responderla directamente sin introducir el PIN o utilizar la huella dactilar.

Una vez contestada, hay que acceder al icono de efectos que aparece durante la llamada. Desde ahí se puede cambiar a la sección de fondos y seleccionar "Crear con Meta AI". Esta opción ofrece, entre otras posibilidades, editar una fotografía.

Es precisamente aquí donde aparece el problema. Al pulsar "Editar foto", WhatsApp puede abrir la galería completa del teléfono pese a que el dispositivo continúa bloqueado.

Los investigadores de Notebookcheck consiguieron reproducir el fallo en un Google Pixel 6 Pro con Android 17 y el último parche de seguridad disponible. En sus pruebas pudieron navegar por las fotografías almacenadas sin que el sistema solicitara ninguna autenticación.

Esto significa que el riesgo no consiste en que alguien pueda acceder a tus fotos remotamente a través de Internet. Para aprovecharlo, primero tendría que tener tu teléfono físicamente en sus manos.

Uno de los aspectos más importantes del descubrimiento es que el fallo no funciona de la misma manera en todos los dispositivos.

Las pruebas realizadas con un Samsung Galaxy S25 Ultra equipado con One UI 8.5 no permitieron saltarse la protección. Al intentar utilizar Meta AI para editar una imagen, el teléfono devolvió al usuario a la pantalla de bloqueo y solicitó el código o una identificación biométrica.

En cambio, el mismo procedimiento sí funcionó en un OPPO K13 con ColorOS 16. El hecho de que ambos teléfonos utilicen Android 16 pero tengan comportamientos diferentes apunta a que el problema está relacionado con la forma en que cada fabricante gestiona determinados permisos y funciones sobre la pantalla bloqueada.

Los usuarios de iPhone no tienen que preocuparse por este fallo concreto. En iOS, WhatsApp utiliza CallKit, el sistema de Apple para gestionar las llamadas, por lo que las videollamadas entrantes muestran la interfaz nativa de iOS en lugar de permitir que WhatsApp mantenga el mismo acceso a sus herramientas mientras el teléfono está bloqueado.

Por ahora, la recomendación pasa por mantener WhatsApp y el sistema operativo actualizados y evitar dejar el teléfono al alcance de otras personas.

Investigadores de seguridad de Socket han descubierto una campaña maliciosa que afectó a 19 extensiones de Chrome y Edge. En total, decenas de miles de usuarios pudieron quedar expuestos, especialmente aquellos que utilizaban servicios y monederos relacionados con criptomonedas.

La estrategia utilizada por los atacantes hacía que las extensiones resultaran difíciles de detectar. Según los investigadores, 14 de los complementos fueron desarrollados directamente por los ciberdelincuentes, mientras que otros cinco fueron adquiridos a desarrolladores y empresas legítimas.

En un primer momento, estos programas cumplían las funciones que prometían. El problema llegó después, cuando recibieron actualizaciones que incorporaban código diseñado para recopilar información y comprometer los dispositivos.

Una de las extensiones más afectadas fue Enable Right Click & Copy - Smart Unlock + OCR. Llegó a acumular alrededor de 70.000 instalaciones en Chrome y otras 10.000 en Edge, por lo que unos 80.000 usuarios estuvieron potencialmente expuestos.

Los atacantes tenían especial interés en monederos de criptomonedas y otros datos relacionados con estos activos, aunque la campaña también podía recopilar otra información del usuario.

Los investigadores creen que algunas de las técnicas utilizadas en esta campaña ya estaban presentes desde febrero de 2024. Los atacantes podían introducir las cargas maliciosas después de haber conseguido una base considerable de usuarios y controlar posteriormente la campaña mediante una infraestructura de comando y control.

Google y Microsoft terminaron retirando las extensiones afectadas de sus respectivas tiendas. Sin embargo, eso no significa necesariamente que todos los usuarios estén protegidos automáticamente.

Si alguna de estas extensiones sigue instalada en un ordenador, eliminarla manualmente es una de las medidas más importantes. También conviene revisar las extensiones instaladas en Chrome o Edge y desconfiar especialmente de aquellas que no se recuerde haber instalado.

El caso demuestra además que tener una extensión disponible en la tienda oficial no garantiza que vaya a mantenerse segura para siempre. Una extensión legítima puede cambiar de propietario o recibir posteriormente una actualización que modifique por completo su comportamiento.

La tecnología se denomina Device-Bound Session Credentials y vincula una sesión autenticada al dispositivo desde el que el usuario inició sesión. De esta forma, aunque un atacante consiga copiar una cookie, no debería poder utilizarla fácilmente desde otro ordenador.

El problema que intenta solucionar es bastante habitual. Cuando un usuario inicia sesión en una página web, el servicio guarda normalmente una cookie en el navegador para mantener la sesión abierta. Si un malware consigue robar esa cookie, el atacante puede intentar cargarla en otro navegador y acceder a la cuenta sin introducir la contraseña ni superar nuevamente la autenticación de dos factores.

Chrome añade ahora una segunda prueba. Durante el establecimiento de la sesión, el navegador genera una clave criptográfica privada y la almacena en el hardware protegido del dispositivo. En Windows utiliza el Trusted Platform Module (TPM), mientras que en los dispositivos de Apple recurre al Secure Enclave.

La clave privada nunca queda expuesta directamente al navegador o al sistema operativo. La página web compatible conserva la clave pública correspondiente y puede pedir a Chrome que demuestre que todavía tiene acceso a la clave privada.

Cuando es necesario mantener o renovar la sesión, el navegador debe firmar una prueba criptográfica. Una cookie copiada por un atacante ya no sería suficiente para superar esa comprobación.

El investigador de seguridad Scott Helme explicó a Ars Technica que el TPM o el Secure Enclave mantienen la clave privada dentro del dispositivo, por lo que un atacante puede llegar a robar la cookie, pero no puede completar el desafío criptográfico sin tener acceso a la clave protegida.

La función está pensada para combatir los ataques de robo de sesiones. Los infostealers pueden extraer cookies almacenadas en navegadores comprometidos, mientras que determinadas técnicas de phishing también pueden permitir a los atacantes interceptar sesiones autenticadas.

Google combina las claves vinculadas al dispositivo con cookies de corta duración, mientras Chrome gestiona automáticamente la renovación de las sesiones en segundo plano.

Por ahora, la función tiene una disponibilidad limitada. Está presente en Chrome 147 para Windows y Chrome 150 para macOS, aunque solo para una parte de los usuarios.

Los usuarios pueden comprobar si tienen activada la protección desde las herramientas de desarrollador de Chrome.

La campaña ha sido investigada por la firma de ciberseguridad Group-IB y utiliza SpyNote, un troyano de acceso remoto, junto con WindRelay, un malware especializado en ataques mediante NFC. La combinación permite a los ciberdelincuentes controlar el dispositivo y, al mismo tiempo, interceptar las comunicaciones de una tarjeta bancaria sin contacto.

El ataque comienza con una llamada telefónica. El delincuente se hace pasar por un empleado del banco y avisa a la víctima de un supuesto problema con su tarjeta. Para solucionarlo, le pide instalar una aplicación que en realidad contiene SpyNote.

La aplicación puede incluso mostrar el nombre de la víctima para parecer más legítima. Una vez instalada, el usuario debe conceder permisos de accesibilidad, lo que permite al atacante obtener un amplio control remoto sobre el dispositivo.

A partir de ese momento, el ciberdelincuente puede instalar WindRelay sin que la víctima tenga que realizar más acciones. En el caso analizado por Group-IB, los atacantes utilizaron la aplicación bancaria instalada en el teléfono para solicitar un préstamo a nombre de la víctima.

Pero el ataque no termina ahí. Los delincuentes también pidieron a la víctima que acercara su tarjeta bancaria al teléfono e introdujera el PIN. WindRelay convierte el móvil en una especie de lector de tarjetas fraudulento y retransmite en tiempo real la comunicación NFC entre la tarjeta y el dispositivo del atacante.

De esta forma, los delincuentes pueden utilizar los datos obtenidos para realizar compras en terminales de pago reales. Según Group-IB, todo el proceso se completó durante una llamada telefónica de apenas 13 minutos, y las operaciones fueron autorizadas utilizando el PIN que la propia víctima había proporcionado.

SpyNote lleva circulando desde hace años y es capaz de robar credenciales bancarias, cuentas de Google y Facebook, mensajes SMS y códigos de autenticación. También puede acceder al micrófono y la cámara, obtener la ubicación del dispositivo e interceptar las pulsaciones del teclado.

Han encontrado casi una veintena de muestras de WindRelay enviadas a VirusTotal entre noviembre de 2025 y julio de 2026. Los investigadores creen que los ataques identificados están especialmente dirigidos a usuarios de República Checa, Eslovaquia y Eslovenia.

Este tipo de malware NFC se ha convertido en una amenaza cada vez más habitual. Otras familias como NFCShare, NGate, SuperCard X y RelayNFC también han utilizado técnicas similares para interceptar las comunicaciones de tarjetas contactless.

La principal recomendación para los usuarios de Android es no instalar APK procedentes de fuentes desconocidas, especialmente cuando alguien se hace pasar por un banco y exige actuar con urgencia. Si recibes una llamada de tu entidad bancaria, lo más seguro es colgar y contactar directamente con el banco utilizando el número oficial que aparece en su web o en la propia tarjeta.

Valve solo comprarte con CEVA Logitics los datos necesarios para poder entregarte el paquete: nombre, dirección, país, número de móvil, y correo electrónico. Pero que no cunda el pánico (del todo): no han robado tu contraseña de Steam ni nada que permita acceder a tu cuenta. Los juegos están a salvo.

El hackeo de la empresa de transporte que usa Valve se produjo entre el 29 de julio y el 1 de agosto. CEVA solo guarda los datos de los clientes tres meses, así que el robo de datos afecta a quienes hayan comprado hardware en la tienda Steam en Europa entre el 29 de abril y el 1 de agosto.

Por desgracia las fechas de este hackeo han coincidido con el estreno de la Steam Machine, así que miles de europeos han hecho pedidos en estos tres meses, también en España.

Si eres uno de los afectados, deberías recibir un email de Valve explicando lo que ha pasado. Es un hackeo importante, porque tienen tus datos personales, que los ciberdelincuentes pueden usar para registrarse en webs o servicios en tu nombre, o falsificar documentos.

Valve también avisa de que es posible que intenten algún tipo de estafa en nombre de CEVA, Steam o Valve, personalizándola con tus datos. Saben que estás esperando un paquete de Steam, así que puede que te contacten para intentar cobrarte algún pago de aduana, cargo extra, o que entres en una falsa web de Steam a iniciar sesión, para quedarse con tus claves. No hay que hacer caso.

Esto es lo que dice el email de Valve: “Ten cuidado con los mensajes falsos. Es posible que recibas por correo electrónico, SMS o por teléfono un mensaje que afirme proceder de Steam, Valve o una empresa de mensajería. Es posible que te repitan tu dirección para demostrar que son auténticos. Pueden pedirte que confirmes una entrega, que pagues una pequeña tasa de aduana o de reenvío, o que inicies sesión en algún sitio para ‘verificar’ tu pedido. Considéralos todos falsos”.

Así que debes estar atento a posibles mensajes sospechosos, no solo de Steam, también de tu banco, un comercio, etc. Al tener tus datos personales pueden hacerse pasar por cualquier empresa para obtener claves, tu tarjeta de crédito, etc.

El consuelo es que no han robado ni el nombre de la cuenta de Steam ni su contraseña, así que toda tu colección de juegos está a salvo. No necesitas cambiar la clave de Steam, aunque nunca viene mal hacerlo de vez en cuando.

El fallo ha sido corregido en macOS Sonoma 14.8.9, macOS Sequoia 15.7.9 y macOS Tahoe 26.6.1. Apple incluye en las notas de las tres actualizaciones la misma descripción y las clasifica como correcciones de seguridad importantes, por lo que recomienda instalarlas a todos los usuarios.

El problema se encontraba concretamente en el sistema de autenticación de Compartir pantalla. Según Apple, un atacante conectado a la misma red podía llegar a autenticarse en este servicio sin proporcionar unas credenciales válidas. La compañía explica que solucionó el problema mediante una mejora en la gestión del estado durante el proceso de autenticación.

Aunque Apple no ha indicado que esta vulnerabilidad esté siendo explotada activamente, sus posibles consecuencias hacen que la actualización sea especialmente recomendable. Si un atacante consiguiera aprovechar el fallo, podría obtener acceso remoto al ordenador a través de Compartir pantalla y, potencialmente, visualizar lo que aparece en el escritorio, abrir aplicaciones, acceder a archivos o realizar otras acciones en el sistema.

La situación resulta relevante para quienes utilizan esta función habitualmente, aunque incluso quienes nunca recurren a Compartir pantalla deberían instalar las nuevas versiones. Apple ha decidido corregir el problema en tres generaciones diferentes de macOS, una señal de que considera suficientemente importante mantener protegidos también los equipos que todavía utilizan versiones anteriores del sistema.

Para comprobar si tu Mac está actualizado, puedes entrar en Ajustes del Sistema, luego a General y a Actualización de software. Si aparece cualquiera de las nuevas versiones disponibles para tu equipo, es recomendable instalarla cuanto antes.

También conviene revisar qué aplicaciones y servicios tienen acceso remoto al Mac. Si utilizas Compartir pantalla, asegúrate de hacerlo únicamente con personas o dispositivos de confianza y evita mantener abiertas ventanas con información sensible durante una sesión remota.

Como medida adicional, puedes comprobar al terminar una sesión que Compartir pantalla quede desactivado si no necesitas mantenerlo funcionando. Mantener activadas las actualizaciones automáticas también puede ayudarte a recibir rápidamente futuras correcciones de seguridad.

Un grupo de investigadores de seguridad de Unit 42, perteneciente a Palo Alto Networks, ha descubierto tres técnicas que permiten a un malware robar las passkeys almacenadas en Google Chrome. En el peor de los casos, un atacante podría hacerse con el control de todas las cuentas protegidas mediante este sistema de autenticación.

La buena noticia es que estos ataques no pueden realizarse de forma remota sin más. Todos requieren que el ordenador de la víctima ya esté infectado con un malware, por lo que el ciberdelincuente necesita haber comprometido previamente el equipo.

Según explica el informe, el administrador de passkeys de Chrome mantiene en la memoria del navegador cierta información sin cifrar durante momentos concretos del proceso de autenticación. Aprovechando ese comportamiento, un malware puede leer esos datos y engañar al sistema de autenticación en la nube de Google.

La primera técnica, bautizada como Pass-ta-key, permite a un atacante con acceso remoto al ordenador leer la información sincronizada de las passkeys almacenadas en el disco o en la memoria de Chrome. Después, puede imitar el proceso de descifrado utilizado por Google para acceder a una cuenta protegida.

Los investigadores también describen un segundo método aún más peligroso. Consiste en eliminar un archivo específico de Chrome para forzar que el navegador vuelva a registrar el dispositivo con el servicio de Google. Durante ese proceso, el atacante puede generar una nueva clave y obtener acceso permanente a todas las cuentas protegidas con passkeys, incluso desde otro ordenador.

El tercer escenario es el más grave. Si el malware consigue interceptar una clave maestra durante el breve instante en el que aparece en texto plano en la memoria de Chrome, el atacante podría tomar el control completo de la bóveda de passkeys del usuario.

Los investigadores destacan que ninguno de estos métodos necesita elevar privilegios del sistema ni activa mecanismos adicionales de autenticación multifactor, lo que aumenta su peligrosidad una vez que el equipo ha sido infectado.

Unit 42 ya ha comunicado sus hallazgos a Google y recomienda reforzar la seguridad durante el registro inicial de las passkeys, limitar el acceso a los archivos locales donde se almacenan y vigilar comportamientos inusuales relacionados con su uso.

Miles de usuarios de las billeteras por hardware de Coldcard se las han encontrado vacías, pese a que no estaban conectadas a Internet, ni nadie ha tocado el dispositivo. El pasado 30 de julio los hackers robaron 1.082 Bitcoins en solo 41 minutos a 1.196 monederos fríos, valorados en unos 60 millones de euros. Ya van por los 80 millones a 4.585 direcciones de Bitcoin, porque siguen aplicando su truco mágico a usuarios que no conocen el hackeo.

La culpa es de un firmware de las billeteras frías Coldcard, con un fallo descomunal que llevaba activo desde 2021.

Así se pueden robar monederos fríos

Para entender lo que ha pasado, hay que conocer los conceptos básicos de las criptomonedas, que emplean términos cotidianos para explicar lo que son complejas operaciones criptográficas.

Los Bitcoins son cadenas de datos que cumples ciertas condiciones, para identificarlos como Bitcoin. Se guardan en monederos, también llamados billeteras, carteras o, técnicamente, direcciones de Bitcoin.

Estos monederos tienen una clave pública y una privada. La pública es como tu número del cuenta del banco, la puedes compartir con cualquiera para que te ingresen Bitcoins, porque solo con la clave pública no se puede robar. Para eso se necesita la clave privada, como el PIN o la clave de tu cuenta. Existe también lo que se llama una frase semilla o semilla de recuperación: una secuencia de 12 o 24 palabras que permite adivinar la clave pública y privada, por si las pierdes. Las tres se generan al mismo tiempo, porque están relacionadas.

Los monederos pueden ser calientes o fríos. Calientes son los que almacenan las claves en Internet, normalmente en plataformas de criptos especializadas, o en un documento encriptado en Google Drive, u otro servicio de almacenamiento. Aunque estén en un sitio seguro, siempre puede ser hackeado, con lo que te robarían las claves.

Por eso mucha gente usa los monederos en frío: dispositivos del tamaño de una cartera, con un teclado para guardar las claves de tu dirección de Bitcoins. No están conectados a Internet, así que un hacker remoto no puede acceder. Y aunque roben el dispositivo, tiene sus propias claves de acceso.

Conociendo la teoría, este robo de billeteras frías parece imposible. ¿Cómo las han vaciado en remoto, sin Internet, y sin tocarlas? Han aprovechado un incomprensible fallo del firmware relacionado con las frases semilla que generaba.

La clave está en la semilla de recuperación

Estas semillas deben crearse de forma que nadie pueda reproducir cómo se crearon. Por ese se usan chips especializados en generar números aleatorios impredecibles, que vienen con los propios monederos de hardware.

Un fallo en el firmware de las carteras frías Coldcard hizo que las semillas no se generaran usando el chip, sino un software que creaba números pseudoaleatorios. Para un humano no hay diferencia, pero bajo ciertas condiciones, un criptógrafo puede predecir los números que ese software genera.

Estudiando estos dispositivos, los hackers pudieron adivinar números de serie de estos monederos, y cómo se comporta su reloj interno. Así pudieron predecir qué semillas generaría el monedero frío, y con ello sus direcciones de Bitcoin y sus claves privadas asociadas. Como eran números semialeatorios muchas semillas eran erróneas, pero solo tuvieron que probar una a una, para ver cuáles eran válidas.

Gracias a que “clonaron” la semilla, pudieron conseguir las claves de casi 5.000 billeteras frías, sin tener que acceder a ellas. Así llevan robados 80 millones de euros, y aún siguen, porque muchos usuarios no se han enterado, y no han movido sus Bitcoins a otra dirección.

Un nuevo mito de las criptos ha caído: los monederos fríos no son inviolables. Ni siquiera hace falta tocarlos para vaciarlos. Muchos dueños de criptomonedas no van a dormir tranquilos esta noche...

La vulnerabilidad, identificada como CVE-2026-14266, afecta al tratamiento de datos comprimidos en formato XZ. Según los investigadores que analizaron el problema, un archivo preparado de forma maliciosa puede provocar un desbordamiento de memoria durante el proceso de descompresión, abriendo la puerta a que se ejecute software malicioso en el equipo de la víctima.

Lo preocupante es que el ataque no requiere acciones especialmente complejas. En determinados escenarios, bastaría con descargar o abrir un archivo manipulado para que el código malicioso se ejecute con los mismos permisos que tiene el usuario que ha iniciado sesión en el sistema.

La vulnerabilidad fue comunicada a los desarrolladores de 7-Zip a principios de junio. La respuesta del equipo fue relativamente rápida y ya existe una versión corregida que soluciona el problema.

Sin embargo, hay un detalle importante que muchos usuarios desconocen: 7-Zip no dispone de un sistema de actualizaciones automáticas. A diferencia de navegadores, antivirus o muchas aplicaciones modernas, el programa no descarga ni instala nuevas versiones por sí solo.

Esto significa que quienes sigan utilizando una versión vulnerable deberán actualizar manualmente el software para quedar protegidos. De lo contrario, continuarán expuestos a posibles ataques incluso aunque el parche ya esté disponible.

Los expertos recomiendan comprobar la versión instalada de 7-Zip y descargar la actualización más reciente desde la página oficial del proyecto. También aconsejan evitar abrir archivos comprimidos procedentes de fuentes desconocidas o sospechosas, ya que este tipo de vulnerabilidades suele aprovecharse mediante archivos aparentemente inofensivos enviados por correo electrónico, descargas fraudulentas o enlaces maliciosos.

La campaña, detectada por la empresa de ciberseguridad ReliaQuest, lleva activa al menos desde junio y ya ha afectado a organizaciones de múltiples sectores, como servicios financieros, sanidad, energía, comercio minorista, asesorías y despachos legales.

Aunque todavía no se ha determinado cómo obtienen el acceso inicial a los dispositivos WiFi, los expertos creen que los atacantes aprovechan interfaces de administración mal protegidas o vulnerabilidades sin corregir. Una vez consiguen permisos de administrador, alteran la configuración DNS del punto de acceso.

Este cambio permite que cualquier usuario que intente acceder a los servicios legítimos de Microsoft 365 sea redirigido automáticamente a una copia falsa de la página de inicio de sesión. Allí introduce su correo y contraseña creyendo que se encuentra en el sitio oficial, cuando en realidad está entregando sus credenciales a los ciberdelincuentes.

ReliaQuest también detectó varios dominios utilizados para alojar estos portales fraudulentos, todos ellos diseñados para parecer servicios oficiales de Microsoft.

En algunos casos, los investigadores observaron una técnica todavía más sofisticada basada en el sistema de autenticación mediante código de dispositivo. En este escenario, la víctima recibe una solicitud aparentemente legítima para aprobar el acceso a su cuenta.

Sin embargo, al aceptar la petición, no está iniciando sesión ella misma, sino autorizando una sesión que previamente ha iniciado el atacante. De esta forma, el delincuente obtiene un token OAuth válido y puede acceder a la cuenta sin necesidad de robar el código de verificación de la autenticación multifactor (MFA), sorteando así una de las principales barreras de seguridad.

Además, aproximadamente un tercio de los incidentes analizados incluyeron intentos de explotar el protocolo WPAD de Windows para redirigir el tráfico de aplicaciones mediante un servidor proxy malicioso.

Los expertos recomiendan utilizar siempre una VPN cuando se conecte un equipo corporativo a redes públicas, además de emplear DNS cifrado en modo estricto para dificultar este tipo de manipulaciones

Se trata de uno de los problemas de seguridad más serios detectados recientemente en la plataforma de videoconferencias, especialmente porque no requiere acceso físico al equipo ni interacción directa con la víctima para ser explotado.

La vulnerabilidad ha sido registrada como CVE-2026-53412 y cuenta con una puntuación de 9,8 sobre 10 en la escala CVSS, utilizada habitualmente para medir la gravedad de los fallos de seguridad.

Según la información facilitada por Zoom, el problema está relacionado con una validación incorrecta de datos introducidos en la aplicación. En términos sencillos, el software podría procesar información maliciosa sin verificar adecuadamente si cumple los requisitos esperados.

Este tipo de errores puede abrir la puerta a diferentes ataques, desde la evasión de mecanismos de autenticación hasta la obtención de privilegios no autorizados o el acceso a cuentas legítimas.

Lo más preocupante en este caso es que el fallo podía ser aprovechado de forma remota por un atacante sin necesidad de iniciar sesión previamente ni disponer de acceso al ordenador afectado.

La vulnerabilidad afecta a varias versiones de Zoom para Windows, incluyendo ediciones de Zoom Workplace, clientes VDI y componentes de desarrollo utilizados por algunas organizaciones.

Aunque la compañía no ha revelado detalles técnicos específicos sobre el método de explotación, sí ha confirmado que todas las versiones corregidas ya incorporan las medidas necesarias para bloquear el ataque.

Por este motivo, la recomendación es clara: actualizar inmediatamente a la versión más reciente disponible.

La actualización es especialmente importante para empresas y organizaciones que utilizan Zoom como herramienta habitual de comunicación. En estos entornos, un posible acceso no autorizado a cuentas corporativas podría exponer información sensible, reuniones internas o datos confidenciales.

Los administradores de sistemas también deberían revisar sus procesos de despliegue para asegurarse de que las versiones antiguas no vuelvan a instalarse automáticamente en futuras actualizaciones o reinstalaciones de software.

Aunque no se han reportado ataques masivos aprovechando esta vulnerabilidad, los expertos en seguridad suelen recomendar aplicar este tipo de correcciones tan pronto como están disponibles.

Cada servidor funciona de forma totalmente diferente, ya que depende directamente de las normativas y la legislación de cada región, lo que han aprovechado numerosos grupos de hackers, sobre todos los patrocinados por los Estados.

Dentro de este contexto mundial, aunque no hay un estándar unificado que muestre directamente todas las amenazas en tiempo real, sí existen compañías de seguridad que ofrecen una visión bastante cercana a la realidad.

Quizá la herramienta más detallada y cuidada es el mapa interactivo de Kaspersky, ya que ofrece un globo sobre el que se puede interactuar, además de la explicación de la amenaza concreta y las fuentes de información.

Aunque esta es la más popular, ha habido otras que se han centrado en sus propias bases de datos, para complementar la información sobre amenazas de la que se dispone, un aspecto que no para de crecer en los últimos años, también a causa de la inteligencia artificial.

Si quieres revisar el estado actual de la ciebrseguridad en todo el mundo, con los sectores más afectados, URLs relacionadas con phishing o servidores extraños, estas son las mejores herramientas gratuitas que he probado.

El mapa de ciberamenazas de Kaspersky

Es uno de los más populares del mundo de la ciberseguridad, ya que ofrece un globo terráqueo por el que deslizarse para poder observar de forma muy accesible todo lo que está sucediendo a nivel mundial en torno al tráfico malicioso.

Hay que tener en cuenta que utiliza los datos propios de Kaspersky, por lo que es una visión completamente global, pero sí muy característica de lo que está ocurriendo en el planeta en torno a los servidores.

Con esta herramienta de Kaspersky puedes categorizar los resultados según diferentes tipologías, para desglosar los diferentes tipos de ataques, como detecciones de malware al ejecutar un archivo u otros dirigidos a neutralizar la seguridad de páginas web, entre muchos otros.

Ahora bien, como ocurre con muchísimos grupos de cibercriminales, no exponen directamente su dirección IP, sino la del servidor; esto dificulta una posible investigación, además de su localización y categorización exacta en este tipo de herramientas.

Si necesitas ver una captura de pantalla del momento actual de la ciberseguridad en el mundo, el mapa interactivo de Kaspersky es lo mejor que puedes encontrar de forma totalmente gratuita, pudiendo revisar las amenazas más importantes de cada país.

FortiGuard Labs

Aunque tiene una interfaz menos accesible, lo cierto es que FortiGuard Labs es una de las mejores alternativas si quieres algo parecido a un canal de 24 horas de ataques dirigidos desde un país a otro.

Su análisis se basa mayormente en los dispositivos de Fortinet, una de las compañías de ciberseguridad más importantes a nivel mundial y, dentro de ella, encontrarás una lista que se actualiza en directo con ataques en tiempo real.

Es muy complicado seleccionar un ataque en concreto, ya que no paran de aparecer cada segundo, pero en la sección de la izquierda se pueden identificar hacia dónde se dirigen los principales ciberataques.

En este caso, con 5 millones de exploits observados en el entorno de Apache, también seguido de otras categorías como el kernel de Linux.

Hay que agradecer que también se incluya una sección para mirar fácilmente qué sectores son los principales objetivos de los ciberdelincuentes, además del país de origen y destino –supuestamente– de dichos ataques.

AbuselPDB, la opción para identificar direcciones IP abusivas

Esta herramienta web es prácticamente un guarda de seguridad que avisa de ladrones en un vecindario, gracias a ser de código abierto, con la intención de colaborar para frenar los pies a direcciones IP maliciosas.

Dentro de AbuselPDB, se puede encontrar directamente un buscador para identificar cualquier dirección IP de la que sospechemos, también pudiendo automatizar su detección, una funcionalidad de seguridad básica para los desarrolladores.

A pesar de que no ofrece un mapa interactivo como las anteriores, sirve para identificar direcciones IP que la comunidad ya ha identificado, y con ello evitar servidores de dudosa procedencia.

Quizá lo más interesante de esta herramienta es que puedes localizar el dominio asociado a una IP, además del país, la ciudad, el nombre del host y el proveedor de servicios de Internet, algo esencial para una investigación más en profundidad.

OpenPhish, una máquina para conocer URLs de phishing

En último lugar, hay que guardar un lugar especial para OpenPhish, que se centra concretamente en elaborar un mapa en tiempo real de enlaces relacionados con phishing, los elaborados para suplantar la identidad de entidades legítimas.

En su interfaz web, podrás revisar cuáles son los sectores más afectados, generalmente las telecomunicaciones, además de poder observar qué servicio concreto está siendo más suplantado.

Una lista que encabezan aplicaciones tan típicas y populares como Amazon, Office365, Netflix, Outlook o Instagram, a pesar de que está encabezada por la banca electrónica, además de sitios de apuestas y criptomonedas.

En su caso concreto, utiliza algoritmos de análisis de datos y aprendizaje automático para identificar millones de páginas sospechosas cada día, para saber qué URLs pueden ser fraudulentas y las direcciones IP asociadas a estas.

Aunque cada una de estas herramientas ofrece algo diferente, en conjunto son una buena brújula para saber qué esta ocurriendo en todo el mundo, donde se libra una guerra silenciosa relegada al plano cibernético.

Según investigadores de la firma de seguridad Zscaler, los atacantes combinan ingeniería social y abuso de funciones legítimas del navegador para comprometer a sus víctimas. El acceso inicial se consigue suplantando a personal de soporte técnico en Microsoft Teams, donde los empleados son dirigidos a una falsa página que simula una consola de actualizaciones de Outlook o un filtro de spam corporativo.

En esa página fraudulenta, los botones de descarga activan distintos mecanismos de infección que preparan el sistema para ejecutar la carga maliciosa. Entre las acciones más críticas se encuentra la manipulación de archivos ZIP con cabeceras alteradas para evitar su detección por herramientas de seguridad.

El paquete descargado incluye una versión embebida de Python y dos componentes principales: una extensión de Edge camuflada como agente de monitorización y un ejecutor a nivel de sistema. La extensión funciona dentro del navegador, conectándose a un servidor de comando y control, mientras que el segundo componente actúa como puente hacia el sistema operativo.

El elemento clave del ataque es el abuso del protocolo Native Messaging de Chrome, que permite la comunicación entre extensiones y aplicaciones locales. Aunque esta función está diseñada para casos legítimos, como gestores de contraseñas, en este escenario se convierte en el canal que rompe el aislamiento del navegador.

A través de este mecanismo, la extensión puede ordenar al backdoor ejecutar comandos, scripts de PowerShell, código Python o tareas de reconocimiento del sistema.

Zscaler advierte de que esta técnica refleja un aumento en la sofisticación de los grupos vinculados al ransomware, que ahora combinan múltiples capas de ejecución para mantener persistencia en sistemas comprometidos.

Bitdefender, líder global en ciberseguridad, ha publicado una investigación que revela la creciente ola de fraudes relacionados con el fútbol. Entradas falsas, sorteos fraudulentos, productos falsificados y servicios ilegales de IPTV son algunas de las jugadas más peligrosas.

Además, los expertos en seguridad advierten de la aparición de sitios web falsos que suplantan a la FIFA para engañar a los aficionados y obtener información personal y financiera. Según el organismo, los atacantes están creando réplicas muy convincentes que imitan la identidad visual, los logotipos y los servicios oficiales de la organización para recopilar información confidencial.

La pasión juega a la contra: las estafas más comunes

Las estafas se aprovechan de comportamientos predecibles de los aficionados como la búsqueda de entradas con descuentos para los partidos, productos de merchandising, participación en sorteos, búsqueda de servicios gratuitos o no autorizados para ver los partidos y promociones en redes sociales.

España figura entre los países más afectados por estas campañas, junto con Reino Unido, Portugal, Argelia, Estados Unidos, Canadá, México, Bélgica, Alemania, Brasil y Australia. En total, se han detectado más de 55 campañas fraudulentas, especialmente en plataformas de Meta como Facebook. Aunque el Mundial de 2026 es su principal reclamo, también apuntan a páginas relacionadas con clubes, coleccionistas y plataformas de retransmisión online.

Algunas de estas campañas no solo buscan el pago. El verdadero objetivo es recopilar datos personales, documentos de identidad o información bancaria. Para ello, su modus operandi incluye el uso de múltiples dominios, herramientas publicitarias legítimas para mantener activas las estafas, e incluso inteligencia artificial para aumentar su credibilidad, con imágenes falsas o manipuladas.

Un clásico: las entradas falsas

A medida que se acercan los grandes eventos deportivos, los atacantes utilizan la táctica de la urgencia y el compromiso emocional de los aficionados para persuadirles y que actúen antes de verificar la legitimidad de una oferta.

Uno de los fraudes más habituales en grandes eventos es la venta de entradas falsas. Los estafadores crean páginas web que imitan a vendedores oficiales o revendedores legítimos, ofreciendo supuestas entradas a precios de oro. Una vez realizado el pago, o nunca llega la entrada o recibe un código inválido.

Desde Bitdefender recomiendan prestar atención a algunas señales de alarma:

• Precios demasiado bajos o gangas difíciles de creer.
• Mensajes de urgencia como "quedan pocos entradas".
• Sitios webs con URLs sospechosas o recién creadas.

Esto también incluye las estafas en viajes y alojamiento. Con millones de personas desplazándose, también proliferan las webs falsas de reservas de hoteles o paquetes de viaje. Funcionan publicando alojamientos inexistentes o duplicados, piden pagos por adelantado fuera de plataformas seguras y desaparecen inmediatamente tras recibir el dinero.

Sorteos, promociones y productos de nuestro equipo

Los delincuentes también se aprovechan de la pasión que despiertan clubes y selecciones mediante sorteos falsos, promociones exclusivas de merchandising y supuestos servicios de streaming. Estas campañas juegan con la fidelidad de los aficionados para recopilar datos personales o financieros.

Por eso, Bitdefender advierte que se debe tener cuidado con los formularios que solicitan datos sensibles, enlaces acortados o no verificables y los perfiles que se hacen pasar por marcas oficiales. Los ciberdelincuentes adaptan sus campañas de phishing al contexto del Mundial con correos o mensajes aparentan ser de FIFA, patrocinadores o plataformas de venta para solicitar acciones urgentes. Cuando un usuario cae en la trampa, puede terminar cediendo sus credenciales, información sensible o descargando malware sin darse cuenta.

Cómo detectar y prevenir una estafa

Ante este escenario, contar con herramientas de verificación es clave. Bitdefender ofrece soluciones que permiten analizar mensajes, enlaces o interacciones en cuestión de segundos. Una es Bitdefender Scamio, un asistente basado en inteligencia artificial que analiza conversaciones sospechosas y detecta posibles fraudes en tiempo real. También Bitdefender Link Checker, un verificador que permite comprobar si una URL es segura antes de hacer clic.

Estas herramientas son especialmente útiles cuando recibes un enlace o mensaje que te genera dudas, algo cada vez más habitual en campañas vinculadas a eventos masivos. Pero, además de usar estas herramientas específicas, conviene seguir algunas buenas prácticas y consejos básicos como:

• Comprar entradas únicamente en canales oficiales.
• Evitar hacer clic en enlaces de mensajes no solicitados como de correo electrónico, redes sociales o aplicaciones de mensajería.
• Desconfiar de ofertas demasiado atractivas. Si una oferta parece inusualmente generosa o requiere una acción inmediata, trátala con precaución.
• Verificar la URL antes de introducir datos personales. Los atacantes suelen utilizar cambios ortográficos sutiles o extensiones de dominio alternativas que se asemejan a los sitios web legítimos de la FIFA.
• No compartir información sensible por mensaje o correo.
• Activar medidas de seguridad adicionales, como autenticación en dos pasos.

La emoción del fútbol no debería verse empañada por fraudes digitales. Por eso, informarse, mantenerse alerta y apoyarse en herramientas de seguridad son las mejores precauciones para disfrutar de nuestra selección con total tranquilidad.

Una buena defensa siempre marca la diferencia, y por eso, Bitdefender ofrece protección avanzada frente a amenazas online, incluyendo detección de phishing, protección de identidad y herramientas inteligentes para evitar fraudes antes de que ocurran.

Una de las preocupaciones más realistas en ciberseguridad sobre estos modelos es lo que se conoce como inyección de prompts, un tipo de ataque que aprovecha las instrucciones que se ofrecen al propio modelo.

GPT, Gemini y todos estos funcionan mediante este tipo de instrucciones, aunque pueden llegar a ofrecer fallos en caso de que se manipulen para esquivar su entrenamiento; por ejemplo, el típico caso de que no ofrezcan código malicioso.

Uno de los últimos estudios más importantes en este ámbito es el de Cloudforce One, el equipo de inteligencia y amenazas de Cloudflare, que ha puesto a prueba a 7 modelos de IA para comprobar la gravedad de este tipo de ataques.

Tras comprobar en la primera fase del experimento que los modelos eran susceptibles de caer en trampas inyectadas en sus instrucciones, fueron un paso más allá y pusieron señuelos dentro de las indicaciones de modelos fronterizos –los más potentes– y no fronterizos –los más ligeros o en formato "mini"–.

Y el resultado fue devastador: los modelos no son capaces de reconocer las instrucciones maliciosas si estas representan un porcentaje casi nulo, por lo que los ataques a estos son cada vez más sutiles y representan un riesgo real al ser difíciles de identificar.

La inyección indirecta de prompts, un ataque sutil, pero peligroso

Para entender la magnitud real de este nuevo riesgo para la seguridad, hay que comprender que los modelos funcionan de forma probabilística, y que se rigen por instrucciones que limitan –o no– su capacidad.

A día de hoy, ya existen chatbots de IA que son capaces de saltarse todas sus limitaciones mediante lo que se conoce como inyección directa de prompts, el típico mensaje de "olvida tus instrucciones y...".

Pero la inyección indirecta de prompts es algo diferente, y mucho más peligrosa, ya que no reside en engañar directamente a la IA, sino en envenenar las fuentes de las que se alimenta esta para responder, mediante instrucciones que representan menos del 1% de un archivo.

"Mientras que la inyección directa de prompts se produce cuando un usuario ordena explícitamente un LLM a través de una interfaz de chat (por ejemplo, un usuario que le dice a un chatbot que 'ignore todas las instrucciones anteriores'), la indirecta ocurre cuando un atacante coloca instrucciones maliciosas o engañosas dentro de los datos, como el contenido web, los correos electrónicos o el código fuente, que luego es ingerido y procesado por un agente de IA", explican los investigadores de Cloudflare.

Según Cloudforce One, cuando los comentarios maliciosos bajan de ese porcentaje, la capacidad de la IA para detectar este tipo de engaños cae de una tasa de percepción del 67,3% al 53,3%, siendo los modelos no fronterizos los más afectados.

Esto se debe a lo que se conoce como saturación del modelo: por ejemplo, si alguien le dijera al modelo 100 veces que su código es seguro, la IA notaría que algo no va bien; en cambio, si se camufla como algún tipo de excepción, la tasa de percepción del modelo cae.

Básicamente, esto cambia por completo el paradigma de los ciberataques más complejos, ya que esta modalidad no se centra en el uso de la fuerza bruta –muchas repeticiones de algo–, sino en la sutileza y en saber aprovechar las trampas del lenguaje natural para los modelos.

En la práctica, los atacantes pueden utilizar una técnica de seguridad avanzada, como es la ofuscación de código; es decir, la ocultación u obcecación del código para evitar a usuarios con malas intenciones.

Con la inyección indirecta de prompts, los atacantes consiguen en tal caso ofuscar sus indicaciones mediante la saturación o agotamiento de los grandes modelos.

"Los adversarios ya no necesitan convencer a la IA de que su código es seguro; solo necesitan hacer que la señal maliciosa sea demasiado pequeña para que la IA la encuentre", advierten desde Cloudflare.

Los ataques reales han aumentado en los últimos meses

Aunque la de Cloudflare es una prueba de concepto para demostrar que este tipo de ataques son especialmente sensibles en todos los modelos, el equipo de análisis de amenazas de Google ha descubierto que estos se han incrementado en los últimos 4 meses.

Según el informe oficial de la compañía, los incidentes relacionados con la inyección indirecta de prompts han aumentado hasta un 32%, por lo que puede considerarse ya como una modalidad de ataque a tener en cuenta para el robo de datos.

Y para este tipo de técnicas maliciosas no hace falta vulnerar la seguridad de base de un modelo, sino solo ofrecer contenidos camuflados entre guías de ayuda, contenidos optimizados (SEO) y enlaces disponibles que pueden llevar a la exfiltración.

Y Google no es la única compañía preocupada, ya que OWASP sitúa en primer lugar la inyección de prompts como la vulnerabilidad más preocupante para los LLM, al mismo nivel de lo que sería la inyección SQL.

Aunque muchos apuntan a que la revisión humana se refuerce para evitar este tipo de vulnerabilidades, lo cierto es que las técnicas han avanzado tanto que incluso se pueden encontrar prompts en tamaño de fuente cero.

En tal caso, un ser humano que revise el código no se dará cuenta de lo que se está ocultando, pero para el modelo será como leer cualquier otra instrucción.

Definitivamente, la IA ha cambiado por completo la forma de ocultarse de los ciberdelincuentes, que ahora también pueden pasar desapercibidos dentro del propio modelo de lenguaje natural.

La vulnerabilidad, bautizada como usbliter8, ha sido descubierta por el equipo de investigación Paradigm Shift y afecta a una parte fundamental del hardware conocida como BootROM. Este componente participa en el arranque inicial del dispositivo y está grabado físicamente en el chip, por lo que cualquier error presente en él permanece para siempre.

Según los investigadores, el exploit aprovecha una combinación de un fallo de hardware en el controlador USB y una configuración específica del firmware. Mediante el envío de datos especialmente diseñados a través de una conexión USB, un atacante podría alterar el proceso de inicio del dispositivo y ejecutar código propio antes de que iOS llegue a cargarse.

Los modelos afectados incluyen los iPhone XR, iPhone XS, iPhone XS Max, iPhone 11, iPhone 11 Pro, iPhone 11 Pro Max y el iPhone SE de segunda generación. También se han identificado otros dispositivos de Apple con los mismos procesadores, como determinados iPad, Apple Watch e incluso el HomePod mini.

A diferencia de muchas vulnerabilidades descubiertas en los últimos años, esta no puede solucionarse con una actualización de iOS. Al encontrarse en una parte física del chip, Apple no tiene forma de modificarla mediante software. Los investigadores aseguran que la medida más eficaz para eliminar completamente el riesgo pasa por utilizar hardware más moderno que no incorpore estos procesadores.

No obstante, el problema tiene importantes limitaciones. Para explotar la vulnerabilidad es necesario disponer de acceso físico al dispositivo y colocarlo en modo DFU, un modo especial utilizado para restauraciones y tareas avanzadas de mantenimiento. Además, el fallo no compromete directamente el Secure Enclave, el sistema encargado de proteger datos sensibles como contraseñas, claves de cifrado y otra información privada del usuario.

Aun así, los expertos advierten de que esta puerta de entrada podría facilitar ataques más complejos en determinadas circunstancias. Por ese motivo han decidido publicar los detalles técnicos del descubrimiento con el objetivo de que la comunidad de seguridad pueda estudiar mejor sus implicaciones.

Según los investigadores de Zimperium, Rokarolla se distribuye a través de páginas web fraudulentas que se hacen pasar por sitios legítimos de descarga de aplicaciones populares como Google Chrome o TikTok. Los usuarios que caen en la trampa descargan una aplicación maliciosa que aparenta ser segura, pero que en realidad instala el malware en segundo plano.

Durante el proceso de instalación, la amenaza suplanta la identidad de Google Play Protect, el sistema de protección integrado de Android. De esta forma, intenta generar confianza y convencer a la víctima para que conceda permisos sensibles al programa.

Una vez ejecutado, Rokarolla solicita acceso a funciones críticas del sistema, incluyendo los servicios de accesibilidad, las notificaciones, los mensajes SMS y las llamadas telefónicas. Con estos permisos, los atacantes pueden obtener una gran cantidad de información del dispositivo y controlar múltiples funciones de forma remota.

El malware recopila inicialmente datos técnicos del terminal, como el modelo del teléfono, la versión de Android, el idioma configurado, la capacidad de almacenamiento y la memoria disponible. Posteriormente, compara las aplicaciones instaladas con una lista de 217 objetivos potenciales relacionados con entidades financieras y plataformas de criptomonedas.

Cuando detecta una aplicación compatible, Rokarolla muestra pantallas falsas de inicio de sesión que imitan a las originales. El objetivo es que la víctima introduzca sus credenciales, números de tarjeta u otros datos sensibles sin sospechar que están siendo enviados directamente a los ciberdelincuentes.

Sin embargo, sus capacidades van mucho más allá. El troyano puede registrar todas las pulsaciones del teclado, robar mensajes SMS, acceder a la lista de contactos, recopilar información de WhatsApp, capturar capturas de pantalla e incluso manipular el contenido copiado en el portapapeles.

Además, utiliza técnicas avanzadas para ocultar su actividad. Entre ellas se encuentran la ocultación del icono de la aplicación, la desactivación de alertas sonoras, el bloqueo de llamadas entrantes y la superposición de ventanas falsas para impedir que el usuario detecte comportamientos sospechosos.

Los investigadores no han encontrado Rokarolla en Google Play, por lo que recomiendan descargar aplicaciones únicamente desde fuentes oficiales y desconfiar de cualquier APK obtenida desde páginas externas.

La vulnerabilidad, identificada como CVE-2025-48595, afecta al componente Android Framework y podría permitir a un atacante local ejecutar código y escalar privilegios en dispositivos con Android 14 o versiones posteriores. Según ha confirmado la compañía, existen indicios de que este fallo está siendo utilizado en campañas de explotación limitadas y altamente focalizadas.

Aunque Google no ha revelado detalles técnicos sobre cómo se están llevando a cabo los ataques ni quiénes podrían estar detrás, este tipo de vulnerabilidades suelen ser aprovechadas en operaciones de spyware comercial o incluso en campañas atribuidas a actores estatales. En estos casos, los objetivos suelen ser perfiles de alto valor o interés específico, lo que reduce el alcance masivo de los ataques pero aumenta su nivel de sofisticación.

Además del zero-day principal, la actualización corrige 18 vulnerabilidades críticas distribuidas entre distintos componentes del sistema, incluyendo System, Framework y módulos de terceros como los de Qualcomm. Algunas de estas fallas podrían permitir desde denegaciones de servicio hasta escaladas de privilegios sin necesidad de interacción por parte del usuario.

Google ha publicado dos niveles de parche distintos en este mes, correspondientes a 2026-06-01 y 2026-06-05. El segundo incluye todas las correcciones del primero, además de ajustes adicionales en componentes de código cerrado que pueden variar según el fabricante del dispositivo.

Como es habitual, los dispositivos Pixel recibirán la actualización de forma inmediata, mientras que otros fabricantes de Android necesitarán más tiempo para adaptar los parches a sus modelos y configuraciones específicas, lo que puede retrasar la protección para millones de usuarios.

La compañía también ha recordado que el riesgo de explotación disminuye en versiones más recientes de Android, gracias a mejoras en la seguridad del sistema, por lo que recomienda actualizar siempre a la última versión disponible.

Según el informe de la empresa de seguridad Push Security, los atacantes están utilizando dominios reales asociados a ChatGPT para generar confianza. A simple vista, estos enlaces parecen inofensivos, ya que utilizan la estructura oficial de ChatGPT, lo que reduce la probabilidad de que sistemas de seguridad o filtros web los detecten como peligrosos.

La campaña comienza con anuncios patrocinados en Google que se hacen pasar por descargas oficiales de ChatGPT o versiones de escritorio del servicio. Al hacer clic, el usuario es redirigido a una página que simula un entorno legítimo dentro de un enlace de compartición del chatbot.

En estas páginas falsas se muestra un mensaje diseñado para generar urgencia, como supuestos problemas de mantenimiento o alta carga del sistema. El objetivo es convencer a la víctima de descargar una supuesta aplicación de escritorio que en realidad contiene malware.

Si el usuario continúa con la descarga, lo dirige a dominios externos que imitan la apariencia de software oficial de OpenAI. Desde allí se distribuyen cargas maliciosas tanto para Windows como para macOS, incluyendo herramientas de robo de información conocidas como infostealers.

En algunos casos, el malware es capaz de detectar si está siendo ejecutado en un entorno de análisis o máquina virtual, ocultando su comportamiento para evitar ser descubierto por investigadores de seguridad.

Los expertos señalan que este tipo de ataques forman parte de una tendencia más amplia en la que los ciberdelincuentes utilizan inteligencia artificial para mejorar sus campañas. Esto incluye la creación de mensajes de phishing más realistas, código ofuscado y páginas web diseñadas automáticamente para parecer legítimas.

A medida que estas herramientas de IA se vuelven más accesibles, los expertos advierten que los usuarios deben extremar la precaución al descargar software o hacer clic en enlaces, incluso si parecen provenir de fuentes confiables.

Según la información técnica facilitada, una de las vulnerabilidades, identificada como CVE-2026-41091, afecta al Microsoft Malware Protection Engine en versiones 1.1.26030.3008 y anteriores. Este componente es el encargado de las funciones de análisis, detección y eliminación de amenazas dentro de Microsoft Defender.

La segunda vulnerabilidad, CVE-2026-45498, afecta a la plataforma antimalware de Microsoft Defender en versiones 4.18.26030.3011 y anteriores. Este fallo impacta también en soluciones empresariales.

Microsoft ha lanzado nuevas versiones del motor de protección que corrigen ambas vulnerabilidades. La compañía asegura que, en la mayoría de los casos, los sistemas deberían actualizarse automáticamente mediante la configuración por defecto de Windows Defender. Sin embargo, recomienda a los usuarios verificar manualmente que las actualizaciones de definiciones y del motor antimalware están activas y funcionando correctamente.

Además, la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) ha incluido estos fallos en su catálogo de vulnerabilidades explotadas activamente. El organismo ha ordenado a las agencias federales aplicar parches o mitigaciones antes del 3 de junio, advirtiendo de que este tipo de fallos representan una vía de entrada frecuente para actores maliciosos.

En paralelo, Microsoft ha compartido recomendaciones de verificación para los administradores, incluyendo la comprobación de versiones del cliente antimalware y la actualización manual desde el panel de Seguridad de Windows si fuera necesario.

Algunos de los problemas de seguridad de Windows 11 provienen de los ficheros heredados que contiene, para asegurar la compatibilidad con el hardware y software de hace décadas. Es algo de lo que no se puede culpar a Microsoft: muchas empresas siguen usando aplicaciones de hace décadas. Y resulta importante que instales un viejo juego o programa del siglo pasado, y siga funcionando en Windows 11.

Pero a veces hay debate sobre si un fichero heredado causa más problemas de los que soluciona. Parece que es el caso de MSHTA, según BitDefender.

MSHTA, un coladero de malware

Microsoft HTML Application Host o Host de aplicaciones HTML de Microsoft, abreviado a MSHTA, es un fichero ejecutable (mshta.exe) incluido en Windows 11, que tiene más de 30 años. Era una de las herramientas asociadas al navegador Internet Explorer.

El mítico navegador de Microsoft, que fue el más usado del mundo hasta que llegó Chrome, ya ha desaparecido de Windows, pero no así MSHTA.

Se trata de un software que ejecuta aplicaciones HTML con extensión .hta. Estas aplicaciones son una mezcla de HTML y lenguajes de script como VBScript o JScript. En el pasado se usaba para ejecutar apps de escritorio que empleaban el motor de Internet Explorer.

Microsoft ha detectado que hay gente que aún usa estas aplicaciones, por eso lo mantiene. El problema, según BitDefender, es que los ciberdelincuentes están usando MSHTA para introducir malware en el PC como LummaStealer, Amatera, ClipBanker, PurpleFox y CountLoader.

Lo que hacen es ejecutar scripts HTA a través de MSHTA para introducir malware directamente en memoria, sin necesidad de usar ficheros infectados, sorteando así los antivirus. Como MSHTA es una aplicación legítima de Windows, no levanta sospechas por sí misma.

BitDefender ha rastreado el uso de MSHTA en campañas masivas de distribución de malware y en amenazas más sofisticadas orientadas al sigilo, la persistencia y el control prolongado de sistemas comprometidos.

Hay poco que se pueda hacer, porque si borras mshta.exe, al ser un archivo del sistema, Windows volverá a instalarlo. Puedes bloquearlo aplicando políticas de grupo, para que no se ejecute. Pero lo más seguro sigue siendo lo de siempre, hace un examen rápido de tu sistema con el antivirus de vez en cuando.

Los sistemas heredados de Windows son necesarios, pero pueden ser usados para instalar malware, como ocurre con MSHTA. Por eso hay que estar siempre alerta frente a comportamientos extraños de tu ordenador. Tienes más información técnica sobre esta investigación en la web de BitDefender.

Según investigación de ReliaQuest, los atacantes están aprovechando la confianza que los empleados depositan en herramientas internas como Teams para ejecutar técnicas de ingeniería social muy efectivas. En algunos casos, las redes pueden quedar comprometidas en menos de cinco minutos.

El ataque comienza con un mensaje enviado a través de Microsoft Teams desde cuentas externas que aparentan ser personal de soporte técnico o del departamento de TI. Los ciberdelincuentes intentan generar urgencia y confianza para convencer a la víctima de ejecutar un comando de PowerShell aparentemente legítimo.

Ese comando descarga posteriormente un archivo comprimido desde servicios como Dropbox, que contiene un entorno portátil de WinPython. A partir de ahí, se despliega el malware ModeloRAT, capaz de obtener control remoto del sistema, capturar pantallas, recopilar información del usuario y robar archivos sensibles.

Uno de los aspectos más peligrosos de esta campaña es la credibilidad del canal utilizado. Al tratarse de Microsoft Teams, una herramienta ampliamente utilizada en entornos corporativos, los mensajes maliciosos parecen más fiables, lo que facilita que los usuarios caigan en la trampa.

Los investigadores señalan además que los atacantes rotan entre múltiples entornos de Microsoft 365 para evitar ser bloqueados, y utilizan técnicas avanzadas como espacios Unicode ocultos para simular identidades internas de soporte técnico.

La versión más reciente de ModeloRAT incluye mecanismos de persistencia mejorados, con servidores de control redundantes, rutas aleatorias y sistemas de autoactualización. También puede mantenerse activo mediante tareas programadas, claves de registro y accesos automáticos al inicio del sistema, lo que dificulta su eliminación completa.

Microsoft ya ha trabajado en mejorar las protecciones contra phishing en Teams, pero este tipo de ataques demuestra que la plataforma sigue siendo un objetivo atractivo para los ciberdelincuentes debido a su uso masivo en empresas.

El hallazgo, atribuido a los expertos de Cisco Talos, revela que este ataque lleva activo al menos desde enero de 2026. El objetivo principal de los ciberdelincuentes es robar credenciales y códigos OTP (contraseñas de un solo uso), utilizados habitualmente en sistemas de verificación en dos pasos.

La clave del ataque está en un plugin malicioso llamado Pheno, integrado en el conocido troyano de acceso remoto CloudZ. Este componente es capaz de detectar si el usuario tiene activa la conexión de Enlace móvil entre su ordenador y su smartphone. A partir de ahí, accede a una base de datos local del sistema donde se almacenan mensajes y notificaciones sincronizadas.

Esto significa que los atacantes pueden leer SMS y códigos de autenticación directamente desde el PC, sin comprometer el dispositivo móvil. En otras palabras, el usuario puede tener su teléfono seguro, pero aun así ver comprometidos sus datos si su ordenador está infectado.

Además de esta función, CloudZ incluye capacidades avanzadas típicas de este tipo de malware. Puede gestionar archivos, ejecutar comandos remotos, grabar la pantalla e incluso instalar o eliminar módulos adicionales según las necesidades del atacante. También emplea técnicas para camuflar su tráfico como si fuera navegación web legítima, dificultando su detección.

El proceso de infección comienza, según los investigadores, mediante una falsa actualización de software que engaña al usuario. Tras su ejecución, se instala una cadena de cargas maliciosas que acaba desplegando el RAT en el sistema y garantizando su persistencia mediante tareas programadas. Además, incorpora mecanismos para evitar ser detectado en entornos de análisis o máquinas virtuales.

Los expertos recomiendan extremar las precauciones. Entre las medidas más importantes destacan evitar el uso de SMS como método de verificación cuando sea posible y optar por aplicaciones de autenticación más seguras.

Hugging Face es una plataforma donde desarrolladores e investigadores comparten herramientas de inteligencia artificial y modelos ya entrenados. Precisamente por eso, también se ha convertido en un objetivo para ataques en los que se suplantan proyectos legítimos con otros falsos.

Según investigadores de la empresa de ciberseguridad HiddenLayer, el repositorio fue detectado el 7 de mayo. Usaba un nombre muy parecido al original de OpenAI y copiaba casi todo el contenido descriptivo del proyecto real para parecer auténtico y engañar a los usuarios.

El archivo más peligroso del proyecto era uno que aparentaba ser parte de una herramienta de inteligencia artificial, pero en realidad ejecutaba acciones ocultas en el sistema. Entre ellas, descargaba instrucciones desde internet y las ejecutaba en segundo plano sin que el usuario lo viera.

Esas instrucciones terminaban instalando un programa malicioso más avanzado, capaz de desactivar protecciones del sistema y robar información del ordenador.

El malware estaba diseñado para recopilar datos sensibles como contraseñas guardadas en el navegador, cookies, sesiones abiertas, credenciales de Discord, carteras de criptomonedas, claves de acceso a servicios como SSH o VPN, y otros archivos personales. Incluso podía hacer capturas de pantalla del equipo infectado.

Toda la información robada se enviaba después a un servidor externo controlado por los atacantes. Además, el programa estaba preparado para ocultarse y evitar ser detectado, comprobando si se estaba ejecutando en máquinas virtuales o entornos de análisis.

No está claro cuántas personas resultaron afectadas, aunque los investigadores creen que muchas de las interacciones con el repositorio podrían haber sido automatizadas, lo que infló las cifras de popularidad.

Tras el descubrimiento, se encontraron otros repositorios relacionados que usaban el mismo sistema de ataque. Los expertos recomiendan a cualquier persona que lo haya descargado reinstalar el sistema, cambiar todas sus contraseñas y cerrar sesiones abiertas en sus cuentas.

El incidente fue descubierto después de que varios usuarios comenzaran a notar algo extraño al descargar el software. Uno de ellos publicó en Reddit que Windows SmartScreen mostraba alertas sospechosas y que el instalador aparecía firmado por una empresa desconocida en lugar del desarrollador legítimo. Poco después, el propio equipo de JDownloader confirmó públicamente que la web había sido comprometida.

Según explicaron los responsables del programa, los atacantes explotaron una vulnerabilidad de seguridad sin parchear que les permitió modificar los permisos internos del sitio web sin necesidad de autenticarse. Gracias a ello, pudieron cambiar los enlaces oficiales de descarga por archivos maliciosos preparados para infectar los equipos de las víctimas.

El ataque afectó especialmente a la página de descargas alternativas de Windows, donde todos los instaladores fueron sustituidos por ejecutables no firmados y potencialmente peligrosos. También se vio comprometido el instalador para Linux mediante código malicioso añadido al script original.

La parte positiva es que no todos los sistemas de distribución fueron afectados. El archivo principal, las versiones para macOS y los paquetes distribuidos mediante otras plataformas permanecieron intactos gracias al uso de infraestructuras separadas y sistemas de verificación mediante firmas digitales.

Algunos usuarios que ejecutaron los archivos infectados aseguran que el malware llegó incluso a desactivar automáticamente Windows Defender, lo que hace pensar en una amenaza especialmente agresiva.

Este tipo de ataques se están convirtiendo en una de las técnicas favoritas de los ciberdelincuentes, ya que aprovechan la confianza de los usuarios en programas muy conocidos.

Otra agravante, más allá del delito continuado contra la propiedad intelectual del que han sido acusadas estas tres personas, es que la mayor parte de la publicidad era contenido para adultos, y la página la visitaban menores de edad.

Durante la redada en el domicilio del principal acusado, la Policía Nacional ha encontrado dos pendrives USB ocultos dentro de un termómetro, con dos monederos fríos que contenían 400.000 euros en criptomonedas.

Piratería gratuita financiada con publicidad, un clásico

La investigación comenzó en junio de 2025, cuando Policía Nacional tuvo conocimiento de la existencia de esta plataforma online que ofrecía, de manera ilegal, el acceso a contenido manga.

La nota de prensa no da nombres, pero parece que se trata de TuMangaOnline / ZonaTMO. Era el mayor repositorio de manga online de habla hispana. Con millones de visitas mensuales y ejemplares de manga descargados cientos de miles de veces.

Los usuarios provenían de todo el mundo, pero la mayoría eran de España y países de Hispanoamérica, al tratarse de manga en español.

El portal era de acceso gratuito, y se financiaba a través de la publicidad. Los usuarios tenían que soportan constantes ventanas popup publicitarias mientras navegaban por la web o descargaban contenido pirateado.

Lo más grave es que, según la polícia, la mayoría de esta publicidad era contenido para adultos, y la web era visitada por muchos menores de edad. Gracias a estos anuncios publicitarios, recaudaron cuatro millones de euros en los diez años que llevan operando.

Como se puede ver en esta imagen, la Policia Nacional encontró dos pendrives USB escondidos dentro de un termómetro. En ellos había dos monederos en frío (no conectados a Internet) con 400.000 euros en criptomonedas:

Según la Policía Nacional, este portal de descargs de mangas ilegales ha generado un fuerte impacto económico y reputacional sobre el sector editorial, porque la piratería reduce las ventas, y con ello la inversión en creación, edición, traducción y distribución de contenidos.

Además, la saturación publicitaria del portal, la mayoria contenido para adultos, afectaba negativamente a la experiencia de los usuarios, contribuyendo al deterioro de la imagen de las obras difundidas.

Otro duro golpe para la piratería en España. Normalmente suele ser fútbol o películas, pero como vemos, el manga japonés, muy popular en nuestro país, también se piratea a nivel industrial.

Inditex ha confirmado el ciberataque en un comunicado publicado en la noche del miércoles. El grupo textil de Amancio Ortega ha sufrido un acceso no autorizado a sus bases de datos, las consecuencias podrían ser millonarias.

Inditex sufre un hackeo masivo

El grupo Inditex ha informado que el ciberataque ha afectado a la información alojada en servidores administrados por un proveedor externo. La compañía detrás de Zara y otras tiendas confirma que han trasladado el incidente a las “autoridades correspondientes”.

Inditex advierte que las bases de datos atacadas “contienen información de la relación comercial con clientes de diferentes mercados, pero en ningún caso datos tales como nombre y apellidos, teléfono, domicilio, contraseñas, tarjetas bancarias u otros medios de pago”.

Desde el gigante textil descartan que la información de los clientes esté comprometida. El grupo Inditex asegura que han aplicado “inmediatamente” sus protocolos de seguridad para minimizar los daños.

Una enorme brecha de seguridad

Inditex ha admitido que el ciberataque se ha producido debido a una brecha de seguridad, que “tiene su origen en un incidente sufrido por un antiguo proveedor tecnológico que ha afectado a diversas compañías con actividad internacional”.

El grupo de Amancio Ortega confirma que las operaciones y los sistemas de Inditex no han sufrido los daños con este nuevo hackeo. Los clientes pueden seguir accediendo a las tiendas online “y operando con total seguridad”, según la compañía en un comunicado con los medios.

Inditex tiene un comité de seguridad digital diseñado para proteger la información del grupo y sus operaciones online. El grupo textil incluso creó un comité asesor de ciberseguridad en 2023.

El gigante de la moda español ha identificado 66 amenazas de seguridad durante 2025, todas ellas sin un impacto reseñable hasta la fecha. Mango detectó un acceso no autorizado a ciertos datos personales de los clientes el pasado mes de octubre muy similar.

Los servicios de gestión externos se han convertido en la puerta de entrada para los ciberdelincuentes. El caso de Mango se produjo mediante un servicio de marketing externo que accedió a los datos personales utilizados en campañas publicitarias, el modus operandi del ataque del 15 de abril es casi idéntico.

El engaño se basa en una copia casi perfecta del sistema de actualización de Windows, lo que hace que muchas víctimas caigan sin sospechar. Las investigaciones han revelado que los atacantes utilizan una página web falsa que imita el aspecto oficial de Windows Update.

En ella, se invita al usuario a descargar una supuesta actualización crítica para Windows 11, presentada como un parche urgente de seguridad. El archivo descargado aparenta ser un instalador legítimo, lo que reduce las sospechas iniciales.

Sin embargo, una vez ejecutado, el archivo inicia un proceso complejo diseñado para evitar su detección. El instalador está construido con herramientas legítimas, lo que dificulta que los antivirus lo identifiquen como una amenaza en un primer momento.

A partir de ahí, se despliega una aplicación basada en tecnologías habituales en software legítimo, pero modificada para ocultar código malicioso. El objetivo principal de los ciberdelincuentes es el robo de información sensible.

El malware está diseñado para extraer contraseñas almacenadas en el sistema, datos de pago y credenciales de acceso a servicios online. Además, puede modificarse para mantenerse activo tras reinicios del sistema, integrándose en procesos de inicio automático de Windows.

Esto le permite seguir operando en segundo plano durante largos periodos sin ser detectado por el usuario.

Los expertos advierten de que este tipo de campañas se apoyan cada vez más en técnicas de ofuscación avanzadas y en el uso de software legítimo modificado, lo que complica su detección.

La recomendación principal es evitar descargar actualizaciones desde enlaces externos o páginas no oficiales. Windows Update debe utilizarse únicamente desde el propio sistema operativo o a través de fuentes verificadas de Microsoft.

Según ha explicado la propia compañía, el origen del problema se encuentra en una herramienta de desarrollo externa llamada Axios, implicada en un incidente más amplio que ha afectado a la industria. A pesar de ello, OpenAI ha querido transmitir calma asegurando que no hay indicios de filtración de datos ni de compromiso de sus sistemas.

En su comunicado oficial, la empresa detalla: “Recientemente identificamos un problema de seguridad relacionado con una herramienta de desarrollo de terceros, Axios, que formaba parte de un incidente más amplio ampliamente reportado en la industria. Por precaución, estamos tomando medidas para proteger el proceso que certifica que nuestras aplicaciones de macOS son legítimas de OpenAI. No hemos encontrado evidencia de que se haya accedido a datos de usuarios de OpenAI, de que nuestros sistemas o propiedad intelectual hayan sido comprometidos, ni de que nuestro software haya sido alterado”.

Como parte de esta respuesta, OpenAI está actualizando sus certificaciones de seguridad, lo que obliga a los usuarios a instalar las versiones más recientes de sus aplicaciones. El objetivo es evitar cualquier posible intento de distribuir versiones falsas que se hagan pasar por software oficial.

La compañía lo explica de forma clara: “Estamos actualizando nuestras certificaciones de seguridad, lo que requerirá que todos los usuarios de macOS actualicen sus aplicaciones de OpenAI a las últimas versiones”.

Además, la firma ha establecido una fecha límite del 8 de mayo, donde las versiones antiguas de estas aplicaciones podrían dejar de funcionar. Por ello, recomiendan a todos los usuarios comprobar que cuentan con la última actualización disponible cuanto antes.

Aunque el incidente no ha tenido consecuencias directas para los usuarios, este movimiento refleja una estrategia cada vez más común en el sector y es actuar con rapidez ante cualquier posible vulnerabilidad.

En concreto, los expertos han advertido de una campaña activa desde, al menos, diciembre. En ella, los atacantes están utilizando un exploit sofisticado que permite aprovechar un fallo desconocido, presente incluso en las versiones más recientes del programa.

Lo más preocupante de todo es que este ataque no requiere prácticamente interacción por parte del usuario. Basta con abrir el archivo PDF malicioso para que el exploit se active.

A partir de ese momento, los atacantes pueden acceder a información local del sistema y ejecutar acciones más avanzadas.

Entre las capacidades detectadas se encuentra el uso de funciones internas del propio Acrobat Reader para robar datos y preparar ataques adicionales. Esto podría derivar en escenarios más graves, como la ejecución remota de código o el control total del equipo comprometido.

Por su parte, Adobe ya ha sido informada del problema, pero aún no ha publicado una actualización que solucione esta vulnerabilidad.

Por ello, los expertos recomiendan evitar abrir archivos PDF procedentes de fuentes desconocidas o sospechosas hasta que se lance un parche oficial.

Los de Redmond tienen un enorme problema con una vulnerabilidad de día cero que otorga permiso total a los desarrolladores. “Ejecuta FunnyApp.exe y obtendrás permisos de administrador de Windows”, comenta el experto.

Un código malicioso para Windows

Windows está en el punto de mira tras la reciente filtración. El desarrollador confirma que esta situación podría haberse evitado fácilmente si Microsoft hubiera actuado de otra manera, aunque no explica los motivos que le han llevado a publicar este exploit.

“Ejecutar ese comando 'whoami' y ver SYSTEM es una experiencia diferente”, dijo uno de los usuarios de GitHub. El exploit aún funciona, pero 8 de los 72 proveedores de ciberseguridad de VirusTotal lo han marcado como malicioso.

Los ciberdelincuentes pueden recompilar variantes maliciosas gracias al código C de prueba de acceso público. Justin Elzem, director de tecnología de TrustedSEC, confirma que la vulnerabilidad afecta a Windows Defender, encargado de gestionar los permisos esenciales del sistema.

"Se trata de una condición de carrera TOCTOU (tiempo de comprobación a tiempo de uso) en el mecanismo de actualización de firmas de Windows Defender, un patrón clásico en el que un servicio privilegiado (WD ejecutándose como SYSTEM) sigue una ruta de archivo que un usuario con pocos permisos puede redirigir a mitad de la operación", según Elzem en X.

Un fallo de seguridad que podía evitarse

La vulnerabilidad de Windows Defenser se publicó por una nueva cuenta en GitHub, X y Blogger. El desarrollador aseguraba estar muy enfado con el gigante tecnológico: “Nunca quise reabrir un blog ni crear una nueva cuenta de GitHub para publicar código. Pero alguien violó nuestro acuerdo y me dejó sin nada”, comenta el usuario con nombre Deadeclipse666.

El creador de este expoit confirma que los de Redmond conocían las consecuencias. “Es su decisión, no la mía”, aseguraba en la publicación de Blogger. Todo apunta a que Microsoft podría haber evitado esta vulnerabilidad en su sistema operativo.

El desarrollador podría tener una relación previa con Microsoft dentro del programa de recompensas de detección de errores, pero el acuerdo se rompió por motivos que se desconocen.

Los de Redmond se defienden: “Microsoft tiene el compromiso con sus clientes de investigar los problemas de seguridad reportados y actualizar los dispositivos afectados para protegerlos lo antes posible. Apoyamos la divulgación coordinada de vulnerabilidades, una práctica ampliamente adoptada en la industria que ayuda a garantizar que los problemas se investiguen y aborden cuidadosamente antes de su divulgación pública”, según un portavoz para Cybernews.

Claude Mythos Preview no solo ha encontrado “miles de vulnerabilidades críticas del Día Zero en todos los navegadores y sistemas operativos que existen”. Al contrario que sus predecesores, puede crear exploits para el 72% de todas ellas, en algunas categorías. Imagina esta IA en manos de ciberdelincuentes…

Por suerte, Anthropic es una de las pocas compañías de IA que se preocupa por la seguridad de la humanidad, y por eso Trump la ha declarado “compañía de alto riesgo”, su venganza porque Anthropic no le quiere dar su IA para la guerra. Por eso ha decidido no liberar Claude Mythos, y ha convocado a 50 compañías de software para corregir esas vulnerabilidades.

Nace Project Glasswing

Pese a que, de momento Claude Mythos Preview no será una IA pública, Anthropic teme que la competencia, con menos escrúpulos, libera un agente de IA similar. Por eso ha puesto en marcha Project Glasswing, una especie de concilio de compañías de software para ver cómo afrontan lo que ha descubierto el nuevo agente de IA que genera código.

Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Fundación Linux, Microsoft, Nvidia, y Palo Alto Networks ya están convocadas, y pronto se unirán 40 más. Compartirá con ellos las vulnerabilidades críticas que Claude Mythos ha encontrado, para corregirlas antes que una IA similar caiga en malas manos.

Lo que diferencia a Mythos de Claude Code, o Codex de OpenAI, es que estos agentes de código son bastante malos creando exploits para aprovechar las vulnerabilidades que encuentran. En cambio Mythos es capaz de convertir el 72,4 % de las vulnerabilidades que identifica en exploits exitosos dentro del entorno de JavaScript de Firefox. Además consigue el control de los registros en otro 11,6 % de los ataques intentados.

Según explica Anthropic en su blog, Mythos ha llegado a encadenar hasta cuatro vulnerabilidades diferentes para crear un exploit, algo que se considera “muy difícil” incluso para los hackers de elite.

Entre los ejemplos reales que ofrece, detalla una vulnerabilidad de hace 27 años en el sistema operativo OpenBSD que permite a un atacante bloquear un sistema con solo conectarse a él. También detalla una cadena de exploits en el núcleo de Linux que permitiría a un atacante obtener acceso root al sistema host. Es decir, controlarlo por completo.

Se habla mucho de una futura IA que cause el caos en todo el mundo, pero hasta ahora solo era teoría. Claude Mythos es un ejemplo real de que ya es posible. En manos de ciberdelincuentes o gobiernos extremistas, se podría crear malware que se cuele en todos los sistemas operativos y navegadores del mundo, para hackear, tumbar infraestructuras, o robar datos.

En concreto, la amenaza se ocultaba en más de 50 aplicaciones, que incluían limpiadores, galerías de imágenes y juegos. Todas estas apps ofrecían la funcionalidad prometida y no solicitaban permisos sospechosos, lo que facilitó su descarga masiva.

El malware intentaba obtener acceso root mediante la explotación de vulnerabilidades antiguas de Android. Investigadores de la empresa de ciberseguridad McAfee descubrieron la operación, aunque no pudieron vincularla a un actor de amenazas concreto. El proceso de infección era sofisticado, ya que los componentes maliciosos se escondían mezclados con clases legítimas del SDK de Facebook.

Además, una carga útil cifrada se ocultaba dentro de imágenes PNG mediante esteganografía. Esta se extraía en la memoria del sistema mientras eliminaba todos los archivos intermedios para borrar cualquier rastro.

McAfee detectó 22 exploits utilizados por NoVoice, incluidos errores de kernel y vulnerabilidades del controlador GPU Mali. Estos permitían a los atacantes obtener un acceso root, desactivar la seguridad SELinux y reemplazar librerías críticas del sistema.

El malware mantenía persistencia incluso tras un restablecimiento de fábrica, mediante scripts de recuperación, reemplazo del manejador de fallos del sistema y almacenamiento de cargas útiles en la partición del sistema. Durante la fase de post-explotación, NoVoice inyectaba código malicioso en todas las aplicaciones, centrando gran parte de sus ataques en WhatsApp.

El malware recopilaba bases de datos cifradas, claves del protocolo Signal y detalles de la cuenta, lo que permitía a los atacantes clonar sesiones de WhatsApp en otros dispositivos.

Google ha eliminado las aplicaciones maliciosas tras la notificación de McAfee. Sin embargo, los usuarios que las instalaron anteriormente deben considerar sus dispositivos comprometidos. Actualizar a versiones recientes de Android mitiga esta amenaza.

Axios, con más de 80 millones de descargas semanales, es clave para realizar peticiones HTTP tanto en el navegador como en entornos Node.js, lo que amplifica el alcance del incidente.

Investigadores de seguridad han detectado que versiones recientes del paquete fueron comprometidas por atacantes. Las versiones afectadas son axios@1.14.1 y axios@0.30.4, manipuladas mediante el acceso a las credenciales de uno de los principales mantenedores del proyecto.

A diferencia de otros ataques, el código principal de Axios no fue modificado. En su lugar, los atacantes añadieron una dependencia maliciosa oculta. Este paquete se ejecuta automáticamente durante la instalación mediante un script, que actúa como un dropper de troyano de acceso remoto (RAT) capaz de infectar sistemas Windows, macOS y Linux.

Una vez instalado, el malware se conecta a un servidor de Command and Control (C2) para recibir instrucciones adicionales. Para dificultar su detección, intenta eliminar sus propios rastros tras ejecutarse y emplea técnicas avanzadas de ofuscación, ocultando comandos y rutas críticas mediante un cifrado XOR que se descifra en tiempo de ejecución. Esto complica enormemente el análisis incluso para usuarios experimentados.

Ante esta situación, los expertos recomiendan actuar de inmediato:

Revertiendo a versiones seguras de Axios.

Eliminando la dependencia maliciosa y reinstalando paquetes para evitar la ejecución automática de scripts.

Rotando todas las credenciales que puedan haberse visto comprometidas.

Este incidente pone de relieve la fragilidad de la cadena de suministro en el desarrollo moderno y la importancia de mantener medidas de seguridad estrictas al gestionar dependencias de terceros.

En los datos analizados por la compañía especializada en ciberseguridad, desde octubre de 2024 hasta septiembre de 2025 se identificaron más de 133.753 intentos de ataques disfrazados de aplicaciones VPN en España.

Cifras que contrastan con la concienciación de la generación Z, que es una de las que más valora la privacidad y la seguridad; precisamente, por este motivo, son también un segmento que puede caer más en este tipo de contenido malicioso.

"La Generación Z puede ser consciente de la importancia de la privacidad, pero también es pragmática y a menudo está orientada por la conveniencia", explica Evgeny Kuskov, especialista en seguridad de Kaspersky. "Este comportamiento crea una oportunidad que los ciberdelincuentes explotan activamente".

En el mismo período, la investigación destaca la gran presencia de varias categorías de malware y software potencialmente no deseado, con el adware –un malware que muestra anuncios constantemente– en primera posición, con 284.261 casos registrados.

Seguido de los troyanos, con 234.283 detecciones, que son capaces de tomar el control remoto total del sistema comprometido, y de amenazas descargables, con 197.707 ejemplos de este último tipo, una puerta de entrada para descargas maliciosas.

Páginas maliciosas disfrazadas de VPN legítimas

A pesar de que la generación Z es una de las más concienciadas en privacidad y seguridad, existen páginas web maliciosas que se camuflan de servicios VPN legítimos, como los ejemplos mostrados por Kaspersky, concretamente de PrivadoVPN e IPVanish VPN.

Los atacantes crean sitios de phishing que imitan los portales de inicio de sesión de estos servicios y de otros, una gran amenaza si el usuario rellena el formulario con sus credenciales, ya que el suplantador podrá verlas.

Curiosamente, los ciberdelincuentes tienen muy fácil crear este tipo de páginas web fraudulentas, ya que se puede apreciar que son muy parecidas, por lo que se cree que utilizan kits de phishing para realizar un esfuerzo mínimo.

"Los atacantes pueden difundir versiones pirateadas de VPN premium y crear aplicaciones que imitan los nombres y diseños de marcas de privacidad conocidas", añade Kuskov. "Como resultado, jóvenes que creen estar reforzando su privacidad pueden, en realidad, estar entregando el acceso a sus dispositivos y a su información personal directamente a los atacantes".

Además, en el caso de introducir una contraseña usada para otro tipo de páginas, los atacantes podrían comprometer también las cuentas de estos servicios, un gran peligro para las suplantaciones de identidad.

Para prevenir este tipo de ataques, hay varias recomendaciones a tener en cuenta:

• Descargar VPN de sitios de confianza o desde las tiendas oficiales. Estas cuentan con controles de seguridad que pueden reducir el riesgo de infección.
• Evitar aplicaciones modificadas. Si se ofrecen funcionalidades premium de forma totalmente gratuita, desconfía.
• Revisar los permisos antes de la instalación. Aunque los servicios VPN requieren de numerosos permisos, el acceso a contactos o al micrófono no son habituales.

Sumado a todo esto, si quieres aprender sobre ciberseguridad jugando, en Kaspersky puedes encontrar el juego Case 404, dirigido especialmente a los usuarios de la generación Z.

A principios de este mismo año, el propio Durov mandó un mensaje a todos los usuarios de Telegram asegurando que las medidas regulatorias sobre redes sociales suponían básicamente un "estado de vigilancia".

En el pasado, la compañía también ha tenido que enfrentar otro tipo de demandas relacionadas con los derechos de autor y, en 2025, lideró el auge de las estafas en España, con un total del 22%, según datos de delitos financieros de Revolut.

Telegram ofrece conexión cifrada, pero esto y otras características favorecen que los ciberdelincuentes puedan crear mercados negros, grupos que parecen legítimos o cuentas para continuar sumando víctimas.

Una nueva investigación llevada a cabo por la firma de ciberseguridad Check Point Software ahora destaca que, aunque Telegram ha incrementado su lucha contra la ciberdelincuencia, la aplicación continúa siendo un activo crítico para la seguridad.

"Ignorar la actividad criminal en Telegram crea puntos ciegos críticos que los atacantes seguirán explotando", explican desde la firma. "Es necesario que los centros de operaciones de seguridad (SOC) consideren esta plataforma como un entorno crítico para la protección de marca y la detección temprana de amenazas".

Para entender cómo Telegram está intentando lucha contra este tipo de grupos, hay que destacar que los cierres diarios alcanzan una cifra récord de 500.000, mientras que anteriormente lo más normal eran unos 10.000.

Y, a pesar de que las cifras de cumplimiento de Telegram están en máximos históricos, el mismo informe de Check Point Software destaca que el 20% de canales bloqueados tenían algún tipo de vinculación con operaciones de carding, comercio de datos personales y servicios ilegales de hacking.

"Estos esfuerzos han aumentado la fricción operativa pero no han logrado erradicar la presencia de los ciberdelincuentes, quienes demuestran una capacidad de adaptación superior a la capacidad de reacción de las plataformas", aseguran desde la firma de seguridad..

En este sentido, solo durante los últimos 3 meses el equipo de gestión de exposiciones de la firma ha contabilizado unos 3 millones de enlaces de invitación a Telegram compartidos en entornos clandestinos.

En comparación, Discord ha representado menos del 6%, mientras que otras aplicaciones como Signal, SimpleX o Matrix apenas han registrado una actividad significativa.

"Telegram sigue siendo el centro neurálgico de los ciberdelincuentes, ya que, si la moderación estuviera desplazando realmente a estas comunidades, la migración a otras plataformas sería evidente. Y esto no está ocurriendo", concluyen.

Esto obliga a millones de personas a acudir a cajeros automáticos de forma frecuente, un contexto que ha favorecido la aparición de nuevas técnicas de fraude. Entre ellas destaca una que está ganando protagonismo en las últimas semanas: la conocida como estafa del “hilo invisible”. A diferencia de otros delitos, este engaño no requiere conocimientos avanzados de hackeo. Su eficacia reside en la sencillez y en la coordinación entre los estafadores.

El objetivo es hacerse con la tarjeta bancaria y el PIN sin que la víctima sospeche en un primer momento.

Todo comienza antes de que el usuario llegue al cajero. Los delincuentes manipulan la ranura de entrada de la tarjeta introduciendo un hilo de nylon prácticamente imperceptible. Este método permite que el cajero lea la tarjeta con normalidad, por lo que la operación parece desarrollarse sin problemas. Sin embargo, cuando llega el momento de devolverla, queda retenida.

Es entonces cuando entra en juego la segunda parte del engaño. Ante lo que parece un fallo técnico, una persona se acerca ofreciendo ayuda. Recomienda repetir la operación o introducir de nuevo el PIN con el objetivo de observar la clave, mientras el cajero sigue sin devolver la tarjeta.

El paso final llega cuando la víctima, convencida de que su tarjeta ha quedado bloqueada, decide marcharse para buscar asistencia. En ese momento, el estafador retira el hilo y recupera la tarjeta, ya con el PIN en su poder, lo que le permite retirar dinero sin obstáculos.

Para evitar caer en este tipo de fraude, conviene prestar atención a ciertos detalles antes de utilizar un cajero. Es recomendable revisar que la ranura de la tarjeta no presente anomalías, evitar dispositivos que ofrezcan resistencia y desconfiar de cualquier comportamiento extraño en el entorno. Si la tarjeta no entra con normalidad, es mejor no utilizar ese cajero.

También es fundamental cubrir el teclado al introducir el PIN y, siempre que sea posible, optar por el sistema contactless.

En caso de que la tarjeta quede retenida, no se debe abandonar el lugar. Lo más seguro es contactar directamente con la entidad bancaria o solicitar ayuda sin perder de vista el cajero. Actuar con rapidez puede evitar que el fraude se complete.

La agencia está pidiendo ahora que quienes hayan instalado alguno de estos títulos se pongan en contacto con los investigadores para ayudar en el proceso.

Según la información publicada por el FBI, la investigación se centra en juegos que estuvieron disponibles en Steam entre mayo de 2024 y enero de 2026.

Durante ese periodo, varios títulos fueron comprometidos e incluían software malicioso diseñado para robar información de los usuarios.

Entre los juegos identificados se encuentran BlockBlasters, Chemia, Dashverse, Lampy, Lunara, PirateFi y Tokenova.

Aunque ninguno de ellos pertenece a grandes franquicias, algunos ya habían sido noticia por incidentes relacionados con malware.

Uno de los casos más conocidos fue PirateFi, un juego gratuito que apareció en Steam el 6 de febrero de 2024.

Según diversos informes, el título incluía código malicioso destinado a robar credenciales de cuentas y otra información personal.

El juego fue retirado por Valve pocos días después de su publicación, aunque para entonces ya había sido descargado por cientos de usuarios.

En muchos casos, el malware consiguió robar contraseñas y cookies de sesión, lo que permitió a los atacantes acceder a cuentas de las víctimas.

Otro título que generó gran atención fue BlockBlasters, un juego de plataformas en 2D lanzado en julio de 2025. Un mes después, se añadió al juego un componente diseñado para robar criptomonedas de las víctimas.

Según investigaciones posteriores, el malware presente en el juego logró robar aproximadamente 150.000 dólares a varias cuentas afectadas.

El FBI explica que, por ley, debe identificar a las víctimas de los delitos federales que investiga, ya que podrían tener derecho a determinados servicios, compensaciones económicas o protección legal.

Aunque los juegos con malware son poco habituales en Steam, este caso demuestra que incluso en plataformas muy populares pueden producirse incidentes de seguridad.

Al igual que la huella dactilar es única para cada humano, al navegar por Internet también queda la denominada huella digital; es decir, el rastro que una persona va dejando en diferentes redes sociales, foros y otros rincones.

El OSINT es vital, por ejemplo, para localizar el rastro de delincuentes a nivel personal, colectivos detrás de estafas online o, directamente, en los procesos de contratación de alguna empresa, siempre y cuando tengan una persona especializada en este tema.

Lógicamente, las técnicas de OSINT tienen varios límites, tanto legales como éticos, por lo que no han de usarse sin un código moral ya establecido, y mucho menos para vulnerar los derechos de otros usuarios.

Por ejemplo, se pueden recopilar diferentes datos de fuentes abiertas para elaborar el perfil de un delincuente, aunque en ningún caso para la vulneración de contraseñas, ni siquiera con técnicas de ingeniería social.

Prácticamente todas las compañías importantes y profesionales especializados cuentan con varias técnicas OSINT que nunca fallan. Así puedes usarlas en caso de que las necesites.

OSINT legal y respetando un código ético

Una de las cuestiones a tener en cuenta para utilizar fuentes abiertas es que comprendas que no todo vale: si hay algún caso abierto, deberás además informar a las autoridades correspondientes, poniendo una denuncia con todas las pruebas.

Además, aunque puedas descubrir información relevante, el fin no justifica los medios, por lo que bajo ningún concepto se deben utilizar técnicas de phishing o publicar datos sensibles, como la ubicación, lo que se conoce como un doxeo.

Dicho esto, lo primero y más fiable consiste en revisar qué cuentas en redes sociales tienen un perfil público; en muchas ocasiones, aquí aparecen enlaces a otras plataformas o términos clave para continuar ampliando la búsqueda.

Las fotografías y publicaciones de una cuenta pública, por ejemplo, son indexadas por Google, con lo cual aparecerán con contenidos relacionados, una técnica conocida como Google dorking.

Precisamente, aquí puedes perfeccionar las búsquedas con términos clave que hayas descubierto, pero también con imágenes disponibles en las redes sociales, para realizar una búsqueda inversa –aunque el mejor para esto es Yandex–.

En el apartado de imágenes, la inteligencia artificial ha mejorado muchísimo para buscar algunas que lleven el mismo rostro, aunque también la posición mediante diferentes fotografías.

Esto es muy peligroso, así que como usuario deberías comprender que lo que subes a Internet de forma pública puede acabar en malas manos, con la posibilidad de localizar y triangular tu zona de residencia.

Es cierto que existen herramientas de código abierto disponibles para realizar una búsqueda OSINT, pero no en todos los casos sirven si existe alguna investigación en profundidad, por lo que tendrás que revisar muy bien los términos de uso.

En conclusión, lo principal a la hora de realizar este tipo de investigaciones consiste en no contactar con la persona sospechosa bajo ningún concepto, aportar todas las pruebas a las autoridades y mantener una observación pasiva.

Casi siempre una investigación de este tipo se centra en los errores de una persona que está siendo investigada, mediante fuentes abiertas, ya que la confianza en exceso es habitualmente el primer error en este tipo de situaciones.

Para entenderlo mejor, las vulnerabilidades zero-day son fallos de seguridad en programas o sistemas que los atacantes explotan antes de que el fabricante tenga conocimiento del problema o publique un parche para solucionarlo. Este tipo de errores es especialmente valioso para los ciberdelincuentes porque puede permitir el acceso inicial a sistemas, la ejecución remota de código o la escalada de privilegios.

Según el informe elaborado por el Google Threat Intelligence Group, de las 90 vulnerabilidades explotadas el año pasado, 47 afectaban a plataformas de usuario final, mientras que 43 estaban dirigidas a productos empresariales.

Entre los tipos de fallos detectados se encuentran vulnerabilidades de ejecución remota de código, errores de inyección, fallos de deserialización, saltos de autorización y problemas de corrupción de memoria.

Uno de los datos más llamativos es que los fallos relacionados con la seguridad de memoria representaron aproximadamente el 35 % de todas las vulnerabilidades zero-day explotadas el año pasado.

En el ámbito empresarial, los sistemas más atacados fueron dispositivos de seguridad, infraestructuras de red, plataformas de virtualización y servicios VPN. Estos sistemas suelen ser especialmente atractivos para los atacantes porque proporcionan acceso privilegiado a redes corporativas.

El informe también señala que los sistemas operativos fueron el objetivo más frecuente. Durante el año pasado se registraron ataques que explotaban 24 vulnerabilidades zero-day en sistemas de escritorio y otras 15 en plataformas móviles.

Curiosamente, las vulnerabilidades explotadas en navegadores web descendieron a solo ocho casos, una cifra considerablemente inferior a la registrada en años anteriores.

Entre los fabricantes más afectados destaca Microsoft, con 25 vulnerabilidades explotadas. Le siguen Google con 11 y Apple con 8.

Los investigadores también advierten que el uso de herramientas de inteligencia artificial podría acelerar el descubrimiento de vulnerabilidades y el desarrollo de exploits. Por ello, se espera que el número de ataques que aprovechan fallos zero-day continúe siendo elevado durante 2026.

La agencia ha lanzado una alerta ante el aumento de ataques físicos contra cajeros automáticos en Estados Unidos. Se trata de una técnica conocida como jackpotting, que permite forzar al cajero a dispensar dinero sin necesidad de tarjeta ni cuenta bancaria.

El procedimiento es relativamente sencillo. Los atacantes abren el compartimento de mantenimiento del cajero (en algunos casos utilizando llaves genéricas) y acceden al disco interno. Una vez dentro, instalan malware o sustituyen la unidad por otra previamente infectada.

Tras reiniciar el terminal, el código malicioso se ejecuta automáticamente y toma el control del sistema.

Una de las herramientas más utilizadas es Ploutus, un malware detectado hace años que sigue siendo efectivo gracias a su integración con la infraestructura de muchos cajeros.

En lugar de vulnerar redes bancarias o cortafuegos, este software explota directamente la capa conocida como eXtensions for Financial Services (XFS), que actúa como intermediaria entre el sistema operativo del cajero y los servidores de autorización del banco. Al enviar órdenes directamente a esta capa, el malware logra esquivar los controles legítimos y activar la dispensación de efectivo.

Las cifras del FBI son preocupantes. De unos 1.900 incidentes registrados desde 2020, alrededor de 700 se habrían producido solo el año pasado, con pérdidas que superan los 20 millones de dólares.

El problema no afecta a una marca concreta, ya que la mayoría de los cajeros comparten una arquitectura similar y muchos siguen funcionando con sistemas antiguos que ya no reciben parches de seguridad.

El FBI insiste en que la amenaza combina vulnerabilidades físicas y digitales. Entre las medidas recomendadas figuran la desactivación de puertos USB no utilizados, la supervisión de archivos ejecutables sospechosos, la sustitución de cerraduras genéricas por sistemas con teclado numérico y la instalación de alarmas que detecten manipulaciones.

Aunque la alerta se centra en Estados Unidos, esta técnica podría extenderse a cualquier país donde existan cajeros con configuraciones similares por lo que hay que tener cuidado y evitar cajeros que parezcan modificados.

Según la información enviada a los usuarios afectados, PayPal identificó el problema el 12 de diciembre de 2025. Tras una investigación interna, determinó que, debido a un cambio de código erróneo, información de carácter personal estuvo accesible a personas no autorizadas entre el 1 de julio y el 13 de diciembre de 2025.

Los datos potencialmente expuestos incluyen nombres completos, direcciones de correo electrónico, números de teléfono, direcciones comerciales, fechas de nacimiento y números de la Seguridad Social.

La compañía confirmó que revirtió el cambio de código responsable del incidente al día después de detectarlo, bloqueando cualquier acceso no autorizado. En las cartas enviadas a los clientes, PayPal subraya que la notificación no se ha retrasado por ninguna investigación de las autoridades.

Además, la empresa detectó transacciones no autorizadas en un número reducido de cuentas como consecuencia directa del incidente y ya ha emitido los reembolsos correspondientes.

Como medida preventiva, PayPal ofrece a los afectados dos años gratuitos de monitorización de crédito y servicios de restauración de identidad a través de Equifax, siempre que se registren antes del 30 de junio de 2026. También recomienda vigilar los informes crediticios y revisar la actividad de las cuentas para detectar posibles movimientos sospechosos.

La compañía ha restablecido las contraseñas de todas las cuentas afectadas, obligando a los usuarios a crear nuevas credenciales en el siguiente inicio de sesión. Asimismo, recuerda que nunca solicita contraseñas, códigos de un solo uso ni credenciales de autenticación por teléfono, SMS o correo electrónico, advirtiendo sobre posibles campañas de phishing que suelen seguir a la divulgación de brechas de datos.

Tras la publicación inicial del caso, un portavoz aclaró que los sistemas centrales de PayPal no fueron comprometidos y que el incidente afectó aproximadamente a 100 clientes. No obstante, la empresa sostiene que ante cualquier posible exposición de información está obligada a notificar a los usuarios implicados.

Los agentes han confirmado el pasado miércoles que un joven ha conseguido romper el sistema de pagos en internet. El ciberdelincuente se hospedaba en hoteles de lujo por un céntimo la noche ahorrándose miles de euros.

Una noche de hotel por un céntimo

La Policía Nacional confirma en un comunicado que el hacker seleccionaba "la opción de abono mediante una reconocida plataforma internacional de pago electrónico". El ciberataque se ha diseñado a medida.

El hacker alteraba el proceso de validación del pago consiguiendo que el sistema autorizara la operación tras introducir el importe mínimo de un céntimo". Esto le permitía alojarse en hoteles valorados en hasta 1.000 euros la noche.

Los agentes de la Policía Nacional han detenido al sospechoso "mientras estaba alojado en un lujoso hotel de Madrid, al que había provocado un perjuicio económico de más de 20.000 euros", expresan.

La estafa no tardó en encender todas las alarmas de los trabajadores de los hoteles afectados. Ningún fallo informático interno podría poner a la venta habituaciones de lujo por un céntimo, menos aún incluyendo servicios adicionales en el alojamiento.

Primer caso detectado en España de esta estafa

El presunto autor de un delito de estafa informática aprovechaba el tiempo de margen en procesar los pagos. El ingreso no es automático para las cadenas hoteleras, sino que en muchas ocasiones se produce cuando el cliente ha terminado su estancia, incluso tras consumir productos del minibar que luego no pagaba.

"La irregularidad no era detectada de forma inmediata, sino días después, cuando la plataforma de pago transfería a la empresa afectada el importe real abonado a un céntimo por reserva", confirma la Policía Nacional.

Las empresas hoteleras recibían una notificación de reserva en la que les informan que la operación se ha realizado correctamente por el importe íntegro de la estancia. La sorpresa era enorme cuando descubrían unos días más tarde que el pago realizado era de un solo céntimo.

La Policía Nacional ha confirmado que es "la primera vez que se detecta este modus operandi". Las agencias de reservas de viajes son el nuevo objetivo de los hackers en España.

El fallo, identificado como CVE-2026-2441, fue reportado por primera vez el 11 de febrero. Apenas dos días después, Google implementó la corrección. Se trata de un fallo de tipo use-after-free, lo que supone un riesgo significativo para los usuarios.

Un error de este tipo ocurre cuando el navegador intenta acceder a un segmento de memoria que ya ha sido liberado. Esto deja un espacio vacío que los atacantes pueden manipular para ejecutar código malicioso dentro de Chrome.

En este caso, la vulnerabilidad afecta al motor responsable del manejo de fuentes avanzadas en CSS. Esto permite a los atacantes crear páginas web diseñadas para explotar el fallo, sin necesidad de que el usuario haga clic en enlaces sospechosos o descargue archivos. Con solo cargar la página infectada, el código malicioso podría ejecutarse en la memoria del navegador.

Google ha confirmado que la vulnerabilidad ya se está explotando en la red, lo que significa que los atacantes la están utilizando activamente. Afortunadamente, el entorno de sandbox de Chrome limita el alcance del ataque, aunque podría exponer datos de navegación, permitir espionaje de pestañas abiertas o servir como punto de partida para ataques más avanzados.

El parche ya está disponible para Chrome en Windows, macOS y Linux, con un despliegue gradual a nivel mundial. Por lo general, Chrome se actualiza automáticamente, pero para estar completamente seguro, puedes actualizar manualmente siguiendo desde Ayuda y luego a Acerca de y buscar la última actualización. Una vez instalada, reinicia el navegador para asegurarte de que estás protegido.

Esta actualización subraya la importancia de mantener el navegador al día, ya que incluso vulnerabilidades críticas pueden ser explotadas sin interacción del usuario. Mantener Chrome actualizado sigue siendo una de las medidas más efectivas para proteger tu privacidad y seguridad en la navegación web.