14104
Cifrado, seguridad informática, criptografía...
Un chaval de 16 años saca los colores a Microsoft: 17,3 billones de filas de datos a las que accedió con el usuario "admin"
https://www.xataka.com/seguridad/17-3-billones-filas-usar-admin-como-usuario-agujero-microsoft-que-descubrio-chaval-16-anos
Un grupo criminal hackea las webs de Adif y Renfe con una IA y roba 500 Gigabytes de datos | Actualidad Económica
https://www.elmundo.es/economia/2026/09/25/6ab690a8e4d4d8b8278b4599.html
ÚLTIMA HORA: Una app en la App Store oficial de Apple estaba sirviendo malware a usuarios de iPhone diseñado para robar claves de billeteras de criptomonedas.
SlowMist y OKX encontraron que las versiones 1.1 y 1.2 de FomoPeek, distribuidas del 9 al 17 de septiembre, ocultaban un marco de explotación del kernel construido para escapar de la sandbox de iOS, descifrar el Keychain y extraer datos de 19 apps, incluyendo MetaMask, Trust Wallet y Apple Notes.
SlowMist rastreó casi 580.000 USDT hasta la billetera principal del atacante.
Brevo supply chain attack hits 100k+ sites with Wordpress backdoors and Clickfix malware | Sansec
https://sansec.io/research/brevo-supply-chain-attack
Se ha descubierto otra forma de filtrar el tráfico fuera de una VPN de Android.
Una aplicación puede enviar tráfico fuera del túnel de la VPN, incluso cuando está habilitada la opción «Bloquear todas las conexiones sin VPN».
¿La parte preocupante?
La aplicación no necesita ningún permiso especial.
El ataque abusa de las conexiones de mantenimiento UDP que Android puede transferir directamente al hardware de Wi-Fi o celular. Estos paquetes evaden la verificación de la VPN y pueden exponer tu dirección IP pública real.
Las aplicaciones de VPN no pueden solucionarlo adecuadamente por sí mismas. El problema requiere cambios en Android.
Mullvad dice que el problema fue reportado al Programa de Recompensas por Vulnerabilidades de Android de Google, pero el informe fue cerrado sin acción.
GrapheneOS está al tanto del problema y está trabajando en una solución.
Otro recordatorio de que tu privacidad depende de más que solo la aplicación de VPN que instalas.
https://mullvad.net/fr/blog/another-way-to-leak-traffic-on-android-has-been-discovered
AdGuard DNS - Servidor DNS para bloqueo de anuncios
https://adguard-dns.io/es/welcome.html
WhatsApp está implementando una corrección para un fallo en Android que entrega toda la galería de fotos de un teléfono bloqueado a cualquier persona que lo tuviera en sus manos.
Responde una llamada de video entrante de WhatsApp desde la pantalla de bloqueo, abre efectos → "Crear con Meta AI" → "Editar foto", y el selector de medios del sistema abre todas las imágenes.
Hasta que llegue el parche, configura el permiso de fotos de WhatsApp en "Permitir acceso limitado
Pillan a AliExpress usando sonidos inaudibles para perfilar a los usuarios (y noquear sus auriculares Bluetooth)
https://www.xataka.com/aplicaciones/pillan-a-aliexpress-usando-sonidos-inaudibles-para-perfilar-a-usuarios-noquear-sus-auriculares-bluetooth/
Brecha de seguridad: hackers rusos exponen datos de cientos de policías y militares
https://www.larazon.es/espana/brecha-seguridad-hackers-rusos-exponen-datos-cientos-policias-militares_202608166a810253a5690f04737c3745.html
uBlock Origin ya no planea seguir persiguiendo los últimos trucos de Facebook para colar anuncios a través de sus filtros; el desarrollador describió a Facebook como un sitio web "repugnante y antiusuario".
Dicen que Facebook ha estado cambiando repetidamente la forma en que se identifican los anuncios, observando proyectos de código abierto como uBlock Origin y modificando su código para evadirlos.
Tras años de este juego del gato y el ratón, el pequeño equipo de uBlock Origin ha decidido que no vale la pena actualizar constantemente sus filtros específicamente para Facebook.
España - Quirońsalud
El grupo de hackers Dire Wolf afirma haber violado Quirónsalud y extraído datos sensibles, incluyendo registros médicos, información de salud protegida (PHI), documentos financieros, datos de clientes, copias de seguridad de bases de datos, información personal y acuerdos de confidencialidad (NDAS).
Actor de amenaza: Dire Wolf
Sector: Salud
Exposición de datos (reclamada): No especificada
Tipo de datos: Registros médicos, documentos financieros, documentos de perfil de clientes, acuerdos de confidencialidad (NDAS), copias de seguridad de bases de datos, datos de clientes, información de salud protegida (PHI), información personal
Observado: 10 de agosto de 2026 Estado: Pendiente de verificación
Tres laboratorios de IA en dos semanas han divulgado ahora que sus propios modelos irrumpieron en empresas reales durante pruebas: OpenAI, Anthropic y, a partir del miércoles, Meta. Los tres llevaron a cabo evaluaciones a través del mismo proveedor, Irregular, que dice que el caso de Meta es el mismo problema de entorno idéntico que reportó Anthropic.
Читать полностью…
Más de 100,000 policías y empleados del Reino Unido han visto filtrados sus nombres completos, detalles de contacto y ubicaciones de sus fuerzas en la dark web tras un hackeo a la base de datos legal nacional de la policía.
Personal del MoD, Home Office, NCA y CPS también están expuestos. Un oficial dice que la filtración "pone a los agentes en serio riesgo."
El sistema informático Séneca de la Junta de Andalucía sufrió un ciberataque originado por el descuido de un usuario autorizado debido a una infección por programa malicioso (malware) en su ordenador personal. Esta vulnerabilidad facilitó el acceso no autorizado a las credenciales IdEA de varios profesores, permitiendo la exposición de datos personales confidenciales tanto de docentes como de alumnos de la comunidad autónoma.
Читать полностью…
Un activista logra que un agente de aduanas borre los datos de su Pixel al facilitarle el PIN de coacción de GrapheneOS
https://www.europapress.es/portaltic/ciberseguridad/noticia-activista-logra-agente-aduanas-borre-datos-pixel-facilitarle-pin-coaccion-grapheneos-20260728132627.html
Investigadores españoles demuestran que ChatGPT, Gemini, Claude y otras IA filtran datos de los chats a anunciantes
https://www.eldiario.es/tecnologia/investigadores-espanoles-demuestran-chatgpt-gemini-claude-ia-filtran-datos-chats-anunciantes_1_13527757.html
Un Estudio de Telemetría Móvil DeGoogle de 2026
¿Cuántos datos envía un teléfono en secreto a Google cuando no lo estás usando? Nuestro equipo midió 72 horas continuas de paquetes de red de teléfonos Android inactivos que estaban sin tocar en nuestro laboratorio.
https://www.praveentechworld.com/research/degoogle-telemetry-2026
Acaba de salir un repositorio con cientos de herramientas de seguridad para IA en un repositorio open source.
Muestran técnicas y herramientas para poner a prueba sistemas de IA:
↳ Frameworks de jailbreak para LLMs
↳ Testers de prompt injection
↳ Agentes de red team para IA
↳ Herramientas de extracción de modelos
↳ Vectores de ataque a la supply chain
↳ Pentesting automatizado para aplicaciones con IA
https://github.com/scadastrangelove/awesome-ai-security-tools
Documentos secretos muestran que la policía alemana no necesita romper la encriptación de las aplicaciones de chat; han estado agregando sistemáticamente sus propios dispositivos a las cuentas de mensajería de las personas bajo investigación.
Una orden aduanera clasificada muestra que vincular una máquina oficial a la cuenta de WhatsApp, Signal o Telegram de un objetivo, a través de la misma función multidiseño que ejecuta las aplicaciones de escritorio, se convirtió en práctica estándar en la policía aduanera de Alemania en 2025, después de un piloto que comenzó en 2023.
La ironía de todo esto es que las agencias de seguridad alemanas advierten al público sobre este ataque exacto cuando lo ejecutan criminales o servicios extranjeros.
Te dicen que revises tus dispositivos vinculados y elimines cualquiera que no reconozcas.
https://netzpolitik.org/2026/messenger-ueberwachung-immer-mehr-polizei-ueberwacht-messenger-wie-whatsapp/#campaign-landtagswahl2026__banner
Actor de Amenaza Reclama 40 Millones de Registros de Suministro de Energia Espatol Obtenidos de SIPS
El actor de amenaza "spain" afirma poseer una gran base de datos del sector energético español, presuntamente obtenida de SIPS (Sistema de Información de Puntos de Suministro).
Según la publicación del actor, el conjunto de datos contiene más de 40 millones de registros vinculados a puntos de suministro de electricidad y gas, incluyendo detalles de identificación de clientes, direcciones, códigos CUPS, información de contratos, datos de medidores y cifras de consumo.
Actor de amenaza: spain
Sector: Energia
Exposición de datos (reclamada): 40.000.000+ registros
Tipo de datos: Detalles de identificación de clientes, direcciones, códigos CUPS, información de contratos, datos de medidores y cifras de consumo Observado: 6 de septiembre de 2026 Estado: Pendiente de verificación
Mullvad está cerrando sus servidores públicos de DNS cifrado el 2 de noviembre.
En lugar de operar su propio servicio, Mullvad apoyará financieramente a Quad9, que considera mejor equipada para operar DNS público centrado en la privacidad a gran escala.
Pero hay un inconveniente: Quad9 no ofrece el mismo bloqueo de anuncios y rastreadores que Mullvad DNS.
Si usas Mullvad DNS para bloquear, necesitarás una alternativa. ¿Cambiarías a Quad9 o buscarías otro DNS centrado en la privacidad?
El FBI está investigando, supuestamente, la filtración de más de 153 millones de licencias de conducir de EE. UU. y Canadá.
Según KrebsOnSecurity, los registros se están vendiendo en la dark web e incluyen fotos, direcciones y otra información personal...
Nace XDP DNS, un servicio público de resolución blindado contra los bloqueos indiscriminados de direcciones IP
https://bandaancha.eu/articulos/nace-xdp-dns-servicio-publico-resolucion-11897
Twitch está utilizando tus transmisiones para entrenar la IA de Amazon. Tu rostro, tu voz, tu chat, tus clips.
Está activado por defecto (como siempre), y admitieron por qué: «Si fuera opt-in, nadie optaría por participar».
Lo que Amazon puede tomar si no lo desactivas: streams, VODs, clips, chats de streams y cualquier imagen o texto en tu canal.
La propia FAQ de Twitch dice que puede usarse para entrenar "un modelo desarrollado por Amazon cuyo propósito es generar o sintetizar texto, audio, imágenes o video".
¿Se ha utilizado ya tu contenido? El propio CPO de Twitch no pudo responder:
"No sé realmente la respuesta a esa pregunta, porque no sé qué ha hecho Amazon en términos de entrenamiento de modelos."
En 2024, el mismo ejecutivo dijo que Amazon estaba utilizando contenido de Twitch para IA.
Cómo optar por no participar:
Foto de perfil → Configuración → Seguridad y privacidad → desplázate hacia abajo → desactiva la opción "Entrenamiento para IA generativa"
Algunos usuarios informan que el interruptor se activa solo de nuevo, así que revísalo dos veces.
Dos advertencias:
Optar por no participar solo cubre tu canal. Si chateas en el stream de alguien más, sus configuraciones deciden, no las tuyas.
Y solo cubre el entrenamiento futuro. Nadie en Twitch puede decirte qué es lo que ya se ha tomado.
Vía: https://x.com/i/status/2088246754508501044
TuLotero ha confirmado oficialmente un ciberataque que ha provocado la filtración de las imágenes del DNI (anverso y reverso) y selfies de verificación de aproximadamente el 2% de sus usuarios, lo que se traduce en un mínimo de 100.000 personas afectadas.
El acceso no autorizado se produjo entre el 13 y el 15 de julio de 2026 a través de un servicio aislado encargado de la validación de identidad.
Afortunadamente, la plataforma aclaró que las contraseñas, datos bancarios y medios de pago no se vieron comprometidos, ya que están almacenados en sistemas independientes y cifrados.
URGENTE: Los navegadores de Apple iOS y macOS que usan WebKit son vulnerables a filtrar tu dirección IP cuando Private Relay está activado. ¡Esto también afecta a los navegadores Tor de iOS! (Onion browser)
Los investigadores encontraron tres funciones de WebKit que evaden el proxy del navegador y se conectan directamente desde el dispositivo solo con visitar un sitio web.
Private Relay es la función de iCloud+ de Apple que enruta el tráfico y DNS de Safari a través de dos saltos, para que ninguna empresa individual (incluida Apple) pueda vincular tu identidad con tu navegación. Las tres filtraciones ocurren fuera de la ruta normal de carga de páginas de WebKit, por lo que el relay nunca las ve. Afortunadamente, las VPN no se ven afectadas.
Mythos 5 y GPT-5.6 Sol atacan a personas y organizaciones en UK
https://elchapuzasinformatico.com/2026/08/uk-confirma-mythos-5-gpt-5-6-sol-ataques-personas-organizaciones/
Invidious - An open source alternative front-end to YouTube
https://invidious.io/
Se filtran cientos de chats con la IA Claude en Internet
https://elchapuzasinformatico.com/2026/07/chats-filtrados-claude-ia-internet/
Han creado una herramienta llamada Sherlock que permite localizar perfiles asociados a un mismo nombre de usuario en más de 400 plataformas.
Esto es lo que incluye:
→ Búsqueda de usuarios con un solo comando
→ Consulta de varios nombres de usuario al mismo tiempo
→ Exportación de resultados en TXT, CSV y Excel
→ Filtros para buscar únicamente en las plataformas que te interesan
→ Guardado automático de los resultados
https://github.com/sherlock-project/sherlock