La semana en brechas de seguridad 26 de agosto de 2026

Una sofisticada campaña de phishing está utilizando la plataforma de phishing como servicio (PhaaS) «Greatness» para atacar cuentas de Microsoft 365 suplantando notificaciones de RingCentral.

Greatness es una plataforma PhaaS basada en suscripción que lleva activa al menos desde 2022 y que proporciona a los ciberdelincuentes kits de herramientas de phishing listos para usar. La plataforma se ha ampliado ahora más allá del phishing de credenciales para incluir ataques de tipo «adversario en el medio» (AiTM) y phishing de códigos de dispositivos dirigidos a cuentas de Microsoft 365. En una campaña reciente observada por los investigadores, los operadores de Greatness están haciendo un uso indebido de la plataforma de comunicaciones RingCentral para eludir los filtros de seguridad del correo electrónico de los destinatarios. Los atacantes se hacen pasar por RingCentral afirmando que los mensajes proceden de service@ringcentral[.]com y se dirigen a usuarios reales del servicio con mensajes de voz falsos y notificaciones de evaluación de rendimiento diseñadas para incitarlos a abrir los correos electrónicos.

Aunque los mensajes proceden de un servidor de correo de IONOS desconocido, no superan las comprobaciones de SPF y DMARC y carecen de firma DKIM, los sistemas receptores los aceptan de todos modos porque RingCentral figura en la lista blanca. Los correos electrónicos también incluyen un banner fraudulento en el que se afirma que el remitente ha sido verificado a través de la lista de remitentes seguros de la organización, lo que reduce aún más las sospechas y hace que los mensajes de phishing parezcan más creíbles para los destinatarios.

La Administración Federal de Suiza confirmó que más de 200 cuentas se vieron afectadas por una filtración de datos después de que unos atacantes aprovecharan una vulnerabilidad en Microsoft SharePoint.

Unos atacantes irrumpieron en los servidores de SharePoint gestionados por la Oficina Federal de Tecnología de la Información y Telecomunicaciones (FOITT) de Suiza y robaron las credenciales de acceso asociadas a unas 200 cuentas. Los servidores eran gestionados por la FOITT en los propios centros de datos del Gobierno federal. Según la Administración federal, unos atacantes desconocidos aprovecharon una vulnerabilidad sin parchear de SharePoint para comprometer las cuentas de usuario y las cuentas técnicas.

Como medida de precaución, FOITT está reinstalando los servidores de SharePoint afectados. El acceso a Internet para los usuarios externos seguirá bloqueado hasta que finalicen los trabajos.

Según se ha informado, un ciberataque coordinado dirigido contra la popular cartera de bitcoins COLDCARD habría provocado pérdidas estimadas de más de 100 millones de dólares entre miles de usuarios.

COLDCARD es una popular cartera de hardware exclusiva para Bitcoin desarrollada por la empresa canadiense Coinkite. Según se ha informado, un importante ciberataque perpetrado a finales de julio y principios de agosto de 2026 afectó a varios modelos de carteras de hardware COLDCARD, entre ellos el MK2, el MK3, el MK4, el Q y el MK5, lo que provocó el robo de más de 100 millones de dólares en Bitcoin. Al parecer, los atacantes aprovecharon un fallo en el firmware que se remontaba a un error de integración del firmware de marzo de 2021, el cual hacía que las frases semilla —que se suponía que eran imposibles de adivinar— pudieran enumerarse computacionalmente, lo que permitió a los atacantes reconstruir las claves privadas sin necesidad de acceder físicamente a los dispositivos.

Este incidente es el último de una oleada de ataques dirigidos contra el sector de las criptomonedas este año. TRM Labs ha contabilizado más de 200 incidentes y casi 950 millones de dólares en pérdidas en 2026, mientras que Blockaid estima que las pérdidas superaron los 1.000 millones de dólares solo durante el primer semestre del año.

El Ministerio de Justicia de Colombia sufrió un ataque de ransomware el 2 de agosto de 2026, que afectó a parte de su infraestructura tecnológica y redujo la disponibilidad de varios servicios digitales destinados al público.

Según el ministerio, el ataque afectó a varios servicios, entre ellos los relacionados con la vigilancia de las drogas ilícitas y los procesos judiciales. Tras detectar el ataque, el ministerio aisló los sistemas afectados para evitar que se propagara a otras partes de la red. Asimismo, comenzó a colaborar con el Ministerio de Tecnologías de la Información y las Comunicaciones de Colombia y otras autoridades para investigar el incidente.

El ataque se produjo apenas un día después de que el equipo nacional de respuesta a emergencias de ciberseguridad de Colombia (ColCERT) publicara un aviso de inteligencia sobre amenazas en el que se indicaba que los grupos de ransomware habían intensificado su actividad en el país. Colombia se ha enfrentado últimamente a un número cada vez mayor de ciberataques dirigidos contra organismos públicos y organizaciones respaldadas por el Estado o de titularidad estatal. En marzo, la autoridad fiscal nacional del país fue presuntamente víctima de un ataque, mientras que en julio, la mayor empresa de petróleo y gas de Colombia, Ecopetrol S.A., reconoció haber sufrido una filtración de datos.

Microsoft Threat Intelligence ha detectado un ataque a gran escala contra la cadena de suministro de npm que ha afectado a más de 400 paquetes de varios editores no relacionados entre sí.

El ataque a la cadena de suministro ha afectado a paquetes relacionados con los principales ecosistemas de software empresarial, entre los que se incluyen keyv, flat-cache y cache-manager. Las versiones maliciosas contienen una variante de Mini Shai-Hulud, un gusano autopropagable que roba credenciales y que se distribuye a través de una carga útil de JavaScript basada en Bun, de gran tamaño y muy ofuscada. El malware suele ejecutarse automáticamente a través de un gancho del ciclo de vida «preinstall» de npm antes de que finalice la instalación del paquete.

Una vez ejecutado, el malware busca en las estaciones de trabajo de los desarrolladores y en los entornos de integración continua y entrega continua (CI/CD) credenciales de npm, GitHub, la nube y la infraestructura, lo que podría dejar al descubierto credenciales de acceso confidenciales en todos los entornos de desarrollo.