La semana en brechas de seguridad 15 de octubre de 2025

La información revelada el mes pasado por SonicWall sobre una filtración de datos en su servicio de copias de seguridad en la nube parece ser mucho más grave de lo que se pensaba en un principio.

El 8 de octubre, tras una investigación exhaustiva llevada a cabo junto con Mandiant, de Google, SonicWall anunció que una parte no autorizada había accedido a los archivos de copia de seguridad de la configuración de los cortafuegos de todos los clientes que habían utilizado el servicio de copia de seguridad en la nube de SonicWall. Se trata de un agravamiento significativo con respecto a la evaluación previa de la empresa, realizada el 17 de septiembre, cuando se creía que solo el 5 % de su base instalada de cortafuegos se había visto afectada. Por otra parte, SonicWall reafirmó que los archivos expuestos contienen credenciales cifradas y datos de configuración.

La empresa insta a todos los clientes a que inicien sesión y revisen sus dispositivos de inmediato. Además, ha comenzado a notificar directamente a sus socios y usuarios, y ha publicado herramientas para ayudar a evaluar y solucionar los problemas de los sistemas afectados.

Microsoft ha advertido de que los piratas informáticos están accediendo de forma ilícita a plataformas SaaS de recursos humanos, como Workday, para atacar a empleados de universidades estadounidenses y desviar sus salarios a cuentas controladas por los atacantes.

Apodado «el pirata de las nóminas», Microsoft Threat Intelligence ha detectado una estafa con fines económicos perpetrada por un actor malicioso denominado Storm-2657, que se ha hecho con el control de cuentas de empleados universitarios para acceder a perfiles de recursos humanos y desviar pagos. Desde marzo de 2025, el grupo ha utilizado tácticas de ingeniería social y la falta de autenticación multifactorial (MFA) para acceder a 11 cuentas de correo electrónico de tres universidades. A partir de ahí, enviaron cerca de 6.000 correos electrónicos de phishing a 25 universidades, utilizando señuelos como alertas de enfermedades en el campus e informes de conducta indebida del profesorado para robar credenciales de inicio de sesión mediante ataques de tipo «adversario en el medio» (AiTM).

Microsoft ha señalado que se trata de otra variante más de la estafa conocida como «Business Email Compromise» (BEC). Los ataques no aprovechan fallos en las propias plataformas de recursos humanos, sino que se valen de la escasa adopción de la autenticación multifactorial (MFA) y de prácticas de autenticación deficientes.

El 12 de octubre de 2025, Qantas Airways confirmó que unos piratas informáticos habían publicado en la dark web los datos personales de más de 5,7 millones de clientes.

Qantas es una de las muchas empresas internacionales —entre las que se incluyen Toyota, Disney, Ikea, Air France y KLM— que han sido blanco del colectivo de hackers Scattered Lapsus$ Hunters. Según se ha informado, el grupo robó casi mil millones de registros en julio al atacar a clientes del gigante de la tecnología en la nube. Aunque los hackers no lograron acceder a Salesforce directamente, se hicieron pasar por empleados legítimos de Salesforce en llamadas a los servicios de asistencia informática de las empresas afectadas para obtener acceso. En el caso de Qantas, al parecer se aprovechó un centro de atención telefónica de Filipinas para obtener acceso.

Los datos de los pasajeros que se han filtrado incluyen fechas de nacimiento, números de teléfono, direcciones, direcciones de correo electrónico y números de programas de viajero frecuente. Qantas ha confirmado que no se han visto comprometidos datos de tarjetas de crédito, datos financieros ni de pasaportes, y que las cuentas de los programas de viajero frecuente siguen estando a salvo.

En un nuevo y preocupante episodio, los ciberdelincuentes están utilizando indebidamente una herramienta de análisis forense digital y respuesta ante incidentes (DFIR) para llevar a cabo ataques de ransomware.

Velociraptor es una plataforma DFIR de código abierto que utilizan los equipos de seguridad para supervisar los terminales en entornos Windows, Linux y macOS. Permite la recopilación continua de datos y una respuesta rápida ante incidentes de seguridad. Según los investigadores de Cisco Talos, en un ataque observado a mediados de agosto de 2025, los atacantes utilizaron la herramienta para distribuir las familias de ransomware Warlock, LockBit y Babuk. Durante el ataque, los atacantes aprovecharon vulnerabilidades de SharePoint local, conocidas como ToolShell, para obtener acceso inicial e implementar una versión obsoleta de Velociraptor (versión 0.73.4.0). Esta versión contenía un fallo de escalada de privilegios (CVE-2025-6264) que permitía la ejecución de comandos arbitrarios y el control total del terminal.

Los investigadores afirman que esto constituye un ejemplo más de cómo los grupos de ransomware están ampliando su arsenal al convertir herramientas legítimas —tanto comerciales como de código abierto— en armas para llevar a cabo ataques más sofisticados.

Shuffle, una plataforma líder de apuestas con criptomonedas, ha confirmado una filtración de datos tras el ataque sufrido por su proveedor externo de atención al cliente, lo que ha dejado al descubierto los datos de la mayoría de sus usuarios.

El 10 de octubre, Shuffle anunció que Fast Track, su proveedor de servicios de gestión de relaciones con los clientes (CRM), había sufrido una filtración de datos que había dejado al descubierto información de los usuarios. La empresa utilizaba Fast Track para el envío programado de correos electrónicos y otras comunicaciones con los usuarios, lo que significa que se cree que entre los datos comprometidos se encuentran direcciones de correo electrónico y mensajes. Shuffle ha indicado que sus especialistas están investigando cómo se produjo la filtración y dónde pueden haber acabado los datos robados.

La información filtrada incluye nombres completos, direcciones de correo electrónico, direcciones postales, números de teléfono e historiales completos de transacciones. La filtración también ha revelado patrones de apuestas y registros de mensajes del servicio de atención al cliente, lo que ha suscitado preocupación por la privacidad de los usuarios y el posible uso indebido de datos confidenciales sobre su comportamiento.