Artículos 49 a 72 de 112 en esta categoría. Para buscar por término, vuelve al hub del blog.
Cientos de organizaciones atacadas en julio de 2026: Payroll Pirates roba sesiones de Microsoft 365 con phishing AiTM, localiza a RR. HH. vía Microsoft Graph y desvía nóminas.
Por Thilina Manana · COO, Director Técnico de Seguridad hard2bit y socio fundador
Seis agencias de EE. UU. y Corea del Sur detallan cómo opera Gunra: entrada por cortafuegos y VPN, una puerta trasera en el MFA y copias de seguridad borradas antes de cifrar.
Por Adrián González · CEO y socio fundador
Un atacante saltó de un parque eólico a una central térmica por una APN privada que se creía aislada, paró una turbina y borró su rastro sin usar malware.
Por Daniel O'Grady · CIO y socio fundador
Un fallo de deserialización (CWE-502) en JetBrains TeamCity On-Premises permite ejecución remota sin autenticar (CVSS 9,8). Ya en el KEV de CISA: cronología, detección y hardening del CI/CD.
Por Thilina Manana · COO, Director Técnico de Seguridad hard2bit y socio fundador
Un grupo de extorsión, UNC6671, llama al móvil personal del empleado, roba el token de MFA con infraestructura AiTM y negocia bajo cuatro marcas. Qué implica para la defensa del sector financiero.
Por Daniel O'Grady · CIO y socio fundador
Progress parcheó el fallo el 4 de junio y los ataques empezaron el 29, el día del análisis público. CISA lo metió en KEV el 7 de agosto. Qué enseña esa cronología sobre tus plazos de parcheo.
Por Thilina Manana · COO, Director Técnico de Seguridad hard2bit y socio fundador
Un fallo sin autenticar con CVSS 10.0 en Metabase, explotado desde el 3 de agosto, dio acceso a las credenciales de las bases conectadas. Qué revisar, cómo detectarlo y a quién notificar.
Por Thilina Manana · COO, Director Técnico de Seguridad hard2bit y socio fundador
Los dispositivos de perímetro pasaron del 3% al 22% de las brechas por explotación en un año. Por qué el EDR no llega a firewalls, VPN y routers, y cómo recuperar visibilidad.
Por Adrián González · CEO y socio fundador
Verizon rebajó 350 millones el precio de Yahoo por dos brechas; Marriott heredó la sanción de Starwood. Qué evaluar, cómo cifrarlo y cómo llevarlo al contrato.
Por Adrián González · CEO y socio fundador
En Black Hat 2026 un sistema de IA descubrió técnicas de ataque que ningún humano había catalogado. La defensa basada en firmas y en TTP conocidas tiene ahora una caducidad más corta.
Por Thilina Manana · COO, Director Técnico de Seguridad hard2bit y socio fundador
¿Qué aporta de verdad la ciberseguridad a una empresa? En 2026 ha dejado de ser un gasto de informática para convertirse en llave de acceso a contratos, escudo frente a pérdidas y motor de confianza.
Por Adrián González · CEO y socio fundador
Dos paquetes npm norcoreanos resuelven su C2 leyendo una transferencia vacía de Ethereum. NullReceiver deja sin efecto la retirada de dominios: qué cambia para tu defensa.
Por Thilina Manana · COO, Director Técnico de Seguridad hard2bit y socio fundador
Unit 42 documentó a un actor que conectó DeepSeek a un agente y automatizó una campaña de explotación de 460 servidores casi sin manos humanas. Qué reveló de verdad y cómo defenderse.
Por Adrián González · CEO y socio fundador
Un gusano arrancó en keyv@6.0.0 y se propagó solo a cientos de paquetes npm en media hora: roba secretos de dev y CI y planta hooks que se ejecutan al abrir el proyecto en Claude Code o VS Code.
Por Thilina Manana · COO, Director Técnico de Seguridad hard2bit y socio fundador
Broadcom parchea tres críticos (CVSS hasta 9.8) en VMware vCenter y ESXi: bypass de autenticación, RCE y VM escape. Qué priorizar sin solución alternativa.
Por Adrián González · CEO y socio fundador
La campaña Pink llama a empleados fingiendo ser el soporte interno, les hace registrar un passkey en un portal falso y activa el suyo en la cuenta real de Microsoft 365. Qué falla y cómo cerrarlo.
Por Thilina Manana · COO, Director Técnico de Seguridad hard2bit y socio fundador
Microsoft mapea un año de ataques de ShinyHunters a Salesforce: sin explotar la plataforma, abusando de OAuth, apps conectadas y tokens de proveedores. Qué revisar en tu SaaS.
Por Thilina Manana · COO, Director Técnico de Seguridad hard2bit y socio fundador
Fastjson 1.x arrastra un fallo crítico de ejecución remota que ya se explota y sin parche para esa rama. Cómo detectar si lo usas —incluso de forma transitiva— y cómo blindarte.
Por Thilina Manana · COO, Director Técnico de Seguridad hard2bit y socio fundador
Google reveló que interrogaron a Gemini más de cien mil veces para clonar su lógica. Sin intrusión ni malware: la propiedad intelectual salió por la puerta principal.
Por Adrián González · CEO y socio fundador
Tres fallos encadenados en FortiSandbox permiten ejecución remota como root sin autenticación, ya en el catálogo KEV de CISA. Qué significa que tu appliance de seguridad sea la vía de entrada.
Por Adrián González · CEO y socio fundador
El 11 de julio de 2026 se publicaron versiones troyanizadas de jscrambler en npm con un infostealer en Rust que roba credenciales de nube y las llaves de Cursor, Windsurf, Claude Desktop y MCP.
Por Adrián González · CEO y socio fundador
Qualys ha publicado RefluXFS, una escalada a root en el sistema de ficheros XFS que afecta por defecto a RHEL, Fedora y Amazon Linux y no deja rastro en los registros del kernel.
Por Thilina Manana · COO, Director Técnico de Seguridad hard2bit y socio fundador
ClickFix ya es el segundo vector de acceso inicial: un falso CAPTCHA convence al usuario de ejecutar un comando que instala ACR Stealer y roba tokens de sesión y ficheros de Microsoft 365.
Por Thilina Manana · COO, Director Técnico de Seguridad hard2bit y socio fundador
El 18 de julio aparecieron los primeros ataques contra CVE-2026-6875, cinco días después del parche: un escape de sandbox en ServiceNow que da RCE sin autenticar. Qué vigilar y cómo contenerlo.
Por Thilina Manana · COO, Director Técnico de Seguridad hard2bit y socio fundador
Antes de irte…
Te damos un diagnóstico rápido de 15 min y te decimos qué priorizar primero: M365, pentesting, vulnerabilidades, SOC y/o DORA, NIS2, ENS o ISO 27001.
Sin spam. Respuesta en 24h.
