Muchos de los contenidos que se encuentran aquí son de alta calidad Y ofrecen horas de entretenimiento. Sin embargo, la popularidad de estas plataformas también las ha convertido en un reclamo habitual, no solo por el uso ilegal como en LaLiga, sino también por las campañas de malware en Android.

La última alerta de ciberseguridad pone el foco en una falsa aplicación que aparenta ser un conocido servicio IPTV y que puede comprometer por completo la seguridad de millones de dispositivos en España.

Lo preocupante es que el software malicioso se distribuye mediante páginas falsas que imitan a Google Play, aumentando las probabilidades de que los usuarios caigan en la trampa.

RemControl se esconde detrás de una falsa app IPTV para Android

Hay muchas IPTV en la actualidad que ofrecen miles de canales con diversos contenidos que vale la pena tener en el móvil, ordenador o televisor inteligente.

El uso de estas plataformas es bueno hasta cierto punto porque también es posible que uno se tope con contenido distribuido de forma ilegal, mientras que también hay una mayor probabilidad de que estas aplicaciones cuenten con acciones maliciosas.

Los investigadores de Group-IB han identificado a RemControl como una nueva plataforma de malware para Android distribuida bajo un modelo Malware-as-a-Service (MaaS).

Según la compañía, los ciberdelincuentes utilizan versiones fraudulentas de TVTap, una popular aplicación IPTV que no está disponible en Google Play, para convencer a las víctimas de descargar el archivo infectado.

La campaña afecta especialmente a usuarios de España, Francia, Italia, Portugal, Polonia, Canadá y varios países de Oriente Medio, aunque lo particular es que esta infección no se imparte de manera aleatoria.

Lo que hacen los ciberdelincuentes es emplear anuncios dirigidos en plataformas de Meta y páginas que imitan con gran fidelidad la tienda oficial de Google.

Este tipo de phishing es tan efectivo que logra contar con los sistemas de geolocalización y filtros para saber la información del usuario hasta finalmente lograr que se descargue el software malicioso.

Una vez instalada la aplicación falsa, el riesgo aumenta rápidamente. El instalador solicita permisos para activar una VPN local que, lejos de proteger la conexión, bloquea las comunicaciones con los servicios de Google.

Este mecanismo impide que Google Play Protect pueda realizar comprobaciones en tiempo real, facilitando que el malware continúe su instalación sin ser detectado.

¿Cómo roba datos bancarios y toma el control del dispositivo?

Lo más impactante de todo es que este modus operandi se centra en obtener los datos bancarios para extraer dinero de las víctimas de una manera efectiva y directa.

El malware se entra en el sistema hasta que finalmente solicito el acceso al servicio de Accesibilidad. De esta manera, el RemControl consigue un elevado nivel de control sobre el dispositivo y sin levantar sospechas.

Una vez que esto sucede y se aceptan los permisos, el troyano comienza a esparcirse para hacer de las suyas. Es decir, se adentra en las entrañas del sistema hasta llegar a registrar pulsaciones, capturar información en la pantalla y monitorizar toda la actividad del equipo en tiempo real, incluyendo lo que se hace en las apps o el navegador.

Los expertos de Group-IB descubrieron que el malware incorpora más de 30 superposiciones falsas dirigidas a entidades financieras de distintos países.

Cuando detecta una aplicación bancaria compatible con su lista de objetivos, muestra una pantalla fraudulenta sobre la aplicación legítima para solicitar credenciales, códigos de acceso o información de tarjetas. Todo ello ocurre sin que la víctima perciba que está interactuando con una interfaz manipulada.

La investigación también revela capacidades más avanzadas. RemControl puede transmitir capturas de pantalla a los atacantes, registrar textos introducidos en otras aplicaciones e incluso bloquear intentos de desinstalación al cerrar automáticamente determinadas ventanas de configuración.

Los analistas han encontrado indicios que relacionan la operación con el alias "UNKK" y han observado similitudes con campañas previas asociadas al conocido troyano bancario Medusa, aunque esta conexión todavía no ha sido confirmada oficialmente.

Entonces, recuerda que antes de descargar aplicaciones, verifica que sea únicamente desde fuentes verificadas, desconfía de supuestas versiones gratuitas de servicios IPTV y revisa cuidadosamente cualquier permiso solicitado durante la instalación.

Google asegura que observaba parte de la operación desde dentro gracias a Austin Larsen, analista de la empresa, y parece que se trata de una de las amenazas más fuertes registradas hasta la fecha.

El monitoreo se llevó a cabo mediante las ejecuciones de las acciones maliciosas tras afectar a más de un millar de organizaciones. A continuación, han compartido la información sobre cómo se han dado las cosas.

El infiltrado de Google que observó a TeamPCP desde el inicio

Desde las puertas traseras para acceder a todo tu ordenador con las bibliotecas de Python hasta una afectación de más de 70 repositorios de GitHub, puedes hacerte una idea de lo peligroso que pueden llegar a ser los hackers de TeamPCP.

Con el tiempo se ha convertido en uno de los grupos de ciberdelincuentes más populares dentro de la industria tecnológica. De hecho, ha pasado por varios nombres, como PCPcat, ShellForce o DeadCatx3.

De acuerdo con los detalles revelados por Austin Larsen, investigador de Google Threat Intelligence Group, la organización llevó a cabo una campaña masiva de ataques contra proyectos de código abierto.

Lo descubierto indica que se estaba utilizando malware para comprometer herramientas ampliamente utilizadas y expandir su alcance a nuevas víctimas.

Por supuesto, en este tipo de equipos es difícil adentrarse o tener datos relacionados con los integrantes. Esto es justo lo que hace particular este caso porque Google ha logrado infiltrarse para tener una fuente dentro del círculo cercano de los atacantes.

Según explicó Larsen durante la conferencia LABScon y en declaraciones a WIRED, un analista encubierto de Mandiant, empresa de seguridad propiedad de Google, llevaba meses generando confianza con una persona que posteriormente fue invitada a TeamPCP.

Gracias a ello, el investigador obtuvo acceso al chat interno conocido como CanisterWorm prácticamente desde los primeros momentos de actividad del grupo.

Larsen resumió la situación con una frase reveladora: "Básicamente, casi el primer día, Mandiant estaba observando todo detrás de escena". Esa visibilidad permitió a Google seguir en tiempo real parte de los movimientos de la organización.

El infiltrado llegó a tener acceso a servidores donde se almacenaban credenciales robadas, incluidos nombres de usuario, contraseñas y tokens de acceso obtenidos durante la campaña. Todos los uuariso

En lugar de limitarse a recopilar información, el equipo decidió actuar para reducir el impacto potencial. Larsen explicó que su objetivo era impedir nuevos compromisos antes de que los delincuentes pudieran aprovechar las credenciales o utilizarlas en esquemas de extorsión.

Cómo Google ayudó a frenar los ataques y la caída de los presuntos responsables

La información obtenida por el analista encubierto ayudó a Google a coordinar acciones defensivas a gran escala. En este punto, la compañía optó por avisar primero a proveedores clave como Amazon Web Services y Microsoft para revocar credenciales comprometidas.

Posteriormente, se enviaron cientos de notificaciones tanto a proveedores como a organizaciones afectadas, acelerando la respuesta ante la amenaza.

Según el experto en ciberseguridad, una persona vinculada al entorno de TeamPCP utilizó herramientas de inteligencia artificial para desarrollar un exploit dirigido contra un software de autenticación ampliamente empleado.

La compañía alertó al desarrollador responsable del producto afectado para que corrigiera la vulnerabilidad antes de que pudiera explotarse de forma masiva.

Se ha confirmado que una investigación basada en filtraciones de datos, registros de foros de hackers y cuentas vinculadas permitió seguir un rastro digital que apuntaba hacia Ruben Ian Thomson, uno de los presuntos integrantes clave del grupo.

Como señaló, “escribir informes solo puede ser útil hasta cierto punto. Tomar medidas para proteger a los usuarios y clientes, ese es el siguiente paso”.

Tras estas decisiones y el trabajo de ciberseguridad realizado por parte del gigante tecnológico. Google trasladó esa información al FBI, que posteriormente colaboró con las autoridades australianas.

El mes pasado, Thomson y Louis Michael Gaebler fueron arrestados en Australia y acusados de delitos relacionados con piratería informática. Por el momento, esta es toda la información que se sabe, aunque las investigaciones continúan para seguir obteniendo datos con respecto al popular grupo de hackers.

Por eso, Windows 11 incorpora diferentes mecanismos de protección que buscan impedir que terceros accedan a tus archivos sin autorización.

Sin embargo, algunas de estas funciones pueden convertirse en un problema si desconoces cómo funcionan o no tomas ciertas precauciones básicas.

Uno de los temas que más inquietud genera es el cifrado automático del almacenamiento y la recuperación de archivos críticos. A pesar de que está diseñada para proteger tu información personal, también puede dejarte sin acceso a tus propios documentos u otros elementos.

Entonces, antes de que aparezca un mensaje inesperado durante el arranque del sistema, conviene conocer cómo funciona esta protección y qué debes hacer para evitar un bloqueo total de tus datos.

La clave de recuperación de BitLocker puede convertirse en la única puerta de acceso a tus archivos

BitLocker ha formado parte de las ediciones profesionales de Windows desde Windows Vista, mientras que una variante denominada Device Encryption o Cifrado del dispositivo llegó a las ediciones Home con Windows 10.

Con Windows 11 24H2, esta protección adquiere aún más relevancia debido a que puede encontrarse activada de forma predeterminada en determinados equipos compatibles.

El objetivo es claro: cifrar el contenido del disco para que nadie pueda acceder a la información sin autorización si el dispositivo cae en manos ajenas. El problema aparece cuando Windows solicita la clave de recuperación de BitLocker.

Esto puede ocurrir tras determinados cambios en el hardware, modificaciones en la configuración de seguridad, actualizaciones de firmware UEFI o situaciones que el sistema interpreta como potencialmente riesgosas. En ese momento, el equipo puede mostrar una pantalla solicitando un código de recuperación de 48 dígitos.

Si no dispones de esa clave, no podrás acceder al contenido de la unidad, independientemente de que intentes arrancar Windows con normalidad o mediante herramientas externas.

La situación resulta especialmente delicada para quienes utilizan cuentas locales. Cuando inicias sesión con una cuenta de Microsoft, la clave suele almacenarse automáticamente en la cuenta asociada, lo que facilita su recuperación en caso de emergencia.

Sin embargo, si utilizas una cuenta local y no has guardado previamente ese código, recuperar el acceso a los datos puede convertirse en una tarea extremadamente complicada o incluso imposible.

Por este motivo, la copia de seguridad de la clave de recuperación debería considerarse una medida de seguridad tan importante como cualquier otra protección del sistema.

Cómo comprobar si tu disco está cifrado y guardar la clave antes de que sea demasiado tarde

Para verificar si el cifrado del dispositivo está activo en Windows 11, abre la aplicación Configuración y entra en Privacidad y seguridad > Cifrado del Dispositivo. Si la función aparece habilitada, significa que la unidad está protegida mediante cifrado.

Muchos usuarios desconocen este detalle porque el proceso puede haberse activado durante la configuración inicial del sistema, especialmente cuando se utiliza una cuenta Microsoft desde el primer momento. En consecuencia, es posible que el disco esté protegido incluso si nunca recuerdas haber activado manualmente BitLocker.

Si utilizas una cuenta Microsoft, puedes consultar las claves almacenadas accediendo a la página oficial de recuperación de Microsoft. Tras iniciar sesión, aparecerán los dispositivos vinculados a tu cuenta junto con los identificadores de las claves disponibles.

Conviene anotar tanto el ID de la clave como el código de recuperación correspondiente. Si has utilizado la misma cuenta en varios ordenadores a lo largo del tiempo, es posible que encuentres varias entradas, por lo que identificar correctamente cada una puede ahorrar muchos problemas en una futura recuperación.

Los usuarios que emplean cuentas locales deben prestar aún más atención. Una forma de obtener la clave consiste en abrir el Símbolo del sistema con permisos de administrador y ejecutar el comando "manage-bde.exe -protectors -get C:".

El sistema mostrará la contraseña de recuperación de 48 dígitos asociada a la unidad. Lo recomendable es copiarla, imprimirla y guardar también una copia en una memoria USB almacenada en un lugar seguro.

Mantener varias copias físicas reduce considerablemente el riesgo de pérdida y garantiza que, si Windows solicita la clave en algún momento, puedas recuperar el acceso.

Esta sencilla medida puede marcar la diferencia entre recuperar toda tu información en cuestión de minutos o perder el acceso a documentos importantes durante un largo período de tiempo.

El cifrado de BitLocker es una herramienta muy eficaz para proteger datos personales y profesionales, pero solo cumple su función correctamente cuando la clave de recuperación está disponible.

Al final, dedicar unos minutos a comprobar su existencia y guardarla adecuadamente puede evitar uno de los problemas más frustrantes que pueden producirse en un PC con Windows 11.

El descubrimiento ha sido realizado por los investigadores de Zimperium zLabs, que han analizado las capacidades de esta amenaza.. RatHat estaría llegando a los usuarios mediante campañas de publicidad maliciosa, SMS y páginas de phishing que ofrecen archivos APK fuera de Google Play.

Una vez instalado, el malware intenta conseguir permisos de accesibilidad de Android, que utiliza para realizar acciones con un nivel elevado de control sobre el dispositivo. Además, activa las opciones de desarrollador y la depuración inalámbrica para obtener acceso a una consola local con privilegios de ADB, sin necesidad de conectar físicamente el teléfono a un ordenador.

RatHat instala después un agente desarrollado en Go que puede ejecutar comandos con privilegios de shell de ADB. Este componente también incorpora mecanismos para evitar algunas restricciones de batería y mantener la presencia del malware en el dispositivo.

La amenaza también cuenta con otro agente encargado de establecer un túnel persistente con los atacantes. A esto se suma una larga lista de funciones destinadas a robar información: RatHat puede mostrar falsas interfaces sobre aplicaciones bancarias y de criptomonedas para capturar credenciales, interceptar SMS y notificaciones, incluidos códigos de un solo uso, y extraer las direcciones de las páginas web que visita la víctima.

El malware también puede registrar cambios de texto y obtener información sensible como el PIN de bloqueo, contraseñas y patrones de desbloqueo.

La parte más novedosa de RatHat está en su sistema de automatización. El malware convierte la estructura de accesibilidad que representa la interfaz de Android en datos XML y los envía a una herramienta de inteligencia artificial. A partir de esa información, el sistema puede identificar elementos concretos de la pantalla, averiguar qué texto muestran y devolver instrucciones para desplazarse por la interfaz.

Esto permite que los atacantes controlen el dispositivo de una forma más flexible que mediante scripts rígidos que solo pueden ejecutar una secuencia de acciones previamente definida.

Además, RatHat intenta dificultar su eliminación. Si la víctima trata de desinstalarlo, puede interceptar la pantalla de confirmación y cancelar el proceso, mostrando después una falsa interfaz de Google Play con un supuesto mensaje de error.

La amenaza ha sido bautizada como Mantax Otax y, según los investigadores de la compañía de seguridad móvil Zimperium, está siendo distribuida por operadores de Indonesia mediante archivos APK maliciosos. Los atacantes recurren a mensajes de phishing y técnicas de ingeniería social para intentar convencer a sus víctimas de que instalen estas aplicaciones fuera de Google Play.

Una vez instalado, el malware solicita acceso a los servicios de accesibilidad de Android. Con este permiso puede realizar numerosas acciones en el dispositivo y automatizar interacciones como si estuviera manejándolo el propio usuario.

Las capacidades de Mantax Otax van mucho más allá del ransomware. El malware puede obtener información como la ubicación del teléfono, el operador móvil, la versión de Android y el identificador del dispositivo, además de comunicarse con la infraestructura controlada por los atacantes.

Los investigadores también han descubierto funciones capaces de obtener el PIN de la pantalla de bloqueo, leer SMS y códigos de un solo uso, consultar registros de llamadas, contactos, historial de navegación, aplicaciones instaladas e información relacionada con la cuenta de Google.

La amenaza puede incluso acceder a perfiles y conversaciones de WhatsApp y Telegram utilizando las funciones de accesibilidad para simular interacciones dentro de las aplicaciones.

Además, Mantax Otax puede capturar la pantalla, grabar vídeos y transmitir lo que ocurre en ella prácticamente en tiempo real. También tiene capacidad para utilizar las cámaras del dispositivo y enviar fotografías a los atacantes.

La parte más llamativa del malware es su capacidad para cifrar archivos, aunque esta función afecta principalmente a dispositivos antiguos. Mantax Otax busca determinados archivos almacenados en el almacenamiento compartido y los cifra utilizando una clave AES específica para cada víctima.

Después elimina los originales y añade una extensión distinta a los archivos cifrados. También puede sustituir imágenes almacenadas en el dispositivo por mensajes de rescate y mostrar una pantalla de chat para negociar el pago.

Sin embargo, el componente de ransomware únicamente funciona contra dispositivos con Android 9 o versiones anteriores.

La combinación de espionaje, control remoto, robo de información y estas técnicas de intimidación convierte a Mantax Otax en una amenaza invasiva.

La buena noticia es que los dispositivos Android actualizados con Google Play Protect activo ya detectan y bloquean este malware.

El ataque en cuestión se llama PROMPTFLUX y todavía está en una fase experimental, así que parece que podemos estar tranquilos. De hecho, Google afirma que la muestra analizada estaba en desarrollo y que no tenía capacidad para comprometer por sí sola una red o un dispositivo.

Aun así, aquí lo realmente importante es cómo se comportaba este malware. PROMPTFLUX puede pedir a un modelo de IA que lo reescriba y lo haga diferente. Google encontró incluso una variante lista para pedir a Gemini que reescribiera todo su código cada hora con el objetivo de que fuese imposible que se le detectara en un PC.

De nuevo, matizar que no estamos ante un virus que hoy esté infectando de forma masiva los ordenadores de medio mundo. Google deja claro que esto aún es tan solo una prueba de hacia dónde pueden ir los ataques. Pero, precisamente por eso, preocupa: la IA permite automatizar algo que antes necesitaba mucho más trabajo por parte del atacante.

¿Cómo consigue PROMPTFLUX cambiar su propio código?

Este malware está escrito en VBScript y se comunica con la API de Gemini. Su componente más importante, al que Google llama Thinking Robot, está creado para pedir al modelo nuevas formas de cambiar y esconder el código malicioso.

Piensa en ello como un programa que cada cierto tiempo le dice a una IA que haga que su código tenga otra apariencia para que sea más difícil de reconocer. La IA devuelve una nueva versión y el malware puede utilizar ese código modificado.

En una de las variantes analizadas, esa operación se hacía cada hora. El objetivo es que el malware no tenga siempre la misma cara. Aunque siga intentando hacer lo mismo, su código puede ser diferente de una versión a otra.

Eso es importante porque muchas herramientas de seguridad utilizan, entre otras técnicas, firmas para identificar amenazas que ya se conocen. Una firma es, de forma simple, una especie de huella digital de un archivo malicioso. Cuando aparece algo que coincide con una amenaza registrada, el antivirus puede bloquearlo. El problema llega cuando esa huella cambia todo el tiempo.

No es que el antivirus vaya a quedarse completamente a ciegas ante PROMPTFLUX. Los sistemas de seguridad no dependen solo de firmas y también pueden buscar comportamientos sospechosos.

Pero, desde luego, sería complicado de encontrar. Si un malware cambia todo el tiempo su código, resulta casi como un callejón sin salida.

Por eso, lo que pone los pelos de punta aquí no está tanto en que la IA sepa escribir virus, algo que ya se había visto, sino en que el malware puede utilizar una IA como parte de su funcionamiento.

"Cada fallo de seguridad crítico hay que solucionarlo de inmediato"

Teniendo en cuenta lo que un malware con IA puede provocar, desde luego que todo esto está poniendo patas arriba el sector de la ciberseguridad.

Si hablamos de este sector, durante años ha existido una especie de regla no escrita. Cuando un experto encontraba un fallo de seguridad en un programa, le daba a la empresa 90 días para arreglarlo antes de hacerlo público.

Era un tiempo más que suficiente para que los programadores no trabajaran a contrarreloj y los usuarios estuvieran protegidos. Pero ese pacto se ha acabado.

Los expertos advierten que la era de los 90 días ha muerto, y el culpable es la inteligencia artificial. Con herramientas capaces de analizar código a una velocidad nunca antes vista, lo que antes llevaba semanas de investigación ahora se resuelve en una hora.

El problema es que la IA nunca descansa y es una máquina perfecta reconociendo patrones de programación erróneos. Si un hacker (de los buenos) encuentra una vulnerabilidad, puedes estar seguro de que un hacker (de los malos) está usando un modelo de lenguaje para encontrar exactamente lo mismo. Ya no hay margen de maniobra.

Himanshu Anand, investigador de seguridad, ha dado la voz de alarma sobre esto, advirtiendo que la IA puede convertir un parche en un arma en apenas 30 minutos.

Los atacantes ya no esperan a que salga una noticia que alerta sobre un fallo de seguridad en Windows 11, por ejemplo; se dedican a vigilar los cambios en el código de los repositorios públicos.

En cuanto ven que un programador sube una corrección, usan la IA para analizar la diferencia entre el código viejo y el nuevo, entienden dónde estaba el fallo y crean un ataque automático antes de que tú hayas tenido tiempo de actualizar tu PC para eliminar ese fallo.

Bajo esta frase tan contundente se esconde una realidad más que evidente, como es la inocencia o la ingenuidad que todos podemos tener en algún momento de nuestra vida, incluso manejando ya términos técnicos en ciberseguridad.

En la actualidad, técnicas como el phishing o el smishing se han perfeccionado tanto que resulta complicado observar de un vistazo si te encuentras ante una estafa o si, verdaderamente, ese archivo que vas a descargar en tu móvil o tu PC es legítimo.

Hace varios años, probablemente tendrías que haber configurado una máquina virtual para descargar ahí tus archivos, con una configuración en VMware o VirtualBox apta para que la máquina anfitrión no se contagiara si descargabas algún malware.

Pero, afortunadamente, los tiempos han cambiado y, con ello, también las herramientas disponibles para todo tipo de usuarios. La más básica, como seguramente ya puedas conocer, es VirusTotal, una página web que puede analizar si un archivo, URL y demás es malicioso en base a lo que ofrezcan diferentes vendors.

No obstante, no funciona con algo que estos no hayan analizado, por lo que phishing bien cuidado o un archivo creado específicamente para infectar tu PC puede dar falsos negativos. Aquí tienes la guía que a mí siempre me funciona para analizar todos los archivos e incluso poder ver su contenido con total seguridad.

Un simple archivo de texto malicioso puede ser tu perdición

Aunque generalmente se pueda pensar que un archivo malicioso siempre es un ejecutable que acaba en .exe, cualquier documento utilizado habitualmente –como JPG, PNG, DOCX o XLSX– es capaz de ejecutar un malware en tu máquina.

Hay muchísimas trampas que utilizan los atacantes, como ocultar los marcos en formatos del día a día relacionados con tareas ofimáticas, con técnicas de ingeniería social que acabarán dando el control a los ciberdelincuentes.

Además, los archivos PDF que parecen menos peligrosos pueden ocultar código en JavaScript y explotar las conocidas como vulnerabilidades de desbordamiento de búfer en visores tan populares como Adobe Acrobat Reader.

En tal caso, un antivirus tradicional no te va a servir para absolutamente nada, ya que ni siquiera estos serían capaces de reconocer un ataque si pasan la barrera de la ingeniería social o si, directamente, son ataques de día cero, esos que ni siquiera las grandes compañías aún no han parcheado.

Por eso, un análisis previo para analizar archivos peligrosos siempre es VirusTotal, aunque solo recomiendo este para enlaces web a los que aún no hayas accedido, ya que en tal caso funciona de maravilla.

Pero si quieres ir un paso más allá lo mejor es que desactives la invisibilidad de las extensiones en Windows; por defecto, estas suelen venir desactivadas, y un archivo EXE, VBS, SCR, BAT o LNK ha de considerarse como un riesgo real de infección.

A nivel de ejecutables, ya la cosa cambia y deberías tomar muy en serio qué estás instalando. Windows permite acceder a un sandbox –un entorno controlado, seguro y separado de tu sistema principal– para que puedas ejecutar de forma segura todo lo que hayas descargado.

Simplemente busca en el menú de inicio de Windows el término Windows Sandbox, ejecútalo y reinicia el PC cuando te lo pida. Así, tendrás un entorno de escritorio totalmente separado para abrir ahí ese archivo sospechoso y no infectar tu máquina anfitriona, ya que la ventana virtual se destruirá si el programa contiene un troyano o un ransomware, quizá los peores eventos a los que te podrías enfrentar.

Pero un paso más allá de esto, y de forma más accesible para todos los usuarios, funciona Dangerzone, una herramienta que antes sí requería tener Docker Desktop bien configurada, pero que ahora funciona como una aplicación totalmente independiente.

Puede usarla tanto en Windows 10 como en Windows 11, aunque necesitarás haber activado la virtualización en la BIOS/UEFI, además de 1,5 gigabytes libres en tu disco para que la instalación tenga hueco y se puedan realizar correctamente las imágenes del contenedor de aislamiento.

Desde el repositorio oficial de GitHub, descarga el archivo y ejecuta el que acaba en .msi para seguir las instrucciones de instalación; seguramente te aparezca una ventana de seguridad de Windows, la que tendrás que aceptar para continuar con la configuración.

Aquí no hay ni máquinas virtuales para configurar en varios pasos ni comandos extraños que has de introducir en la consola. Solo tienes que abrir el programa y el mismo confirmará que se está ejecutando de forma aislada.

Ahora, cada vez que quieras abrir un archivo del que sospeches, lo único que tendrás que hacer es ejecutarlo desde esta herramienta. En ningún caso tienes que abrir antes el archivo sospechoso, ya sea por el correo electrónico o mediante el explorador de archivos.

Solo arrastra el archivo a la ventana de Dangerzone y podrás configurar diferentes herramientas: el reconocimiento de texto (OCR) para que el PDF resultante te permita editar el texto; el lenguaje según el idioma en el que esté escrito y la opción de abrir tras convertir, para que el archivo desinfectado se abra inmediatamente y puedas visualizar su interior con total seguridad.

Básicamente, es como si realizaras una limpieza a fondo de un documento, pero con la garantía de que tu máquina no se va a infectar: el resultado es un archivo limpio que puedes revisar para ver cómo actúan los ciberdelincuentes y de forma que no tengas que realizar una virtualización o crear un entorno aislado en un contenedor.

Lo mejor de todo es que no solo sirve para archivos PDF, sino que tendrás a tu disposición muchísimos formatos: docx, doc, xlsx, pptx, ppt, odt, ods, odp, odg, jpg, jpeg, png, gif, tiff, epub, hwp y muchos más relacionados con documentos de ofimática, archivos de imagen y formatos de texto o de libros electrónicos.

Sinceramente, es una herramienta que utilizo de forma habitual y que me ha encantado. Si la usas, recuerda siempre tomar todas las precauciones y jamás abrir el archivo original, para garantizar totalmente tu seguridad.

Bajo el usuario de darama22 en GitHub, ha creado el repositorio Malware Research Hub, con una lista muy bien integrada de hasta 53 años de historia de malware, desde el virus histórico Creeper, que apareció en 1971.

Ahora bien, no es un simple repositorio para los especialistas y aficionados en ciberseguridad, sino que funciona mediante un diseño de arquitectura de almacenamiento seguro, así como el desarrollo de una aplicación web local en Python y Flask para indexar y explorar todas las muestras sin que se ejecuten accidentalmente en la máquina este tipo de software malicioso.

En su propia página de GitHub lo explica claramente: "Malware Research Hub es una plataforma local que unifica un catálogo forense curado, un arsenal de 2.764 especímenes reales (todos cifrados), un motor de búsqueda propio y un hub de recursos de investigación, desde Creeper (1971) hasta el ransomware moderno".

Y añade que todo está indexado y que se puede buscar tanto en inglés como en español mediante una app web propia, sin dependencias externas más allá del mencionado Flask.

En total, aquí encontrarás hasta 84 familias de malware con 11 colecciones disponibles durante más de medio siglo, una verdadera reliquia para los equipos de defensa de cualquier empresa y organización.

Qué puedes encontrar exactamente en Malware Research Hub

El contenido de este repositorio está dividido en 3 pilares principales: catálogo forense, colecciones de especímenes reales y recursos de ingeniería inversa. Todo esto dirigido a la ciberseguridad defensiva y a las operaciones del equipo azul, encargado de las defensas de una organización.

Como suele decirse, hay que conocer al enemigo para poder combatirlo, y esto es precisamente lo que busca Malware Research Hub: "Todas las muestras van en ZIP cifrado con contraseña infected. Nunca las descomprimas en tu máquina principal. Opera solo en una VM aislada (host‑only / sin red) con snapshots, usando REMnux + FakeNet‑NG. El servidor no ejecuta ni sirve binarios por defecto. Solo metadatos y 'abrir carpeta'. Un espécimen extraído es hostil. Trátalo como plutonio digital".

De tal forma, la primera recomendación es que crees un entorno aislado y controlado mediante una máquina virtual, con la configuración que comparte el propio autor, para evitar que acabes infectando tu máquina principal.

Si ya tienes esto listo, te toparás con casi 3.000 especímenes reales de malware que están distribuidos en 11 colecciones diferentes verificadas por toda la comunidad de ciberseguridad defensiva.

La que acumula mayor número de especímenes es Malware-Databes-Src, con código fuente desglosado por cada plataforma –Win32, Linux, macOS, MS-DOS, etc.–. A partir de aquí, le siguen VX-Underground, con código fuente histórico y moderno por lenguaje de programación, y theZoo, con binarios reales cifrados y código fuente agrupado por familias.

Según el autor, se centra en "corpus agregado a partir de colecciones públicas de investigación reconocidas (theZoo, VX‑Underground, MalwareBazaar/abuse.ch, InQuest, javascript‑malware‑collection y otras); cada subcolección conserva su licencia original en su carpeta. Curación, integración, cifrado, indexado y plataforma: trabajo propio".

A partir de aquí, hay muchas más colecciones, como Malware-Database, con binarios históricos cifrados categorizados por amenazas; VX-API, con demostraciones de técnicas avanzadas de malware en C y C++; JavaScript Malware; Malware-Samples, con familias y amenazas modernas en formato binario cifrado, e incluso el gusano Stuxnet, con el código fuente completo.

O lo que es lo mismo, en lugar de listar miles y miles de técnicas, reúne 84 familias deduplicadas, para que el usuario pueda tener a su disposición todo sin tener que rebuscar mucho.

Adicionalmente, cuenta con una línea de tiempo interactiva, desde 1971 hasta 2024, para ver cómo han evolucionado este tipo de ataques, además de integración con estándares, como STIX/MAEC o conjuntos de datos para aprendizaje automático en el campo de la ciberseguridad defensiva.

Al ejecutar la herramienta no existe ningún servidor externo, sino que corre localmente, a la par que su motor de búsqueda te permitirá filtrar por familiar, arquitectura o plataforma objetivo, tipo de amenaza y colección de origen.

Para la seguridad en el backend, el servidor web no ejecuta los binarios ni sirve cargas ejecutables a través del navegados; simplemente maneja metadatos, visualización de fichas e interacción con carpetas locales.

Y el creador del repositorio, como es lógico, extiende una advertencia sobre el uso responsable de este: "Uso exclusivamente educativo y de investigación en ciberseguridad defensiva. La posesión, manipulación y ejecución de malware está sujeta a las leyes de tu jurisdicción. El operador es el único responsable de contener las muestras en entornos aislados. Distribuir o ejecutar estos artefactos con intención dañina es un delito. Opera en aislamiento. No seas el paciente cero".

Con el objetivo de que tu máquina principal (host) no acabe infectada con estas tipologías de malware, es obligatorio el uso de un entorno virtualizado aislado con tu herramienta favorita, ya sea VMware, VirtualBox o Proxmox.

La configuración tiene que cumplir estrictamente con la siguiente regla: la máquina virtual solo puede estar en modo Solo Anfitrión (host-only) o totalmente desactivada, con la red interna desconectada para que no existan brechas.

En el caso de los gusanos, estos son autorreplicables, por lo que el autor también advierte de que lo mejor es usar distros especializadas como REMnux, combinándola con simuladores de red como FakeNet-NG o INetSim para evitar que estos intenten propagarse.

En definitiva, Malware Research Hub es una herramienta vital que sirve como archivo histórico para los equipos de ciberseguridad defensiva o los especialistas en inteligencia de amenazas, pero bajo ningún concepto has de utilizarla sin conocimientos en este ámbito, y mucho menos para cuestiones ilegales.

La campaña ha sido descubierta por los investigadores de seguridad de ThreatFabric y ha tenido un impacto especialmente importante en España. Entre el 11 de junio y el 3 de julio de 2026, uno de los anuncios maliciosos difundidos a través de Meta habría alcanzado aproximadamente 570.000 usuarios.

Todo comienza con un anuncio que presenta un supuesto servicio de televisión en streaming gratuito. El usuario que pulsa sobre él termina en una página web preparada específicamente para continuar con el engaño.

La página comprueba qué dispositivo está utilizando la víctima. Si no es Android, muestra un error, mientras que los usuarios de teléfonos Android reciben instrucciones para descargar una aplicación en formato APK.

El proceso está diseñado para parecer legítimo y cambia incluso dependiendo de si la víctima llega desde Facebook, Instagram, TikTok o directamente desde un navegador.

El objetivo es convencer al usuario de que permita la instalación de aplicaciones procedentes de fuentes desconocidas y, posteriormente, conceda a la aplicación acceso a los Servicios de Accesibilidad de Android. Y ahí es donde la situación empieza a complicarse.

La aplicación descargada funciona inicialmente como un instalador que se encarga de introducir el malware definitivo en el teléfono. Incluso puede pedir al usuario que la establezca como lanzador predeterminado del dispositivo, de manera que el botón de inicio termine mostrando su propia interfaz.

Una vez instalado StreamRat y obtenidos los permisos necesarios, el malware establece comunicación con sus servidores y comienza a recopilar información del teléfono.

Entre sus capacidades se encuentra la posibilidad de supervisar lo que aparece en pantalla y capturar información introducida por el usuario. Además, incluye diferentes mecanismos para que los atacantes puedan controlar remotamente el dispositivo.

Uno de ellos utiliza VNC junto con la función de proyección de pantalla de Android. Pero existe otro método todavía más discreto que utiliza los Servicios de Accesibilidad para realizar capturas sin mostrar el indicador habitual asociado a la grabación o transmisión de pantalla.

Según ThreatFabric, este sistema puede llegar a realizar una captura aproximadamente cada 200 milisegundos, proporcionando al atacante una visión prácticamente en tiempo real del teléfono.

El malware también puede reconstruir el contenido de la pantalla utilizando los elementos de accesibilidad de Android en lugar de enviar una imagen completa.

StreamRat no se limita a espiar el teléfono. El troyano puede mostrar interfaces falsas por encima de aplicaciones legítimas, algo especialmente peligroso cuando la víctima abre una aplicación bancaria.

De esta forma, los atacantes pueden intentar engañarla para que introduzca sus credenciales en una pantalla controlada por el malware.

Además, puede bloquear prácticamente toda la pantalla con una superposición negra, mostrando incluso falsas pantallas de actualización de Android para mantener al usuario distraído mientras el atacante opera en segundo plano.

El problema está identificado como CVE-2026-85046 y afecta al motor V8 de Chrome, encargado de ejecutar JavaScript y WebAssembly. Google lo ha clasificado como una vulnerabilidad de alta gravedad y ha confirmado que existe un exploit circulando actualmente.

La vulnerabilidad es de tipo type confusion, un problema que puede provocar que el software interprete de forma incorrecta determinados objetos en memoria. En determinadas circunstancias, un atacante podría aprovechar este comportamiento para provocar una corrupción de memoria.

Aunque Google no ha publicado detalles técnicos sobre cómo se están llevando a cabo los ataques, el funcionamiento del fallo resulta relevante porque V8 procesa código JavaScript procedente de las páginas web que visitamos.

Esto significa que, al menos en teoría, una página especialmente diseñada podría utilizar el fallo para ejecutar código malicioso dentro del proceso de Chrome. El aislamiento del navegador proporciona una capa de protección adicional, pero una vulnerabilidad de este tipo sigue representando un riesgo importante, especialmente cuando ya está siendo explotada.

La compañía ha decidido mantener bajo reserva buena parte de la información técnica para evitar facilitar el trabajo a los atacantes mientras los usuarios terminan de recibir el parche.

La actualización no se limita a esta vulnerabilidad. Google también ha solucionado otros fallos de seguridad de alta gravedad relacionados con componentes como WebGL, DevTools, Skia, CacheStorage, Network y el propio V8.

La vulnerabilidad CVE-2026-85046 es, además, el sexto fallo de día cero de Chrome explotado activamente que Google ha corregido durante 2026. La frecuencia de estos incidentes demuestra la importancia de mantener el navegador actualizado incluso cuando aparentemente funciona con normalidad.

Para comprobar si la actualización ya está disponible, basta con abrir Chrome y entrar en Configuración e Información de Chrome. El navegador comprobará automáticamente si existe una nueva versión y comenzará a descargarla cuando corresponda.

La versión que Google está distribuyendo es la 152.0.7977.82/.83 para Windows y macOS, mientras que Linux recibe la 152.0.7977.82.

Una vez instalada, será necesario reiniciar Chrome para que las correcciones de seguridad queden activas.

Los usuarios de navegadores basados en Chromium, como Microsoft Edge, Brave, Opera o Vivaldi, también deberían estar atentos a sus respectivas actualizaciones, ya que las correcciones pueden llegar con algunos días de diferencia.

Investigadores de seguridad de Socket han descubierto una campaña maliciosa que afectó a 19 extensiones de Chrome y Edge. En total, decenas de miles de usuarios pudieron quedar expuestos, especialmente aquellos que utilizaban servicios y monederos relacionados con criptomonedas.

La estrategia utilizada por los atacantes hacía que las extensiones resultaran difíciles de detectar. Según los investigadores, 14 de los complementos fueron desarrollados directamente por los ciberdelincuentes, mientras que otros cinco fueron adquiridos a desarrolladores y empresas legítimas.

En un primer momento, estos programas cumplían las funciones que prometían. El problema llegó después, cuando recibieron actualizaciones que incorporaban código diseñado para recopilar información y comprometer los dispositivos.

Una de las extensiones más afectadas fue Enable Right Click & Copy - Smart Unlock + OCR. Llegó a acumular alrededor de 70.000 instalaciones en Chrome y otras 10.000 en Edge, por lo que unos 80.000 usuarios estuvieron potencialmente expuestos.

Los atacantes tenían especial interés en monederos de criptomonedas y otros datos relacionados con estos activos, aunque la campaña también podía recopilar otra información del usuario.

Los investigadores creen que algunas de las técnicas utilizadas en esta campaña ya estaban presentes desde febrero de 2024. Los atacantes podían introducir las cargas maliciosas después de haber conseguido una base considerable de usuarios y controlar posteriormente la campaña mediante una infraestructura de comando y control.

Google y Microsoft terminaron retirando las extensiones afectadas de sus respectivas tiendas. Sin embargo, eso no significa necesariamente que todos los usuarios estén protegidos automáticamente.

Si alguna de estas extensiones sigue instalada en un ordenador, eliminarla manualmente es una de las medidas más importantes. También conviene revisar las extensiones instaladas en Chrome o Edge y desconfiar especialmente de aquellas que no se recuerde haber instalado.

El caso demuestra además que tener una extensión disponible en la tienda oficial no garantiza que vaya a mantenerse segura para siempre. Una extensión legítima puede cambiar de propietario o recibir posteriormente una actualización que modifique por completo su comportamiento.

Ahora, el kernel de Linux Torvalds es el nuevo objetivo de los ciberdelincuentes porque se han detectado varias vulnerabilidades en Red Hat Enterprise Linux (RHEL). Millones de personas están actualmente en peligro por las posibles fallas virtuales que pueden afectar a los dispositivos.

Este incidente vuelve a hacer que se vuelva urgente mantener una estrategia constante de parcheo en infraestructuras críticas y servidores empresariales con Red Hat, SAP o arquitecturas como ARM, IBM z e IBM Power.

Las vulnerabilidades del kernel amplían la superficie de ataque en sistemas Red Hat

Se han presentado diversas debilidades en sistemas operativos de distintas compañías. En este caso, llama la atención porque se trata de un anuncio oficial de Red Hat donde han confirmado múltiples avisos de seguridad para corregir fallos detectados en el kernel de Linux.

Los problemas afectan a distintas versiones y variantes de Red Hat Enterprise Linux y Red Hat CodeReady Linux Builder. Entre los productos impactados se encuentran plataformas para arquitecturas x86_64, ARM64 (aarch64), IBM z Systems (s390x) y Power (ppc64le), incluyendo también ediciones con soporte extendido y ciclos de vida ampliados, según HKCERT.

Un atacante remoto podría aprovechar algunas de estas vulnerabilidades para provocar denegaciones de servicio, obtener acceso a información confidencial, elevar privilegios dentro del sistema comprometido, manipular datos o incluso ejecutar código de forma remota en determinadas circunstancias.

Aunque no todas las fallas presentan el mismo nivel de criticidad, la combinación de numerosos identificadores CVE incrementa la complejidad del panorama de riesgo para los administradores de sistemas.

La lista de vulnerabilidades corregidas incluye decenas de identificadores, entre ellos CVE-2025-21834, CVE-2026-23003, CVE-2026-43450, CVE-2026-53026, CVE-2026-64018, CVE-2026-64276, CVE-2026-64384, CVE-2026-68086 y CVE-2026-72130, entre otros.

Los inconvenientes se pueden visualizar y confirmar en la página oficial, por lo que es importante tener en cuenta los códigos para determinar si hay un punto de entrada para comprometer servicios críticos o facilitar movimientos laterales dentro de una red corporativa.

Actualizar cuanto antes es la principal recomendación para mitigar los riesgos

La respuesta de Red Hat frente a estas vulnerabilidades ha consistido en la publicación de correcciones oficiales distribuidas a través de varios avisos de seguridad.

La compañía recomienda instalar los parches disponibles y revisar la documentación asociada antes de desplegarlos en producción. Esta práctica permite validar posibles impactos operativos y garantizar una implementación adecuada dentro de cada entorno tecnológico.

Entre los boletines de seguridad publicados se encuentran RHSA-2026:61310, RHSA-2026:61887, RHSA-2026:61959, RHSA-2026:61973, RHSA-2026:62345 y RHSA-2026:62346.

Estos paquetes incluyen las correcciones destinadas a resolver las vulnerabilidades identificadas en las distintas versiones afectadas del kernel.

Con respecto a los equipos de TI, la recomendación pasa por verificar el inventario de sistemas, identificar la presencia de versiones vulnerables y programar la instalación de las actualizaciones siguiendo las políticas internas de gestión de cambios.

En entornos empresariales, donde el kernel constituye uno de los componentes más sensibles del sistema operativo, actuar con rapidez ante los avisos de seguridad puede marcar la diferencia entre una actualización rutinaria y un incidente de seguridad de gran alcance.

Sin embargo, instalar estas apps no verificadas puede convertir tu dispositivo en una puerta abierta a ciberdelincuentes capaces de acceder a información, incluyendo credenciales bancarias y datos personales.

De acuerdo con 20minutos, se ha advertido de este riesgo y se ha señalado a Massiv, un malware capaz de acceder a información sensible y de poner en peligro incluso las apps del banco.

Cabe señalar que este troyano no solo compromete el dispositivo, sino que está diseñado específicamente para robar datos bancarios mediante técnicas sofisticadas de vigilancia digital.

Massiv convierte una app de IPTV en una amenaza

Cabe mencionar que Massiv es un troyano bancario para Android descubierto por los investigadores de ThreatFabric, cuyo objetivo no es simplemente mostrar publicidad o robar algún dato personal.

Cuenta con capacidades para tomar el control del dispositivo y utilizarlo para realizar acciones fraudulentas. Y una de sus técnicas consiste en mostrar pantallas falsas sobre aplicaciones legítimas.

Si la víctima abre una aplicación bancaria, por ejemplo, el malware puede colocar encima una interfaz que imita la original y solicitar las credenciales o información que necesita el atacante.

También puede registrar las pulsaciones del teclado del móvil e interceptar mensajes SMS y notificaciones. Esto resulta peligroso porque muchos servicios utilizan mensajes o notificaciones para confirmar operaciones.

Si el ciberdelincuente consigue controlar el dispositivo y acceder a esa información, puede tener más posibilidades de completar operaciones fraudulentas.

ThreatFabric también documentó casos en los que se utilizaron datos obtenidos de dispositivos infectados para abrir nuevas cuentas a nombre de las víctimas.

La investigación identificó campañas dirigidas inicialmente contra usuarios de Portugal y Grecia, aunque el uso de aplicaciones que imitan servicios IPTV también se ha observado en España, Francia y Turquía.

Así consiguen que el usuario instale el malware

El ataque parte de un engaño bastante sencillo, donde los hackers crean una aplicación que parece un servicio IPTV y la distribuyen fuera de las tiendas oficiales mediante páginas web u otros canales.

Esto aprovecha una particularidad del público que busca determinadas plataformas IPTV, ya que está más acostumbrado a instalar apps mediante archivos APK externos.

En algunos casos, la app que ve el usuario ni siquiera es la que contiene directamente todo el malware. ThreatFabric encontró aplicaciones que muestran una página IPTV mediante un navegador integrado mientras el componente malicioso ya está instalado y funciona en segundo plano.

Durante el proceso también pueden aparecer solicitudes de permisos que conceden al programa un acceso mucho mayor al teléfono. Aceptarlos sin comprobar qué está pidiendo la app puede facilitar que el atacante controle diferentes funciones del dispositivo.

Qué hacer para evitar el malware

La principal protección consiste en no instalar aplicaciones IPTV procedentes de fuentes desconocidas, especialmente cuando exigen descargar un APK desde una página externa o activar permisos que no parecen necesarios para su funcionamiento.

También conviene comprobar quién desarrolla la app, revisar los permisos antes de aceptarlos y desconfiar de programas que prometen acceso gratuito a contenidos de pago a cambio de instalar componentes adicionales.

Si una aplicación desconocida solicita permisos de accesibilidad, acceso a mensajes o cualquier otro privilegio que no tenga relación clara con su función, lo recomendable es detener la instalación.

El problema no es la tecnología IPTV en sí misma, sino que el peligro aparece cuando una aplicación falsa utiliza ese reclamo para introducir malware en el teléfono.

Massiv demuestra que el coste de conseguir una retransmisión gratis puede terminar siendo mucho mayor si el usuario entrega sin saberlo el control de su dispositivo y el acceso a información financiera.

Aproximadamente sobre las ocho y media de la tarde del 2 de noviembre de 1988, un programa malicioso se había colado en la red y llegó a infectar a alrededor de 6.000 ordenadores del total de 60.000 que conformaban la red en aquel entonces.

Los ordenadores afectados no solo fueron los del MIT, sino que el responsable de observar el inicio de este supuesto ataque era un estudiante que pertenecía a la Universidad de Berkeley, en California (Estados Unidos), donde sus máquinas comenzaban a detenerse.

Cuando descubrieron lo que había ocurrido, los investigadores se dieron cuenta de que un gusano había afectado a muchísimos centros educativos y universidades de referencia, como las ya mencionadas, y el FBI llegó a pensar que se estaba produciendo una incursión a gran escala en sus sistemas.

Los 6.000 ordenadores afectados en aquel entonces utilizaban una versión específica derivada del sistema operativo Unix, aunque se amplió rápidamente aprovechando puertas traseras en el sistema de correo electrónico primitivo de aquella época.

Además, afectó a otro programa que permitía identificar individualmente a todos los usuarios conectados a la red. El FBI continuó la investigación, a la par que el gusano se extendía aún más y afectaba a más y más servicios. Curiosamente, ningún agente externo había atacado la red, sino que había sido un experimento.

El experimento inofensivo que acabó investigando el FBI

El gusano, al que más adelante se acabó apodando el gusano Morris, no fue uno de los peores, pero podía recorrer todos los servicios de aquel Internet original, por lo que llegó a afectar a prestigiosas organizaciones, como la Universidad de Harvard, la de Princeton, Stanford, Johns Hopkins, a la NASA y al Laboratorio Nacional Lawrence Livermore.

El FBI comenzó a investigar, ya que a pesar de que no había destruido archivos, sí había logrado ralentizar toda la red, el cliente de correo electrónico e implicó una investigación conjunta para saber cómo acabar con el gusano Morris.

La institución estimó las pérdidas en un principio en aproximadamente unos 100.000 dólares que, tras unos días, alcanzó millones de dólares en daños; algunas instituciones limpiaron sus sistemas, mientras que otras optaron por desconectar sus máquinas durante una semana entera, con lo que esto implicó.

Tras intentar solucionar aquel desastre, un programador escribió a 2 amigos para explicarles que había sido él el responsable, que había lanzado aquel gusano, pero había perdido totalmente el control de la situación. Y, como era lógico, no sabía qué hacer.

Este joven programador de 23 años, Robert Tappan Morris –de ahí el nombre posterior con el que se bautizó al gusano–, pertenecía a la Universidad de Cornell, y le pidió a uno de sus amigos que enviara un mensaje anónimo en Internet pidiendo perdón por todo lo sucedido.

En dicho mensaje, el programador pedía disculpas por haber causado tantos daños; irónicamente, muchas de las instituciones no recibieron el mensaje por culpa de estar infectados con el gusano Morris. Así que, paralelamente, su otro amigo realizó una llamada anónima a The New York Times.

Según contó este al medio, todo formaba parte de un experimento inofensivo y el resultado de la propagación había sido un error de programación; este también se refirió a él por sus iniciales, RTM, lo que llevó a los periodistas de The Times a dar con el nombre completo del causante.

A pesar de que Morris no lo había hecho de forma malintencionada, sí había vulnerado las leyes federales, ya que había comenzado pirateando un ordenador del MIT, gracias a los conocimientos que había adquirido con los conocimientos de su padre, que trabajaba en Bell Labs.

Morris era un experto en Unix, un estudiante con muy buenas calificaciones y, además, también era bastante bromista. Había desarrollado en secreto un programa que podía extenderse lentamente por Internet y había logrado cubrir todos sus rastros.

El FBI comenzó rápidamente una investigación más exhaustiva y entrevistó a Morris y a sus amigos, lo que dio lugar a numerosas pruebas que lo incriminaban; el resultado fue una investigación federal por incumplir la Ley de Fraude y Abuso Informático aprobada por el Congreso en 1986, 2 años antes del incidente ocurrido.

Esta prohibía el acceso no autorizado a ordenadores protegidos, como el que pirateó del MIT, por lo que acabó convirtiéndose en la primera persona de todo el mundo en ser condenada por este tipo de actos.

A pesar de ello, pudo evitar la cárcel y recibió a cambio una multa de 10.050 dólares, la libertad condicional durante 3 años y tuvo que realizar hasta 400 horas de servicios sociales. En cualquier caso, el gusano Morris se hizo muy popular en un país que jamás había vivido una situación así.

Más adelante, Morris siguió de forma normal con su carrera en informática y comenzó su carrera como investigador, incluso dando clases en el MIT, además de desarrollar diferentes proyectos para compañías privadas.

De cualquier forma, el gusano Morris dio lugar a nuevas modalidades de ataques durante el inicio de Internet, pero también al inicio del equipo de respuesta, el Computer Emergency Response Team (CERT), para coordinar las respuestas a vulnerabilidades y ataques de este tipo.

En aquel entonces, el 10% de los ordenadores conectados ya suponían una superficie de ataque increíble; en la actualidad, con el aumento de los dispositivos conectados, se hace más que evidente que aquel inicio de Morris fue casi imprescindible para aprender sobre los errores de seguridad.

Y, gracias a aquel ejemplo tan temprano, el sistema pudo desarrollar sus defensas, provocando un aumento de los equipos de seguridad, algo que ni siquiera preocupaba al principio, al ser una red más cerrada que prácticamente utilizaban centros y universidades.

Entre las cosas que se recomendaban siempre, además de tener un antivirus, era apagar el teléfono una vez a la semana para detener procesos de malwares persistentes.

Hasta en 2025 fue algo efectivo para millones, pero en 2026, las cosas se están poniendo difíciles para aquellos que intentan defenderse. Todo se debe a que hay cada vez más estrategias maliciosas aplicadas a través de numerosos virus.

Las autoridades recomiendan cambiar la frecuencia en la que se hacen los reinicios y agregar otras formas de protegerse de las amenazas que aprenderás en la siguiente información.

¿Por qué ya no sirve apagar o reiniciar el móvil una vez por semana ante los ciberataques?

Apagar o reiniciar el teléfono cada semana ya no sirve de mucho ante los ciberataques y es que este año las cosas se complican aún más. Los piratas informáticos no solamente están creando campañas de phishing para engañarte con el fin de compartir tu información personal, sino que también han surgido malwares roba datos.

Algunos virus le permiten a los atacantes tomar el control de los dispositivos sin que el usuario se dé cuenta, mientras que otros actúan silenciosamente para hacer acciones fraudulentas o adentrarse en tus cuentas de banco y redes sociales.

Anteriormente, los expertos recomendaban usar esa táctica de ciberseguridad mencionada porque detiene los procesos cada cierto tiempo. Para este 2026, la Agencia de Seguridad Nacional de los Estados Unidos (NSA) y el Primer Ministro de Australia, Anthony Albanese, advierten a los usuarios de hacer esto al menos una vez al día y no semanal.

“Todos tenemos una responsabilidad. Cosas sencillas: apaga el teléfono cinco minutos cada noche. Para quienes ven esto, hazlo cada 24 horas, mientras te cepillas los dientes o haces lo que sea” - Albanese.

Desde The Guardian explican que con realizarlo cada 24 horas y dejarlo apagado unos 5 minutos, garantiza que los procesos de los cibercriminales se detengan. Esta simple acción sirve para impedir que se lleven a cabo los spywares, ataques zero-click y otros programas maliciosos.

Es una medida simple, pero efectiva hasta con estrategias sofisticadas. El único problema es que para algunos usuarios podría ser “fastidioso” o algo que se puede olvidar fácilmente.

En efecto, el profesor especialista en ciberseguridad de la Universidad de Tecnología de Sídney, Dr. Priyadarsi Nanda, afirma que conoce “casos en los que las personas no han apagado sus teléfonos en un año entero”

La clave está en tomarlo como un hábito, donde cualquier momento libre o cuando estés haciendo algo donde no necesites el móvil, ejecutar el apagado y así no afecta de ninguna manera la experiencia, pues son solo 5 minutos.

Otras medidas de seguridad que deberías aplicar en tu móvil

Eso no es todo, la propia NSA ha dicho que se deben considerar otros métodos de protección si de verdad se quiere mantener la integridad de los datos y el sistema.

Hay que empezar con lo básico y es que, si está dentro de tus posibilidades, lo mejor es que uses un antivirus en tu Android o iOS, mientras que también podrías agregar una VPN para mantener la protección al navegar por Internet.

Las otras recomendaciones son cosas fundamentales como actualizar siempre el SO, descargar archivos solo de fuentes confiables y evitar las redes públicas de WiFi y Bluetooth. Además, es bueno usar la autenticación de dos pasos en las plataformas donde te registres.

Si cualquier amenaza se cuela en el sistema, todo esto se pone en peligro, tanto en Android como en iPhone. Habiendo tantos casos de phishing y malware rondando en internet, detectar a tiempo una posible intrusión se ha convertido en una prioridad para todos.

¿Crees que alguien ha accedido a tu teléfono sin tu consentimiento? Si notas comportamientos extraños o que el dispositivo está infectado de virus, hay que analizar con mucha atención las señales.

En 2026, los casos aumentan y prepararse antes de cualquier cosa es lo que te va a mantener a salvo de las garras de los ciberdelincuentes. Por eso, en este artículo vas a aprender todo sobre cómo monitorear tu smartphone para determinar si te han hackeado.

Señales que indican que tu smartphone podría estar siendo vigilado

No todos los comportamientos extraños significan que tu teléfono ha sido hackeado y es por eso que hay que tener en cuenta cada detalle. De hecho, es posible confundir ciertas cosas con problemas de rendimiento u otros errores que se presentan en el sistema.

A medida que se va utilizando el dispositivo, surgen estos inconvenientes, pero lo bueno es que existen ciertas señales que indican si se trata de algo con lo que hay que tener mucho cuidado.

Uno de los síntomas más habituales es el consumo anormal de batería, pues cuando comienza a perderse porcentaje drásticamente sin que se esté haciendo nada, es posible que se trate de un malware realizando acciones en segundo plano sin que te des cuenta.

Evidentemente, la vida útil es un tema, pero cuando es una exageración lo de la energía, seguro que hay algo causando el problema. También debes prestar atención al sobrecalentamiento frecuente sin que se esté ejecutando una app o juego exigente.

Por otra parte, está el consumo de datos móviles porque muchas de las amenazas drenan esto rápido cuando inyectan programas de espionaje o recopilan información para mandarla a fuentes externas.

Asimismo, la aparición de aplicaciones que no recuerdas haber instalado, permisos excesivos concedidos a ciertas apps o publicidad emergente fuera de lo normal.

Llamadas, mensajes o notificaciones extrañas y reinicios inesperados junto a intentos de inicio de sesión que no has hecho, son suficientes como para darte cuenta de que hay un intruso.

¿Qué debes comprobar antes de cambiar de teléfono?

¿Tienes que comprar de una vez un nuevo móvil? Cuando un teléfono está infectado, es normal pensar si es necesario reemplazar el dispositivo o cambiar el número.

Sin embargo, los especialistas en ciberseguridad advierten que esta decisión no siempre resuelve el problema de fondo. Uno de los casos que los describe es el que se comparte en el medio AnalisiDifesa, en Italia se ha hecho una denuncia del experto Andrea Mavilla debido a que ha revelado números telefónicos y datos institucionales.

Esto se hizo sin necesidad de recurrir a técnicas avanzadas de hackeo o a la dark web. De aquí se abrió una investigación para poder encontrar el origen de los registros y dieron con que todo giraba alrededor de las cuentas vinculadas al smartphone y diversas plataformas en internet.

Por esto mismo, se recomienda encarecidamente que, antes de considerar sustituir el móvil, es necesario verificar todas las cuentas con sesiones activas de Google, Apple, Microsoft y redes sociales para cerrarlas.

Cambiar las contraseñas y activar la autenticación multifactor es crucial. Además, es importante mantenerse al día con los posibles dispositivos desconocidos que estén vinculados.

En sí, cuando un atacante ya obtuvo acceso a tus cuentas, reemplazar únicamente el hardware podría dejar intacta parte del riesgo. De hecho, si vas a vender o tirar el dispositivo, siempre haz un restablecimiento de fábrica para no comprometer nada.

Cómo proteger tu móvil y recuperar la seguridad en 2026

Los hackers siempre buscan los datos más valiosos con los que puedan afectarte directamente a corto o largo plazo. Cualquier información que sirva para robar tu identidad o dinero es suficiente.

Aquí se incluyen los contactos, correos electrónicos, números de teléfono, cuentas iniciadas, tarjetas y mucho más. Por ello, la investigación y la contención deben realizarse de forma conjunta antes de considerar resuelto el incidente.

¿Qué hacer entonces para mantener el dispositivo listo? Cuando notas que hay algunas de las señales mencionadas en los anteriores apartados, lo primero que tienes que hacer es mantener el sistema actualizado, al igual que todas las aplicaciones.

Principalmente, se debe a que los desarrolladores suelen agregar los parches de seguridad necesarios para combatir las amenazas. Sin embargo, en varias situaciones eso no es suficiente.

Es recomendable eliminar aplicaciones que no utilices y revisar individualmente los permisos concedidos en cada una de ellas. Si tienes plataformas de cifrado de extremo a extremo, mejor.

Las recomendaciones más recientes de la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) destacan la importancia de activar métodos de autenticación resistentes al phishing y todos los métodos de seguridad al día.

Si persisten los indicios de compromiso, realiza una copia de seguridad de la información esencial y valora restablecer el teléfono a los ajustes de fábrica. Recuerda no ingresar a cualquier página web, comprueba los mensajes o correos de marcas y no compartas tus datos a la ligera en Internet.

Esto quiere decir que los navegadores más populares de la actualidad son unos de los softwares más afectados. Millones de usuarios están a punto de sufrir la amenaza "arrayref", un create que impacta directamente con proyectos relacionados con criptografía, blockchain e interfaces gráficas.

Además, la situación recuerda otros incidentes recientes que han afectado repositorios y registros de software de uso masivo. El problema es más grande de lo que parece y por eso las autoridades recomiendan prestar atención para tomar cartas sobre el asunto.

¿Cómo se produjo el ataque y por qué preocupa tanto a la comunidad Rust?

Los hackers vuelven a hacer de las suyas con respecto a los malware. Esta vez se trata de uno que definitivamente está llamando la atención del sector de los desarrolladores.

Para ser más específicos, los investigadores de StepSecurity descubrieron que un atacante comprometió la cuenta de mantenimiento asociada a varios crates de Rust para distribuir código malicioso a través de actualizaciones aparentemente legítimas.

Básicamente, engañaron el sistema para que reemplazara versiones correctas por unas infectadas con el fin de agregar las respectivas "actualizaciones".

Según BleepingComputer, las versiones afectadas fueron "arrayref 0.3.10", "append-only-vec 0.1.9" e "internment 0.8.7". Cada una de estas está relacionada con la misma cuenta de mantenimiento y parte de una dependencia en específico.

Esta en cuestión es conocida como "proc-macro1", la cual fue modificada para hacerse pasar por "proc-macro2". En este proceso, se inyectó el malware sin levantar sospechas, ya que el hacker mantuvo todo lo demás intacto, insertando todo el contenido malicioso por este medio.

El archivo "build.rs" de "proc-macro1" se ejecutaba automáticamente durante el proceso de compilación para que el script generara componentes codificados en Base64. Eso fue suficiente como para construir una infección específica para cada sistema operativo: Windows, Linux, macOS Intel y macOS ARM.

En Windows, creaba "%TEMP%\rust-setup.ps1" y utilizaba una combinación de scripts VBS y procesos ocultos mediante wscript.exe para garantizar la ejecución continua del código malicioso.

El atacante mantuvo intacto prácticamente todo el código original de los proyectos comprometidos, incorporando únicamente esta dependencia maliciosa.

De esta forma, la actualización parecía normal y pasaba desapercibida incluso sobre revisiones superficiales. En efecto, aprovechaba la confianza de los desarrolladores sobre las dependencias, porque todo se ejecutaba en segundo plano.

Malware multiplataforma, robo de credenciales y medidas urgentes para los desarrolladores

El ataque comenzó el 20 de agosto con la creación de cuentas falsas que imitaban a desarrolladores reconocidos de la comunidad Rust. Entre los objetivos de este ataque identificados se encontraban las bases de datos SQLite utilizadas por los navegadores Google Chrome, Microsoft Edge y Brave para almacenar información de acceso.

Eso no era todo porque el malware implementaba mecanismos de persistencia. Se dice que se quedaba en Run del Registro de Windows, servicios systemd en Linux y LaunchAgents en macOS.

La buena noticia es que Crates.io retiró "proc-macro1" y eliminó las versiones comprometidas cuando se confirmó el incidente. De igual manera, StepSecurity, SafeDep y Aikido compartieron análisis que ayudaron a identificar las infecciones.

Los desarrolladores que hayan instalado alguno de los paquetes afectados durante la ventana de exposición, la recomendación es verificar archivos Cargo.lock, buscar contenido generado por el ente malicioso y analizar conexiones hacia la dirección 23.254.165.112 a través de los puertos 9089 y 443.

Cuando se confirma que se ha afectado, hay que rotar inmediatamente todas las contraseñas, tokens y otros sistemas similares. A su vez, los entornos contaminados deben ser reconstruidos para evitar que el atacante se siga colando en el código.

Por eso, una de las partes más importantes de cualquier ciberataque contra un smartphone no consiste únicamente en conseguir esos datos, sino en encontrar una forma de enviarlos a los atacantes.

Los programas maliciosos para Android suelen depender de una conexión con la infraestructura de quienes los controlan para transmitir la información que consiguen.

Por ello, cuando esa comunicación no está disponible, el ciberdelincuente pierde una de las piezas necesarias para aprovechar los datos robados. Pero Manic plantea una solución distinta.

Este malware puede utilizar otros teléfonos Android infectados que se encuentren cerca para continuar con la extracción de información.

En este caso, el dispositivo comprometido puede comunicarse con ellos mediante conexiones inalámbricas de corto alcance y aprovechar el acceso a internet de otro móvil para sacar los datos fuera del equipo.

Manic no solo roba información, también busca cómo sacarla del smartphone

Cabe señalar que Manic es una familia de malware para Android centrada en el robo de información y el fraude financiero. Puede vigilar aplicaciones relacionadas con banca, pagos, criptomonedas, mensajería y otros servicios que manejan datos sensibles.

Los investigadores de ThreatFabric identificaron compatibilidad con 169 aplicaciones utilizadas en Europa y descubrieron que entre sus capacidades se encuentran la captura de información mostrada en pantalla y de las pulsaciones realizadas por el usuario.

Esto puede exponer credenciales, códigos de acceso, así como otros datos introducidos en las aplicaciones. Pero conseguir la información es solo una parte del ataque.

Y es que Manic puede conservar los datos en el propio dispositivo y esperar hasta disponer de una vía para enviarlos. Aquí es donde aparece su característica más llamativa.

Otros móviles infectados pueden actuar como intermediarios

Si el teléfono comprometido no tiene acceso directo a internet, Manic puede buscar otros dispositivos infectados que estén cerca. Para comunicarse con ellos puede utilizar Bluetooth, Bluetooth Low Energy (BLE) y Wi-Fi Direct.

El funcionamiento depende de que exista otro dispositivo comprometido en las proximidades. Si ese segundo móvil también está infectado y dispone de conexión, puede convertirse en el intermediario que necesita el malware.

De esta manera, el móvil que ha recopilado los datos los transmite al dispositivo cercano. Este, a su vez, puede enviarlos a la infraestructura de los atacantes utilizando su propia conexión. El malware consigue así crear un recorrido alternativo para sacar la información del primer dispositivo.

Cabe señalar que no significa que cualquier móvil cercano pueda utilizarse como puente, ya que el segundo dispositivo debe estar comprometido y contar con una conexión que permita completar la comunicación.

Una conexión inalámbrica puede convertirse en otra vía de ataque

Las tecnologías de proximidad como Bluetooth no son nuevas como posibles canales para extraer información de dispositivos comprometidos.

Lo particular de Manic es que incorpora esta posibilidad como parte de su estrategia para mantener la comunicación cuando la conexión directa no está disponible. Esto obliga a mirar más allá del tráfico que sale directamente hacia internet.

Un teléfono puede estar intercambiando información con otros dispositivos próximos y, si alguno de ellos está comprometido, esa comunicación puede terminar formando parte del ataque.

Manic lleva esa posibilidad al terreno del malware y demuestra que un smartphone infectado puede buscar una salida a través de otro dispositivo comprometido.

La amenaza, por tanto, no está únicamente en lo que el malware consigue robar, sino en su capacidad para encontrar una ruta alternativa para sacar esa información del móvil.

El ransomware es uno de los tipos de estas amenazas que se conoce por secuestrar datos para extorsionar, algo que suele afectar a grandes compañías. Aunque lamentablemente es común hoy en día, el nuevo Medusa está invadiendo infraestructuras críticas.

Cientos de organizaciones están siendo afectadas y las agencias de seguridad están volviendo a levantar las alarmas porque la situación está aumentando a un punto de alta gravedad. Incluso los organismos federales advierten de las capacidades que tiene este ciberataque.

Más de 500 organizaciones críticas afectadas por Medusa

El ransomware Medusa no es uno de los que se tenga que tomar a la ligera, pues ha hecho que reaccionen las agencias más importantes de Estados Unidos.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA), en coordinación con la Oficina Federal de Investigaciones (FBI) y el Departamento de Salud y Servicios Humanos (HHS), ha advertido el alcance que tiene esta campaña de ciberdelincuentes en la actualidad.

La amenaza ha comprometido a más de 500 organizaciones pertenecientes a sectores de infraestructura crítica desde junio de 2021. Por lo tanto, han estado bajo constante ataque por años y hasta abril de 2026 las víctimas abarcan áreas tan sensibles como la salud pública.

Varios sistemas registrados se vinculan a servicios gubernamentales, sector financiero y tecnología. Esto hace que el problema sea más grande de lo esperado porque se involucran organizaciones médicas, educativas, jurídicas, aseguradoras, tecnológicas y manufactureras.

En tan solo marzo de 2025, la cifra de víctimas iba alrededor de las 300 y eso ha aumentado casi el doble en tan solo un año. En el comunicado oficial de las autoridades, se menciona que los operadores de Medusa siguen aprovechando vulnerabilidades de seguridad.

Las brechas que se encuentran en los dispositivos son suficientes como para acceder a sistemas corporativos. Por esto mismo es que se recomienda que se mantengan los sistemas operativos, software y firmware actualizados.

También es una buena idea la segmentación de redes para impedir movimientos laterales y la restricción del acceso remoto desde ubicaciones o fuentes no confiables.

¿Cómo opera Medusa y por qué sigue siendo una amenaza relevante?

Tras varios años operando, es normal preguntarse por qué sigue haciendo de las suyas, habiendo tantos métodos para hacerle frente. La cuestión es que se trata de uno de los ransomwares más peligrosos que han afectado a las infraestructuras estadounidenses.

La operación Medusa apareció originalmente en enero de 2021, aunque su actividad ganó notoriedad a partir de 2023 con el lanzamiento de su portal de filtración conocido como Medusa Blog. Ahora, se aplica la estrategia de doble extorsión y parece que los ciberdelincuentes no se van a detener muy pronto.

El ataque sigue el camino de cifrar los archivos de las víctimas para bloquearlos y pedir algo a cambio. En su mayoría, se trata de transferencias de dinero altas. De lo contrario, los atacantes amenazan con liberar la información o simplemente dejarla restringida para que no puedan entrar a ella.

De acuerdo con la alerta de CISA, Medusa evolucionó desde un modelo de ransomware cerrado hacia una estructura de ransomware como servicio (RaaS) basada en afiliados, por lo que los desarrolladores reclutan Initial Access Brokers (IAB) constantemente para poder hacer que la operación sea masiva.

El aviso destaca que estos colaboradores pueden recibir pagos que oscilan entre 100 y 1 millón de euros por facilitar el proceso. Otro aspecto importante es que el nombre Medusa suele generar confusión dentro del ecosistema de amenazas digitales.

Existen diferentes familias de malware y operaciones cibercriminales que utilizan esa denominación, como MedusaLocker que no tiene nada que ver con esta.

La nueva advertencia de las autoridades estadounidenses deja claro que Medusa continúa siendo una de las amenazas más activas en la actualidad y se debe tener muchísimo cuidado porque un ataque tan masivo podría afectar otros países, incluyendo España.

"Las notificaciones de amenazas de Apple están diseñadas para informar y ayudar a los usuarios que pueden haber sido atacados individualmente por ataques de spyware mercenarios, probablemente debido a quiénes son o lo que hacen", explican en la página oficial de Apple.

Según han podido confirmar medios como TechCrunch, el blanco de estos ataques son tanto organizaciones civiles como militares y ciudadanos con información especialmente sensible o relevante, como el ejército ucraniano, afectado en este caso.

Desde 2021, fecha en la que se activó este servicio, Apple ha mandado numerosas alertas varias veces al año a usuarios en más de 150 países; en este incidente más reciente, la notificación ha abarcado a usuarios de iPhone en más de 110 países. Aunque estos no suelen ser casi nunca civiles.

"Tales ataques son mucho más sofisticados que la actividad civil regular, ya que los atacantes de spyware mercenario aplican recursos excepcionales para apuntar a un número muy pequeño de individuos específicos y sus dispositivos", añaden en el comunicado.

Para que los atacantes no sepan cómo funcionan los métodos que usa Apple para identificar la infección, Apple no comparte ningún detalle sobre las investigaciones internas de inteligencia de amenazas. Adicionalmente, aseguran que, aunque no exista una certeza absoluta de infección, sí son alertas altamente confiables y deben tomarse muy en serio.

"Los ataques de spyware de mercenarios cuestan millones de dólares y a menudo tienen una vida útil corta, lo que los hace mucho más difíciles de detectar y prevenir. La gran mayoría de los usuarios nunca serán blanco de tales ataques", continúan.

Asimismo, aseguran que las víctimas suelen ser periodistas, activistas, políticos y diplomáticos; es decir, un número de usuarios más pequeño, aunque los ataques de spyware mercenario son continuos y globales.

Una vez que la compañía identifica un iPhone infectado, Apple alerta en una notificación en el propio dispositivo, además de enviar otra mediante correo electrónico a las direcciones asociadas a la cuenta de la compañía. Aquí puedes ver un ejemplo:

Apple recomienda que, en caso de haber recibido una alerta de este tipo en el iPhone, los usuarios soliciten la ayuda de expertos en la materia, ya que infectarse con un spyware de este tipo dará lugar al acceso total a toda la información.

Además, avisa de que este tipo de notificaciones nunca pedirán al usuario que haga clic en ningún enlace, abra archivos, instale aplicaciones o perfiles, o que proporcione ninguna contraseña de la cuenta de Apple o código de verificación por correo electrónico teléfono.

Sea como sea, si eres un usuario normal y no perteneces a las categorías antes mencionadas, lo más probable es que nunca recibas una alerta de spyware, por lo que deberías estar tranquilo. De todas formas, si te llega, actúa de inmediato.

El aviso puede aparecer con mensajes como "Actualización crítica" o "actualización disponible", intentando convencer al usuario de que debe instalar inmediatamente una nueva versión para continuar utilizando el navegador. Sin embargo, al pulsar sobre el botón correspondiente, en lugar de iniciarse una actualización normal, se descarga un archivo sospechoso.

El problema no parece limitarse a Google Chrome. También se han registrado casos similares en Brave y Opera, dos navegadores basados en Chromium. Esto apunta a que el origen está en determinados complementos capaces de ejecutar código y cargar contenido desde servidores externos.

Los testimonios publicados por usuarios apuntan especialmente a extensiones que han sufrido algún tipo de compromiso. Entre ellas aparece Enable Right Click & Copy Smart Unlock + OCR, una herramienta diseñada para permitir copiar contenido y utilizar funciones de OCR.

Una de las particularidades de este ataque es que el navegador no tiene por qué estar directamente infectado. La extensión puede actuar como intermediaria, conectándose a un servidor externo para obtener el contenido malicioso y mostrar posteriormente la falsa actualización.

Esto también explica por qué algunos programas antivirus pueden no detectar nada durante un análisis convencional. El archivo potencialmente peligroso puede permanecer sin ejecutar hasta que el propio usuario pulsa sobre la descarga y abre manualmente el ejecutable o script.

Además, existe el riesgo de que extensiones que originalmente eran legítimas sean adquiridas por terceros y posteriormente utilizadas con fines maliciosos. En estos casos, una actualización aparentemente normal del complemento puede introducir cambios peligrosos sin que el usuario sea consciente de ello.

La recomendación es sencilla: no descargues archivos ejecutables desde una ventana emergente que asegure que Chrome necesita actualizarse. Las actualizaciones del navegador se gestionan desde el propio Chrome, por lo que una página web o extensión que te obligue a descargar un ejecutable debería considerarse una señal de alarma.

Si estos avisos aparecen constantemente, conviene revisar las extensiones instaladas recientemente y eliminar aquellas que no reconozcas o que hayan comenzado a mostrar comportamientos extraños.

La campaña ha sido investigada por la firma de ciberseguridad Group-IB y utiliza SpyNote, un troyano de acceso remoto, junto con WindRelay, un malware especializado en ataques mediante NFC. La combinación permite a los ciberdelincuentes controlar el dispositivo y, al mismo tiempo, interceptar las comunicaciones de una tarjeta bancaria sin contacto.

El ataque comienza con una llamada telefónica. El delincuente se hace pasar por un empleado del banco y avisa a la víctima de un supuesto problema con su tarjeta. Para solucionarlo, le pide instalar una aplicación que en realidad contiene SpyNote.

La aplicación puede incluso mostrar el nombre de la víctima para parecer más legítima. Una vez instalada, el usuario debe conceder permisos de accesibilidad, lo que permite al atacante obtener un amplio control remoto sobre el dispositivo.

A partir de ese momento, el ciberdelincuente puede instalar WindRelay sin que la víctima tenga que realizar más acciones. En el caso analizado por Group-IB, los atacantes utilizaron la aplicación bancaria instalada en el teléfono para solicitar un préstamo a nombre de la víctima.

Pero el ataque no termina ahí. Los delincuentes también pidieron a la víctima que acercara su tarjeta bancaria al teléfono e introdujera el PIN. WindRelay convierte el móvil en una especie de lector de tarjetas fraudulento y retransmite en tiempo real la comunicación NFC entre la tarjeta y el dispositivo del atacante.

De esta forma, los delincuentes pueden utilizar los datos obtenidos para realizar compras en terminales de pago reales. Según Group-IB, todo el proceso se completó durante una llamada telefónica de apenas 13 minutos, y las operaciones fueron autorizadas utilizando el PIN que la propia víctima había proporcionado.

SpyNote lleva circulando desde hace años y es capaz de robar credenciales bancarias, cuentas de Google y Facebook, mensajes SMS y códigos de autenticación. También puede acceder al micrófono y la cámara, obtener la ubicación del dispositivo e interceptar las pulsaciones del teclado.

Han encontrado casi una veintena de muestras de WindRelay enviadas a VirusTotal entre noviembre de 2025 y julio de 2026. Los investigadores creen que los ataques identificados están especialmente dirigidos a usuarios de República Checa, Eslovaquia y Eslovenia.

Este tipo de malware NFC se ha convertido en una amenaza cada vez más habitual. Otras familias como NFCShare, NGate, SuperCard X y RelayNFC también han utilizado técnicas similares para interceptar las comunicaciones de tarjetas contactless.

La principal recomendación para los usuarios de Android es no instalar APK procedentes de fuentes desconocidas, especialmente cuando alguien se hace pasar por un banco y exige actuar con urgencia. Si recibes una llamada de tu entidad bancaria, lo más seguro es colgar y contactar directamente con el banco utilizando el número oficial que aparece en su web o en la propia tarjeta.

Pero OpenAI quiere llevar esto un paso más allá y ha creado GPT-5.6-Cyber, un modelo pensado para trabajar en ciberseguridad y ayudar a encontrar fallos antes de que puedan aprovecharlos los atacantes.

Sin ir más lejos, hay varios casos recientes, y uno de ellos involucra a la propia compañía de Sam Altman. Uno de sus agentes de IA atacó la plataforma de Hugging Face mientras estaba realizando una serie de pruebas para probar sus capacidades.

Ahora que ya tienen al atacante, parece que conocen a fondo cómo la IA se las ingenia para saltarse todo tipo de barreras y acceder a lo más profundo de un sistema. Este nuevo modelo es la respuesta que muchas empresas estaban buscando.

Y es que un equipo de seguridad puede tener que revisar enormes cantidades de código para encontrar un problema. Una persona puede tardar horas o incluso días en encontrarlo y comprobar qué se puede hacer con él. Una IA especializada puede revisar todo eso mucho más rápido y señalar dónde puede estar el problema.

Pero OpenAI no quiere que esta IA se limite a decir que hay un fallo. GPT-5.6-Cyber está pensado para seguir el problema, comprobar si realmente se puede aprovechar, saber qué equipos o programas están afectados y ayudar a buscar una solución. Es decir, intenta cubrir buena parte del trabajo que hay desde que se descubre una vulnerabilidad hasta que queda corregida.

¿Qué puede hacer GPT-5.6-Cyber para proteger una empresa?

Puede ayudar a buscar vulnerabilidades, comprobar si realmente pueden utilizarse para entrar en un sistema, hacer pruebas de seguridad y analizar qué ha ocurrido después de un ataque.

También puede ayudar a preparar una solución. Por ejemplo, si encuentra un problema en un programa, los expertos pueden utilizar la IA para entender qué parte del código está causando el fallo y buscar una forma de corregirlo. Después, esa solución puede probarse para comprobar que el problema desaparece y que el cambio no da pie a otro error.

Aquí está una de las grandes diferencias respecto a utilizar una IA general como ChatGPT para una tarea puntual. GPT-5.6-Cyber está preparado para trabajos de seguridad largos y complicados, en los que hay que revisar mucha información y seguir pistas antes de llegar a una conclusión.

Eso sí, la compañía no quiere entregar directamente los modelos a cualquiera porque reconoce que las mismas capacidades que sirven para encontrar fallos pueden utilizarse para intentar atacar sistemas. Por eso el acceso está limitado.

Entre las compañías que tienen acceso a estas capacidades están Accenture, IBM, Capgemini, Cognizant, EY, KPMG, PwC, NCC Group y SpecterOps. También participan empresas de seguridad como Palo Alto Networks, CrowdStrike, Cisco, Sophos, Akamai, Fortinet y Cloudflare.

La idea es que estas empresas puedan integrar la IA dentro de las herramientas y servicios que ya utilizan sus clientes. Así, una empresa no tiene que montar desde cero un sistema de inteligencia artificial para analizar sus servidores o su código.

OpenAI divide además estas capacidades en dos tipos de acceso. Daybreak Blue está pensado para tareas de seguridad más generales, mientras que Daybreak Red está dirigido a trabajos más complicados y especializados.

El acceso solo está pensado para trabajar con identidad verificada, límites sobre las pruebas, registros de actividad, vigilancia y supervisión humana. Además, el modelo no se entrega directamente a los clientes finales. Son los proveedores autorizados los que utilizan la tecnología dentro de sus propios servicios.

El fallo ha sido corregido en macOS Sonoma 14.8.9, macOS Sequoia 15.7.9 y macOS Tahoe 26.6.1. Apple incluye en las notas de las tres actualizaciones la misma descripción y las clasifica como correcciones de seguridad importantes, por lo que recomienda instalarlas a todos los usuarios.

El problema se encontraba concretamente en el sistema de autenticación de Compartir pantalla. Según Apple, un atacante conectado a la misma red podía llegar a autenticarse en este servicio sin proporcionar unas credenciales válidas. La compañía explica que solucionó el problema mediante una mejora en la gestión del estado durante el proceso de autenticación.

Aunque Apple no ha indicado que esta vulnerabilidad esté siendo explotada activamente, sus posibles consecuencias hacen que la actualización sea especialmente recomendable. Si un atacante consiguiera aprovechar el fallo, podría obtener acceso remoto al ordenador a través de Compartir pantalla y, potencialmente, visualizar lo que aparece en el escritorio, abrir aplicaciones, acceder a archivos o realizar otras acciones en el sistema.

La situación resulta relevante para quienes utilizan esta función habitualmente, aunque incluso quienes nunca recurren a Compartir pantalla deberían instalar las nuevas versiones. Apple ha decidido corregir el problema en tres generaciones diferentes de macOS, una señal de que considera suficientemente importante mantener protegidos también los equipos que todavía utilizan versiones anteriores del sistema.

Para comprobar si tu Mac está actualizado, puedes entrar en Ajustes del Sistema, luego a General y a Actualización de software. Si aparece cualquiera de las nuevas versiones disponibles para tu equipo, es recomendable instalarla cuanto antes.

También conviene revisar qué aplicaciones y servicios tienen acceso remoto al Mac. Si utilizas Compartir pantalla, asegúrate de hacerlo únicamente con personas o dispositivos de confianza y evita mantener abiertas ventanas con información sensible durante una sesión remota.

Como medida adicional, puedes comprobar al terminar una sesión que Compartir pantalla quede desactivado si no necesitas mantenerlo funcionando. Mantener activadas las actualizaciones automáticas también puede ayudarte a recibir rápidamente futuras correcciones de seguridad.

El punto en cuestión es que, esta vez, los agentes de IA no solo intentaron atacar sistemas fuera del entorno de pruebas. También llegaron a interactuar con personas reales para intentar convencerlas de que instalaran código malicioso o aceptaran cambios en proyectos de software.

Las dos situaciones fueron diferentes y ocurrieron en laboratorios distintos, pero ambos modelos acabaron actuando fuera de los límites previstos por los investigadores.

Tanto OpenAI como Anthropic insisten en que estos comportamientos no se han dado en las versiones que utilizan los clientes y que las pruebas se realizaron con muchas de sus medidas de seguridad desactivadas para conocer el potencial real de los modelos.

Ahí es donde, en parte, reside el problema. Los investigadores desactivaron parte de las protecciones, dieron a los agentes acceso libre a Internet y les permitieron actuar con una autonomía que normalmente no tienen. El objetivo era descubrir hasta dónde podían llegar si esas barreras desaparecían.

¿Qué hicieron los agentes de OpenAI y Anthropic durante estas pruebas de ciberseguridad?

Uno de los ataques fue detectado por el UK AI Security Institute (AISI), un organismo británico que estudia los riesgos de los modelos de inteligencia artificial más potentes. Durante una serie de pruebas, los investigadores dieron acceso a Internet a varios agentes para comprobar hasta dónde eran capaces de llegar al intentar resolver pruebas de ciberseguridad.

En total se llevaron a cabo 122 pruebas. En diez de ellas los modelos hicieron acciones que nunca deberían haber llevado a cabo. Según AISI, 17 de esos intentos correspondieron a un modelo basado en Claude Mythos 5, de Anthropic, y dos a GPT-5.6 Sol, de OpenAI.

Lo que más preocupa a los investigadores fue el comportamiento de uno de los modelos de Anthropic. Mientras buscaba información para resolver una de las pruebas, encontró un proyecto real en GitHub y creyó, por error, que estaba relacionado con el reto que debía superar. A partir de ahí comenzó una cadena de acciones.

La IA creó cuentas falsas para intentar convencer a desarrolladores reales

El agente empezó investigando quiénes eran los responsables del proyecto. Después creó varias cuentas falsas en GitHub para hacerse pasar por distintos usuarios y trató de convencer al desarrollador principal de que aceptara un cambio en el código que, en realidad, tenía software malicioso.

Cuando un humano avisó de que ese cambio incluía malware, el modelo no dio marcha atrás. Según explica AISI, negó las acusaciones y utilizó otras cuentas falsas que también controlaba para intentar crear la impresión de que varios usuarios apoyaban ese cambio.

Los investigadores aseguran que el agente llegó incluso a enviar correos electrónicos dirigidos a los desarrolladores, publicó informes falsos sobre errores del proyecto y modificó algunos mensajes cuando una persona empezó a sospechar de su comportamiento.

OpenAI también atacó una página web real por un error de configuración

Este otro caso sucedió durante unas pruebas organizadas por la empresa especializada en ciberseguridad Irregular, donde los modelos de OpenAI debían resolver un reto de tipo capturar la bandera dentro de un entorno aislado de Internet.

Sin embargo, una configuración que no estaba bien hecha permitió que el modelo saliera de ese entorno cerrado. Durante la prueba encontró un dominio real que tenía el mismo nombre que el objetivo del ejercicio y creyó que esa era la máquina que debía atacar.

Según OpenAI, el agente consiguió explotar una vulnerabilidad de esa página web e incluso encontró credenciales para funcionar sin problemas.

Una carrera entre OpenAI y Anthropic por demostrar el potencial de sus agentes de IA

Lo cierto es que todo esto se escapa de cualquier tipo de lógica. Si bien es cierto que es correcto probar las capacidades de los modelos de IA para luego comercializarlos totalmente capados, parece que tanto a OpenAI como a Anthropic esto se les está yendo de la manos.

Estas dos empresas presentan estos problemas detectados como un ejercicio de transparencia y de investigación en seguridad, pero también acaban dando la imagen de que sus modelos están un paso por delante.

Al final, si una IA es capaz de encontrar una vulnerabilidad, moverse por una base de datos o completar tareas sin apenas ayuda, también está demostrando el enorme nivel que ha alcanzado. Y eso, en una carrera como esta, también sirve como escaparate para atraer clientes, empresas e inversores.

A diferencia de ChatGPT o de otros modelos de la compañía, GPT-Red no responde preguntas ni ayuda a programar. Su trabajo consiste en actuar como un superhacker: intenta engañar a otros modelos de IA, saltarse sus restricciones y descubrir vulnerabilidades que podrían ser aprovechadas por un ciberdelincuente.

Solo cuando consigue romper sus defensas, los ingenieros pueden corregir esos fallos antes de lanzar el modelo al público. Puede parecer una idea un tanto rara, pero ciertamente tiene todo el sentido del mundo.

¿Qué es GPT-Red?

GPT-Red es un modelo de lenguaje especializado en red teaming, una técnica utilizada desde hace años en ciberseguridad que consiste en atacar un sistema para descubrir sus puntos débiles antes que un atacante real.

Normalmente, este trabajo lo hacen expertos humanos que intentan romper las defensas de un programa buscando errores, vulnerabilidades o formas raras de hacerlo fallar. El problema es que este proceso requiere mucho tiempo y resulta casi imposible de escalar cuando los propios modelos de IA mejoran tan rápido y se usan para los ataques.

Para resolver ese problema, OpenAI decidió crear un modelo capaz de hacer ese trabajo de forma automática. En lugar de responder preguntas como ChatGPT, GPT-Red tiene un único objetivo: encontrar la manera de engañar a otros modelos.

Su especialidad son los llamados ataques de inyección de prompts (prompt injection). Consisten en dar instrucciones ocultas dentro de documentos, páginas web, correos electrónicos o cualquier otro contenido que una IA pueda leer para conseguir que se salte sus instrucciones y haga algo que nunca debería hacer, como dar información confidencial, modificar datos o realizar acciones que no debería.

¿Cómo aprende a convertirse en un "superhacker"?

GPT-Red no fue entrenado con una lista de ataques escritos por personas. OpenAI utilizó una técnica llamada autojuego (self-play). En lugar de enfrentarlo a hackers humanos, lo puso a competir todo el tiempo contra otros modelos de inteligencia artificial.

Como realmente funciona, recuerda mucho al entrenamiento de programas como AlphaGo o AlphaZero. Un modelo intenta atacar mientras el otro intenta defenderse.

Cada vez que el atacante encuentra una nueva forma de romper las defensas, recibe una recompensa durante el entrenamiento. Al mismo tiempo, el modelo atacado aprende a protegerse frente a ese nuevo método.

Después de miles y miles de enfrentamientos, ambos mejoran todo el tiempo. Además, según las pruebas, GPT-Red demostró ser muy persistente. Cada vez que encontraba un pequeño fallo, lo probaba una y otra vez de formas distintas hasta dar con la mejor forma de romper el sistema de su rival.

Pero esto no es todo y, para realmente ver de qué era capaz, en OpenAI lo pusieron a prueba repitiendo un examen que varios expertos humanos hicieron en 2025 sobre una versión antigua de GPT-5.

El resultado fue que GPT-Red encontró más fallos y más rápido que los profesionales humanos. En concreto, este modelo superhacker consiguió saltarse sus defensas el 90% de las veces.

Sin embargo, al probar esos mismos ataques contra el nuevo GPT-5.6, la tasa de éxito bajó a menos del 23%, demostrando que esto no solo va de encontrar fallos sino de que los modelos también aprendan a protegerse.

También lo probaron contra Vendy, una inteligencia artificial que gestiona máquinas expendedoras de refrescos, y logró hackearla para cambiar los precios de las bebidas y cancelar pedidos de clientes.

¿Podrás algún día utilizar GPT-Red?

Parece que la respuesta es que no. Esta IA ha sido entrenada para algo que poco tiene que ver con el usuario de a pie. OpenAI ha confirmado que permanecerá como una herramienta solo para uso interno.

En su lugar, lo que llegará al público serán los resultados de su trabajo: modelos más resistentes, con menos vulnerabilidades y mejor preparados para soportar intentos de manipulación.

Se ha comprobado que cuando estos asistentes recomiendan paquetes de software para diferentes tareas de programación, con frecuencia incluyen alguno que no existe. Es una alucinación.

El HalluSquatting se aprovecha de este software inventado para engañar al agente de IA, y conseguir que instale malware. Vamos a ver cómo funciona.

Qué es el HalluSquatting

Investigadores de la Universidad de Tel Aviv University, y las empresas Technion e Intuit han identificado esta nueva forma de hackear un PC.

En sus pruebas han descubierto que Cursor, Gemini, GitHub Copilot y compañía tienden a invertarse nombres de paquetes de software que no existen, con un increíble ratio de entre el 80 y el 100%. Aún más asombroso es que varias de estas IA se inventan el mismo nombre, seguramente porque han sido entrenadas con los mismos datos (falsos).

El HalluSquatting consiste en rastrear y probar la IA que genera código, para identificar el software falso que se inventa. Entonces el hacker crea en GitHub y otros repositorios, un software con ese mismo nombre.

Como para estos asistentes de IA esa herramienta imaginaria es real, la descarga por su cuenta. O lo hace el propio usuario porque se lo ha recomendado la IA. Si se usa un agente de IA, puede hacerlo por su cuenta sin que el usuario se entere.

Una vez instalado en el PC, estos investigadores han probados dos variantes. Por un lado, ese software falso descarga un malware que infecta el PC.

Otra versión aún más peligrosa, es la que genera prompts que le dice a la IA que copie ficheros, rastree contraseñas, y otras tareas de espionaje o robo de datos. El antivirus no detecta nada porque ese software falso no tiene malware, y los prompts que genera parece un uso estándar del usuario: copiar ficheros, ver fotos, enviarlas a cierto sitio. Pero en realidad se están enviando a los ciberdelincuentes.

Estos investigadores han enviado toda la información del HalluSquatting a las compañías de IA antes de hacer público el descubrimiento, así que se supone que ya lo están parcheando... si se puede... Pero es un aviso de que, con la IA, nos adentramos en territorio desconocido. Abre nuevos horizontes, pero también nuevas formas de hackear, mucho más complicadas de detectar que un simple virus.

La vulnerabilidad, identificada como CVE-2026-14266, afecta al tratamiento de datos comprimidos en formato XZ. Según los investigadores que analizaron el problema, un archivo preparado de forma maliciosa puede provocar un desbordamiento de memoria durante el proceso de descompresión, abriendo la puerta a que se ejecute software malicioso en el equipo de la víctima.

Lo preocupante es que el ataque no requiere acciones especialmente complejas. En determinados escenarios, bastaría con descargar o abrir un archivo manipulado para que el código malicioso se ejecute con los mismos permisos que tiene el usuario que ha iniciado sesión en el sistema.

La vulnerabilidad fue comunicada a los desarrolladores de 7-Zip a principios de junio. La respuesta del equipo fue relativamente rápida y ya existe una versión corregida que soluciona el problema.

Sin embargo, hay un detalle importante que muchos usuarios desconocen: 7-Zip no dispone de un sistema de actualizaciones automáticas. A diferencia de navegadores, antivirus o muchas aplicaciones modernas, el programa no descarga ni instala nuevas versiones por sí solo.

Esto significa que quienes sigan utilizando una versión vulnerable deberán actualizar manualmente el software para quedar protegidos. De lo contrario, continuarán expuestos a posibles ataques incluso aunque el parche ya esté disponible.

Los expertos recomiendan comprobar la versión instalada de 7-Zip y descargar la actualización más reciente desde la página oficial del proyecto. También aconsejan evitar abrir archivos comprimidos procedentes de fuentes desconocidas o sospechosas, ya que este tipo de vulnerabilidades suele aprovecharse mediante archivos aparentemente inofensivos enviados por correo electrónico, descargas fraudulentas o enlaces maliciosos.

Han descubierto que la mejor forma de pasar desapercibido es utilizar algo que ya tenemos instalado y que nadie sospecha, como lo es el navegador que usamos para consultar el correo, ver vídeos o trabajar.

El grupo iraní MuddyWater, dedicado al ransomware y al acceso remoto ilegal, utilizó la vulnerabilidad Chaos para desarrollar la herramienta msaRAT que convierte Chrome o Microsoft Edge en un túnel de comunicación.

Le ordena que trabaje para ellos aprovechando funciones que el propio programa permite por diseño, de modo que todo parece tráfico web normal y los sistemas de seguridad no saltan.

El resultado es que un atacante puede mantenerse dentro de tu red durante semanas, enviar y recibir información, y preparar un ataque mayor sin que el antivirus ni el firewall detecten nada raro.

La clave está en entender que este malware no es un programa independiente que se conecta a internet. Es un backdoor escrito en Rust que permite crear software rápido y difícil de analizar, y que opera desde dentro del propio navegador.

Cómo se cuela msaRAT y qué hace exactamente

La infección suele empezar con un correo de phishing o el abuso de alguna herramienta de gestión remota que ya estuviera instalada en el ordenador.

Una vez dentro, descarga un paquete llamado update_ms.msi que parece una actualización legítima, pero que carga una librería, lib.dll, directamente en la memoria. Eso significa que casi no deja rastros en el disco duro y resulta mucho más complicado de encontrar.

A partir de ahí, el malware lanza Chrome o Edge en modo headless, es decir, sin que se abra ninguna ventana visible en la pantalla. Activa el puerto de depuración remota, una función pensada para que los desarrolladores puedan probar sus páginas desde fuera del navegador.

Usando el Chrome DevTools Protocol, conocido como CDP, msaRAT toma el control completo, donde abre pestañas, inyecta código JavaScript y salta las restricciones de seguridad sin necesidad de instalar extensiones ni modificar el programa original.

El siguiente paso es abrir un canal WebRTC DataChannel, la misma tecnología que utilizan las videollamadas por internet. A través de este canal envía y recibe órdenes de forma continua.

Todo el tráfico viaja cifrado con dos capas, que es la propia de WebRTC, llamada DTLS, y otra adicional con ChaCha20-Poly1305 que usa una clave derivada de ECDH.

La señalización inicial se dirige a un endpoint de Cloudflare Workers, mientras que el retransmisor utiliza servidores Twilio TURN, de modo que la víctima nunca conecta directamente con la dirección IP real del atacante.

Un malware casi imposible de ver

Cabe señalar que el problema no es que Chrome o Edge tengan un fallo de seguridad que haya que parchear, sino que el problema es que msaRAT usa funciones documentadas y permitidas por el propio navegador.

Cuando el firewall ve una conexión cifrada saliendo desde un proceso de Chrome, asume que es el usuario navegando por una web legítima. No hay comportamiento anómalo que detectar porque, técnicamente, no está haciendo nada que el programa no permita hacer.

El objetivo del hacker tampoco es ralentizar el ordenador ni secuestrar la pantalla, sino que es mantener una presencia silenciosa y persistente para robar información, moverse lateralmente por otros equipos de la red o preparar el despliegue de un ransomware.

Lo más peligroso de todo es que puede estar ahí semanas sin que nadie note nada, porque todo el tráfico malicioso sale disfrazado de navegación web.

Qué puedes hacer para protegerte

La protección no pasa por desinstalar el navegador, sino por vigilar cómo se comporta. Los equipos de seguridad deben prestar atención a procesos de Chrome o Edge.

Sobre todo a los lanzados con los argumentos --headless=new y --remote-debugging-port desde programas que no son el usuario interactuando normalmente, como instaladores, servicios de mantenimiento o scripts automáticos.

Es igual de importante controlar quién tiene acceso al software de gestión remota, segmentar la red para que un ordenador comprometido no pueda saltar fácilmente a otros, y aplicar una política de mínimo privilegio en cada equipo.

Si un ciberdelincuente no puede instalar nada ni moverse libremente, le resulta mucho más difícil desplegar una herramienta como msaRAT.

Por ello, este ataque demuestra que el siguiente reto de la ciberseguridad no es buscar virus exóticos, sino aprender a distinguir cuándo una herramienta legítima está siendo usada por alguien que no debería usarla.

El navegador sigue siendo tuyo, pero los atacantes han aprendido a hacerle trabajar para ellos sin que notes la diferencia. La única forma de pararlos es entender que, a veces, lo más peligroso no es lo que rompe las reglas, sino lo que las sigue al pie de la letra.

Pero el problema ha cambiado mucho en los últimos años, ya que en la actualidad ya no es necesario que un hacker tenga grandes conocimientos técnicos para crear una campaña sofisticada.

Ahora existen servicios preparados para hacerlo todo por ellos. Plataformas que funcionan bajo un modelo similar al de cualquier servicio online permiten comprar herramientas, plantillas e infraestructura necesaria para lanzar ciberataques en cuestión de minutos.

Una de las más importantes era Kratos, una plataforma de phishing como servicio que acaba de ser desmantelada tras una investigación internacional.

Las autoridades de Alemania y Estados Unidos han conseguido cerrar esta infraestructura después de una larga investigación que permitió descubrir cómo funcionaba uno de los ecosistemas de phishing más utilizados del mundo.

Kratos convirtió el phishing en un servicio al alcance de cualquiera

Cabe señalar que Kratos no era simplemente una herramienta para crear páginas falsas, sino una plataforma completa diseñada para que otros delincuentes pudieran lanzar campañas de robo de credenciales sin tener que desarrollar su propia tecnología.

El funcionamiento era sencillo desde la perspectiva de sus usuarios, ya que los ciberdelincuentes pagaban por acceder al servicio y recibían un conjunto de herramientas preparadas para engañar a las víctimas.

La plataforma estaba especialmente enfocada en crear páginas fraudulentas que imitaban servicios populares, como los sistemas de inicio de sesión de Microsoft. De esta forma, los atacantes podían enviar enlaces falsos a usuarios que pensaban estar accediendo a una página legítima.

Cuando la víctima introducía su correo electrónico y contraseña, esos datos quedaban en manos del atacante, que podía utilizarlos para acceder a cuentas personales o empresariales, robar información o preparar nuevos ataques.

Casi 2.000 delincuentes utilizaban la infraestructura para atacar miles de veces al mes

Cabe señalar que la peligrosidad de Kratos no estaba únicamente en su tecnología, sino en la escala que consiguió alcanzar. Según la información de la investigación, la plataforma llegó a ser utilizada por alrededor de 1.800 ciberdelincuentes.

Su modelo permitía multiplicar los ataques porque eliminaba una de las principales barreras del cibercrimen, que era la necesidad de conocimientos avanzados.

De este modo, los compradores no tenían que crear servidores, programar herramientas de captura de datos o diseñar desde cero páginas falsas, sino que todo estaba preparado dentro del kit ofrecido por Kratos.

De hecho, la infraestructura llegó a estar relacionada con unas 15.000 campañas de phishing cada mes, afectando a usuarios de diferentes países y convirtiéndose en una pieza clave dentro del ecosistema criminal.

Así funcionaba el negocio detrás de Kratos

Kratos seguía un modelo parecido al de otros servicios digitales, pero aplicado al delito. Sus clientes podían contratar acceso a la plataforma a través de canales utilizados habitualmente por comunidades criminales online.

A cambio, recibían recursos preparados para lanzar ataques: páginas falsas, sistemas para recopilar credenciales e infraestructura necesaria para gestionar las campañas.

Esto permitía que personas con pocos conocimientos pudieran participar en actividades que antes requerían más experiencia. El creador de la plataforma obtenía beneficios mediante las suscripciones, mientras que sus clientes utilizaban las herramientas para atacar a sus propias víctimas.

La investigación de las autoridades alemanas, con participación de la Oficina Federal de Policía Criminal de Alemania (BKA), permitió identificar la magnitud de la operación y actuar contra los responsables.

La policía incautó servidores y cerró una pieza clave del phishing mundial

La operación terminó con la intervención de la infraestructura utilizada por Kratos, donde las autoridades incautaron servidores relacionados con la plataforma y consiguieron dejar fuera de funcionamiento el servicio.

Además, el supuesto desarrollador y administrador fue detenido en Indonesia, mientras los investigadores continúan analizando la información obtenida durante la operación para identificar a más usuarios de la plataforma.

El cierre de Kratos supone un golpe importante para los delincuentes que dependían de esta herramienta, pero no elimina el problema, ya que el modelo de phishing como servicio continúa creciendo porque permite convertir ataques en productos fáciles de adquirir.

La caída de esta plataforma demuestra hasta qué punto el cibercrimen se ha profesionalizado. Hoy, los atacantes no solo crean sus propias herramientas, sino que también compran servicios diseñados para robar datos a gran escala.

"A principios de esta semana, detectamos y respondimos a una intrusión en parte de nuestra infraestructura de producción. Este era diferente de cualquier cosa que habíamos manejado antes: fue impulsado, de principio a fin, por un sistema de agentes de IA autónomos, y lo detectamos y diseccionamos en gran medida con la propia IA", explican en el comunicado del incidente.

Según explica el equipo de seguridad, el acceso no autorizado se ha dado sobre un conjunto limitado de datos internos, así como diferentes credenciales usadas en los servicios de Hugging Face.

Ahora se ha podido saber quién ha sido el culpable: OpenAI. La compañía de Sam Altman ha admitido que sus modelos, como el conocido GPT-5.6 Sol y otra versión de prueba que aún no ha salido al mercado, se saltaron las reglas y hackearon los sistemas de la plataforma.

Todo ocurrió mientras los investigadores de la compañía hacían pruebas en un entorno cerrado de ciberseguridad, pero la máquina decidió resolver el problema que le habían planteado a su manera y la situación se salió de control.

"Tuvimos un incidente de seguridad significativo durante la evaluación de nuestros modelos. Estamos compartiendo lo que hemos aprendido hasta ahora. Gracias a Hugging Face por la asociación en esto", ha comentado Altman en un tuit.

Lo curioso de este caso no es solo lo bien que programaban las herramientas de IA, sino la lógica que usaron. En lugar de trabajar sin descanso buscando la solución legal al problema de seguridad que les habían puesto, los modelos de OpenAI decidieron que era mucho más rápido hacer trampas.

Deducieron por su cuenta que las respuestas del test estaban guardadas en la base de datos real de Hugging Face y organizaron un ataque por su cuenta para entrar a robarlas. Para colarse en los servidores de la plataforma, hicieron uso de fallos de seguridad que se desconocía que estaban y usaron claves robadas.

Una vez dentro, la inteligencia artificial de OpenAI fue saltando de un sistema a otro y buscando más permisos de forma automática hasta encontrar un equipo conectado a internet.

¿Por qué la inteligencia artificial de OpenAI decidió hackear a Hugging Face para aprobar la prueba de ciberseguridad?

Tenemos que pensar en la inteligencia artificial en lo que realmente es: una herramienta que no tiene ética ni entiende lo que es hacer algo malo; solo busca la forma más rápida y directa de cumplir la orden que le ha dado el programador.

Si el sistema rápidamente descubre que meterse aprovechando errores de una plataforma en su servidor es más rápido que resolverlo por una vía más difícil, elegirá el ataque informático sin pensárselo dos veces.

Lo curioso es que, durante el ataque, los modelos de OpenAI hicieron diferentes acciones, organizándose entre ellos a través de pequeñas pruebas.

Desde Hugging Face han explicado que la situación fue bastante compleja cuando intentaron frenar el ataque: mientras los ingenieros de la plataforma intentaban usar otros modelos de IA para defenderse y chocaban con las normas del programa, el agente que atacaba no tenía ningún tipo de freno ni norma que le impidiera seguir accediendo a cosas.

A pesar del susto, el fundador y CEO de Hugging Face, Clément Delangue, ha querido quitarle hierro al asunto confirmando que han estado trabajando mano a mano con OpenAI para arreglarlo todo.

Tienen claro que no había mala intención por parte de la empresa, aunque el propio directivo reconocía que le sorprende ver cómo una máquina es capaz de organizar y hacer un ataque tan complicado sin que un humano toque un solo botón.

Tras descubrir todo esto, por supuesto, OpenAI ha avisado del fallo de seguridad que usaron sus modelos para que el creador del programa pudiera arreglarlo cuanto antes. Además, la empresa ha prometido poner controles mucho más duros en sus laboratorios de pruebas para evitar que vuelva a suceder algo parecido. Al final, no hay mal que por bien no venga.

Con ayuda de otros dos ciberdelincuentes, Zyaire Dontaevious Zamarion Wilkins (fascinante nombre) publicó en Steam ocho juegos infectados con malware. Los títulos que ha desvelado el FBI son BlockBlasters, Dashverse, Lunara, PirateFi, y Lampy. Todos son títulos sencillos que parecen juegos de móvil. Ya han desaparecido de Steam.

Según la orden de detención, Wilkings y su equipo promocionaron los videojuegos con malware integrado en redes sociales y plataformas de mensajería como Discord, Telegram, X y LinkedIn, y animaron a otras personas a descargarlos.

Juegos de Steam con malware

El objetivo principal de estos “conspiradores”, como los llama el FBI, eran los usuarios de Steam con criptomonedas. Así que usaron bots para identificar a personas con carteras de criptos, y les enviaron mensajes personalizados invitándoles a probar los juegos.

Usando este sistema consiguieron engañar a 8.000 usuarios de Steam, para descargar sus juegos y, con ello, el malware. Lo usaron para obtener cuentas de usuario y contraseñas, entre ellas, las de su monedero de criptomonedas.

Así pudieron robar unos 80 monederos de criptomonedas, con unos 200.000 euros. Curiosamente, parte de este dinero se usó para comprar 150 tarjetas regalo que utilizaron para pedir comida a UberEats.

La pregunta que todo el mundo nos hacemos es: ¿Cómo puede colarse malware en Steam? Es aún más grave porque este joven ciberdelincuente estuvo activo en Steam, así como sus juegos infectados, desde mayo de 2024 a principios de 2026.

Según la denuncia, Wilkings creó varias cuentas de desarrollador, usando correos de Gmail y datos robados de ciudadanos estadounidenses. Si alguna vez te has preguntado qué hacen los hackers cuando te roban tus datos personales y tu DNI, aquí tienes un ejemplo.

Con estas cuentas de desarrollador, pudo subir a Steam sus ocho juegos con malware, y comenzar la estafa.

Que se cuele malware en Steam es raro, pero pasa, igual que ocurre en la Play Store de Google. Además del método explicado, en otra ocasiones los ciberdelincuentes hackean las cuentas del desarrollador para infectar su juego sin que se entere. O compran un juego a los creadores, y luego lo infectan.

En todo caso, el responsable último es Valve, que debería ser más eficaz detectando los juegos con malware. Noticias como esta desgastan la confianza que tienen los usuarios en la seguridad de Steam.

Se llama GPT-Red y es un modelo de inteligencia artificial creado con una sola misión: hackear a sus propios hermanos. La compañía creadora de ChatGPT lo usa como un campo de batalla o una zona de entrenamiento para atacar a sus sistemas, ver por dónde flaquean y arreglar los fallos antes de que los hackers de verdad los descubran.

Para que veas la diferencia que hace este modelo, hace unos días lanzaron GPT-5.6, la última versión de su IA más potente. Según los ingenieros, este es el más seguro que han puesto en el mercado hasta ahora.

El motivo ahora se conoce y es que ha pasado meses aguantando los ataques diarios de GPT-Red. Al pelear contra él en un entorno controlado, ha aprendido a evitar intentos de phishing y sortear todo tipo de ataques.

¿Cómo consigue un modelo de OpenAI aprender a hackear a otros desde cero?

Hasta hace nada, la misión de buscar fallos en la inteligencia artificial (lo que se conoce como red-teaming) la hacían equipos de personas que intentaban engañar a la máquina de diferentes formas. El problema es que estos sistemas son cada vez más complicados de analizar.

Además, si entran en juego los famosos agentes de IA, que son capaces de leer tus correos, mirar el calendario o tocan código por su cuenta, la libertad de actuación de esta tecnología es tan alta que hay demasiados huecos donde esconder un ataque y los humanos, por puro tiempo, ya no dan abasto para vigilarlo todo.

De ahí que se haya creado GPT-Red. Como explica Nikhil Kandpal, uno de los creadores de este modelo, el peligro crece cada día y necesitaban algo automático para no quedarse atrás. Parece que funciona tan bien que el sistema ya ha inventado formas de atacar que a ningún humano se le habían ocurrido antes.

Ahora bien, ¿cómo realmente se crea un modelo así? Para conseguir que GPT-Red se convirtiera en el mejor hacker del mundo, los ingenieros usaron un truco llamado bucle de autojuego.

Cogieron un modelo de inteligencia artificial normal, que no sabía nada de ciberataques, y lo encerraron en una especie de gimnasio a pelear contra otros modelos de la empresa. Su única meta era engañarlos, mientras que la de los otros era no dejarse estafar. Tras miles de partidas, los dos lados se volvieron expertos.

La ventaja es que este campo de batalla falso imita cosas reales que una inteligencia artificial hace en su día a día: navegar por internet, leer correos electrónicos o cambiar líneas de código. En ese entorno, GPT-Red demostró ser muy persistente. Cada vez que encontraba un pequeño fallo, lo probaba una y otra vez de formas distintas hasta dar con la mejor forma de romper el sistema de su rival.

El entrenamiento se centró sobre todo en las llamadas inyecciones de prompt. Esto es, básicamente, cuando alguien escribe un mensaje con instrucciones ocultas para obligar a la máquina a saltarse sus propias normas de seguridad.

GPT-Red se volvió tan inteligente en esto que descubrió un ataque nuevo que han llamado cadena de pensamiento falsa. Lo que hace es meter datos falsos en las notas internas que toma el otro modelo para resolver un problema, logrando que caiga en la trampa y dé una respuesta falsa como si fuera buena.

Pero esto no es todo y, para realmente ver de qué era capaz, en OpenAI lo pusieron a prueba repitiendo un examen que varios expertos humanos hicieron en 2025 sobre una versión antigua de GPT-5.

El resultado fue que GPT-Red encontró más fallos y más rápido que los profesionales humanos. En concreto, este modelo superhacker consiguió saltarse sus defensas el 90% de las veces.

Sin embargo, al probar esos mismos ataques contra el nuevo GPT-5.6, la tasa de éxito bajó a menos del 23%, demostrando que esto no solo va de encontrar fallos sino de que los modelos también aprendan a protegerse.

También lo probaron contra Vendy, una inteligencia artificial que gestiona máquinas expendedoras de refrescos, y logró hackearla para cambiar los precios de las bebidas y cancelar pedidos de clientes.

Con todo esto, y como te puedes imaginar, GPT-Red es un modelo de inteligencia artificial que va a permanecer bajo llave en OpenAI. No solo por una cuestión de que solo ellos puedan usarlo, sino por seguridad (imagínate que podría suceder si cae en malas manos).

Justo por esto es que hay que tener cuidado, porque la popularidad que tiene actualmente la está convirtiendo en uno de los objetivos de los cibercriminales. Se ha detectado una campaña maliciosa que usa repositorios públicos para esparcir malware en millones de equipos.

Los hackers están creando imitaciones de programas como WinRAR, Malwarebytes, Postman, Krita y otros que normalmente usas a diario para engañarte y hacer que infectes por tu propia cuenta el sistema.

La mayor parte de los esfuerzos de los piratas informáticos están enfocados en robo de información y virus, pero aunque GitHub está eliminando parte de todo el código infectado, hay algo sumamente importante que debes saber para cuidarte de estos riesgos.

Una campaña masiva utilizó repositorios falsos para distribuir malware

¿Has usado GitHub? Es importante que prestes atención a la situación actual por la que está pasando la famosa plataforma de repositorios. Descargar e instalar programas desde aquí no siempre es seguro.

La firma de ciberseguridad Arctic Wolf identificó una operación que utilizó 292 repositorios falsos de GitHub para imitar software legítimo. Todo apunta a un acto malicioso de los ciberdelincuentes que consiste en engañar a los usuarios para que infecten los ordenadores con virus sin darse cuenta.

Esta táctica es tan peligrosa debido a que las diversas apps se hacen pasar por proyectos relacionados con software de seguridad, servicios de criptomonedas, utilidades para desarrolladores, plataformas de correo seguro, herramientas para macOS e incluso servicios de gaming.

La investigación comenzó después de que la compañía detectara que uno de sus propios productos estaba siendo suplantado dentro de esta campaña iniciada el 26 de junio.

Según el informe, tras encontrar e investigar las coincidencias, en cada uno de estos repositorios sospechosos se encontraba un archivo README que contenía enlaces que dirigían a las víctimas hacia páginas diseñadas para distribuir malware.

El phishing estaba pensado para transmitir confianza al replicar con exactitud cada uno de los elementos visuales, insignias y botones de las interfaces de las empresas para que los usuarios pudieran seguir el proceso "como siempre".

“Cuando el usuario ejecuta el ejecutable, gup.exe carga lateralmente libcurl.dll, que decodifica y ejecuta reflexivamente un ladrón de información integrado completamente en la memoria”.

Además de esto, se descubrió que la mayoría utilizaba una plantilla HTML y JavaScript reutilizada entre las distintas marcas. “Su script del lado del cliente analiza la ruta URL en dos segmentos”, es lo que dice la compañía sobre el modus operandi, destacando que esto fue lo que hicieron para adaptar la apariencia.

Por otro lado, esta carga maliciosa llegaba mediante un archivo ZIP de gran tamaño cuyo nombre cambiaba aproximadamente cada minuto. Dentro del paquete se encontraban un archivo libcurl.dll modificado y una copia legítima y firmada de WinGUP, renombrada según el software que se estaba imitando.

Con esto, solo hacía falta que se ejecutara para que se aplicara la "carga lateral de DLL" y así empezar a inyectar el malware sin levantar sospechas de la plataforma o el sistema operativo.

BoryptGrab apunta a navegadores, criptomonedas y credenciales sensibles

El malware identificado presenta características asociadas a una variante de la familia BoryptGrab, un infostealer diseñado para recopilar información durante una única ejecución.

Utilizando el mismo método, la misión de los hackers era conseguir credenciales, cookies, datos de pago y datos almacenados en más de 19 navegadores web, además de 32 marcas de billeteras de criptomonedas.

Archivos en el escritorio o en carpetas de documentos cuyos nombres sugieren que contienen contraseñas, copias de seguridad, billeteras digitales o frases de recuperación de los afectados, también están en el punto de mira.

Algunas de las plataformas vinculadas al inconveniente han sido las sesiones de Telegram, tokens de Discord, credenciales de Steam y la app de mensajería Max de Meta.

Arctic Wolf señala que el malware puede eludir mecanismos de cifrado vinculados a apps basadas en Chrome mediante la inyección directa de código en el proceso del navegador.

Los investigadores no lograron atribuir la operación a un grupo específico, aunque consideran probable que el operador hable ruso y que el móvil principal sea económico.

A pesar de que los desarrolladores de GitHub ya se encuentran eliminando gran parte de los repositorios maliciosos, todavía quedan decenas y por eso el equipo de Artic Wolf recomienda verificar siempre la autenticidad de los proyectos sobre fuentes oficiales antes de instalar.

El negociador de la empresa DigitalMint, Angelo Martino, ha sido condenado a casi seis años de prisión tras demostrarse que, como representante de cinco víctimas de un ransomware del grupo BlackCat para reducir el rescate a pagar, en realidad trabajaba con los ciberdelincuentes para sacarles la mayor cantidad de dinero posible.

Según explica un memorándum del gobierno norteamericano: “Martino facilitó a los ciberdelincuentes información confidencial sobre las negociaciones con el fin de maximizar el importe de los rescates, a cambio de una parte de los pagos correspondientes. Cinco de las víctimas a las que Martino se suponía que debía ayudar pagaron más de 75 millones de dólares a los afiliados de las redes de ransomware, incluyendo probablemente millones de dólares en demandas de rescate infladas como consecuencia de la información confidencial facilitada por Martino".

La doble extorsión del ransomware

El ramsonware es un tipo de malware que encripta las unidades de almacenamiento de los ordenadores que infecta. Después pide un rescate, normalmente en criptomonedas, a cambio de la clave que permite recuperar los datos.

La empresa DigitalMint se dedica a negociar con los secuestradores, en nombre de las víctimas, para reducir este rescate.

Angelo Martino, como negociador de DigitalMint y representante de las víctimas, obtenía información confidencial de su seguro y otros datos para saber cual era la cantidad máxima que podían pagar, y se la pasaba a los ciberdelincuentes. Después cobraba una comisión de los pagos en criptomonedas. Con ellas se compró dos casas, un yate, y varios coches.

Martino representó a cinco víctimas, entre ellas una ONG, una pequeña compañía, y empresas de hostelería, médicas y de seguros. Consiguió sacarles entre 200.000 y casi 27 millones de dólares a cada una.

La sentencia deja claro que la empresa DigitalMint no tiene culpa de nada, ellos también fueron engañados.

El negociador ciberdelincuente Angelo Martino ha sido condenado esta semana a 70 meses de prisión. Además deberá vender sus propiedades y pagar el 10% de su salario a las víctimas, hasta que recuperen su dinero.

Que un ataque de ransomware secuestre tus ordenadores es una desgracia, pero sufrir una doble extorsión por un negociador que está de parte de los creadores del ransomware, tiene que ser una auténtica pesadilla.

Lo más curioso de todo es que probablemente lleves años utilizando esta función sin saber que existe. Está activada por defecto en la mayoría de ordenadores y hace su trabajo sin que te enteres de absolutamente nada.

No vas a ver notificaciones al respecto, no consume recursos (al menos de forma visible) y tampoco tienes que estar pendiente de ella (o no, al menos de forma recurrente). Simplemente está ahí, protegiendo tu PC cada vez que lo enciendes.

Para que te hagas una idea, cuando enciendes el ordenador, Windows no aparece de golpe; antes de ver el escritorio, el PC hace una serie de comprobaciones internas para asegurarse de que todo lo que va a cargar es fiable. Aquí es donde entra en juego el Secure Boot.

¿Qué es Secure Boot?

La forma más fácil de entender realmente qué es es verlo como un control de acceso de tu PC antes de dejar que entre nadie.

Para que te hagas una idea, cuando enciendes el PC, Windows todavía no ha empezado a cargarse. Antes de que aparezca el logotipo del sistema operativo, suceden procesos invisibles. El firmware del ordenador, lo que antes se conocía como BIOS y que hoy, en la mayoría de ordenadores, ha sido sustituido por UEFI, empieza a comprobar que todo está preparado para arrancar.

Es precisamente en ese momento cuando entra en acción Secure Boot o certificados de arranque seguro de Windows.

Su misión es muy simple: comprobar que todos los componentes implicados en el arranque son auténticos y no han sido modificados. Si todo coincide con lo esperado, que es lo normal, el ordenador continúa iniciando Windows. Si detecta algo raro, detiene el proceso.

En otras palabras, Secure Boot no protege Windows una vez está funcionando. Lo protege antes incluso de que tenga oportunidad de arrancar y, para conseguirlo, utiliza un sistema basado en firmas digitales.

Estas funcionan como un sello de autenticidad. Igual que un DNI o un billete puede llevar un sello que certifica que es auténtico, los componentes del proceso de arranque también vienen con un certificado.

Cuando enciendes el ordenador, UEFI compara esas firmas con una serie de claves de seguridad que se encuentran en la propia placa base.

¿Por qué Windows 11 es tan exigente con Secure Boot?

Esto es algo que, desde hace unos años, se ha vuelto más reconocido, pero que antes era todo un misterio para todos. Cuando Microsoft lanzó Windows 11 en 2021, estableció unos requisitos mínimos más estrictos que en versiones anteriores.

Ya no bastaba con tener un procesador actual y suficiente memoria RAM. También era necesario contar con un chip TPM 2.0, utilizar UEFI en lugar de la antigua BIOS y disponer de Secure Boot.

Todo esto trajo muchas críticas. Muchos pensaban que Microsoft simplemente quería obligar a los usuarios a comprar un ordenador nuevo, pero la compañía defendió que el objetivo era reforzar la seguridad. Y lo cierto es que tenía sentido, teniendo en cuenta cómo han evolucionado los ataques.

En cuanto al Secure Boot, esto no significa que un ordenador sin él vaya a infectarse al momento. Simplemente dispone de una capa menos de protección. Por eso Microsoft decidió convertirlo en uno de los pilares de Windows 11.

Millones de PC deben actualizar las claves de Secure Boot

Esta ha sido la gran noticia de estos meses. El 24 de junio de 2026 expiraron tres certificados digitales que controlan el arranque seguro de tu PC. Para evitar que millones de PC se vuelvan vulnerables de golpe o dejen de encender, Microsoft hizo un despliegue para instalar unas nuevas claves criptográficas directamente en la placa base de los usuarios.

Pero esto también afecta a Linux. Si estas firmas digitales caducan sin actualizarse, los equipos perderán su escudo de defensa contra los virus de placa base, un tipo de software espía que los antivirus normales no pueden controlar. Eso sí, matizar que tu ordenador no va a dejar de funcionar y lo podrás seguir utilizando, aunque con consecuencias que podrían llegar a ser graves.

Hablamos de que, si caes en la trampa, da igual que formatees el disco duro, que borres todos tus archivos o que instales Windows desde cero, porque el virus se queda a vivir dentro de los circuitos del equipo.

Por suerte para ti, saber si tu ordenador ya se ha actualizado es muy fácil gracias a los últimos parches de Windows 11. Solo tienes que abrir la aplicación de Seguridad de Windows, pinchar en la sección de Seguridad del dispositivo y buscar el apartado dedicado al Arranque Seguro.

Si te aparece un icono de verificación en color verde, significa que tu ordenador ya cuenta con los nuevos certificados de 2023 y que no tienes nada más que hacer. Si te aparece un aviso amarillo o rojo, el propio sistema te guiará con los pasos a seguir.

Por supuesto, estas claves también se van a caducar en no demasiados años. Microsoft ha comentado que tienen una fecha de caducidad fijada en el año 2038. No obstante, se prevé que, a partir del año 2030, entrará en vigor una orden global para implementar la criptografía poscuántica.

Hay numerosas herramientas que verifican ya si el enlace que estás visitando o el archivo que has descargado es malicioso, como Virus Total y otras que escanean miles y miles, aunque ninguna de ellas te mostrará el interior del archivo.

Para ello, lo mejor es utilizar Dangerzone, una aplicación de código abierto desarrollada por la Freedom of the Press Foundation (FPF), la Fundación para la Libertad de Prensa.

Esta organización sin ánimo de lucro se encarga de proteger el periodismo de interés público y gestiona otras herramientas útiles, como SecureDrop, usada por medios como The Guardian o The New York Times para la comunicación segura con fuentes.

En este caso concreto, también se posiciona como una muy buena herramienta para quien use constantemente hojas de cálculo, archivos PDF o documentos Word, ya que crea un sandbox o entorno seguro para visualizar lo que se esconde en su interior.

Algo imprescindible si trabajas con muchas facturas de clientes, en caso de que seas periodista y recibas numerosos correos electrónicos con archivos adjuntos o, simplemente, si quieres una capa de protección adicional en tu ordenador.

Cómo funciona Dangerzone para abrir archivos peligrosos

Imagina que te dedicas a revisar paquetes que entregan a una dirección, pero en todos ellos existe la probabilidad de que haya un tipo de veneno; en caso de que abras la caja de golpe, podrías directamente envenenarte.

Teniendo en cuenta este ejemplo más visual, Dangerzone se encarga de tomar fotografías de todo ese paquete en un espacio blindado, elimina ese original y construye una copia que el receptor ya puede consultar con total seguridad.

Algo imprescindible para este tipo de archivos, ya que no solo pueden contener texto plano, sino también elementos incrustados, metadatos en detalle, código JavaScript e incluso hipervínculos interactivos que pueden comunicarse con servidores externos.

Aquí entran en juego los conocidos también como píxeles de rastreo, con lo que un atacante podría recibir las peticiones en su propio servidor, conociendo directamente la dirección IP, ubicación geográfica aproximada y otros valores como fecha, hora y sistema operativo.

Dangerzone, por su parte, adopta un enfoque de confianza cero –zero trust–, a diferencia de los enfoques reactivos de los antivirus y otras herramientas; o lo que es lo mismo, destruye un archivo, pero lo recrea de forma idéntica para que el usuario pueda acceder a su contenido.

En la práctica, simplemente hay que descargar e instalar desde su página web oficial o en su página de GitHub, y ejecutar la herramienta para que genere el entorno virtualizado –tarda apenas unos segundos–.

En su interfaz tendrás un botón para subir archivos. Elígelo y sube el archivo del que sospeches, sin abrirlo en ningún otro tipo de aplicación, solo con Dangerzone. Inicialmente, arrancará en un sandbox –entorno controlado– mediante un contenedor aislado de Linux, independientemente del sistema operativo que hayas elegido.

Dangerzone, en el segundo paso, realiza una conversión a PDF estándar, mediante aplicaciones realmente conocidas, como LibreOffice o PyMuPDF, con el objetivo de renderizar el documento y tenerlo en un PDF tradicional.

Para que el archivo generado no tenga ningún tipo de rastro de líneas de código malicioso, las páginas se convierten en un mapa de bits enorme con datos puros de píxeles RGB. Esta pixelización completa es el segundo paso para que el archivo generado sea seguro para el usuario.

Estos datos de los píxeles, finalmente, se envían a un segundo contenedor de aislamiento totalmente independiente del primero, por lo que ni sabe de dónde viene el archivo original ni sabe la estructura original, solo recibe instrucciones de colores y posicionamiento visual.

Como es lógico que un archivo de este tipo ya no sea editable ni siquiera seleccionable, Dangerzone soluciona esto ejecutando de forma opcional un motor de Reconocimiento Óptico de Caracteres (OCR) llamado Tesseract.

Al finalizar todo ese proceso, el usuario recibe un archivo final con el sufijo -safe.pdf que es el que puedes abrir con total tranquilidad para ver el contenido del archivo malicioso.

Adicionalmente, ambos contenedores creados se autodestruyen para no dejar ningún tipo de rastro en la memoria del ordenador, eliminando con ello cualquier tipo de malware que hubiera tenido intención de ejecutarse.

En solo 1 minutos, habrás asegurado tu PC sin tener que andar enredando con herramientas más complicadas; en caso de que el archivo no esté infectado, seguirás pudiendo utilizarlo sin ningún tipo de problema.

Ahora bien, como cualquier aplicación, también tiene sus limitaciones. Por ejemplo, si el archivo PDF es editable, tipo formulario o con funcionalidades avanzadas, perderás este tipo de información, además de animaciones de transición, vídeos incrustados o comentarios de revisión.

Además, el archivo seguro resultante puede llegar a pesar mucho más que el original, básicamente porque cada página es ahora una imagen comprimida de alta resolución, algo que continúan mejorando los algoritmos de compresión de las últimas versiones de la app.

Por último, los hipervínculos tampoco aparecerán, por lo que se perderán todos los enlaces que estuvieran incrustados en el texto, a no ser que aparezca directamente la dirección web en el propio texto.

Sea como sea, es una herramienta que debería llegar por defecto en sistemas operativos para que el usuario tenga la capacidad de revisar lo que está abriendo sin dañar completamente el ordenador.

Hay un regla de oro de la seguridad informática: no descargues ni instales nada de fuentes desconocidas. Y también hay una incomprensible tendencia de los usuarios, a confiar en desconocidos. Entonces pasa lo que ha pasado con DLSS Swapper.

Hay que decir que la aplicación no ha sido hackeada ni tiene virus. Si la has usado de forma convencional, no hay problema. Pero si alguien te ha dicho que una versión de un DLSS personalizado funciona mejor o arregla algo, y la has instalado, corre a pasar el antivirus. Vamos a ver qué ha ocurrido, y cómo evitarlo.

DLSS Swapper y los DLL contaminados de terceros

DLSS Swapper es una herramienta muy popular entre los gamers, porque puede mejorar el rendimiento de los juegos. Los títulos modernos usan herramientas de inteligencia artificial como DLSS de Nvidia o FSR de AMD (esta no usa IA), para crear frames artificiales o utilizar una resolución dinámica. Esto consigue que los juegos dupliquen o tripliquen sus fps, sin perder apenas calidad gráfica.

Estas librerías se actualizan casi cada mes, pero las nuevas versiones solo se usan en los juegos nuevos. Lo que hace DLSS Swapper es instalar las últimas versiones de DLSS, FSR, y otras tecnologías similares, en juegos con versiones más antiguas. Esto puede hacer que obtengan más fps, mejoren en el trazado de rayos, puedan usar frame generation, y otras funciones que solo están en las versiones más nuevas.

DLSS Swapper detecta la versión instalada de DLSS y el resto en cada juego que tienes instalado en tu PC, descarga la versión más moderna, y la instala en la carpeta del juego. Tienes libertad total para elegir entre docenas de versiones, o volver a la original.

Si usas la herramienta descargando todo desde dentro, no hay ningún problema. El peligro está en si has instalado alguna versión de DLSS personalizada por terceros.

Según ha descubierto el autor de DLSS Swapper, Brad Moore, alguien ha manipulado ficheros DLL para insertar malware. Con herramientas como Manifest Builder genera un archivo de manifiesto que usa DLSS Swapper para integrar esta versión infectada en el PC.

Para que la gente lo use, lo distribuyen en foros gaming con mensajes del tipo: “A mí me ha solucionado este problema” o “va mejor que el original”. Suficiente para que la gente se olvide de la seguridad, y lo integre en DLSS Swapper para meterlo en el juego. Así que el usuario estará instalando él mismo, voluntariamente, el malware.

Evitar esto es tan sencillo como no usar DLLs de terceros, la regla de oro “No descargar cosas de fuentes desconocidas”, e instalar solo las versiones que te ofrece la aplicación. Igualmente, descargar DLSS Swapper solo desde su web oficial en GitHub.

En cuanto a su peligrosidad, lo cierto es que no hablamos de algo precisamente inocente. Permite a un atacante llevar a cabo algo muy peligroso: una fuga de máquina virtual (VM escape). Esto significa que un hacker puede romper la barrera de protección que separa a un usuario de otro dentro de un mismo servidor en la nube y tomar el control total de la máquina central.

La vulnerabilidad fue encontrada por el experto en ciberseguridad Hyunwoo Kim, que demostró cómo aprovechar este error dentro del hipervisor KVM de Linux.

Este componente es el que precisamente usan grandes empresas tecnológicas como Microsoft, centros de datos y empresas de alojamiento web para dividir un ordenador gigante en cientos de ordenadores virtuales más pequeños para sus clientes.

Al romper esta barrera, el fallo ataca a la base, afectando por igual a los servidores que funcionan con procesadores de las marcas Intel y AMD.

"Una fuga de máquina virtual permite a un atacante salir de su entorno de cliente y comprometer el sistema central que aloja todo", explica Jason Soroko, miembro de la firma Sectigo. El experto comenta que esto supone una amenaza enorme para la nube, ya que una sola cuenta hackeada puede dar permisos de administrador sobre el servidor físico.

Como resultado, lo que este puede hacer va desde provocar una caída total del servidor o, en el peor de los casos, leer y robar los datos confidenciales de los vecinos.

Por otro lado, Robert Coles, ingeniero de ciberseguridad en Black Duck, comenta que estos fallos llaman tanto la atención porque rompen la regla de oro de la virtualización: el aislamiento. "En la mayoría de los casos, si un hacker entra en una máquina virtual, el daño se queda bloqueado ahí dentro y no sale, pero este error lo cambia todo", explica.

Añade que, una vez que el atacante llega a la raíz del servidor, ya no está atacando de lleno a un solo usuario, sino que tiene acceso a toda la infraestructura y datos de decenas de empresas distintas.

¿Qué es el error CVE-2026-53359 en Linux y cómo afecta a la seguridad de las empresas que usan la nube?

Toca remontarse hasta 2010, cuando esta parte de código se metió dentro del sistema operativo. Hablamos de código realmente antiguo, por lo que hay cierta posibilidad de que, en la actualidad, este no tenga sentido para una compañía a la hora de diseñar su tecnología.

Sin embargo, cuando se activa la virtualización anidada (es decir, cuando arrancas una máquina virtual dentro de otra máquina virtual), el sistema se ve obligado a usar este código.

Al ser una función opcional que casi nadie tocaba, este código ha pasado 16 años escondido, en el olvido, sin que ningún desarrollador se parase a revisarlo.

Pero, teniendo en cuenta que se están encontrando otros fallos de código antiguo en Linux, que los hackers cada vez son más inteligentes, que la inteligencia artificial ayuda mucho a los ingenieros y que las empresas pagan auténticas millonadas para que les encuentren fallos, resulta demasiado jugoso como para, al menos, echar un vistazo.

Por eso, el director de Suzu Labs avisa de lo siguiente: "Todo apunta a que saldrán a la luz más errores de 10 y 15 años de antigüedad en los próximos 12 o 18 meses a medida que los análisis automáticos por ordenador lleguen a zonas de código que los humanos no han tocado desde el día en que se escribieron".

Tal y como se ha podido saber ahora, la gravedad de esta vulnerabilidad es grande. Se ha registrado oficialmente bajo el código CVE-2026-53359, y afirman que su peligrosidad radica en que afecta directamente a KVM/x86, la tecnología que utiliza Linux para crear y gestionar máquinas virtuales.

Este sistema se encarga de que un único ordenador pueda dividirse y alquilarse a diferentes clientes de forma independiente, algo que utilizan empresas como Windows. El problema es que esto rompe por completo esa barrera de protección.

Hyunwoo Kim, investigador de ciberseguridad, ha conseguido demostrar el peligro del fallo en un programa de recompensas de Google. El experto detectó un error de tipo use-after-free (un fallo que ocurre cuando un programa sigue usando una zona de la memoria del ordenador después de haberla liberado).

Al aprovechar esto, un atacante puede saltarse las medidas de seguridad del sistema y ejecutar órdenes con los máximos privilegios posibles dentro de la máquina principal.

Hasta la fecha, la gran mayoría de los ataques creados precisamente para esto se centraban solo en una marca específica de hardware. El problema es que esta vulnerabilidad no entiende de compañías.

Se trata del primer método que funciona igual tanto en chips de Intel como de AMD. Esto significa que da exactamente lo mismo qué marca de procesador tenga instalado; si utiliza una versión antigua del núcleo de Linux, el sistema es vulnerable.

¿Cómo funciona Januscape en Linux y qué peligro corren las empresas que usan la nube?

Para que te hagas una idea, en condiciones normales, una máquina virtual está totalmente aislada del ordenador central que la aloja. Sin embargo, esta vulnerabilidad rompe todo por completo.

Si un atacante alquila un servidor virtual básico, el sistema le da permisos de administrador. Al activar el fallo desde esa parte, el código malicioso puede salir de la máquina virtual y acceder directamente al núcleo del sistema operativo del ordenador central.

Una vez que toma el control del equipo principal, está totalmente perdido: puede provocar una caída total del servidor o, en el peor de los casos, leer y robar los datos confidenciales de los vecinos.

Por si esto fuera poco, la vulnerabilidad es todavía más peligrosa en distribuciones para empresas como Red Hat Enterprise Linux (RHEL).

En este sistema operativo, los permisos de los archivos que gestionan la virtualización vienen configurados de fábrica de forma tan simple y abierta que cualquier usuario normal puede editarlos. Esto permite que el atacante ni siquiera necesite ser administrador dentro de su propia máquina virtual para lanzar el ataque.

Para buena suerte de todos, hablamos de un fallo descubierto por un experto en ciberseguridad que ya ha puesto en conocimiento del mundo lo que se puede llegar a hacer.

Por supuesto, no ha publicado el código completo. Sin embargo, si este lo ha descubierto, puede que otro con no tan buenas intenciones lo libere o lo use a su propio favor a modo de chantaje.

Tal y como ya ha sucedido con otras vulnerabilidades detectadas, como Copy Fail, esta también permite a cualquier atacante que no tenga ningún tipo de permiso especial saltarse todos los controles y tomar el control del equipo, consiguiendo así el acceso como root o superusuario.

El problema es que este tipo de fallos, teniendo en cuenta el sistema operativo del que hablamos, se extiende a lugares insospechados como el propio Android. Este se trata de una especie de Frankenstein, ya que los ingenieros de Google cogieron el kernel de Linux y construyeron todo el diseño, las apps y las funciones encima de esa base.

Como el subsistema afectado (epoll) es una pieza del núcleo de Linux encargada de gestionar las conexiones de red y los archivos de forma eficiente, esa misma pieza está metida dentro de millones de móviles y tablets Android.

¿Cómo funciona el exploit de Bad Epoll y por qué es tan difícil de para una vez está dentro del ordenador o móvil?

Para que te hagas una idea, si un atacante consigue colar un código malicioso en tu móvil, la vulnerabilidad Bad Epoll le permitiría saltarse por completo las barreras de seguridad de Android. Gracias a esto tendría el control total del smartphone.

Técnicamente, Bad Epoll es lo que se conoce como un error de uso después de liberación o use-after-free. Esto ocurre cuando el sistema operativo comete el error de seguir utilizando un bloque de memoria de la memoria RAM del equipo que ya ha sido vaciado y devuelto al sistema.

Aquí es cuando viene el lío. El problema de Bad Epoll es que dos tareas del sistema operativo intentan borrar exactamente el mismo bloque de datos a la vez.

Al cruzarse las dos órdenes, el sistema se confunde por completo y una tarea borra la memoria, pero la otra sigue escribiendo en ella creyendo que todavía está activa. Aquí es cuando un atacante puede aprovecharse y meter su código en esa parte de la memoria desprotegida.

Según los datos del analista que descubrió el error, este ataque es capaz de ejecutarse incluso desde dentro del entorno aislado de navegación de Google Chrome. Esto significa que un hacker podría usarlo para romper las barreras de protección del navegador y saltar directamente al control del sistema operativo.

Con todo esto, la lista de sistemas expuestos recoge a todas las versiones del kernel de Linux que van desde la edición 6.4 en adelante, a menos que ya hayan recibido el último parche oficial de actualización. Ten en cuenta que ya se han lanzado todo tipo de correcciones.

La parte positiva es que las versiones más antiguas y con soporte a largo plazo están a salvo. Por ejemplo, los móviles de la gama Pixel 8 de Google, que utilizan una base de software anterior basada en el kernel 6.1, no tienen nada de qué temer.

Por suerte para todos, los expertos confirman que no hay ninguna prueba de que los delincuentes estén utilizando esta brecha de seguridad. El único programa capaz de activar el fallo es el prototipo que se ha entregado al servicio de recompensas de Google para que los ingenieros puedan cerrar el problema por completo.

La campaña se hacía pasar por DynamicLake, una conocida herramienta para macOS que recrea una versión funcional de Dynamic Island en los MacBook. Sin embargo, los enlaces incluidos en el anuncio no dirigían a la página oficial del proyecto, sino a un dominio fraudulento diseñado para imitar su apariencia.

Según explicó Jamf Threat Labs, los usuarios que accedían al sitio falso encontraban instrucciones para abrir la aplicación Terminal y ejecutar un comando de instalación. Aunque el proceso parecía formar parte de la instalación del programa, en realidad servía para descargar e instalar malware en el equipo.

Los investigadores identificaron la amenaza como una variante reciente de Atomic Stealer, conocida internamente como MacSync. También se han detectado casos relacionados con DigitStealer dentro de la misma campaña. Este tipo de software malicioso está diseñado para robar información sensible almacenada en el dispositivo de la víctima.

Uno de los aspectos más preocupantes del caso es que el anuncio procedía de una cuenta verificada con una comunidad considerable de seguidores. Según la investigación, todo apunta a que el propietario de la cuenta también fue engañado y aprobó la promoción creyendo que se trataba de un servicio legítimo.

Y es que una insignia de verificación y un nombre familiar aportan un nivel de confianza que una cuenta aleatoria nunca podría ofrecer. Precisamente esa confianza es uno de los elementos clave que suelen explotar los ataques de ingeniería social.

Jamf considera que la cuestión más importante no es cómo fue engañado el propietario de la cuenta, sino cómo el anuncio consiguió superar los controles publicitarios de X y llegar a los usuarios. Los expertos creen que el uso de dominios falsificados y sistemas de redirección habría ayudado a esquivar las comprobaciones automáticas de la plataforma.

Tras recibir la alerta, X retiró el anuncio en un plazo relativamente corto. No obstante, el incidente ha reabierto el debate sobre la eficacia de los sistemas de revisión de publicidad en internet, un problema que también ha afectado en los últimos años a otras grandes plataformas.

Por su parte, el desarrollador de DynamicLake lamentó lo ocurrido y pidió a los usuarios que descarguen la aplicación únicamente desde su página oficial. “Nunca imaginé que alguien utilizaría la marca de esta manera. Estoy trabajando para combatir estas copias falsas, pero siguen apareciendo cada pocos meses”, afirmó. El creador también aseguró que continuará protegiendo tanto el proyecto como a su comunidad de usuarios.

El gran problema es que, durante muchos años, millones de usuarios y administradores de servidores en todo el mundo se han sentido totalmente protegidos bajo el paraguas del pingüino, comprobando realmente que el malware era un problema que solo afectaba a Windows o macOS. Esto ha cambiado.

Todo esto se ha vuelto especialmente problemático tras conocerse que un grupo de hackers acaba de aprovechar un grave fallo de supervisión en los servidores de la comunidad de Linux para colar, sin que nadie se dé cuenta, código malicioso.

Pero la cosa no acaba ahí porque también hay que hablar de Copy-Fail, un fallo crítico que llevaba dentro del kernel de Linux desde 2017.

En este caso, el problema está en cómo Linux actúa ante ciertas funciones de criptografía. Si alguien sabe cómo engañar a esta función enviándole datos de una forma específica, puede conseguir que el kernel sobrescriba partes de la memoria. Con solo cambiar 4 bytes en el lugar correcto, un usuario normal puede convertirse en superusuario y tener poder absoluto.

Y por si fuera poco, recientemente ha aparecido Dirty-Frag, otra vulnerabilidad que permite que cualquier usuario, sin permisos, se convierta en root, es decir, en un superusuario que tiene las llaves de todo el sistema y puede hacer lo que quiera con el equipo. Como ves, calcado a Copy Fail.

Por último, hace unos días se supo que también rondaba Quasar Linux (QLNX), un malware creado específicamente para cazar a desarrolladores, administradores de sistemas y expertos en el sector y cuyo objetivo es conseguir infiltrarse en sus cuentas.

El problema es que esta ha conseguido colarse en repositorios de código como npm, PyPI y GitHub, además de entornos de nube como AWS, Docker y Kubernetes.

El "botón de pánico": la idea en Linux para que esto no vuelva a pasar

Lo cierto es que esta no ha sido la única vulnerabilidad descubierta en 2026. El problema no es solo que existan fallos, sino que, una vez que se hacen públicos, los hackers corren más que las empresas que deben arreglarlos, dejando millones de servidores expuestos durante días.

Con esto como base, los desarrolladores han dicho basta y Sasha Levin, uno de los pesos pesados del mantenimiento del kernel de Linux, ha propuesto activar un Killswitch o botón del pánico.

La idea es que, si mañana aparece un fallo crítico en una función específica del sistema, el administrador pueda darle a un interruptor virtual y desactivar esa función al momento, sin esperar a que salga una actualización oficial y, lo más importante, sin tener que reiniciar el ordenador. Es, literalmente, cortar por lo sano para evitar que el problema se siga esparciendo por el kernel.

Esto es algo básico que se debería empezar a hacer de cara a proteger a las empresas que tienen muchos ordenadores con Linux. Por ejemplo, en una empresa con 10.000 servidores, actualizar el kernel y reiniciar cada máquina puede durar días.

Durante todo ese tiempo, la ventana está abierta para los hackers. Con el Killswitch, el administrador lanza un comando y, en segundos, todos quedan protegidos frente a ese ataque. No es la solución definitiva, ya que es vital crear un parche, pero actúa como un perfecto cortafuegos.

Por supuesto, todo tiene una cara B y desactivar funciones del sistema puede romper otras. Si apagas el motor de red para evitar un hackeo, podrías quedarte sin internet. Pero Levin argumenta que es mejor tener una función estropeada temporalmente que tener a un hacker accediendo a todo.

Hablamos, en concreto, de los famosos agentes de IA, asistentes que ya no solo te contestan a tus preguntas, sino que usan internet por ti, pulsan botones y hacen movimientos en tu ordenador con solo darles simples órdenes.

Lo curioso (y peligroso) de todo esto es que realmente no hackean a la IA, sino que usan algo mucho más sencillo: la manipulación. En concreto, lo que hacen es usar una inyección de órdenes (prompt injection) que confunde a estas herramientas y consiguen que dejen de distinguir la realidad de la ficción.

Los expertos probaron seis de los agentes más potentes que hay ahora y todos, absolutamente todos, cayeron en el engaño. El problema que se encontraron es que cuando una inteligencia artificial se mete demasiado en un papel ficticio, se olvida por completo de las normas de protección que se le han inculcado.

En cuanto al modus operandi de los atacantes, lo que han descubierto es que diseñan una página web falsa que es, en apariencia, un juego de acertijos ambientado en el videojuego BioShock.

Cuando el agente entra en el sitio, el juego empieza a premiar a la máquina cada vez que toma decisiones incorrectas o rompe las reglas lógicas dentro de la partida.

Con este truco tan absurdo, la IA aprende una norma interna muy peligrosa y es que, en esa pestaña de internet, las reglas normales no sirven para nada y saltarse los límites está bien visto para ganar el juego.

El problema llega en la pantalla final de la partida del juego. Cuando la inteligencia artificial está convencida de que está jugando en un entorno ficticio, el juego le da un último encargo: entrar en un repositorio de código de GitHub, copiar unos textos y compartirlos fuera. El truco es que esos archivos contienen datos confidenciales.

Al haber perdido el sentido de la realidad, la IA obedece a ciegas, rompe sus propios filtros de seguridad y le regala toda tu información privada al atacante sin dudar ni un segundo.

El gran problema de la IA: no entienden el contexto del mundo real; solo entienden reglas de texto

De forma simple, para los humanos, resulta bastante sencillo y obvio separar la realidad de la ficción. Si, por ejemplo, estás jugando al Monopoly y una tarjeta te dice que cojas dinero de la banca, sabes perfectamente que es algo ficticio y que no vas a ir directamente a un cajero automático a retirar ese dinero.

Por así decirlo, la inteligencia humana tiene dos chips en la cabeza que le permiten identificar la fantasía de la realidad. Esto no pasa con la inteligencia artificial.

Para un agente de IA, todo lo que lee en la pantalla tiene el mismo nivel de verdad. Volviendo al caso, contando al principio, cuando el asistente entra en la web del juego de BioShock, lee las instrucciones y las procesa como órdenes reales y la IA no se para a pensar si es algo de verdad o de mentira. Simplemente actualiza su lista de tareas para adaptarse a lo que la web le está pidiendo.

El gran fallo es que, para la IA, la orden de un hacker escondida en un juego y las líneas de código que escribieron los desarrolladores que la crearon se mezclan. No tiene criterio para saber cuál es legítima y cuál es una trampa.

Se ha podido saber que este ha sufrido un gran ciberataque entre el 11 y el 12 de junio de 2026. Los atacantes han conseguido hackear e infectar más de 1.500 paquetes de software con código malicioso.

Lo cierto es que Linux en general, pero Arch Linux en particular, viene arrastrando una racha complicada tras sufrir varios ataques de denegación de servicio (DDoS) y caídas en sus servidores de datos. Sin embargo, esta vez los ciberdelincuentes no han querido tirar abajo las páginas web como ya hicieron, sino que han ido a por algo mucho más dañino.

Decidieron tomar el control de una gran cantidad de paquetes dentro del repositorio, modificando sus archivos de configuración internos para instalar malware en los ordenadores de los usuarios sin que estos se dieran cuenta.

Tal y como se ha podido saber, el ataque fue directo a por los archivos PKGBUILD, que son los scripts encargados de decirle al ordenador de dónde tiene que bajarse el programa y cómo debe compilarlo de forma automática.

Los atacantes añadieron comandos ocultos al final de estos textos para que, justo después de terminar la instalación, el sistema ejecutara varios procesos perfectamente orquestados por los hackers.

La buena noticia es que todos esos usuarios que tienen la costumbre de revisar línea por línea el código de configuración antes de dar el visto bueno a una instalación se han librado del problema. La peor parte se la han llevado quienes confían a ciegas en los instaladores automáticos de la comunidad.

Los responsables del kernel quieren crear un "botón del pánico" en Linux

Como ya estás viendo, ni Linux se libra de los ciberataques. 2026 no está siendo un año especialmente seguro y, es por eso que, es momento de tomar decisiones.

El problema no es solo que existan estos fallos, sino que, una vez que se hacen públicos, los hackers corren más que las empresas que deben arreglarlos, dejando millones de servidores expuestos durante días.

Sasha Levin, uno de los pesos pesados del mantenimiento del kernel de Linux, ha propuesto activar un Killswitch o botón del pánico.

La idea es que, si mañana aparece un fallo crítico en una función específica del sistema, el administrador pueda darle a un interruptor virtual y desactivar esa función al momento, sin esperar a que salga una actualización oficial y, lo más importante, sin tener que reiniciar el ordenador. Es, literalmente, cortar por lo sano para evitar que el problema se siga esparciendo por el kernel.

Con esto, el administrador lanza un comando y, en segundos, todos quedan protegidos frente a ese ataque. No es la solución definitiva, ya que es vital crear un parche, pero actúa como un perfecto cortafuegos.

Por supuesto, todo tiene una cara B y desactivar funciones del sistema puede romper otras. Si apagas el motor de red para evitar un hackeo, podrías quedarte sin internet. Pero Levin argumenta que es mejor tener una función estropeada temporalmente que tener a un hacker accediendo a todo.

Actualmente, esta propuesta está en fase de revisión y se está debatiendo entre los desarrolladores más expertos de Linux para ver si realmente tiene o no futuro. Como suele ocurrir si hablamos de este SO, no todos están de acuerdo, ya que tocar el núcleo del sistema siempre da respeto,. Sin embargo, parece que el apoyo es mayoritario.

Según investigadores de la firma de seguridad Zscaler, los atacantes combinan ingeniería social y abuso de funciones legítimas del navegador para comprometer a sus víctimas. El acceso inicial se consigue suplantando a personal de soporte técnico en Microsoft Teams, donde los empleados son dirigidos a una falsa página que simula una consola de actualizaciones de Outlook o un filtro de spam corporativo.

En esa página fraudulenta, los botones de descarga activan distintos mecanismos de infección que preparan el sistema para ejecutar la carga maliciosa. Entre las acciones más críticas se encuentra la manipulación de archivos ZIP con cabeceras alteradas para evitar su detección por herramientas de seguridad.

El paquete descargado incluye una versión embebida de Python y dos componentes principales: una extensión de Edge camuflada como agente de monitorización y un ejecutor a nivel de sistema. La extensión funciona dentro del navegador, conectándose a un servidor de comando y control, mientras que el segundo componente actúa como puente hacia el sistema operativo.

El elemento clave del ataque es el abuso del protocolo Native Messaging de Chrome, que permite la comunicación entre extensiones y aplicaciones locales. Aunque esta función está diseñada para casos legítimos, como gestores de contraseñas, en este escenario se convierte en el canal que rompe el aislamiento del navegador.

A través de este mecanismo, la extensión puede ordenar al backdoor ejecutar comandos, scripts de PowerShell, código Python o tareas de reconocimiento del sistema.

Zscaler advierte de que esta técnica refleja un aumento en la sofisticación de los grupos vinculados al ransomware, que ahora combinan múltiples capas de ejecución para mantener persistencia en sistemas comprometidos.

Los investigadores explican que cada vez más equipos de seguridad utilizan IA para analizar malware y acelerar tareas. Sin embargo, este nuevo caso está diseñado específicamente para entorpecer ese tipo de sistemas, no solo para evadir antivirus tradicionales.

El archivo malicioso está desarrollado en Rust e incluye funciones típicas de backdoor y robo de información, algo común en este tipo de amenazas. Pero su rasgo más llamativo es un pequeño bloque oculto de unos 3,5 KB que contiene decenas de mensajes falsos de sistema.

Estos mensajes imitan errores reales de software, como fallos de memoria, problemas de red, errores en bases de datos o alertas de seguridad. Están formateados como si fueran logs de depuración legítimos, con estructuras técnicas y texto tipo Markdown, lo que hace más fácil que una herramienta automatizada los confunda con información real del sistema.

Entre los ejemplos aparecen supuestos fallos como errores de memoria, problemas con tokens de acceso, caídas de procesos o posibles vulnerabilidades de inyección SQL. Ninguno de estos mensajes refleja el comportamiento real del malware, sino que son señuelos diseñados para engañar al análisis.

Según los investigadores, el objetivo no es tanto evitar que el archivo se ejecute en un entorno controlado, sino interferir en la interpretación que hacen los sistemas de IA. Al introducir este “ruido” dentro del código, el malware intenta provocar que los modelos de lenguaje duden, se confundan o incluso detengan el análisis.

Este tipo de técnica se enmarca dentro de lo que se conoce como prompt injection aplicado a la ciberseguridad, donde el ataque no se dirige al sistema en sí, sino a cómo la IA interpreta la información que lee.

Por ahora no hay pruebas de que este método sea suficiente para derrotar plataformas de seguridad basadas en IA, pero sí muestra una tendencia clara donde los atacantes empiezan a diseñar malware pensando directamente en cómo lo analizarán las inteligencias artificiales.

El problema aquí no es que un hacker haya entrado directamente en tu móvil u ordenador, sino que los ciberdelincuentes han hackeado los servidores de grandes plataformas donde compras, juegas o trabajas. Al robar los archivos de esas empresas, se llevan listas gigantescas con millones de correos y claves que luego se venden en la dark web al mejor postor.

De ahí que muchos usuarios reciban correos raros o intentos de acceso en sus perfiles sin entender muy bien el motivo y sabiendo que, por su parte, han hecho siempre bien las cosas.

Esto es algo de lo que los expertos llevan años avisando. Muchos grupos de ciberdelincuentes no van buscando a personas concretas, sino que utilizan programas automáticos que prueban los datos robados en cientos de páginas web a la vez. Si cometes el error de usar la misma contraseña para el correo electrónico, la cuenta del banco y una red social, les estás regalando las llaves de acceso a todo.

Por eso, que una sola compañía cometa un error de ciberseguridad (que ya ves que es realmente sencillo por las noticias que salen cada día) puede acabar provocando un agujero enorme en tu privacidad.

A todo esto se le suma que, a veces, las compañías tardan semanas o incluso meses en descubrir que han sufrido un ataque en sus sistemas, y otros tantos en avisar a sus usuarios o clientes. Durante todo ese tiempo, los datos de acceso se comparten en foros. Cuando te llega el correo de aviso para que cambies tus credenciales, el daño ya está hecho.

Con todo esto, Don Paquito nos ofrece una forma de saber si alguna de nuestras credenciales realmente se ha visto comprometida. "Entra en tu gestor de contraseñas de Google y accede a Revisión. Este número de aquí arriba que te sale en rojo significa que muchas de tus contraseñas están completamente vendidas".

Añade una segunda forma de comprobar: la mítica web Have I Been Pwned, donde solo tienes que escribir tu dirección de correo electrónico. El sistema contrastará tu dirección con las listas de los mayores robos de la historia y te dirá en qué plataformas se han filtrado tus datos y qué tipo de información ha quedado expuesta. Si tu correo sale marcado en rojo, significa que deberías cambiar las credenciales.

Esta es la nueva arma de los hackers para hacerse con tus contraseñas

Rizando el rizo, y para que veas lo realmente importante que es que protejas tus contraseñas y revises de vez en cuando su estado, la realidad es que los hackers no necesitan grandes ordenadores para hacerse con tus claves. No necesitan una potencia de cálculo increíble si saben exactamente qué palabras usas en tu día a día. La IA ni es necesaria para adivinarlas porque, una vez más, los humanos son demasiado predecibles.

Cuando una empresa te obliga a cambiar la contraseña cada tres meses y te pone reglas de complejidad, te inventas algo aleatorio y, normalmente, buscas algo que tienes delante. Los atacantes lo saben y han empezado a usar herramientas que leen tu entorno antes de atacarte.

Aquí es donde entra en juego una herramienta que está en boca de todos los expertos en seguridad: CeWL. Es un programa de código abierto que se dedica a rastrear sitios web para absorber todas las palabras que aparecen.

En lugar de intentar adivinar tu contraseña probando 123456, este software crea una lista personalizada con los términos que tú y tu entorno usáis constantemente.

Una vez que tiene toda esa jerga corporativa, el hacker ya tiene el 90% del trabajo hecho. Ya no tiene que probar millones de combinaciones al azar; solo tiene que coger esas palabras y añadirles el típico 2026!, una mayúscula al principio o un símbolo de exclamación al final.

El gran consejo es que te pases a los gestores de contraseñas o, mejor aún, a las passkeys o llaves digitales. Si la clave la genera una máquina de forma aleatoria, no hay rastro web ni palabra corporativa que valga para adivinarla.

Los datos que ha aportado la marca demuestran que no estamos ante un problema que haya afectado de forma aislada o solo a un determinado tipo de objetivo. Afirman que estamos ante una campaña con un alcance global. La lista de países afectados incluye a España, México, Brasil, India, Singapur, Reino Unido, Taiwán, Australia, Rusia, Vietnam y Malasia.

Lo peor de todo, como ves, es que el mensaje te llega desde el chat de un amigo real o un compañero de trabajo porque los hackers han conseguido robar la cuenta de esa persona minutos antes. Al ver que el archivo te lo manda alguien conocido, la mayoría de la gente confía y cae pinchando en el enlace sin pensarlo.

Para que comprendas cómo sucede todo esto realmente, a nivel técnico se basa en un archivo con un formato llamado VBScript que está muy oculto para que el antivirus del ordenador no salte.

Para engañar a la víctima, los atacantes cambian el nombre del documento según el idioma del país que quieren atacar.

Desde Kaspersky explican que, mirando las quejas de los usuarios en redes sociales y los virus analizados, los delincuentes entran en las listas de contactos de las cuentas robadas y empiezan a lanzar el archivo infectado sin miramientos para ver cuántos realmente pueden llegar a caer. De momento, los investigadores todavía no saben qué método usan para robar las cuentas de WhatsApp.

Una vez que la víctima cae en la trampa y descarga el documento en su ordenador, se activa una cadena que funciona por detrás sin que se note nada en la pantalla. El primer archivo se conecta a internet y se descarga otros dos códigos que se encargan de cambiar los ajustes de Windows para quitar el Control de Cuentas de Usuario.

Una vez que el sistema operativo se queda sin ningún tipo de protección, el virus se descarga un paquete completo con un programa llamado ManageEngine Endpoint Central, que sirve para que los informáticos de una compañía controlen ordenadores a distancia, y lo conecta directamente con los servidores de los hackers.

¿Cómo funciona el nuevo virus de WhatsApp y qué peligro corren tus datos personales?

Para que te hagas una idea, el peligro de este ataque es que los ciberdelincuentes no usan un virus de toda la vida, sino que, como ves, instalan una aplicación de control remoto legal para poder acceder a tu PC como si nada, estén donde estén.

Una vez sucede esto, pueden ver todo lo que haces, robar tus contraseñas del banco guardadas en el navegador, ver tus fotos o instalar otros programas que te vigilen, sin que te enteres, para que seas tú mismo el que le dé las claves de toda su vida.

Con todo esto, hay un aspecto importante que debes conoces. Si estás utilizando WhatsApp Web en navegadores como Chrome o Edge, el sistema te obliga a descargar primero el archivo malicioso, lo que te va a dar una pequeña oportunidad de, al menos, sospechar y dar marcha atrás, teniendo en cuenta lo que está sucediendo.

Evita hacer clic y comunícate vía llamada con esa persona para saber si lo ha mandado ella o no.

Sin embargo, no puedes escapar si tienes instalada la aplicación de WhatsApp Desktop en Windows, ya que desde ahí el código oculto se puede abrir de forma directa con un doble clic debido a las herramientas internas del propio sistema operativo.

Aparte de todo esto, parece que el mensaje que llega es de tranquilidad. Parece que ya han encontrado los primeros hilos de los que tirar y todo indica a ataques chinos. Lo más probable es que no tarden demasiado es cerrar esta brecha.

La parte negativa es que, detrás de esta decisión, más allá del miedo que ha generado en población, empresas y gobiernos de todo el mundo, muchos consideran que hay más marketing que realidad.

Sin ir más lejos, el creador de cURL, una de las herramientas más importantes de Internet, quiso hace unos meses desmontar el miedo al apocalipsis de la nueva IA de Anthropic. Afirma que es una increíble campaña de publicidad.

"El gran revuelo en torno a este modelo hasta ahora fue principalmente marketing. No veo ninguna evidencia de que esta configuración detecte problemas con mayor precisión o agudeza que las herramientas anteriores a Mythos. Quizás este modelo sea un poco mejor, pero incluso si lo es, no lo suficiente como para marcar una diferencia significativa en el análisis de código", comenta.

Con dos bandos muy diferenciados (los que afirman que es una eminencia para la ciberseguridad y los que lo tachan de puro humo), un desarrollador independiente ha querido ponerlo a prueba. El experto ha creado un banco de pruebas utilizando código limpio y real para medir las capacidades de los modelos de inteligencia artificial que cualquiera puede usar hoy en día.

El experimento consiste en coger varios errores informáticos muy difíciles que Mythos descubrió en su día, buscar cómo estaba escrito ese programa justo antes de que se arreglara el fallo y ponérselo delante a otras inteligencias artificiales del mercado para ver si son capaces de encontrarlos.

Los primeros datos que consiguió extraer son un tanto agridulces, ya que se dio cuenta de que encontrar fallos dentro de un solo archivo de texto es algo más o menos sencillo, pero la cosa se complica cuando el error está escondido en una maraña de documentos. Lo que sí que pudo comprobar es que estos modelos demostraron tener bastantes puntos flacos, lo que da bastantes puntos a la idea de que Mythos está bastantes pasos por delante.

¿Qué modelos de inteligencia artificial son los mejores para buscar fallos de seguridad según las pruebas?

Tal y como pudo comprobar, y para sorpresa de muchos, los modelos de IA más top del mercado no es que hayan salido especialmente bien parados. No ha ocurrido lo mismo con los modelos chinos y los que son totalmente gratuitos.

En concreto, el modelo GPT-5.5 Pro de OpenAI consiguió un buen porcentaje de aciertos, pero la gran sorpresa la han dado herramientas mucho más baratas como MiMo o DeepSeek, que han conseguido cazar la misma cantidad de errores graves por una décima parte del dinero que cuesta usar los servidores de las marcas americanas.

Por otro lado, destaca algunas inteligencias artificiales como Qwen 3.6, un modelo que el experto pudo ejecutar de forma local en su propio ordenador con 128 gigabytes de memoria RAM. A pesar de funcionar en un PC de casa y ser un poco más lento, encontró más fallos reales y se inventó menos peligros falsos que Gemini 3.1 Pro.

Pero esto no es todo, porque parece que Europa no sale muy bien parada en este experimento. Mistral Medium, el modelo creado por esta empresa de inteligencia artificial de la Unión Europea, demostró ser un auténtico desastre.

Con todo esto, y volviendo al tema que nos compete, las pruebas dejan bien claro que, si bien no es una IA que vaya a tirar por completo la ciberseguridad mundial tal y como muchos quieren hacer ver, sí que es cierto que está un paso por delante de cualquier otro modelo tope de gama del mercado.