¿Qué hace que este ataque sea diferente?

A diferencia de las campañas de phishing convencionales que se basan en un sitio web similar alojado en un servidor, este ataque utiliza una arquitectura residente en el navegador diseñada para reducir su visibilidad tanto para los usuarios como para las herramientas de seguridad.

• No hay ninguna página de phishing que bloquear. El contenido de phishing nunca se muestra como una página web convencional. En cambio, se genera a partir de una URL virtual dentro del navegador de la víctima. Dado que la página solo existe durante esa sesión del navegador, no hay una URL de phishing persistente que las herramientas de seguridad puedan recuperar, analizar o bloquear con antelación.
• Servicios de Microsoft de confianza a lo largo de toda la cadena de ataque. En lugar de dirigir a las víctimas a un sitio web obviamente sospechoso, el ataque las redirige a través de la infraestructura legítima de Microsoft, incluyendo login.microsoftonline.com y Microsoft Teams. Dado que la navegación visible se mantiene dentro de los servicios de Microsoft de confianza, es menos probable que los usuarios y los escáneres automatizados identifiquen la actividad como maliciosa.
• Ejecución de phishing basada en el navegador. Una vez que se carga la página de phishing basada en blobs, se registra un service worker y se ejecuta parte del flujo de trabajo dentro de un iframe aislado. En conjunto, estos componentes ayudan a gestionar las solicitudes, controlar la navegación y coordinar la experiencia de phishing desde la propia sesión del navegador.
• Control dinámico del atacante. La página de phishing recibe instrucciones de la infraestructura de backend mediante mecanismos de mensajería del navegador. Dado que el flujo de trabajo se controla dinámicamente en lugar de mediante redirecciones predefinidas, los operadores pueden modificar los destinos y el comportamiento en tiempo real.
• Mayor legitimidad. El correo electrónico incluye un archivo de invitación de calendario como archivo adjunto inofensivo. Si bien no forma parte del contenido malicioso, contribuye a que el mensaje parezca una comunicación empresarial rutinaria y puede aumentar la confianza del destinatario.

Flujo de ataque

1. La víctima recibe un correo electrónico con el tema de DocuSign.

2. Se adjunta un archivo de invitación de calendario al correo electrónico. No parece malicioso, ya que apunta a un punto final OAuth legítimo de Microsoft. Se incluye para que el correo electrónico parezca una invitación normal a una reunión de negocios o a un calendario.

3. Un parámetro de redireccionamiento diseñado dirige al usuario a Microsoft Teams.

4. Microsoft Teams carga un recurso externo alojado en cdn.bloom[.]io.

5. El navegador convierte ese contenido en una URL de tipo blob.

6. La URL del blob renderiza la página de phishing localmente dentro del navegador.

7. Los service workers, los iframes y los controles de backend gestionan el flujo de trabajo de phishing y la navegación del usuario.

8. La configuración oculta de comando y control demuestra que no se trata de una página independiente, sino que forma parte de una plataforma de phishing gestionada que puede ser operada, actualizada y dirigida de forma centralizada a muchas víctimas a la vez.

Conoce más en el siguiente video

En conjunto, estos mecanismos proporcionan al atacante un control en tiempo real sobre el flujo de trabajo de phishing dentro de la sesión del navegador de la víctima, lo que permite un nivel de flexibilidad y evasión que no suele verse en las páginas de phishing estáticas.

Detección y defensa

Esta campaña demuestra cómo el phishing está evolucionando más allá de los sitios web falsos y los dominios sospechosos, y cómo está reduciendo muchos de los indicadores en los que los equipos de seguridad se han basado tradicionalmente para la detección.

Las organizaciones deben centrarse en identificar comportamientos maliciosos y controles de identidad en lugar de simplemente bloquear URL de phishing conocidas. Las principales medidas defensivas incluyen:

• Supervisar los flujos de autorización de OAuth y las cadenas de redireccionamiento para detectar destinos inusuales o inesperados.
• Inspeccionar la actividad del navegador relacionada con URL de tipo blob, especialmente cuando se utilizan para renderizar páginas de inicio de sesión o flujos de trabajo de autenticación.
• Detección de registros sospechosos de trabajadores de servicios asociados con contenido de origen externo.
• Aplicar métodos de autenticación multifactor resistentes al phishing, como las claves de seguridad FIDO2 y las contraseñas.
• Utilizar controles de seguridad de correo electrónico que analicen la ruta completa de clics en lugar de basarse únicamente en la URL inicial.
• Capacitar a los usuarios para que tengan cuidado con las solicitudes inesperadas de firma de documentos, incluso cuando los enlaces parezcan utilizar la infraestructura de confianza de Microsoft.

A medida que los atacantes trasladan cada vez más sus métodos de phishing al propio navegador, los defensores deberán prestar mayor atención a la protección de la identidad , la seguridad del navegador y la detección de comportamientos maliciosos. El desafío ya no reside simplemente en identificar un sitio web malicioso. En campañas como esta, la página de phishing puede no existir en ningún otro lugar que no sea el navegador de la víctima.

Convertir los procesos comerciales cotidianos en trampas de autenticación.

Lo que hace que Kali365 y otras plataformas similares sean particularmente efectivas es su capacidad para disfrazar los ataques de autenticación como actividades comerciales rutinarias.

Las campañas de ataque Kali365 detectadas por los investigadores de Barracuda incluyen mensajes protegidos o cifrados, enlaces a documentos compartidos, solicitudes de firma electrónica, notificaciones de pago y facturación, alertas de correo de voz, advertencias de almacenamiento del buzón, solicitudes de revisión de cuarentena y notificaciones de cumplimiento y seguridad. Ninguna de estas características es nueva ni innovadora.

En cada caso, la víctima cree estar realizando una tarea laboral normal. La solicitud parece pertinente a su función y coherente con los flujos de trabajo cotidianos. En lugar de pedirle credenciales, se le indica que complete lo que parece ser un paso de verificación legítimo.

Ejemplo de correo electrónico de phishing con un enlace a una página de destino maliciosa.

Cómo funciona el phishing mediante código de dispositivo

El ataque comienza cuando la víctima recibe un correo electrónico de phishing con un enlace a una página web maliciosa. En lugar de mostrar un formulario de inicio de sesión falso de Microsoft, la página muestra un código de verificación del dispositivo e indica al usuario que continúe la autenticación mediante el proceso de inicio de sesión legítimo de Microsoft. La víctima es redirigida a una página auténtica de Microsoft y completa el proceso de inicio de sesión y autenticación multifactor (MFA) con normalidad.

Mensaje de autenticación de ejemplo.

Dado que la autenticación se realiza en la infraestructura de inicio de sesión legítima de Microsoft, los usuarios experimentan un inicio de sesión auténtico en lugar de una página falsa para robar credenciales. El atacante, en cambio, abusa de la sesión autenticada o los tokens resultantes.

La factura que nunca existió

El mecanismo puede comenzar con algo tan cotidiano como una factura.

Imaginemos recibir un correo aparentemente enviado por PayPal. El mensaje informa de un supuesto cargo por cientos de dólares y advierte que la transacción está a punto de procesarse. Para cancelarla, el usuario debe comunicarse con el número indicado.

No hay necesariamente un enlace que revisar. No hay un archivo que descargar. Incluso puede que el correo contenga muy poco texto.

Lo que sí existe es una historia cuidadosamente construida para provocar una reacción inmediata: “alguien está utilizando mi cuenta y tengo que solucionarlo ahora”.

Ese es precisamente el objetivo.

Las campañas analizadas arrojan los siguiente: los atacantes utilizaron facturas falsas, renovaciones de servicios, imágenes incrustadas, mensajes HTML diseñados para parecer comunicaciones legítimas e incluso invitaciones de Google Calendar para presentar cargos ficticios y dirigir a las víctimas hacia números telefónicos controlados por los estafadores.

La creatividad está en el pretexto; el objetivo es siempre el mismo: conseguir que la víctima llame voluntariamente.

Cuando el atacante consigue que seas tú quien inicia el contacto

Aquí está una de las diferencias fundamentales respecto al phishing tradicional.

En un ataque convencional, el delincuente intenta llevar a la víctima hacia una acción específica: hacer clic, iniciar sesión, abrir un archivo o introducir información.

Con el callback phishing, el atacante intenta conseguir algo psicológicamente más poderoso: que la propia víctima crea que está buscando ayuda.

Una vez realizada la llamada, la interacción cambia por completo. El estafador puede hacerse pasar por un representante de soporte, un departamento de facturación o un especialista de seguridad. Puede confirmar algunos datos obtenidos previamente y utilizar esa información para generar credibilidad.

A partir de ahí, la conversación puede escalar hacia solicitudes mucho más peligrosas: proporcionar información personal o financiera, acceder a una cuenta, instalar una herramienta de acceso remoto o realizar determinadas acciones mientras el supuesto agente de soporte guía a la víctima.

El correo electrónico, entonces, no era el objetivo final, era solo la puerta de entrada.

El escaparate del cibercrimen

Los llamados sitios de filtraciones o dedicated leak sites son una pieza habitual dentro del ecosistema de extorsión de datos. Normalmente funcionan como portales donde un grupo criminal publica los nombres de organizaciones que afirma haber comprometido y acompaña esas publicaciones con información destinada a aumentar la presión: una fecha límite, una cuenta regresiva, capturas de pantalla, muestras de archivos o descripciones de los supuestos datos obtenidos. En algunos casos, el objetivo es convencer a la víctima de que debe pagar antes de que la información sea publicada de manera completa.

Este mecanismo adquirió especial relevancia con el ransomware de doble extorsión. En lugar de limitarse a cifrar los sistemas, los atacantes comenzaron a robar información antes de ejecutar el cifrado y utilizaron esa información como una segunda herramienta de presión. Si la organización no paga, amenazan con publicar los datos. Con el tiempo, algunos grupos llevaron esta estrategia todavía más lejos y comenzaron a operar mediante extorsión basada exclusivamente en el robo de información, sin necesidad de cifrar los sistemas de la víctima. En ambos escenarios, el sitio de filtraciones cumple esencialmente la misma función: convertir la información robada o la amenaza de haberla robado en una herramienta de negociación.

Esto explica por qué una publicación debe interpretarse dentro del contexto de la operación criminal. El atacante tiene un incentivo para presentar su éxito de la manera más favorable posible. Puede mostrar una pequeña muestra de información y afirmar que posee mucho más. Puede utilizar datos antiguos, información disponible públicamente o elementos procedentes de incidentes anteriores. También puede publicar el nombre de una organización antes de que exista una confirmación independiente de la intrusión. Nada de esto significa que las publicaciones sean inútiles. Todo lo contrario: pueden proporcionar información extremadamente valiosa, siempre que se entiendan como una fuente de inteligencia y no como un informe forense.

Cuando el ruido empieza a revelar patrones

La verdadera utilidad de estos sitios aparece cuando dejamos de observarlos únicamente como listas de víctimas y comenzamos a analizarlos como una ventana hacia la actividad del adversario. Una publicación individual puede decir poco; decenas o cientos de publicaciones analizadas a lo largo del tiempo pueden revelar tendencias.

Pueden mostrar qué grupos están activos, qué sectores están recibiendo mayor atención, qué regiones están siendo afectadas y qué proveedores aparecen repetidamente relacionados con incidentes. También pueden ayudar a identificar campañas que comienzan a tomar fuerza antes de que sus efectos sean ampliamente conocidos. Para un equipo de seguridad, esta información puede ser mucho más útil que el número absoluto de víctimas anunciado por un grupo criminal.

Imaginemos, por ejemplo, que durante varias semanas comienzan a aparecer organizaciones de una misma industria. A primera vista, podría parecer simplemente otra estadística dentro del enorme volumen de ataques de ransomware. Pero si esas organizaciones comparten un proveedor, una plataforma tecnológica o algún elemento común de su infraestructura, la información adquiere otra dimensión. Lo mismo ocurre cuando aparece un proveedor crítico dentro de la cadena de suministro de una empresa. La publicación no demuestra que nuestra organización esté comprometida, pero sí puede proporcionar una razón concreta para revisar determinados controles, accesos, identidades o dispositivos.

Por eso, la pregunta más útil no es necesariamente cuántas víctimas aparecen en una lista, sino qué tienen en común esas víctimas y qué significa ese patrón para nuestro propio entorno.

El ransomware ya no funciona como antes

Durante mucho tiempo, la imagen más común de un ataque de ransomware era relativamente sencilla: un archivo malicioso ingresaba a un equipo, cifraba la información y posteriormente aparecía una nota solicitando un pago para recuperar los archivos. Sin embargo, las campañas actuales son mucho más complejas. El cifrado suele representar solamente la etapa final de una intrusión que puede haber comenzado mucho antes.

Antes de llegar a ese punto, los atacantes necesitan encontrar una vía de entrada, identificar recursos importantes, comprometer cuentas, escalar privilegios, desplazarse por la red y localizar información que pueda utilizarse para incrementar la presión sobre la víctima. Por ello, una intrusión de ransomware puede entenderse como una cadena de acontecimientos en la que cada etapa genera señales que, correctamente analizadas, pueden permitir detectar el ataque antes de que alcance su objetivo.

The Gentlemen demuestra precisamente esta evolución. El grupo no depende únicamente de un código malicioso sofisticado; su capacidad está en combinar diferentes técnicas y recursos dentro de una operación organizada y escalable.

Nueva superficie de ataque

Los datos recientes sobre vulnerabilidades relacionadas con software de inteligencia artificial muestran que este riesgo ya no es una posibilidad futura. Es un desafío que las organizaciones necesitan comenzar a gestionar desde ahora.

Más IA también significa más vulnerabilidades

Durante 2025 se identificaron cientos de vulnerabilidades asociadas con software relacionado con inteligencia artificial. Y durante los primeros meses de 2026, la cantidad registrada ya había superado ampliamente la cifra del año anterior.

Pero el número por sí solo no es lo más preocupante.

Una parte importante de estas vulnerabilidades alcanza niveles de severidad High o Critical, lo que significa que algunas pueden representar un impacto considerable cuando son explotadas.

Esto cambia la conversación.

El problema ya no consiste únicamente en preguntarnos qué tan poderosa es una IA, sino también qué tan segura es la infraestructura que permite que esa IA funcione.

El problema aparece cuando esa estrategia comienza a crecer sin una planificación clara.

Con el tiempo, una empresa puede terminar utilizando diferentes soluciones para proteger sus servidores, equipos de trabajo, aplicaciones en la nube y plataformas empresariales. Algunas fueron implementadas por el área de TI, otras llegaron junto con un nuevo proveedor y algunas más se incorporaron después de un incidente o como parte de una necesidad específica de algún departamento. Cada decisión pudo haber sido correcta en su momento, pero el resultado final puede ser un entorno fragmentado en el que nadie tiene una visión completa de qué información está protegida, dónde se encuentra cada copia y, sobre todo, qué tan fácil sería recuperarla cuando realmente fuera necesario.

A primera vista, tener varias soluciones de respaldo podría parecer una ventaja. Más herramientas, más copias y más opciones para recuperar información deberían significar una mayor protección. Sin embargo, en ciberseguridad la cantidad no siempre equivale a seguridad. Cuando las herramientas crecen sin una estrategia que las integre, también aumentan las configuraciones que deben administrarse, las credenciales que deben protegerse, las políticas que deben revisarse y los procesos que deben mantenerse actualizados.

Y ahí aparece uno de los costos menos visibles de la proliferación de copias de seguridad: la pérdida de control sobre la propia estrategia de protección.

Cuando tener más copias no significa estar mejor protegido

Imaginemos una situación cotidiana. Una empresa cuenta con una solución para respaldar sus servidores, otra para los equipos de los usuarios y una tercera para determinados servicios en la nube. Además, conserva una plataforma antigua porque todavía contiene información histórica y algunos sistemas cuentan con sus propios mecanismos de respaldo.

En los informes, todo parece estar funcionando correctamente. Las tareas de respaldo aparecen como exitosas y los datos parecen estar almacenados.

Pero llega un incidente.

Un ataque compromete las cuentas de algunos usuarios, varios sistemas dejan de estar disponibles y parte de la información necesita ser recuperada con urgencia. Es entonces cuando la organización descubre que conocer la existencia de una copia no es lo mismo que conocer su verdadera capacidad de recuperación.

¿Dónde está la información crítica? ¿Cuál es la copia más reciente? ¿Qué solución tiene los datos que realmente se necesitan? ¿Cuánto tiempo se conservarán? ¿Quién puede acceder a ellos? ¿Las credenciales utilizadas para administrar los respaldos están protegidas? ¿La copia también podría haber sido afectada por el mismo incidente? Y quizá la pregunta más importante de todas: ¿se ha probado realmente la restauración?

Estas preguntas son importantes porque una estrategia de respaldo no debería evaluarse únicamente por su capacidad para crear copias. Su verdadero valor aparece cuando la empresa necesita utilizarlas.

Una copia que nunca ha sido restaurada, una política que nadie ha revisado o un sistema que permanece activo sin que nadie conozca exactamente qué protege pueden generar una sensación de seguridad mucho mayor que la protección real que ofrecen.

El problema no son las copias, sino la falta de visibilidad

Tener diferentes mecanismos de respaldo no es necesariamente un error. De hecho, determinadas organizaciones necesitan diferentes niveles de protección dependiendo del tipo de información, la criticidad de sus sistemas o los requisitos de continuidad de su negocio.

El problema comienza cuando esas soluciones funcionan como islas.

Cada plataforma puede tener su propia consola, sus propias credenciales, diferentes periodos de retención y distintas formas de reportar el estado de las copias. Mientras tanto, el equipo responsable de TI tiene que dedicar tiempo a revisar cada una de ellas para determinar si todo está funcionando como debería.

Conforme aumenta la complejidad, también aumenta la posibilidad de que algo pase desapercibido.

Puede existir un servidor que no esté incluido en ninguna política de respaldo. Puede haber equipos que continúen utilizando un agente antiguo. Una aplicación crítica puede tener una retención insuficiente. O puede existir una copia perfectamente configurada que nadie haya intentado restaurar durante meses o incluso años.

Esto convierte el problema de los backups en algo mucho más amplio que el almacenamiento de información. En realidad, estamos hablando de visibilidad, administración y continuidad operativa.

Una empresa necesita saber qué activos tiene, cuáles son críticos, qué información contienen, cómo están protegidos y qué sucedería si dejaran de estar disponibles. Sin esa visibilidad, incluso una infraestructura con múltiples soluciones de respaldo puede tener importantes puntos ciegos.

La recuperación debe formar parte de la estrategia de seguridad

Durante mucho tiempo, las copias de seguridad se consideraron principalmente una herramienta para recuperar archivos eliminados o solucionar fallas de hardware. Hoy, esa visión resulta insuficiente.

Los datos se han convertido en uno de los activos más importantes de cualquier organización y, al mismo tiempo, en uno de los principales objetivos de los ciberdelincuentes. Un ataque exitoso no necesariamente busca destruir la información; en muchos casos, busca impedir que la empresa pueda acceder a ella y utilizarla.

Por eso, proteger los respaldos también significa proteger la capacidad de recuperación de la organización.

Esto implica considerar aspectos como el control de acceso, la protección de las credenciales administrativas, la separación de los respaldos respecto de los sistemas productivos, las políticas de retención y, especialmente, las pruebas periódicas de restauración. No basta con que una plataforma informe que una tarea terminó correctamente. Es necesario comprobar que los datos pueden recuperarse de manera íntegra y que el proceso puede ejecutarse dentro del tiempo que el negocio necesita.

Una estrategia de recuperación efectiva tampoco debería depender de que una persona recuerde cómo funciona cada plataforma cuando ocurre una emergencia. Debe existir un proceso claro, documentado y probado que permita actuar con rapidez.

Porque cuando un incidente ocurre, el tiempo deja de ser un concepto abstracto. Cada hora sin acceso a los sistemas puede representar operaciones detenidas, empleados sin capacidad para trabajar, clientes afectados y pérdidas económicas.

Menos complejidad, más control

La respuesta no necesariamente consiste en eliminar todas las herramientas y utilizar una única plataforma para todo. Cada organización tiene necesidades diferentes y, en determinados escenarios, mantener varias tecnologías puede ser completamente válido.

La verdadera oportunidad está en dejar de administrar las copias de seguridad como elementos independientes y comenzar a gestionarlas como parte de una estrategia integral de protección.

Esto significa tener visibilidad sobre los activos, identificar qué información necesita mayor protección, conocer dónde están las copias, controlar quién puede administrarlas y establecer mecanismos que permitan comprobar periódicamente que la recuperación realmente funciona.

También significa evaluar si las herramientas que actualmente utiliza la empresa siguen aportando valor o si simplemente continúan activas porque nadie ha tenido tiempo de revisarlas.

La tecnología debe ayudar a reducir la incertidumbre, no aumentarla.

Por eso, antes de adquirir otra solución de respaldo, vale la pena hacer una pausa y analizar el entorno actual. Saber qué se está protegiendo, qué no, qué herramientas están duplicando funciones y qué tan preparada está la organización para recuperar sus operaciones puede revelar problemas que permanecen ocultos mientras todo funciona con normalidad.

Al final, una empresa no necesita presumir cuántas copias de seguridad tiene. Necesita tener la confianza de que su información crítica estará disponible cuando la necesite.

Porque el verdadero valor de una estrategia de respaldo no está en la cantidad de herramientas, servidores o terabytes almacenados. Está en la capacidad de mantener el control, responder ante un incidente y recuperar la operación sin poner en riesgo la continuidad del negocio.

Y cuando hablamos de ciberseguridad, esa capacidad puede ser tan importante como cualquier otra capa de protección.

La venganza del Pollito

ChonkyChicken es un troyano modular de acceso remoto que combina robo de credenciales, secuestro de sesión, ejecución remota de comandos, reconocimiento de red y vigilancia de usuarios. La infección comienza cuando la víctima sigue las instrucciones de una página de verificación falsa y ejecuta un comando malicioso. Este comando descarga malware adicional, incluyendo la puerta trasera TinyEgg, que finalmente instala ChonkyChicken.

Este malware va más allá del robo de credenciales tradicional al combinar el secuestro de sesiones, el reconocimiento, la persistencia y la vigilancia en un único sistema. Los investigadores han vinculado esta actividad al ecosistema de malware como servicio TAG-195 (Golden Chickens), que proporciona herramientas a diversos grupos de ciberdelincuentes. La capacidad del malware para secuestrar sesiones de navegador activas permite a los atacantes mantener el acceso incluso después de que la víctima restablezca su contraseña.

La campaña también se basa en la ingeniería social de ClickFix y el abuso de utilidades de Windows de confianza, lo que ayuda a los atacantes a eludir la detección.

Las organizaciones se enfrentan a un mayor riesgo cuando los usuarios pueden ejecutar comandos desde el cuadro de diálogo Ejecutar de Windows o cuando las aplicaciones críticas para el negocio dependen en gran medida de la autenticación basada en el navegador.

Un compromiso exitoso puede conducir a:

• Robo de credenciales de navegador.
• Secuestro de sesiones activas de aplicaciones empresariales.
• Persistencia en sistemas comprometidos.
• Reconocimiento de red y movimiento lateral.
• Vigilancia continua de los usuarios afectados.
• Despliegue adicional de malware y vulneración más amplia de la red.

Las organizaciones con una supervisión limitada, controles de privilegios débiles o una segmentación de red insuficiente pueden enfrentarse a un mayor riesgo.

• Restringir o supervisar de cerca la ejecución de los comandos pegados en el cuadro de diálogo Ejecutar de Windows.
• Proporcionar formación a los usuarios centrada en la sensibilización sobre los ataques de ingeniería social al estilo ClickFix.
• Bloquear o restringir la carga de archivos por parte de "regsvr32.exe" en directorios con permisos de escritura para el usuario.
• Supervise los procesos de Chrome o Edge que se inicien con la depuración remota habilitada.
• Supervise la actividad inusual del navegador, las conexiones WebSocket y los indicadores de secuestro de sesión.
• Implemente la autenticación multifactor (MFA) resistente al phishing siempre que sea posible.
• Tras una posible vulneración de la seguridad del navegador, se deben revocar las sesiones activas del navegador, no solo las contraseñas.
• Limite los privilegios administrativos e implemente la segmentación de la red para reducir las oportunidades de movimiento lateral.

Vulnerabilidad CVE-2026-0257

La vulnerabilidad CVE-2026-0257 afecta a los portales y gateways de GlobalProtect bajo ciertas configuraciones. Este fallo permite a un atacante establecer una sesión VPN sin credenciales válidas, haciendo que la conexión parezca legítima.

La vulnerabilidad afecta a las versiones PAN-OS 12.1, 11.2, 11.1 y 10.2 lanzadas antes de las correcciones de Palo Alto, así como a ciertas implementaciones de Prisma Access.

Tras obtener acceso, los operadores de Qilin establecen persistencia, implementan herramientas de acceso remoto como AnyDesk, Ngrok y LogMeIn, recopilan credenciales y extraen datos de Active Directory. A continuación, se desplazan lateralmente por el entorno e implementan ransomware tras deshabilitar los controles de seguridad y borrar los registros.

Esta vulnerabilidad permite a los atacantes obtener acceso VPN de confianza sin credenciales, eludiendo los controles que normalmente se basan en la autenticación de usuario y la autenticación multifactor (MFA).

Los investigadores han vinculado esta actividad con la operación de ransomware como servicio (RaaS) de Qilin . Como resultado, múltiples actores maliciosos podrían aprovechar la vulnerabilidad. Una vez dentro, los atacantes pueden robar credenciales, extraer datos, moverse lateralmente e implementar ransomware. Esto representa un riesgo significativo para las organizaciones con entornos GlobalProtect expuestos.

Las organizaciones que utilizan sistemas PAN-OS o Prisma Access vulnerables con servicios GlobalProtect conectados a Internet corren un alto riesgo.

Una explotación exitosa otorga a los atacantes acceso a los sistemas internos, incluidos servidores, interfaces administrativas y controladores de dominio. Pueden robar credenciales, extraer datos de Active Directory, instalar mecanismos de persistencia, filtrar información confidencial y, en última instancia, desplegar ransomware en todo el entorno.

Los atacantes también utilizan servicios de almacenamiento en la nube para guardar los datos robados. A menudo desactivan Microsoft Defender y borran los registros de eventos para dificultar la detección y la investigación. Incluso después de aplicar las actualizaciones, las organizaciones siguen en riesgo si no finalizan las sesiones VPN activas o restablecen las credenciales comprometidas.

• Actualice inmediatamente todos los sistemas PAN-OS y Prisma Access afectados.
• Finalice todas las sesiones VPN de GlobalProtect activas después de aplicar el parche.
• Revise las configuraciones de GlobalProtect, incluidas las cookies de anulación de autenticación y la configuración de certificados, y ajústelas a las mejores prácticas de Palo Alto.
• Restablezca las credenciales privilegiadas y de dominio si se sospecha de una vulneración de seguridad y aplique la autenticación multifactor (MFA) para la VPN y el acceso administrativo.
• Supervise la actividad sospechosa relacionada con herramientas como PsExec, AnyDesk, Ngrok, LogMeIn, Rclone, rundll32.exe, comsvcs.dll y ntdsutil.exe.
• Envíe los registros a una plataforma SIEM o de registro centralizada para mantener la visibilidad en caso de que se eliminen los registros locales.
• Restrinja el acceso a la VPN y aplique controles de acceso con privilegios mínimos a los sistemas sensibles.

¿Qué es realmente el CPNI?

El CPNI reúne la información que las compañías de telecomunicaciones generan cada vez que utilizamos sus servicios. Incluye elementos como:

• Horarios de llamadas.
• Duración de las comunicaciones.
• Números de origen y destino.
• Registros de mensajes.
• Información relacionada con la cuenta del usuario.
• Datos asociados a la infraestructura utilizada durante la comunicación.

A simple vista parecen datos inofensivos.

Pero cuando se analizan en conjunto cuentan una historia sorprendentemente precisa.

Pueden revelar dónde trabajas, a qué hora sales de casa, con quién tienes contacto frecuente, qué hospitales visitas, qué entidades bancarias utilizas e incluso cuáles son tus hábitos diarios.

En otras palabras, los metadatos pueden convertirse en un mapa completo de tu vida.

El verdadero riesgo no está en el contenido... sino en el contexto

Muchas personas creen que mientras sus conversaciones permanezcan privadas, están protegidas.

La realidad es diferente.

Hoy los atacantes utilizan inteligencia artificial, analítica avanzada y correlación de datos para combinar millones de registros provenientes de distintas fuentes. Lo que para una empresa parecen simples registros técnicos, para un ciberdelincuente representa una mina de información.

Con suficiente información es posible identificar:

• Relaciones personales y profesionales.
• Rutinas de viaje.
• Patrones de trabajo.
• Horarios habituales.
• Ubicaciones frecuentes.

Personas con acceso privilegiado dentro de una organización.

Este tipo de inteligencia resulta extremadamente útil para campañas de phishing dirigido, fraude corporativo, robo de identidad, espionaje industrial e incluso operaciones de inteligencia patrocinadas por Estados.

Cuando los metadatos se convierten en un objetivo

Los últimos años dejaron claro que las compañías de telecomunicaciones también son objetivos prioritarios.

Diversas brechas de seguridad han expuesto registros de millones de usuarios, demostrando que no es necesario robar contraseñas para generar un enorme impacto.

En algunos casos, los atacantes obtuvieron historiales completos de llamadas y mensajes correspondientes a decenas de millones de clientes. Aunque esos registros no incluían el contenido de las conversaciones, sí permitían reconstruir redes de contacto, hábitos de comunicación y patrones de comportamiento a gran escala.

Este tipo de información tiene un enorme valor para organizaciones criminales, grupos de espionaje y actores patrocinados por gobiernos.

La privacidad ya es un asunto de seguridad nacional.

La evolución de las amenazas ha cambiado la percepción sobre los metadatos.

Lo que antes era considerado únicamente un requisito regulatorio, hoy forma parte de la estrategia de ciberseguridad de numerosos países.

Los datos de telecomunicaciones permiten identificar funcionarios, empresas estratégicas, infraestructuras críticas y relaciones entre organizaciones. En manos equivocadas, pueden utilizarse para campañas de espionaje, influencia o planificación de ataques mucho más sofisticados.

Por ello, los organismos reguladores han endurecido las obligaciones para las empresas del sector, exigiendo mejores controles de seguridad, procesos de notificación de incidentes y una mayor protección de la información de los usuarios.

¿Qué puedes hacer para reducir el riesgo?

Aunque ningún usuario puede impedir que un operador de telecomunicaciones sea víctima de un ataque, sí es posible disminuir la exposición de sus datos.

• Algunas recomendaciones incluyen:
• Activar autenticación multifactor (MFA) en todas las cuentas importantes.
• Utilizar contraseñas únicas y robustas.
• Revisar las opciones de privacidad que ofrece el operador telefónico.
• Limitar el intercambio de datos cuando sea posible.
• Evitar redes Wi-Fi públicas sin protección.
• Utilizar aplicaciones con cifrado de extremo a extremo para comunicaciones sensibles.
• Mantenerse informado sobre cambios en las políticas de privacidad de los proveedores.

La información más valiosa no siempre es la más evidente

• La ciberseguridad ya no consiste únicamente en proteger archivos o impedir el robo de contraseñas.
• Los datos que generan nuestras actividades diarias también representan un activo extremadamente valioso.
• Cada llamada, cada mensaje y cada conexión dejan una huella digital que puede utilizarse para construir un perfil detallado de una persona o de toda una organización.
• Por eso, proteger los metadatos ya no es solo una cuestión de privacidad. Es una parte esencial de cualquier estrategia moderna de seguridad.
• En un mundo donde la información es poder, incluso aquello que parece insignificante puede convertirse en el objetivo más valioso para un atacante.