La semana en brechas de seguridad 20 de mayo de 2026

Microsoft ha revelado detalles sobre una campaña de robo de credenciales a gran escala que afectó a más de 35 000 usuarios de 13 000 organizaciones en 26 países.

La campaña utilizó señuelos de phishing basados en el código de conducta, combinados con servicios de correo electrónico legítimos, para redirigir a los usuarios a dominios controlados por los atacantes y robarles los tokens de autenticación. Los correos electrónicos de phishing presentaban plantillas HTML muy bien elaboradas, al estilo de las empresas, con diseños estructurados y declaraciones de autenticidad, lo que les daba un aspecto más creíble y convincente que los intentos típicos de phishing.

La mayoría de los correos electrónicos de phishing tenían como objetivo organizaciones de los sectores de la sanidad y las ciencias de la vida, los servicios financieros, los servicios profesionales y la tecnología. Esta información sale a la luz apenas un mes después de que Microsoft revelara otra campaña de phishing a gran escala que utilizaba flujos de autenticación mediante código de dispositivo para comprometer organizaciones de todo el mundo.

Según se ha informado, una empresa de software que gestiona datos confidenciales para casi todas las agencias federales de EE. UU. fue víctima de una amenaza interna a principios de este año.

Opexus, un proveedor de servicios de software utilizado para el tratamiento de registros del Gobierno de EE. UU., ha revelado que dos empleados accedieron indebidamente a documentos confidenciales y comprometieron o eliminaron docenas de bases de datos, incluidos sistemas que contenían datos del Servicio de Impuestos Internos y de la Administración de Servicios Generales. El incidente está siendo investigado por el FBI y otras fuerzas del orden federales.

Según las informaciones, los dos individuos, identificados como los hermanos gemelos Muneeb y Suhaib Akhter, habrían destruido más de 30 bases de datos y eliminado más de 1.800 archivos relacionados con un proyecto gubernamental. Al parecer, el incidente también provocó interrupciones en sistemas informáticos clave del Gobierno y, en algunos casos, la pérdida definitiva de datos.

BWH Hotels, la empresa matriz de Best Western, WorldHotels y SureStay, ha confirmado una grave filtración de datos que ha dejado al descubierto información confidencial de los clientes.

La empresa hotelera internacional, que gestiona más de 4.500 hoteles en 100 países, detectó el 22 de abril actividad no autorizada en una aplicación web que contenía datos de reservas de huéspedes. La empresa reconoció que los atacantes habían mantenido el acceso a la red durante más de seis meses. Es posible que se hayan visto expuestas miles de reservas relacionadas con Best Western y otras marcas de BWH, lo que suscita preocupación por posibles ataques de phishing dirigidos contra los viajeros.

La empresa ha comenzado a informar a los clientes afectados y les advierte que se mantengan alerta ante páginas de reserva falsas, comunicaciones sospechosas y solicitudes de pago urgentes.

West Pharmaceutical Services, un fabricante de envases farmacéuticos y sistemas de administración de medicamentos, sufrió un ataque de ransomware el 4 de mayo que llevó a la empresa a cerrar y aislar de forma proactiva parte de su infraestructura local.

La empresa, con sede en Pensilvania y uno de los principales proveedores mundiales de tecnologías de administración de fármacos, detectó una actividad inusual en su red y desconectó los sistemas como medida de precaución. El cierre interrumpió el acceso a los sistemas de la empresa y afectó temporalmente a las operaciones comerciales a nivel mundial.

Según las últimas noticias, la empresa ha logrado avances significativos en la reanudación de sus operaciones a nivel mundial, lo que incluye la puesta en marcha de los procesos de fabricación esenciales y de los sistemas de recepción y envío en determinadas sedes.

Una filtración de datos ocurrida a finales de marzo en NYC Health + Hospitals Corporation podría haber afectado a más de 1,8 millones de personas.

NYC Health + Hospitals es el mayor sistema sanitario público de Estados Unidos y atiende a más de un millón de neoyorquinos. El portal de incidencias de la Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos se ha actualizado para indicar que, en el incidente, se vio comprometida la información personal y sanitaria protegida de aproximadamente 1,8 millones de pacientes y empleados actuales y antiguos.

Los investigadores descubrieron que los atacantes habían tenido acceso a la red durante 11 semanas; al parecer, la brecha se originó a raíz de un incidente de seguridad en el que se vio implicado uno de los proveedores de la organización.