Seguridad

Binance sufre el robo de criptomonedas más grande de la historia: 6.300 millones de dólares

Binance, el mayor exchange de criptomonedas del mundo, confirmó el 30 de octubre que un incidente de seguridad le ha costado unos 6.300 millones de dólares en activos robados de sus propias…

Keystone confirma una brecha en su tienda: expone direcciones de envío y datos de pedidos

Keystone, uno de los fabricantes de monederos hardware para criptomonedas, ha confirmado una brecha de seguridad en su tienda online. La compañía detectó el 20 de octubre un acceso no…

1Password deja que los agentes de IA inicien sesión por ti y asegura que nunca ven tu contraseña

1Password lanzó el 22 de octubre 1Password for Agents, un mecanismo para que un agente de IA inicie sesión en tus cuentas sin que, según la empresa, la contraseña llegue nunca a su contexto…

Burger King Japan confirma una brecha de datos: 11,18 millones de registros de clientes expuestos

Burger King Japan confirmó el 15 de octubre de 2026 que el servidor que gestiona las cuentas de su app oficial sufrió un acceso no autorizado entre el 2 y el 7 de octubre. El comunicado de…

Let's Encrypt recorta la validez de sus certificados de 90 a 64 días desde febrero de 2027

Let's Encrypt anunció el 7 de octubre que a partir del 10 de febrero de 2027 todos los certificados nuevos o renovados tendrán por defecto una validez de 64 días en lugar de los 90…

GhostAction vuelve a la carga: una campaña de malware ya ha robado credenciales de cientos de repositorios de GitHub Actions

El 8 de octubre, la campaña de malware GhostAction volvió a golpear GitHub Actions: en dos oleadas automatizadas de apenas minutos, los atacantes comprometieron las cuentas de dos…

El grupo de ransomware Booba Project roba 344 GB de la Facultad de Medicina de la Universidad de Illinois en Chicago

El grupo de ransomware Booba Project — surgido a finales de julio y considerado un rebranding de la banda Frag, con variantes de cifrado tanto para Linux como para Windows — reivindicó el 5…

El Pentágono confirma una brecha de datos que expuso los registros de 3 millones de militares y civiles

El Departamento de Defensa de EE. UU. ha empezado a avisar a cerca de 3 millones de personas de que sus datos personales estuvieron expuestos durante casi un año en un sistema del Defense…

16.326 bases de datos de Supabase quedaron expuestas por RLS mal configurado en apps montadas con IA

Un estudio de UpGuard sobre unos 300.000 dominios con indicios de usar Supabase ha encontrado 16.326 bases de datos con tablas legibles desde fuera, sin ninguna autenticación de por medio.…

MikroTik RouterOS bajo ataque activo: una cadena sin autenticación vía SSH ya en explotación (CVE-2026-67279)

El 25 de septiembre de 2026, CISA añadió CVE-2026-67279 a su catálogo de vulnerabilidades explotadas activamente (KEV). Afecta a RouterOS, el sistema operativo de los routers MikroTik, un…

Bitget sufre un robo de 351,6 millones de dólares atribuido a Corea del Norte

El exchange de criptomonedas Bitget detectó el 24 de septiembre de 2026, a las 18:31 UTC, transferencias no autorizadas desde sus wallets "hot" y "warm" por un total de 351,6 millones de…

1,08 millones de datos de estudiantes y profesores expuestos por un Metabase autoalojado mal protegido: la lección de homelab que deja la filtración de Mathspace

Cuando el panel de analítica que instalaste para "ver mejor tus datos" se convierte en la puerta de entrada. Mathspace, una plataforma de matemáticas usada en colegios de Australia y Nueva…

Anthropic revela un cuarto incidente de Claude accediendo a sistemas reales: un CTF mal configurado acabó filtrando datos personales de un tercero

Lo que pasó, sin el barniz de comunicado de prensa. Enero de 2026. Anthropic está evaluando un checkpoint temprano de Claude Opus 4.6 con un ejercicio de ciberseguridad tipo CTF: escenario…

1Password 8.12.36: passkeys completos en la extensión de navegador, con varios años de retraso frente a lo que Chrome y Safari ya regalan gratis

Una casilla importante, por fin marcada. 1Password publicó la versión 8.12.36 el 8 de septiembre de 2026, con el soporte completo de passkeys en la extensión de navegador como cabeza de…

Aurora ransomware usó el agente de código Cursor para intrusiones manuales en al menos 10 empresas: la primera campaña documentada de un asistente de IA como herramienta de ataque activo

Cuando el atacante no escribe el exploit a mano, se lo pide a un agente de IA. Investigadores de CloudSEK y Gambit Security hicieron públicos el 31 de agosto de 2026 los detalles de una…

La filtración de CEVA Logistics golpea a Pokémon Center y a Valve a la vez — el mismo proveedor de envíos, dos marcas distintas, miles de direcciones reales expuestas

CEVA Logistics, filial de la naviera CMA CGM y proveedor de envíos de marcas tan dispares como Pokémon Center y el hardware Steam de Valve, confirmó el 19 de agosto de 2026 una brecha de…

Little Snitch: descubre qué aplicaciones se conectan a Internet

Cuando instalamos una aplicación solemos preocuparnos por qué permisos solicita, qué archivos puede leer o si necesita privilegios de administrador. Sin embargo, hay otra pregunta que…

Windows IKE Service Extensions bajo ataque activo — CVE-2026-33824 (CVSS 9.8) permite RCE como SYSTEM sin autenticación, y CISA lo confirma cuatro meses después del parche

Microsoft corrigió CVE-2026-33824 el 14 de abril de 2026, dentro de su ciclo habitual de Patch Tuesday, como un fallo más de gravedad crítica en IKE Service Extensions. Lo que convierte…

Cloudflare OS — código abierto de verdad, pero "autoalojable" solo con matices que Cloudflare admite sin rodeos

Cloudflare abrió el código de Cloudflare OS el 5 de agosto: un "espacio de trabajo" de agentes para empresas, construido sobre workerd, el runtime open source que ya sostiene Cloudflare…

VMware vCenter — CVE-2026-59309 y CVE-2026-59310 (VMSA-2026-0006)

Broadcom publicó el 29 de julio el boletín VMSA-2026-0006, y para cualquiera que administre virtualización con vCenter en su homelab o en producción, este es de los avisos que no se dejan…

Herramientas OSINT para detectar exposición y vulnerabilidades

Una parte importante de la gestión de vulnerabilidades consiste en conocer qué sistemas están publicados en internet y qué información técnica puede obtenerse sobre ellos. Herramientas como…

YubiKey

Con Vaultwarden ya desplegado como bóveda central de contraseñas del homelab, la pieza que faltaba era reforzar el acceso a esa bóveda con algo más sólido que un segundo factor por app — si…

Patch Tuesday de julio 2026 (Microsoft)

En el trabajo llevo meses con evaluaciones de parcheo CVE como tarea recurrente —generando variables de salida de Octopus Deploy para cada ronda de PowerShell aplicando actualizaciones—,…

OSINT (Open Source Intelligence)

Cuando hablamos de ciberseguridad, no toda la información se obtiene mediante escáneres, agentes o herramientas instaladas dentro de una infraestructura. Una parte importante de los datos…

CrowdSec

El VPS donde viven El Rack, Predify y el resto de servicios recibe tráfico de escaneo constante, como cualquier servidor con IP pública — hasta ahora sin nada más allá de las reglas básicas…

Infisical

Entre El Rack, Predify y el resto de servicios, tengo claves de API repartidas en varios ficheros .env por servidor —la de Claude API de Predify, credenciales de bases de datos, tokens de…

Authentik

Cuando probé NetBird hace unas semanas, la autenticación SSO quedó pendiente de resolver con algo autoalojado — mencioné Keycloak como opción típica, pero antes de dar el paso quise…

Wazuh

En el trabajo llevo años con herramientas de seguridad de nivel empresarial (Trend Micro, gestión de vulnerabilidades a escala), así que cuando decidí montar algo equivalente —aunque fuera…

Lynis

Mantener un servidor Linux actualizado no significa necesariamente que esté correctamente protegido. Una configuración insegura, un servicio innecesario, permisos demasiado amplios o un…

GhostLock (CVE-2026-43499)

Durante quince años, un fallo estuvo esperando en silencio dentro del código de bloqueo del kernel de Linux, sin que nadie lo notara. GhostLock (CVE-2026-43499), descubierto por la…

SonicWall SMA1000 (CVE-2026-15409/15410)

SonicWall publicó el 14 de julio de 2026 un aviso urgente sobre dos vulnerabilidades zero-day en su serie SMA1000 (equipos de acceso remoto seguro), con explotación activa ya confirmada…

JadePuffer (ransomware agéntico)

El ransomware siempre había tenido a una persona detrás — al teclado, o al menos escribiendo el script que el malware seguía. Eso cambió: Sysdig ha documentado lo que consideran el primer…

Patch Tuesday Julio 2026

El Patch Tuesday de julio de 2026 (publicado ayer, 14 de julio) es oficialmente el más grande de la historia de Microsoft: 570 vulnerabilidades corregidas de una tacada, incluyendo tres…

Paste Protect (Opera)

Llevas dos años oyendo hablar de ransomware y phishing, pero es posible que ClickFix sea el vector de ataque más eficaz del que menos hayas oído hablar. Opera acaba de convertirse en el…

Pi-hole

Pi-hole más allá del bloqueo de publicidad: seguridad DNS para toda la red. Pi-hole es conocido principalmente como una herramienta para bloquear publicidad, pero su utilidad puede ir más…

Chrome 151

Google ha publicado la actualización estable de Chrome 151, y la cifra por sí sola justifica el titular: 382 vulnerabilidades corregidas, 15 de ellas críticas. Está desplegándose para…

Bitwarden

Lo uso en el ámbito profesional para gestión de credenciales — por motivos evidentes no puedo entrar en el detalle de la configuración concreta, pero sí puedo hablar con conocimiento real…