Entradas de blog etiquetadas con ' phishing ' Rss

¿Cuál es la amenaza?

ConnectWise Cloud Backup utiliza una identidad de aplicación de Microsoft 365 para acceder a los datos de los clientes y realizar copias de seguridad. Según investigadores de seguridad y ConnectWise, los atacantes comprometieron las credenciales vinculadas a esta aplicación y las utilizaron para obtener tokens de autenticación en los entornos de Microsoft 365 de clientes y socios.

Los permisos actuales de la aplicación podrían permitir a los atacantes acceder a los datos del buzón, archivos, contenido de Teams e información del directorio. Dado que el acceso está vinculado a la aplicación y no a una cuenta de usuario, cambiar la contraseña por sí solo podría no eliminar el riesgo.

¿Por qué es digno de mención?

Este incidente es relevante porque involucra una aplicación de terceros de confianza con acceso previo a entornos de Microsoft 365. Los atacantes podrían usar esos permisos para obtener tokens de Microsoft Graph y acceder a datos en los inquilinos afectados.

El monitoreo de seguridad ha detectado inicios de sesión no autorizados vinculados a credenciales comprometidas en múltiples entornos de clientes y socios. Este incidente pone de manifiesto los riesgos asociados con identidades de aplicaciones comprometidas e integraciones en la nube de confianza.

¿Cuál es la exposición o riesgo?

Las organizaciones que utilizan ConnectWise Cloud Backup podrían sufrir accesos no autorizados a los datos de Microsoft 365, dependiendo de los permisos otorgados a la aplicación. Los datos expuestos podrían incluir mensajes de correo electrónico, archivos adjuntos, archivos de OneDrive y SharePoint, datos de Teams e información de directorio.

Dado que la vulnerabilidad implica el acceso a través de la aplicación, los atacantes podrían mantener el acceso incluso después de que los administradores cambien las contraseñas de los usuarios. En el peor de los casos, las organizaciones podrían sufrir la filtración de datos, la exposición de comunicaciones confidenciales y otras actividades maliciosas a través de los permisos delegados de la aplicación.

¿Cuáles son las recomendaciones?

1. Deshabilitar el acceso a la aplicación ConnectWise Cloud Backup

En el Centro de administración de Microsoft Entra, localice la aplicación SkyKick / ConnectWise Cloud Backup (ID de aplicación: 506e08f9-6e9a-4da4-942b-a099a03644ae) y deshabilite el acceso de inicio de sesión de usuario. No elimine la aplicación.

2. Revisar la actividad de inicio de sesión del principal de servicio

Revisar los registros de inicio de sesión del principal de servicio para el ID de aplicación afectado e investigar la actividad originada desde las siguientes direcciones IP: "144.172.64.128, 144.172.64[.]99, 144.172.64[.]60", o asociada con agentes de usuario de Python como "Python-urllib/3.12 y python-requests/2.31".

3. Investigue la actividad basada en aplicaciones.

Revise la actividad de las aplicaciones y los servicios de Microsoft 365 en busca de indicios de acceso no autorizado. No se fíe únicamente de los registros de inicio de sesión interactivos de los usuarios.

4. Revocar el acceso no autorizado

Si se detecta actividad sospechosa, revoque las sesiones y tokens activos y elimine los permisos o consentimientos no autorizados asociados con la aplicación afectada.

5. Implemente el bloqueo de red cuando sea apropiado.

Considere bloquear las direcciones IP "144.172.64.128, 144.172.64[.]99 y 144.172.64[.]60" como medida de seguridad adicional. Sin embargo, el bloqueo de red por sí solo podría no impedir la autenticación entre nubes.

Un correo electrónico, dos objetivos.

El phishing tradicional se basa principalmente en la ingeniería social.

El atacante crea un mensaje diseñado para parecer confiable y utiliza diferentes recursos para provocar una acción por parte del destinatario: hacer clic, descargar un archivo, introducir información o seguir determinadas instrucciones.

Pero cuando un asistente de IA comienza a intervenir en el procesamiento de esos mensajes, el correo electrónico deja de ser únicamente una comunicación dirigida a una persona.

También puede convertirse en una entrada de información para un sistema automatizado.

Y eso abre una nueva posibilidad para los atacantes: intentar influir directamente en el comportamiento de la IA.

Las campañas pueden combinar técnicas tradicionales de ingeniería social dirigidas a los usuarios con inyecciones maliciosas de mensajes diseñadas para influir o anular el comportamiento esperado del asistente de IA.

En otras palabras, el mismo correo puede intentar engañar al humano y, al mismo tiempo, manipular a la inteligencia artificial.

Cuando la ingeniería social también apunta a la IA

Una de las características más importantes de este nuevo escenario es que los dos ataques pueden coexistir dentro del mismo mensaje.

Para el usuario, el atacante puede recurrir a técnicas conocidas de ingeniería social. Por ejemplo, utilizar un archivo adjunto protegido con contraseña para intentar generar confianza o dificultar el análisis automático de su contenido.

Pero mientras el usuario observa el correo, el asistente de IA puede estar procesando información completamente diferente.

Si el sistema analiza automáticamente el contenido del mensaje para generar un resumen, determinar su prioridad o ayudar al usuario a gestionar una solicitud, las instrucciones maliciosas incluidas dentro del correo pueden intentar influir en ese procesamiento.

Así, el atacante ya no depende exclusivamente de convencer a una persona.

También puede intentar convencer a la máquina que está ayudando a esa persona.

La IA se convierte en parte de la superficie de ataque

La adopción de asistentes de IA está modificando la manera en que los usuarios interactúan con el correo electrónico.

Un usuario puede recibir cientos de mensajes y apoyarse en la IA para identificar cuáles requieren atención. Puede utilizarla para resumir conversaciones extensas, analizar solicitudes, gestionar invitaciones o facilitar determinadas decisiones empresariales.

Esto aporta eficiencia, pero también significa que los sistemas de IA comienzan a consumir y procesar información procedente directamente de las bandejas de entrada.

Y esa información no siempre es confiable.

Un correo electrónico puede contener contenido diseñado específicamente para influir en el comportamiento del sistema que lo analiza. Por ello, el problema ya no consiste únicamente en determinar si un usuario podría caer en un phishing.

Ahora también es necesario considerar qué puede hacer una IA cuando recibe y procesa ese mismo contenido malicioso.

El nuevo reto para la seguridad del correo

Este cambio obliga a ampliar la perspectiva de protección.

Durante mucho tiempo, la estrategia de seguridad del correo electrónico se ha concentrado en proteger al usuario y detectar mensajes maliciosos antes de que lleguen a su bandeja de entrada.

Esa protección sigue siendo fundamental.

Pero a medida que los asistentes de IA adquieren un papel más importante en la gestión del correo, las organizaciones también deben considerar los sistemas que leen, interpretan y procesan esa información.

La bandeja de entrada deja de ser únicamente un espacio donde una persona recibe mensajes. Puede convertirse también en una fuente de datos para sistemas automatizados con capacidad de analizar información y participar en determinadas acciones.

Por eso, proteger el correo electrónico implica pensar más allá del usuario final.

Proteger al usuario y también a la inteligencia artificial

El phishing está evolucionando porque también está cambiando la forma en que trabajamos con el correo electrónico.

Los atacantes continúan utilizando técnicas de ingeniería social para manipular a las personas, pero ahora pueden intentar aprovechar una segunda capa: los sistemas de IA que procesan los mensajes antes, durante o después de que lleguen al usuario.

El análisis indica que un correo malicioso puede tener más de un objetivo.

Para las organizaciones, esto significa que la seguridad debe contemplar no solo la protección de los usuarios y sus bandejas de entrada, sino también los sistemas de inteligencia artificial que consumen y procesan los datos del correo electrónico.

Porque cuando la IA se convierte en parte de la forma en que gestionamos nuestros mensajes, también puede convertirse en parte de la superficie que debemos proteger.

El phishing ya no busca únicamente que hagas clic. Ahora también puede intentar que tu IA haga lo que el atacante quiere.

Como limitar el riesgo de ser vulnerable

Barracuda Email Gateway Defense ayuda a identificar y bloquear mensajes sospechosos, analizar archivos adjuntos en entornos aislados y aplicar controles en torno a tipos de archivos adjuntos de alto riesgo, incluidos los archivos protegidos con contraseña.

La IA conductual ayuda a identificar intentos de phishing, suplantación de identidad por correo electrónico empresarial y otros ataques que pueden eludir la detección tradicional basada en firmas.

Cuando una cuenta se ve comprometida, el sistema de respuesta automatizada ante amenazas puede contener rápidamente la amenaza eliminando los correos electrónicos maliciosos, deshabilitando el acceso sospechoso y corrigiendo los indicadores de compromiso.

NetScaler puede convertirse en la puerta de entrada.

¿Qué está ocurriendo con Citrix NetScaler?

Las dos vulnerabilidades afectan a productos utilizados habitualmente para proporcionar acceso remoto y servicios de entrega de aplicaciones.

El riesgo aumenta porque los dispositivos NetScaler suelen encontrarse directamente expuestos a Internet. Si un atacante consigue explotarlos, puede obtener una posición privilegiada desde la cual intentar avanzar hacia otros recursos de la organización.

Las vulnerabilidades identificadas son:

CVE-2026-88771 — CVSS 9.5

Se trata de una vulnerabilidad relacionada con una validación incorrecta de entradas que puede permitir a un atacante no autenticado ejecutar comandos arbitrarios.

En otras palabras, el atacante no necesita contar previamente con credenciales válidas para intentar aprovechar la vulnerabilidad.

CVE-2026-88772 — CVSS 9.5

La segunda vulnerabilidad corresponde a un desbordamiento de memoria que puede provocar ejecución remota de código o una condición de denegación de servicio.

Esta vulnerabilidad está asociada a dispositivos con DTLS habilitado, una configuración especialmente relevante porque DTLS está habilitado de forma predeterminada para los servidores virtuales VPN.

El verdadero riesgo: NetScaler como puente hacia la red interna

Aquí es donde el escenario se vuelve especialmente preocupante.

Los investigadores no solo observaron la explotación de las vulnerabilidades. También identificaron el uso de web shells y herramientas de tunelización.

La tunelización permite redirigir tráfico a través de un dispositivo comprometido. Desde la perspectiva del atacante, esto puede convertir un NetScaler expuesto a Internet en una especie de puente hacia recursos que originalmente no estaban disponibles desde el exterior.

Imaginemos el escenario:

Internet → NetScaler vulnerable → acceso inicial → túnel → red interna

Por eso, limitar el análisis a “¿el servidor fue comprometido?” puede ser insuficiente.

La pregunta debería ser:

“Si este dispositivo fue comprometido, ¿hasta dónde pudo llegar el atacante?”

Una vez conseguido el acceso, los atacantes pueden intentar descubrir sistemas internos, acceder a recursos adicionales, robar credenciales o mantener persistencia dentro del entorno.

Más de 50,000 instancias podrían estar expuestas

El alcance potencial de la campaña también resulta preocupante.

Hasta el 27 de septiembre, Palo Alto Networks había identificado más de 50,277 instancias de NetScaler expuestas a Internet que podrían ser vulnerables.

Además, el Centro Nacional de Ciberseguridad de los Países Bajos (NCSC-NL) informó haber recibido información sobre estas vulnerabilidades a través de un socio europeo y señaló actividad de explotación contra clientes de Citrix en diferentes partes del mundo.

Esto cambia completamente la prioridad.

No estamos ante una vulnerabilidad que simplemente deba añadirse a la próxima ventana de mantenimiento.

Existe evidencia de explotación activa.

Y cuando un dispositivo de acceso remoto está involucrado, el tiempo entre la explotación inicial y el movimiento hacia otros sistemas puede ser crítico.

¿Qué versiones de NetScaler están afectadas?

Las vulnerabilidades afectan a diferentes ramas de NetScaler ADC y NetScaler Gateway:

• NetScaler 14.1

• NetScaler 13.1

• NetScaler 14.1 FIPS

• NetScaler 13.1 FIPS/NDcPP

Un aspecto especialmente importante es que CVE-2026-88771 afecta a todas las implementaciones de NetScaler ADC y NetScaler Gateway y no requiere que se active una función adicional.

En el caso de CVE-2026-88772, el riesgo está asociado a implementaciones con DTLS habilitado. Dado que esta configuración está habilitada de forma predeterminada para servidores virtuales VPN, los entornos NetScaler Gateway deben considerarse especialmente relevantes.

¿Qué deben hacer las organizaciones?

La prioridad parchear cuando antes.

Producto / versión Versión corregida

NetScaler ADC / Gateway 14.1 14.1-73.37 o posterior

NetScaler ADC / Gateway 13.1 13.1-64.23 o posterior

NetScaler ADC 14.1 FIPS 14.1-73.37 FIPS o posterior

NetScaler ADC 13.1 FIPS / NDcPP 13.1-37.279 o posterior

Sin embargo, aplicar el parche no sería el unico paso.

¿Y si el atacante ya estaba dentro antes de instalar el parche?

Antes o durante el proceso de remediación, las organizaciones deberían revisar los avisos de Citrix y buscar indicadores de compromiso relacionados con la explotación.

También es importante investigar:

• Actividad sospechosa en los dispositivos NetScaler.

• Presencia de web shells.

• Herramientas o conexiones de tunelización inesperadas.

• Conexiones anómalas desde NetScaler hacia sistemas internos.

• Cambios no autorizados en configuraciones.

• Credenciales potencialmente expuestas.

• Sesiones activas que pudieran haber sido comprometidas.

• Actividad posterior a la explotación.

Si existe evidencia de compromiso, la respuesta debe ir más allá de actualizar el dispositivo.

Puede ser necesario revisar credenciales, sesiones, accesos privilegiados y actividad lateral dentro de la red.

NetScaler es el objetivo. La organización completa puede ser el premio

Este incidente deja una lección importante para cualquier organización que utilice dispositivos de acceso remoto expuestos a Internet.

El riesgo de una vulnerabilidad crítica no se limita al componente afectado.

Un atacante puede utilizar ese primer punto de entrada para intentar avanzar hacia sistemas que contienen identidades, aplicaciones, información sensible y datos corporativos.

Por eso, la estrategia de defensa debe contemplar dos momentos:

Antes del compromiso: reducir la superficie de ataque, mantener los sistemas actualizados, aplicar controles de acceso y monitorizar los activos expuestos.

Después de una posible explotación: detectar actividad anómala, investigar indicadores de compromiso, proteger credenciales y sesiones, contener el movimiento lateral y responder rápidamente.

La ventana de oportunidad del atacante también es una ventana de oportunidad para defenderse

Las vulnerabilidades CVE-2026-88771 y CVE-2026-88772 demuestran nuevamente por qué los dispositivos expuestos a Internet requieren una atención prioritaria.

Con una puntuación CVSS de 9.5, explotación activa y evidencia de técnicas diseñadas para acceder más allá del dispositivo comprometido, el mensaje para las organizaciones es sencillo:

No basta con saber que existe una vulnerabilidad. Hay que saber si ya fue explotada.

Actualizar NetScaler es un paso fundamental. Pero verificar el entorno, investigar posibles indicios de compromiso y evaluar qué pudo ocurrir después de una intrusión es igual de importante.

Porque cuando el perímetro cae, la verdadera batalla comienza dentro de la red.

Cuando un correo llega a la bandeja de entrada: ¿te encuentras preparado?

Parece legítimo. El remitente es conocido. El mensaje está perfectamente redactado. La solicitud tiene sentido y el enlace conduce a una página que prácticamente no se distingue de la original.

Un empleado hace clic.

Y en cuestión de segundos, lo que parecía una acción cotidiana puede convertirse en una puerta de entrada para un atacante.

Este escenario resume uno de los principales desafíos de la ciberseguridad actual: los ciberdelincuentes ya no dependen únicamente de errores evidentes para engañar a las personas.

La inteligencia artificial les permite crear mensajes más convincentes, personalizar campañas y aumentar la escala de sus operaciones. Por eso, durante el Mes de la Concienciación sobre Ciberseguridad 2026, la conversación debe ir más allá de enseñar a los usuarios a reconocer un correo sospechoso.

2026: "No se lo pongas tan fácil"

El Mes de la Concienciación sobre Ciberseguridad se celebra cada octubre y está liderado por la National Cybersecurity Alliance y CISA. Para 2026, la campaña utiliza el lema “Don’t Make It Easy for Them”, o “No se lo pongas fácil”. El mensaje busca impulsar hábitos de seguridad que se repitan durante todo el año, no únicamente durante octubre.

La campaña propone cuatro acciones fundamentales:

• Utilizar contraseñas seguras y un gestor de contraseñas.

• Activar la autenticación multifactor (MFA).

• Reconocer y reportar estafas.

• Mantener actualizados el software y los dispositivos.

Son recomendaciones conocidas. Y precisamente por eso pueden parecer demasiado sencillas.

Pero la sencillez no significa que hayan perdido importancia.

Una contraseña reutilizada, una actualización pendiente, una solicitud de pago que nadie verifica o un mensaje sospechoso que no se reporta pueden convertirse en oportunidades para un atacante.

El objetivo no es hacer que las personas sean perfectas. Es hacer que sea mucho más difícil que un error termine convirtiéndose en un incidente.

El phishing ya no necesita parecer sospechoso

Durante años, uno de los consejos más repetidos en materia de seguridad fue aprender a identificar señales de alerta: errores ortográficos, mensajes extraños, remitentes desconocidos o solicitudes poco creíbles.

El problema es que esas señales son cada vez menos confiables.

La IA está facilitando la creación de campañas de phishing más sofisticadas y personalizadas. Un atacante puede generar comunicaciones con un lenguaje más natural, adaptar el contenido a su objetivo y producir campañas a una escala que antes requería mucho más tiempo y recursos.

Y el correo puede ser solo el comienzo.

Una campaña puede intentar robar credenciales, acceder a una cuenta de Microsoft 365, inducir una transferencia bancaria o comprometer una identidad que posteriormente permita al atacante acceder a otros recursos.

Por eso, el usuario ya no debe considerarse únicamente el último eslabón de la cadena de seguridad.

También es uno de los principales objetivos.

El nuevo perímetro está en la identidad

La seguridad empresarial ya no puede depender únicamente de proteger servidores, dispositivos y redes.

Las identidades se han convertido en un objetivo prioritario.

Cuando un atacante consigue una contraseña, roba una sesión o compromete una cuenta, puede intentar acceder a recursos legítimos utilizando credenciales legítimas. Y eso cambia completamente el problema.

Ya no estamos necesariamente frente a un archivo malicioso que un antivirus debe detectar.

Estamos frente a alguien intentando parecer un usuario autorizado.

Aquí, la autenticación multifactor desempeña un papel fundamental. Pero MFA debe formar parte de una estrategia más amplia de protección de identidad: controlar accesos, proteger cuentas privilegiadas, detectar comportamientos anómalos y reducir las oportunidades de abuso de credenciales.

Porque proteger la identidad significa proteger algo más importante que un dispositivo:

significa proteger el acceso a toda la organización.

Y sí: el correo electrónico sigue siendo una de las puertas principales

Podemos hablar de inteligencia artificial, robo de identidad, ransomware o ataques cada vez más sofisticados.

Pero existe un elemento que continúa apareciendo una y otra vez:

el correo electrónico.

Phishing, robo de credenciales, fraude de facturas, enlaces maliciosos y ataques de compromiso de correo empresarial buscan explotar una acción humana aparentemente normal.

Por eso, algunos hábitos siguen siendo esenciales:

Verifica.

Si una solicitud parece inusual, confirma su legitimidad.

No tengas prisa.

La urgencia es una de las herramientas favoritas de la ingeniería social.

Comprueba por otro canal.

Una transferencia bancaria o un cambio de cuenta no debería validarse únicamente porque llegó por correo.

Reporta.

Un mensaje sospechoso que se reporta puede ayudar a evitar que otro empleado caiga en el mismo ataque.

Pero existe otra parte de la ecuación.

No podemos esperar que los empleados detecten absolutamente todas las amenazas.

La tecnología debe intervenir antes de que el usuario tenga que tomar la decisión.

Ahí entra una capa avanzada de seguridad de correo electrónico capaz de analizar mensajes, identificar comportamientos sospechosos y bloquear amenazas antes de que lleguen a la bandeja de entrada.

La concienciación no debe terminar cuando termina el curso

Aquí está la diferencia entre concienciación y resiliencia.

La concienciación enseña qué hacer.

La resiliencia prepara a la organización para lo que ocurre cuando algo sale mal.

Porque incluso el empleado mejor capacitado puede cometer un error.

Puede hacer clic.

Puede abrir un archivo.

Puede aprobar una solicitud.

Puede introducir sus credenciales en el sitio equivocado.

La pregunta importante es:

¿Qué sucede después?

Una organización resiliente no depende de una única barrera. Construye varias capas que puedan detener, limitar o contener un ataque.

Eso implica combinar:

• Concienciación y capacitación, para reducir el riesgo humano.

• Protección de identidad, para evitar que las credenciales comprometidas se conviertan en acceso permanente.

• Seguridad avanzada del correo electrónico, para detener amenazas antes de que lleguen al usuario.

• Protección de endpoints, para contener comportamientos maliciosos.

• Protección de datos, para reducir el impacto de una intrusión.

• Copias de seguridad y recuperación, para recuperar operaciones cuando sea necesario.

• Respuesta ante incidentes, para actuar rápidamente cuando las demás barreras sean superadas.

Ninguna capa es perfecta.

El objetivo es que el atacante tenga que superar muchas más.

Octubre termina. El riesgo no.

El Mes de la Concienciación sobre Ciberseguridad no debería convertirse en un recordatorio anual que desaparece cuando termina octubre.

Debe ser el momento para revisar cómo está preparada realmente una organización.

¿Los empleados saben reconocer una amenaza?

¿Las cuentas críticas están protegidas?

¿La autenticación multifactor está correctamente implementada?

¿El correo electrónico cuenta con protección avanzada?

¿Los endpoints pueden detectar y contener comportamientos sospechosos?

¿Existe un plan para responder cuando alguien comete un error?

Porque la ciberseguridad moderna no consiste en conseguir que nadie se equivoque.

Consiste en construir una organización capaz de resistir cuando alguien lo hace.

Ese es el verdadero salto de la concienciación a la resiliencia.

Y en un escenario donde la IA permite a los atacantes crear amenazas cada vez más convincentes, hacerles la vida difícil ya no es únicamente una cuestión de enseñar a las personas qué evitar. Es construir suficientes capas de protección para que un solo clic no sea suficiente para comprometerlo todo.

EvilTokens: cuando el phishing se convierte en un servicio

EvilTokens funcionaba bajo un modelo que ya es habitual en el ecosistema criminal: el Phishing-as-a-Service. En lugar de que cada atacante tenga que desarrollar desde cero sus propias herramientas, estas plataformas proporcionan infraestructura y capacidades listas para lanzar campañas de phishing.

En este caso, una de las técnicas empleadas fue el phishing mediante código de dispositivo, que abusa de un flujo legítimo de autenticación diseñado originalmente para dispositivos con interfaces limitadas, como televisores inteligentes, impresoras o sistemas de videoconferencia.

El usuario recibe un código y debe introducirlo desde otro dispositivo para completar la autenticación. Para el atacante, este proceso abre una oportunidad: mediante ingeniería social, puede presentar una solicitud maliciosa como si fuera un procedimiento legítimo de inicio de sesión.

El resultado es especialmente relevante porque la víctima puede estar interactuando con un flujo de autenticación real, mientras el atacante intenta aprovechar ese proceso para obtener acceso.

El nuevo acelerador del cibercrimen: la IA

El desmantelamiento de EvilTokens también revela otra tendencia que está cambiando el ritmo al que evolucionan las amenazas: la utilización de herramientas de inteligencia artificial para desarrollar código.

Cuando una plataforma criminal queda fuera de servicio, tradicionalmente reconstruir su infraestructura requería tiempo, conocimientos técnicos y recursos. Las herramientas de codificación asistida por IA pueden reducir algunas de esas barreras.

Esto no significa que la IA cree automáticamente una operación criminal completa. Significa que determinadas tareas de desarrollo pueden realizarse más rápido y con menor esfuerzo, facilitando que los atacantes reemplacen componentes que han sido identificados y neutralizados.

Y ahí aparece un cambio importante: la infraestructura criminal comienza a comportarse como un sistema resiliente.

Si una plataforma cae, otra puede ocupar su lugar.

Blockchain, infraestructura distribuida y bajos costes: una combinación difícil de perseguir

La evolución no termina en la IA. Los operadores criminales también recurren a infraestructura de bajo coste y mecanismos descentralizados que pueden dificultar la identificación y el seguimiento de los recursos utilizados durante una campaña.

Esto crea una situación complicada para los defensores. Incluso cuando una infraestructura es localizada y desactivada, el coste de reemplazarla puede ser suficientemente bajo como para que la operación continúe bajo una nueva forma.

Por eso, el desmantelamiento de EvilTokens resulta relevante más allá de la propia plataforma: muestra que combatir el cibercrimen ya no consiste únicamente en encontrar un servidor y apagarlo.

Se trata de identificar y afectar todo el ecosistema que permite que estas operaciones continúen.

¿Significa esto que los desmantelamientos ya no funcionan?

No. Interrumpir plataformas criminales sigue siendo una herramienta importante para reducir la capacidad operativa de los atacantes.

El desafío es que una operación aislada puede tener un efecto temporal si no se acompaña de acciones contra otros elementos de la cadena: infraestructura, proveedores, credenciales comprometidas, canales de distribución y servicios utilizados para facilitar los ataques.

El caso de EvilTokens deja precisamente esa lección: el objetivo no debería ser únicamente derribar una plataforma, sino dificultar que el ecosistema pueda reconstruirse inmediatamente después.

La IA está acelerando la capacidad de desarrollo. Los servicios en la nube reducen los costes de infraestructura. Los modelos PhaaS permiten que más actores accedan a herramientas sofisticadas. Y las técnicas de autenticación legítimas pueden convertirse en nuevas superficies de ataque.

El resultado es un escenario donde detener una amenaza puede ser más fácil que evitar que aparezca su reemplazo.

Para las organizaciones, esto refuerza la necesidad de no depender exclusivamente de las acciones de desmantelamiento. La protección debe asumir que las campañas pueden reaparecer, cambiar de infraestructura y utilizar nuevas técnicas.

Porque en la nueva economía del cibercrimen, derribar al atacante una vez no garantiza que no vuelva a intentarlo mañana.

¿Cuál es la amenaza?

Feral Wolf es un grupo de ransomware con fines lucrativos que ataca a organizaciones explotando sistemas empresariales expuestos, configuraciones débiles y software vulnerable. El grupo lleva a cabo un extenso reconocimiento, establece accesos encubiertos, se esfuerza por ocultar su actividad e implementa el ransomware GenieLocker.

¿Por qué es digno de mención?

El grupo enruta el tráfico de comando y control a través de túneles basados ​​en MQTT, Matrix y RDP para mimetizarse con la actividad legítima, lo que dificulta su detección. Los atacantes también utilizan herramientas y scripts antiforense para borrar registros, historial de línea de comandos y otros elementos clave, lo que puede obstaculizar la respuesta a incidentes y las investigaciones.

Un ataque exitoso puede provocar la vulneración de toda la red, la interrupción de la actividad empresarial, el cifrado de datos, la pérdida de pruebas forenses y prolongados esfuerzos de recuperación.

¿Cuál es la exposicion o riesgo?

El riesgo se deriva de una combinación de vulnerabilidades y prácticas de seguridad deficientes. La vulnerabilidad CVE-2023-22515 proporciona acceso inicial a través de Confluence, mientras que las vulnerabilidades CVE-2021-4034 y CVE-2026-31431 permiten la escalada de privilegios una vez que los atacantes obtienen acceso a un host.

En la actividad reportada, los atacantes también explotaron sistemas 1C: Enterprise con seguridad deficiente y credenciales de base de datos débiles. Esto demuestra que la aplicación de parches por sí sola no es suficiente cuando las interfaces administrativas permanecen expuestas o carecen de autenticación.

¿Cuáles son las recomendaciones?

La seguridad moderna necesita reducir la dependencia de que cada usuario sea capaz de reconocer una amenaza. La capacitación y la concientización siguen siendo importantes, pero una organización no debería dejar toda la responsabilidad en el momento del clic. Por lo que las siguientes recomendaciones permiten mitigar el impacto de la vulnerabilidad:

• Aplique parches o actualice las instancias afectadas de Confluence Server y Data Center, e investigue si existen cuentas o complementos no autorizados.
• Actualizar los núcleos de Linux y los paquetes polkit para solucionar las vulnerabilidades CVE-2021-4034 y CVE-2026-31431.
• En la medida de lo posible, elimine la exposición directa a Internet de Confluence, los gestores de clústeres 1C, las bases de datos y los servicios administrativos.
• Implemente una autenticación sólida para 1C:Enterprise, PostgreSQL y otras interfaces administrativas.
• Revise Docker, PostgreSQL y los controles de aislamiento de host/red para evitar el movimiento de contenedores entre hosts.

Phishing en tu correo electrónico

La IA está compitiendo por el presupuesto de TI

La adopción de inteligencia artificial requiere inversión. Infraestructura, plataformas, software especializado, procesamiento de datos y nuevas herramientas forman parte de una ecuación que está obligando a muchas organizaciones a redistribuir sus recursos.

De acuerdo con la encuesta, 18 % de los participantes afirmó que su organización ha reasignado parte del presupuesto destinado a software de seguridad para financiar la adopción de IA. A primera vista, podría parecer una señal de presión para los equipos de ciberseguridad. Sin embargo, el comportamiento de otras áreas de TI muestra una diferencia importante.

Mientras el gasto en software de seguridad continúa creciendo, 47 % de los encuestados señaló reducciones en herramientas de operaciones y monitorización de TI, y 46 % reportó recortes en herramientas de productividad y colaboración para financiar iniciativas de IA.

La diferencia también aparece cuando se analiza el personal. Las organizaciones están replanteando sus necesidades en soporte técnico y mesa de ayuda, desarrollo de software, operaciones, infraestructura y administración de TI. En ciberseguridad, en cambio, la reducción prevista es menor: 23 % de los encuestados espera disminuir su plantilla de profesionales de seguridad.

La razón puede encontrarse en un aspecto fundamental: la misma tecnología que permite automatizar tareas también está proporcionando nuevas capacidades a los atacantes.

Cuando los atacantes también tienen IA

La discusión sobre inteligencia artificial suele concentrarse en cuánto trabajo puede automatizar una organización. Sin embargo, existe otra pregunta que resulta igual de importante: ¿qué ocurre cuando esa misma capacidad está disponible para los ciberdelincuentes?

La IA puede ayudar a acelerar la creación de contenido malicioso, automatizar procesos, analizar grandes cantidades de información y adaptar ataques con una velocidad que difícilmente podría alcanzarse mediante procesos completamente manuales.

Esto cambia las reglas del juego. Un atacante no necesariamente necesita reemplazar todas sus herramientas actuales por sistemas de IA; basta con utilizarla para aumentar la velocidad, escala y eficiencia de operaciones que ya realizaba.

Para las empresas, esto significa que detectar una amenaza después de que el daño ocurrió resulta cada vez menos viable. La seguridad necesita evolucionar hacia modelos capaces de analizar grandes volúmenes de eventos, identificar comportamientos anómalos y responder antes de que una amenaza pueda convertirse en un incidente mayor.

Y aquí aparece una de las principales paradojas de la transformación impulsada por IA: la automatización puede reducir determinadas tareas manuales, pero también puede generar más trabajo de seguridad que nunca.

Menos personal no significa necesariamente menos trabajo

La encuesta de ETR muestra que 96% de las organizaciones utiliza IA en algún nivel. Al mismo tiempo, 34 % está limitando el crecimiento futuro de sus plantillas y 20 % afirma estar reduciendo estratégicamente su personal a medida que adopta estas tecnologías.

Sin embargo, la inversión general en TI continúa creciendo. Los encuestados reportaron un incremento interanual de 3.8 % en el gasto de TI, mientras que 72 % afirmó que su organización planea continuar aumentando esa inversión.

Esto plantea una situación interesante. Las empresas pueden estar buscando hacer más con menos personas, pero la tecnología también permite que los equipos existentes asuman tareas que anteriormente simplemente no podían realizar por falta de tiempo o recursos.

En ciberseguridad, esta diferencia es especialmente importante. Una herramienta automatizada puede analizar miles de eventos en cuestión de segundos, pero alguien debe definir qué se considera una amenaza, establecer las reglas de respuesta, investigar los casos complejos y validar que las acciones automatizadas sean las adecuadas.

La IA puede convertirse en un multiplicador de capacidades. No necesariamente en un sustituto absoluto del conocimiento especializado.

El reto es todavía mayor para las pymes

Para las pequeñas y medianas empresas, esta transformación puede representar tanto una oportunidad como un desafío.

Durante años, muchas pymes han tenido dificultades para contratar y retener profesionales especializados en ciberseguridad. Los puestos vacantes podían permanecer abiertos durante meses, mientras las empresas competían por un grupo limitado de especialistas.

La incorporación de IA y automatización puede ayudar a reducir parte de esa presión. Las organizaciones pueden utilizar tecnología para automatizar tareas repetitivas, priorizar alertas y proporcionar mayor visibilidad sobre lo que ocurre en sus entornos.

Pero automatizar no elimina la necesidad de experiencia. Al contrario, cuando las amenazas se vuelven más rápidas y sofisticadas, comprender lo que ocurre detrás de una alerta puede ser todavía más importante.

Para una pyme, la pregunta ya no debería limitarse a cuántas personas necesita incorporar a su equipo de seguridad. También debe considerar cuánto trabajo puede automatizar, qué capacidades necesita mantener internamente y qué funciones puede respaldar mediante servicios especializados.

La nueva ecuación de la ciberseguridad

Todavía es demasiado pronto para determinar exactamente cómo transformará la IA al mercado laboral de ciberseguridad. Lo que sí comienza a quedar claro es que la ecuación no puede reducirse simplemente a "IA = menos personas".

Los atacantes también adoptarán estas tecnologías. Si consiguen utilizarlas para aumentar simultáneamente el volumen y la sofisticación de sus ataques, las organizaciones necesitarán capacidades de defensa capaces de responder a esa misma escala.

Esto podría llevar a un escenario donde humanos y sistemas de IA trabajen conjuntamente: agentes automatizados encargándose de grandes cantidades de eventos y tareas repetitivas, mientras los profesionales especializados supervisan, investigan, toman decisiones y gestionan los casos que requieren contexto y criterio.

El verdadero desafío estará en administrar correctamente ese ecosistema. Porque incluso los sistemas automatizados necesitan supervisión, reglas, objetivos y controles. Una organización no puede asumir que una herramienta será capaz de tomar siempre la decisión correcta simplemente porque utiliza inteligencia artificial.

La ciberseguridad no desaparece: evoluciona

La llegada de la IA está obligando a las empresas a reconsiderar cómo distribuyen sus presupuestos, cómo contratan personal y qué tareas pueden automatizar. Pero la necesidad de proteger la información y las operaciones permanece.

De hecho, a medida que las organizaciones incorporan más inteligencia artificial, también necesitan asegurarse de que sus sistemas, usuarios, aplicaciones y datos estén protegidos frente a nuevas formas de ataque.

La tendencia apunta hacia una ciberseguridad más automatizada, más orientada al análisis continuo y con mayor capacidad de respuesta. El profesional de seguridad no necesariamente desaparecerá; su función tendrá que evolucionar junto con las herramientas que utiliza.

Para las empresas, especialmente las pymes, esto significa que invertir en ciberseguridad no se trata únicamente de aumentar el número de personas o adquirir más herramientas. Se trata de construir una estrategia capaz de combinar tecnología, automatización, inteligencia y experiencia humana.

Porque si la IA permite que las amenazas evolucionen a la velocidad de las máquinas, la defensa también tendrá que aprender a hacerlo.

Ataques sobre el Linux más complejos que nunca

La vulnerabilidad ZcopyReaper (CVE-2026-43502) es un fallo de escalada de privilegios local en la ruta de envío zerocopy de RDS (Reliable Datagram Sockets) del kernel de Linux. Este problema existe desde la versión 4.17 del kernel de Linux.

Los atacantes pueden aprovechar un manejo inadecuado de la memoria durante el proceso de limpieza de RDS para obtener privilegios de administrador. Una vez elevados, pueden acceder a datos confidenciales, instalar malware y moverse lateralmente por las redes corporativas.

La publicación de una prueba de concepto pública aumenta el riesgo de explotación y reduce la barrera técnica para los atacantes.

¿ZcopyReaper?

La vulnerabilidad ZcopyReaper es especialmente preocupante porque afecta a los sistemas Linux desde la versión 4.17 del kernel. Como resultado, muchos sistemas implementados a lo largo de varios años podrían ser vulnerables.

La disponibilidad de una prueba de concepto pública aumenta la probabilidad de ataques activos. Linux también impulsa infraestructuras críticas, entornos en la nube y servidores empresariales en todo el mundo, lo que convierte a esta amenaza en una prioridad para las organizaciones que dependen de sistemas basados en Linux.

¿Cuál es la exposición o el riesgo?

Las organizaciones que utilizan versiones afectadas del kernel de Linux (4.17 y posteriores) se enfrentan a un riesgo significativo debido a la vulnerabilidad ZcopyReaper (CVE-2026-43502). Si se explota, los atacantes con acceso local pueden obtener privilegios de administrador y tomar el control total del sistema. Este acceso puede permitir el acceso no autorizado a datos, la instalación de malware, la creación de puertas traseras persistentes y la modificación de configuraciones críticas del sistema.

Los atacantes también pueden usar un sistema comprometido como punto de entrada para moverse lateralmente a través de las redes corporativas. La vulnerabilidad pública de prueba de concepto (PoC) aumenta aún más el riesgo al hacer que la explotación sea más accesible.

Los entornos en la nube, los centros de datos y los servidores empresariales que ejecutan sistemas Linux sin actualizar son especialmente vulnerables.

Recomendaciones para reducir el riesgo

• Actualiza a la última versión del kernel de Linux que soluciona la vulnerabilidad CVE-2026-43502.
• Desactive o incluya en la lista negra el módulo rds.ko si su entorno no requiere Reliable Datagram Sockets (RDS).
• Restrinja el acceso de los usuarios a los sistemas críticos e implemente controles de acceso con privilegios mínimos.
• Mejorar la monitorización y el registro de eventos para detectar intentos de escalada de privilegios y actividades inusuales.
• Revise las configuraciones del sistema y aplique las mejores prácticas de refuerzo de seguridad de Linux.
• Manténgase al tanto de las directrices y las actualizaciones de los proveedores de Linux, incluidos Red Hat, Ubuntu y SUSE.
• Pruebe los parches en un entorno de prueba antes de implementarlos en los sistemas de producción.

KATARU... está atacanto a Linux?

KATARU es una variante de malware para IoT y Linux que ataca dispositivos con servicios Telnet expuestos y credenciales débiles o predeterminadas. Tras obtener acceso, descarga y ejecuta una carga útil maliciosa e intenta obtener privilegios de administrador mediante vulnerabilidades conocidas de Linux.

Una vez establecido, KATARU instala mecanismos de persistencia que le permiten sobrevivir a los reinicios y mantener el acceso a largo plazo. Utiliza comunicaciones de comando y control cifradas para evadir la detección y puede lanzar ataques DDoS, realizar ataques de fuerza bruta SSH, ejecutar comandos remotos y descargar malware adicional.

¿Por qué es digno de mención?

KATARU combina vulnerabilidades de seguridad de larga data, como servicios Telnet expuestos, contraseñas débiles y sistemas Linux sin parchear, con capacidades de malware modernas, como comunicaciones C2 cifradas y acceso persistente de nivel root. A diferencia de muchas botnets de IoT de corta duración, KATARU está diseñado para mantener el control a largo plazo de los dispositivos comprometidos. Este malware demuestra cómo los ciberdelincuentes pueden combinar herramientas y exploits disponibles públicamente para crear ataques efectivos y escalables.

Para las organizaciones con entornos de IoT o OT, KATARU refuerza la importancia de la aplicación de parches, el endurecimiento de la seguridad y una gestión sólida de las credenciales.

¿Cuál es la exposición o el riesgo?

Las organizaciones se enfrentan al mayor riesgo cuando los dispositivos IoT o Linux conectados a internet tienen Telnet habilitado, utilizan credenciales débiles o ejecutan firmware y sistemas operativos obsoletos. Una vez comprometidos, los dispositivos pueden formar parte de una botnet utilizada para ataques DDoS a gran escala y otras actividades maliciosas. Dado que KATARU incluye capacidades de escalada de privilegios y persistencia, las infecciones pueden sobrevivir a los reinicios y ser difíciles de eliminar.

El malware afecta a una amplia gama de dispositivos basados en Linux, incluidos routers, equipos IoT y otros sistemas conectados. Los dispositivos sin parchear o sin soporte pueden proporcionar a los atacantes una ventaja a largo plazo en el entorno.

¿Cómo pueden los compradores de software proteger las aplicaciones codificadas con Vibe?

Los compradores de software deben asumir que algunos componentes de las nuevas aplicaciones que utilicen en 2026 podrían haber sido codificados con Vibe. Esto no significa que contengan vulnerabilidades por defecto, sino que deben tomar medidas para limitar las consecuencias de cualquier aplicación que pueda contener un error de codificación explotable. En otras palabras, deben adoptar protocolos de seguridad de confianza cero.

La seguridad de confianza cero surgió antes de la IA, partiendo de la premisa de que cada usuario y aplicación era potencialmente vulnerable. En la era de la IA, podemos asumir que cada aplicación está potencialmente comprometida mediante código Vibe, y que cada aplicación con código Vibe posee vulnerabilidades explotables.

Puedes examinar rigurosamente cada aplicación de tu infraestructura para detectar estas vulnerabilidades, pero:

• Esto requiere un tiempo del que no dispones.
• Incluso la revisión más exhaustiva puede pasar por alto vulnerabilidades.
• Sus usuarios están incorporando aplicaciones codificadas con Vibe sin la aprobación del departamento de TI porque la TI en la sombra nunca murió.
• Al tratar cada aplicación como sospechosa, puede diseñar su infraestructura para limitar el impacto de una vulnerabilidad explotada.

¿Cómo reduce el modelo de confianza cero los riesgos de seguridad del código generado por IA?

La arquitectura de confianza cero está diseñada para aplicar una autenticación mejorada a cada intercambio de datos y ubicar a los usuarios y las aplicaciones dentro de segmentos de red estrictamente definidos mediante perímetros definidos por software.

En la práctica, esto significa que cada aplicación, ya sea codificada con Vibe o no, se ubica dentro de su propio perímetro. Este perímetro define las formas en que una aplicación puede interactuar con usuarios, datos y otras aplicaciones. Además, garantiza que los privilegios normales de la aplicación solo incluyan las dependencias específicas que necesita para funcionar.

Esto garantiza que, si una aplicación contiene una vulnerabilidad explotable que es el objetivo de un atacante, la superficie de ataque potencial es mínima. Además, el atacante no podrá moverse lateralmente a otras aplicaciones ni escalar privilegios. Si bien la aplicación codificada con Vibe puede contener más vulnerabilidades, el atacante se limita al acceso más básico.

Recomendaciones para reducir el riesgo

• Desactive Telnet y proteja el acceso remoto. Utilice SSH u otros métodos de administración seguros y restrinja el acceso a redes de confianza o VPN.
• Utilice credenciales seguras y únicas. Elimine las contraseñas predeterminadas y limite el acceso administrativo siempre que sea posible.
• Actualiza el firmware y los núcleos de Linux. Aplica las últimas actualizaciones de seguridad a los dispositivos basados en Linux.
• Segmenta las redes de IoT y OT. Restringe las comunicaciones innecesarias y limita el acceso directo a internet.
• Aísle y reconstruya los dispositivos comprometidos. Desconecte los sistemas afectados, realice un restablecimiento de fábrica o reinstale el sistema operativo, y aplique las actualizaciones de seguridad antes de volver a conectarlos.
• Reemplace los dispositivos que ya no son compatibles. Retire el hardware que ya no puede recibir actualizaciones de seguridad o configurarse de forma segura.

Conoce más en el siguiente video