El grupo de hackers WaterPlum, vinculado por las autoridades a Corea del Norte, está detrás de la campaña Contagious Interview, que entre diciembre de 2025 y julio de 2026 comprometió al menos 30.000 dispositivos en más de 100 países mediante procesos de selección falsos.

Sus objetivos son desarrolladores, diseñadores web, ingenieros y expertos en criptomonedas, blockchain y Web3. Donde sus equipos pueden guardar contraseñas, repositorios y accesos empresariales, así que una falsa prueba con código malicioso puede abrir la puerta a información personal y corporativa.

La trampa empieza como una entrevista y termina al ejecutar el código

Cabe señalar que WaterPlum contacta con candidatos en redes sociales, plataformas de empleo y servicios freelance y el proceso puede incluir preguntas, videollamadas y ejercicios de programación para que la oferta resulte creíble.

El momento crítico llega cuando el falso reclutador pide descargar un proyecto, abrir un repositorio o solucionar un problema. En este punto, la víctima cree que se trata de una prueba, pero puede estar ejecutando código preparado para instalar malware. Se trata de ingeniería social.

Contagious Interview ha utilizado BeaverTail, InvisibleFerret y StoatWaffle para robar información, descargar componentes o mantener acceso remoto. Los falsos procesos de selección utilizados por esta campaña llevan tiempo siendo investigados por expertos en ciberseguridad.

StoatWaffle se ha relacionado con proyectos manipulados de Visual Studio Code, donde al abrir cualquier proyecto en VS Code no infecta automáticamente el ordenador; el riesgo aparece al conceder confianza a contenido diseñado para ejecutar tareas maliciosas.

Es importante mencionar que esta campaña no debe confundirse con operaciones en las que trabajadores norcoreanos usan identidades falsas para conseguir empleo, ya que son tácticas diferentes.

Las credenciales son mucho más valiosas que el propio ordenador

Una infección puede exponer contraseñas del navegador, portapapeles, pulsaciones de teclado, documentos, capturas de pantalla y datos de carteras de criptomonedas.

Por ello, las autoridades han relacionado la operación con fondos o credenciales sustraídos de más de 7.000 carteras y unos 10,71 millones de dólares en criptoactivos transferidos a Corea del Norte.

El riesgo aumenta si el ordenador mantiene sesiones abiertas en GitHub, servicios en la nube o sistemas internos. Ya que una sola credencial puede permitir que el ataque pase del dispositivo personal a recursos de una empresa.

Del mismo modo, se han documentado componentes para macOS y Linux, por lo que la amenaza no se limita a ordenadores con sistema operativo Windows.

Una prueba debería revisarse antes de ejecutar nada

Antes de abrir un proyecto conviene verificar por otra vía que la empresa y el reclutador son reales. También debería levantar sospechas cualquier petición para pegar comandos con urgencia, instalar componentes o desactivar protecciones.

Visual Studio Code dispone de un modo restringido para proyectos que todavía no son de confianza. Mantenerlo activo mientras se revisa el contenido reduce el riesgo de ejecuciones no deseadas.

Si ya existen indicios de que el PC ha sido infectado, la prioridad es desconectar el dispositivo de internet y cambiar desde otro equipo seguro las credenciales potencialmente expuestas, aunque eliminar el malware no recupera la información que ya haya salido del ordenador.

Google asegura que observaba parte de la operación desde dentro gracias a Austin Larsen, analista de la empresa, y parece que se trata de una de las amenazas más fuertes registradas hasta la fecha.

El monitoreo se llevó a cabo mediante las ejecuciones de las acciones maliciosas tras afectar a más de un millar de organizaciones. A continuación, han compartido la información sobre cómo se han dado las cosas.

El infiltrado de Google que observó a TeamPCP desde el inicio

Desde las puertas traseras para acceder a todo tu ordenador con las bibliotecas de Python hasta una afectación de más de 70 repositorios de GitHub, puedes hacerte una idea de lo peligroso que pueden llegar a ser los hackers de TeamPCP.

Con el tiempo se ha convertido en uno de los grupos de ciberdelincuentes más populares dentro de la industria tecnológica. De hecho, ha pasado por varios nombres, como PCPcat, ShellForce o DeadCatx3.

De acuerdo con los detalles revelados por Austin Larsen, investigador de Google Threat Intelligence Group, la organización llevó a cabo una campaña masiva de ataques contra proyectos de código abierto.

Lo descubierto indica que se estaba utilizando malware para comprometer herramientas ampliamente utilizadas y expandir su alcance a nuevas víctimas.

Por supuesto, en este tipo de equipos es difícil adentrarse o tener datos relacionados con los integrantes. Esto es justo lo que hace particular este caso porque Google ha logrado infiltrarse para tener una fuente dentro del círculo cercano de los atacantes.

Según explicó Larsen durante la conferencia LABScon y en declaraciones a WIRED, un analista encubierto de Mandiant, empresa de seguridad propiedad de Google, llevaba meses generando confianza con una persona que posteriormente fue invitada a TeamPCP.

Gracias a ello, el investigador obtuvo acceso al chat interno conocido como CanisterWorm prácticamente desde los primeros momentos de actividad del grupo.

Larsen resumió la situación con una frase reveladora: "Básicamente, casi el primer día, Mandiant estaba observando todo detrás de escena". Esa visibilidad permitió a Google seguir en tiempo real parte de los movimientos de la organización.

El infiltrado llegó a tener acceso a servidores donde se almacenaban credenciales robadas, incluidos nombres de usuario, contraseñas y tokens de acceso obtenidos durante la campaña. Todos los uuariso

En lugar de limitarse a recopilar información, el equipo decidió actuar para reducir el impacto potencial. Larsen explicó que su objetivo era impedir nuevos compromisos antes de que los delincuentes pudieran aprovechar las credenciales o utilizarlas en esquemas de extorsión.

Cómo Google ayudó a frenar los ataques y la caída de los presuntos responsables

La información obtenida por el analista encubierto ayudó a Google a coordinar acciones defensivas a gran escala. En este punto, la compañía optó por avisar primero a proveedores clave como Amazon Web Services y Microsoft para revocar credenciales comprometidas.

Posteriormente, se enviaron cientos de notificaciones tanto a proveedores como a organizaciones afectadas, acelerando la respuesta ante la amenaza.

Según el experto en ciberseguridad, una persona vinculada al entorno de TeamPCP utilizó herramientas de inteligencia artificial para desarrollar un exploit dirigido contra un software de autenticación ampliamente empleado.

La compañía alertó al desarrollador responsable del producto afectado para que corrigiera la vulnerabilidad antes de que pudiera explotarse de forma masiva.

Se ha confirmado que una investigación basada en filtraciones de datos, registros de foros de hackers y cuentas vinculadas permitió seguir un rastro digital que apuntaba hacia Ruben Ian Thomson, uno de los presuntos integrantes clave del grupo.

Como señaló, “escribir informes solo puede ser útil hasta cierto punto. Tomar medidas para proteger a los usuarios y clientes, ese es el siguiente paso”.

Tras estas decisiones y el trabajo de ciberseguridad realizado por parte del gigante tecnológico. Google trasladó esa información al FBI, que posteriormente colaboró con las autoridades australianas.

El mes pasado, Thomson y Louis Michael Gaebler fueron arrestados en Australia y acusados de delitos relacionados con piratería informática. Por el momento, esta es toda la información que se sabe, aunque las investigaciones continúan para seguir obteniendo datos con respecto al popular grupo de hackers.

Por eso, Windows 11 incorpora diferentes mecanismos de protección que buscan impedir que terceros accedan a tus archivos sin autorización.

Sin embargo, algunas de estas funciones pueden convertirse en un problema si desconoces cómo funcionan o no tomas ciertas precauciones básicas.

Uno de los temas que más inquietud genera es el cifrado automático del almacenamiento y la recuperación de archivos críticos. A pesar de que está diseñada para proteger tu información personal, también puede dejarte sin acceso a tus propios documentos u otros elementos.

Entonces, antes de que aparezca un mensaje inesperado durante el arranque del sistema, conviene conocer cómo funciona esta protección y qué debes hacer para evitar un bloqueo total de tus datos.

La clave de recuperación de BitLocker puede convertirse en la única puerta de acceso a tus archivos

BitLocker ha formado parte de las ediciones profesionales de Windows desde Windows Vista, mientras que una variante denominada Device Encryption o Cifrado del dispositivo llegó a las ediciones Home con Windows 10.

Con Windows 11 24H2, esta protección adquiere aún más relevancia debido a que puede encontrarse activada de forma predeterminada en determinados equipos compatibles.

El objetivo es claro: cifrar el contenido del disco para que nadie pueda acceder a la información sin autorización si el dispositivo cae en manos ajenas. El problema aparece cuando Windows solicita la clave de recuperación de BitLocker.

Esto puede ocurrir tras determinados cambios en el hardware, modificaciones en la configuración de seguridad, actualizaciones de firmware UEFI o situaciones que el sistema interpreta como potencialmente riesgosas. En ese momento, el equipo puede mostrar una pantalla solicitando un código de recuperación de 48 dígitos.

Si no dispones de esa clave, no podrás acceder al contenido de la unidad, independientemente de que intentes arrancar Windows con normalidad o mediante herramientas externas.

La situación resulta especialmente delicada para quienes utilizan cuentas locales. Cuando inicias sesión con una cuenta de Microsoft, la clave suele almacenarse automáticamente en la cuenta asociada, lo que facilita su recuperación en caso de emergencia.

Sin embargo, si utilizas una cuenta local y no has guardado previamente ese código, recuperar el acceso a los datos puede convertirse en una tarea extremadamente complicada o incluso imposible.

Por este motivo, la copia de seguridad de la clave de recuperación debería considerarse una medida de seguridad tan importante como cualquier otra protección del sistema.

Cómo comprobar si tu disco está cifrado y guardar la clave antes de que sea demasiado tarde

Para verificar si el cifrado del dispositivo está activo en Windows 11, abre la aplicación Configuración y entra en Privacidad y seguridad > Cifrado del Dispositivo. Si la función aparece habilitada, significa que la unidad está protegida mediante cifrado.

Muchos usuarios desconocen este detalle porque el proceso puede haberse activado durante la configuración inicial del sistema, especialmente cuando se utiliza una cuenta Microsoft desde el primer momento. En consecuencia, es posible que el disco esté protegido incluso si nunca recuerdas haber activado manualmente BitLocker.

Si utilizas una cuenta Microsoft, puedes consultar las claves almacenadas accediendo a la página oficial de recuperación de Microsoft. Tras iniciar sesión, aparecerán los dispositivos vinculados a tu cuenta junto con los identificadores de las claves disponibles.

Conviene anotar tanto el ID de la clave como el código de recuperación correspondiente. Si has utilizado la misma cuenta en varios ordenadores a lo largo del tiempo, es posible que encuentres varias entradas, por lo que identificar correctamente cada una puede ahorrar muchos problemas en una futura recuperación.

Los usuarios que emplean cuentas locales deben prestar aún más atención. Una forma de obtener la clave consiste en abrir el Símbolo del sistema con permisos de administrador y ejecutar el comando "manage-bde.exe -protectors -get C:".

El sistema mostrará la contraseña de recuperación de 48 dígitos asociada a la unidad. Lo recomendable es copiarla, imprimirla y guardar también una copia en una memoria USB almacenada en un lugar seguro.

Mantener varias copias físicas reduce considerablemente el riesgo de pérdida y garantiza que, si Windows solicita la clave en algún momento, puedas recuperar el acceso.

Esta sencilla medida puede marcar la diferencia entre recuperar toda tu información en cuestión de minutos o perder el acceso a documentos importantes durante un largo período de tiempo.

El cifrado de BitLocker es una herramienta muy eficaz para proteger datos personales y profesionales, pero solo cumple su función correctamente cuando la clave de recuperación está disponible.

Al final, dedicar unos minutos a comprobar su existencia y guardarla adecuadamente puede evitar uno de los problemas más frustrantes que pueden producirse en un PC con Windows 11.

La campaña de ciberataque, descubierta por Rapid7 ha afectado principalmente a empresas de los sectores de la automoción y de medios de comunicación.

Los hackers no se limitan a instalar un programa malicioso, sino que parte del arsenal se integra directamente dentro de servicios del sistema, de modo que estos continúan funcionando con normalidad mientras, al mismo tiempo, pueden utilizarse para vigilar conexiones, robar credenciales o mantener el acceso remoto.

La herramienta se conoce como Ted Backdoor y está integrada en una versión manipulada de HAProxy 2.8.12, que es un software muy utilizado para recibir tráfico web y repartirlo entre varios servidores Linux.

Precisamente por ocupar esa posición central dentro de una infraestructura, comprometerlo da a los ciberdelincuentes norcoreanos acceso a información especialmente valiosa.

HAProxy sigue funcionando mientras el malware espía

Ted no sustituye el funcionamiento normal de HAProxy, sino que el balanceador continúa gestionando las conexiones, pero incorpora además capacidades ocultas para inspeccionar tráfico HTTP, capturar cookies de sesión y modificar el contenido que reciben determinados usuarios.

Esto permite que una web comprometida parezca normal para la mayoría de visitantes mientras muestra contenido manipulado únicamente a objetivos concretos.

En pocas palabras, es una estrategia cercana a los ataques de tipo watering hole, donde los atacantes comprometen un servicio frecuentado por las personas que quieren vigilar.

Rapid7 encontró también versiones manipuladas de componentes habituales de Linux como agetty, atd, crond, polkitd y sshd, con el objetivo de mezclar la actividad maliciosa con procesos que un administrador esperaría encontrar normalmente en el servidor.

En el caso de SSH, una de esas modificaciones permite capturar las credenciales introducidas por los usuarios. Con esas contraseñas, los hackers pueden intentar acceder posteriormente a otros equipos de la misma organización y extender el ataque.

CurlRAT mantiene el control desde el exterior

El segundo componente importante se llama CurlRAT, que funciona como una herramienta de acceso remoto capaz de comunicarse con la infraestructura controlada por los ciberdelincuentes.

Puede recibir órdenes, ejecutar acciones, cambiar configuraciones, descargar nuevos archivos, así como abrir sesiones interactivas en el sistema comprometido.

También recopila información del equipo y supervisa el estado de HAProxy para comprobar que el servicio continúa funcionando. Por ello, su comportamiento encaja con una operación diseñada para pasar desapercibida.

Por defecto, CurlRAT puede consultar su servidor de control aproximadamente cada 12 horas, en lugar de mantener una comunicación constante que podría resultar más fácil de detectar.

Asimismo, los atacantes norcoreanos también intentan borrar rastros de instalación y alterar registros para dificultar una investigación posterior.

Rapid7 apunta hacia Corea del Norte, pero con cautela

La compañía de seguridad que detectó la herramienta de espionaje atribuye la actividad a grupos relacionados con Corea del Norte por las víctimas elegidas, la infraestructura utilizada y varias similitudes con operaciones anteriores asociadas a APT37 y a campañas vinculadas con Lazarus.

Eso no significa que alguno de esos grupos haya sido identificado de forma definitiva como autor principal. Lo más preocupante está en su filosofía, ya que no intenta destruir la infraestructura ni llamar la atención.

El objetivo, todo parece ser, es buscar convertir los propios servicios legítimos de Linux en parte del espionaje, mantenerlos funcionando y permanecer dentro el mayor tiempo posible. Así, cuanto más normal parezca el servidor desde fuera, más valioso resulta para quien está observando desde dentro.

Si cualquier amenaza se cuela en el sistema, todo esto se pone en peligro, tanto en Android como en iPhone. Habiendo tantos casos de phishing y malware rondando en internet, detectar a tiempo una posible intrusión se ha convertido en una prioridad para todos.

¿Crees que alguien ha accedido a tu teléfono sin tu consentimiento? Si notas comportamientos extraños o que el dispositivo está infectado de virus, hay que analizar con mucha atención las señales.

En 2026, los casos aumentan y prepararse antes de cualquier cosa es lo que te va a mantener a salvo de las garras de los ciberdelincuentes. Por eso, en este artículo vas a aprender todo sobre cómo monitorear tu smartphone para determinar si te han hackeado.

Señales que indican que tu smartphone podría estar siendo vigilado

No todos los comportamientos extraños significan que tu teléfono ha sido hackeado y es por eso que hay que tener en cuenta cada detalle. De hecho, es posible confundir ciertas cosas con problemas de rendimiento u otros errores que se presentan en el sistema.

A medida que se va utilizando el dispositivo, surgen estos inconvenientes, pero lo bueno es que existen ciertas señales que indican si se trata de algo con lo que hay que tener mucho cuidado.

Uno de los síntomas más habituales es el consumo anormal de batería, pues cuando comienza a perderse porcentaje drásticamente sin que se esté haciendo nada, es posible que se trate de un malware realizando acciones en segundo plano sin que te des cuenta.

Evidentemente, la vida útil es un tema, pero cuando es una exageración lo de la energía, seguro que hay algo causando el problema. También debes prestar atención al sobrecalentamiento frecuente sin que se esté ejecutando una app o juego exigente.

Por otra parte, está el consumo de datos móviles porque muchas de las amenazas drenan esto rápido cuando inyectan programas de espionaje o recopilan información para mandarla a fuentes externas.

Asimismo, la aparición de aplicaciones que no recuerdas haber instalado, permisos excesivos concedidos a ciertas apps o publicidad emergente fuera de lo normal.

Llamadas, mensajes o notificaciones extrañas y reinicios inesperados junto a intentos de inicio de sesión que no has hecho, son suficientes como para darte cuenta de que hay un intruso.

¿Qué debes comprobar antes de cambiar de teléfono?

¿Tienes que comprar de una vez un nuevo móvil? Cuando un teléfono está infectado, es normal pensar si es necesario reemplazar el dispositivo o cambiar el número.

Sin embargo, los especialistas en ciberseguridad advierten que esta decisión no siempre resuelve el problema de fondo. Uno de los casos que los describe es el que se comparte en el medio AnalisiDifesa, en Italia se ha hecho una denuncia del experto Andrea Mavilla debido a que ha revelado números telefónicos y datos institucionales.

Esto se hizo sin necesidad de recurrir a técnicas avanzadas de hackeo o a la dark web. De aquí se abrió una investigación para poder encontrar el origen de los registros y dieron con que todo giraba alrededor de las cuentas vinculadas al smartphone y diversas plataformas en internet.

Por esto mismo, se recomienda encarecidamente que, antes de considerar sustituir el móvil, es necesario verificar todas las cuentas con sesiones activas de Google, Apple, Microsoft y redes sociales para cerrarlas.

Cambiar las contraseñas y activar la autenticación multifactor es crucial. Además, es importante mantenerse al día con los posibles dispositivos desconocidos que estén vinculados.

En sí, cuando un atacante ya obtuvo acceso a tus cuentas, reemplazar únicamente el hardware podría dejar intacta parte del riesgo. De hecho, si vas a vender o tirar el dispositivo, siempre haz un restablecimiento de fábrica para no comprometer nada.

Cómo proteger tu móvil y recuperar la seguridad en 2026

Los hackers siempre buscan los datos más valiosos con los que puedan afectarte directamente a corto o largo plazo. Cualquier información que sirva para robar tu identidad o dinero es suficiente.

Aquí se incluyen los contactos, correos electrónicos, números de teléfono, cuentas iniciadas, tarjetas y mucho más. Por ello, la investigación y la contención deben realizarse de forma conjunta antes de considerar resuelto el incidente.

¿Qué hacer entonces para mantener el dispositivo listo? Cuando notas que hay algunas de las señales mencionadas en los anteriores apartados, lo primero que tienes que hacer es mantener el sistema actualizado, al igual que todas las aplicaciones.

Principalmente, se debe a que los desarrolladores suelen agregar los parches de seguridad necesarios para combatir las amenazas. Sin embargo, en varias situaciones eso no es suficiente.

Es recomendable eliminar aplicaciones que no utilices y revisar individualmente los permisos concedidos en cada una de ellas. Si tienes plataformas de cifrado de extremo a extremo, mejor.

Las recomendaciones más recientes de la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) destacan la importancia de activar métodos de autenticación resistentes al phishing y todos los métodos de seguridad al día.

Si persisten los indicios de compromiso, realiza una copia de seguridad de la información esencial y valora restablecer el teléfono a los ajustes de fábrica. Recuerda no ingresar a cualquier página web, comprueba los mensajes o correos de marcas y no compartas tus datos a la ligera en Internet.

Esto quiere decir que los navegadores más populares de la actualidad son unos de los softwares más afectados. Millones de usuarios están a punto de sufrir la amenaza "arrayref", un create que impacta directamente con proyectos relacionados con criptografía, blockchain e interfaces gráficas.

Además, la situación recuerda otros incidentes recientes que han afectado repositorios y registros de software de uso masivo. El problema es más grande de lo que parece y por eso las autoridades recomiendan prestar atención para tomar cartas sobre el asunto.

¿Cómo se produjo el ataque y por qué preocupa tanto a la comunidad Rust?

Los hackers vuelven a hacer de las suyas con respecto a los malware. Esta vez se trata de uno que definitivamente está llamando la atención del sector de los desarrolladores.

Para ser más específicos, los investigadores de StepSecurity descubrieron que un atacante comprometió la cuenta de mantenimiento asociada a varios crates de Rust para distribuir código malicioso a través de actualizaciones aparentemente legítimas.

Básicamente, engañaron el sistema para que reemplazara versiones correctas por unas infectadas con el fin de agregar las respectivas "actualizaciones".

Según BleepingComputer, las versiones afectadas fueron "arrayref 0.3.10", "append-only-vec 0.1.9" e "internment 0.8.7". Cada una de estas está relacionada con la misma cuenta de mantenimiento y parte de una dependencia en específico.

Esta en cuestión es conocida como "proc-macro1", la cual fue modificada para hacerse pasar por "proc-macro2". En este proceso, se inyectó el malware sin levantar sospechas, ya que el hacker mantuvo todo lo demás intacto, insertando todo el contenido malicioso por este medio.

El archivo "build.rs" de "proc-macro1" se ejecutaba automáticamente durante el proceso de compilación para que el script generara componentes codificados en Base64. Eso fue suficiente como para construir una infección específica para cada sistema operativo: Windows, Linux, macOS Intel y macOS ARM.

En Windows, creaba "%TEMP%\rust-setup.ps1" y utilizaba una combinación de scripts VBS y procesos ocultos mediante wscript.exe para garantizar la ejecución continua del código malicioso.

El atacante mantuvo intacto prácticamente todo el código original de los proyectos comprometidos, incorporando únicamente esta dependencia maliciosa.

De esta forma, la actualización parecía normal y pasaba desapercibida incluso sobre revisiones superficiales. En efecto, aprovechaba la confianza de los desarrolladores sobre las dependencias, porque todo se ejecutaba en segundo plano.

Malware multiplataforma, robo de credenciales y medidas urgentes para los desarrolladores

El ataque comenzó el 20 de agosto con la creación de cuentas falsas que imitaban a desarrolladores reconocidos de la comunidad Rust. Entre los objetivos de este ataque identificados se encontraban las bases de datos SQLite utilizadas por los navegadores Google Chrome, Microsoft Edge y Brave para almacenar información de acceso.

Eso no era todo porque el malware implementaba mecanismos de persistencia. Se dice que se quedaba en Run del Registro de Windows, servicios systemd en Linux y LaunchAgents en macOS.

La buena noticia es que Crates.io retiró "proc-macro1" y eliminó las versiones comprometidas cuando se confirmó el incidente. De igual manera, StepSecurity, SafeDep y Aikido compartieron análisis que ayudaron a identificar las infecciones.

Los desarrolladores que hayan instalado alguno de los paquetes afectados durante la ventana de exposición, la recomendación es verificar archivos Cargo.lock, buscar contenido generado por el ente malicioso y analizar conexiones hacia la dirección 23.254.165.112 a través de los puertos 9089 y 443.

Cuando se confirma que se ha afectado, hay que rotar inmediatamente todas las contraseñas, tokens y otros sistemas similares. A su vez, los entornos contaminados deben ser reconstruidos para evitar que el atacante se siga colando en el código.

El ransomware es uno de los tipos de estas amenazas que se conoce por secuestrar datos para extorsionar, algo que suele afectar a grandes compañías. Aunque lamentablemente es común hoy en día, el nuevo Medusa está invadiendo infraestructuras críticas.

Cientos de organizaciones están siendo afectadas y las agencias de seguridad están volviendo a levantar las alarmas porque la situación está aumentando a un punto de alta gravedad. Incluso los organismos federales advierten de las capacidades que tiene este ciberataque.

Más de 500 organizaciones críticas afectadas por Medusa

El ransomware Medusa no es uno de los que se tenga que tomar a la ligera, pues ha hecho que reaccionen las agencias más importantes de Estados Unidos.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA), en coordinación con la Oficina Federal de Investigaciones (FBI) y el Departamento de Salud y Servicios Humanos (HHS), ha advertido el alcance que tiene esta campaña de ciberdelincuentes en la actualidad.

La amenaza ha comprometido a más de 500 organizaciones pertenecientes a sectores de infraestructura crítica desde junio de 2021. Por lo tanto, han estado bajo constante ataque por años y hasta abril de 2026 las víctimas abarcan áreas tan sensibles como la salud pública.

Varios sistemas registrados se vinculan a servicios gubernamentales, sector financiero y tecnología. Esto hace que el problema sea más grande de lo esperado porque se involucran organizaciones médicas, educativas, jurídicas, aseguradoras, tecnológicas y manufactureras.

En tan solo marzo de 2025, la cifra de víctimas iba alrededor de las 300 y eso ha aumentado casi el doble en tan solo un año. En el comunicado oficial de las autoridades, se menciona que los operadores de Medusa siguen aprovechando vulnerabilidades de seguridad.

Las brechas que se encuentran en los dispositivos son suficientes como para acceder a sistemas corporativos. Por esto mismo es que se recomienda que se mantengan los sistemas operativos, software y firmware actualizados.

También es una buena idea la segmentación de redes para impedir movimientos laterales y la restricción del acceso remoto desde ubicaciones o fuentes no confiables.

¿Cómo opera Medusa y por qué sigue siendo una amenaza relevante?

Tras varios años operando, es normal preguntarse por qué sigue haciendo de las suyas, habiendo tantos métodos para hacerle frente. La cuestión es que se trata de uno de los ransomwares más peligrosos que han afectado a las infraestructuras estadounidenses.

La operación Medusa apareció originalmente en enero de 2021, aunque su actividad ganó notoriedad a partir de 2023 con el lanzamiento de su portal de filtración conocido como Medusa Blog. Ahora, se aplica la estrategia de doble extorsión y parece que los ciberdelincuentes no se van a detener muy pronto.

El ataque sigue el camino de cifrar los archivos de las víctimas para bloquearlos y pedir algo a cambio. En su mayoría, se trata de transferencias de dinero altas. De lo contrario, los atacantes amenazan con liberar la información o simplemente dejarla restringida para que no puedan entrar a ella.

De acuerdo con la alerta de CISA, Medusa evolucionó desde un modelo de ransomware cerrado hacia una estructura de ransomware como servicio (RaaS) basada en afiliados, por lo que los desarrolladores reclutan Initial Access Brokers (IAB) constantemente para poder hacer que la operación sea masiva.

El aviso destaca que estos colaboradores pueden recibir pagos que oscilan entre 100 y 1 millón de euros por facilitar el proceso. Otro aspecto importante es que el nombre Medusa suele generar confusión dentro del ecosistema de amenazas digitales.

Existen diferentes familias de malware y operaciones cibercriminales que utilizan esa denominación, como MedusaLocker que no tiene nada que ver con esta.

La nueva advertencia de las autoridades estadounidenses deja claro que Medusa continúa siendo una de las amenazas más activas en la actualidad y se debe tener muchísimo cuidado porque un ataque tan masivo podría afectar otros países, incluyendo España.

De Mitnick, quizá el hacker más famoso de todos los tiempos, llegó a decir la fiscalía, con el beneplácito del FBI y el Departamento de Justicia, que era capaz de "iniciar una guerra nuclear únicamente silbando por el auricular de un teléfono público".

Y, aunque es una hipérbole desmesurada, este hacker se convirtió en una de las figuras más perseguidas a nivel global por saber cómo manejar perfectamente la psicología de los usuarios, quizá el mayor exponente de lo que se conoce como ingeniería social.

Lo que Mitnick demostró, a pesar de ser calificado como terrorista o un actor que formaba parte de un Estado agresor, fue que, aunque una compañía multimillonaria gaste muchísimo en el mejor software, la mente humana continúa siendo uno de los peores apartados de la seguridad de cualquier negocio.

Era, en definitiva, un hacker que sabía cómo hacer trucos de magia ante los ojos ingenuos de un ser humano, además de conocer perfectamente cómo piensa cualquier ser humano, el embrión del phishing y este tipo de manipulaciones en la actualidad.

"Puedes gastar millones de dólares en cortafuegos, sistemas de detección de intrusos y cifrado, pero si un atacante logra convencer a un empleado para que le dé su contraseña por teléfono, toda esa tecnología no sirve de nada", advirtió ya en su momento.

De pequeñas estafas a ser buscado por el FBI

Mitnick nació en Los Ángeles (Estados Unidos) en 1963 y su familia era bastante humilde. Sus padres estaban divorciados y fue criado por su madre, que tenía que encadenar largas jornadas de camarera para sacar adelante al pequeño hacker.

Éste se topó con el ilusionismo con tan solo 12 años de edad y esto fue lo que dio paso a su primera gran estafa; en aquella época, los autobuses de Los Ángeles contaban con una maquina que picaba el billete, así que Mitnick ideó una estrategia para que los viajes le salieran gratis.

Por un lado, convenció a su madre para que le comprara uno de los punzones oficiales que utiliza el autobusero para picar el billete; por otro, se dedicó a recoger billetes usados del suelo que se encontraba en las paradas.

Aprendió el patrón exacto y, de esta forma, pudo viajar gratis durante muchos años burlando el sistema; así, había nacido un hacker que se aprovechaba de las fugas del sistema para favorecerse.

Entrado ya en la adolescencia durante la década de los 70, Mitnick se adentró en una subcultura urbana bautizada como phone phreaking, un colectivo de jóvenes que aprovechaban las fallas de la compañía telefónica Pacific Bell.

Así, consiguió acceder a llamadas internacionales gratuitas, redirigir líneas o directamente escuchar conversaciones ajenas, una situación que le acercaría aún más al mundo de la informática.

Una vez que en los años 80 los ordenadores ya se mantenían conectados entre sí, Mitnick continuó perfeccionando sus técnicas y decidió infiltrarse en numerosas organizaciones, como universidades, grandes compañías tecnológicas y administraciones públicas.

Todo esto le llevó a darse de bruces contra la realidad y fue arrestado en 1988 por haber robado el código fuente del sistema operativo VMS de Digital Equipment Corporation (DEC), lo que le llevó a tener que pasar un año en la cárcel ante lo que las autoridades consideraron como una "adicción a los ordenadores".

En aquel entonces, la figura de Mitnick se asimilaba más a una persona con problemas de adicción que a un verdadero hacker, debido a que ni siquiera las autoridades sabían a lo que se enfrentaban, a pesar de que tras él llegaron muchos otros.

Tras salir de la cárcel, el FBI intentó arrestarlo de nuevo en 1992, pero Mitnick ya no se dejó atrapar y huyó; durante más de 2 años, el hacker actuó como un fugitivo, a pesar de que nunca había robado datos, pedido una recompensa económica ni nada parecido. Solo lo hacía por ego y reconocimiento.

Precisamente, esto le llevó a cometer uno de los errores más graves de su carrera, al intentar atacar la red privada de Tsutomu Shimomura, físico informático y experto en ciberseguridad. Shimomura se tomó esta intentona como algo personal y unió fuerzas con The New York Times y el FBI.

En 1995, Mitnick fue interceptado de madrugada por el FBI en su apartamento en Carolina del Norte. En definitiva, 2 años de fuga que no habían servido al hacker más buscado de la historia. Quizás el ego fue lo que le convirtió en una presa fácil...

Su reconversión hacia un hacker de sombrero blanco

Mitnick pasó tras este suceso cinco años en prisión, pero las autoridades mantuvieron la prohibición del uso de tecnología –a excepción del teléfono fijo– hasta 2003, momento en el que el hacker decidió situarse en el otro lado, el lado defensivo de la ciberseguridad.

Con ello, se convirtió en lo que se conoce como un hacker ético, dando lugar a este tipo de espacio para esta modalidad; ahora bien, todo después de una campaña internacional por parte de hackers a nivel mundial que pedían directamente su libertad, bajo el lema "Free Kevin".

En 2002, aún con las restricciones impuestas para el uso de tecnología, publicó el libro líder en ventas El arte del engaño; y durante las conferencias y las rondas de presentaciones, popularizó la frase que se quedaría para los anales de la historia: "No hay ningún parche para la estupidez humana".

Lo que mostró Kevin al mundo es que no hace falta conocer sobre código muy complejo o gastar miles de euros en software especializado, sino que simplemente con la manipulación psicológica se podía conseguir este tipo de técnicas.

En un escenario en el que las empresas grandes gastaban miles de millones de dólares en herramientas muy complejas, pero que descuidaban la formación para que sus empleados no cayeran en este tipo de trampas.

Mitnick falleció en 2023 a sus 59 años de edad, tras una cruenta batalla contra un cáncer de páncreas, pero su recuerdo ha quedado para la historia, como el hacker que mejor supo utilizar la ingeniería social, en lugar de herramientas caras.

Lamentablemente, la seguridad digital ya no depende únicamente de identificar números extraños, sino de la forma en la que respondes, las preguntas que haces y la capacidad para mantener la calma.

Más ciberdelincuentes de los que imaginas utilizan tácticas sofisticadas para engañarte y es por esto que el especialista de Timeless Advisor ha analizado uno de los modus operandi que más han causado daño por las llamadas.

Convertirte en una víctima es algo que puede pasar sin darte cuenta, pero con los siguientes trucos y recomendaciones que comparte el experto, esas probabilidades disminuyen considerablemente.

La forma de responder a llamadas fraudulentas puede marcar la diferencia

Actualmente, las personas informadas sobre el tema saben que cuando de la nada hay una llamada de un contacto desconocido, hay que empezar a sospechar y actuar con cautela.

Las tácticas de los estafadores suelen centrarse en la recopilación de datos o transferencias bancarias sin consentimiento. El problema es que a veces suplantan la identidad de compañías, personas cercanas o crean historias falsas para convencerte.

Timeless Advisor, creador de contenido especializado en la detección de estafas y fraudes, ha compartido recientemente una recomendación sencilla pero muy útil para quienes reciben llamadas sospechosas.

Según explica, “es muy importante la manera de comunicarte cuando te llaman”. Si te llaman y no conoces al usuario, pero te comienza a hacer preguntas, es crucial evitar respuestas impulsivas para no caer en las trampas.

Tal y como explica en el vídeo compartido en TikTok, una de las cosas que puedes hacer para asegurarte de que no se trata de un estafador, es no revelar datos confidenciales desde el primer momento.

Si te preguntan "¿con quién hablo?", tienes que decir "¿con quién quieres hablar exactamente?". En el caso de que te pidan la dirección o cualquier información personal, siempre haz la pregunta "¿de dónde has obtenido mis datos?".

A veces, mencionan que están llamando del trabajo o la compañía, entonces es necesario mencionarle que primero vas a confirmar para qué. Recuerda que no tienes que darle datos a nadie si no deseas.

Entre las preguntas que recomienda realizar, destacan dos especialmente efectivas: solicitar el nombre de la empresa y su CIF, además de preguntar de dónde han obtenido tus datos personales.

Según el experto, muchas llamadas irregulares terminan de forma abrupta cuando el interlocutor se encuentra con una persona que exige información verificable en lugar de limitarse a escuchar.

Recuerda que ninguna marca o compañía llama directamente para hacerte ofertas, ofrecerte trabajo o pedirte dinero. Por eso, hay que analizar muy bien cómo hablan y cómo respondes.

¿Cómo actuar ante una llamada sospechosa para evitar fraudes?

Las estafas telefónicas suelen apoyarse en técnicas de ingeniería social diseñadas con solicitudes inesperadas de datos personales, amenazas relacionadas con cuentas bancarias o servicios, supuestos premios y mensajes con urgencia para forzarte a que tengas que actuar rápido.

No entres en pánico al instante. Mantén la calma y encárgate de hacer las preguntas que necesites antes de revelar información.

La Policía Nacional de España ha compartido el método "LAP", que consiste en seguir tres pasos: analizar la localización del número, identificar al autor de la llamada y preguntar por su propósito.

También es importante recordar que el número que aparece en pantalla no siempre es fiable porque es posible que los ciberdelincuentes usen caller ID spoofing para suplantar el identificador y hacerte pensar que la llamada proviene de un organismo "legítimo".

Por ese motivo, la confianza nunca debe basarse únicamente en el número que ves en el teléfono. Ante cualquier duda, la mejor decisión sigue siendo terminar la llamada, verificar la información por canales independientes y no proporcionar datos.

Hacer preguntas, exigir identificaciones y no dejarse llevar por la presión puede convertirse en una barrera eficaz frente a los intentos de fraude.

Se levantan las alarmas en Polonia debido a un reciente incidente que expone los riesgos poco discutidos dentro de las infraestructuras críticas.

La estrategia ha sido analizada y demuestra que la seguridad de las redes industriales depende tanto de la configuración como de las conexiones involucradas.

Todo es porque es la primera vez que se ha conseguido un acceso directo desde una APN privada. Esto quiere decir que hay una vulnerabilidad crítica que puede impactar en sectores como energía, manufactura, agua y transporte.

Una APN privada abrió el camino hacia la red operativa

El Equipo Polaco de Respuesta a Emergencias Informáticas (CERT Polska) reveló en agosto de 2026 que los ataques sufridos por el sector energético del país en diciembre de 2025 (sistemas, dispositivos y comunicación) fueron más amplios de lo que se conocía inicialmente.

Todo lo que ha sucedido en los últimos años ha sido más fuerte de lo que muchos creían y es que, según el informe con información recopilada por Bleeping Computer, hay una central CHP que abastece calor a aproximadamente 50.000 residentes que se suma a la serie de ciberataques.

Si bien anteriormente ya se han reportado hackeos contra 30 instalaciones eólicas y solares, así como una planta de cogeneración, este caso en específico llama la atención porque el acceso se ha llevado a cabo por medio de una APN privada.

La instalación afectada sufrió la detención de una turbina de vapor y del sistema de tratamiento de agua de proceso utilizado para la cogeneración de electricidad y calor.

La interferencia fue temporal porque, gracias al personal, se pudo restaurar el sistema sin que se presentaran mayores problemas, siendo suficiente como para mantener el suministro energético.

De acuerdo con CERT Polska, este ataque podría haber sido ejecutado por un grupo llamado Electrum, que ha estado involucrado en otros inconvenientes similares.

Cómo se desarrolló el ataque a la red industrial y qué lecciones deja

Lo que se informa es que parece que todo comenzó con un dispositivo FortiGate utilizado como VPN y firewall en un parque eólico, desde donde el atacante pudo hacer una conexión con un router celular Teltonika para establecer un túnel hacia una APN privada.

Esta APN era gestionada por el operador de la distribución eléctrica, lo cual se usó para buscar entre los equipos conectados y diversas instalaciones. Después del 18 de diciembre de 2025, detectaron un controlador WAGO PFC200 que pertenecía a la planta de cogeneración.

Tras obtener acceso inicial, los atacantes habilitaron SSH y utilizaron un controlador como puente hacia la red OT. En los días posteriores realizaron un reconocimiento interno, identificaron sistemas SCADA e interconectaron tres PLC Siemens para preparar la fase final de la intrusión.

El 29 de diciembre ejecutaron el ataque principal al colocar los PLC Siemens en modo STOP y configurar contraseñas, lo que provocó la parada de la turbina de vapor y del tratamiento de agua.

Luego establecieron dispositivos Moxa y eliminaron registros para obstaculizar el análisis forense, pero el personal descubrió lo que sucedía a tiempo.

Es la primera vez que pasa algo así en el mundo y por eso es que los expertos advierten sobre este modus operandi. Para reducir los riesgos, se recomienda emplear APN privadas como redes no confiables y aislarlas junto a la desactivación de servicios expuestos como SSH o Telnet.

Un ciudadano australiano creó un agente de IA con OpenClaw, usando la IA Claude de Anthropic como apoyo. Le pidió algo aparentemente inocente: que le reservase una cita en el gimnasio al que acudía, lo más pronto posible. El agente de IA hackeó la web de reservas del gimnasio, borró una cita de otra persona, y coló a su dueño semanas antes de cuando le correspondía. Nos gusta que la IA nos obedezca, pero esto es excesivo…

Si un simple usuario puede hackear una empresa, incluso sin proponérselo, ¿qué hará esta IA en manos de un hacker de verdad?

Cuando la IA piensa por su cuenta, y no conoce las leyes

La historia la cuenta el propio “hacker por accidente”, Andrew, un empleado de una compañía que vende productos de IA a empresas, en el medio ABC News.

Explica que estaba experimentando con la IA de código abierto OpenClaw, famosa porque no tiene apenas guardarraíles, y puede hacer de todo si le das acceso a todos tus datos y ficheros del ordenador, correos, tarjetas de crédito, etc. Sí, la gente permite eso. Creó un agente de IA con OpenClaw, y lo emponderó con la IA Claude de Anthropic.

Andrew le pidió a este agente de IA algo aparentemente inocente: reservar hora en el gimnasio al que acude, que está muy solicitado. Un agente de IA tiene la capacidad de hacer tareas por su cuenta, para completar una orden.

A los pocos minutos, la IA le informó de que había encontrado una forma de reservar citas con semanas de antelación. Para esa semana Andrew estaba el cuarto en una lista de espera, así que le preguntó a la IA si había una forma de subir en la cola. Dicho y hecho: la IA hackeó el sistema de reservas, y borró la cita del primero de la lista.

“La API no realiza ningún control de autorización a la hora de cancelar las reservas de otras personas… Lo he comprobado con la persona que ocupa el primer puesto de la lista de espera, y de hecho se ha procesado. Así que ya has pasado del puesto cuarto al tercero”, le respondió el agente de IA.

Andrew se dió cuenta de que su inteligencia artificial estaba haciendo algo ilegal, así que le pidió a OpenClaw / Claude, que recuperase la cita borrada. “Malas noticias: no puedo volver a añadirlo”, respondió el agente de IA.

Cuando hackear es trivial para una IA

Ahora Andrew está metido en un buen lío porque, aunque no se le pasó por la cabeza hackear, la realidad es que le pidió a la IA que hiciese trampas, al pedirle que le adelantase en la cola de espera.

Y eso nos lleva a un nuevo vacío legal: Si creas tu propio agente de IA, le pides una tarea, y para llevarla a cabo viola la ley y causa daños colaterales… ¿Quién tiene la culpa? ¿El creador del agente, o los creadores de OpenClaw / Claude, que no le han enseñado a la IA que hackear empresas va contra la ley?

La inteligencia artificial se está volviendo demasiado lista, y ni sus creadores, ni los gobiernos ni las leyes, y mucho menos los usuarios, están preparados. Tendrá que ocurrir algo muy gordo para que, a quien compete, se lo tome en serio.

Valve solo comprarte con CEVA Logitics los datos necesarios para poder entregarte el paquete: nombre, dirección, país, número de móvil, y correo electrónico. Pero que no cunda el pánico (del todo): no han robado tu contraseña de Steam ni nada que permita acceder a tu cuenta. Los juegos están a salvo.

El hackeo de la empresa de transporte que usa Valve se produjo entre el 29 de julio y el 1 de agosto. CEVA solo guarda los datos de los clientes tres meses, así que el robo de datos afecta a quienes hayan comprado hardware en la tienda Steam en Europa entre el 29 de abril y el 1 de agosto.

Por desgracia las fechas de este hackeo han coincidido con el estreno de la Steam Machine, así que miles de europeos han hecho pedidos en estos tres meses, también en España.

Si eres uno de los afectados, deberías recibir un email de Valve explicando lo que ha pasado. Es un hackeo importante, porque tienen tus datos personales, que los ciberdelincuentes pueden usar para registrarse en webs o servicios en tu nombre, o falsificar documentos.

Valve también avisa de que es posible que intenten algún tipo de estafa en nombre de CEVA, Steam o Valve, personalizándola con tus datos. Saben que estás esperando un paquete de Steam, así que puede que te contacten para intentar cobrarte algún pago de aduana, cargo extra, o que entres en una falsa web de Steam a iniciar sesión, para quedarse con tus claves. No hay que hacer caso.

Esto es lo que dice el email de Valve: “Ten cuidado con los mensajes falsos. Es posible que recibas por correo electrónico, SMS o por teléfono un mensaje que afirme proceder de Steam, Valve o una empresa de mensajería. Es posible que te repitan tu dirección para demostrar que son auténticos. Pueden pedirte que confirmes una entrega, que pagues una pequeña tasa de aduana o de reenvío, o que inicies sesión en algún sitio para ‘verificar’ tu pedido. Considéralos todos falsos”.

Así que debes estar atento a posibles mensajes sospechosos, no solo de Steam, también de tu banco, un comercio, etc. Al tener tus datos personales pueden hacerse pasar por cualquier empresa para obtener claves, tu tarjeta de crédito, etc.

El consuelo es que no han robado ni el nombre de la cuenta de Steam ni su contraseña, así que toda tu colección de juegos está a salvo. No necesitas cambiar la clave de Steam, aunque nunca viene mal hacerlo de vez en cuando.

Miles de usuarios de las billeteras por hardware de Coldcard se las han encontrado vacías, pese a que no estaban conectadas a Internet, ni nadie ha tocado el dispositivo. El pasado 30 de julio los hackers robaron 1.082 Bitcoins en solo 41 minutos a 1.196 monederos fríos, valorados en unos 60 millones de euros. Ya van por los 80 millones a 4.585 direcciones de Bitcoin, porque siguen aplicando su truco mágico a usuarios que no conocen el hackeo.

La culpa es de un firmware de las billeteras frías Coldcard, con un fallo descomunal que llevaba activo desde 2021.

Así se pueden robar monederos fríos

Para entender lo que ha pasado, hay que conocer los conceptos básicos de las criptomonedas, que emplean términos cotidianos para explicar lo que son complejas operaciones criptográficas.

Los Bitcoins son cadenas de datos que cumples ciertas condiciones, para identificarlos como Bitcoin. Se guardan en monederos, también llamados billeteras, carteras o, técnicamente, direcciones de Bitcoin.

Estos monederos tienen una clave pública y una privada. La pública es como tu número del cuenta del banco, la puedes compartir con cualquiera para que te ingresen Bitcoins, porque solo con la clave pública no se puede robar. Para eso se necesita la clave privada, como el PIN o la clave de tu cuenta. Existe también lo que se llama una frase semilla o semilla de recuperación: una secuencia de 12 o 24 palabras que permite adivinar la clave pública y privada, por si las pierdes. Las tres se generan al mismo tiempo, porque están relacionadas.

Los monederos pueden ser calientes o fríos. Calientes son los que almacenan las claves en Internet, normalmente en plataformas de criptos especializadas, o en un documento encriptado en Google Drive, u otro servicio de almacenamiento. Aunque estén en un sitio seguro, siempre puede ser hackeado, con lo que te robarían las claves.

Por eso mucha gente usa los monederos en frío: dispositivos del tamaño de una cartera, con un teclado para guardar las claves de tu dirección de Bitcoins. No están conectados a Internet, así que un hacker remoto no puede acceder. Y aunque roben el dispositivo, tiene sus propias claves de acceso.

Conociendo la teoría, este robo de billeteras frías parece imposible. ¿Cómo las han vaciado en remoto, sin Internet, y sin tocarlas? Han aprovechado un incomprensible fallo del firmware relacionado con las frases semilla que generaba.

La clave está en la semilla de recuperación

Estas semillas deben crearse de forma que nadie pueda reproducir cómo se crearon. Por ese se usan chips especializados en generar números aleatorios impredecibles, que vienen con los propios monederos de hardware.

Un fallo en el firmware de las carteras frías Coldcard hizo que las semillas no se generaran usando el chip, sino un software que creaba números pseudoaleatorios. Para un humano no hay diferencia, pero bajo ciertas condiciones, un criptógrafo puede predecir los números que ese software genera.

Estudiando estos dispositivos, los hackers pudieron adivinar números de serie de estos monederos, y cómo se comporta su reloj interno. Así pudieron predecir qué semillas generaría el monedero frío, y con ello sus direcciones de Bitcoin y sus claves privadas asociadas. Como eran números semialeatorios muchas semillas eran erróneas, pero solo tuvieron que probar una a una, para ver cuáles eran válidas.

Gracias a que “clonaron” la semilla, pudieron conseguir las claves de casi 5.000 billeteras frías, sin tener que acceder a ellas. Así llevan robados 80 millones de euros, y aún siguen, porque muchos usuarios no se han enterado, y no han movido sus Bitcoins a otra dirección.

Un nuevo mito de las criptos ha caído: los monederos fríos no son inviolables. Ni siquiera hace falta tocarlos para vaciarlos. Muchos dueños de criptomonedas no van a dormir tranquilos esta noche...

Un ciberataque contra bases de datos gubernamentales o infraestructuras críticas puede paralizar un país entero sin que se dispare un solo tiro, y esa es precisamente la amenaza que Filipinas quiere estar en condiciones de repeler.

De acuerdo con el South China Morning Post, el secretario de Defensa, Gilberto Teodoro Jr., ordenó a las Fuerzas Armadas filipinas que amplíen un programa militar ya existente.

Aquel que permite a profesionales civiles con habilidades especializadas como científicos, ingenieros, médicos y abogados incorporarse al ejército directamente sin pasar por la ruta tradicional de formación militar.

El ejército busca código, no solo fusiles

La lista de expertos que busca el ejército filipino describe bien el momento histórico, donde expertos en informática, programación, ingeniería y ciberseguridad figuran entre los perfiles prioritarios.

Y es que el país se ha dado cuenta de que las capacidades cibernéticas, la ingeniería, así como la inteligencia artificial son ya partes inseparables de la guerra moderna, y quiere llegar preparado ante un posible ataque cibernético avanzado.

El portavoz de Defensa, Arsenio Andolong, dijo que hay jóvenes filipinos con habilidades excepcionales en ciberseguridad que están desempleados, y según explicó, "hay hackers éticos y hackers malintencionados. El secretario Teodoro quiere aprovechar su talento para el país".

Estos expertos no solo defenderían redes, también operarían y mantendrían sistemas de armas cada vez más sofisticados. El ejemplo que ponen es el caza FA-50, cuya incorporación requirió años de formación hasta disponer de pilotos cualificados.

El objetivo final de todo el programa es reforzar la defensa del archipiélago y proteger su zona económica exclusiva, en un contexto de ciberataques recurrentes contra instituciones del país.

Ucrania como referencia, pero no como modelo a copiar

La guerra de Ucrania pesa en la mente de los planificadores filipinos. Drones, guerra electrónica, operaciones cibernéticas y desarrollo rápido de software han demostrado allí ser decisivos.

Sin embargo, el profesor Arnaud Leveau advierte de que Manila no debe copiar ese modelo al pie de la letra, porque su teatro de operaciones es marítimo y archipelágico, no terrestre, y esa diferencia exige una adaptación propia de las lecciones aprendidas en Europa del Este.

No obstante, el verdadero enemigo del plan es el sueldo, que es el talón de Aquiles del proyecto, donde los salarios militares no pueden competir con los del sector privado tecnológico, y el analista Vincent Kyle Parada advierte de un riesgo concreto:

“Si estos oficiales acaban cargados de trabajo administrativo ajeno a su especialidad, el programa se convierte en 'un asesino de carreras' que empuja al talento de vuelta a las empresas”.

Si bien reclutar hackers es fácil de anunciar en un comunicado, al final, retenerlos, motivarlos y darles un papel que merezca la pena es la verdadera batalla que Filipinas tiene por delante.

Filipinas está preparando su ejército para una realidad donde el código, los datos y la tecnología forman parte del campo de batalla. La búsqueda de programadores, ingenieros y expertos digitales muestra cómo los conflictos del futuro dependerán tanto del conocimiento tecnológico como de la fuerza militar tradicional.

La guerra moderna ya no se mide únicamente por el número de soldados disponibles, sino también por la capacidad de un país para proteger sus sistemas y responder ante amenazas que pueden llegar desde cualquier lugar del mundo.

Este ciberdelincuente, que estuvo detrás de los ataques a las empresas de software espía FinFisher y Hacking Team, está a la altura de Anonymous, el reconocido grupo de hacktivistas que firman ataques con motivaciones políticas y que más recientemente ha estado detrás de Elon Musk y Donald Trump.

Tal y como revela TechCrunch, es complicado saber cuál ha sido el alcance de los ataques del conocido como Phineas Fisher, ya que él mismo ha asegurado haber utilizado diferentes denominaciones para sus distintas hazañas.

Esta solo es una de las muchas razones que han generado expectación en torno a su persona, que ya es prácticamente una leyenda en el campo de la ciberseguridad y también es importante en la cultura popular.

Las empresas de software espía, la especialidad de Phineas Fisher

El nombre de Phineas Fisher proviene de su primera incursión pública en la ciberseguridad, que tuvo lugar en agosto de 2014, cuando hackeó Gamma Group, creadora del software espía FinFisher.

Esta intervención no consensuada se hizo pública a través de X, antes conocida como Twitter, donde se filtraron datos robados que incluían otros datos, como los programas de spyware de la marca o sus manuales de producto.

Aunque las secuelas de este ataque fueron relativamente limitadas, Phineas Fisher, que bien podría ser un único ciberdelincuente o un grupo encubierto, hackeó un año después a otra empresa similar.

Es el caso de Hacking Team aunque, en esta ocasión, el daño fue mayor. Tanto es así que robaron más de 400 GB de información, entre las que estaban incluidas tanto líneas de código fuente como decenas de miles de correos electrónicos internos.

Lamentablemente, esta campaña, que también sacó a la luz contratos confidenciales y listas de clientes, llevó a la ruina a esta startup, que se tuvo que vender años más tarde por un euro.

También le gusta la autoridad: desde los Mossos d'Esquadra hasta el Gobierno turco

Desde el comentado medio han recordado que las empresas de software espía han sido las favoritas de Phineas Fisher hasta la fecha, pero no han sido las únicas que han caído en sus garras.

También lo han hecho instituciones como los Mossos d'Esquadra, ya que Fisher atacó la página web de su sindicato para filtrar datos como los nombres y los datos bancarios de los agentes de policía.

A continuación publicó un vídeo en el que aparecían ataques a ciudadanos por parte de estos policías y donde llegó a señalar que entonces los Mossos estaban "demasiado ocupados lanzando gases lacrimógenos contra los manifestantes como para prestar atención a los registros de su servidor".

Con el tiempo, le llegó el momento al partido gobernante de Turquía, liderado por Recep Tayyip Erdogan, que fue víctima de un ataque motivado en solidaridad con la región autónoma de Rojava.

Más recientemente le ha tocado el turno al Cayman National Bank de la Isla de Man, otra campaña de la que aseguró que buscaba "formas ilegales de ganar dinero para tener tiempo libre y poder dedicarlo a algo útil".

Un hacker de sombrero blanco (un hacker ético que no se dedica a delinquir, sino a tapar agujeros de seguridad), llamado BobDaHacker, descubrió el pasado mes de enero una grave vulnerabilidad en la Red Mundial de Oración que permite a cualquier aprendiz de hacker robar todos los datos personales de los usuarios, incluidos trabajadores del Vaticano, sin hackear nada, con un simple script para leer todas las fichas de usuario, y copiarlas.

Este grave bug afecta tanto a la versión web de la Red Mundial de Oración, como a las apps para iOS y Android Click to Pray. Vamos a ver en qué consiste.

Un hackeo muy sencillo de una app del Vaticano

Según cuenta Dark Reading, BobDaHacker descubrió una Vulnerabilidad de referencia insegura a un objeto directo (IDOR). Cualquier usuario de Internet puede accede a un punto expuesto de la interfaz de programación de aplicaciones (API) para ver información básica de identificación personal (PII) perteneciente a todos los titulares de cuentas de Click to Pray, así como a los empleados en activo de la organización que gestiona la aplicación, la Red Mundial de Oración del Papa.

Básicamente lo que ocurría es que la web y apps de Click to Pray comprueban que un usuario ha iniciado sesión para acceder a los datos, pero no comprueban si es el usuario correcto. Así que cualquiera que cree una cuenta e inicie sesión, puede crear un script para acceder a todos los datos personales de más de 700.000 usuarios.

Esto, para un hacker, es como escribir el abecedario, porque no hay que hackear nada. Simplemente entrar en la red legalmente usando una cuenta, acceder a cierto punto de la API para tener acceso a la base de datos, y leer y copiar todos los datos personales.

BobDaHacker avisó en enero al Vaticano, así como a la agencia de comunicación hispanoargentina La Machi, encargada de crear la app, pero ninguna dió señales de vida.

Pasados siete meses, el pasado 24 de julio, decidió hacer pública la vulnerabilidad, a ver si así se daban por aludidos. Hoy ya estaba corregido. Ni gracias, ni reconocimiento, ni un "ya lo hemos solucionado". Pese a que este hacker ético les ha resuelto un problema importante, y gratis.

Es una fallo especialmente grave porque muchos usuarios de la Red Mundial de Oración son personas mayores no habituadas a la tecnología, y con sus datos en manos de ciberdelincuentes, podrían haber caídos en alguna estafa de phishing, si los hackers suplantan la identidad del Vaticano.

Pero el problema ha cambiado mucho en los últimos años, ya que en la actualidad ya no es necesario que un hacker tenga grandes conocimientos técnicos para crear una campaña sofisticada.

Ahora existen servicios preparados para hacerlo todo por ellos. Plataformas que funcionan bajo un modelo similar al de cualquier servicio online permiten comprar herramientas, plantillas e infraestructura necesaria para lanzar ciberataques en cuestión de minutos.

Una de las más importantes era Kratos, una plataforma de phishing como servicio que acaba de ser desmantelada tras una investigación internacional.

Las autoridades de Alemania y Estados Unidos han conseguido cerrar esta infraestructura después de una larga investigación que permitió descubrir cómo funcionaba uno de los ecosistemas de phishing más utilizados del mundo.

Kratos convirtió el phishing en un servicio al alcance de cualquiera

Cabe señalar que Kratos no era simplemente una herramienta para crear páginas falsas, sino una plataforma completa diseñada para que otros delincuentes pudieran lanzar campañas de robo de credenciales sin tener que desarrollar su propia tecnología.

El funcionamiento era sencillo desde la perspectiva de sus usuarios, ya que los ciberdelincuentes pagaban por acceder al servicio y recibían un conjunto de herramientas preparadas para engañar a las víctimas.

La plataforma estaba especialmente enfocada en crear páginas fraudulentas que imitaban servicios populares, como los sistemas de inicio de sesión de Microsoft. De esta forma, los atacantes podían enviar enlaces falsos a usuarios que pensaban estar accediendo a una página legítima.

Cuando la víctima introducía su correo electrónico y contraseña, esos datos quedaban en manos del atacante, que podía utilizarlos para acceder a cuentas personales o empresariales, robar información o preparar nuevos ataques.

Casi 2.000 delincuentes utilizaban la infraestructura para atacar miles de veces al mes

Cabe señalar que la peligrosidad de Kratos no estaba únicamente en su tecnología, sino en la escala que consiguió alcanzar. Según la información de la investigación, la plataforma llegó a ser utilizada por alrededor de 1.800 ciberdelincuentes.

Su modelo permitía multiplicar los ataques porque eliminaba una de las principales barreras del cibercrimen, que era la necesidad de conocimientos avanzados.

De este modo, los compradores no tenían que crear servidores, programar herramientas de captura de datos o diseñar desde cero páginas falsas, sino que todo estaba preparado dentro del kit ofrecido por Kratos.

De hecho, la infraestructura llegó a estar relacionada con unas 15.000 campañas de phishing cada mes, afectando a usuarios de diferentes países y convirtiéndose en una pieza clave dentro del ecosistema criminal.

Así funcionaba el negocio detrás de Kratos

Kratos seguía un modelo parecido al de otros servicios digitales, pero aplicado al delito. Sus clientes podían contratar acceso a la plataforma a través de canales utilizados habitualmente por comunidades criminales online.

A cambio, recibían recursos preparados para lanzar ataques: páginas falsas, sistemas para recopilar credenciales e infraestructura necesaria para gestionar las campañas.

Esto permitía que personas con pocos conocimientos pudieran participar en actividades que antes requerían más experiencia. El creador de la plataforma obtenía beneficios mediante las suscripciones, mientras que sus clientes utilizaban las herramientas para atacar a sus propias víctimas.

La investigación de las autoridades alemanas, con participación de la Oficina Federal de Policía Criminal de Alemania (BKA), permitió identificar la magnitud de la operación y actuar contra los responsables.

La policía incautó servidores y cerró una pieza clave del phishing mundial

La operación terminó con la intervención de la infraestructura utilizada por Kratos, donde las autoridades incautaron servidores relacionados con la plataforma y consiguieron dejar fuera de funcionamiento el servicio.

Además, el supuesto desarrollador y administrador fue detenido en Indonesia, mientras los investigadores continúan analizando la información obtenida durante la operación para identificar a más usuarios de la plataforma.

El cierre de Kratos supone un golpe importante para los delincuentes que dependían de esta herramienta, pero no elimina el problema, ya que el modelo de phishing como servicio continúa creciendo porque permite convertir ataques en productos fáciles de adquirir.

La caída de esta plataforma demuestra hasta qué punto el cibercrimen se ha profesionalizado. Hoy, los atacantes no solo crean sus propias herramientas, sino que también compran servicios diseñados para robar datos a gran escala.

Cabe señalar que esta falta de mantenimiento está creando una oportunidad para grupos de espionaje, sobre todo para los ciberdelincuentes, que ven esto como una mina de oro para llevar a cabo sus atracos.

Por ello, la Agencia de Ciberseguridad e Infraestructuras de Estados Unidos, conocida como CISA, ha alertado de que hackers vinculados al Centro 16 del Servicio Federal de Seguridad ruso, el FSB, están aprovechando fallos en routers de varios países.

Es importante mencionar que su objetivo no siempre es atacar directamente al propietario del router, sino utilizar su enrutador como puente para preparar operaciones contra otras redes.

El router puede seguir funcionando con normalidad mientras los atacantes extraen información, ocultan su ubicación o lo emplean como punto de paso. Para el usuario no hay cortes ni cambios visibles que permitan detectar fácilmente lo que ocurre.

El ataque comienza buscando routers expuestos en Internet

Los responsables de esta campaña rastrean grandes cantidades de direcciones IP hasta localizar dispositivos que permiten conexiones de administración desde el exterior.

Se centran especialmente en routers con versiones antiguas de SNMP, un protocolo utilizado por empresas y administradores para consultar el estado de los equipos y modificar su configuración a distancia.

SNMPv1 y SNMPv2 pueden utilizar unas claves compartidas conocidas como community strings, pero el problema es que muchos dispositivos conservan valores predeterminados o contraseñas demasiado sencillas.

Es aquí donde los atacantes prueban esas credenciales de forma automática hasta encontrar un equipo que acepte sus órdenes.

También aprovechan vulnerabilidades antiguas sin corregir y funciones como Cisco Smart Install, diseñada para facilitar la instalación remota de dispositivos de red. Cuando estas herramientas permanecen activas y expuestas sin necesidad, pueden convertirse en una vía de entrada.

El propio router les entrega a los hackers un mapa de la red

Una vez dentro del dispositivo de red, los hackers pueden ordenar al router que copie su archivo de configuración y lo envíe a un servidor bajo su control mediante protocolos como TFTP.

Este documento puede contener direcciones internas, rutas, interfaces, cuentas locales, reglas de acceso, así como credenciales protegidas con sistemas antiguos.

Con estos datos consiguen entender cómo está organizada la red y qué otros equipos podrían resultar accesibles. Si recuperan contraseñas válidas, pueden probarlas en otros dispositivos, servicios de administración o redes relacionadas.

El router comprometido también puede utilizarse como intermediario, ya que en lugar de conectarse directamente desde una infraestructura vinculada a Rusia, los atacantes hacen pasar el tráfico por una conexión doméstica o empresarial legítima.

La siguiente víctima ve una dirección IP aparentemente normal, lo que dificulta reconocer el ataque, bloquearlo y determinar su verdadero origen.

Cabe señalar que el acceso no se limita al robo de configuraciones, debido a que los routers comprometidos pueden emplearse para rastrear nuevos objetivos y construir cadenas formadas por servidores, proxies y otros equipos secuestrados.

Esta infraestructura permite ocultar las operaciones y acercarse a sectores sensibles. De hecho, CISA señala riesgos para redes de telecomunicaciones, energía, defensa, servicios financieros, organismos públicos y centros sanitarios.

De esta manera, el propietario del primer router puede no ser el objetivo final, pero su conexión puede servir como trampolín hacia una organización de mayor interés.

Cómo impedir que el router se convierta en una herramienta de ataque

La principal medida es mantener actualizado el firmware del router y sustituir los modelos que ya no reciben soporte del fabricante. También deben cambiarse las credenciales de fábrica y utilizar una contraseña distinta a la clave del WiFi.

SNMP también debería apagarse si no se utiliza. En empresas que dependan de este protocolo, CISA recomienda abandonar las versiones 1 y 2, utilizar SNMPv3 con autenticación y cifrado, y limitar las conexiones a sistemas autorizados.

Las organizaciones también deben deshabilitar Cisco Smart Install si no lo necesitan, controlar las transferencias TFTP y revisar cualquier copia de configuración enviada a servidores externos.

Proteger un router no consiste únicamente en impedir que un vecino se conecte a la red. El dispositivo contiene funciones de administración y datos capaces de abrir el camino hacia sistemas mucho más importantes.

Desde hace un tiempo, las claves de acceso (passkeys) se han estado implementando en Windows 11 como uno de los métodos de autenticación alternativos e incluso los expertos recomiendan más el uso de este método que el convencional de contraseñas.

En vez de ser una elección, el gigante de Redmond da un paso a la nueva era de seguridad digital al confirmar que Microsoft Entra ID va a tener las passkeys como predeterminado en menos de un año.

La compañía ha confirmado un cambio que afectará a millones de usuarios y el objetivo principal sería reducir los ataques de phishing y la recopilación de datos de terceros. ¿Sabes cómo funciona o de qué manera te afecta? A continuación tienes toda la información relacionada.

Microsoft apuesta por las passkeys como método predeterminado de acceso

Es oficial, las contraseñas quedan prácticamente "obsoletas", al menos en el servicio de gestión de identidades Microsoft Entra ID, lo cual afecta directamente a las cuentas empresariales, corporativas y educativas.

Microsoft ha confirmado que las claves de acceso se convertirán en el método de autenticación predeterminado en esta plataforma. A partir del 1 de septiembre de 2026, las contraseñas dejarán de ser las protagonistas en el sistema porque la compañía quiere reforzar la seguridad frente a ataques de phishing, robo de credenciales y otras amenazas cada vez más sofisticadas.

Esto quiere decir que la autenticación por SMS o llamada de voz va a quedar en el olvido debido a que ya la característica va a permanecer activa desde el primer momento. De hecho, con la actualización, la próxima vez que los usuarios accedan, van a requerir de la solicitud de una passkey.

"A medida que el lanzamiento llegue a cada organización, los usuarios habilitados para la autenticación por SMS o voz se habilitarán automáticamente para las claves de acceso, y la próxima vez que realicen la autenticación multifactor, se les solicitará que registren una clave de acceso".

No todos los usuarios tendrán que cambiar sus hábitos. Aquellos que ya utilizan métodos considerados resistentes al phishing, entre ellos Windows Hello for Business, claves de seguridad FIDO2, tarjetas inteligentes o las propias passkeys, podrán seguir accediendo con esos sistemas sin ningún cambio.

Debido a que los métodos tradicionales son cada vez más vulnerables con el crecimiento de la inteligencia artificial y otras tácticas que están empleando los hackers, estas decisiones serían la clave para disminuir el impacto, ya que ofrecen una mayor protección frente a intentos de suplantación de identidad.

Adiós al SMS y a las llamadas: el calendario que deben seguir las empresas

Microsoft también confirmó que el 1 de febrero de 2027 retirará el servicio de entrega de autenticación por SMS y voz proporcionado directamente por la empresa.

La recomendación es que la transición debe hacerse rápidamente para obtener una mayor resistencia al phishing. Los equipos con Microsoft Entra ID tienen esa fecha límite para evitar interrupciones en los procesos de acceso.

En el caso de que se llegue a necesitar todavía la autenticación de telefonía, se deberá contratar Microsoft Security Store como única opción.

El gigante de Redmond ha destacado que se han detectado campañas de phishing potenciadas por IA con tasas de clics de hasta el 54 %, frente a aproximadamente un 12 % en campañas tradicionales.

Hacer esto es crucial para la ciberseguridad de las infraestructuras. En cuanto a los usuarios con cuentas personales, no hay ningún cambio por el momento. Se mantiene todo igual, pero eso no quiere decir que en el futuro no se tome una decisión similar.

Se trata de la detención de un presunto integrante de Scattered Spider, uno de los grupos de ciberdelincuencia más conocidos de los últimos años. Lo más relevante es que Windows 11 juega un papel importante en esta historia.

Aunque el sistema lleva años existiendo, ahora genera preguntas entre usuarios preocupados por la telemetría de Microsoft, la recopilación de datos del sistema operativo y el alcance real del seguimiento de dispositivos.

¿Por qué? Pues las autoridades han indicado que el anonimato en internet que intentó hacer este ciberdelincuente cayó gracias a las distintas tecnologías que utilizan grandes empresas para identificar dispositivos, como el llamado GDID (Global Device Identifier).

¿Cómo el GDID de Windows ayudó a identificar a un presunto miembro de Scattered Spider?

Según documentos judiciales y reportes basados en la investigación del FBI, Microsoft proporcionó información de telemetría que permitió relacionar un equipo específico con las actividades ilícitas que se presentaron en el caso.

Estas apuntaban a Peter Stokes, un joven estadounidense y estonio de 19 años, que utilizaba una VPN para ocultar su ubicación real mientras hacía actos vinculados a la organización cibercriminal conocida como Scattered Spider.

Las actividades maliciosas estaban vinculadas a robos de datos, fraudes e intentos de extorsión contra empresas. Según la acusación, el phishing realizado era capaz de acceder a sistemas corporativos, siendo así relacionado con uno de los casos de 8 millones de dólares pertenecientes a una joyería de lujo.

Sus movimientos ilícitos se detectaron gracias a los registros de Microsoft, Google, Apple, Snapchat, Facebook y el identificador GDID de Windows, explica TechRadar.

La combinación de estas tecnologías que trabajan con telemetría fue clave para hallar coincidencias entre ubicaciones en Estonia, Nueva York y Tailandia.

El hacker usaba varios inicios de sesión con distintas cuentas personales configuradas estratégicamente para no ser rastreado, tras la detección de la ubicación, fue arrestado en Finlandia y posteriormente extraditado a Estados Unidos para enfrentar cargos correspondientes.

Eso sí, legalmente sigue siendo en estado de "acusado", ya que será un tribunal quien determine si es culpable o no después del juicio.

¿Qué es el GDID y por qué ha reavivado el debate sobre privacidad?

La VPN es muy utilizada para diferentes situaciones, como protegerte del seguimiento de terceros, mantener el anonimato y acceder a contenido de otros países, pero también tiene sus límites. Este caso deja claro que no es del todo efectiva.

El mencionado GDID no es una novedad, pues Microsoft ha usado por años este tipo de mecanismos de telemetría destinados a mejorar la estabilidad del sistema, detectar fallos, analizar el uso de funciones y reforzar la seguridad.

La compañía también explica que ciertos niveles de recopilación de datos pueden incluir información relacionada con SmartScreen, Microsoft Defender y otros componentes de protección.

Lo que ha generado controversia es que muchos usuarios desconocían hasta qué punto un identificador de dispositivo podía servir. Una parte de la comunidad se encuentra preocupada porque son datos que se comparten, lo cual impacta en la privacidad.

No se trata solo del gigante de Redmond, sino también de navegadores web, aplicaciones, plataformas móviles y servicios en la nube utilizan múltiples métodos para reconocer dispositivos.

Incluso cuando una persona emplea una VPN, siguen existiendo formas de generar una huella digital. Sin embargo, varios expertos afirman que herramientas de telemetría como el GDID son esenciales para la seguridad.

Entre todo esto, lo único claro es que, en la era digital, la identidad de un dispositivo puede resultar tan reveladora como la de la persona que lo utiliza.

Esto es lo que lamentablemente han encontrado el FBI, Google y otras organizaciones tecnológicas tras realizar una investigación que ha llevado a desmantelar parte de una de las infraestructuras de proxy residencial más importantes detectadas en los últimos años.

Muchos de los riesgos están relacionados con aparatos inteligentes que suelen estar en casa, desde Smart TVs hasta dispositivos de streaming y más.

La amenaza se esparce de forma silenciosa, pero finalmente han dado con ella para detenerla, aunque deberías conocer todos los detalles para evitar que en el futuro seas una de las víctimas.

El operativo que debilitó a NetNut y la relación con la botnet Popa

Los casos de ciberdelincuentes que se han apoderado de dispositivos abundan, pero como el reciente reportado por las autoridades no se había visto en mucho tiempo.

La situación gira alrededor de riesgos relacionados con botnets, Android TV comprometidos, ciberataques basados en dispositivos domésticos inteligentes y el creciente mercado de redes proxy utilizadas tanto para fines legítimos como ilícitos.

Por eso, los expertos están advirtiendo que detrás de una aparente oferta atractiva, puede haber una puerta abierta para los hackers que solo buscan conectarse a tu red sin que lo notes.

Según el medio CNET, el 2 de julio, el FBI ejecutó una confiscación autorizada por un tribunal contra múltiples dominios vinculados a NetNut.

El informe de la agencia explica que se trata de una operación que estuvo coordinada con el Departamento de Justicia de Estados Unidos y la división de Investigación Criminal del IRS junto a Google, Lumen Technologies y la Fundación Shadowserver.

Gracias a esta colaboración de múltiples entidades, la investigación avanzó de una manera rápida hasta dar con la infraestructura vinculada a la red botnet Popa en NetNut (propiedad de Alarum Technologies).

Esta recibió un aviso de incautación de dominios por parte de las autoridades estadounidenses. NetNut se solía vender públicamente como una empresa legítima de proxy residencial, donde ofrecía servicios de IPs reales para proyectos, pero detrás de todo esto, en las sombras, estaba la botnet de 2 millones de dispositivos Android TV y aparatos inteligentes.

Básicamente, la empresa ocultaba las acciones ilegítimas de hackers. El software malicioso (Popa/Vo1d) se instalaba automáticamente en los equipos sin consentimiento.

Con estas aplicaciones lograron adherirse a nodos de proxy residenciales con los que podían ampliar sus actividades. Google afirmó que las medidas adoptadas provocaron lo siguiente:

"Una degradación significativa de la red proxy de NetNut y sus operaciones comerciales, reduciendo el grupo de dispositivos disponibles para el operador proxy en millones".

La razón por la que no se podía dar cuenta de estos movimientos era porque estas redes parecían de tráfico normal. Así permanecieron por mucho tiempo creando estrategias de robo de credenciales, extracción de datos y otras operaciones ilegales.

De acuerdo con el FBI, estos servicios funcionan como intermediarios que hacen parecer que una conexión se origina desde otra ubicación, dificultando la identificación de los responsables reales de los ataques.

Si utilizas televisores inteligentes, dispositivos de streaming o productos conectados a internet dentro de tu hogar, deberías percatarte de su procedencia, si tiene soporte activo o si te lo han vendido con "recompensas" u ofertas muy bajas para engancharte.

¿Por qué? Las autoridades destacan que el ataque ha estado principalmente en decodificadores económicos y sin marca que venían pre-hackeados de fábrica.

Cómo millones de Android TV terminaron involucrados y qué puedes hacer para protegerte

La botnet Vo1 fue descubierta en 2024 por los investigadores de XLab. Popa fue detectada posteriormente al registrar los movimientos de proxy ilegítimos.

Los atacantes podían utilizar los aparatos infectados para lanzar ataques, recolectar información sensible o ejecutar otras tareas maliciosas mientras ocultaban su verdadera ubicación.

La compañía, propiedad de Alarum Technologies, con sede en Israel, ofrecía sus servicios de forma abierta mediante un sitio web comercial. Esta parece una estrategia sofisticada de parte de los piratas informáticos, debido a que el rastro de las autoridades llevó directamente a NetNut, perteneciente a esa empresa.

Según Google, la plataforma era uno de los mayores operadores de redes proxy residenciales del mundo, por lo que millones de personas podrían verse afectadas sin saberlo.

Para reducir el riesgo de formar parte de una botnet similar, los especialistas recomiendan prestar atención al origen de los dispositivos que se compran porque a veces las opciones genéricas o los que son demasiado baratos suelen tener modificaciones relacionadas.

De hecho, muchos dispositivos promocionados en redes sociales que eran parte del problema también se encontraron en la lista de infectados. Optar por fabricantes reconocidos es mejor y mantener los equipos actualizados con los últimos parches de seguridad.

Este se suma a la lista de los mini-PC ARM Linux potentes con los que se pueden hacer acciones de hacking ético. Sin embargo, las capacidades son más complejas de lo que se imaginaba.

Lejos de vender una visión perfecta del producto como muchas marcas, el cofundador Pavel Zhovner ha reconocido abiertamente lo complicado que ha sido desarrollar el dispositivo, tanto que ha llevado a la empresa a pedir ayuda directa a la comunidad antes incluso de lanzar el producto al mercado.

Un cyberdeck Linux de bolsillo que apunta mucho más alto que el Flipper Zero

Hay muchas diferencias entre el Flipper Zero y el Flipper One porque este último es una evolución muy grande. Con componentes como el procesador Rockchip RK3576 de 8 núcleos, junto a una GPU Mali y una unidad de procesamiento neuronal capaz de ejecutar modelos de IA de forma local, es un aparato sumamente avanzado.

A ello se sumarían 8 GB de memoria RAM, dos puertos Gigabit Ethernet independientes, conectividad WiFi 6E compatible con modo monitor, soporte para módems 5G mediante ranuras M.2 y salida HDMI 2.1 con resolución 4K.

De hecho, es apto para trabajar en el mundo de las redes IP, incluyendo WiFi, Ethernet, conectividad 5G e incluso comunicaciones satelitales.

Sin embargo, Flipper Devices afirma que la versión One no es un sucesor directo, ni una nueva generación, sino un equipo que opera en un sector distinto.

Es un ordenador Linux completo en un dispositivo que cabe en el bolsillo y, en efecto, usa el mismo microcontrolador RP2350 de la Raspberry Pi Pico 2.

En este punto ya se puede entender un poco de la complejidad del proyecto y es por esto que los creadores se preocupan por el software, tanto que están pidiendo ayuda.

Construir un Linux totalmente abierto y sin dependencias propietarias es el verdadero desafío

Más allá del mencionado hardware, lo que realmente está siendo un reto para los desarrolladores es el kernel Linux. El equipo quiere construir el Flipper One sobre este sistema para evitar modificaciones de fabricantes, controladores cerrados y dependencias propietarias.

Para lograrlo, trabajan junto a la firma especializada Collabora con el objetivo de integrar el soporte del RK3576 directamente en el kernel principal de Linux. Pavel Zhovner lo explica diciendo que "Estamos francamente aterrorizados y necesitamos vuestra ayuda”.

En términos resumidos, hay tres puntos que hacen que este proceso sea "temido". Lo primero es que hay que hacer un cambio radical de escala al tener que desarrollar un sistema complejo desde cero.

Lo segundo es que el dispositivo debe funcionar con un kernel de Linux limpio y directo de kernel.org y esto es un desafío de ingeniería impresionante. En esto es donde están pidiendo ayuda a los desarrolladores para que colaboren en el código abierto a encontrar soluciones o propuestas viables.

Lo otro es el "miedo" a las prohibiciones tras el veto de Amazon y Canadá con respecto a Flipper Zero ante las acusaciones falsas de que el dispositivo sería para "robar coches".

La hoja de ruta también contempla el desarrollo de Flipper OS, una capa basada en Debian que introducirá un sistema de perfiles completos para guardar instantáneas del entorno.

En sí, todavía queda mucho por recorrer, pero es interesante ver el proceso en tiempo real del equipo y la forma en la que la comunidad apoya este nuevo lanzamiento, el cual podría llegar alrededor de otoño de 2026.

Si eres uno de los aficionados a este tipo de equipos, probablemente has escuchado de alternativas como Kode Dot, High Boy y HackyFi. Estas opciones son muy buenas también y están a un precio asequible, pero ninguna se asemeja a lo que ha logrado 4G Hacker Phone.

Particularmente, destaca porque a primera vista parece un smartphone clásico. Sin embargo, es un aparato que cuenta con diversas tecnologías de comunicación y seguridad que lo hacen realmente interesante.

Si eres desarrollador o ya sabes un poco acerca de Flipper One, la siguiente formación de este proyecto seguramente va a llamar tu atención.

Una alternativa discreta a Flipper Zero que pasa por un smartphone común

¿Y si en vez de llevar los dispositivos extraño tuvieras uno similar a un teléfono? Es normal que un Flipper Zero llame la atención al instante porque se ha vuelto popular, posiblemente el diseño sea muy particular para muchos.

Eso no sucedería con el 4G Hacker Phone, un dispositivo desarrollado por el experto John Breeze, que es fácil de confundir con un smartphone clásico.

A diferencia de otros equipos de hacking, este podría pasar desapercibido porque integra las mismas capacidades, pero en un cuerpo pequeño que recuerda al iPhone 2G original.

Tal y como se pudo apreciar en el vídeo compartido, el objetivo principal es que puedas transportarlo fácilmente y usar todas las herramientas que necesites del mismo modo que haces con los demás.

Por ejemplo, una gran parte de este tipo de gadgets suele contar con antenas llamativas o colores brillantes, así también como una estructura física que es fácil de diferenciar.

Con respecto a sus funcionalidades, tienes cosas como LoRa para la comunicación es a larga distancia, compatibilidad con conectividad Wi-Fi y bluetooth, GPS, radio Sub-GHz y soporte para redes LTE-M.

Todo eso en un equipo que tan solo cuenta con 15 mm de grosor y por eso es que se convierte en una excelente herramienta para viajes o comodidad al trasladarlo en los bolsillos.

¿Por qué el 4G Hacker Phone supera otras alternativas portátiles?

Es básicamente un híbrido entre un smartphone y una herramienta profesional de hacking. Puedes llevarlo fácilmente con un móvil y realizar acciones como pruebas de seguridad inalámbrica, interceptando o enviando señales de radio por Sub-GHz o clonar controles remotos como haces con Flipper Zero y rastrear ubicaciones con el GPS y LTE-M.

Si tienes los conocimientos necesarios, seguro que vas a poder aprovecharlo al máximo para poder hacer tareas de hackeo ético o automatizaciones.

Por otro lado, el 4G Hacker Phone cuenta con la ventaja de ser ensamblado por el propio usuario, por lo que es posible montar tu propia unidad funcional.

El dispositivo incorpora elementos útiles para el día a día, como pantalla táctil capacitiva, una batería de 3000 mAh e IMU (indicador). A esto se le suma una ranura microSD para ampliar almacenamiento, conector de auriculares de 3,5 mm y conectividad USB-C.

Cabe destacar que una de las cosas que faltan para muchos es la compatibilidad con RFID y NFC, pero Breeze explica que no lo ha hecho porque conllevaría un gasto mayor y complicaciones en el diseño de las antenas.

Este 4G Hacker Phone se encuentra alrededor de 100 dólares (aproximadamente 88 euros) si ensamblas por tu cuenta o unos 150 dólares (aproximadamente 131 euros) con servicios de montaje incluidos, según datos publicados en PCBWay.

Hay muchísimas disponibles para realizar las conocidas como pruebas de penetración, el escaneo de redes, la búsqueda de técnicas de typosquatting –la introducción de caracteres parecidos en un término legítimo–, etc.

Aunque he encontrado una forma muchísimo mejor para tener toda la ayuda de la inteligencia artificial de Claude Code junto a herramientas imprescindibles, como Nmap, TruffleHog, Maigret y hasta 183 en total.

Todo esto gracias a un repositorio de GitHub conocido como hackingtool-plugin, una extensión que es prácticamente una navaja suiza dentro de Claude Code, y cuyo corazón es Z4nzu/hackingtool, un repositorio conocido de esta plataforma, que recopila numerosas utilidades de seguridad.

Aunque tal y como explica su desarrollador, AKCodez en GitHub, el plugin está exclusivamente diseñado para pruebas de seguridad autorizadas, programas de recompensas por errores –bug bounty– e investigaciones legítimas en entornos controlados.

Dicho esto, te cuento todas las herramientas que puedes utilizar junto a Claude Code, además de cómo usarlo de forma que sea segura y controlada, para evitar problemas de seguridad.

Qué herramientas podrás tener

Lo fundamental de este plugin es que reúne muchísimas aplicaciones imprescindibles para realizar investigaciones; de las 183 disponibles, aquí puedes ver 10 herramientas clave que puedes probar junto a Claude Code:

• Maigret. Es probablemente una de las más potentes de la lista, ya que permite rastrear por diferentes nombres de usuario en más de 3.000 webs al mismo tiempo. Si necesitas encontrar perfiles o verificar diferentes identidades digitales, es clave para una investigación.
• The Harvester. Un clásico muy popular para la investigación de fuentes abiertas (OSINT), ya que cuenta con capacidad para recolectar desde nombres y subdominios hasta direcciones IP, siempre de fuentes públicas, como buscadores y diversas bases de datos.
• DNSTwist. Esta herramienta es un estándar para la investigación de phishing, los correos maliciosos que buscan engañar al usuario con dominios que se parecen a nivel visual. Por ejemplo, reconoce perfectamente si los caracteres introducidos han sido modificados e intentan suplantar un dominio legítimo, como hacer pasar por "google.com" con "g00gle.com".
• Nmap. Es otra de las insignias principales para el escaneo de redes, ya sea que quieras asegurar tu red propia en casa o de algún negocio. Además de descubrir qué puertos están abiertos en un servidor, revela posibles vulnerabilidades y puertas de entrada a la red.
• TruffleHog. Como su propia traducción indica, este término hace referencia a los cerdos que olfatean trufas muy valiosas bajo el suelo. Concretamente, puede buscar contraseñas, API y tokens que puedan haberse filtrado por errores en sistemas o en repositorios.
• Subfinder. Si lo que te interesa es la recopilación de subdominios, es permite localizar todas las ramificaciones de una web, de forma muy rápida.
• Nuclei. Esta herramienta es otro escáner de vulnerabilidades de código abierto, y permite realizar automatizaciones para detectar diferentes fallos de seguridad, servicios expuestos en diferentes ámbitos y muchas otras funciones básicas, teniendo como origen plantillas, con un índice muy bajo de falsos positivos.
• Holehe. Con esta podrás ubicar en más de 120 sitios web, mayormente de redes sociales como Instagram, X, LinkedIn, etc. cualquier correo electrónico.
• Sqlmap. La inyección SQL es una de las principales preocupaciones de los equipos de seguridad. Gracias a Sqlmap, se pueden detectar a tiempo fallos de este tipo en bases de datos web, quizá de los ámbitos más importantes de la seguridad defensiva.
• Sherlock. Es muy parecida a la primera de esta lista, y funciona para buscar cuentas en diferentes redes sociales mediante un nombre de usuario.

Y estas son apenas una pequeñísima parte del conjunto de herramientas, aunque para probar el plugin siempre lo mejor es crear un entorno controlado y seguro, para que tu máquina principal no se vea afectada.

Cómo probar este plugin de forma segura

En mi caso, la he probado con Windows 11 como sistema anfitrión; lo más importante es que necesitas Claude Code, ya que lo demás es bastante sencillo de configurar.

Lo primero es instalar las últimas versiones de Python –es el lenguaje que permite a Claude Code comunicarse con el plugin–, de la Powershell si lo estás configurando en Windows, además de la última actualización de Docker Desktop.

Para obtener las últimas versiones de cada una de ellas, simplemente abre la Powershell en Windows y ejecuta el comando winget install de cada una de ellas; en cuanto a Docker Desktop, puedes descargarla desde la tienda de aplicaciones de Microsoft.

Docker te permitirá que cada herramienta se ejecute dentro de un contenedor aislado, por lo que tendrás aislamiento de tu sistema Windows en un entorno de Linux, sin acceso a tus archivos más importantes del sistema anfitrión.

Este plugin tiene la capacidad de reconocer si Docker está ejecutándose, por lo que lo elige como el método favorito; en caso contrario, funcionará mediante WSL o ya con instalación nativa.

Con Docker activado en segundo plano, simplemente tendrás que abrir la terminal de nuevo en la sesión de Claude y ejecutar el comando /plugin marketplace add AKCODEZ/hackingtool-plugin para añadirlo a los disponibles.

Para instalarlo, simplemente copia, pega y ejecuta el siguiente comando: /plugin install hackingtool@hackingtool-marketplace.

Tras esto, cada vez que la quieras usar, solo abre Claude Code y conversa en lenguaje natural para ejecutar la herramienta que prefieras, con un asistente inteligente que te ayudará en todo.

Esto es lo que se conoce como hackers de sombrero blanco, los responsables de utilizar sus habilidades para hacer el bien, en definitiva, identificando vulnerabilidades en sistemas, redes y aplicaciones a cambio de una recompensa.

Por supuesto, todos ellos cuentan con una autorización previa de la organización en cuestión, tanto organismos públicos como negocios privados, que conceden en muchas ocasiones recompensas muy jugosas a estos hackers de sombrero blanco.

En el extremo opuesto aparecen los hackers de sombrero negro, los ciberdelincuentes que suelen acaparar prácticamente todas las noticias, y que buscan vulnerabilidades para explotarlas o venderlas en mercados negros de la dark web, Telegram y otros foros criminales.

Dentro de esto mundo, el término concreto para estos programas de recompensas es el de bug bounty, que proviene de términos que describen esto mismo: un bug que los ciberdelincuentes pueden explotar, pero con un pago económico –bounty– para los hackers de sombrero blanco que los descubren antes.

Ahora bien, no todo sirve en este ámbito, ya que esto requiere de permisos especiales, aunque ha habido casos en el pasado de hackers que actuaron por cuenta propia y, lógicamente, comunicaron a las organizaciones las vulnerabilidades descubiertas.

Un trabajo que nunca fue bien visto, incluso por las big tech

Algo realmente curioso de esta industria es que, además de que mueve millones de euros, siempre estuvo marcada por la polémica, debido a que muchas compañías solían acabar demandando a los hackers que comunicaban a las empresas las vulnerabilidades.

La primera recompensa de este tipo fue, no obstante, un Volkswagen Beetle –el afamado y popular escarabajo– o 1.000 dólares en efectivo, de la mano de la compañía Hunter & Ready, que buscaba promocionar su sistema operativo, VRTX.

En aquel entonces corría el año 1983 y esta empresa aseguraba que su sistema era totalmente robusto, así que decidieron ofrecer esta recompensa para atraer a este tipo de hackers, así como descubrir posibles vulnerabilidades que se les hubieran escapado, algo que puede ocurrir perfectamente –y que continúa ocurriendo–.

Aunque la verdadera revolución de este concepto llegó ya bien entrada la década de los 90, cuando Netscape Navigator se convirtió en uno de los navegadores webs más importantes, aunque se enfrentaba a una realidad preocupante, ya que sus ingenieros no daban abasto para corregir los fallos que la comunidad reportaba.

Uno de los ingenieros de soporte técnico de Netscape Communications, Jarrett Ridlinghafer, se dio cuenta de que muchos usuarios compartían directamente la solución para corregir dichos fallos, como se dice popularmente, "por amor al arte".

Así nació el Netscape Bugs Bounty Program durante el lanzamiento de la segunda versión de Netscape Navigator, una iniciativa que supuso un antes y un después en la capacidad de la compañía para corregir fallos.

Con el comienzo del siglo XXI y la consolidación de un sector tecnológico con compañías enormes, como Microsoft, Apple u Oracle, muchos hackers se pasaron al lado oscuro y los foros donde se vendían vulnerabilidades a cambio de dinero se dispararon.

Al principio, todas estas grandes compañías se opusieron al modelo de bug bounty, sobre todo con una posición contraria muy marcada por Microsoft, una de las últimas en lanzar su programa propio, ya en 2013, con las primeras recompensas en Windows 8 e Internet Explorer 11.

Todo ello gracias a Katie Moussouris, que logró no solo convencer a Microsoft, sino también al propio Pentágono de Estados Unidos, que lanzó el programa Hack the Pentagon en 2016, un cambio de paradigma que permitía a civiles intentar atacar sus sistemas y redes de forma controlada.

Cómo empezar en este mundo y alcanzar los programas más importantes

Como en cualquier campo, lo más recomendable es aprender a andar antes que a correr. Para ello, siempre conviene haber probado diferentes páginas que se centran en el reconocimiento de vulnerabilidades críticas, de forma gratis y con ejemplos en laboratorios prácticos.

En tal caso, necesitarás comenzar poniendo en práctica conocimientos de diferentes materiales, como usar correctamente la terminal de Linux, el manejo de lenguajes de programación –con Python como prácticamente obligatorio–, así como términos básicos de redes y sistemas.

Adicionalmente, es obligatorio entender el OWASP Top 10, que enumera los 10 riesgos de seguridad más críticos, desde inyecciones SQL hasta controles de acceso defectuosos.

Una vez hayas entendido a nivel teórico todo esto, el segundo paso consiste en practicar en laboratorios preparados para tal fin, con páginas como TryHackMe o Hack The Box, que te propondrán retos con los que conseguirás afianzar los conocimientos.

En la etapa final, lo mejor es comenzar desde lo más básico: muchas organizaciones ofrecen puntos de reputación, en lugar de recompensas económicas, incluso con vulnerabilidades de menor gravedad.

Para poner a prueba a diferentes organizaciones, necesitarás acceder a alguna plataforma como HackerOne –la más grande de todo el mundo, usada por Uber, Airbnb o el Pentágono– o YesWeHack, esta más centrada en la protección de datos a nivel europeo.

A pesar de que compañías como Apple y Google mantienen sus programas propios, quizá comenzar con vulnerabilidades leves aquí es la mejor alternativa para que el tiempo de trabajo compense lo ganado al final.

Quizá cabe subrayar que, aunque se suele pensar que estas recompensas van a suponer un ingreso económico inmediato, hay muy pocos ejemplos de hackers que hayan ganado millones, aunque los hay.

El primer hacker que superó la barrera del millón de dólares fue un joven argentino de 19 años, Santiago López, quien en 2019 rebasó dicha frontera, precisamente gracias a HackerOne.

Y el selecto grupo de hackers multimillonarios es prácticamente anecdótico, con lo cual estos programas de recompensas hay que tomarlos con pinzas, ya que en muchos casos podrías acabar trabajando sin recibir nada a cambio.

¿Cuál es la diferencia entre estos dos equipos? Aunque se parecen, las características y precios varían. Por eso, antes de hacer una inversión en este hardware hacking para experimentar con señales y sistemas reales, deberías conocer todos los detalles.

En realidad, existen varios puntos clave a considerar y, si es tu primera vez adentrándote en este mundo digital, a continuación tienes la comparativa que siempre has necesitado para finalmente salir de dudas, desde las especificaciones hasta los beneficios que obtienes por el diseño.

Flipper Zero vs Flipper One: diferencias de funcionalidad y especificaciones

Ambas opciones son realmente buenas, pero la diferencia está en que no están destinadas a los mismos objetivos. Tal y como se puede apreciar en esta tabla de especificaciones, hay varias características que determinan el uso y la capacidad en general.

Primero se podría hablar de Flipper Zero, que es la versión más popular debido a que es una multiherramienta digital que se utiliza para interactuar con sistemas inalámbricos, como leer, clonar o emular tarjetas RFID y NFC.

Hay muchos trucos con Flipper Zero que puedes aplicar sin tener que ser un experto, incluyendo controlar dispositivos a través de conexión de infrarrojos o alterar señales de otros mandos.

De hecho, por este motivo es que es tan buscado en internet, porque los aficionados lo buscan para aprender hacking ético de forma práctica. Además, el desarrollo constante de apps para este dispositivo se mantiene al día y hace que la experiencia sea aún más extensa.

Entre sus especificaciones están MCU STM32WB55RG, CPU principal ARM Cortex‑M4 a 64 MHz y secundaria ARM Cortex‑M0+ (radio). La memoria Flash es de 1 MB y la RAM de 256 KB, mientras que tiene una batería de 2100 mAh (Li‑Po).

Ahora, con respecto al Flipper One, es muy distinto porque se centra en otro tipo de acciones. Si alguna vez has utilizado una Raspberry Pi, es algo similar, aunque el enfoque sigue siendo ciberseguridad y redes.

Es un dispositivo que está diseñado principalmente para ser una computadora Linux portátil basada en ARM. Entre sus componentes internos se encuentran una CPU Rockchip RK3576 de ocho núcleos (4× Cortex‑A72 + 4× Cortex‑A53, hasta 2.2 GHz), hasta 8 GB de RAM, almacenamiento de 64 GB UFS 2.2 y una batería de aproximadamente 7000 mAh.

Con su GPU ARM Mali G52 MC3 y NPU de hasta 6 TOPS, es capaz incluso de ejecutar modelos de IA localmente. No solo eso, sino que también incorpora un microcontrolador adicional Raspberry Pi RP2350B con núcleos Cortex‑M33 + RISC‑V encargado de tareas de bajo nivel.

En otras palabras, es un tipo de "cyberdeck" que no solamente puede interactuar con señales, sino también ejecutar software avanzado y desarrollar sobre Linux. Esto convierte a Flipper Zero en una versión "reducida" de esas capacidades al solo poder operar con plano físico en comunicaciones como RF, RFID, NFC e IR.

Por ejemplo, es posible ejecutar Debian, hacer análisis de redes o ser usado como router, VPN y servidor portátil. Además, incorpora soporte para inteligencia artificial.

De hecho, la propia compañía ha aclarado que no se trata de un reemplazo, sino de productos complementarios, diseñados para distintos usuarios y casos de uso.

Diseño y dimensiones: ¿cuál es más portátil y cómodo de llevar?

Es hora de hablar del diseño, uno de los puntos más discutidos por los seguidores de estos dispositivos. La versión Zero tiene un tamaño de 100 × 40 × 25 mm, junto a un peso de 102 g, mientras que la pantalla es LCD monocromática de 1,4 pulgada con resolución 128 × 64 píxeles.

Tal y como se puede apreciar, es un diseño compacto y práctico. La conectividad está estructurada con 13 pines USB‑C (USB 2.0) y ranura microSD (hasta 256 GB). Los botones son prácticos e intuitivos y este color blanco junto al naranja le dan un estilo auténtico.

Ahora, el One es de 155 × 67 × 40 mm y su pantalla también es LCD monocromática, aunque con una resolución de 256 × 144 píxeles y 64 niveles de gris, por lo que supera a la otra versión.

Lo curioso de esto es que tiene conectividad como Wi‑Fi 6 (2.4 / 5 / 6 GHz), Bluetooth 5.2 2 × Ethernet Gigabit y soporte para nano SIM o módem 4G/5G vía M.2.

También tiene dos puertos USB-C (USB 3.1, DisplayPort, carga) y 1 USB‑A (USB 3.1). El HDMI 2.1, Jack 3.5 y M.2 (expansión PCIe/SATA) se posicionan en zonas estratégicas para que puedas usar todo lo que necesites sin inconvenientes.

En este caso, es más grueso y con una cantidad de botones mayor que otorgan más control sobre el dispositivo, considerando que tiene funciones avanzadas en comparación del Zero. En la forma no cambia mucho, pero en la estructura sí, aunque es considerablemente más completo.

Precio y disponibilidad: ¿cuál es el mejor para ti?

El Flipper Zero ya se encuentra disponible y lo puedes solicitar en la página oficial por un precio que está alrededor de los 160 y 200 euros, aunque a veces suele estar escaso debido a su popularidad.

Con respecto al Flipper One, todavía no tiene ni fecha de lanzamiento ni precio oficial. Se está a la espera de que los desarrolladores anuncien esta información.

Sin embargo, considerando que esta versión tiene características más avanzadas con mejores especificaciones, lo más probable es que su valor sea elevado.

Hablamos del acceso de máximo nivel a todos sus streamings y sus claves. La posibilidad de detener la retransmisión en directo, o sustituirla por un rickroll: el meme del vídeo musical de Rick Astley, como ella misma bromea.

Con control total de las cinco cámaras de cada estadio, los datos que ven los comentaristas, e incluso la opción de cambiar los mensajes que retransmiten durante los partidos. La historia es surrealista, pero está perfectamente documentada.

Hackeando las transmisiones del Mundial de Fútbol

Según cuenta bobdahacker en su blog, la FIFA tiene una plataforma pública para registrarte como representante de futbolistas. Lo único que tienes que hacer es meter tus datos, tu DNI, y un email.

Con esta cuenta, tuvo acceso a la web de Agentes de Fútbol de la FIFA. Desde ahí intentó entrar en la plataforma de datos de la FIFA, a la que los representantes tienen acceso, con datos públicos de los equipos, jugadores, etc.

La plataforma le negó la entrada, informándola de que no tenía ningún rol asignado. Vamos, que su cuenta aún no había sido reconocida por el sistema. Algo lógico, acababa de registrarse y no habían comprobado su identidad.

La sorpresa llegó cuando, como hacker que era, se dió cuenta de que todo esto ocurría del lado del cliente. La aplicación comprobaba si el JWT (pase de acceso) contenía el marcador NO_ROLES y mostraba la página de acceso denegado. ¿Y las API del backend? No comprobaban nada. Simplemente servían lo que se les pidiera.

Solo tuvo que sortear estos controles del lado del cliente, algo muy fácil para un hacker, y obtuvo el acceso total al panel de gestión del streaming del Mundial. “Me quedé con la boca abierta”, asegura bobdahacker.

Desde esta plataforma, podía acceder a todos los streamings en directo o en diferido de todos los partidos. A cada cámara. A cada clave de streaming. Incluso al botón que permite parar la transmisión en directo y dejar a cientos de millones de personas con una imagen en negro, como se ve en esta captura:

Incluso pudo ver un partido en su PC con el reproductor VLC. Como la clave del streaming estaba dentro de la propia dirección URL, podía cambiar el contenido por cualquier vídeo o mensaje, y eso es lo que verían cientos de millones de personas en directo.

El acceso total a las pantallas de los comentaristas le permitía hacer cosas como modificar las notas de los comentarios editoriales y publicarlas en los sistemas de retransmisión, adelantar o retrasar el pitido del árbitro para iniciar el partido, o cambiar las alineaciones, los resultados y las estadísticas que los comentaristas usan en las retransmisiones en directo.

Por supuesto, no tocó nada, porque podría cometer un delito grave. Intentó contactar con los correos y números de móvil de los servicios legales y de tecnología de la FIFA. Nadie le respondió. Finalmente contactó con el FBI, que le dijo que lo comprobarían.

A la mañana siguiente, la vulnerabilidad estaba corregida. Ella no recibió ninguna llamada de la FIFA. Ningún agradecimiento. Menos aún, una recompensa. Así suele ocurrir casi siempre. Si el hackeo a las transmisiones del Mundial de Fútbol 2026 lo hubiese llevado a cabo un ciberdelincuente, el daño podría haber sido gravísimo.

Esta es una de las conclusiones a las que ha llegado Stoïk, una compañía tecnológica especializada en riesgos, en su Informe de Siniestros Cibernéticos 2025, que apunta a que los meses de julio y agosto son los más peligrosos para las compañías.

Desde la firma sostienen que la frecuencia de siniestros aumentó a lo largo del año pasado y que no solo hay más ataques, sino también una transformación en la detección, el reporte de ellos y la respuesta para subsanarlos.

Julio y agosto, los meses con mayor pico de siniestros

Para los delincuentes, la época estival es la más indicada para ejecutar sus campañas maliciosas, debido a las vacaciones y la desconexión de los empleados, tal y como afirma esta insurtech en el documento, recientemente presentado.

Tanto es así que, en los meses de julio a agosto se da "una explosión de ingeniería social", con un fuerte incremento de BEC", esto es, el compromiso de correo electrónico empresarial, así como de otros fraudes.

"Las ausencias estivales correlacionan directamente con procesos internos de verificación debilitados", apuntan en el documento, donde tam bién subrayan que los atacantes se adaptan a los ritmos de las organizaciones y no al calendario.

De ese modo, "explotan descensos previsibles en la supervisión, sobrecarga de procesos y períodos de fatiga, especialmente en departamentos administrativos y financieros, para maximizar el impacto", según los investigadores.

Así, el 69% de los incidentes en ciberseguridad que se registraron en los meses de junio, julio y agosto estuvieron relacionados con el fraude por correo electrónico, teniendo por víctimas principales a las empresas que forman parte del sector turístico.

Dentro de este, las firmas dedicadas al alojamiento vacacional concentran más de la mitad de los incidentes de ciberseguridad, con un 51%, seguido de las agencias de viajes y servicios de reservas (con un 21%), así como la hostelería (15%), sector en el que se han incrementado en gran medida estos ataques frente a 2024.

En este sentido, desde Stoïk también han subrayado que los incidentes relacionados con el email supusieron un 60% del total de ciberataques registrados en 2025, seguidos del compromiso de activos expuestos a internet (12%), el compromiso de activos internos (7%) y el ransomware (5%).

Ransomware multi-extorsión y ataques DDoS

En este documento, los investigadores también han querido poner el foco en las tácticas de ransomware más utilizadas a lo largo del año pasado, un formato de ataque que "ya no se limita al cifrado", según los expertos.

En este sentido, han matizado que la doble extorsión o multiextorsión se ha consolidado como norma, esto es, con cifrado y exfltración de datos, Asimismo, se mantiene la intimidación telefónica, debido a que los atacantes llaman directamente a la centralita de estas empresas o bien a directivos para exigir negociaciones en horario laboral.

Los ataques DDoS, por otra parte, son habituales para visibilizar la crisis de las empresas víctimas de estas campañas maliciosas, que también se exponen a que los atacantes difundan vídeos, capturas de pantalla o datos en foros de la dark web "para demostrar credibilidad y escalar la presión".

Finalmente, el informe sostiene que el contacto directo, tanto con clientes como con proveedores, es una de las principales armas de los atacantes para avergonzar a las víctimas y amplificar los daños reputacionales de estas organizaciones.

Este será un año de "riesgo convergente"

Para concluir su análisis, Stoïk ha compartido un manifiesto de Vincent Nguyen, su CISO, que ha valorado cómo cree que será el resultado de este año, en base a lo sucedido en 2025 y lo que llevamos de 2026.

En este sentido, ha dicho que "será un año de convergencia" en el que la ciberseguridad, el cumplimiento de las normativas y la inteligencia artificial "colisionarán en la operativa diaria, no en el plano teórico".

"El ecosistema de adversario es maduro", ha señalado el directivo, que ha insistido en que la generación de delincuentes surgida a comienzos de la década de 2010 "ha alcanzado una sofisticación operativa real" y que también se dan nuevos actores que siguen generando un volumen alto de intentos de ataque "poco sofisticados".

A pesar de ello, "la higiene básica" de las empresas a la hora de introducir barreras y sistemas de seguridad para limitar los ataques de estos otros "sigue siendo esencial", debido a que "los actores más avanzados serán más precisos, rápidos y selectivos".

El malware conocido como Miasma ha infectado 73 repositorios de Microsoft en GitHub. La plataforma se ha visto obligada a cerrarlos temporalmente para evitar que los atacantes pudiesen infectar los dispositivos con código malicioso con el que robar contraseñas.

Un malware para robar tus contraseñas de Microsoft

GitHub salta de un problema a otro recientemente con caídas continuas y amenazas de seguridad. Microsoft es el último afectado con el cierre temporal de repositorios como Microsoft Azure, Azure-Samples, Microsoft y MicrosoftDocs.

Los de Redmond advierten que este nuevo malware permitía a los atacantes robar contraseñas en aplicaciones populares de programación de IA como Claude Code, Gemini CLI, VS Code y Cursor. Miasma es extremadamente letal y GitHub no podía permitirse un nuevo hackeo masivo.

Cloudsmith, empresa de seguridad, fue la primera en alertar de esta amenaza a través de GitHub. Miasma es una variante de Mini Shai-Hulud, cuyo código fuente fue publicado por el grupo de ciberdelincuentes TeamPCP.

Todo comenzó cuando los hackers consiguieron acceder a la cuenta de GitHub de un empleado de Red Hat para atacar el espacio @redhat-cloud-services. Miasma no ha tardado en extenderse hasta 73 repositorios de Microsoft.

Microsoft acaba con la amenaza de GitHub

Microsoft Threat Intelligence informó a principios de mes que los atacantes de Miasma operaban con 32 paquetes maliciosos en más de 90 versiones en @redhat-cloud-services para robar claves de acceso en la nube. Poco después llegó a repositorios públicos como "icflorescu/mantine-datatable".

Los de Redmond se vieron obligados a cerrar los repositorios afectados hasta asegurarse de que están libre de malwares. Microsoft ya trabaja para reestablecerlos cuanto antes con seguridad , aunque no será una tarea sencilla.

“Nuestra prioridad es proteger a los clientes y al ecosistema en general. Eliminamos temporalmente algunos repositorios mientras investigábamos posible contenido malicioso. Algunos de estos repositorios se han restaurado tras la revisión, mientras que otros podrían permanecer fuera de línea mientras continuamos trabajando”, según un portavoz de la compañía para The Hacker News.

Los de Redmond confirman que se pondrán en contacto con los clientes de nuevo a través de los canales de soporte habituales "si se detecta algo más que requiera la intervención del cliente".

El más interesante es el SSD T-Create Expert P35SG. En la foto de apertura puedes ver la generación anterior, que se autodestruye deslizando hacia abajo un botón rojo. Hay que hacer un poco de fuerza, no se activará por error. Es una especie de “botón de pánico”, que exige tener el SSD físicamente en la mano.

La nueva versión es más avanzada, ya que permite destruir el SSD a distancia. No requiere una conexión a Internet. Simplemente, enviar un mensaje de texto a través de 4G.

Así funciona el SSD que se autodestruye

Al recibir un mensaje concreto, el SSD borra al instante todo su contenido. Pero no se queda aquí. En primer lugar, realiza un borrado lógico profundo de los datos almacenados. A continuación, una descarga de alta tensión daña físicamente el propio hardware. Con esta técnica la unidad no se puede recuperar, porque los datos han sido, literalmente, quemados por una descarga de alto voltaje.

Esto es una ventaja con respecto a la anterior versión, ya que no es necesario tenerlo en las manos para destruirlo. Muy útil si te lo roban o lo pierdes.

Otra novedad de T-Create presentada en la feria es un curioso SSD con pantalla de tinta electrónica, el modelo T-Create Expert P33 SSD. Puedes verlo aquí:

La pantalla de e-ink muestra datos muy prácticos de la unidad, como el espacio libre que queda, o el estado de salud del disco. La genialidad es que, al tratarse de una pantalla de tinta electrónica, no consume energía cuando está estática. Así que mostrará la información eternamente.

Sus datos se actualizan cuando apagas la unidad, realizando un chequeo del espacio libre y de la salud del SSD. En el caso del chequeo, solo una vez a la semana o al mes, según decidas.

Son ideas realmente curiosas, pero al mismo tiempo, muy prácticas. Teamgroup sigue innovando y pensando en los consumidores, en un mercado en el que casi todos los fabricantes se han vendido a la IA, dejando tirados a los usuarios.

El altavoz Sound Blaster Katana V2X vendido por Creative Technologies está en el punto de mira. Este dispositivo se vende por cerca de 283 dólares en Estados Unidos, unos 250 euros al cambio, y podrían ser la puerta de entrada para los hackers.

Un altavoz desde el que hackear un PC en remoto

El investigador Rasmus Moorats ha descubierto casi por casualidad que el Sound Blaster Katana V2X supone un enorme peligro para su seguridad. Esta barra de sonido se conecta a ordenadores, Mac y dispositivos Linux mediante USB o bluetooth, pero tiene un enorme problema.

Moorats ha creado una herramienta extremadamente simple para Linux que se comunicara con su altavoz utilizando CTP (Creative Transport Protocol). Esta función permite que los dispositivos conectados a través de bluetooth o USB envíen comandos sencillos al altavoz.

El experto en seguridad puede cambiar el color de los LED, cambiar el volumen, parar la reproducción o configurar los graves en remoto, incluso permite que los dispositivos reciban respuestas del altavoz. El Sound Blaster Katana V2X se conectaba al PC sin necesidad de autenticación, ni siquiera era necesario emparejarlo previamente.

El altavoz favorito de los hackers

La posibilidad de no necesitar autenticación ni emparejamiento permite cargar un nuevo firmware en el dispositivo, no hay restricciones a la hora cargar código malicioso. Los Katana V2X terminan dejando una puerta abierta para los hackers.

Rasmus Moorats ha llevado a los altavoces al límite. “Al combinarlo todo, pude cargar de forma totalmente remota, a través del aire, un firmware personalizado a mi altavoz con el que no estaba emparejado, que se reiniciaría, flashearía el firmware personalizado y, después del reinicio, escribiría el comando echo pwned y lo ejecutaría”, explica en una publicación en su blog.

El hacker solo tendrá que abrir powershell.exe o similar y pegar un código malicioso. “Un atacante real probablemente también deshabilitaría la rutina de actualización del firmware tanto en modo normal como en modo de recuperación, lo que imposibilitaría borrar el firmware malicioso del dispositivo o parchearlo en el futuro”, asegura Moorats.

El bluetooth siempre está activo en el altavoz, incluso en modo de suspensión, no hay forma de desactivarlo. Los dispositivos solo realizan un intercambio de claves automático cada vez que se inicia el software, un obstáculo muy sencillo de superar, el hacker explica que la propia respuesta está en el archivo de la aplicación del altavoz.

NEO supera así al chip N1 de Neuralink, la empresa de Elon Musk, que aún no ha superado la fase de pruebas.

El chip NEO está diseñado para mejorar el sistema nervioso de los pacientes con lesiones medulares y parálisis. Pero esto es solo el principio.

Los chips cerebrales: un futuro con claroscuros

Estos chips que se implantan en el cerebro, tienen dos caras diferentes. Por un lado, su capacidad para mejorar la vida de pacientes con lesiones cerebrales o medulares. En las pruebas ya se ha conseguido que pacientes con parálisis mejoren su movilidad o, como en el caso del chip de Neuralink, que puedan manejar el ratón del ordenador con la mente.

Nadie discute estas aplicaciones, que son muy beneficiosas. El problema surgirá cuando se implanten chips cerebrales en personas completamente sanas, para obtener una ventaja competitiva que no tendrán los que no puedan pagarlo, o no quieran implantarse uno. Ya están en estudio chips que mejoran la concentración, o que estimulan ciertas partes del cerebro para memorizar mejor.

Muchos expertos opinan que, como ocurre con la IA, aunque no quieras, te verás obligado a implantarte un chip en el cerebro para no perder tu trabajo.

“Alguien con quien trabajas será el primero en adquirirlo. Y tú te resistirás durante un tiempo, igual que hiciste con el smartphone. Pero al final, acabarás cediendo. Las ventajas de la integración serán difíciles de superar”, son palabras del propio Sam Altman, CEO de OpenAI, y del empresario tecnológico especializado, Peter Thiel, según recoge New York Post.

Y hay un problema adicional: los hackers. “Los implantes cerebrales pueden parecer algo propio de una distopía, pero constituyen un campo prometedor de la investigación en neurociencia”, defiende el doctor David Tuffley, experto en ciberseguridad de la Universidad Griffith.

Y continúa: “Algún día, quizá todos tengamos chips cerebrales que nos ayuden a recordar dónde están nuestras llaves. Sin embargo, esta tecnología teóricamente permitiría a los piratas informáticos acceder a datos neuronales confidenciales, como los pensamientos y los recuerdos de los pacientes”.

Ya no es impensable que los criminales implanten un chip a un víctima para obtener claves o información privada, o que la policía haga lo mismo para obtener la confesión o las prueba de un asesino.

Según los creadores del chip NEO, los implantes cerebrales podrían mejorar la vida de más de 3.000 millones de personas con trastornos neurológicos, especialmente los relacionados con el movimiento y el habla. Pero ya están trabajando para ayudar a las personas que sufren depresión, epilepsia, ictus y Parkinson.

La vulnerabilidad descubierta, llamada GHSL-2026-140, fue hallada en abril. Permite a un hacker introducir malware o desbordar la memoria para un ataque DDoS, desde un simple enlace con un fichero comprimido.

7-Zip es un programa muy utilizado que lleva muchos años en activo. Windows 11 y otros sistemas ya incluyen su propio descomprensor de ficheros, pero 7-Zip comprime aún más en un formato propio, es de código abierto, y se puede manejar con línea de comandos, lo que resulta muy útil en ciertas configuraciones profesionales.

Así te afecta la grave vulnerabilidad de 7-Zip

Este bug se produce por la forma en que la aplicación asigna la memoria RAM cuando va a comprimir o descomprimir un archivo.

Un atacante malintencionado puede manipular el archivo para que produzca un desbordamiento del búfer, un tipo de vulnerabilidad de corrupción de memoria que puede explotarse para activar malware en la memoria dinámicamente.

El bug ya fue corregido hace un par de semanas, pero ahora se ha publicado un documento que explica el fallo y detalla una prueba de concepto para comprobar cómo el ataque funciona en versiones antiguas, pero se bloquea en la última actualización.

Por eso los creadores de 7-Zip han pedido a todos los usuarios actualizar a la versión 7-Zip 26.01. Comprueba la versión que tienes, y si no es esa, actualiza inmediatamente. Puedes descargarla de forma segura desde este enlace de TechSpot.

Es un bug grave porque precisamente esta aplicación se usa para comprimr y descomprimir archivos, y tiene cientos de millones de usuarios que descargan desde todo tipo de fuentes, algunas no muy fiables.

Como vemos, los ciberdelicuentes siempre están probando nuevas formas de colar malware, y las aplicaciones populares son su principal blanco.

Los secuestros de cuentas, las estafas por suplantación y el espionaje mediante archivos maliciosos han crecido al ritmo del uso masivo de la plataforma. Lo sorprendente es que muchas de estas amenazas pueden evitarse con herramientas que ya están dentro de la app, pero que casi nadie activa.

Cabe mencionar que la mayoría de usuarios confía en que el cifrado extremo a extremo es suficiente, cuando en realidad la seguridad depende de configuraciones que rara vez se revisan.

WhatsApp incluye funciones capaces de bloquear accesos no autorizados, ocultar información, impedir la instalación de malware y reforzar la identidad del usuario. Están disponibles tanto en iOS como en Android, pero permanecen ocultas en menús que pocos exploran.

Son ocho mecanismos de protección diseñados para frenar los ataques más comunes dentro de la app. Por ello, activarla ahora mismo cambia por completo el nivel de exposición de cualquier cuenta.

Las ocho funciones que blindan tu cuenta de WhatsApp y cómo activarlas

Desactivar las descargas automáticas de contenido multimedia: Evita que imágenes, vídeos o documentos enviados por desconocidos se guarden sin tu permiso. Se configura desde Almacenamiento y datos, desactivando la descarga automática en WiFi y datos móviles.

Desactivar las confirmaciones de lectura: Impide que otros sepan cuándo has leído un mensaje y reduce la exposición de tus patrones de actividad. Es útil para evitar que terceros infieran horarios, disponibilidad o hábitos. Puedes hacerlo en Ajustes > Privacidad, desmarcando la opción Confirmaciones de lectura.

Privacidad avanzada del chat: Incluye ajustes como ocultar la foto de perfil, limitar quién puede ver tu información, bloquear la vista previa de mensajes en notificaciones y restringir quién puede añadirte a grupos. Estos controles reducen la exposición y dificultan la suplantación de identidad. Haz clic en el chat que seas editar, luego pulsa en Ver contacto > Privacidad avanzada del chat.

Configuración de seguridad avanzada: Reúne funciones como la verificación automática de claves de cifrado y la protección de dirección IP en llamadas. Esta última oculta tu IP real para evitar rastreos o ataques dirigidos durante una llamada de voz. Se encuentra en Privacidad > Avanzada > Bloquear mensajes de cuentas desconocidas.

Bloqueo de la app y bloqueo de chats: Permite proteger WhatsApp con huella, PIN o reconocimiento facial, y añadir una capa adicional a chats concretos. Es esencial si alguien accede físicamente a tu móvil o si compartes el dispositivo. Se activa en Ajustes> Privacidad > Bloqueo de aplicación.

Autenticación en dos pasos (PIN de seguridad): Añade un PIN que se solicita al registrar tu número en un nuevo dispositivo. Es la defensa más eficaz contra el secuestro de cuentas mediante códigos enviados por SMS. Puedes activarla en Ajustes de WhatsApp > Cuenta > Verificación en dos pasos > Activar PIN.

Mensajes que desaparecen: Elimina automáticamente los mensajes tras un periodo determinado, por lo que reduce el riesgo de que conversaciones sensibles queden almacenadas o puedan ser vistas por terceros. Se activa en cada chat, seleccionando la duración deseada. Ajustes > Privacidad > Temporizador de mensajes.

Revisión de privacidad: Un asistente interno que revisa tu configuración y te guía para reforzarla, y que permite ajustar permisos, visibilidad, seguridad y controles de contenido en pocos pasos. Está disponible en Ajustes > Privacidad > Revisión de privacidad.

Funciones que frenan ataques reales

La seguridad en WhatsApp no depende de memorizar trucos ni de instalar aplicaciones externas, sino de entender qué información dejamos expuesta y qué puertas mantenemos abiertas sin darnos cuenta.

Estas ocho funciones no convierten el móvil en un búnker, pero sí cambian el equilibrio, ya que obligan al atacante a enfrentarse a un sistema menos previsible, con menos puntos débiles y con menos datos disponibles para explotarlos.

Configurar bien la aplicación es una forma de reducir riesgos sin complicarse la vida. WhatsApp ya ofrece las herramientas; lo que falta es que el usuario tome el control de su propia superficie de exposición.

Ahora nuevamente vuelve a llamar la atención de los medios ante el crecimiento de los delitos de ciberseguridad en España. El robo masivo de datos y la vulnerabilidad de los sistemas institucionales han sido temas discutidos en el reciente juicio.

Por lo visto, el presunto ciberdelincuente habría estado realizando ransomware masivo en administraciones públicas y ahora está pasando por las consecuencias legales.

Cómo se ejecutó el ciberataque al CGPJ y la filtración masiva de datos bancarios de Alcasec

El auge del hacking organizado en Europa es algo de lo que se habla cada vez más y, lamentablemente, ya se han presentado diversos casos de phishing en toda España.

Esta vez el foco está en el hacker José Luis Huertas, alias "Alcasec", de 22 años, quien presenta un juicio tras estar involucrado en un ciberataque ocurrido durante octubre de 2022.

La víctima fue el Punto Neutro Judicial (PNJ) del Consejo General del Poder Judicial (CGPJ), donde hay una conexión con diversos organismos judiciales del país.

Esto quiere decir que varios sectores públicos fueron afectados en el año mencionado, con un ataque organizado que parece que fue diseñado en tres fases:

• Robo de certificados digitales.
• Infiltración en la red SARA.
• Página falsa para obtener credenciales de funcionarios

La estrategia fue considerada como parte de un método phishing institucional y es que con estas acciones, el hacker junto a sus cómplices, logró extraer cuentas internas, mientras que 438.000 consultas de la Agencia Tributaria fueron ejecutadas.

Toda la información manipulada estaba enfocada en la información bancaria ampliada, dando como resultado un total de 574.908 registros de datos bancarios.

La táctica no finalizaba ahí, sino que, después de la recopilación, se vendían a través de una plataforma llamada "uSms" y los interesados podían hacer transacciones para obtener los datos a través de criptomonedas con la pasarela Plisio.

el uso de tecnologías descentralizadas para ocultar operaciones ilícitas. Esta dinámica convierte este caso en un referente dentro del análisis de cibercrimen financiero y economía digital ilegal.

El pacto con la Fiscalía y las claves de la condena con el hacker español

El juicio se llevó a cabo con otros implicados en el delito, como Daniel B.E. y Juan Carlos O.G. (principal comprador de la información extraída a través de la Agencia Tributaria empleando certificados de la DGT y webs falsas).

Tras las evidencias y los cargos, el caso llegó a un acuerdo con los acusados. Alcasec acordó con la fiscalía reducir la pena de 3 años de prisión a 2 años y 7 meses, un lapso que ha conseguido al confesar. Juan Carlos O.G. ha aceptado 2 años y 2 meses y el otro 1 año y 3 meses.

Las autoridades lograron incautar dinero físico y activos digitales, aproximadamente una recuperación de 863.000 euros. Las herramientas para el ciberataque también fueron obtenidas y analizadas.

Alcasec ya se encontraba en prisión provisional por otra acusación con una red de ciberataques de alto alcance y esto se está sumando a su registro.

Una vez más se vuelve a demostrar que en España sigue habiendo puntos críticos en la ciberseguridad y se necesitan expertos que sirvan para contraatacar a los piratas informáticos.

Este es solo uno de los muchos casos que podría haber en curso y por eso es que se recomienda tanto a las empresas como a los usuarios que mantengan sus datos con protección máxima.

Por suerte, el experimento ha sido descubierto por hackers de seguridad de China y Singapur, y no por ciberdelincuentes. Van a presentar su estudio en el Simposio del IEEE sobre Seguridad y Privacidad. De momento no hay un “antídoto” para solucionar el problema.

Los asistentes personales con voz tipo Siri o Alexa existen desde hace una década, pero lo que podían hacer era muy limitado. Ahora los chatbots con IA como ChatGPT o Gemini tienen acceso a nuestros datos y pueden manipular el móvil o PC, por eso este tipo de ataques son mucho más peligrosos.

Hackeando un chatbot con un sonido inaudible

Imagina que estás escuchando una canción que te has bajado de Internet, o viendo un vídeo en TikTok o YouTube. Sin que lo sepas, porque es inaudible, una onda de sonido introducida en la música por un ciberdelincuente, es escuchada por el chatbot de inteligencia artificial que tienes activo, porque ha sido diseñada para eso.

Este audio pirata contiene órdenes que le dicen a la IA que busque tus datos personales, u otro contenido, y se los envíe a los ciberdelincuentes. Es un hackeo sin necesidad de instalar malware, indetectable por los antivirus.

“Solo se tarda media hora en entrenar esta señal y, dado que es independiente del contexto, se puede utilizar para atacar el modelo objetivo en cualquier momento, independientemente de lo que diga el usuario”, explica el autor principal, Meng Chen, de la Universidad de Zhejiang (China), en la web de IEEE Spectrum. “Estas defensas puntuales tienen dificultades para resistir nuestro ataque porque hemos descubierto que a estos modelos les resulta muy difícil distinguir entre la intención normal del usuario y nuestro ataque adversario”.

La única condición es que los hackers tengan acceso al código de la IA, algo que hoy en día es fácil porque muchas IA de Microsoft, Mistral, Meta o DeepSeek, son de código abierto.

Microsoft ya está al tanto de la vulnerabilidad, y la ha comentado en un comunicado: “Agradecemos el trabajo de los investigadores por contribuir a una mejor comprensión de este tipo de técnicas. El estudio evalúa la resiliencia de los modelos mediante interacciones controladas y directas con el propio modelo, lo que nos ayuda a definir nuestro enfoque para desarrollar la resiliencia de los modelos. Ofrecemos a los desarrolladores herramientas y orientación que pueden utilizar para implementar capas adicionales de protección que ayuden a salvaguardar a los usuarios”.

No aclara cómo van a combatirlo, porque por ahora no hay una solución directa. La onda de voz hacker está diseñada para que la IA no la distinga de una orden de su usuario, así que es difícil de detectar.

Por ahora, si usas una IA de código abierto con acceso a tus datos, algo bastante frecuente si utilizas Ollama u OpenClaw, apaga la IA o cierra el micrófono de tu dispositivo cuando escuches música de Internet. Por si acaso...

Sí, se trata de la recopilación de datos masiva que podría ponerte en riesgo cuando menos lo esperas o convertirse en una vulnerabilidad explotada por los hackers si llegan a ver tus publicaciones de Instagram, Facebook y TikTok.

Más allá de esto, todas las compañías ofrecen protección si la usas adecuadamente, pero mucho cuidado cuando generas imágenes con estilo Ghibli, Funko Pop! o incluso si creas fotos de IA con famosos, porque es ahí donde se pone en juego la biometría.

¿Por qué sigue siendo un riesgo real (y qué puedes hacer)?

En el caso de que todavía no te hayas enterado, hay que tener mucho cuidado hoy en día porque los hackers están utilizando la inteligencia artificial hasta para hacer phishing y suplantación de identidad.

Hoy en día, donde es cada vez más común compartir la vida y seguir las tendencias en las redes sociales, es más fácil para los ciberdelincuentes aprovechar las características de la IA para causar estragos en toda internet.

Con el tiempo, se ha vuelto muy popular adjuntar una foto de ti, con tu rostro o amigos, para recrearlas a un estilo específico, como los populares Ghibli, figura de acción y otros diseños que llaman la atención e incluso han sido la base de muchas tendencias.

Ahora, podría ser un riesgo y es que el informe compartido por Techspot destaca que un simple selfie en Instagram subiendo los dedos para hacer la señal de paz (V), es suficiente para que se conviertan en técnicas de extracción de datos biométricos.

Si estas son retocadas por ChatGPT, Gemini, Claude, Copilot u otros chatbots, existe una posibilidad de que esas fotos sean analizadas exhaustivamente para contener suficiente información para reconstruir huellas dactilares.

De hecho, esto proviene de varios debates que surgieron tras revelarse unos estudios en China, donde las imágenes captadas a aproximadamente 1,5 metros de distancia pueden revelar detalles en las crestas de los dedos si hay iluminación y resolución decente.

El experto financiero Li Chang ha mencionado que las herramientas modernas que mejoran la nitidez podrían ser usadas para la acción de intentar conseguir esos datos biométricos.

Por ejemplo, hay un caso registrado por el experto alemán Jan Krissler del Chaos Computer Club, quien vulneró el sistema Touch ID de Apple en 2013.

¿Por qué sigue siendo un riesgo real (y qué puedes hacer)?

Eso no es todo, investigaciones recientes de Kraken Security Labs destacan que ese proceso de recolección se simplificó mucho en pleno 2021 con Photoshop y una impresora láser.

Sumando el avance de la inteligencia artificial, ya se puede tener una idea de hasta qué punto puede llegar. Teléfonos, tablets y portátiles dependen de sensores de huellas para desbloqueo y validación de pagos.

Eso quiere decir que tu huella digital y el desbloqueo facial son suficientes para los hackers que buscan robar dinero o acceder a tus cuentas para hacerse pasar por ti.

No se trata de dejar de usar este método de acceso ni de eliminar la IA completamente de tu vida, sino de hacerlo de manera inteligente. Evita mostrar dedos o palmas en las imágenes, al menos hasta que los expertos de ciberseguridad aseguren que está bien.

Por otro lado, revisa la configuración de privacidad de tus redes sociales, limita la resolución a un punto moderado en las fotografías y refuerza la seguridad combinando métodos, como el uso de PIN o autenticación de dos factores (2FA).

Flipper Zero es un gadget para hackear en local, sin conectarse a Internet, captando señales cercanas como NFC o señales de radio, RFID, infrarrojos, etc. Flipper One es un mini PC con procesador ARM y Linux con una potencia y conexiones similares a una Raspberry Pi 5. Cuenta con una conexión WiFi 6E para hackear en remoto, conexiones M.2 y GPIO para añadir un SSD y todo tipo de periféricos, conexión 5G, chip de IA (NPU), y mucho más. Lo cambia todo.

Flipper One puede convertirse en un PC funcional conectable a un monitor, pero también en un router, una puerta de enlace VPN, o un puente entre redes cableadas e inalámbricas. Imagina las posibilidades desde el punto de vista hacker.

La mejor herramienta para hackear

Mientras que las funciones de Flipper Zero son de Capa 0 (de ahí el nombre), Flipper One es de Capa 1. Sus creadores lo definen así: “Sirve para todo lo que se conecta a través de IP: WiFi, Ethernet, 5G y satélite. Se trata de redes, transferencia de datos y computación de alto rendimiento. Funciona con un potente hardware y un conjunto de herramientas Linux de código abierto, con suficiente potencia de cálculo para gestionar SDR e IA local". Casi nada...

Cuenta con un SoC Rockchip RK3576 con procesador de ocho núcleos, GPU Mali-G52, su propia NPU para ejecutar inteligencia artificial en local, 8 GB de RAM, y conectores GPIO como los de Raspberry Pi, para conectar todo tipo de periféricos. De Raspberry Pi toma también el microcontrolador RP2350, que puede funcionar de forma independiente, sin arrancar Linux, para cierto tipo de tareas.

Tiene además dos conexiones Ethernet para conectarse a redes locales, USB de acceso completo con salida DisplayPort para conectar un monitor, y mucho más.

Por supuesto, en un dispositivo pensado para hackear, no puedes instalar un Linux mainstream. Flipper Devices ha creado su propia versión de Linux basada en Debian, Flipper OS, con una interfaz diseñada desde cero para verse bien en su pequeña pantalla, y controlarse con un cursor y un par de botones.

Si te parece demasiado bonito para ser verdad… así es. Flipper One ya está diseñado, pero Flipper Devices reconoce que su fabricación es muy complicada, especialmente encajar todo en un factor de forma tipo llavero. Por eso ha pedido ayuda a la comunidad para poder completar el proyecto.

Si consiguen que esta visión se haga realidad, Flipper One será uno de los dispositivos hacker más potentes y versátiles jamás creados a nivel mainstream. Una navaja suiza para hackear en remoto, a través de IP. Una herramienta peligrosa, pero quizá necesaria en unos tiempos en los que tantas libertades están en peligro.

Algunos de los problemas de seguridad de Windows 11 provienen de los ficheros heredados que contiene, para asegurar la compatibilidad con el hardware y software de hace décadas. Es algo de lo que no se puede culpar a Microsoft: muchas empresas siguen usando aplicaciones de hace décadas. Y resulta importante que instales un viejo juego o programa del siglo pasado, y siga funcionando en Windows 11.

Pero a veces hay debate sobre si un fichero heredado causa más problemas de los que soluciona. Parece que es el caso de MSHTA, según BitDefender.

MSHTA, un coladero de malware

Microsoft HTML Application Host o Host de aplicaciones HTML de Microsoft, abreviado a MSHTA, es un fichero ejecutable (mshta.exe) incluido en Windows 11, que tiene más de 30 años. Era una de las herramientas asociadas al navegador Internet Explorer.

El mítico navegador de Microsoft, que fue el más usado del mundo hasta que llegó Chrome, ya ha desaparecido de Windows, pero no así MSHTA.

Se trata de un software que ejecuta aplicaciones HTML con extensión .hta. Estas aplicaciones son una mezcla de HTML y lenguajes de script como VBScript o JScript. En el pasado se usaba para ejecutar apps de escritorio que empleaban el motor de Internet Explorer.

Microsoft ha detectado que hay gente que aún usa estas aplicaciones, por eso lo mantiene. El problema, según BitDefender, es que los ciberdelincuentes están usando MSHTA para introducir malware en el PC como LummaStealer, Amatera, ClipBanker, PurpleFox y CountLoader.

Lo que hacen es ejecutar scripts HTA a través de MSHTA para introducir malware directamente en memoria, sin necesidad de usar ficheros infectados, sorteando así los antivirus. Como MSHTA es una aplicación legítima de Windows, no levanta sospechas por sí misma.

BitDefender ha rastreado el uso de MSHTA en campañas masivas de distribución de malware y en amenazas más sofisticadas orientadas al sigilo, la persistencia y el control prolongado de sistemas comprometidos.

Hay poco que se pueda hacer, porque si borras mshta.exe, al ser un archivo del sistema, Windows volverá a instalarlo. Puedes bloquearlo aplicando políticas de grupo, para que no se ejecute. Pero lo más seguro sigue siendo lo de siempre, hace un examen rápido de tu sistema con el antivirus de vez en cuando.

Los sistemas heredados de Windows son necesarios, pero pueden ser usados para instalar malware, como ocurre con MSHTA. Por eso hay que estar siempre alerta frente a comportamientos extraños de tu ordenador. Tienes más información técnica sobre esta investigación en la web de BitDefender.

Esto es justo lo que les ha sucedido a 2 hackers de Estados Unidos que recientemente eliminaron 96 bases de datos pertenecientes a administraciones públicas del gobierno del país norteamericano y actualmente están en prisión, como ha informado Ars Technica.

Muneeb y Sohaib Akhter, hermanos gemelos de 34 años que vivían juntos en la ciudad de Arlington (Virginia), trabajaban como desarrolladores para Opexus, una empresa proveedora de servicios informáticos para, entre otros clientes, el gobierno central de Estados Unidos.

Ambos tenían antecedentes penales, ya que habían pasado un tiempo en prisión por un fraude de ciberseguridad. Los hermanos llevaban un largo historial de pequeños ciberdelitos, como robar beneficios por volar en aerolíneas, en muchos casos con la ayuda de herramientas de inteligencia artificial y con escasos conocimientos, pero hasta entonces de poca importancia.

Uno de los hackeos más chapuceros de la historia

La historia empieza cuando la empresa empleadora se dio cuenta de la larga lista de delitos de los hermanos Akhter. Por todo ello, el departamento de recursos humanos les citó a ambos por videollamada el pasado 18 de febrero de 2025 para comunicarles su despido.

Justo tras el despido, los hackers se pusieron de acuerdo y decidieron que, como venganza, iban a eliminar las bases de datos gubernamentales en las que trabajaba Opexus, con hasta 96 listas de datos sensibles y confidenciales de la administración federal de Estados Unidos.

Para ello, se sirvieron de que la empresa aún no les había revocado el acceso a todas sus bases de datos internas, ya que uno de ellos se mantuvo dentro de la VPN de Opexus y procedió a borrar las bases de datos y las copias de seguridad de agencias como el Departamento de Asuntos de Veteranos, el Departamento de Educación y el Departamento de Seguridad Nacional.

Estos hechos delictivos podrían haber parecido un ciberataque de un grupo de hackers externo y que la autoría de Muneeb y Sohaib Akhter nunca se hubiese descubierto. ¿Cuál fue entonces el error que cometieron?

Que cuando fueron despedidos, la persona de recursos humanos salió de la videollamada tras solo 2 minutos y 40 segundos, pero ellos no, por lo que esta reunión siguió grabándose en Microsoft Teams durante una hora más, mientras los hermanos discutían abiertamente sobre cómo iban a atacar a Opexus y a sus principales clientes gubernamentales.

La conversación entera se ha transcrito y ahora forma parte del documento judicial en el que se les acusa del delito del que les cogieron con las manos en la masa.

Primero, uno de los dos hermanos intenta convencer al otro para extorsionar a su ya ex empresa a través de un email en el que les amenazarían con contactar con todos los clientes en cuyas cuentas habían trabajado. Al otro la idea no le convence.

SOHAIB: Chantajearlos para sacarles algo de dinero habría sido…

MUNEEB: No, eso no se hace. Es una prueba de culpabilidad.

SOHAIB: No, pero la cuestión es que tú siempre tienes tu opinión; yo podría haberme puesto en contacto directamente con sus clientes.

Después, uno de ellos se da cuenta de que sigue teniendo acceso a la red corporativa y procede a eliminar bases de datos y copias de seguridad con la aprobación y los consejos de su hermano.

SOHAIB: Entra en cada una de ellas y empieza el proceso de eliminación. Tardará un rato... Al final se borrarán todos sus archivos.

Para terminar, los dos hermanos llegan a discutir sobre cómo borran sus huellas para no ser descubiertos como autores e incluso sobre la posibilidad de ser detenidos y fugarse a otro estado.

SOHAIB: Probablemente vayan a hacer una redada aquí.

MUNEEB: Bah, yo me encargo de limpiar esto. Yo no tengo nada.

SOHAIB: También tenemos que limpiar la otra casa.

MUNEEB: Deshazte de eso.

SOHAIB: Borrar sus sistemas de archivos sería más complicado.

MUNEEB: Mmm, sobre todo si lo limpias todo.

MUNEEB: Todo lo que he hecho, me aseguro de que esté protegido. De que esté limpio.

MUNEEB: No te preocupes, nos iremos a Texas.

En el juicio que se celebró recientemente, Sohaib fue sentenciado como culpable, mientras que Muneeb admitió su autoría el pasado mes de abril, aunque después ha intentado echarse atrás a través de varias cartas dirigidas al juez, sin éxito.

Mythos encuentra bugs y vulnerabilidades que a los desarrolladores se les pasan. Docenas. Es una revolución a la hora de localizar fallos en el software pero, al mismo tiempo, una arma nuclear si cae en malas manos, y se usa para encontrar agujeros de seguridad por los que colar malware o software espía.

“OpenAI Daybreak es nuestra visión para cambiar la forma en que el software se construye y se defiende”, dice la nota de prensa. Son palabras mayores.

Daybreak vs. Mythos

Mientras que Mythos es una IA que busca vulnerabilidades en el código, Daybreak tiene un enfoque diferente. También hace eso, pero al mismo tiempo aprovecha sus conocimientos hacker para crear código que bloquee de antemano esas vulnerabilidades.

Daybreak no es una IA para todo el mundo. Solo estará disponible para desarrolladores, equipos de seguridad de empresas, investigadores y defensores vinculados al sector público que necesitan detectar, validar y corregir vulnerabilidades de software en su fase más temprana del ciclo de desarrollo.

Se trata de una plataforma de seguridad que usa los últimos modelos de ChatGPT, Codex, y software proveniente de los socios de OpenAI. La lista es larga.

Colaboran en Daybreak compañías como Cloudflare, Cisco, CrowdStrike, Palo Alto Networks, Oracle, Zscaler, Akamai, Fortinet, Intel, Qualys, Rapid7, Tenable, Trail of Bits, SpecterOps, SentinelOne, Okta, Netskope, Snyk, Gen Digital, Semgrep, y Socket.

Por medio de Daybreak, se accede a versiones de seguridad de las IA generales de OpenAI, como GPT-5.5 with Trusted Access y GPT-5.5-Cyber. Codex amplia la protección con Codex Security, que ya no se limita a generar código, sino que le puedes pedir que busque vulnerabilidades en cualquier app, genere un modelo de posibles amenazas, validación de parches, análisis de riesgos de dependencias, etc.

La idea de OpenAI es que los desarrolladores usen Daybreak para ir revisando el código mientras lo escriben, para tapar las vulnerabilidades antes de lanzar la aplicación. Adelantarse a la IA maligna de los ciberdelincuentes.

La carrera ha comenzado. Por una lado, la IA que tapa los fallos de seguridad. Por otro, la IA que quien encontrar esos fallos para espiar, insertar malware o manipular. IA contra IA, en una espiral que solo puede crecer, y que nadie sabe hacia donde nos llevará, o quién vencerá.

Andreas Makris es hacker y ha demostrado que la cortadora de césped de 5.000 dólares, unos 4.250 euros al cambio, puede convertirse en una peligrosa arma. El hombre ha demostrado que puede secuestrar este aparato con cuchillas en Estados Unidos y controlarlo desde otro país.

“Puedo hacer lo que quiera con todos los bots. No hay ninguna medida de seguridad”, asegura el hacker en una demostración para The Verge. Makris puede reconfigurar en remoto cientos de cortadores de césped y nieve de la marca china.

Miles de robots hackeados en todo el mundo

El hacker descubrió que todos los robots de Yarbo son extremadamente similares. Si tienes acceso a uno, tienes acceso a todos, con el peligro que supone controlar un aparato con cuchillas. Cada cortacésped, soplador de hojas, quitanieves, desbrozadora y perfiladora de bordes tiene el mismo software.

Andreas Makris asegura que, incluso si presionas el botón rojo de parada de emergencia que integra la cortadora de césped, puede enviar otro comando para desbloquearla. El hacker solo necesita un PC con Linux para reprogramar cientos de aparatos de Yarbo.

La amenaza va más allá, los hackers pueden poner en marcha los servidores, acceder a la red doméstica o utilizar el cortador de césped para acceder a otros objetivos conectados a internet en el domicilio.

Un mapa con todas las cortadoras de césped

Makris ha realizado un mapa con la ubicación exacta de prácticamente todos los robots Yarbo en Estados Unidos y Europa, unos 5.400 dispositivos, aunque asegura que hay cerca de 11.000 en todo el mundo. Solo tiene que presionar un botón para tomar el control de uno de ellos en el norte del estado de Nueva York.

El hacker interrumpe su configuración habitual y mueve un pequeño joystick para mover la cámara del robot. Andreas Makris puede mover el robot donde quiera, incluso espiar a los propietarios controlando cuándo entran y salen de su domicilio, obtener las direcciones de correo electrónico y contraseñas WiFi.

El peligro es enorme. El hacker ha identificado 12 robots Yarbo a menos de 3 kilómetros de una central eléctrica, uno de ellos está registrado a nombre de un trabajador de la planta nuclear.

En The Verge lo han puesto a prueba: “Cuatro días después, conduzco por Silicon Valley en busca de pruebas. En la primera casa de mi ruta, se me acelera el corazón. Desde la acera, al mirar hacia el patio trasero de una casa, veo un robot Yarbo justo donde Makris había indicado. Cuando saco mi teléfono para buscar redes Wi-Fi locales, veo los mismos puntos de acceso privados que Makris encontró en su escaneo”.

El periodista utilizó la misma dirección de correo electrónico que le proporcionó Makris y envió un mensaje al propietario del robot de Yarbo, no tarda en recibir una respuesta de Wayne Yu. “Siempre hay gente que hackea dispositivos, así que no me sorprende”, comenta Yu, propietario y aficionado a los gadgets que asegura que no está preocupado.

¿Esa clave es lo suficientemente robusta? ¿Se te olvida con frecuencia? Aunque eso es el método tradicional y una forma de proteger tus datos, no es suficiente.

No basta solamente con tener una contraseña en tus redes sociales, cuentas bancarias, perfiles de tiendas online o cualquier otra plataforma que uses a diario. Con una sola vulnerabilidad o si llegas a ser víctima de las campañas de phishing, podrías estar en grave riesgo.

Además de hacer uso de la verificación de dos pasos y apps de autentificación, también es hora de que sepas qué son las claves de acceso o passkeys. Este es un sistema más moderno para garantizar un inicio de sesión seguro y rápido.

Si te preocupa la ciberseguridad, es mejor que no pases por alto este método porque podría ser todo lo que necesitas para disminuir los riesgos de ser afectado por ciberataques.

¿Qué son las passkeys y cómo funcionan?

Se trata de un método que cuenta con compatibilidad para casi todos los sistemas operativos, navegadores y gestores de contraseñas.

Funciona básicamente como un "reemplazo" de la contraseña tradicional y, a pesar de que no es algo nuevo, muchas personas la pasan por alto por no saber qué es en realidad.

Solo por su nombre es frecuentemente confundida con aplicaciones de autenticación que ofrecen códigos temporales o las famosas llaves de seguridad físicas que se pueden utilizar en pendrive o guardar como archivos.

Sin embargo, una passkey es otro método de autenticación digital que permite un fácil acceso a las apps o sitios web donde tienes cuentas registradas.

En este caso, tu dispositivo guarda una clave privada que nunca se elimina del equipo, por ejemplo, el mismo PIN con el que inicias sesión todos los días para acceder al sistema operativo de Windows 11 con tus cuenta.

Cuando usas una passkey, el PIN se vuelve "universal". Eso quiere decir que, en los servicios online, utilizarías la misma que tu cuenta del ordenador.

Lo interesante de esto es que también puedes utilizar la biometría, teniendo opciones como huella o reconocimiento facial si el dispositivo es compatible.

El Centro Nacional de Seguridad Cibernética del Reino Unido (NCSC) explica que es como un tipo de "sello digital" que se mantiene guardado de manera segura en el equipo personal, ya sea smartphone o PC.

Su activación es realmente sencilla porque se encuentra disponible en la mayoría de las configuraciones de seguridad o privacidad de las cuentas populares.

En efecto, la transición hacia este sistema va en crecimiento, pues hasta Google ha confirmado que más del 50% de los usuarios usan este tipo de servicios en el Reino Unido.

Ventajas de las passkeys frente a las contraseñas tradicionales: deberías usarlas a partir de ahora

No solamente simplifica el acceso a las plataformas a no tener que recordar combinaciones complejas o tener que realizar demasiados pasos, sino que también resuelve problemas como la reutilización de contraseñas y sin datos que viajan a través de la red, solo de manera local.

Las ventajas en ciberseguridad son realmente grandes porque no pueden ser robadas a través de tácticas de phishing y tampoco ser manipuladas a través de malware o ciberataques de control en remoto debido a que no se puede escribir ni copiar.

Esto le complica las cosas a los ciberdelincuentes al no poder obtener datos para hackear cuentas personales, de banco o vender información personal en la dark web.

Dave Chismon, especialista senior en tecnología del NCSC, explica que las "contraseñas nunca han sido una solución perfecta" porque siguen siendo susceptibles a ser vulneradas. Las claves de acceso no por su estructura principal de biometría o PIN.

Por eso mismo es que los expertos recomiendan hacer uso de esta característica siempre que sea posible, más aún cuando los casos de robo de datos siguen aumentando de manera exponencial a nivel mundial.

El pasado 5 de abril, cuatro trenes bala de la compañía Taiwan High Speed Rail (THSR) tuvieron que realizar una parada de emergencia, debido a la activación de la alarma general, que obliga al maquinista a frenar inmediatamente, de forma manual.

Los cuatro trenes permanecieron parados 48 minutos, porque nadie sabía lo que había pasado. Ningún operario había activado la alarma, y no existía ningún fallo, así que solo podía significar una cosa: el sistema de emergencia había sido comprometido.

Así han hackeado el tren bala de Taiwán

La compañía ferroviaria inició una revisión de todo el material relacionado con dicha alarma general, y descubrió que había desaparecido uno de los walkie-talkie. Esto llevó a la policía a rastrear los logs de la red TETRA que usan estos transmisores de radio de THSR, así como las cámaras de seguridad. El 28 de abril detuvo a un estudiante de 23 años llamado Lin, acusándolo de hackear la alarma general del tren bala de Taiwán.

Este fallo de seguridad ha sorprendido a todo el mundo, porque según los expertos, este sistema tiene varias capas de verificación, y ha superado todas.

Tal como explica TechSpot, Lin compró por Internet un equipamiento dotado con software SDR, con el que analizó las señales de radio de la compañía ferroviaria taiwanesa.

Este equipo también permite descargar los datos en un ordenador y descodificar los códigos TETRA (Terrestrial Trunked Radio) de la señal. Con ellos su pueden programar los códigos en un walkie-talkie, para acceder a la red de radio de los trenes bala desde cualquier lugar.

Ya dentro de la red, envió una señal de alarma general al centro de control de la THSR en Taoyuan, desde su domicilio en Taichung. Al recibir la alarma, el centro de datos ordenó el frenado manual de los cuatro trenes que estaban en circulación.

La policía también ha detenido a un cómplice de 21 años que proporcionó a Lin algunos de los parámetros del THSR que hicieron posible el ataque.

Se trata de un hackeo muy grave, porque una alarma general obliga a detener el tren en seco, y podría haberse producido un accidente entre trenes, con cientos de personas viajando en cada uno de ellos.

El hacker Lin ha pagado la fianza de unos 3.000 euros para no entrar en la cárcel… por ahora. Ha sido acusado de poner en peligro el transporte público y de interferencias ilegales en las comunicaciones por radio, cargos que conllevan varios años de cárcel. No se sabe por qué lo hizo, ya que su abogado asegura que pulsó la alarma “sin querer”. Desde luego, un hackeo de este tipo no se hace por casualidad...

En total, durante el mes pasado se registraron 29 incidentes. De estos 554 millones de euros hackeados en criptomonedas, unos 500 millones corresponden a solo dos robos: los de las entidades Drift y Kelp DAO, que se atribuyen a los peligrosísimos hackers de Corea del Norte.

24 de los 29 inicidentes está relacionados con bugs en el código del software que usan los monederos, o ciertas apps de criptos. Los expertos de CertiK Alert creen que se debe al uso de la IA para encontrar bugs en segundos, analizando millones de líneas de código. Antes los ciberdelincuentes tenían que hacerlo a mano.

Los peligros de operar con criptos

Pese a la gran cantidad de accesos mediante exploits (a través de un bug), el robo con este sistema solo suma el 6,6% de lo extraído, lo que apunta a que estos ataques están dirigidos a usuarios individuales, introduciendo el exploit en su móvil mediante malware.

Abril de 2026 ha sido el peor en cuanto a hackeos de criptomonedades desde marzo de 2022, excluyendo febrero de 2025. Ese mes, solo con el hackeo de ByBit se llevaron más de 1.300 millones de euros.

Según cuenta DLNews, en el caso de la plataforma de intercambio Drift, basada en Solana, los hackers coreanos invirtieron seis meses en un plan de ingenieria social, para hacerse con las credenciales de dos empleados de Drift.

La ingeniería social consiste en combinar técnicas de phishing, malware, espionaje y otras, para obtener el control de las cuentas. Con ellas en su poder, que les daba un control completo, los ciberdelincuentes robaron 243 millones de euros en Drift.

Para hackear Kelp DAO, el puente criptográfico LayerZero en el que se basaba el protocolo de seguridad estaba configurado para necesitar un único operador, así que los hackers se centraron en esa persona para extraer 233 millones de euros.

Estos dos brutales robos dejan al descubierto una grave debilidad de estas entidades de intercambio: su seguridad está muy centralizada. Basta con robarle las cuentas a uno o dos empleados, para obtener el acceso total a todas las criptos.

Finalmente, alrededor de tres millones de euros se robaron mediante técnicas clásicas de phishing, en donde los hackers se hacen pasar por la entidad de criptos para robar las claves del monedero. Estos también son accesos individuales.

El robo de criptos sigue siendo la gran lacra del mercado de criptomonedas. Y con la llegada de la IA, parece que las cifras van a crecer.

Por supuesto, además de tener tu respectivo antivirus trabajando y hacer mantenimiento recurrente al smartphone, también es fundamental usar los códigos especiales de llamada que desvelan si el dispositivo ha sido hackeado.

Hay más síntomas de lo que crees y por eso Rahmat Fitri, expolicía de Malasia y experto en ciberseguridad, se ha tomado el tiempo para compartir toda la información sobre este método que pocos conocen con el fin de que puedas actuar antes de que sea demasiado tarde.

Códigos secretos para saber si tu móvil ha sido hackeado (y cómo corregirlo)

Tu teléfono móvil ya no es solo un medio para comunicarte. Hoy funciona como una cartera digital, una oficina portátil y un archivo personal donde guardas contraseñas, fotos privadas, conversaciones, acceso al banco y hasta documentos sensibles.

Por eso, el hackeo de móviles se ha convertido en una de las principales preocupaciones dentro de la ciberseguridad personal, especialmente ante el aumento del malware y las estafas digitales.

La buena noticia es que no necesitas ser experto en informática para detectar si tu smartphone está intervenido. Existen señales visibles, ajustes ocultos y hasta códigos especiales que permiten comprobar si alguien accede a tu dispositivo sin permiso.

Precisamente sobre esto alerta el expolicía especializado en seguridad digital, Rahmat Fitri, quien explica cómo identificar un ciberataque a tiempo y qué hacer para solucionarlo antes de que comprometa tus datos.

Además de las señales visuales, existen los llamados códigos MMI o USSD, combinaciones que puedes marcar desde la app de llamadas para comprobar si tu teléfono está siendo desviado o interceptado.

Uno de los más importantes es "*#62#", porque al marcarlo, verás si las llamadas, SMS o datos se están redirigiendo a otro número. Si aparece uno que no pertenece a tu operador, es una alerta clara de intervención y debes contactar de inmediato con la compañía telefónica.

Otro código clave es "*#21#", que indica si existe algún tipo de desvío activo en llamadas, mensajes o datos. En caso de detectar algo sospechoso, puedes cancelar todas las redirecciones marcando "##002#", un comando estándar reconocido por operadores móviles a nivel internacional.

Estos códigos no eliminan malware, pero ayudan a detectar ataques basados en redireccionamiento, una técnica común en ciertos fraudes.

Por último, conviene marcar "*#06#" para obtener el IMEI de tu dispositivo, un dato único que permite bloquear el móvil si ha sido comprometido, robado o clonado.

La GSMA, organismo internacional de telecomunicaciones, recomienda guardar este número en un lugar seguro para actuar rápidamente ante incidentes de seguridad.

Si confirmas que tu móvil está infectado, empieza por eliminar las aplicaciones sospechosas. Si el problema persiste, la opción más segura es restablecer el teléfono a valores de fábrica.

Otras señales claras de que alguien puede estar espiando tu móvil

Uno de los avisos más evidentes de un posible hackeo es la aparición de un punto rojo o verde en la parte superior de la pantalla. Tanto Android como iOS muestran este indicador cuando el micrófono o la cámara están activos.

Si aparece sin que estés usando ninguna app que lo justifique, puede significar que una aplicación maliciosa está grabando tu pantalla o capturando audio. Apple y Google confirman que estos indicadores sirven precisamente para alertar de accesos no autorizados a sensores del dispositivo.

Según explica Rahmat Fitri, expolicía de Malasia y actual consultor en ciberseguridad, si detectas esta situación, debes cerrar inmediatamente las apps en segundo plano y reiniciar el móvil para detener procesos maliciosos temporales.

Después, es fundamental cambiar todas tus contraseñas, empezando por correo electrónico, redes sociales y banca online. Fitri compartió estos consejos en una entrevista con el medio malasio Mstar.

Otras señales habituales de intervención son un consumo anormal de batería, el sobrecalentamiento sin motivo, anuncios emergentes constantes o aplicaciones que no recuerdas haber instalado.

Cualquier comportamiento extraño es suficiente como para realizar las operaciones de seguridad de inmediato para impedir que la infección se vuelva más grave.

Lo curioso es que muchas de las víctimas sufren de ciberataques principalmente por vulnerabilidades en las contraseñas. De esta manera, los piratas informáticos consiguen adentrarse en las cuentas de banco para obtener dinero o suplantar identidad en redes sociales.

De un día para otro podrías perder todo, así que siempre es mejor hacer el esfuerzo por crear una clave robusta y mantenerse lejos de estas amenazas conociendo cómo funcionan, junto al uso de las correspondientes herramientas de seguridad.

¿Sabes por qué exactamente pasa esto? El 90% de los hackeos por los que te preocupas surgen debido a las siguientes situaciones explicadas en la guía.

Contraseñas reutilizadas

¿Volviste a usar una contraseña anterior? Grave error, pues solo dejas una puerta abierta a los hackers que guardan información o acceden a tus registros. Incluso puede que la hayas compartido con terceros y ni lo recuerdas.

Simplemente, si vas a cambiarla, asegúrate de que sea diferente a cualquier otra. Tampoco es bueno que utilices lo mismo en varias plataformas. Tan solo imagina que descubren una: absolutamente todas las demás se verían afectadas por ser iguales y es peor.

Los expertos indican que siempre deben ser códigos robustos y únicos para cada uno de los servicios. A su vez, hay que tener cuidado con la manera en la que se emplean los gestores de contraseñas o los guardados de las mismas en navegadores como Chrome.

Tácticas de phishing

El phishing es uno de los problemas más grandes que hay en Internet. Se trata de una táctica maliciosa que usan los cibercriminales para engañarte haciéndose pasar por compañías, operadores de teléfono u otras entidades con el fin de engañarte para robarte los datos.

Muchos estafadores hacen esto a través de spam por WhatsApp o correos electrónicos a través de Gmail que llaman la atención porque te ofrecen trabajos, grandes cantidades de dinero y otros beneficios, lo cual termina siendo una completa mentira.

Cuando pulsas ese enlace que te dan, es el fin porque puede que te inyecten malware o simplemente usen tu información, como la contraseña, para venderla en la Dark Web.

Para protegerte, inspecciona detenidamente la URL de los sitios web para saber si es la oficial y nunca compartas datos personales de ningún tipo a extraños.

Shoulder surfing y snooping

Lo digital no es lo único por lo que te deberías preocupar. También está el inconveniente conocido como el shoulder surfing, que se refiere a situaciones cuando personas miran físicamente tu pantalla o escriben directamente en el teclado en lugares públicos.

A su vez, el snooping es cuando alguna persona husmea en información privada de tu ordenador o móvil sin tu permiso para obtener datos, ¿quién sabe para qué? Pero bueno, te aseguro que no lo es.

En estos casos, es mejor que tengas cuidado cuando uses dispositivos en lugares públicos, que no haya nadie cerca echando un ojo hacia la pantalla. Por otra parte, sería genial aprenderte tus contraseñas para dejar de anotarlas en papel por si llegan a perderse.

Adware, spyware, ransomware y más

Si tienes buenas contraseñas y piensas que has seguido las recomendaciones de ciberseguridad de los expertos, entonces puede que te hayan hackeado debido a algún malware que se haya colado en el sistema.

El software espía, como el ransomware, spyware o adware, son algunos de los que suelen generarse tras haber descargado algún archivo malicioso en internet o hacer clic en enlaces sospechosos no oficiales.

Es una mala noticias si pasas por esto, pero puedes intentar detenerlos y detectarlos con herramientas como Malwarebytes o Windows Defender. Si no funciona, toca hacer restablecimiento de fábrica y cambiar todas las contraseñas.

Ataques de tipo "man-in-the-middle"

Man-in-the-middle (MITM) son ataques de intermediario donde, al utilizar redes vulnerables o los WiFi públicos de restaurantes, aeropuertos y otras partes donde hay "internet libre".

Muchas veces, son señales que han sido interceptadas por terceros, por lo que las conexiones desconocidas deben ser ignoradas por completo para mantenerse fuera de las garras de los hackers.

¡Eso sería todo lo que tienes que saber al respecto! Para mayor seguridad, puedes activar la autenticación multifactor, usar VPN para cifrar la IP y estar atento a cualquier cambio extraño en tus dispositivos.

La noticia resulta anecdótica, pero también pone de manifiesto los peligros que pueden acechar a los vehículos eléctricos en general -tanto coches como motos-. Además, el riesgo preocupa especialmente a los expertos porque no solo afectan a los datos, sino también a la seguridad personal propiamente dicha.

El peligro para la ciberseguridad de las "motos conectadas"

El problema, como denuncia Digital Shield, amenaza principalmente a las motos eléctricas de gama alta. Es decir, aquellos modelos que incorporan conectividad Bluetooth para comunicarse con aplicaciones móviles. En teoría, esto permite a los usuarios consultar datos en tiempo real, configurar parámetros o realizar diagnósticos. Pero también es una puerta para los ciberdelincuentes.

Lo que básicamente dicen los investigadores es que, bajo ciertas condiciones, un atacante cercano puede ser muy capaz de aprovechar fallos en la implementación del sistema Bluetooth para acceder a funciones internas del vehículo. De hecho lo preocupante no es que un hacker pueda acceder al sistema, sino todo lo que puede hacer una vez dentro del mismo.

¿Y qué acciones sería capaz de manipular? Pues sin ir más lejos alterar la velocidad de la moto, modificar parámetros relacionados con el frenado, cambiar configuraciones (como la de la batería, sin ir más lejos) o manipular los distintos datos que, de una forma u otra, terminan por afectar al rendimiento del vehículo. Vamos, riesgos considerables para la seguridad del conductor.

La diferencia, dicen los especialistas, está precisamente en eso. No tiene nada que ver con los ciberataques tradicionales, que por lo general tenían como objetivo robar información (personal, bancaria o la que fuese). En este caso los hackers pueden interactuar con el objeto en el mundo real, por así decirlo. Y tratándose, como se trata, de un vehículo, el peligro puede ser enorme.

Cuidado en las distancias cortas

Aunque esta alarma resulte inquietante para cualquiera que conduzca una moto eléctrica, no todo son malas noticias. No puede decirse que sea un ataque masivo ni nada de eso. ¿Por qué? Pues más que nada porque, para hackear una moto mediante Bluetooth, es necesario estar relativamente cerca del vehículo. La conexión del Bluetooth limita el radio de alcance.

¿Es un consuelo? En parte sí, pero tampoco convendría a nadie confiarse. Sobre todo en entornos urbanos, alguien no tendría por qué tener muchas complicaciones para ir a un aparcamiento o a una zona concurrida y situarse cerca de la moto que quisiese manipular.

De la misma forma, existe una complicación extra: debido a que el ataque necesita proximidad, es más difícil de detectar. O dicho de otra forma: no deja el mismo rastro que la mayoría de ciberataques tradicionales.

La verdad es que no es un caso único. En los últimos años se han documentado ataques similares en coches, sistemas de navegación e incluso infraestructuras de transporte. De ahí que el mundo del motor, en general, tenga un desafío por delante. En todo lo que concierne a la ciberseguridad.

Denuvo se estrenó en 2014 para evitar la piratería de FIFA 15. Es un sofisticado software que ha protegido a cientos de juegos durante más de una década. Odiado por los piratas, pero también por los jugadores legítimos que pagan por los juegos, ya que supuestamente reduce el rendimiento, al estar funcionando en segundo plano.

En los últimos años, poco a poco los juegos protegidos por Denuvo se han ido crackeando, pero de uno en uno y meses después de su lanzamiento. Sin embargo, hace poco apareció una “llave mágica” llamada hypervisor bypass, que no crackea los juegos, es decir, no elimina la protección, sino que la engaña.

El futuro incierto de Denuvo

Esta capa hypervisor hace creer a Denuvo que la protección sigue activa, como así es, pero la engaña para poder jugar al juego pirateado sin que se entere.

Gracias a este sistema, ya se han hackeado todos los juegos con Denuvo para un jugador. Y surge la gran duda: ¿Qué va a pasar a partir de ahora?

Hasta el momento, los juegos aguantaban unas semanas o meses antes del pirateo. Las compañías lo daban por bueno, porque los jugadores con hype acababan comprando el juego a precio completo, que es cuando más les interesa. Pero con el hypervisor a veces se ha conseguido el acceso en cuestión de días.

La reacción de Denuvo ha sido añadir un DRM que se chequea cada 15 días, lo que ha incendiado los foros de Steam. Este sistema, efectivamente, inutiliza el hypervisor, pero añade una penalización más a los jugadores legales que pagan por el juego, porque les obliga a estar conectados a Internet cada dos semanas. Si por alguna razón no tienen conexión, o es mala y se corta, no podrán jugar a un juego que han pagado, hasta que se conecten.

PlayStation parece que ha añadido el mismo sistema a sus juegos digitales, aunque el chequeo del DRM es una vez al mes. Pero parece una falsa alarma, que Sony está tardando en aclarar.

Hasta ahora se podía jugar sin conexión a los juegos digitales. Es otro derecho que roban a los jugadores que pagan, como tantos otros que hemos ido perdiendo con los años.

Veremos lo que pasa con Denuvo. Esperemos que esto sea una solución temporal hasta que encuentren la forma de seguir protegiendo los juegos, sin una conexión permanente.

Lo peligroso de este hallazgo encontrado por expertos del NIST es que esta brecha se ubica en la parte interna del sistema operativo, lo cual deja una puerta abierta para que los hackers tengan acceso root y hagan escalas de privilegios en distros como Ubuntu, Debian o Fedora.

¿Cómo funciona? ¿Tú también estás en riesgo? El caso es grave porque fácilmente un tercero malicioso puede tomar el control de tu equipo por completo en remoto y seguir causando estragos en el SO de forma silenciosa.

¿Qué es Pack2TheRoot y por qué representa un riesgo serio?

No es la primera vez que Linux sufre de un exploit, pero está sí hace la diferencia por su gravedad. A diferencia de la debilidad hallada en marzo de 2026 en "snap-confine" o la de OpenSSL en diciembre de 2025, esta está llamando la atención por facilitarle el trabajo a los hackers.

Oficialmente ha sido encontrada por la National Vulnerability Database (NVD) del NIST, categorizada técnicamente como "CVE-2026-41651" y bautizada como "Pack2TheRoot" debido a que reside en la capa de abstracción de administración de paquetes en Linux "PackageKit".

Trabaja normalmente en escritorios y servidores de interfaces gráficas o herramientas como Cockpit, según indican los expertos. Tras el análisis, el organismo ha compartido que se clasifica de "alta gravedad" porque su puntuación supera a muchas otras con un 8,1.

Se ha determinado que el peligro pasa porque actúa desde los indicadores de transacciones como un tipo TOCTOU (Time-Of-Check to Time-Of-Use)", por lo que abusa de los mecanismos para que se obtengan privilegios inadecuados.

Esto quiere decir que, la vulnerabilidad de PackageKit hace que valide operaciones en intervalos de tiempo distintos a los que realmente se realiza una ejecución.

Dicho factor no debería tener esa variación y eso es lo que podrían aprovechar los atacantes locales para instalar paquetes RPM arbitrarios que incluyen privilegios de root, ya que así pueden tomar el control completo del dispositivo con la inyección de código malicioso, el cual no sería detectado.

Una vez que empiezan este proceso, el Pack2TheRoot se vuelve un punto de partida para aplicar otras acciones delictivas y, en la mayoría de las ocasiones, sin levantar sospechas. En pocas palabras, es una puerta trasera que hasta los delincuentes sin tanto conocimiento podrían causar graves problemas.

Especialistas de Securityweek revelan que, a pesar de que actúa silenciosamente, deja algunos rastros detectables si se hace una exploración a fondo en el "demon packagekitd" y hace reinicios automáticos desde "systemd". Después de las pruebas, también ha confirmado que el exploit se activó en cuestión de segundos y eso lo hace más letal.

¿Qué sistemas están en riesgo y cómo protegerte de Pack2TheRoot en Linux?

El Pack2TheRoot es similar a la vulnerabilidad BlueHammer (CVE-2026-33825) de Windows 11 encontrada en abril 2026. El NIST indica que, debido a que permite la instalación no autorizada de software como administrador, los hackers son capaces de conseguir privilegios completos en sistemas Linux.

¿Cuáles son los equipos realmente afectados? Según el Equipo Rojo de Deutsche Telekom, se encuentra en PackageKit desde la versión 1.0.2 hasta la 1.3.4 y también hay altas probabilidades de que esté en la 0.8.1 (de hace 14 años).

Al mismo tiempo, las distribuciones que podían ser afectadas son Ubuntu Desktop (18.04 EOL, 24.04.4 LTS, 26.04 beta), Ubuntu Server (22.04–24.04 LTS), Debian Trixie 13.4, Fedora 43 (Desktop y Server) y Rocky Linux 10.1 o los sistemas del pingüino Tux que ya incluyen este PackageKit habilitado por defecto.

Por suerte, la vulnerabilidad ha sido corregida en la PackageKit 1.3.5 del 22 de abril de 2026 y ya los diferentes sistemas están impartiendo los parches y actualizaciones de seguridad correspondientes.

¿Qué debes hacer para protegerte? Simplemente actualiza el sistema y mantenlo siempre en la última versión. A su vez, comprueba que la versión de PackageKit sea la mencionada y verifica los registros del sistema para mantener la seguridad en Linux.