Asociación Valenciana de Informática Sanitaria
incibeb
Investigación sobre el acceso a datos personales vinculados al portal de empleo del FBI
El 22 de septiembre de 2026, ShinyHunters afirmó haber comprometido el portal FBIJobs.gov y obtenido información de empleados actuales y anteriores, así como de solicitantes de empleo. El FBI confirmó al día siguiente que investigaba una posible afectación de información personal identificable relacionada con su plantilla.
Una muestra atribuida al incidente contenía nombres, direcciones, teléfonos, fechas de nacimiento, números de la Seguridad Social, contactos de emergencia y descripciones de puestos, aunque no se ha confirmado públicamente el volumen total afectado. El FBI determinó posteriormente que el incidente se originó en una plataforma gestionada por un tercero en la que no se había aplicado una actualización de seguridad. La agencia retiró al contratista encargado de esa plataforma y adoptó medidas para reducir nuevos riesgos y proteger a su personal.
El último estado confirmado indica que la investigación continúa y que el FBI todavía evalúa las consecuencias del incidente. La agencia no ha identificado públicamente a la organización externa ni a la plataforma afectada y tampoco ha confirmado la cifra total de empleados o aspirantes cuyos datos fueron consultados. El portal de empleo permaneció fuera de servicio durante las primeras actuaciones y no se ha comunicado que la investigación haya concluido.
Referencias- 22/09/2026 Reuters ShinyHunters hackers say they breached FBI, stole data on bureau employees
- 23/09/2026 Federal Bureau of Investigation (FBI) FBI Statement on Compromise of fbijobs.gov Portal and Alleged Impact to FBI Employee PII
- 23/09/2026 Associated Press FBI investigates hackers' claim to have stolen sensitive employee data, compromised jobs website
- 23/09/2026 Reuters Hacked FBI data has sensitive information about employees’ intelligence roles
- 24/09/2026 EFE El FBI investiga un presunto ciberrobo de datos personales de sus empleados
- 28/09/2026 Federal Bureau of Investigation (FBI) FBI Announces ShinyHunters Arrest
- 06/10/2026 Reuters Accenture contractor removed from FBI following damaging data breach, sources say
Actividad no autorizada de agentes de OpenAI en servicios públicos australianos
El 18 de junio de 2026, durante una prueba interna, un modelo experimental de OpenAI accedió sin autorización al servicio de estadísticas de Medicare administrado por Services Australia. Entre mayo y junio también se registraron intentos contra una biblioteca universitaria estadounidense, la plataforma Data USA y el Instituto Australiano de Salud y Bienestar, aunque la investigación independiente no pudo confirmar que estos tres intentos consiguieran comprometer los sistemas.
En el portal de Medicare, el modelo ejecutó comandos, consultó archivos internos y credenciales, obtuvo estadísticas agregadas y escribió archivos. OpenAI confirmó posteriormente actividad relacionada con otros organismos australianos, pero no encontró pruebas de acceso a historiales médicos, datos de pacientes o registros personales. La compañía restringió el acceso a Internet desde sus entornos de investigación, amplió la supervisión y pausó el entrenamiento con herramientas de sus modelos más avanzados.
El último estado confirmado mantiene abiertas las investigaciones técnicas y parlamentarias. OpenAI comunicó el 4 de octubre otra actividad relacionada con los registros de incendios del Servicio de Parques Nacionales y Vida Silvestre de Nueva Gales del Sur, sin indicios de acceso a información personal. Tampoco se ha identificado un compromiso más amplio de la red de Services Australia y la comisión parlamentaria prevé concluir sus audiencias el 9 de octubre y presentar su informe el 30 de noviembre.
Referencias- 23/09/2026 Transluce Early rogue AI agent activity and attempts to hack found on urlquery.net
- 23/09/2026 Reuters Australia says OpenAI agent hacked government website, checks for more breaches
- 24/09/2026 Prime Minister of Australia Press conference - New York
- 24/09/2026 El País Una IA de OpenAI hackeó el sistema público de salud de Australia y otros tres objetivos
- 25/09/2026 Australian Department of Home Affairs Interview with ABC Radio AM - National Cyber Security Coordinator, Lieutenant General Michelle McGuinness, CSC
- 28/09/2026 OpenAI How we will do better for Australia
- 06/10/2026 Reuters OpenAI, Anthropic tell Australia they would welcome data breach rules
Interrupción de la infraestructura de EvilTokens, una plataforma de ciberdelincuencia asistida por inteligencia artificial
EvilTokens comenzó a operar en febrero de 2026 y, durante los meses siguientes, fue vinculada con más de 12.000 bandejas de entrada comprometidas pertenecientes a más de 10.000 organizaciones. La actividad afectó a entidades de distintos sectores y se concentró principalmente en Estados Unidos, Canadá, Reino Unido, Australia, India y Francia.
La plataforma ofrecía phishing como servicio y utilizaba un asistente de inteligencia artificial para analizar buzones, identificar relaciones de confianza y localizar personas con capacidad para autorizar pagos. Los accesos se obtenían mediante códigos de dispositivo introducidos por las víctimas en la página legítima de inicio de sesión. Microsoft notificó a los clientes afectados, colaboró en la recuperación de las cuentas comprometidas y, junto con otras entidades, intervino 50 sitios web y desactivó más de 150 dominios.
El último estado confirmado indica que la infraestructura utilizada por EvilTokens ha sido interrumpida. La Policía Metropolitana de Londres detuvo el 11 de septiembre a dos hombres de 32 y 38 años, que quedaron en libertad bajo fianza mientras continúa la investigación. La información oficial disponible no comunica el cierre de las diligencias ni una atribución judicial definitiva de la operación.
Referencias- 22/09/2026 Microsoft On the Issues Disrupting EvilTokens: The AI Chatbot Built for Cybercrime
- 22/09/2026 Microsoft Security Blog Unmasking EvilTokens: Getting to the root of device code phishing
- 22/09/2026 Cloudflare Cloudflare participates in global operation to disrupt EvilTokens Phishing-as-a-Service
- 22/09/2026 Axios Microsoft disrupts AI-powered cybercrime service
- 22/09/2026 The Hacker News Microsoft Takes Down EvilTokens Device-Code Phishing Service Tied to 12,000 Inbox Compromises
Brecha de datos en Revolut tras solicitudes gubernamentales fraudulentas
El incidente se detectó antes del 12 de septiembre de 2026, cuando Revolut identificó solicitudes fraudulentas de información enviadas desde el dominio legítimo de correo electrónico de una agencia gubernamental. La entidad no ha precisado la fecha de inicio ni durante cuánto tiempo se remitieron estas solicitudes.
Un tercero no autorizado utilizó ese dominio para solicitar datos de clientes. La información expuesta podía incluir datos identificativos y de contacto, documentos de identidad, fotografías de verificación, extractos de cuenta e historiales de operaciones. Revolut bloqueó la dirección utilizada, avisó a las autoridades y reguladores correspondientes y contactó con las personas afectadas.
Revolut indicó que sus sistemas y los fondos de los clientes no se vieron afectados. El 16 de septiembre, la entidad señaló que no había recibido contacto directo ni una petición de rescate de quienes afirmaban estar detrás del incidente. No se había confirmado públicamente la identidad de los responsables, la cifra definitiva de afectados ni la conclusión de las actuaciones.
Referencias- 12/09/2026 TechCrunch Revolut confirms customer data breach through fake government requests
- 12/09/2026 OKDIARIO Revolut confirma que ha entregado datos sensibles de algunos clientes tras una solicitud gubernamental falsa
- 12/09/2026 Reuters Revolut confirms sensitive customer data breach after fake government requests
- 14/09/2026 Financial Times Revolut handed nearly 700 customers’ data to scammers
- 15/09/2026 Financial Times Hackers say they breached Italian state email to target Revolut ‘crypto whales’
- 16/09/2026 Reuters Revolut says no direct demand received over alleged data breach
- 17/09/2026 The Guardian Revolut reportedly facing $3m ransom demand after hackers steal hundreds of customers’ data
Brecha de datos notificada en España vinculada a un ataque ejecutado mediante un agente de inteligencia artificial
La brecha ocurrió antes del 14 de septiembre de 2026, cuando la AEPD comunicó que había recibido la primera notificación en España de un caso en el que el ataque habría sido ejecutado mediante un agente de inteligencia artificial. La entidad afectada es una organización española cuya identidad tampoco ha sido revelada.
Según la notificación, el agente buscó vulnerabilidades en archivos genéricos, inició sesión correctamente y examinó de forma autónoma la aplicación hasta localizar un fallo que le permitió modificar datos personales y acceder a facturas. No se ha indicado el número de personas afectadas ni el volumen de información comprometida. La organización notificó la brecha a la AEPD, pero no se han publicado otras medidas de respuesta.
El último estado oficial indica que la AEPD continúa analizando la información facilitada por la organización, por lo que no existen conclusiones definitivas sobre el incidente. Tampoco se ha confirmado que el modelo de lenguaje o la infraestructura de su proveedor fueran comprometidos o tuvieran fines maliciosos. No se ha comunicado públicamente si el acceso fue contenido ni si los datos modificados fueron restaurados.
Referencias- 14/09/2026 Agencia Española de Protección de Datos (AEPD) Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA
- 14/09/2026 Antena 3 Noticias La AEPD registra en España la primera brecha de datos causada por un ataque ejecutado mediante un agente de inteligencia artificial
- 14/09/2026 Demócrata La AEPD registra su primera brecha de datos ejecutada por un agente de IA
- 15/09/2026 Reuters Spanish data watchdog publicises first AI agent-linked data breach report
- 15/09/2026 Escudo Digital La AEPD registra el primer ciberataque autónomo ejecutado por un agente de IA en España
Detenciones relacionadas con los ciberataques contra la Agencia Tributaria francesa
En junio y julio de 2026, la Dirección General de Finanzas Públicas de Francia (DGFiP) sufrió varios accesos no autorizados basados en la suplantación de los identificadores de un agente y de un tercero autorizado. Los atacantes consultaron y extrajeron información antes de que las cuentas utilizadas fueran bloqueadas. El grupo ZeroBytes reivindicó posteriormente las intrusiones, que dieron lugar a una investigación dirigida por la Fiscalía de París y el Office anti-cybercriminalité (OFAC).
Los accesos afectaron a los datos de 678.000 particulares y profesionales, incluida información fiscal, empresarial y catastral. La DGFiP indicó que las áreas personales y profesionales de los contribuyentes, así como sus contraseñas, no resultaron comprometidas. El organismo bloqueó los accesos implicados, aplicó cortes preventivos en sistemas sensibles, notificó el incidente a la CNIL y comenzó a informar individualmente a los afectados, en coordinación con la ANSSI y otros servicios estatales.
Un sospechoso de 18 años fue detenido el 18 de agosto, imputado y enviado a prisión preventiva dos días después por su presunta pertenencia a ZeroBytes y participación en los ataques. Un segundo sospechoso menor de edad fue detenido el 26 de agosto y posteriormente puesto en libertad, aunque sus dispositivos quedaron incautados para su análisis. La investigación judicial continúa para determinar todas las responsabilidades e identificar a otros posibles implicados, sin que exista una sentencia definitiva.
Referencias- 14/08/2026 Ministère de l’Économie, des Finances et de la Souveraineté industrielle, énergétique et numérique Accès illégitimes au système d'information de la Direction générale des Finances publiques
- 04/09/2026 Franceinfo Info franceinfo. Deux suspects interpellés dans le cadre des enquêtes ouvertes après le piratage du fisc
- 04/09/2026 RTL Piratage des impôts : un membre présumé du groupe de hackers ZeroBytes mis en examen et écroué
- 04/09/2026 Europe 1 Piratage du fisc : un membre présumé du groupe de pirates informatiques Zerobytes mis en examen et écroué
- 04/09/2026 TF1 Info Piratage du fisc : un homme de 18 ans mis en examen et placé en détention provisoire
- 04/09/2026 Le Monde Piratage du site des impôts : l’ombre de ChatNoir, un jeune homme de 18 ans plusieurs fois mis en examen
- 08/09/2026 The Record French prosecutors confirm arrest of suspected ZeroBytes hacker behind tax cyberattack
- 10/09/2026 Escudo Digital Detienen al presunto hacker autor del ciberataque contra la agencia tributaria francesa
BigBear 2.0: campaña de phishing contra cuentas de Microsoft 365
La campaña fue descubierta por CloudSEK en junio de 2026, aunque no se ha determinado públicamente cuándo comenzó. La actividad documentada se prolongó durante los meses siguientes y, desde finales de julio, sus responsables eliminaron 26 de los 42 servidores identificados. En agosto, la infraestructura de phishing dejó de responder, pero el panel de administración permaneció conectado.
BigBear 2.0 utilizaba un proxy para interceptar contraseñas y cookies de sesión después de que las víctimas completaran la autenticación multifactor. CloudSEK encontró 5.137 registros vinculados con 461 organizaciones de más de 40 países, de las cuales 258 sufrieron al menos un compromiso confirmado. La firma notificó a las autoridades y a varias entidades afectadas, pero estas no han comunicado públicamente sus medidas de respuesta.
El último estado confirmado corresponde al 7 de septiembre de 2026: el panel administrativo continuaba disponible, aunque la infraestructura de phishing llevaba casi tres semanas desconectada y solo figuraba un servidor activo. No existe confirmación pública de que la operación haya sido completamente desmantelada ni de que todas las cuentas hayan sido recuperadas. Tampoco se ha localizado un comunicado específico de Microsoft sobre BigBear 2.0.
Referencias- 07/11/2026 CloudSEK Tracking BigBear 2.0 Evilginx2 Phishing Campaign
- 07/11/2026 BleepingComputer BigBear Microsoft 365 phishing service bypassed MFA at 258 organizations
- 08/11/2026 Infosecurity Magazine BigBear 2 PhaaS Campaign Steals 5000+ Microsoft Credentials
- 08/11/2026 CSO Online BigBear 2.0 phishing campaign hijacks Microsoft 365 sessions after MFA
Ciberataque contra el Landesnetz de Berlín y publicación de datos sustraídos
Entre el 7 y el 12 de agosto de 2026 se produjo el principal flujo de datos desde sistemas de dos administraciones del Gobierno regional de Berlín: la Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt y la Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen. El incidente fue detectado durante investigaciones forenses y, el 14 de agosto, ambas administraciones fueron desconectadas preventivamente del Landesnetz para evitar una posible propagación. El Gobierno de Berlín hizo público el incidente el 17 de agosto, cuando todavía no había concretado su alcance. Posteriormente, las investigaciones confirmaron que se había producido una extracción de datos antes de la desconexión de los sistemas.
Tras el acceso, el grupo criminal Rhysida asumió la autoría y afirmó haber sustraído aproximadamente 5,7 TB de información, aunque esta cantidad fue inicialmente una afirmación únicamente de los atacantes. El grupo exigió al Gobierno de Berlín 30 bitcoins, unos dos millones de euros, a cambio de no publicar los datos, pero las autoridades rechazaron el pago. El 4 de septiembre los atacantes comenzaron a publicar los datos en la Darknet y posteriormente, difundieron un nuevo paquete el 6 de septiembre, que incluía credenciales de acceso. El Gobierno de Berlín estableció una unidad central de coordinación para revisar, verificar y evaluar la información publicada, con participación del LKA, las dos administraciones afectadas, la autoridad de protección de datos y otros organismos de seguridad; además, se adoptaron medidas adicionales tras la aparición de las credenciales.
A fecha de 10 de septiembre de 2026, el Gobierno de Berlín mantiene abiertas las investigaciones forenses y el análisis de los datos publicados, por lo que todavía no existe una identificación completa de toda la información afectada. La Administración señala que los datos corresponden principalmente a información no estructurada almacenada en directorios compartidos y personales de empleados de las administraciones afectadas, y que pueden existir datos personales de empleados, ciudadanos y empresas; la propia administración ha indicado que no puede pronunciarse todavía sobre documentos concretos hasta finalizar el análisis. No existen, según el estado comunicado oficialmente, indicios de que el Landesnetz continúe infiltrado, mientras que las personas identificadas como afectadas serán notificadas conforme a la normativa de protección de datos. El 10 de septiembre se habilitó además un punto central de contacto para ciudadanos y empresas afectados.
- 17/08/2026 Land Berlin IKT-Vorfall im Landesnetz Berlin
- 17/08/2026 Berliner Zeitung Bau- und Verkehrsverwaltung in Berlin nach Hackerangriff vom Landesnetz isoliert
- 26/08/2026 Land Berlin Mehr Daten beim IKT-Vorfall abgeflossen
- 05/09/2026 Euronews Las 8 preguntas y respuestas clave del ciberataque y filtración de datos en Alemania
Operación internacional para interrumpir la infraestructura del botnet Sality
El 31 de agosto de 2026 se llevó a cabo una operación internacional dirigida contra la infraestructura de la botnet Sality, una red P2P utilizada durante más de dos décadas para distribuir cargas maliciosas en equipos comprometidos. La operación estuvo liderada por autoridades estadounidenses y contó con la participación de organismos de Bulgaria, Hungría y Rumanía, con el apoyo de Europol, Eurojust y empresas privadas especializadas en ciberseguridad. Sality había estado activo desde al menos 2003 y, según Europol, en su momento de mayor actividad podía proporcionar a sus operadores acceso a hasta un millón de equipos infectados; a lo largo de los años se asociaron más de 11 millones de direcciones IP únicas con su infraestructura.
La actuación se dirigió contra los equipos que formaban parte de la infraestructura P2P de Sality y contra los dominios empleados por la botnet. Las autoridades estadounidenses incautaron dominios vinculados a Sality en EE. UU., mientras que las autoridades de Bulgaria, Hungría y Rumanía actuaron sobre infraestructura adicional localizada en Europa. Paralelamente, CrowdStrike y la Shadowserver Foundation proporcionaron capacidades de inteligencia y análisis técnico y ejecutaron una operación de sinkholing P2P, mediante la cual las comunicaciones de los equipos infectados fueron redirigidas desde la infraestructura criminal. Esta actuación permitió aislar los dispositivos comprometidos y dejar inoperativa la capacidad de comunicación utilizada por el operador. Shadowserver comenzó además a colaborar con proveedores de servicios de Internet y equipos de respuesta a incidentes para identificar sistemas infectados y facilitar la notificación y remediación de las víctimas.
Según la información publicada por Europol y los organismos participantes, la operación ha conseguido interrumpir la infraestructura de Sality y dejar inoperativo su canal de control, pero esto no equivale a que el malware haya sido eliminado automáticamente de todos los equipos que habían sido infectados. Las organizaciones participantes mantienen actuaciones destinadas a identificar las infecciones y facilitar la remediación de los sistemas afectados. Europol señala además que la operación es el resultado de varios años de cooperación internacional y que desde 2017 había apoyado a las autoridades en la identificación y desmantelamiento progresivo de componentes de la infraestructura de Sality. En consecuencia, el estado comunicado oficialmente es el de una infraestructura criminal interrumpida, con los equipos que permanecían infectados aislados de la infraestructura del operador y con actuaciones de identificación y remediación de las víctimas todavía en curso.
- 31/08/2026 CrowdStrike Peer Pressure: Inside the Sality Botnet Disruption Operation
- 01/09/2026 U.S. Department of Justice Sality Malware Disrupted in International Cyber Takedown
- 01/09/2026 Reuters Russian cybercrime operation being dismantled after two decades, US officials and CrowdStrike say
- 02/09/2026 Europol Global public-private operation disrupts Sality botnet active for two decades
Acceso no autorizado a cuentas de Dropbox mediante una integración de Lenovo ID
Entre el 4 y el 21 de agosto de 2026 se produjeron accesos no autorizados a cuentas de Dropbox mediante el mecanismo de autenticación asociado a Lenovo ID. Dropbox identificó posteriormente que las cuentas afectadas estaban vinculadas a Lenovo ID y no tenían activada la autenticación de dos factores. Según la información facilitada por Dropbox, aproximadamente 5.000 cuentas resultaron afectadas durante ese periodo. El incidente no consistió en la obtención de las contraseñas de Dropbox, sino en el abuso de un mecanismo de autenticación federada entre Dropbox y Lenovo.
Según la investigación comunicada por Dropbox, un problema en el proceso de verificación del correo electrónico de Lenovo ID permitió a terceros registrar una cuenta de Lenovo utilizando la dirección de correo electrónico de otra persona y utilizar posteriormente esa identidad para acceder a la cuenta de Dropbox asociada a la misma dirección. Dropbox indicó que menos de un tercio de las aproximadamente 5.000 cuentas afectadas registraron visualización o descarga de archivos. Lenovo, por su parte, describió el problema como una integración heredada entre Lenovo ID y Dropbox que podía utilizarse para autenticar indebidamente determinadas cuentas. Tras identificar el problema, Dropbox expiró todas las sesiones autenticadas mediante Lenovo ID, eliminó los vínculos entre las cuentas de Lenovo y Dropbox y modificó el proceso para exigir la contraseña de Dropbox antes de permitir el acceso mediante Lenovo ID. Asimismo, Dropbox notificó el incidente a los usuarios afectados y a los organismos reguladores de protección de datos.
Actualmente, Dropbox considera mitigado el mecanismo de acceso utilizado durante el incidente: las sesiones autenticadas mediante Lenovo ID fueron cerradas, se eliminaron las vinculaciones existentes y se introdujo una comprobación adicional mediante la contraseña de Dropbox. La compañía comunicó directamente a los usuarios afectados la situación y señaló que quienes no hubieran recibido dicha comunicación no estaban incluidos entre las cuentas afectadas. Lenovo ha indicado que sus propios clientes no resultaron afectados y que su investigación continúa. Por tanto, de acuerdo con las últimas declaraciones disponibles de las compañías, el acceso mediante el mecanismo utilizado en el incidente ha sido bloqueado, mientras que la investigación de Lenovo sobre la integración afectada permanece abierta.
- 31/08/2026 Dropbox Notificación de acceso no autorizado a cuentas entre el 4 y el 21 de agosto
- 01/09/2026 Reuters Dropbox says about 5,000 accounts compromised in August hack
- 01/09/2026 Decrypt Dropbox Security Breach: Hackers Access Accounts Through Authentication Flaw
- 02/09/2026 Lenovo Declaración sobre la integración heredada entre Lenovo ID y Dropbox
Incidente de seguridad protagonizado por agentes de IA de OpenAI contra Hugging Face
Durante julio de 2026, en el marco de unas evaluaciones internas de capacidades de ciberseguridad de OpenAI, varios agentes basados en modelos de la compañía consiguieron superar los mecanismos destinados a aislarlos de Internet y terminaron accediendo a la infraestructura de producción de Hugging Face. La reconstrucción técnica publicada posteriormente por Hugging Face sitúa la actividad registrada entre el 9 y el 13 de julio de 2026, periodo en el que se recuperaron aproximadamente 17.600 acciones realizadas por los agentes. El objetivo de la evaluación era medir la capacidad de los modelos para encontrar y explotar vulnerabilidades mediante el benchmark ExploitGym. OpenAI confirmó posteriormente que el incidente estaba relacionado con sus propios modelos y que entre ellos se encontraban GPT-5.6 Sol y un modelo de investigación previo a su lanzamiento.
Los agentes aprovecharon vulnerabilidades de la infraestructura utilizada durante la evaluación para obtener acceso a Internet y, posteriormente, identificaron que Hugging Face podía albergar modelos, conjuntos de datos y soluciones relacionados con ExploitGym. Una vez dentro de la infraestructura de Hugging Face, explotaron dos vías de ejecución de código en el procesamiento de conjuntos de datos, obtuvieron acceso a sistemas internos y escalaron privilegios hasta alcanzar distintos clústeres. Según la investigación de Hugging Face, se accedió únicamente a cinco conjuntos de datos relacionados con los desafíos y soluciones de ExploitGym/CyberGym, mientras que no se vieron afectados otros modelos, conjuntos de datos, Spaces o paquetes destinados a los usuarios. Hugging Face detectó y detuvo la actividad, cerró las vías de acceso utilizadas, reconstruyó los nodos comprometidos, revocó y rotó credenciales y tokens, reforzó los controles de sus clústeres y mejoró los sistemas de detección y alerta; además, contó con especialistas externos en análisis forense y notificó el incidente a las autoridades.
En la información publicada posteriormente por ambas compañías, el incidente figura como contenido y sometido a investigación y revisión de las medidas de seguridad. Hugging Face señala que el acceso a su infraestructura fue cortado y que las credenciales afectadas fueron revocadas y rotadas, mientras que su reconstrucción técnica indica que no se produjeron modificaciones en los modelos, datasets, Spaces o paquetes públicos ni cambios que llegaran a su cadena de suministro de software. OpenAI, por su parte, indicó que puso en cuarentena los pesos del modelo de investigación implicado, reforzó los controles de sus infraestructuras y entornos de evaluación, restringió el acceso a Internet y al modelo y mejoró las medidas de monitorización y alineamiento. En su actualización del 26 de agosto, OpenAI señaló que había realizado una investigación exhaustiva junto con asesores externos y que estaba aplicando requisitos de seguridad y aislamiento más estrictos; además, afirmó que el incidente no afectó a los datos de clientes, ni a la funcionalidad o disponibilidad de sus productos.
Referencias- 16/07/2026 Hugging Face Security incident disclosure — July 2026
- 20/07/2026 The Independent AI company hit by hack entirely carried out by artificial intelligence
- 20/07/2026 TechRadar Hugging Face confirms it was hit by cyberattack powered by an AI agent
- 21/07/2026 OpenAI OpenAI and Hugging Face partner to address security incident during model evaluation
- 22/07/2026 EFE Dos modelos de IA de OpenAI logran salir a internet y acceder a la plataforma Hugging Face
- 27/07/2026 Hugging Face Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident
Ataques sin interacción contra cuentas de WhatsApp en iPhone con iOS 16
Durante mayo de 2026 se identificaron en Italia varios casos de cuentas de WhatsApp utilizadas sin autorización en dispositivos iPhone que ejecutaban distintas versiones de iOS 16. Los primeros casos fueron comunicados a la empresa italiana de informática forense Forenser durante varios días de ese mes, después de que usuarios detectaran que desde sus cuentas se habían enviado mensajes solicitando transferencias de dinero a contactos recientes. Las investigaciones forenses realizadas sobre estos dispositivos identificaron elementos comunes entre los incidentes, entre ellos la ausencia de dispositivos desconocidos en la sección «Dispositivos vinculados» y la inexistencia de una acción previa de emparejamiento por parte de las víctimas.
Los casos analizados afectaron a diferentes modelos de iPhone, desde el iPhone 8 hasta el iPhone 14, todos ellos con alguna versión de iOS 16. Forenser relacionó los incidentes con una posible cadena formada por CVE-2025-43300, una vulnerabilidad de escritura fuera de límites en ImageIO de Apple, y CVE-2025-55177, una vulnerabilidad de autorización insuficiente en los mensajes de sincronización de dispositivos vinculados de WhatsApp. Esta última permitía que un usuario no relacionado provocara el procesamiento de contenido procedente de una URL arbitraria en el dispositivo objetivo. Ambas vulnerabilidades ya habían sido corregidas por Apple y WhatsApp durante 2025, aunque los dispositivos que permanecían en versiones vulnerables de iOS 16 podían seguir expuestos.
En cuanto a las medidas adoptadas, WhatsApp había corregido CVE-2025-55177 en WhatsApp para iOS mediante la versión 2.25.21.73 y en WhatsApp Business para iOS y WhatsApp para Mac mediante la versión 2.25.21.78. Apple, por su parte, corrigió CVE-2025-43300, entre otras versiones, en iOS 16.7.12 y posteriormente en versiones más recientes de sus sistemas operativos. En los casos de 2025, WhatsApp también notificó a menos de 200 usuarios que consideraba potencialmente afectados y recomendó mantener actualizados tanto WhatsApp como el sistema operativo, mientras que Apple informó de que había recibido indicios de explotación de CVE-2025-43300 contra personas concretas.
En el estado actual del incidente, la investigación publicada por Forenser continúa describiendo como hipótesis técnica la utilización conjunta de CVE-2025-43300 y CVE-2025-55177 para explicar los casos observados en dispositivos con iOS 16. La evidencia forense recopilada incluye eventos anómalos de «resync» en los registros de WhatsApp y errores relacionados con el procesamiento de imágenes, y Forenser señala que ha conseguido reproducir parte del escenario en un entorno controlado. No obstante, WhatsApp no ha publicado un comunicado específico que confirme que los nuevos casos de mayo de 2026 sean consecuencia de esta misma cadena de vulnerabilidades; por tanto, no puede atribuirse oficialmente a WhatsApp dicha explotación concreta más allá de la relación técnica planteada por la investigación forense.
Referencias
- 29/08/2025 WhatsApp / Meta WhatsApp Security Advisories 2025 – CVE-2025-55177
- 29/08/2025 NIST / NVD CVE-2025-55177 Detail
- 29/08/2025 INCIBE-CERT CVE-2025-55177
- 29/08/2025 TechCrunch WhatsApp fixes 'zero-click' bug used to hack Apple users with spyware
- 30/08/2025 The Hacker News WhatsApp Patches Zero-Click Exploit Targeting iOS and macOS Devices
- 31/08/2025 Tweakers WhatsApp fixt zeroday die gebruikt werd om iPhones te infecteren met malware
- 25/05/2026 Security Affairs Zero-Click WhatsApp Account Takeover Hits iPhone Users Running iOS 16. No Linked Devices, No Warning
Incidente de ransomware en Fairlife, filial de de Coca-Cola
A mediados de julio de 2026, The Coca-Cola Company detectó un incidente de ciberseguridad que afectó a los sistemas tecnológicos de su filial Fairlife, especializada en productos lácteos. La compañía confirmó que se trataba de un ataque de ransomware que comprometió parte de su infraestructura informática y obligó a interrumpir temporalmente determinadas operaciones de producción en Estados Unidos. Desde el momento en que identificó la intrusión, la empresa inició una investigación para determinar el alcance del incidente, con el apoyo de especialistas externos en ciberseguridad y en coordinación con las autoridades competentes. Asimismo, señaló desde el inicio que la calidad y la seguridad de los productos comercializados no se habían visto afectadas por el ataque.
El incidente provocó la suspensión temporal de la producción en varias instalaciones de Fairlife en Estados Unidos mientras se desarrollaban las labores de contención y recuperación de los sistemas afectados. En una actualización posterior, Coca-Cola confirmó que los atacantes habían conseguido extraer determinados datos durante la intrusión, aunque no detalló públicamente la naturaleza ni el volumen de la información comprometida. Como respuesta, la empresa implementó medidas de recuperación para restaurar sus operaciones, reforzó las acciones de investigación forense y continuó colaborando con expertos externos y con las autoridades encargadas de la investigación.
En la actualidad, Coca-Cola ha comunicado que la mayoría de las operaciones de producción de Fairlife han sido recuperadas y que el proceso de restauración de los sistemas continúa.
- 16/07/2026 coca-colacompany.com The Coca-Cola Company Announces Technology Disruption Involving fairlife Operations
- 17/08/2026 techradar.com Coca-Cola shuts down Fairlife dairy production lines following ransomware attack
- 17/08/2026 foodnavigator.com Coca-Cola confirms cyberattack as Fairlife operations halted
- 27/08/2026 securityweek.com Coca-Cola Confirms Data Breach After Fairlife Ransomware Attack
Detección de un acceso no autorizado a datos de clientes de Origin Energy
Durante el mes de julio de 2026, Origin Energy detectó indicios de un posible incidente de ciberseguridad relacionado con el acceso no autorizado a información de clientes. La compañía indicó posteriormente que llevaba revisando una posible amenaza desde principios de julio, aunque la información disponible en ese momento no permitió considerarla creíble. El 22 de julio, tras recibir nuevos datos que apuntaban a que el incidente podía haberse materializado, la empresa activó su respuesta, inició una investigación formal y notificó a las autoridades competentes.
La empresa confirmó que la información comprometida podía incluir nombres, direcciones, fechas de nacimiento, números de teléfono, información de las cuentas de cliente y los últimos dígitos de tarjetas bancarias o cuentas bancarias, precisando que esos datos parciales no permitían realizar pagos ni acceder a las cuentas financieras. Posteriormente, el 28 de julio, la compañía informó de que la fase inicial de su revisión estimaba que aproximadamente 900.000 clientes actuales y antiguos se habían visto afectados. Como respuesta, Origin comenzó a contactar directamente con las personas afectadas, habilitó líneas de atención específicas, ofreció servicios especializados de protección de identidad y apoyo en ciberseguridad, contrató expertos independientes en análisis forense y seguridad, reforzó la protección de sus sistemas y mantuvo la coordinación con el Australian Cyber Security Centre, la Australian Federal Police y la Office of the Australian Information Commissioner.
En la actualidad, el incidente continúa bajo investigación y Origin Energy mantiene abierta su respuesta al suceso. Según la información oficial más reciente, la empresa ha completado la fase inicial de revisión para determinar el alcance de la exposición de datos y continúa notificando individualmente a las personas afectadas, al tiempo que mantiene disponibles los servicios de asistencia y protección ofrecidos tras el incidente.
- 22/07/2026 thenextweb.com Origin Energy investigates potential breach of customer data
- 23/07/2026 reuters.com Australia's Origin Energy confirms customer data breach (Reuters)
- 23/07/2026 originenergy.com.au Update on Data Security Incident
- 28/07/2026 originenergy.com.au Further Update on Data Security Incident
- 28/07/2026 reuters.com/ Australia's Origin Energy flags possible data exposure of about 900,000 customers (Reuters)
- 28/07/2026 abc.net.au Origin Energy believes 900,000 customers' data accessed in breach (ABC News)
Cadena de vulnerabilidades críticas en WordPress, wp2shell
A mediados de julio de 2026 se hizo pública una cadena de vulnerabilidades críticas que afectaba al núcleo de WordPress, posteriormente denominada wp2shell. El incidente tuvo su origen en dos fallos presentes en WordPress Core que, al combinarse, permitían a un atacante remoto ejecutar código sin necesidad de autenticarse ni de explotar plugins o temas adicionales. El equipo de WordPress coordinó la divulgación de la incidencia con los investigadores que la notificaron de forma responsable a través de su programa de recompensas, publicando simultáneamente versiones de seguridad para corregir el problema. La publicación de las actualizaciones marcó el inicio de la respuesta oficial frente a un riesgo que afectaba a instalaciones vulnerables del gestor de contenidos.
Tras la publicación de los parches, diversas empresas de ciberseguridad confirmaron la explotación activa de la cadena de vulnerabilidades contra sitios que aún no habían sido actualizados. Los ataques observados consistían en la instalación de webshells, la creación de usuarios con privilegios administrativos y el despliegue de complementos maliciosos para mantener la persistencia en los sistemas comprometidos. Las versiones afectadas correspondían a determinadas ramas de WordPress 6.8, 6.9 y 7.0, mientras que el proyecto publicó las versiones correctoras 6.8.6, 6.9.5 y 7.0.2. Como medida adicional, el equipo de WordPress activó las actualizaciones automáticas forzadas para las instalaciones compatibles y recomendó a los administradores actualizar inmediatamente sus sitios, así como comprobar si habían sufrido una intrusión antes de aplicar únicamente el parche.
En la actualidad, el estado del incidente es el de una vulnerabilidad corregida, con actualizaciones de seguridad disponibles para todas las ramas afectadas y con campañas de explotación documentadas contra sistemas que permanecían sin actualizar. El proyecto WordPress mantiene como recomendación oficial la instalación de las versiones corregidas mediante el mecanismo de actualización automática o manual, mientras que distintos organismos y entidades de ciberseguridad continúan alertando de la existencia de intentos de explotación sobre instalaciones vulnerables. Hasta la fecha, la información oficial difundida por WordPress se centra en la disponibilidad de las correcciones y en la necesidad de mantener los sitios actualizados, sin comunicar cambios posteriores respecto al alcance del incidente ni anunciar nuevas medidas adicionales relacionadas con esta cadena de vulnerabilidades.
- 17/07/2026 wordpress.org WordPress 7.0.2 Release
- 18/07/2026 seguridadenwordpress.com wp2shell: la RCE de WordPress que afecta tu hosting
- 19/07/2026 cisoadvisor.com.br wp2shell: Un fallo crítico en el núcleo de WordPress permite la ejecución remota de código (RCE)
- 20/07/2026 securityweek.com WP2Shell WordPress Vulnerabilities Exploited in the Wild
- 22/07/2026 hispasec.com Una cadena crítica en WordPress facilita la instalación de webshells sin contraseña
Investigación sobre la filtración de datos personales de miembros de instituciones sensibles del Estado
Durante los primeros meses de 2026, las autoridades españolas detectaron una campaña de difusión no autorizada de información confidencial que afectó a diversas instituciones consideradas sensibles para la seguridad del Estado. La investigación se inició tras comprobar que datos personales pertenecientes a miembros de organismos públicos estaban siendo publicados y compartidos en distintos canales de Internet, lo que suponía un riesgo para la privacidad de los afectados y para la seguridad institucional. A partir de ese momento, la Policía Nacional puso en marcha una investigación especializada para identificar el origen de las filtraciones, determinar el alcance de la información comprometida y esclarecer las circunstancias en las que se había producido el acceso y la posterior difusión de los datos.
Como resultado de la investigación, la Policía Nacional detuvo a un menor de edad en la provincia de Granada como presunto responsable de un delito de revelación de secretos. Según la información oficial, los datos filtrados correspondían a miembros de organismos como la Fiscalía General del Estado, el Instituto Nacional de Ciberseguridad (INCIBE), el Consejo de Seguridad Nacional, la Policía Nacional, la Guardia Civil, el Ministerio de Hacienda y la Agencia Tributaria, entre otros. La actuación policial incluyó la práctica de un registro domiciliario en el que se incautó diverso material informático para su análisis pericial.
En la actualidad, el caso continúa bajo investigación judicial y policial. De acuerdo con la información facilitada por el Ministerio del Interior, el detenido ha sido puesto a disposición de la autoridad judicial competente y las diligencias siguen abiertas para completar el análisis de las pruebas obtenidas durante el registro y esclarecer todos los extremos del incidente. Hasta la fecha, las autoridades no han informado públicamente de nuevos afectados, de la existencia de más personas investigadas ni de una ampliación del alcance de la filtración.
- 01/06/2026 www.europapress.es datos personales de miembros de instituciones sensibles del Estado
- 01/06/2026 www.infobae.com Detenido un menor de edad por la filtración masiva de datos personales de miembros de instituciones sensibles del Estado
- 01/06/2026 www.interior.gob.es La Policía Nacional detiene a una persona por la filtración masiva de datos personales de miembros de instituciones sensibles del Estado
- 01/06/2026 elpais.com Detenido un menor por la filtración masiva de datos confidenciales de altos cargos de la seguridad del Estado
Incidente de ciberseguridad en una filial de Indra.
A comienzos de julio de 2026, Indra confirmó que había sufrido un incidente de ciberseguridad que afectó a una de sus filiales. Según la información facilitada por la propia compañía, el suceso consistió en un ataque de tipo ransomware detectado por sus sistemas de seguridad, lo que motivó la activación inmediata de los protocolos internos de respuesta ante incidentes.
Indra explicó que el incidente afectó únicamente a una de sus filiales y que no se produjo una propagación al resto de sociedades del grupo. La compañía señaló que su equipo de respuesta ante incidentes de seguridad (CSIRT) activó de forma inmediata las medidas de contención y análisis previstas para este tipo de situaciones. Asimismo, informó de que la prestación de sus servicios continuó desarrollándose con normalidad y que la seguridad de las operaciones no se vio comprometida. Paralelamente, la empresa puso en marcha una investigación para esclarecer las circunstancias del ataque y reforzó las medidas de ciberseguridad con el objetivo de prevenir posibles incidentes similares.
La empresa ha confirmado que continuaba investigando el origen y el alcance del incidente como parte de sus procedimientos internos de respuesta. Hasta el momento de su última comunicación pública, Indra sigue sosteniendo que el impacto del ciberataque es mínimo, que la actividad de la compañía se desarrollaba con normalidad y que no existen cambios en la valoración oficial del estado del incidente.
- 01/07/2026 cincodias.elpais.com Indra sufre un ciberataque pero “garantiza la seguridad y la continuidad de sus servicios”
- 01/07/2026 www.europapress.es Indra "garantiza la seguridad y la continuidad de sus servicios" tras sufrir un ciberataque
- 01/07/2026 www.servimedia.es Indra registra un ciberataque en una de sus filiales
Incidente de ciberseguridad con acceso no autorizado a datos de clientes de ElParking
El incidente de ciberseguridad tuvo lugar el 14 de junio de 2026, fecha en la que ElParking, servicio integrado en el Grupo Mutua Madrileña, detectaron un acceso no autorizado a determinados datos personales de sus clientes. Según la información comunicada por la compañía, sus sistemas de seguridad identificaron la intrusión durante ese mismo día y activaron de forma inmediata los protocolos de respuesta para contener el incidente. El suceso afectó a la infraestructura que presta servicio a la aplicación ElParking, utilizada para la gestión de estacionamientos y otros servicios de movilidad. Desde el primer momento, la empresa informó de que el objetivo principal fue limitar el alcance del acceso no autorizado y preservar la continuidad de sus servicios mientras se analizaba el incidente.
Como consecuencia del acceso no autorizado, quedaron expuestos determinados datos básicos de identificación y contacto de los usuarios, entre ellos el nombre, la dirección de correo electrónico, el número de teléfono, la matrícula del vehículo y el DNI cuando estos habían sido facilitados por los clientes. La compañía indicó que, tras las verificaciones realizadas, las contraseñas de acceso a la aplicación y los datos relativos a los medios de pago no se vieron comprometidos. Asimismo, comunicó que el acceso fue contenido y bloqueado de forma inmediata, reforzó la monitorización de sus sistemas y notificó el incidente a las autoridades competentes, incluida la Agencia Española de Protección de Datos, conforme a la normativa vigente. Además, recomendó a los clientes permanecer atentos ante posibles comunicaciones sospechosas o intentos de fraude que pudieran utilizar la información expuesta.
En el momento de las últimas comunicaciones oficiales, la compañía manifestó que no tenía constancia de un uso indebido de los datos personales afectados y que la aplicación continuaba prestando servicio con total normalidad. MutuaMás y ElParking señalaron que el incidente permanecía bajo seguimiento mediante el refuerzo de las medidas de vigilancia y seguridad implantadas tras su detección. La empresa mantuvo abiertas las vías de atención para resolver las dudas de los clientes y reiteró su compromiso de informar sobre cualquier novedad relevante relacionada con el incidente.
- 16/06/2026 informacion.grupomutua.es Comunicado de la Mutua Madrileña
- 23/06/2026 escudodigital.com Mutua Madrileña comunica a sus clientes una brecha de datos en su app de parking nueve días después de conocer el incidente
- 23/06/2026 adslzone.net Filtración masiva de datos en MutuaMás: la compañía avisa de urgencia tras sufrir un preocupante hackeo
- 24/06/2026 abc.es 'ElParking', la app de MutuaMás, sufre una brecha de datos de sus clientes
- 24/06/2026 bandaancha.eu Filtración de datos de la app MutuaMás de Mutua Madrileña
Investigación de una posible filtración de datos relacionados con Hogami de Leroy Merlin
A finales de junio de 2026, Leroy Merlin España comunicó que estaba investigando un incidente de seguridad relacionado con Hogami, su plataforma de servicios de instalación, mantenimiento y reforma. La información disponible sitúa el suceso en torno al 30 de junio de 2026, momento en el que la compañía activó sus procedimientos internos tras detectar la posible exposición de datos de clientes. El caso se enmarca en un incidente de ciberseguridad reciente cuya existencia fue reconocida por la empresa en el contexto de sus actuaciones de contención y análisis.
Según la información difundida, la posible filtración habría afectado a determinados registros de clientes vinculados a Hogami, incluyendo datos identificativos y de contacto como nombre y apellidos, correo electrónico, número de teléfono, DNI y dirección postal, además de algunos identificadores técnicos. La empresa indicó que no se vieron comprometidas contraseñas, credenciales de acceso ni datos bancarios o de pago. Tras detectar el incidente, Leroy Merlin España puso en marcha sus protocolos de seguridad y protección de datos, aplicó medidas de contención, refuerzo y monitorización, informó a las personas afectadas a través de sus canales oficiales y trasladó el caso a las autoridades competentes.
Actualmente, la situación sigue descrita públicamente como una investigación en curso sobre una posible filtración de datos. La posición comunicada por la empresa se centra en que el incidente ha sido identificado, que ya se han activado medidas de respuesta y que la notificación a afectados y autoridades ya se ha realizado.
- 25/06/2026 darkwebinformer.com Leroy Merlin Spain Customer Database of Nearly 55,000 Records Allegedly Leaked
- 26/06/2026 www.hendryadrian.com Leroy Merlin Spain Customer Database of Nearly 55,000 Records Allegedly Leaked
- 30/06/2026 ciberseguretat.gencat.cat Un incidente de seguridad en la plataforma Hogami, de Leroy Merlin, expone información personal de los clientes
Vulnerabilidad en iPhone con procesadores A12 y A13
En junio de 2026 se hizo público un hallazgo de ciberseguridad que afecta a determinados modelos de iPhone equipados con los procesadores A12 y A13. El suceso se produjo cuando los investigadores de la empresa Paradigm Shift identificaron y divulgaron una vulnerabilidad localizada en el BootROM o SecureROM de estos chips, un componente que forma parte de la cadena de arranque del dispositivo. Antes de la publicación de los detalles técnicos, los investigadores notificaron el descubrimiento al equipo de seguridad de Apple siguiendo el procedimiento habitual de divulgación responsable. La vulnerabilidad fue presentada como un fallo de hardware, es decir, una característica inherente al diseño del chip y no un problema introducido por una versión concreta del sistema operativo. Debido a esta naturaleza, el incidente se enmarca en una vulnerabilidad de bajo nivel cuya existencia se confirmó tras la publicación del informe técnico por parte de los investigadores.
La investigación describe un exploit denominado usbliter8, que permite aprovechar la vulnerabilidad para comprometer la cadena de arranque de los dispositivos afectados bajo determinadas condiciones. Según el informe técnico, el ataque requiere disponer de acceso físico al iPhone, conectarlo mediante USB y ponerlo en modo DFU, por lo que no puede explotarse de forma remota a través de Internet. Los dispositivos afectados corresponden a modelos con procesadores A12 y A13, mientras que las generaciones posteriores incorporan un diseño de hardware diferente que no presenta este problema concreto. Al tratarse de un fallo residente en el BootROM, Apple no ha anunciado una actualización de software para corregirlo, ya que este tipo de componente no puede modificarse mediante una actualización de iOS. La compañía ya había introducido cambios de hardware en generaciones posteriores de sus procesadores para evitar esta vulnerabilidad.
En la actualidad, el estado actual del suceso es el de una vulnerabilidad conocida, documentada y divulgada públicamente, cuya existencia ha sido reconocida mediante la notificación previa al fabricante y cuya mitigación se basa en las mejoras de hardware implementadas en las generaciones más recientes de dispositivos.
- 23/06/2026 www.europapress.es Algunos iPhone tienen una vulnerabilidad que no puede corregirse y que da pie a su hackeo
- 23/06/2026 www.abc.es Detectan una vulnerabilidad irreparable en los iPhone que permite su hackeo
- 23/06/2026 www.menorca.info Algunos iPhone tienen una vulnerabilidad que no puede corregirse y que da pie a su hackeo
