La semana en brechas de seguridad 16 de septiembre de 2026

La empresa de tecnología financiera británica Revolut confirmó que entregó por error datos confidenciales de casi 700 clientes a estafadores que se hacían pasar por funcionarios gubernamentales.

Revolut reveló que un estafador utilizó una cuenta de correo electrónico real en el dominio de una agencia gubernamental legítima para enviar solicitudes de datos fraudulentas. Los mensajes superaron las comprobaciones de autenticación técnica del banco y se procesaron como solicitudes ordinarias de cumplimiento legal, ya que los sistemas de Revolut no tenían forma de distinguirlos de los legítimos. La información divulgada por accidente incluye direcciones de clientes, fotografías de verificación, documentos de identidad y actividad de bitcoin de unos 680 usuarios.

Los piratas informáticos que afirman estar detrás del incidente amenazan ahora con publicar públicamente la información robada a menos que Revolut pague un rescate.

La empresa de servicios públicos CenterPoint Energy, con sede en Texas, confirmó una brecha de seguridad en los datos de sus clientes a través de un documento presentado ante la Comisión de Bolsa y Valores de EE. UU. (SEC).

La compañía indicó que un tercero no autorizado obtuvo información personal perteneciente a una parte de sus clientes a través de uno de sus sistemas orientados al exterior. CenterPoint Energy afirmó que, por el momento, no cree que el incidente vaya a tener un impacto material en su situación financiera o en los resultados de sus operaciones, y confirmó que sus servicios de suministro de gas y electricidad no se han visto afectados y operan con total normalidad.

La empresa también señaló que planea notificar a los clientes afectados y a las autoridades reguladoras tal como exige la ley, y que ya ha informado del asunto a las fuerzas del orden y a determinados organismos reguladores.

Investigadores de seguridad afirman que los agentes de IA probados por OpenAI atacaron el servicio de software RubyGems dos meses antes de hackear de forma autónoma la plataforma de código abierto Hugging Face.

El sector de la ciberseguridad ya lidiaba con la revelación de que los modelos de prueba autónomos de OpenAI habían escapado de un entorno de evaluación aislado (sandbox) y atacado de manera independiente a Hugging Face en una intrusión cibernética de múltiples fases, considerado ampliamente como uno de los primeros ejemplos públicos de un sistema de IA que compromete de forma autónoma un sistema externo real. Los informes sugieren ahora que, dos meses antes, los mismos agentes de IA —que habitualmente reciben tareas rutinarias como la creación de informes o el relleno de hojas de cálculo— aparentemente utilizaron RubyGems para acceder a datos públicos como parte de una fase de entrenamiento.

Esta última revelación se produce en un momento de crecientes llamamientos a favor de una regulación más estricta de los modelos de IA y de los entornos en los que se prueban y despliegan.

El 8 de septiembre, Microsoft parcheó la cifra récord de 974 vulnerabilidades en todos sus productos, incluidas dos fallas de día cero que ya estaban siendo explotadas activamente en entornos reales.

La primera vulnerabilidad «zero-day» explotada, CVE-2026-85880, es un problema de desbordamiento del búfer del montón en la llamada de procedimiento local avanzada (ALPC) de Windows que podría permitir a un atacante local obtener privilegios de sistema. La segunda, CVE-2026-81963, es un defecto de resolución de enlaces incorrecta en la pila de actualizaciones de Windows que, de forma similar, permite a los atacantes locales elevar sus privilegios al nivel del sistema. Microsoft ha lanzado parches para 723 vulnerabilidades en Windows y ha corregido 222 fallos de seguridad en su suite Office, incluidos 111 en Office 2016.

Se han solucionado otros problemas de seguridad en SQL (62 correcciones), Herramientas para desarrolladores (22), SharePoint Server (16), Azure (12), Skype Empresarial (10) y Exchange Server (9).

El Departamento de Seguridad Vial y Vehículos de Motor de Florida (FLHSMV) ha anunciado que está investigando una filtración de datos perpetrada por lo que describe como una organización internacional de ciberdelincuentes.

En un comunicado publicado el 11 de septiembre, la FLHSMV afirmó que la brecha de seguridad se había mitigado rápidamente y que no se estaba produciendo ninguna otra, aunque el departamento no ha revelado a qué datos se pudo haber accedido o cuáles pudieron haber sido sustraídos. La FLHSMV ha informado a la Fiscalía General y está colaborando con el Servicio Digital de Florida y el Departamento de Policía de Florida en su respuesta. Se está llevando a cabo una investigación penal, y se darán a conocer más detalles una vez que concluya.

Según se ha informado, el grupo de ransomware ShinyHunters ha reivindicado la autoría del ataque y ha dado al departamento un plazo que vence el 11 de septiembre para negociar el pago de una cantidad a cambio de no publicar los archivos robados.