Vulnerabilidades, ransomware y campañas activas analizadas por el equipo de DefensOps, con la cobertura de detección de nuestro SIEM.
Los agentes de inteligencia artificial autónomos están desplegándose en entornos corporativos heredando permisos y tomando decisiones a velocidad de máquina, pero los marcos de gobernanza de identidades actuales fueron concebidos para usuarios humanos. Esta brecha estructural expone a las organizaciones a riesgos de acceso no supervisado que los controles tradicionales no contemplan.
Una campaña denominada Miasma ha logrado infectar más de veinte paquetes del registro npm con código malicioso orientado a la exfiltración de credenciales de desarrolladores. Microsoft ha identificado que los atacantes apuntan específicamente a los ecosistemas de Leo Platform y RStreams, y que el objetivo secundario es comprometer a los propios mantenedores de los paquetes para ampliar el alcance del ataque. La cadena de suministro de software sigue siendo un vector de entrada crítico que afecta a cualquier equipo que consuma dependencias de código abierto sin verificación rigurosa.
La Linux Foundation ha presentado Akrites, un nuevo proyecto de seguridad para el ecosistema open source. Su objetivo es centralizar los mecanismos de notificación, parcheado y divulgación responsable de vulnerabilidades en software libre. La iniciativa busca cubrir una de las brechas históricas en la cadena de suministro de software.
La familia de malware Miasma, vinculada también a las variantes Mini Shai-Hulud y Hades, ha extendido su campaña de ataques a la cadena de suministro comprometiendo nuevos paquetes npm de proyectos como LeoPlatform y RStreams, abusando de flujos de trabajo de GitHub Actions y expandiéndose ahora al ecosistema Go. Investigadores de ciberseguridad han documentado esta nueva oleada, que demuestra la capacidad de adaptación y la ambición creciente de sus autores. Las organizaciones que dependen de estas tecnologías deben revisar con urgencia sus dependencias y pipelines de CI/CD.
Una campaña activa desde abril de 2026 apunta a cadenas hoteleras y empresas del sector hospitalario en Europa y Asia. Los atacantes utilizan correos señuelo con archivos ZIP de temática fotográfica para instalar un implante basado en Node.js en los equipos de recepción. Microsoft ha alertado del incidente, aunque aún no ha atribuido la actividad a ningún grupo conocido.
El mercado de predicción descentralizado Polymarket ha sufrido un incidente de seguridad que habría resultado en el robo de aproximadamente tres millones de dólares. Los atacantes no comprometieron la plataforma directamente, sino que apuntaron a usuarios concretos a través de un proveedor tercero con acceso al ecosistema. El caso vuelve a poner el foco en la cadena de suministro de servicios como vector crítico en el sector DeFi.
El grupo de amenazas persistentes avanzadas Turla, vinculado a Rusia, ha incorporado una nueva puerta trasera denominada 'StockStay' en sus operaciones de ciberespionaje. Los objetivos identificados son organizaciones gubernamentales y militares de Ucrania. La campaña refuerza el patrón de actividad de este actor en el contexto del conflicto en curso.
La revisión en profundidad del protocolo Model Context Protocol (MCP) lo orienta hacia entornos empresariales, pero transfiere gran parte de la responsabilidad de seguridad a los propios desarrolladores y operadores de plataforma. Este cambio de modelo implica que los equipos de IT deben asumir controles que antes residían en el propio protocolo. La comunidad de seguridad advierte de que este enfoque puede abrir brechas si los equipos no están preparados.
El grupo de amenaza persistente avanzada Turla, vinculado al estado ruso, ha comenzado a emplear un backdoor para Windows aún no documentado hasta ahora, denominado STOCKSTAY y desarrollado en .NET. Sus objetivos incluyen organismos gubernamentales y militares de Ucrania, así como entidades con vínculos en la política exterior italiana. El hallazgo lo ha hecho público el Google Threat Intelligence Group.
Un responsable de seguridad decidió no aplicar la autenticación multifactor a los altos cargos de su organización, argumentando que supondría demasiada fricción para ellos. El incidente pone de manifiesto un patrón peligroso: los ejecutivos quedan fuera de los controles de seguridad que sí se imponen al resto de la plantilla. Este doble rasero convierte precisamente a las cuentas con más privilegios en el eslabón más débil.
Un actor de amenazas conocido como access broker está operando un backdoor denominado Mistic, capaz de eliminarse a sí mismo para dificultar el análisis forense. Los accesos comprometidos afectan a sectores como seguros, educación, TI y servicios profesionales, y se comercializan posteriormente para facilitar ataques de ransomware.
Una vulnerabilidad en Cisco Unified Communications Manager ha sido aprovechada por atacantes en un plazo inferior a un día desde su divulgación. El fallo combina un vector de tipo SSRF con la posibilidad de escalar privilegios hasta nivel de root, lo que lo convierte en un objetivo de alto valor para los actores de amenazas. Las implantaciones de Cisco Unified CM y Unified CM SME se encuentran entre las afectadas.