Caos digital – Semana del 15 al 22 de septiembre 2026

Semana del 15 al 22 de septiembre de 2026

TLP:CLEAR | ⏱ Lectura: 6-8 minutos

Introducción: que pasó esta semana

Hay semanas en las que el ataque busca la puerta principal. Esta no fue una de ellas. Esta semana nadie llamó a la puerta: entraron por la instalación eléctrica, por las tuberías, por todo lo que da por sentado que nunca lo van a mirar.

Un conmutador de red Zyxel. Un agente de copias de seguridad de Veeam. El núcleo mismo de Linux. El motor que renderiza cada página de Chrome. El kernel de SAP que sostiene la contabilidad de las mayores empresas del mundo. Ninguno de estos nombres genera titulares llamativos. Todos ellos son la razón por la que todo lo demás funciona, y esta semana, los cinco tuvieron fallos críticos explotados o a punto de serlo.

Hay algo revelador en ese patrón. No fueron aplicaciones de cara al usuario las que cedieron. Fue la capa de infraestructura que nadie audita porque «siempre ha estado ahí», funcionando, invisible, dándose por hecha. Un actor de habla china no necesitó una vulnerabilidad exótica para comprometer casi mil switches Zyxel en 48 países: necesitó que nadie estuviera mirando esa capa.

Y mientras la infraestructura técnica se resquebrajaba, la infraestructura de confianza entre criminales hizo lo mismo. El grupo ShinyHunters no atacó a una empresa esta semana. Atacó a otro grupo de ransomware, Clop, y le robó su propio sitio de extorsión. Hasta los ladrones dejaron de fiarse entre ellos, y eso, paradójicamente, no es una buena noticia para nadie: cuando el crimen organizado se desorganiza, las víctimas atrapadas en medio pierden hasta la certeza incómoda de que pagar servía para algo.

En Uzbekistán, una empresa de software para comercio minorista con más de diez cadenas de clientes fue cifrada por un grupo llamado N0n. En Japón, casi 24 millones de cuentas de un servicio de imágenes quedaron expuestas por un fallo en un servidor de carga. Ninguno de los dos incidentes es, por sí solo, el mayor de 2026. Juntos, confirman algo más simple: no hace falta ser el objetivo más valioso, basta con ser el más accesible.

El patrón de esta semana no es un exploit concreto. Es una pregunta incómoda sobre qué capas de tu organización llevan años sin que nadie, ni atacante ni defensor, les preste atención de verdad.

Amenazas activas esta semana

Vulnerabilidades críticas

Nota crítica: lo inusual de esta semana no es la puntuación CVSS más alta, sino la exigencia de CISA de triaje forense sobre los fallos del kernel de Linux, no solo parcheo. Eso significa que la agencia no está pidiendo prevenir un ataque futuro: está pidiendo comprobar si ya ocurrió uno que nadie detectó. Si administras sistemas Linux expuestos, esa distinción cambia por completo la urgencia de la respuesta.

Ataques y filtraciones confirmadas

Gyazo, el servicio de imágenes de la japonesa Helpfeel, confirmó que un atacante explotó un fallo en su servidor de carga para ejecutar comandos arbitrarios y acceder a su base de datos. El resultado: 23,62 millones de registros de usuario —correos, hashes de contraseñas, tokens de sesión— y 490 millones de registros de metadatos de imágenes expuestos. La compañía aclara que la cifra incluye cuentas anónimas, pero el tamaño del servidor comprometido no deja de ser el de una infraestructura que millones de personas usaban sin saber que existía. Fuente: The Hacker News

El grupo de extorsión ShinyHunters irrumpió en el sitio de filtraciones del ransomware Clop explotando un fallo de carga de archivos sin autenticar en Grav CMS, desfiguró la web con su propio logo y exigió a Clop un pago de ocho cifras, con la cantidad subiendo cada 24 horas de silencio. El origen, según ShinyHunters: una amenaza de muerte que un representante de Clop les hizo durante una disputa por la campaña de extorsión de Oracle E-Business Suite. Un grupo de ransomware fue, esta semana, la víctima. Fuente: BleepingComputer

El grupo N0n cifró los sistemas de FinSoft, proveedor uzbeko del software de back-office minorista Kolibri, y amenaza con filtrar los datos de más de diez cadenas de tiendas clientas si no se paga el rescate. Ninguna de esas cadenas fue atacada directamente: todas quedaron expuestas por confiar en el mismo proveedor. Fuente: DeXpose

Una nota sobre técnica: la campaña china contra los switches Zyxel no se descubrió por un aviso del fabricante, sino porque la firma de inteligencia de amenazas GreyNoise correlacionó telemetría de escaneo masivo de internet —tráfico anónimo, agregado, de fuentes abiertas— y detectó el mismo patrón de explotación repitiéndose en 48 países. Es vigilancia OSINT aplicada a escala de internet: la misma técnica que un investigador usaría para mapear una botnet.

Patrón observado: ninguno de los tres incidentes dependió de una víctima final cometiendo un error. Dependieron de un proveedor, un servidor de carga o un rival compartiendo la misma cadena de confianza. Cuando algo falla en la base, todo lo que se apoya en ella —aunque nunca lo tocara directamente— cae con ello.

Por qué esto importa

La ciberseguridad lleva años concentrando su presupuesto en lo que se ve: el correo del empleado, la aplicación web, el endpoint. Esta semana lo demuestra al revés. Los switches de red, los agentes de backup, el kernel del sistema operativo y el motor del navegador rara vez aparecen en un comité de riesgo, precisamente porque funcionan sin pedir permiso. Esa invisibilidad, que en ingeniería se celebra como estabilidad, en seguridad se traduce en superficie sin vigilar.

Hay también una lección incómoda sobre la cadena de suministro que no involucra a un proveedor de software gigante, sino a uno pequeño: FinSoft no es Kolibri, es quien construye Kolibri. Diez cadenas de tiendas confiaron su operación diaria a una empresa de la que probablemente nunca habían oído hablar sus clientes finales. La dependencia no se mide por el tamaño del proveedor, se mide por cuántas cosas dejan de funcionar si ese proveedor falla.

Y luego está el episodio ShinyHunters-Clop, que parece anecdótico y no lo es. Durante años, la industria ha asumido —con cierto alivio— que el ransomware, aunque criminal, seguía una lógica transaccional: pagas, recuperas, sigues adelante. Esa lógica presuponía actores racionales con algo que perder. Cuando dos grupos criminales entran en una guerra de egos que ya no gira en torno al dinero sino a la humillación pública, esa racionalidad deja de ser un supuesto seguro. Las víctimas atrapadas en medio de Clop ya no negocian solo con Clop.

Quizás la lección más amplia es que la madurez de una industria no se mide por cuántos firewalls despliega, sino por cuántas capas invisibles se atreve a auditar aunque nunca le hayan dado un problema. Lo que nunca falló no es lo mismo que lo que nunca se revisó.

Qué debes hacer

Inmediatamente (hoy)

• Si operas switches Zyxel GS1900, actualiza el firmware y revisa si la interfaz de gestión está expuesta a internet; rota credenciales si hay dudas.
• Actualiza Veeam Agent para Windows a la build 13.0.3.1220 o superior; hay exploit público en circulación.
• Verifica el nivel de parcheo del kernel de Linux en tus sistemas expuestos y realiza el triaje forense que exige CISA, no solo el parcheo.

Esta semana

• Confirma que toda tu flota de Chrome y navegadores basados en Chromium recibió la actualización que corrige CVE-2026-85046.
• Si operas SAP con componentes expuestos a internet, evalúa tu exposición a CVE-2026-44756 (OVERPASS) y aplica la nota de seguridad 3747649.
• Revisa qué proveedores externos —por pequeños que sean— tienen acceso a tus datos o a los de tus clientes, y qué pasaría si uno de ellos fuera cifrado mañana.

Este mes

• Audita la capa de infraestructura que «nunca ha dado problemas»: switches, agentes de backup, appliances de red. Si nadie la revisa, es la más peligrosa.
• Diseña un plan de respuesta para escenarios de doble extorsión donde el propio grupo atacante pierde el control de sus datos robados, alterando los plazos y la previsibilidad de la negociación.
• Evalúa la concentración de proveedores críticos en tu cadena de suministro: ¿cuántos clientes dependen, sin saberlo, del mismo eslabón que tú?

Reflexión final

Construimos sistemas asumiendo que la confianza fluye en una sola dirección: de nosotros hacia la infraestructura, de las víctimas hacia quienes las extorsionan, de los criminales hacia sus propios códigos no escritos. Esta semana esa dirección se rompió en varios puntos a la vez. Si ni siquiera quienes viven del engaño confían ya entre ellos, ¿qué nos hace pensar que la confianza que depositamos en lo invisible —el switch, el kernel, el proveedor que nadie audita— merece ser automática? Tal vez la pregunta no sea cómo blindar cada capa, sino cuánta fe ciega podemos seguir permitiéndonos antes de que deje de ser eficiencia y empiece a ser negligencia.

@evaimpulsa

Este informe se ha elaborado a partir de fuentes abiertas (OSINT).