Semana del 10 al 17 de septiembre de 2026
TLP:CLEAR | ⏱ Lectura: 6-8 minutos
Introducción: lo que pasó esta semana
Hay semanas en las que la ciberseguridad se parece menos a una guerra de trincheras y más a una lenta erosión de la confianza. Esta ha sido una de ellas. No hubo un único titular que lo resumiera todo. Hubo, en cambio, media docena de grietas distintas abriéndose en el mismo sitio: los sistemas que se supone que verifican quién eres.
Cisco, ConnectWise, JFrog. Tres nombres que rara vez comparten titular, y que esta semana comparten algo más incómodo: los tres son la puerta, no la casa. Son el software que decide si entras o no, y esta semana ese software decidió mal. Cuando el portero se convierte en cómplice, ninguna cerradura de la casa importa ya.
Mientras tanto, en Europa, alguien no atacó ningún servidor. Atacó una bandeja de entrada del gobierno italiano y, con ella, la palabra «autoridad». Durante meses, un correo con membrete oficial pidió datos de clientes a una fintech, y la fintech, razonablemente, respondió a lo que parecía ser la ley. No hizo falta romper nada. Bastó con parecer legítimo el tiempo suficiente.
Y en Texas, una utilidad eléctrica descubrió que una API pensada para hablar con aplicaciones internas también sabía hablar con cualquiera que le preguntara con educación. Casi siete millones y medio de personas, expuestas no por un fallo exótico, sino por una puerta que nadie recordó cerrar.
El patrón de la semana no es técnico, es epistemológico: cada vez cuesta más distinguir quién tiene derecho a entrar de quien simplemente sabe pedirlo bien. Los atacantes no están rompiendo más candados. Están aprendiendo a que se los abran.
Y en algún cuartel de Namibia, unos servidores militares aparecieron listados en un sitio de extorsión, como uno más entre docenas de víctimas de esta semana. Ese detalle, casi anecdótico, dice mucho: el ransomware ya no discrimina entre una pyme de muebles japonesa y las fuerzas armadas de un país. Es una industria, y las industrias no tienen escrúpulos, tienen catálogos.
Amenazas activas esta semana
Vulnerabilidades críticas
| CVE | Producto | CVSS | Problema | Acción |
|---|---|---|---|---|
| CVE-2026-76460 | Cisco ISE / ISE-PIC | 10.0 | Bypass de autenticación en API que permite control administrativo total del dispositivo, explotado activamente | Parchear de inmediato; añadido a KEV de CISA el 16/09 con plazo al 19/09 |
| CVE-2026-84869 | ConnectWise ScreenConnect | 9.9 | Controles de autorización ausentes permiten transferir y ejecutar archivos en sesiones remotas sin confirmación; explotación tipo gusano | Actualizar a la versión 26.6.5 o superior sin demora |
| CVE-2026-42016 / CVE-2026-42018 | JFrog Artifactory | 8.1 / 7.5 | Encadenamiento de tokens anónimos hasta privilegios de administrador; se han observado backdoors en Rust persistentes | Parchear y rotar todos los tokens y credenciales expuestas |
| CVE-2026-58704 | Google Pixel (módem celular) | 8.0 | Escalada de privilegios sin interacción del usuario; explotación limitada y dirigida, posible vínculo con spyware comercial | Instalar el parche de seguridad de septiembre de 2026 (nivel 2026-09-05 o posterior) |
| CVE-2026-87886 | Acronis Backup (plugin cPanel/Plesk) | 7.8 | Permisos por defecto incorrectos permiten escalada de privilegios local en ataques dirigidos y limitados | Actualizar el plugin/extensión a la build corregida |
Nota crítica: la vulnerabilidad de Cisco ISE (CVSS 10.0) no es una más de la lista: es la infraestructura de identidad la que ha sido comprometida, el sistema que decide quién es quién dentro de la red. Si gestionas ISE, esto no espera al ciclo habitual de parcheo. Se explota ahora, y el plazo de CISA para agencias federales —19 de septiembre— es una señal de urgencia para todos, no solo para el gobierno.
Ataques y filtraciones confirmadas
Un grupo que se hace llamar «iamnotavillain» no hackeó ningún servidor de Revolut: comprometió un sistema de correo del gobierno italiano y, haciéndose pasar por fuerzas del orden, pidió datos de clientes durante meses. La fintech respondió como respondería cualquiera a una solicitud oficial. El resultado: datos de unos 680 clientes de alto valor —documentos de identidad, IBAN, historiales de transacciones— y una exigencia de 3 millones de dólares en Monero con un ultimátum de 24 horas. Fuente: Euronews
CenterPoint Energy, la utilidad eléctrica y de gas que sirve a Houston, confirmó que un actor externo accedió a datos de clientes a través de un sistema orientado a internet. Nombres, direcciones, cuentas, información de pago y los últimos cuatro dígitos de números de la seguridad social quedaron expuestos; las demandas colectivas ya hablan de hasta 6,7 millones de personas afectadas. El servicio eléctrico y de gas, dice la compañía, no se vio interrumpido —el dato sí. Fuente: The Record
Las Fuerzas de Defensa de Namibia aparecieron esta semana en el sitio de extorsión del grupo RansomHouse, uno más entre una decena de víctimas publicadas en apenas unos días junto a empresas industriales de Irán y firmas manufactureras de medio mundo. No hay aún confirmación pública de qué se robó ni de qué sistemas quedaron cifrados, pero la inclusión de un objetivo militar en el mismo lote que talleres y fábricas confirma que el ransomware como servicio ya no elige por sector: elige por superficie expuesta. Fuente: Ransomware.live
Una nota sobre técnica: quienes atacaron a Revolut no adivinaron a quién extorsionar. Usaron análisis de blockchain —una herramienta de OSINT financiero— para identificar, entre millones de usuarios, cuáles tenían tenencias de criptomonedas lo bastante grandes como para merecer el esfuerzo. El reconocimiento previo, hoy, se hace con las mismas herramientas que usa cualquier analista de inteligencia de fuentes abiertas. La diferencia está en la intención, no en la técnica.
Patrón observado: los tres incidentes comparten una premisa incómoda: ninguno dependió de un exploit sofisticado contra una máquina. Dependieron de que alguien, en algún punto de la cadena, confiara en lo que parecía correcto. La superficie de ataque de esta semana no fue código. Fue confianza institucional.
Por qué esto importa
Llevamos años construyendo la seguridad alrededor de la idea de «verificar identidad»: contraseñas, tokens, API keys, sistemas como Cisco ISE que existen exclusivamente para responder a una pregunta —¿eres quien dices ser?—. Esta semana, esa pregunta falló en múltiples frentes a la vez. No porque la criptografía sea débil, sino porque la confianza que rodea a la criptografía sigue siendo humana, organizativa, y por tanto manipulable.
La industria lleva una década hablando de «zero trust» como si fuera un producto que se compra e instala. Pero zero trust no es una arquitectura, es una disciplina, y las disciplinas se abandonan bajo presión operativa. Un correo con membrete oficial. Una API que «solo la usan aplicaciones internas». Un token anónimo que «no debería tener ese alcance». Cada una de estas frases es, en realidad, una excepción que alguien decidió que no merecía revisión.
Hay también una lección incómoda sobre la escala. El ransomware ya no es un ataque, es una cadena de suministro: afiliados, corredores de acceso inicial, operadores de infraestructura, todos trabajando en paralelo para convertir cualquier objetivo —una fábrica de muebles, un cuartel, una fintech— en una fila más de un catálogo de extorsión. Cuando el crimen se industrializa, deja de importar si eres un objetivo interesante. Solo importa si eres un objetivo accesible.
Y quizás lo más importante: la línea entre inteligencia de fuentes abiertas y arma ofensiva se ha vuelto casi invisible. El mismo análisis de blockchain que usa un investigador para rastrear fondos ilícitos es el que usó un atacante para elegir a sus víctimas. Las herramientas no tienen bando. Lo tiene quien las sostiene.
Qué debes hacer
Inmediatamente (hoy)
- Si operas Cisco ISE o ISE-PIC, aplica el parche de CVE-2026-76460 sin esperar al plazo del 19 de septiembre.
- Verifica si tu organización usa ConnectWise ScreenConnect y actualiza a la versión 26.6.5 o posterior.
- Si gestionas instancias de JFrog Artifactory, revisa logs de las últimas semanas en busca de cuentas administrativas creadas sin explicación y rota todos los tokens.
Esta semana
- Revisa qué APIs de cara a internet expone tu organización y confirma que todas —sin excepción— tienen autenticación y límites de tasa activos.
- Actualiza dispositivos Pixel afectados por CVE-2026-58704 y revisa la política de actualización móvil de tu equipo.
- Refuerza la verificación de solicitudes de datos «oficiales»: ninguna autoridad legítima debería objetar un proceso de confirmación adicional.
Este mes
- Audita qué proveedores de backup (como Acronis) tienen permisos por defecto sin revisar desde su instalación.
- Evalúa tu exposición a campañas de ransomware como servicio: ¿qué activos tuyos son «accesibles», aunque no sean «interesantes»?
- Forma a los equipos de atención a clientes y soporte en el reconocimiento de solicitudes con apariencia institucional pero origen no verificado.
Reflexión final
Pasamos años enseñando a las máquinas a desconfiar por defecto. Esta semana nos recuerda que las personas —y las organizaciones hechas de personas— seguimos programadas para lo contrario: para creer, para responder, para abrir la puerta cuando alguien llama con la voz adecuada. Quizás la pregunta no es cómo construir sistemas que nunca se equivoquen, sino qué estamos dispuestos a perder mientras seguimos aprendiendo a desconfiar sin, en el proceso, dejar de confiar en algo. ¿Se puede tener una civilización digital sin fe institucional? Y si la respuesta es no, ¿cuánta de esa fe podemos permitirnos automatizar antes de que deje de significar algo?
@evaimpulsa – Este informe se ha elaborado a partir de fuentes abiertas (OSINT).