Semana del 19 Octubre del 2026
Más de 2,6 millones de cuentas de usuarios españoles quedan expuestas en la Dark Web durante la primera mitad de 2026
Clasificación Operacional
Tipo: Ciberseguridad
País Afectado: España
Fuente: Europa Press
Inteligencia Resumida
Investigadores de ciberseguridad han detectado la exposición en foros de la Dark Web de más de 2,6 millones de cuentas correspondientes a usuarios españoles durante el primer semestre de 2026.
El hallazgo incluye además más de un centenar de bases de datos comprometidas vinculadas a organizaciones con presencia en España.
La filtración masiva de credenciales y datos corporativos incrementa el riesgo de suplantación de identidad, acceso no autorizado y campañas de phishing dirigidas, evidenciando la persistencia de la actividad de actores maliciosos en mercados ilegales subterráneos.
Hackers utilizan ransomware Gentlemen para desactivar Windows Defender y destruir copias de seguridad
Clasificación Operacional
Tipo: Ciberseguridad
Actor de amenazas: The Gentlemen
Fuente: Cyber Security News
Inteligencia Resumida
El grupo 'The Gentlemen' opera como servicio (RaaS) desde 2025 utilizando malware escrito en Go que afecta a Windows, Linux, NAS y BSD. Su variante para Windows desactiva la protección en tiempo real de Microsoft Defender, añade exclusiones de análisis y detiene servicios de seguridad, bases de datos y copias de seguridad.
Emplea doble extorsión: cifra archivos con ChaCha20 y curva elíptica, y amenaza con filtrar datos robados. Utiliza la técnica BYOVD con controladores vulnerables (CVE-2025-70795) para terminar procesos de seguridad a nivel de kernel.
Establece persistencia mediante tareas programadas y claves de registro, y se propaga lateralmente vía PsExec. Se han identificado más de 800 víctimas reclamadas por el grupo .
Storm-0940 utilizó ARTEX contra ConnectWise: Lo que los administradores de Microsoft 365 deben verificar
Clasificación Operacional
Tipo: Ciberseguridad
Actor de amenazas: Storm-0940
Sector: Tecnología / Proveedores de servicios gestionados (MSP)
Fuente: Brandefense
Inteligencia Resumida
Microsoft atribuye al actor de amenazas Storm-0940 el uso del marco de inteligencia artificial ARTEX en un ataque a la cadena de suministro dirigido contra ConnectWise. La compromisión permite a los adversarios moverse lateralmente hacia entornos de Microsoft 365 de los clientes finales a través de los proveedores de servicios gestionados (MSP) que utilizan el software afectado.
El informe detalla las comprobaciones específicas que los administradores deben realizar en sus tenants, incluyendo la revisión de registros de auditoría unificados, sign-ins anómalos, consentimientos de aplicaciones OAuth sospechosos y modificaciones en reglas de reenvío de correo.
Se proporcionan indicadores de compromiso (IoCs) técnicos asociados a la infraestructura de ARTEX para facilitar la detección y respuesta ante incidentes.
El sistema operativo del firewall de Palo Alto ha estado bajo ataque de múltiples grupos de ransomware desde junio
Clasificación Operacional
Tipo: Ciberseguridad
Actores de amenazas: Qilin, Inc, Settra
Sector: Educación, servicios financieros, salud, alta tecnología, hostelería, manufactura, servicios profesionales y legales, gobierno, transporte y logística, servicios públicos y energía, comercio al por mayor y al por menor
Fuente: The Register
Inteligencia Resumida
Múltiples grupos de ransomware (entre ellos Qilin, Inc y Settra) están explotando activamente la vulnerabilidad CVE-2026-0257, un fallo de omisión de autenticación de alta severidad en los portales y puertas de enlace GlobalProtect de PAN-OS, desde al menos mayo de 2026. La explotación permite eludir controles MFA y establecer sesiones VPN no autorizadas.
Las investigaciones de Unit 42 revelan una evolución significativa en las TTPs: desde la puerta de enlace VPN comprometida se accede al appliance de gestión vCenter, se deshabilitan controles de seguridad en hipervisores ESXi y se utilizan herramientas personalizadas para el volcado de credenciales de controladores de dominio, evadiendo soluciones EDR. Se detecta también encadenamiento con CVE-2023-27532 contra infraestructura de backup de la empresa Veeam.
Palo Alto Networks publicó parche el 13 de mayo y se insta a su aplicación inmediata.
Operación FlashHole: Lazarus rompe la seguridad, desafía el control
Clasificación Operacional
Tipo: Ciberseguridad
Actor de amenazas: Lazarus Group
Sector: Software, construcción, fabricación de equipos de comunicación cableada
País Afectado: Corea del Sur
Fuente: Securelist (Kaspersky)
Inteligencia Resumida
El grupo Lazarus (APT norcoreano) llevó a cabo la Operación FlashHole contra organizaciones de Corea del Sur, detectada desde julio de 2025. La campaña abusa del software de seguridad financiera obligatorio CrossWeb EX mediante una estrategia watering-hole y spear-phishing con sitios web falsos generados por IA.
La cadena despliega malware en memoria (TechHub, Cubridge, TouchHub, TouchShift, ClientHub, LPEClient) usando GitHub como C2 principal. TechHub actúa como downloader inicial; Cubridge orquesta el framework modular; LPEClient realiza perfilado avanzado de víctimas y usa criptografía post-cuántica (ML-KEM-1024, Threefish) para recibir payloads finales.
Se identificaron al menos tres víctimas confirmadas, aunque se sospecha un alcance mayor. La atribución a Lazarus se basa en TTPs compartidos con campañas previas (Dream Job, Cascade Hole, Operation SyncHole) y el uso continuado de LPEClient.
El ransomware SafePay ha afectado a más de 600 organizaciones explotando VPN y servidores de backup
Clasificación Operacional
Tipo: Ciberseguridad
Actor de amenazas: SafePay
Sector: Infraestructura crítica
País Afectado: Norteamérica, Sudamérica, Europa, Australia
Fuente: Cyber Security News
Inteligencia Resumida
Un aviso conjunto de CISA, FBI, Servicio Secreto de EE. UU. y autoridades alemanas y británicas revela que el grupo de ransomware SafePay ha comprometido al menos 600 víctimas en sectores de infraestructura crítica desde agosto de 2024. Los operadores acceden mediante credenciales robadas, fuerza bruta, phishing y explotación de vulnerabilidades en dispositivos perimetrales y conexiones VPN expuestas, incluidas direcciones de Mullvad VPN.
Una vez dentro, escalan privilegios con PsExec, WinRM y RDP, desactivan defensas, extraen datos hacia almacenamiento externo (OneDrive, Backblaze) y destruyen copias de seguridad deteniendo el servicio de instantáneas de volumen y reiniciando NAS a valores de fábrica. El cifrado emplea ChaCha20 con RSA.
El aviso insta a parchear sistemas expuestos, imponer autenticación multifactor, mantener backups offline e inmutables, segmentar redes y monitorizar cuentas, herramientas remotas y transferencias anómalas de forma correlacionada.
Atacantes secuestraron más de 300 nodos de salida de Tor para interceptar conexiones SSH
Clasificación Operacional
Tipo: Ciberseguridad
Fuente: The Hacker News
Inteligencia Resumida
Investigadores detectaron que atacantes secuestraron más de 300 nodos de salida de la red Tor a principios de octubre, utilizándolos para interceptar y redirigir conexiones SSH hacia servidores controlados con el fin de robar credenciales de acceso.
Los nodos de salida, que constituyen el último salto del circuito Tor antes de que el tráfico alcance su destino final, fueron comprometidos entre el 1 y el 5 de octubre.
La captura de contraseñas se produjo únicamente en sesiones SSH basadas en autenticación por contraseña donde la víctima aceptó la advertencia de interceptación del host.
Hackers usan IA Claude para planear ataques de ransomware y exponen accidentalmente sus secretos
Clasificación Operacional
Tipo: Ciberseguridad
Actores de amenazas: INC Ransomware, The Gentlemen Ransomware
Fuente: Cyber Security News
Inteligencia Resumida
Operadores de ransomware afiliados a INC Ransomware y The Gentlemen Ransomware utilizaron modelos comerciales de IA (como Claude Opus 4.6 y Kimi K3) a través de OpenCode y OpenRouter, para planificar reconocimiento, seleccionar técnicas, generar comandos y redactar material de extorsión.
Una infraestructura mal configurada expuso públicamente servidores con registros de chat de IA, bases de conocimiento, credenciales robadas, código fuente del framework Phantom, builds de encriptadores (46 para seis víctimas) y planes de extorsión. Los registros revelan explotación de CVE-2026-35616 (FortiClient EMS), CVE-2024-57727 (SimpleHelp) y CVE-2026-41940 (cPanel/WHM).
Se identificaron 62 organizaciones objetivo, cuatro en fase pública de extorsión, con gasto en IA superior a 23.920 dólares. La exposición demuestra que una mala seguridad operativa y la retención de logs pueden revelar toda la cadena de ataque.
Cuando tu negociador de ransomware trabaja para el otro lado
Clasificación Operacional
Tipo: Ciberseguridad
Fuente: Dark Reading
Inteligencia Resumida
La detención de un reconocido negociador de ransomware ha puesto de relieve la existencia de conflictos de interés en los servicios de respuesta a incidentes, evidenciando que intermediarios de confianza podrían estar colaborando con los actores de la amenaza.
Este hallazgo subraya la necesidad crítica de implementar programas de supervisión y validación exhaustiva de proveedores para garantizar la integridad de las negociaciones y la recuperación de datos.
Saint Intelligence
Inteligencia estratégica para proteger tu negocio en el panorama actual de ciberamenazas.
Inteligencia de Amenazas
Análisis continuo de actores, TTPs y campañas activas para anticipar riesgos antes de que impacten.
Vulnerabilidades Críticas
Seguimiento y priorización de CVEs con contexto operacional para una respuesta eficaz.
Informes Ejecutivos
Briefings semanales adaptados al nivel directivo para una toma de decisiones informada.
Resumen semanal CiberInteligencia