La semana en brechas de seguridad 29 de octubre de 2025

Se ha descubierto una filtración masiva de correos electrónicos que, según se informa, ha afectado a más de 183 millones de cuentas de correo electrónico, entre ellas las de millones de usuarios de Gmail.

El servicio de notificación de filtraciones de datos «Have I Been Pwned» reveló que los correos electrónicos y contraseñas robados se recopilaron mediante un malware de robo de información. La filtración, que tuvo lugar en abril, consistió en que los ciberdelincuentes recopilaron discretamente datos de acceso a lo largo del tiempo. Este descubrimiento ha suscitado una gran preocupación en todo el sector tecnológico en torno a la seguridad de los datos personales y a la creciente amenaza que suponen los programas de robo de información, que recogen datos confidenciales sin ser detectados para su venta en la dark web.

Se ha descubierto un sofisticado ataque a la cadena de suministro dirigido a los desarrolladores de criptomonedas a través de paquetes NuGet maliciosos diseñados para parecerse al popular proyecto Nethereum.

Unos investigadores en ciberseguridad han descubierto paquetes falsificados que se hacían pasar por Nethereum, una biblioteca .NET de confianza utilizada para interactuar con la cadena de bloques de Ethereum y que cuenta con decenas de millones de descargas. Los paquetes falsos, denominados Netherеum.All y NethereumNet, utilizaban técnicas avanzadas de ofuscación para robar claves privadas, mnemónicos, archivos JSON de almacenes de claves y datos de transacciones firmadas.

Los atacantes utilizaron una técnica de «typosquatting» basada en homógrafos —sustituyendo la letra latina «e» por un carácter cirílico casi idéntico (U+0435)— para que la versión maliciosa pareciera legítima a los desarrolladores desprevenidos. Para reforzar su credibilidad, los autores de la amenaza también inflaron el recuento de descargas del paquete falso, haciendo que pareciera que se había descargado 11,7 millones de veces.

En otro ciberataque más dirigido al sector minorista, Toys "R" Us Canadá ha alertado a sus clientes de una filtración de datos que ha dejado al descubierto información personal de sus bases de datos.

La cadena canadiense de tiendas de juguetes ha informado de que el incidente se remonta al mes de julio, cuando unos ciberdelincuentes accedieron a los datos de los clientes y posteriormente los filtraron en Internet. Las notificaciones enviadas a los clientes afectados revelaron que la información comprometida incluye nombres, direcciones de correo electrónico, direcciones postales y números de teléfono. Aunque no se han filtrado datos financieros ni contraseñas, los datos robados siguen planteando graves riesgos de phishing y robo de identidad.

La filtración salió a la luz después de que Toys "R" Us descubriera que había datos filtrados circulando por Internet. Una investigación posterior confirmó que un tercero no autorizado había copiado ilegalmente la información de los sistemas internos de la empresa.

El sector financiero brasileño se vio sorprendido por un ciberataque contra la empresa de tecnología financiera FictorPay, que provocó el robo de unos 26 millones de reales.

Según las informaciones, el Banco Central de Brasil detectó el domingo unas transacciones inusuales a través de FictorPay y alertó de inmediato a Celcoin, la empresa que proporciona la infraestructura de «Banking-as-a-Service» (BaaS) a FictorPay. Celcoin está conectada directamente a Pix, la plataforma de pagos instantáneos del Banco Central. El ataque, que duró solo unas horas, permitió a los autores del ataque aprovechar una vulnerabilidad del sistema y llevar a cabo al menos 280 transacciones fraudulentas a través de Pix.

En un comunicado, FictorPay ha informado de que se le alertó de una actividad irregular en el entorno de un proveedor de servicios externo que presta apoyo a varias empresas, incluida la suya. La empresa fintech ha señalado que se está llevando a cabo una investigación con el proveedor y con expertos en ciberseguridad y que, hasta el momento, no hay indicios de que se haya producido un impacto directo en los sistemas internos de FictorPay.

La Universidad de Sídney Occidental ha confirmado que se ha producido un grave ciberataque en el que se han sustraído datos confidenciales de los estudiantes, entre los que se incluyen números de identificación fiscal, datos de pasaporte e información privada sobre salud y discapacidad.

El 23 de octubre, la universidad reveló que la filtración se produjo a través de su sistema de gestión de estudiantes, alojado por un proveedor externo en una plataforma en la nube. Su investigación determinó que, durante la filtración, se había aprovechado una cadena de proveedores, que partía de un sistema externo adicional, a su vez vinculado a la plataforma en la nube del proveedor externo. La filtración de los sistemas del tercer y cuarto proveedor permitió a los piratas informáticos acceder y sustraer datos del sistema de gestión de estudiantes.

La información sustraída incluye nombres, fechas de nacimiento, origen étnico, datos laborales y salariales, números de cuentas bancarias, números de identificación fiscal y de permiso de conducir, datos de pasaportes y visados, e incluso expedientes de reclamaciones, sanitarios, de discapacidad y judiciales, lo que la convierte en una de las filtraciones más graves del sector educativo de los últimos meses.

Una variante de malware recién descubierta, denominada GlassWorm, se está propagando rápidamente, lo que la convierte en uno de los ataques a la cadena de suministro más avanzados jamás vistos en los ecosistemas de desarrolladores. Se trata del primer gusano autopropagable que ataca las extensiones de Visual Studio Code (VS Code).

El ataque se detectó por primera vez el 17 de octubre de 2025, cuando aparecieron siete extensiones maliciosas en OpenVSX, seguidas de una extensión infectada en Microsoft Marketplace. En total, las extensiones infectadas se descargaron más de 35 000 veces. Los expertos señalan que GlassWorm oculta su código mediante selectores de variaciones Unicode invisibles, lo que le permite eludir las herramientas de análisis estático y las revisiones manuales.

Una vez instalado, el malware roba credenciales, instala herramientas ocultas de acceso remoto y utiliza cuentas de desarrolladores comprometidas para publicar más extensiones infectadas, convirtiendo el ecosistema de VS Code en una red de infecciones que se propaga por sí misma.