Noticias de ciberseguridad: los grandes ataques, filtraciones y fallos

Google publica el 9 de noviembre la versión 157.0.8103.50/.51 de Chrome, que corrige nueve vulnerabilidades, entre ellas una en el procesamiento de XML (CVE-2026-125350) que los atacantes ya están explotando. Notificada el 6 de noviembre, es la octava vulnerabilidad de día cero de Chrome en 2026, después de la de septiembre.

Crédit Mutuel Arkéa, matriz de Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest y Fortuneo, anuncia el 4 de noviembre un ciberataque que permitió transferencias fraudulentas desde sus propias cuentas hacia otros bancos. La prensa habla de 118 millones de euros; el banco admite ese orden de magnitud sin confirmar una cifra exacta. Algunas operaciones se han retrasado; según el banco, los fondos de los clientes no se han visto afectados.

Google anuncia el 2 de noviembre que, junto con sus socios, entre ellos la policía japonesa, ha neutralizado la botnet XCPE, una puerta trasera instalada en más de 1,3 millones de dispositivos TV Box y otros aparatos Android. Según Google, el fabricante chino Videostrong la explotaba y revendía el acceso a delincuentes para fraude publicitario y redes de proxies; ha quedado excluido de los dispositivos Android certificados. El malware sigue presente en los dispositivos infectados.

El 29 de octubre, unos atacantes vacían monederos de Binance, la mayor plataforma de intercambio de criptomonedas, por unos 6.300 millones de dólares, cuatro veces el robo récord de Bybit en 2025. Binance apunta en un primer momento al portátil comprometido de un ingeniero, cubre las pérdidas con sus reservas y reabre depósitos y retiradas el 1 de noviembre. El FBI atribuye el ataque al grupo norcoreano TraderTraitor.

La CNIL, autoridad francesa de protección de datos, publica el 29 de octubre dos sanciones contra Fnac: 6 millones de euros para Fnac Darty Participations et Services y 1 millón de euros para Fnac Direct. La aplicación móvil instalaba rastreadores sin el consentimiento de los usuarios para seguir su navegación, recomendar productos y entrenar el algoritmo de recomendación.

WordPress publica el 28 de octubre la versión 7.1.4 y parches para todas las ramas desde la 4.7. La más grave de las 22 vulnerabilidades permite, sin cuenta, ejecutar código en el servidor durante los pocos segundos que dura una actualización del núcleo de WordPress. Wordfence detecta intentos de explotación desde la publicación del parche y advierte de que la propia instalación de la actualización abre esa ventana una última vez.

La editora japonesa de videojuegos Capcom informa el 22 de octubre de que un acceso no autorizado a su servicio de cuentas CAPCOM ID ha expuesto 11.774.247 registros: direcciones de correo electrónico, fechas y número de inicios de sesión y direcciones IP. Las tarjetas bancarias no están afectadas; los atacantes cambiaron la contraseña de 196 cuentas, que se han restablecido.

El proyecto PHP publica el 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas, apodadas «PHP2Shell», que permiten ejecutar código en el servidor sin cuenta. Afectan a todas las instalaciones que sirven páginas web, y por tanto a las webs WordPress, PrestaShop, Drupal o Magento. Varias webs públicas se cerraron por precaución; a 28 de octubre, Wordfence no tenía constancia de ninguna web WordPress comprometida por esta vía.

La empresa detrás del plugin de copias de seguridad UpdraftPlus, presente en más de 4 millones de webs, descubre el fin de semana del 17 y 18 de octubre que un atacante ha accedido a su base de clientes, incluidas las claves de conexión del servicio UpdraftCentral en la nube. Con esas claves, el atacante instala plugins con puerta trasera y cuentas de administrador en las webs conectadas. Las versiones 1.26.13 y 2.26.13 eliminan las claves antiguas, pero no lo que ya se ha instalado.

En la noche del 11 al 12 de octubre, unos atacantes toman el control de los sistemas de gestión de la refrigeración de cientos de tiendas: al menos 300 Intermarché y Netto, más de 100 Coopérative U, 80 Carrefour, varios Monoprix y E.Leclerc. Algunas vitrinas llegan a 50 °C y hay que tirar los productos frescos y congelados; también se ven afectados otros países europeos. El 9 de noviembre, Francia atribuye el ataque a unidades cibernéticas de la Guardia Revolucionaria iraní.

El director del FBI anuncia el 9 de octubre la detención de otro presunto cómplice de ShinyHunters, el grupo de extorsión que a finales de septiembre reivindicó el robo de datos de empleados del FBI a través de un fallo de Oracle PeopleSoft. A finales de septiembre, un presunto miembro apodado «Rey» fue detenido en Jordania, que lo confirmó. ShinyHunters está vinculado al robo de datos de numerosos clientes de Salesforce y a ataques telefónicos dirigidos a los accesos de empresas.

El 6 de octubre, clientes de la tienda de moda ASOS reciben en la app una notificación no autorizada que lleva a un canal de Telegram. ASOS confirma que pudieron consultarse los nombres y datos de contacto de clientes, pero no las tarjetas bancarias ni las contraseñas, según la empresa. No se ha publicado el número de clientes afectados; el NCSC británico y la autoridad de protección de datos siguen el incidente.

El registro central de población danés (CPR) anuncia el 5 de octubre que unos atacantes usurparon en septiembre el acceso legítimo de una empresa privada para extraer nombres, direcciones y números de identidad. Hay unos 8,8 millones de personas afectadas, el 80 % del registro, que incluye personas fallecidas o que se han ido al extranjero. La autoridad danesa de protección de datos indica que los números se obtuvieron mediante pruebas automatizadas; la empresa ha sido desconectada del registro.

El 30 de septiembre, las policías de nueve países, coordinadas por Europol y Eurojust, toman el control del sitio de extorsión del grupo KillSec y de cinco servidores, con al menos 110 terabytes de datos robados. Se detiene a tres personas y se realizan ocho registros en España, Grecia, Rumanía y el Reino Unido. El presunto operador principal tiene 16 años; el grupo está vinculado a cerca de 1.000 ataques en todo el mundo.

Citrix publica el 27 de septiembre parches para ocho vulnerabilidades de sus pasarelas de acceso remoto NetScaler ADC y Gateway, dos de ellas críticas (CVE-2026-88771 y CVE-2026-88772) y ya explotadas antes de su anuncio. La CISA las añade ese mismo día a su catálogo de vulnerabilidades explotadas y el NCSC británico pide a las organizaciones que apliquen el parche sin esperar. Tras la publicación de un código de ataque, los intentos se han extendido a todos los equipos expuestos.

Patchstack detalla el 25 de septiembre una vulnerabilidad de las versiones 4.3.0 y 4.3.1 de Elementor, el maquetador de páginas para WordPress: basta con que un administrador con la sesión iniciada abra un enlace trampa para que se cree una cuenta de administrador para el atacante. Unos 2 millones de webs usaban esas versiones. Elementor publicó la versión 4.3.2 el 24 de septiembre; en el momento de la publicación no se había detectado ningún ataque.

WordPress publica el 22 de septiembre la versión 7.1.2, que corrige una vulnerabilidad crítica (CVE-2026-87902, puntuación de 9,2 sobre 10) presente en todas las versiones desde la 4.7: sin cuenta, un atacante puede hacer que se lea un archivo del servidor y, en algunas configuraciones, ejecutar código. Patchstack detecta los primeros intentos ese mismo día y, desde el 23 de septiembre, intentos de escribir archivos en los servidores, sin que se haya publicado un número de webs comprometidas. Hay parches para cada rama hasta la 4.7.

Google publica el 8 de septiembre Chrome 153, que corrige una vulnerabilidad del motor JavaScript V8 (CVE-2026-87491) que los atacantes ya están explotando. Cinco días antes, una primera actualización había cerrado otro fallo explotado (CVE-2026-85046). Es la séptima vulnerabilidad de día cero de Chrome en lo que va de año; la agencia estadounidense CISA la añadió ese mismo día a su catálogo de vulnerabilidades explotadas.

IDScan, empresa estadounidense de verificación de identidad que usan empresas de alquiler de coches y comercios, reconoce el 4 de septiembre que un tercero pudo copiar datos de su plataforma online: nombres, números de permiso de conducir y de otros documentos de identidad. En un foro criminal, un vendedor ofrece más de 153 millones de permisos escaneados de Estados Unidos y Canadá; IDScan no ha confirmado esa cifra. La policía federal estadounidense investiga el caso.

Manchester Airports Group, que gestiona Mánchester, Londres-Stansted y East Midlands, anuncia el robo de datos de 8,7 millones de clientes de sus aparcamientos, salas VIP, controles rápidos y wifi: correos electrónicos, teléfonos, matrículas y códigos postales. No hay datos bancarios afectados y los vuelos operan con normalidad.

El fabricante estadounidense de dispositivos médicos informa de un ciberataque detectado el 25 de agosto: una caída de la red bloquea el acceso a varias aplicaciones, entre ellas las que sirven para tramitar y enviar los pedidos. El grupo ha activado su plan de respuesta a incidentes con expertos externos, sin fecha de vuelta a la normalidad.

Tras la negativa a pagar un rescate, el grupo ShinyHunters publica datos que asegura haber robado a la marca de ropa de trabajo Carhartt. Have I Been Pwned contabiliza 12,9 millones de cuentas reales (correos electrónicos, nombres, teléfonos y direcciones postales), la mitad de lo que se reivindicaba; el resto son datos de prueba. Carhartt no lo ha confirmado públicamente.

La DGFiP, la administración tributaria francesa, reconoce accesos ilegítimos a su sistema de información, realizados en junio y julio con las credenciales usurpadas de un funcionario. Se extrajeron los datos fiscales de 678.000 particulares y empresas, entre ellos la renta fiscal de referencia y el cociente familiar. Las contraseñas y las áreas personales en línea de los contribuyentes no están afectadas; las personas afectadas reciben un aviso a partir del 17 de agosto.

La autoridad polaca de protección de datos anuncia una inspección de MyDr, un software de gestión médica que usan más de 12.000 centros, tras un robo de datos que afectaría a 19 millones de polacos, la mitad del país. Entre los datos robados hay números de identidad, recetas y notas de los médicos.

El 4 de agosto se publican en npm versiones infectadas de keyv, flat-cache, file-entry-cache y otros paquetes JavaScript muy utilizados. Una vez instaladas, roban las claves de AWS y los tokens de GitHub y npm, y después se propagan a los paquetes de otros desarrolladores. Endor Labs contabiliza al menos 1.136 versiones maliciosas en 384 paquetes.

Have I Been Pwned añade 55,3 millones de direcciones de correo electrónico de Suno, un servicio de creación de música con IA, procedentes de una intrusión de noviembre de 2025 revelada en julio. El archivo también contiene números de teléfono y, en unas decenas de miles de compras, nombres, direcciones y los últimos dígitos de la tarjeta bancaria. Suno confirma el incidente sin discutir la cifra.

Have I Been Pwned añade 23,3 millones de cuentas de Paidwork, una plataforma de microtareas remuneradas, tras la publicación de 11 GB de datos puestos a la venta en marzo. El archivo contiene nombres, direcciones, fechas de nacimiento, datos bancarios, historiales de pagos y contraseñas cifradas. Paidwork afirma no tener ninguna prueba de una intrusión.

Coca-Cola anuncia que un ransomware ha afectado a Fairlife, incluidos sus sistemas de producción: las cuatro plantas de Estados Unidos se paran y las de Canadá siguen funcionando. El 27 de julio, el grupo indica que la mayor parte de la producción se ha reanudado, que se han robado datos y que el ataque no tendrá un efecto significativo en sus cuentas.

SOCRadar ha analizado un servidor que el grupo WP-SHELLSTORM, que hackea webs en masa para revender el acceso, dejó abierto durante tres semanas. El grupo explotaba 27 vulnerabilidades conocidas de plugins de WordPress y de Joomla, entre ellas la del plugin de caché Breeze (más de 17.000 webs infectadas). Se han contabilizado unas 25.000 webs comprometidas de 1,4 millones de webs atacadas.

KDDI detalla la intrusión en el servicio de correo que presta a varios proveedores de internet japoneses, revelada el 23 de junio: se filtraron 12,2 millones de direcciones de correo electrónico y 7,6 millones de contraseñas. Los atacantes explotaban desde mediados de mayo una vulnerabilidad desconocida de un software de terceros. Los proveedores afectados obligan a cambiar la contraseña.

El Departamento de Justicia estadounidense anuncia la extradición de Peter Stokes, de 19 años, detenido en Finlandia y acusado de asociación ilícita, intrusión informática y fraude. El grupo Scattered Spider, especializado en llamadas fraudulentas a los servicios de soporte, está vinculado a más de 100 intrusiones y a más de 100 millones de dólares en rescates pagados.

Europol y Eurojust anuncian una nueva fase de la operación Endgame, llevada a cabo del 15 al 19 de junio con Francia, Alemania, Países Bajos, Reino Unido, Estados Unidos y Microsoft. Se desconectaron 326 servidores y 142 dominios de los programas maliciosos StealC, Amadey y SocGholish, y se recuperaron 27 millones de credenciales robadas.

Unos atacantes robaron los tokens de acceso que la herramienta de inteligencia competitiva Klue tenía para conectarse a las cuentas de Salesforce de sus clientes. LastPass confirma la filtración de datos de contacto de clientes y de solicitudes al soporte; Recorded Future, Jamf y Tanium figuran entre las otras víctimas citadas. Las bóvedas de contraseñas de LastPass no están afectadas.

La CISA alerta sobre «FortiBleed»: una base de credenciales vinculadas a unos 74.000 cortafuegos y pasarelas VPN de Fortinet, obtenidas por reutilización de contraseñas y ataques de fuerza bruta, se está usando para entrar en redes de empresas y administraciones. Fortinet precisa que no se trata de una nueva vulnerabilidad, sino de cuentas mal protegidas, a menudo sin autenticación de doble factor.

El laboratorio danés anuncia un acceso no autorizado a parte de sus sistemas informáticos internos, algunos de los cuales se han desconectado mientras dura la investigación. Se copiaron al exterior datos no públicos, incluidos datos personales y datos de pacientes de algunos ensayos clínicos. Sus actividades principales siguen funcionando.

Oracle publica una alerta fuera de calendario por una vulnerabilidad crítica de PeopleSoft PeopleTools (versiones 8.61 y 8.62), explotable en remoto sin contraseña. Según Mandiant, el grupo de extorsión ShinyHunters la explotaba desde finales de mayo, sobre todo contra universidades, para robar datos y después publicarlos. La CISA la añade a su catálogo de vulnerabilidades explotadas el 12 de junio.

Google publica de urgencia Chrome 149.0.7827.102/.103 para corregir una vulnerabilidad del motor JavaScript V8 (CVE-2026-11645) e indica que ya circula un código de ataque. Basta una simple página web trampa para activarla. Es el quinto fallo de Chrome explotado antes del parche desde principios de 2026, y los navegadores basados en Chromium (Edge, Brave, Opera) también están afectados.

La DINUM, la dirección digital del Estado francés, confirma una intrusión en Tchap, la mensajería instantánea de los empleados públicos, detectada por la ANSSI, la agencia francesa de ciberseguridad, el 7 de junio. El atacante usó una cuenta legítima usurpada, sin ningún fallo técnico: solo se habrían consultado las salas públicas, abiertas a todos los usuarios. Afirma haber obtenido varios cientos de miles de mensajes, una cifra que el Estado no ha confirmado.