La semana en brechas de seguridad 27 de mayo de 2026

Más de 5.000 repositorios de GitHub se vieron afectados por una campaña maliciosa automatizada denominada «Megalodon», que utilizaba solicitudes de incorporación de cambios falsas para robar información confidencial.

Los ataques a la cadena de suministro dirigidos a repositorios de código abierto de JavaScript y Python siguen aumentando. Un incidente reciente llevó a GitHub, propiedad de Microsoft, a advertir de que unos atacantes habían robado unos 3.800 repositorios internos después de que un desarrollador instalara una extensión maliciosa de Visual Studio Code. El grupo de hackers especializado en ataques a la cadena de suministro TeamPCP reivindicó la autoría del ataque.

En lugar de modificar directamente el código de las aplicaciones, la campaña insertó un archivo de flujo de trabajo malicioso en los repositorios a través de GitHub Actions, la plataforma de CI/CD basada en la nube de GitHub para la compilación, las pruebas y la implementación de software. Según los informes, la campaña Megalodon ejecutó un total de 5.718 commits maliciosos en 5.561 repositorios en un plazo de seis horas.

Los hospitales universitarios alemanes se enfrentan a una filtración de datos de pacientes a gran escala después de que unos piratas informáticos desconocidos atacaran a un proveedor externo de servicios de facturación al que recurren centros médicos de todo el país.

Según se ha informado, la filtración afectó a Unimed, una empresa que gestiona los servicios de facturación para pacientes con seguro privado y pacientes que pagan por cuenta propia en nombre de numerosos hospitales alemanes. Según las informaciones, el ataque se produjo a mediados de abril y afectó a decenas de miles de pacientes vinculados a los hospitales universitarios de Colonia, Friburgo, Ulm, Heidelberg y Tubinga.

Según se ha informado, los datos filtrados incluyen nombres, direcciones, información sobre los médicos, comunicaciones relacionadas con la salud con la entidad de facturación, así como datos bancarios y de pago.

Beacon Mutual Insurance Company, una aseguradora líder en el ámbito de la indemnización por accidentes laborales con sede en Rhode Island, ha comenzado a notificar a las personas cuyos datos personales se vieron expuestos en un reciente ataque de ransomware.

La empresa detectó el ataque el 14 de enero de 2026, y una investigación posterior reveló que los atacantes habían tenido acceso a determinados sistemas entre el 7 y el 14 de enero. Según se ha informado, durante ese periodo, los autores del ataque copiaron archivos de datos que contenían información confidencial, como nombres, números de la Seguridad Social, números de permiso de conducir, datos de cuentas bancarias, información sobre seguros médicos e historiales médicos.

Es posible que se hayan visto afectadas unas 162 000 personas, entre ellas más de 131 000 residentes de Rhode Island. Beacon Mutual ha indicado que está informando a las personas afectadas y ha instado a cualquiera que crea que pueda verse afectado a ponerse en contacto con la empresa.

American Lending Center, una entidad crediticia no bancaria con sede en California especializada en préstamos para pequeñas empresas y startups, ha informado de un ataque de ransomware que ha puesto en peligro la información personal confidencial de 123 158 personas.

La filtración se descubrió el 27 de julio de 2025, y una investigación posterior determinó que los atacantes habían tenido acceso a los archivos entre el 24 y el 30 de julio de 2025. Los datos expuestos pueden incluir nombres, fechas de nacimiento y números de la Seguridad Social. La investigación forense no concluyó hasta el 8 de abril de 2026, casi nueve meses después de que se identificara por primera vez el incidente.

Ningún grupo de ransomware conocido ha reivindicado públicamente la autoría del ataque, lo que sugiere que o bien se pagó un rescate, o bien los responsables no disponen de un sitio web público para la divulgación de información.

Grafana Labs, la empresa creadora de Grafana, la plataforma de análisis y visualización basada en inteligencia artificial, ha revelado que un actor malintencionado aprovechó un flujo de trabajo de GitHub Actions mal configurado, conocido como «Pwn Request», para robar un token privilegiado de una aplicación de GitHub. Según se ha informado, este ataque permitió al atacante sustraer código fuente privado e intentar extorsionar a la empresa.

En una serie de publicaciones en X (antes Twitter), Grafana Labs ha informado de que una parte no autorizada obtuvo un token que le concedió acceso a su entorno de GitHub y le permitió descargar código fuente. Una «Pwn Request» es una vulnerabilidad de CI/CD en los flujos de trabajo de GitHub Actions en la que se ejecuta automáticamente código no fiable procedente de colaboradores externos, lo que podría exponer los secretos del repositorio y otorgar a los atacantes permisos de escritura.

El ataque fue reivindicado públicamente por Coinbase Cartel, un grupo dedicado al robo de datos y a la extorsión que, según se informa, está vinculado al ecosistema SLSH. Según las informaciones, el grupo exigió un rescate, que Grafana Labs se negó a pagar, alegando las directrices del FBI según las cuales el pago de rescates no garantiza la devolución ni la eliminación de los datos robados.