La semana en brechas de seguridad 12 de noviembre de 2025

La Universidad de Pensilvania confirmó el 5 de noviembre una filtración masiva de datos que dejó al descubierto la información personal de estudiantes, antiguos alumnos, personal y miembros de la comunidad. Según se ha informado, la filtración afectó a más de 1,2 millones de registros.

El incidente cibernético salió a la luz el 31 de octubre, cuando varios miembros de la comunidad de la Universidad de Pensilvania recibieron correos electrónicos que afirmaban proceder de la Escuela de Posgrado en Educación (GSE) de la universidad. Posteriormente, la universidad confirmó que se habían visto comprometidos determinados sistemas relacionados con sus actividades de desarrollo y de antiguos alumnos. Los datos sustraídos incluyen información de carácter personal (PII) —algunos de los cuales se remontan a décadas atrás— junto con datos bancarios. Sin embargo, la universidad afirmó que en la filtración no se vio afectada ninguna información médica.

Según Penn, el ataque comenzó con una estafa de ingeniería social. Tras tener conocimiento del incidente, el personal de la universidad bloqueó rápidamente los sistemas afectados, pero no pudo impedir que se enviaran los correos electrónicos fraudulentos ni que se sustrajera la información confidencial.

Oglethorpe, una red con sede en Florida formada por centros de tratamiento de salud mental y recuperación de adicciones, ha revelado una importante filtración de datos que ha afectado a más de 92 000 personas.

El proveedor, que cuenta con centros en Florida, Luisiana y Ohio, notificó a los pacientes que su información sanitaria protegida (PHI) había sido sustraída por piratas informáticos. Según un escrito presentado ante la Fiscalía General de Maine, el incidente de ciberseguridad comenzó el 15 de mayo y se detectó el 6 de junio. Tras una investigación que concluyó el 23 de octubre, se constató que se habían visto comprometidos datos sensibles, entre los que se incluyen nombres, fechas de nacimiento, números de la Seguridad Social, números de permiso de conducir e información médica.

Oglethorpe se enfrenta ahora a un número cada vez mayor de problemas legales, ya que los pacientes están empezando a presentar demandas, alegando preocupaciones por el robo de identidad, el fraude y el uso indebido de sus datos personales.

Una campaña de phishing a gran escala tiene como objetivo el sector hotelero a nivel mundial, y los atacantes pretenden obtener acceso no autorizado a plataformas de reserva de hoteles, entre ellas Booking.com.

En esta campaña, se está engañando a los gerentes de hoteles para que visiten páginas de phishing similares a ClickFix, que roban sus credenciales de acceso e instalan el ransomware PureRAT. Los atacantes utilizan cuentas de correo electrónico comprometidas para enviar mensajes de spear-phishing muy convincentes que se hacen pasar por plataformas de reservas legítimas. En cuanto el personal del hotel hace clic en estos enlaces, se le redirige a sitios web maliciosos que instalan el ransomware y recopilan credenciales.

En marcha desde abril de 2025, esta operación forma parte de una tendencia al alza de ataques de phishing contra sistemas de reserva hotelera. Los autores de estas amenazas venden las cuentas robadas de las plataformas de reserva en foros de ciberdelincuencia o las utilizan para enviar correos electrónicos fraudulentos a hoteles y huéspedes, cometiendo así fraudes financieros.

El equipo de Confianza y Seguridad de Google ha publicado un nuevo aviso sobre estafas dirigido a todos los usuarios, en el que se revelan unas estadísticas alarmantes: el 57 % de los adultos se ha visto afectado por una estafa en el último año, y el 23 % ha declarado haber perdido dinero como consecuencia de ello.

La empresa advirtió a sus usuarios sobre seis tendencias principales de estafas a las que deben prestar atención: estafas de empleo en línea, esquemas de extorsión mediante reseñas negativas, estafas de suplantación de identidad de productos mediante inteligencia artificial (IA), aplicaciones y extensiones VPN maliciosas, estafas de recuperación de fondos tras un fraude y estafas relacionadas con las fiestas de fin de año. Google también señaló que los estafadores utilizan cada vez más herramientas de IA para ampliar y mejorar sus operaciones, lo que hace que sus estafas sean más difíciles de detectar.

Unos investigadores de seguridad han descubierto una vulnerabilidad de ejecución remota de código (RCE) que se está explotando activamente en Monsta FTP, un cliente de protocolo de transferencia de archivos (FTP) basado en web que utilizan instituciones financieras, empresas y usuarios particulares de todo el mundo.

Monsta FTP permite a los usuarios subir, descargar y gestionar archivos de sitios web directamente desde un navegador. Esa comodidad lo ha convertido en una opción muy popular entre los usuarios como alternativa a la instalación de un software independiente. Los investigadores han identificado ahora una vulnerabilidad crítica en Monsta FTP, registrada con el número CVE-2025-34299, que permite a los atacantes ejecutar código arbitrario en servidores vulnerables sin necesidad de autenticación.

Esta vulnerabilidad de ejecución de código remoto (RCE) permite a un pirata informático engañar al sistema para que descargue un archivo que él controla y lo guarde en cualquier ubicación del servidor. Ese nivel de acceso puede dar lugar a la compromisión total del servidor, al robo de datos o a la instalación de ransomware.

Un informe forense publicado por el Estado de Nevada el 5 de noviembre confirmó que el ataque de ransomware de agosto se originó cuando un empleado estatal descargó por error una herramienta infectada con malware desde una página web falsificada.

El ataque de agosto fue un incidente a gran escala que afectó a más de 60 organismos estatales de Nevada, entre ellos el Departamento de Salud y Servicios Sociales, el Departamento de Tráfico y el Departamento de Seguridad Pública. Los investigadores descubrieron que el ransomware se había infiltrado en la red el 14 de mayo y había permanecido sin ser detectado durante varias semanas. El malware instaló una puerta trasera, lo que permitió a los piratas informáticos utilizar el Protocolo de Escritorio Remoto para acceder a sistemas críticos y archivos confidenciales.

Las autoridades de Nevada se negaron a pagar el rescate y lograron recuperar aproximadamente el 90% de los datos afectados. Sin embargo, el proceso de recuperación le costó al estado unos $1.3 millones de dólares.