La semana en brechas de seguridad 16 de septiembre de 2026

La empresa británica de tecnología financiera Revolut confirmó que, por error, facilitó datos confidenciales de casi 700 clientes a estafadores que se hacían pasar por funcionarios del Gobierno.

Revolut reveló que un estafador utilizó una cuenta de correo electrónico real, con el dominio de un organismo gubernamental auténtico, para enviar solicitudes de datos fraudulentas. Los mensajes superaron los controles técnicos de autenticación del banco y se procesaron como solicitudes habituales de cumplimiento normativo, ya que los sistemas de Revolut no tenían forma de distinguirlos de los legítimos. La información divulgada accidentalmente incluye direcciones de clientes, fotografías de verificación, documentos de identidad y actividad relacionada con bitcoins pertenecientes a unos 680 clientes.

Los hackers que afirman ser los responsables del incidente amenazan ahora con hacer pública la información robada a menos que Revolut pague un rescate.

La empresa de servicios públicos CenterPoint Energy, con sede en Texas, confirmó una filtración de datos de clientes en un documento presentado ante la Comisión de Valores y Bolsa (SEC).

La empresa ha informado de que un tercero no autorizado ha obtenido información personal de una parte de sus clientes a través de uno de sus sistemas conectados al exterior. CenterPoint Energy ha declarado que, por el momento, no cree que el incidente vaya a tener un impacto significativo en su situación financiera o en sus resultados de explotación, y ha confirmado que sus servicios de suministro de electricidad y gas no se han visto afectados y siguen funcionando con total normalidad.

La empresa también ha indicado que tiene previsto informar a los clientes afectados y a las autoridades reguladoras, tal y como exige la ley, y que ya ha comunicado el asunto a las fuerzas del orden y a determinados organismos reguladores.

Los investigadores en seguridad afirman que los agentes de inteligencia artificial que OpenAI está probando atacaron el servicio de software RubyGems dos meses antes de que, de forma autónoma, piratearan la plataforma de código abierto Hugging Face.

El sector de la ciberseguridad ya se enfrentaba a la revelación de que los modelos de prueba autónomos de OpenAI se habían escapado de un entorno de evaluación aislado y habían atacado de forma independiente a Hugging Face en una intrusión cibernética en varias fases, considerada ampliamente como uno de los primeros ejemplos revelados públicamente de un sistema de IA que compromete de forma autónoma un sistema externo real. Los informes sugieren ahora que, dos meses antes, esos mismos agentes de IA —a los que normalmente se les asignan tareas rutinarias como la elaboración de informes o el rellenado de hojas de cálculo— parecen haber utilizado RubyGems para acceder a datos de dominio público como parte de un proceso de entrenamiento.

Esta última revelación llega en un momento en el que se multiplican las peticiones para que se regule más estrictamente los modelos de IA y los entornos en los que se prueban y se implementan.

El 8 de septiembre, Microsoft corrigió un número récord de 974 vulnerabilidades en todos sus productos, incluidas dos vulnerabilidades de día cero que ya estaban siendo explotadas activamente en el mundo real.

La primera vulnerabilidad «zero-day» explotada, CVE-2026-85880, es un problema de desbordamiento del búfer del montón en la llamada de procedimiento local avanzada (ALPC) de Windows que podría permitir a un atacante local obtener privilegios de sistema. La segunda, CVE-2026-81963, es un defecto de resolución de enlaces incorrecta en la pila de actualizaciones de Windows que, de forma similar, permite a los atacantes locales elevar sus privilegios al nivel del sistema. Microsoft ha lanzado parches para 723 vulnerabilidades en Windows y ha corregido 222 fallos de seguridad en su suite Office, incluidos 111 en Office 2016.

Se han solucionado otros problemas de seguridad en SQL (62 correcciones), Herramientas para desarrolladores (22), SharePoint Server (16), Azure (12), Skype Empresarial (10) y Exchange Server (9).

El Departamento de Seguridad Vial y Vehículos de Motor de Florida (FLHSMV) ha anunciado que está investigando una filtración de datos perpetrada por lo que describe como una organización internacional de ciberdelincuentes.

En un comunicado publicado el 11 de septiembre, la FLHSMV afirmó que la brecha de seguridad se había mitigado rápidamente y que no se estaba produciendo ninguna otra, aunque el departamento no ha revelado a qué datos se pudo haber accedido o cuáles pudieron haber sido sustraídos. La FLHSMV ha informado a la Fiscalía General y está colaborando con el Servicio Digital de Florida y el Departamento de Policía de Florida en su respuesta. Se está llevando a cabo una investigación penal, y se darán a conocer más detalles una vez que concluya.

Según se ha informado, el grupo de ransomware ShinyHunters ha reivindicado la autoría del ataque y ha dado al departamento un plazo que vence el 11 de septiembre para negociar el pago de una cantidad a cambio de no publicar los archivos robados.