La semana en brechas de seguridad 5 de noviembre de 2025

Un grave error de configuración en la nube ha dejado al descubierto una enorme cantidad de datos pertenecientes a la multinacional británica de servicios profesionales Ernst & Young (EY). Esta filtración se ha convertido en uno de los temas más comentados en los círculos de ciberseguridad esta semana.

Unos investigadores en ciberseguridad descubrieron 4 TB de datos de EY accesibles al público en Microsoft Azure durante un análisis rutinario de la red y la nube. El archivo tenía la extensión .BAK, lo que indicaba que se trataba de una copia de seguridad completa de una base de datos de SQL Server. Es probable que la copia de seguridad expuesta contuviera información confidencial, como datos de usuarios, claves API, credenciales, tokens de autenticación y esquemas de bases de datos.

Los expertos advierten de que un volumen tan grande de datos expuestos podría tener graves consecuencias. Con las herramientas de análisis automatizadas actuales, innumerables actores maliciosos podrían haber localizado y accedido fácilmente a los archivos.

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) ha emitido una alerta urgente a los organismos federales sobre una vulnerabilidad de Linux que se está utilizando actualmente en ataques activos de ransomware.

La CISA ha publicado una directiva operativa vinculante relativa a CVE-2024-1086, una vulnerabilidad de «uso tras liberación» del núcleo de Linux que permite a un usuario normal obtener acceso de administrador (root). Una vez explotada, los atacantes pueden modificar archivos, desactivar controles de seguridad o instalar malware. Se ha dado a las agencias de plazo hasta el 20 de noviembre para aplicar la corrección necesaria o dejar de utilizar los sistemas afectados.

Aunque la vulnerabilidad se corrigió en enero de 2024, sigue siendo objeto de ataques en versiones antiguas de Linux que aún no han sido actualizadas. Esta vulnerabilidad, de la que se informó por primera vez hace casi dos años, pone de manifiesto cómo el retraso en las actualizaciones puede dejar expuestos a los sistemas críticos. Puedes consultar la lista completa de versiones afectadasaquí.

Los piratas informáticos están utilizando LinkedIn para atacar a ejecutivos del sector financiero mediante ataques de phishing a través de mensajes directos que simulan ser invitaciones para formar parte de consejos de administración. El objetivo es robar las credenciales de las cuentas de Microsoft.

Los mensajes de phishing parecen invitar a los destinatarios a formar parte del consejo de administración de un nuevo fondo de inversión denominado «Common Wealth». Cada mensaje incluye un enlace que anima al destinatario a obtener más información sobre la oportunidad. Sin embargo, al hacer clic en el enlace, los usuarios son redirigidos a sitios web controlados por los atacantes y diseñados para recopilar datos de acceso.

Los expertos advierten a los usuarios de LinkedIn que comprueben la identidad del remitente y la legitimidad de este tipo de ofertas antes de responder. Dado que muchas campañas de phishing utilizan dominios de primer nivel (TLD) poco habituales, como .top, .icu y .xyz, se recomienda a los usuarios que traten estos enlaces con recelo y eviten interactuar con ellos siempre que sea posible.

Recientemente ha surgido una sofisticada campaña de phishing dirigida a usuarios colombianos y de habla hispana. A través de esta operación, los autores de la amenaza están ampliando la difusión del malware PureHVNC en América Latina, una región en la que hasta ahora apenas se había registrado actividad relacionada con esta amenaza.

En esta campaña de phishing, las víctimas reciben correos electrónicos engañosos que se hacen pasar por comunicaciones oficiales de la Fiscalía General de la República de Colombia. Los mensajes utilizan tácticas de ingeniería social muy convincentes, en las que se afirma que el destinatario está implicado en un proceso judicial iniciado ante un tribunal laboral. Al hacer clic en los enlaces o descargar los archivos adjuntos, las víctimas, sin saberlo, activan la instalación de múltiples cargas maliciosas, entre ellas PureHVNC.

Esta campaña pone de relieve cómo los temas judiciales y jurídicos siguen siendo tácticas eficaces de ingeniería social, especialmente cuando se dirigen a funcionarios públicos y empleados de empresas en América Latina.

Clop, el conocido grupo de ciberchantaje responsable de varias filtraciones de gran repercusión, ha incluido al fabricante australiano de equipos de protección individual (EPI) Ansell como víctima en su página web de filtraciones de la dark web. Esta afirmación se produce apenas unas semanas después de que Ansell revelara un «acceso no autorizado a datos» en un comunicado de la Bolsa de Valores de Australia (ASX).

El 14 de octubre, Ansell confirmó que la filtración se debió a vulnerabilidades en un software de terceros con licencia. Al parecer, los piratas informáticos han publicado un conjunto de datos de 552 GB que, según se afirma, fue sustraído de la red de Ansell, y lo han compartido a través del protocolo peer-to-peer de BitTorrent. El archivo torrent, que se puso a disposición el 3 de noviembre, ya se ha descargado en numerosas ocasiones.

Hasta el momento, los piratas informáticos no han revelado qué datos se han visto afectados por la filtración, ni han facilitado pruebas de la intrusión ni han planteado ninguna demanda de rescate.

Los investigadores han revelado que los ciberdelincuentes recurren cada vez más a la inteligencia artificial (IA) para desarrollar y ampliar ataques sofisticados contra los usuarios de sistemas Windows y macOS.

Las campañas, activas al menos desde abril de 2025, incluyen dos operaciones principales: GhostCall y GhostHire. En GhostCall, los atacantes se hacen pasar por inversores que ofrecen oportunidades de asociación o financiación. Atraen a las víctimas a sitios web falsos de Microsoft Teams o Zoom para que descarguen archivos maliciosos que infectan sus computadoraes. En GhostHire, los atacantes se dirigen a desarrolladores de criptomonedas con falsas ofertas de trabajo, enviándoles enlaces o archivos maliciosos.

En algunos casos, los estafadores han llegado incluso a utilizar cuentas robadas de empresarios legítimos y fragmentos breves de videollamadas reales para que sus estafas resulten más convincentes.