La semana en brechas de seguridad 30 de septiembre de 2026

Según se ha informado, el FBI declaró un «incidente grave» y avisó a sus agentes y al personal de apoyo tras un ciberataque contra su portal de solicitudes de empleo, FBIJobs.gov.

La semana pasada, el grupo de ransomware ShinyHunters afirmó haber pirateado el portal de solicitudes de empleo del FBI y haber sustraído datos de miles de agentes y candidatos. Desde entonces, el FBI ha emitido una notificación interna dirigida a su personal en la que confirma que, en el incidente, quedaron expuestos nombres, direcciones, cargos y números de la Seguridad Social. Curiosamente, los piratas informáticos no solicitan un rescate económico, sino que exigen la rectificación de un informe publicado anteriormente por el FBI que, según ellos, tergiversa sus actividades.

Este ataque es el último de una serie cada vez más frecuente de ciberataques dirigidos contra organismos federales de EE. UU. La Oficina de Alcohol, Tabaco, Armas de Fuego y Explosivos (ATF) de EE. UU. confirmó otra filtración de datos el mes pasado.

El FBI también está investigando otra filtración de datos en una base de datos de personal del Pentágono que podría haber dejado al descubierto información personal de cerca de tres millones de personas.

Entre octubre de 2025 y julio de 2026, el sistema de información del Centro de Datos de Recursos Humanos de Defensa (DMDC) sufrió accesos no autorizados por parte de algunos usuarios. El DMDC es uno de los principales repositorios del Pentágono de expedientes de personal, y contiene información sobre efectivos en servicio activo y en la reserva, empleados civiles, contratistas, jubilados, veteranos y familiares de militares. La filtración afectó a 2,76 millones de personas vivas y a otras 294 000 personas fallecidas, y entre la información expuesta se incluyen números de la Seguridad Social y detalles sobre los puestos de trabajo que ocupaban.

El alcance y la sensibilidad de los datos filtrados podrían suscitar importantes preocupaciones en materia de seguridad nacional, sobre todo teniendo en cuenta que los archivos comprometidos incluían detalles sobre las funciones y responsabilidades del personal militar y civil.

La Policía de Dyfed-Powys, un cuerpo policial territorial de Gales y el tercero más grande del Reino Unido, confirmó que había sido víctima de un ciberataque.

Dyfed-Powys abarca los condados de Carmarthenshire, Ceredigion, Pembrokeshire y Powys, en Gales. La policía informó de que había sido víctima de un ataque informático el 14 de septiembre, en un incidente que provocó interrupciones en algunos sistemas no relacionados con emergencias. Aunque no había pruebas de que se hubieran visto afectados los datos personales de los ciudadanos, la policía reconoció que la información del personal podría haber sido objeto de acceso no autorizado o haberse visto comprometida durante el ataque.

Los servicios de contacto en línea y por correo electrónico estuvieron fuera de servicio durante un tiempo tras el ataque, pero ya se han restablecido. La policía confirmó que se mantuvo plenamente operativa durante todo el incidente y que su respuesta a las llamadas de emergencia no se vio afectada.

La plataforma de intercambio de criptomonedas Bitget confirmó que unos atacantes robaron aproximadamente 388 millones de dólares tras aprovechar una vulnerabilidad en un producto de seguridad de terceros utilizado por la plataforma.

El 24 de septiembre, Bitget detectó transferencias no autorizadas desde algunas de sus carteras y suspendió temporalmente las retiradas de fondos de los clientes mientras se llevaba a cabo la investigación. Los fondos sustraídos procedían de una parte de las carteras «hot» y «warm» de la plataforma, mientras que las carteras «cold» no se vieron afectadas. Aunque la mayor parte de los fondos de los clientes se guardan en carteras «cold» fuera de línea, las carteras «hot» y «warm» se utilizan para tramitar las retiradas de fondos, y las transferencias siguen requiriendo aprobación antes de ser firmadas.

Bitget no ha revelado exactamente cómo consiguió el atacante el acceso inicial, pero la investigación reveló que este comprometió un sistema de backend crítico dentro de la infraestructura de su monedero y falsificó los datos de las transacciones para activar el proceso de aprobación.

Apple lanzó el 28 de septiembre unas actualizaciones de iOS y macOS para corregir una vulnerabilidad de día cero que podría haber sido objeto de explotación activa en ataques dirigidos.

La vulnerabilidad, identificada como CVE-2026-86950, es un problema de escritura fuera de límites en el componente CoreGraphics que puede aprovecharse para ejecutar código arbitrario al procesar un archivo especialmente manipulado. Aunque Apple no ha revelado cómo se distribuye el archivo malicioso, CoreGraphics se encarga del procesamiento de gráficos 2D y de la visualización de archivos PDF en todo el sistema operativo, lo que significa que podría llegar a través de páginas web, archivos adjuntos de correo electrónico o aplicaciones de mensajería, donde la visualización automática de archivos adjuntos y enlaces podría permitir un ataque sin necesidad de clic.

Por su parte, Apple ha confirmado que tiene constancia de un informe según el cual la vulnerabilidad podría haber sido aprovechada en un ataque extremadamente sofisticado dirigido a personas concretas que utilizaban versiones de iOS anteriores a la 27.