Guías de seguridad
Contraseñas, MFA, dispositivos, Wi-Fi pública, servidores, dependencias, Git y entornos expuestos: guías prácticas y orientadas a objetivos sobre defensas que puedes aplicar hoy.
Incidente de seguridad de Fireworks AI (octubre de 2026): afectados datos de facturación y, en algunas cuentas, conjuntos de datos y pesos de modelos incompletos; la empresa dice que intervino una brecha de un proveedor de nube. Qué deben hacer los clientes
Fireworks AI, que ofrece infraestructura de inferencia de modelos de IA, publicó el 9 de noviembre de 2026 una actualización del incidente de seguridad que comunicó por primera vez el 9 de octubre. Según la empresa, del incidente original,…
Vulneración de NEAR AI por un fallo del motor de inferencia (datos de cuenta de unos 100 usuarios): qué se ha confirmado y qué deben hacer los usuarios y los operadores de infraestructura de IA
NEAR AI, que ofrece chat y agentes de IA, comunicó en una entrada oficial de su blog fechada el 9 de noviembre de 2026 un acceso no autorizado a parte de su infraestructura. Según la empresa, la causa fue un fallo de ejecución remota de cód…
SAP Security Patch Day de noviembre de 2026: cuatro fallos con CVSS 10.0. Parchee primero Web Dispatcher e ICM expuestos a internet; cómo comprobar si le afecta y qué hacer hoy
El 10 de noviembre de 2026, el Security Patch Day de SAP publicó 35 notas de seguridad nuevas y 4 avisos de seguridad en GitHub, y actualizó 3 notas anteriores. La lista de SAP marca 9 filas como Critical. Cuatro tienen CVSS 10.0: corrupció…
Acceso no autorizado al sistema interno de gestión de Sharefull (hasta unas 7,5 millones de cuentas): pueden haberse filtrado nombres, datos bancarios, contactos de emergencia y más, y qué deben hacer los trabajadores
El 9 de noviembre de 2026, Sharefull anunció que un tercero había accedido sin autorización a su sistema interno de gestión y que la información personal de los usuarios puede haberse filtrado. El acceso se produjo alrededor de las 23:30 de…
Acceso no autorizado al sistema de solicitudes de Vitality de Sumitomo Life (unas 80.000 personas): se filtraron nombres, direcciones, teléfonos y números de tarjeta parcialmente ocultos, y qué deben hacer los usuarios
El 9 de noviembre de 2026, Sumitomo Life Insurance Company anunció que un acceso no autorizado de un tercero al sistema de una empresa a la que subcontrata trabajos de sistemas había filtrado información de unas 80.000 personas que usan o h…
Filtración de datos de Amplifon Americas (audífonos y cuidado auditivo; unas 1,33 millones de personas según la prensa): datos auditivos y médicos, números de carné de conducir y más, y qué hacer si recibe una notificación
Amplifon Americas dice que detectó actividad sospechosa en partes de su red el 11 de febrero de 2026, y que su investigación determinó que un tercero no autorizado obtuvo archivos de ciertos sistemas entre el 18 de enero y el 8 de febrero.…
bee-js 13.3.0 de Ethersphere y Swarm Desktop 0.56.2 distribuyeron malware (noviembre de 2026): versiones afectadas y qué deben hacer los usuarios
La versión 13.3.0 del paquete npm @ethersphere/bee-js, de Ethersphere, el desarrollador de la red de almacenamiento descentralizado Swarm, contenía código malicioso. Un aviso de GitHub (GHSA-hh7j-5m3j-23pf) publicado el 9 de noviembre de 20…
Acceso no autorizado al sitio web de Mitsui Direct General Insurance (unos 234.000 registros): filtrados nombres, direcciones y datos de vehículos, y qué deben hacer quienes pidieron un presupuesto o contrataron un seguro
El 6 de noviembre de 2026, Mitsui Direct General Insurance Co., Ltd. anunció que un tercero había accedido sin autorización a su sitio web y que parte de la información de sus clientes se había filtrado. Detectó el acceso a primera hora del…
Explotado un fallo en el servidor MCP de mittwald, 56 proyectos de clientes comprometidos (noviembre de 2026): la cronología publicada y qué deben hacer los usuarios y los operadores de integraciones de IA
La empresa alemana de alojamiento web mittwald dijo en una entrada oficial de su blog que se explotó un fallo en su servidor MCP, que conecta los asistentes de IA de los clientes con su panel de control mStudio, y que 56 proyectos de client…
Acceso no autorizado a Nitori: podrían haberse filtrado datos personales de hasta 37,62 millones de registros (nombres, direcciones, teléfonos, fechas de nacimiento): qué deben hacer los miembros particulares y corporativos
El 9 de noviembre de 2026, Nitori Holdings Co., Ltd. anunció que el 6 de noviembre confirmó un acceso no autorizado de un tercero a un sistema que gestiona, y que los datos personales guardados en sus servidores, hasta 37,62 millones de reg…
Acceso no autorizado al sistema de envío de datos de impresión de Raksul (cifra en recuento): pueden haberse filtrado nombres, direcciones y teléfonos de los datos de impresión, y qué deben hacer los clientes y las personas que figuran en los impresos
El 9 de noviembre de 2026, Raksul Inc. anunció que un tercero había accedido sin autorización al sistema implicado en el tratamiento de los envíos de datos de su servicio Raksul, y que información personal puede haberse filtrado al exterior…
Incidente de ciberseguridad en la Universidad Vanderbilt (en curso): wifi, Okta, correo y CampusPrint restablecidos, otros sistemas restringidos, semanas hasta la recuperación total, y qué deben hacer estudiantes y personal
El 9 de noviembre de 2026, la Universidad Vanderbilt (Tennessee, EE. UU.) dijo que está respondiendo a un incidente de ciberseguridad activo que puede afectar a dispositivos, sistemas y servicios en la nube de la universidad. En su actualiz…
Acceso no autorizado a la tienda online akyrise de Euglena (hasta unos 900.000 registros): nombres, direcciones y teléfonos pueden haberse filtrado; qué deben hacer los compradores
El 5 de noviembre de 2026, Euglena Co., Ltd. anunció que un tercero había accedido sin autorización, el 4 de noviembre, a la tienda online de su marca de cosmética akyrise y que se filtró información de miembros. La empresa cerró la tienda…
Acceso no autorizado al negocio de venta por correo de Rohto Pharmaceutical (2.797.545 personas en el sistema de clientes, 9.715 números de tarjeta en grabaciones de llamadas): qué deben hacer quienes pidieron por teléfono y todos los demás
El 6 de noviembre de 2026, Rohto Pharmaceutical Co., Ltd. publicó los resultados de su investigación sobre el acceso no autorizado al sistema telefónico que usa para su negocio de venta por correo. Se obtuvieron nombres, direcciones y númer…
Acceso no autorizado al juego de mahjong en línea Maru-Jan (1.855.578 miembros): se filtraron direcciones de correo y contraseñas; qué deben hacer los miembros
El 7 de noviembre de 2026, Signaltalk Co., Ltd. anunció que un acceso no autorizado a Maru-Jan, el juego de mahjong en línea que opera, había filtrado las direcciones de correo y las contraseñas de 1.855.578 miembros. La empresa dice que se…
Filtración en el sistema de garantía de préstamos de SMBC Consumer Finance (hasta 320.118 personas): números de permiso de conducir, datos del empleador e ingresos filtrados; qué deben hacer los clientes de préstamos con tarjeta bancaria
El 5 de noviembre de 2026, SMBC Consumer Finance Co., Ltd. anunció que un tercero había accedido sin autorización al sistema que usa para su negocio de garantía de préstamos y que se habían enviado datos fuera del sistema. Detectó el acceso…
Filtración de datos médicos de Perry Johnson & Associates (PJ&A): cuatro estados llegan a un acuerdo de hasta 10 millones de dólares (13,3 millones de personas), qué se expuso y qué hacer
El 6 de noviembre de 2026, los fiscales generales de Nueva York, Connecticut, Míchigan y Nueva Jersey anunciaron un acuerdo con la empresa de transcripción y codificación médica Perry Johnson & Associates, Inc. (PJ&A) y cuatro filiales (en…
Ciberataque a Crédit Mutuel Arkéa (Francia): transferencias fraudulentas desde su propia cuenta a través de la plataforma de un proveedor, activos de los clientes sin afectar
El 4 de noviembre de 2026, el grupo financiero francés Crédit Mutuel Arkéa dijo que había sufrido un ataque que permitió operaciones fraudulentas. Según el grupo, los atacantes llegaron a él a través de la plataforma de un proveedor de serv…
Intrusión en un sistema interno de DigiCert (autoridad de certificación): datos de contacto de representantes de clientes y algunos documentos de identidad, y qué deben hacer los clientes
En un informe de incidente en Mozilla Bugzilla (informe completo publicado hacia el 2 de noviembre de 2026, hora de Japón), DigiCert dice que detectó un acceso no autorizado a un sistema interno de negocio que archiva información que los cl…
Brecha en docomo Online Shop y My docomo de NTT DOCOMO (hasta unos 300.000 registros): números de documento de identidad filtrados y qué deben hacer los clientes
El 4 de noviembre de 2026, NTT DOCOMO confirmó un acceso no autorizado desde el exterior a docomo Online Shop y My docomo y, desde aproximadamente la 1:05 del 5 de noviembre, suspendió los trámites en ambos servicios e inició un mantenimien…
Acceso no autorizado al servicio de envío del boletín de Hotto Motto (hasta unos 7 millones de registros): nombres, fechas de nacimiento y teléfonos filtrados, y qué deben hacer los miembros
El 4 de noviembre de 2026, Plenus Co., Ltd. anunció que el servicio de envío del boletín de Hotto Motto, prestado por un contratista externo, había sufrido un acceso no autorizado por parte de un tercero y que se había filtrado información…
Acceso no autorizado en Iris Plaza (datos de unos 7,7 millones de personas): nombres, direcciones y contraseñas cifradas pueden haberse filtrado, y qué deben hacer los miembros y compradores
El 5 de noviembre de 2026, Iris Plaza Co., Ltd., del Grupo Iris, dijo en un segundo aviso que un acceso no autorizado a Iris Plaza, la tienda en línea oficial de Iris Ohyama, puede haber filtrado parte de la información personal de sus clie…
Manipulan los archivos del lanzador de PC de GODDESS OF VICTORY: NIKKE y se distribuye un programa malicioso: qué hacer si usó la versión de Windows desde las 15:41 (JST) del 27 de septiembre
El 5 de noviembre de 2026, el operador de GODDESS OF VICTORY: NIKKE (Level Infinite) anunció que un tercero había manipulado algunos archivos de su lanzador de PC, por lo que un programa malicioso podía ejecutarse al iniciar el lanzador. Se…
Corrección urgente de OpenSSH 10.6p2 (CVE-2026-123158): añadido al KEV de CISA; en sshd con musl sin PAM, como Alpine, se puede iniciar sesión sin la contraseña
El 5 de noviembre de 2026 OpenSSH publicó la versión 10.6p2 con una solución alternativa crítica para una elusión de la autenticación por contraseña en sshd en algunos sistemas Linux compilados y ejecutados sin PAM, en particular los que us…
SonicWall SonicOS SSL-VPN CVE-2026-19868: se pueden eludir SAML y su MFA, en el KEV de CISA (actualice Gen7 y Gen8)
CVE-2026-19868 es un fallo en el servicio SSL-VPN de SonicWall SonicOS, el sistema operativo de los cortafuegos de SonicWall. Según el aviso SNWLID-2026-0014 de SonicWall del 6 de noviembre de 2026, en un cortafuegos con SAML activado para…
Filtración de datos personales de Suntory Group (unos 90.000 empleados y personal de socios, y otros grupos): nombres y correos filtrados tras un acceso no autorizado a un servicio en la nube externo, y qué deben hacer candidatos y clientes
Suntory Group anunció el 2 de noviembre de 2026 que había confirmado un acceso no autorizado de un tercero a un servicio en la nube externo que utiliza el grupo, y que algunos de los archivos que descargó el tercero contenían información pe…
Acceso no autorizado al servicio de envío de correo Arara Message de Arara (unos 81,3 millones de direcciones de correo): también datos de miembros como nombres. Qué deben hacer los destinatarios de boletines y las empresas clientes
El 6 de noviembre de 2026, Arara Inc. (filial de PayCloud Holdings) dijo en su tercer informe que, contando 3.249.492 direcciones de correo tomadas de un entorno de nube distinto (entorno B), el acceso no autorizado a su servicio de envío d…
Filtración de datos de miembros de Asoview! (15.821.184 registros): nombres, teléfonos y datos de compra de entradas filtrados a través de un proveedor de envío de correo, y qué deben hacer los miembros
Asoview Inc. anunció el 3 de noviembre de 2026 que parte de los datos de miembros de su servicio de reservas de ocio Asoview! se filtró después de que un tercero accediera sin autorización al servicio del proveedor que usaba para enviar cor…
Filtración de datos de clientes de 7NOW de Seven-Eleven Japan (164.180 registros solo con nombre y más): qué expuso la intrusión en un contratista de reparto y qué deben hacer los usuarios
Seven-Eleven Japan anunció el 3 de noviembre de 2026 que un tercero accedió sin autorización a un servicio operado por un contratista que gestiona parte de los repartos de su servicio de entrega a domicilio 7NOW, y que se tomó parte de los…
Incidente de seguridad de Trigger.dev (noviembre de 2026): claves de API root y variables de entorno al alcance del atacante en el 0,66 % de los clientes; regenere claves y rote secretos
Trigger.dev, una plataforma para ejecutar trabajos en segundo plano y agentes de IA, divulgó un incidente de seguridad el 1 de noviembre de 2026 y publicó un informe de seguimiento el 6 de noviembre. La empresa dice que las alertas de la in…
Intrusión en la aplicación interna de ventas de WorkOS (plataforma de SSO y sincronización de directorios para desarrolladores): la empresa la atribuye al agente de IA de un investigador de seguridad; qué deben hacer los clientes ante contactos expuestos y el historial de soporte y de Slack
WorkOS publicó el 2 de noviembre de 2026 un aviso sobre un acceso no autorizado a una aplicación interna que usan sus equipos de ventas y de atención al cliente, y lo actualizó el 6 de noviembre. La actualización dice que el primer acceso n…
Intrusión en producción de Chainstack (plataforma de nodos blockchain y API): qué deben hacer los desarrolladores y operadores de dApps con los datos de cuenta y las credenciales de nodo
En un aviso fechado el 3 de noviembre de 2026, Chainstack dice que un atacante externo llegó a parte de su infraestructura a través de un componente de terceros: un entorno de desarrollo el 26 de octubre y parte de producción el 29 de octub…
Filtración en @cosme de istyle (datos de unos 3 millones de miembros): qué deben hacer los miembros ante la filtración de nombres, direcciones, teléfonos y tipo de piel
istyle Inc. anunció el 2 de noviembre de 2026 que confirmó el 28 de octubre un acceso no autorizado a @cosme por parte de un tercero y que parte de la información de miembros registrada con el ID común de @cosme se filtró. Hay unos 3 millon…
Acceso no autorizado a Nojima Online y a su sitio de recompra de móviles usados (unos 7 millones de registros): nombres, direcciones, teléfonos y contraseñas cifradas, y qué deben hacer los miembros
Nojima Corporation anunció el 2 de noviembre de 2026 que un tercero accedió sin autorización al sistema de gestión de miembros de Nojima Online y que se filtraron datos de miembros de Nojima Online y de su sitio de recompra de móviles usado…
Filtración del sistema de asistencia en carretera de Prestige International (hasta unos 5,5 millones de registros, con duplicados): nombres, datos de vehículos y parte de los datos bancarios y 3 números de tarjeta sustraídos, y qué deben hacer los clientes de seguros y leasing
Prestige International Co., Ltd. anunció el 2 de noviembre de 2026 que el sistema de su empresa del grupo Prestige Core Solutions, que gestiona la recepción y el despacho de la asistencia en carretera para empresas clientes, sufrió un acces…
Filtración en la tienda oficial de Good Smile Company (datos completos de tarjeta de 2.800 personas posiblemente filtrados, datos parciales de 402.466 tarjetas, hasta 202 pedidos posiblemente vistos): qué debe hacer cada grupo
Good Smile Company Co., Ltd. anunció el 23 de octubre de 2026 que un tercero había accedido a su tienda oficial y, en su cuarto informe del 30 de octubre, había clasificado a los afectados en tres grupos. En el grupo B (2.800 personas), un…
Jenkins 2.588 y LTS 2.580.2 corrigen 15 fallos (CVE-2026-117612 a 117626): compruebe su versión y qué revisar tras actualizar
El 28 de octubre de 2026 el proyecto Jenkins publicó un aviso de seguridad que corrige 15 vulnerabilidades del núcleo de Jenkins (CVE-2026-117612 a CVE-2026-117626) en la versión semanal 2.588 y en LTS 2.580.2. Están afectadas la semanal 2.…
Acceso no autorizado y filtración de datos en PingCAP (TiDB Cloud) (hasta unos 50.000 registros en Japón): qué deben hacer los administradores de organizaciones de TiDB Cloud con los datos de cuenta, el historial del editor SQL y los tickets de soporte
PingCAP dice que entre el 9 de septiembre y el 7 de octubre de 2026 (hora de EE. UU.) un tercero usó credenciales robadas para entrar en sistemas internos y copiar datos, y que se comprobó la filtración de hasta unos 50.000 registros person…
Ataques de ransomware a Synology DSM: versiones desactualizadas atacadas mediante un fallo corregido en diciembre de 2024, qué actualizar y comprobar hoy (SA-24:20)
El 29 de octubre de 2026, Synology dijo que había identificado a actores de amenazas que explotan una vulnerabilidad corregida en diciembre de 2024 para atacar dispositivos con versiones desactualizadas de DSM, con el fin de cifrar datos y…
Acceso no autorizado a la bolsa de empleo MyBRANDS y posible filtración de datos personales (hasta unas 135.000 cuentas): qué deben hacer quienes buscan empleo y los contactos de empresas con nombre, datos de contacto e historial laboral
iDA Co., Ltd. (Japón) anunció el 30 de octubre de 2026 que un acceso no autorizado de un tercero al entorno de servidores de su bolsa de empleo MyBRANDS pudo filtrar al exterior la información de las personas registradas, tanto quienes busc…
Ataque de ransomware a la Universidad de Saga (los datos personales de estudiantes, personal y exalumnos pueden haberse filtrado, unas 80.000 personas, más datos de pacientes): qué deben hacer quienes tienen registrados su nombre, dirección y contraseña
La Universidad de Saga, una universidad nacional de Japón, anunció el 30 de octubre de 2026 que, tras el ataque de ransomware que divulgó el 28 de septiembre en sus sistemas de información administrativa, había confirmado que no puede desca…
Fallo de WordPress 7.1.4 CVE-2026-119977: se corrige una condición de carrera en la actualización del núcleo que puede llevar a la ejecución remota de código; compruebe su versión y las actualizaciones automáticas
El 28 de octubre de 2026, el proyecto WordPress publicó la versión de seguridad 7.1.4, que corrige un fallo en el proceso de actualización del núcleo que puede llevar a la ejecución remota de código. Según el aviso de seguridad de WordPress…
Automatizar la vigilancia de vulnerabilidades para su propio stack: coincidir con los componentes que realmente usa
En los sitios que gestiona el operador de este sitio, una vulnerabilidad de PHP, código malicioso en un paquete de Python y un problema en una imagen base de contenedor llegaron cada uno a una persona antes que la vigilancia automatizada, t…
Incidente de seguridad de Chainalysis (octubre–noviembre de 2026): expuestos nombres, nombres de usuario, hashes de contraseñas y tokens activos de todos los usuarios, y qué deben hacer los clientes
La empresa de análisis de blockchain Chainalysis publicó un aviso sobre un incidente de seguridad el 30 de octubre de 2026 y lo ha actualizado desde entonces. En su actualización del 4 de noviembre, la empresa dice que los nombres, nombres…
Acceso no autorizado a Club Tourism y posible filtración de datos personales (unos 4,32 millones de registros): qué deben hacer los socios con nombre, dirección, teléfono y contacto de emergencia
Club Tourism Co., Ltd. (Japón) anunció el 31 de octubre de 2026 que detectó un acceso no autorizado desde el exterior a las 5:45 del 30 de octubre y que la información de los socios de internet registrados en su sistema de reservas por inte…
Cuando los límites de tasa por IP no frenaron a un bot de búsqueda repartido en decenas de miles de IP
Un sitio cuya búsqueda llama a una API externa en cada consulta vio que el tráfico de búsqueda subía unas 20 veces en pocos días, y casi todas las búsquedas devolvían 503. La primera suposición, que un límite por IP lo contendría, era errón…
CVE-2026-98432 del kernel de Linux: un use-after-free de TCP activable por red (CVSS 9.8); instale el kernel corregido, reinicie y revise MPTCP
CVE-2026-98432 es un use-after-free en el código TCP IPv4 del kernel de Linux, publicado el 15 de octubre de 2026. La CNA del proyecto del kernel lo puntúa con CVSS v3.1 9.8 (red, sin privilegios, sin interacción del usuario). Según se info…
Incidente de seguridad de Northflank (octubre de 2026): variables de entorno almacenadas que se deben dar por descifradas y uso indebido de claves de API de IA
El 30 de octubre de 2026 (UTC), la plataforma de despliegue en la nube Northflank publicó un incidente de seguridad en su página de estado. Una alerta de amenaza de un proveedor de seguridad llegó a las 11:43 UTC; la empresa desplegó parche…
Qué comprobar tras una actualización urgente de PHP: PHP web frente a PHP de línea de comandos, set -e y códigos de salida de diff, y una revisión de intrusión
Durante la respuesta de octubre de 2026 a las vulnerabilidades críticas de PHP, un sitio que gestiona el operador de este sitio había actualizado el PHP web, pero el PHP de línea de comandos que usaba cron seguía apuntando a una versión ant…
Filtración en Tin Pan Alley, filial de World (operador de RAGTAG, según la prensa), con unos 1,2 millones de registros en total: nombres, direcciones y teléfonos pueden haberse filtrado y qué deben hacer los socios
El 30 de octubre de 2026, World Co., Ltd. anunció que un tercero accedió sin autorización a un servidor de negocio de su filial consolidada Tin Pan Alley Co., Ltd., y que parte de la información de socios almacenada en él puede haberse filt…
Filtración de cuentas de clientes de Revolve: números de tarjeta guardados y fechas de caducidad a los que se accedió (1.515.073 personas según la lista de la Fiscalía de Indiana) y qué deben hacer los clientes
El minorista de moda estadounidense Revolve divulgó en un documento presentado ante el regulador bursátil de EE. UU. el 29 de octubre de 2026, según informó The Record, que una parte no autorizada utilizó medios automatizados para acceder a…
Ciberataques y filtraciones de datos de octubre de 2026: 36 vulnerabilidades explotadas y filtraciones masivas
En octubre de 2026, CISA añadió 36 vulnerabilidades a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), siete menos que las 43 de septiembre. Once eran productos perimetrales y de acceso remoto, como dispositivos VPN y cortafuegos…
Servidor de actualizaciones de AOMEI Backupper manipulado (de abril a julio de 2026): quién puede estar afectado, las fechas y cómo revisar su PC
AOMEI, fabricante del software de copias de seguridad para Windows AOMEI Backupper, publicó el 19 de octubre de 2026 (última actualización el 30 de octubre) un comunicado sobre un compromiso de la cadena de suministro de software que afectó…
Robo de criptoactivos en Binance (unos US$6.300 millones): ¿están cubiertos los fondos de los usuarios y qué deben hacer los titulares de cuentas?
Binance dijo que sus hot wallets (carteras calientes) se vieron comprometidas hacia las 20:05 UTC del 29 de octubre de 2026 y que siguieron retiradas no autorizadas, con un impacto estimado de unos US$6.300 millones. El 31 de octubre, el FB…
Cisco Catalyst SD-WAN Manager CVE-2026-76504: acceso de administrador sin iniciar sesión, explotada (actualice a una versión corregida)
CVE-2026-76504 es un fallo en la autenticación de sesiones de la API de Cisco Catalyst SD-WAN Manager (antes vManage), el sistema de gestión de la SD-WAN de Cisco. Según el aviso de Cisco del 30 de septiembre de 2026, un manejo incorrecto d…
Cloudflare Workers AI devolvió datos de otros clientes en 155 respuestas (GLM 5.3): qué deben comprobar los equipos que usan IA alojada
El 26 de octubre de 2026, Cloudflare publicó un relato de una exposición de datos entre solicitudes en Workers AI. Del 27 de agosto al 9 de septiembre de 2026, las solicitudes de más de 681.280 tokens enviadas al modelo GLM 5.3 podían recib…
Extensión «Claude Code» manipulada en el mercado de Cursor (29 de oct., unas 11 horas): cómo comprobar si hay una puerta trasera SSH
Cursor publicó un aviso de seguridad el 29 de octubre de 2026 (actualizado el 30 de octubre) en el que dice que las versiones manipuladas 2.1.312 y 2.1.313 de una extensión publicada con el nombre de Anthropic (Anthropic.claude-code) se dis…
Incidente de DreamHost (octubre de 2026): credenciales FTP y SFTP expuestas a través de File Manager, también se obtuvieron credenciales de webmail, y qué deben hacer los titulares de cuenta
El 29 de octubre de 2026, DreamHost dijo que el 23 de octubre detectó un acceso no autorizado al servidor que ejecuta su File Manager web (files.dreamhost.com). El atacante explotó una vulnerabilidad en un software de terceros que usa File…
Drupal Commerce Core CVE-2026-118539: omisión de acceso sin autenticación, explotada activamente (actualice a 8.x-2.41 o 3.3.13)
El 28 de octubre de 2026, el Equipo de Seguridad de Drupal publicó SA-CONTRIB-2026-254 para el módulo Commerce Core (CVE-2026-118539). El módulo no protege lo suficiente ciertas rutas y campos de entidad, lo que permite una omisión de acces…
Filtración de datos de estudiantes de ETS en California: se copiaron datos de discapacidad, 504 y pruebas, y qué deben hacer las familias
Educational Testing Service (ETS), la organización sin ánimo de lucro que aplica las pruebas estatales de California (CAASPP y ELPAC) por contrato con el estado, empezó a notificar a estudiantes y familias el 16 de octubre de 2026, por indi…
Brecha en sistemas internos de Genesys (octubre de 2026): accedieron a sistemas con datos de contacto de clientes, las plataformas no se vieron afectadas, y qué deben hacer los clientes
El 19 de octubre de 2026, Genesys, proveedor de la plataforma de centros de contacto Genesys Cloud, anunció un incidente de ciberseguridad en el que intervino un tercero no autorizado. La empresa tuvo conocimiento de él el 16 de octubre. Su…
Filtración de datos de miembros de GETTIIS (317.971 ID de miembro): qué se filtró y qué deben hacer los miembros
El 19 de octubre de 2026, Linkstation Inc. (Japón) anunció que se había filtrado información de miembros de GETTIIS tras un acceso no autorizado y, el 20 de octubre, publicó un segundo informe con las cifras por dato. Según la empresa, entr…
Ivanti Connect Secure CVE-2026-111357 y CVE-2026-118527: dos fallos más añadidos al KEV de CISA (qué hacer ante los ataques de octubre)
El 30 de octubre de 2026, CISA añadió dos vulnerabilidades de Ivanti Connect Secure a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV): CVE-2026-111357, una escalada local de privilegios a root, y CVE-2026-118527, un fallo de iden…
Filtración en el sistema de gestión de la app de Matsuya (2.377.127 registros más miembros de la app): nombres, teléfonos y direcciones de entrega expuestos: qué deben hacer los miembros
El 30 de octubre de 2026, Matsuya Foods Holdings Co., Ltd., la cadena japonesa de restaurantes de gyudon (cuencos de arroz con ternera), anunció que un tercero había accedido sin autorización al sistema de gestión de la app oficial de Matsu…
Filtración de la app y la tienda en línea de Ryohin Keikaku (MUJI) (hasta unos 27,26 millones de registros): también afectados unos 1,09 millones de números de MUJI Card — qué deben hacer los usuarios
Tras su primer aviso del 30 de octubre, Ryohin Keikaku Co., Ltd., la minorista japonesa detrás de MUJI, dijo en un segundo aviso del 4 de noviembre de 2026 que el alcance era mayor. Están afectados los miembros de la tienda en línea de MUJI…
Brecha de OpenCode Console (octubre de 2026, 1,4 % de los usuarios de Console): claves de API de proveedores de IA posiblemente expuestas, y qué hacer
El 17 de octubre de 2026, OpenCode, el agente de programación con IA de código abierto, dijo en su cuenta oficial de X que la noche anterior había sufrido una brecha de seguridad, relacionada con un ataque de destilación a gran escala, que…
Orkes Conductor CVE-2026-58138: ejecución de comandos del sistema sin autenticación, con intentos de ataque observados (actualice a 3.30.2 o posterior)
CVE-2026-58138 es una vulnerabilidad de Conductor, el motor de flujos de trabajo de código abierto del proyecto conductor-oss, al que el registro CVE llama Orkes Conductor. En las versiones desde 3.21.21 hasta antes de 3.30.2, un atacante r…
Filtración de datos de Paradigm Healthcare Services: pudo haberse accedido a números de afiliado de Medi-Cal y fechas de nacimiento, y qué deben hacer los afiliados
Paradigm Healthcare Services, un proveedor de servicios externo que tramita la facturación de Medi-Cal y mantiene los números de identificación de afiliado de Medi-Cal para el Departamento de Servicios de Atención Médica de California (DHCS…
Filtración de datos de Photon Health (fallo en una herramienta de análisis): nombres, direcciones, teléfonos, fechas de nacimiento e información de recetas — qué deben hacer los pacientes afectados
El 8 de octubre de 2026, Photon Health, una plataforma estadounidense de receta electrónica, publicó un aviso en el que dice que un tercero no autorizado explotó una vulnerabilidad desconocida hasta entonces en su herramienta de análisis de…
Plex2Shell: cuatro CVE de Plex Media Server explotadas activamente (actualice a 1.43.3.10861 o posterior)
Plex2Shell es el nombre que un investigador de seguridad dio a cuatro fallos de Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. Según Plex, encadenados permiten a un atacante remoto sin autenticación ejec…
Polymarket detiene las operaciones tras comprometerse un script de terceros: qué deben hacer los usuarios y los operadores de sitios
El 29 de octubre de 2026, la página de estado de Polymarket informó de que su plataforma internacional (Polymarket.com) pasó al modo de solo cancelación a las 14:05 ET, de que un proveedor externo había sido comprometido, de que el asunto s…
Filtración de datos de Ricardo (marketplace suizo), unas 890.000 cuentas: nombres, direcciones y teléfonos expuestos, y qué deben hacer los usuarios
El 9 de octubre de 2026, SMG Swiss Marketplace Group, que gestiona el marketplace suizo Ricardo, anunció un acceso no autorizado a datos personales vinculados a pedidos en la plataforma Ricardo. Ricardo detectó actividad sospechosa en sus s…
SharePoint Server CVE-2026-65660: ejecución de código por un usuario con sesión iniciada, explotada (instale las actualizaciones de agosto de 2026)
CVE-2026-65660 es un fallo de inyección de código en Microsoft SharePoint Server local (Subscription Edition, 2019 y Enterprise 2016). Según Microsoft, un atacante autenticado con acceso de bajo nivel puede enviar una solicitud especialment…
Gestionar scripts de terceros de forma segura: inventario, SRI, CSP y destinos de formularios
Un script de terceros puede leer la página en la que se ejecuta, incluido lo que escribe el usuario. Si el proveedor es comprometido o el archivo cambia, tus usuarios se ven afectados aunque tu servidor esté intacto. El orden de defensa: li…
Trezor informa de un posible implante de hardware en un Safe 5 de un antiguo revendedor (sin confirmar): qué deben hacer los propietarios
El 30 de octubre de 2026, Trezor publicó un aviso en el que dice que su equipo de seguridad recibió, el 28 de octubre, un informe de divulgación responsable sobre un implante de hardware en un Trezor Safe 5. El dispositivo se compró en agos…
Filtración del sitio web de Yakult Honsha (unos 40.000 registros): se filtraron nombres, direcciones, teléfonos, correos y contenido de consultas — qué deben hacer los afectados
Yakult Honsha Co., Ltd. confirmó un acceso no autorizado a su sitio web el 26 de octubre de 2026 y suspendió ese mismo día las funciones del sitio. En su segundo informe del 30 de octubre, dijo haber confirmado que se filtraron unos 40.000…
Incidente de seguridad de Zeabur (octubre de 2026, 3,22 millones de variables de entorno leídas): qué secretos rotar y qué deben hacer los usuarios
El 19 de octubre de 2026, la plataforma de despliegue de aplicaciones Zeabur publicó un informe preliminar sobre un incidente de seguridad ocurrido el 14 y 15 de octubre (UTC). La empresa afirma que un atacante usó credenciales internas fil…
Acceso no autorizado a la app de comercio electrónico de Aena (datos de Mi Página de hasta 817.215 personas): nombres, direcciones y datos de entrega que pueden haberse consultado, y qué deben hacer los miembros
Aena Co., Ltd., una cadena japonesa de tiendas de descuento, anunció el 14 de octubre de 2026 que los datos de Mi Página de los miembros de su app de comercio electrónico pueden haberse consultado sin autorización. Según la empresa, el anál…
Brecha de datos de clientes de ASOS y falsa alerta en la app: nombres y datos de contacto robados, fechas de nacimiento e historial de búsquedas según informaciones — qué deben hacer los clientes
El 6 de octubre de 2026, los clientes de ASOS recibieron una notificación push no autorizada a través de la app de ASOS. ASOS dijo que una parte no autorizada había accedido a plataformas de terceros que usa para comunicarse con los cliente…
Filtración en un proveedor de Benefit One para 'Toku-Kai' (29.465 personas): nombres, fechas de nacimiento y correos filtrados, y qué deben hacer los miembros
El 28 de octubre de 2026, Benefit One Inc. anunció que un sistema gestionado por uno de sus proveedores externos había sido accedido sin autorización y que se filtraron datos personales de 29.465 miembros (incluidos algunos que ya se habían…
Robo de criptoactivos en Bitget (unos 387,5 millones de dólares): ¿están cubiertos los saldos de los clientes y qué deben hacer los titulares de cuentas?
El 24 de septiembre de 2026 (UTC), el exchange de criptomonedas Bitget detectó transferencias no autorizadas desde parte de sus monederos calientes y templados. Primero estimó unos 351,6 millones de dólares y el 25 de septiembre confirmó un…
Acceso no autorizado al groupware interno de Bithumb (datos personales de 844 clientes expuestos): números de identificación, números de cuenta y más, y qué deben hacer los clientes
Bithumb, un exchange de criptomonedas de Corea del Sur, descubrió el 27 de octubre de 2026 un acceso anómalo de un tercero externo no autorizado a su sistema interno de groupware móvil y, según la prensa coreana que informó de su anuncio de…
Incidente de ConnectWise Cloud Backup (antes SkyKick): intentos de inicio de sesión dirigidos por IA contra más de 2.250 inquilinos de Microsoft 365 y qué deben comprobar los administradores
El 16 de octubre de 2026, ConnectWise publicó un aviso en el que indica que hubo un acceso no autorizado a credenciales de aplicaciones asociadas a Cloud Backup (antes SkyKick), su servicio de copias de seguridad de Microsoft 365 para prove…
Filtración de datos de agentes de Covered California: nombres, números de licencia y número de la Seguridad Social o FEIN expuestos en un incidente de phishing, y qué deben hacer los agentes
Covered California, el mercado de seguros médicos de California, presentó una notificación de filtración de datos ante el Fiscal General de California (comunicada el 16 de octubre de 2026). El aviso a los agentes dice que el 13 de mayo de 2…
Brecha de datos del bot de Discord Double Counter (unos 28 millones de IDs de Discord, 1 millón de correos): qué se filtró y qué deben hacer los miembros y los administradores de servidores
Tellter SAS, el operador del bot de verificación de Discord Double Counter, publicó un informe del incidente el 5 de octubre de 2026 (versión 2.0 el 21 de octubre). Dice que un atacante entró el 4 de octubre a través de una herramienta de a…
Filtración de datos de clientes de ENGIE (Francia): datos de contacto y números de contrato expuestos a través de una herramienta comercial de un socio, sin datos bancarios, y qué deben hacer los clientes
ENGIE, la compañía energética francesa, empezó a enviar correos a clientes en Francia a finales de octubre de 2026 para decirles que un ataque (la formulación se reprodujo como un acto de ciber-malevolencia) alcanzó una herramienta que algu…
Filtración en el sitio web de ayuda financiera del Departamento de Educación de Florida (unos 4,9 millones de personas): números de la Seguridad Social en riesgo y qué hacer
El 29 de octubre de 2026, el Departamento de Educación de Florida (Florida Department of Education) anunció que su personal tuvo conocimiento el 19 de octubre de un acceso criminal no autorizado al sitio web Florida Student Financial Aid (F…
Filtración de datos de Frontline Education (proveedor de software escolar): 3,09 millones de personas según la lista del Fiscal General de Indiana; números de la Seguridad Social, de Medicaid y de estudiante afectados, y qué deben hacer el personal y las familias
Frontline Education, proveedor estadounidense de software de administración para distritos escolares K-12, publicó un Aviso de Filtración de Datos fechado el 26 de octubre de 2026. Dice que su equipo de seguridad halló el 14 de agosto de 20…
Filtración de datos de miembros de Hana-cupid (hasta 4.238.242 registros): ID de usuario, contraseñas cifradas y correos electrónicos filtrados, y qué deben hacer los miembros
Hana-cupid Co., Ltd. anunció el 28 de octubre de 2026 que un acceso no autorizado de un tercero a sus servicios de floristería online, Internet Hana-cupid y Business Hana-cupid, había filtrado parte de los datos de sus miembros. Según la em…
Filtración de datos de iRhythm (8.179.772 personas en el listado del HHS): nombres de pacientes de Zio, números de seguro y números de serie de dispositivos, y qué deben hacer los pacientes
iRhythm Technologies, fabricante estadounidense del monitor cardíaco portátil Zio, comunicó a la SEC de EE. UU. el 15 de junio de 2026 que había detectado un acceso no autorizado a ciertas aplicaciones de negocio alojadas por terceros y que…
Acceso no autorizado al proveedor del sistema de reservas de JAL, JTA, ANA, Korean Air y Asiana (unos 92.000 clientes de JAL/JTA y 37.800 de ANA): números de reserva, nombres y más datos, y qué deben hacer los viajeros
Japan Airlines (JAL) y Japan Transocean Air (JTA) anunciaron el 28 de octubre de 2026 que el 23 de octubre el proveedor de su sistema de servicio a pasajeros, una empresa extranjera, les informó de que un acceso no autorizado a los sistemas…
Brecha de Navigate360 y la plataforma de denuncias de Crime Stoppers (P3): qué deben hacer quienes enviaron avisos, quienes aparecen en ellos y los destinatarios de la notificación en EE. UU.
Navigate360 ha publicado un aviso de brecha de datos (la página no muestra fecha; Reuters informa de que la reconoció el 23 de octubre de 2026) en el que dice que un tercero no autorizado copió datos de uno de sus sistemas entre el 21 de no…
Un acceso no autorizado a Sony Life filtra datos de pólizas (unos 2,9 millones de registros de Sony Life y 385.000 de Medicare Life): nombres, direcciones, números de póliza y más, y qué deben hacer los tomadores
Sony Life Insurance Co., Ltd. anunció el 9 de noviembre de 2026, en un segundo informe, que había confirmado nuevas filtraciones de información derivadas del acceso no autorizado a sus sistemas: datos personales de sus propias pólizas de se…
Filtración de datos de la Universidad de Copenhague (unas 525.000 personas): nombres, números CPR, teléfonos y correos — qué hacer
La Universidad de Copenhague (Københavns Universitet, KU) anunció el 23 de octubre de 2026 que unos hackers habían accedido a uno de sus entornos de pruebas. Informaciones coincidentes que citan a la universidad dicen que se obtuvieron dato…
VMware ESX CVE-2026-41709 (CVSS 2.7): CISA incluye como explotado este fallo de registro de baja gravedad; aplique todo VMSA-2026-0006 y revise sus hosts
CVE-2026-41709 es un fallo de registro insuficiente en VMware ESX (CVSS 2.7, bajo): un atacante que ya tiene acceso de administrador puede realizar ciertas operaciones sin que queden registradas en los logs. Broadcom lo corrigió en el aviso…
Acceso no autorizado y filtración de datos personales en White Essence (unos 1,05 millones de cuentas): nombres, direcciones, teléfonos y contraseñas cifradas, y qué deben hacer los usuarios
White Essence Co., Ltd. anunció el 12 de agosto de 2026 que había suspendido sus sistemas tras un acceso no autorizado a su sitio de reservas y a sus sistemas centrales, y el 5 de octubre publicó sus conclusiones en un aviso titulado 'Apolo…
Acceso no autorizado a Beauty Garage y Eyelash Garage (775.725 registros): nombres de salones, teléfonos, correos y hashes de contraseñas expuestos, y cómo protegerse de la suplantación
Beauty Garage Co., Ltd. anunció el 15 de octubre que los servidores de su tienda online, y los de Eyelash Garage, sufrieron un acceso no autorizado del 10 al 12 de octubre y que se filtró parte de la información de clientes. Detectó el inci…
Falla de VPN en Cisco ASA y FTD CVE-2026-76418: un atacante sin autenticar puede reiniciar el dispositivo (cómo comprobarlo, versiones corregidas)
El 28 de octubre de 2026 (UTC), Cisco divulgó CVE-2026-76418 (CVSS v3.1 8.6) en el servicio de VPN SSL de acceso remoto de Cisco Secure Firewall ASA y Secure Firewall Threat Defense (FTD). Un atacante remoto sin autenticar puede hacer que e…
Fragnesia del kernel de Linux (CVE-2026-46300): CISA la incluye como explotada con plazo al 31 de octubre; actualice PHP y el kernel, y reinicie
CVE-2026-46300, apodada Fragnesia, es una falla del kernel de Linux que permite a un usuario local con pocos privilegios obtener root (CVSS v3.1 7.8, vector de ataque local). Cuando el kernel mueve fragmentos de datos entre búferes de red,…
Acceso no autorizado a la base de datos de miembros de So-net (2,14 M de registros de So-net, 443 K de plala S-Course): nombres, teléfonos y fechas de nacimiento expuestos, y qué deben hacer los usuarios
Sony Network Communications Inc. anunció el 27 de octubre de 2026 que había confirmado una filtración de información por un acceso no autorizado a la base de datos de miembros de su servicio de internet So-net. Según la empresa, se accedió…
Acceso no autorizado a la app Toypo (697.209 usuarios afectados, según Toypo): teléfonos, nombres y direcciones filtrados, y qué deben hacer los usuarios de apps de tiendas
Toypo Inc. confirmó el 4 de octubre de 2026 un acceso no autorizado de un tercero a su app de gestión de clientes, la app Toypo, y en un aviso fechado el 14 de octubre indicó que hay 697.209 usuarios afectados y que su información puede hab…
Vulnerabilidad CVE-2026-48356 de Adobe Commerce y Magento: CISA confirma su explotación (KEV), la corrección de julio y cómo comprobar si hubo intrusión
El 27 de octubre de 2026, CISA añadió CVE-2026-48356, una vulnerabilidad de subida de archivos en Adobe Commerce y Magento Open Source, a su catálogo de vulnerabilidades explotadas conocidas (KEV). El plazo para las agencias civiles federal…
Posible filtración de los datos de entrega de Ichiban Kuji ONLINE (acceso no autorizado en Bandai Logipal): nombres, direcciones y teléfonos, y qué deben hacer los socios
El 26 de octubre de 2026, BANDAI NAMCO Holdings Inc., BANDAI SPIRITS CO., LTD. y Bandai Logipal Co., Ltd. anunciaron (primer informe) que un sistema gestionado por Bandai Logipal, la filial logística de BANDAI NAMCO Holdings, había sido acc…
Acceso no autorizado en Joshin (antes Joshin Denki) (hasta unos 6 millones de registros): nombres, direcciones y teléfonos de socios pueden haberse filtrado, y qué deben hacer los usuarios
Joshin Corporation, que cambió su nombre desde Joshin Denki Co., Ltd. el 1 de abril de 2026, anunció el 17 de octubre que había detectado un acceso no autorizado el 16 de octubre y que, tras adoptar medidas como restringir el acceso desde e…
Brecha del sitio de encuestas Qzoo (unos 400.000 registros): pueden haberse filtrado datos de socios, incluidos datos de cuentas bancarias, y qué deben hacer los socios
El 21 de octubre de 2026, Monitas Inc. anunció que su sitio de encuestas Qzoo había sido accedido sin autorización por un tercero y que los datos personales de los socios (panelistas) podrían haberse filtrado. Según la cronología, el acceso…
Vulnerabilidad de Brotli CVE-2026-111497 (Node2Shell): cómo comprobar Node.js, Python y .NET, y qué actualizar
El 21 de octubre de 2026 (hora de EE. UU.), Google publicó Brotli 1.2.1, 1.1.1 y 1.0.10 para corregir CVE-2026-111497, una escritura fuera de límites en la biblioteca oficial de Brotli. Están afectadas Brotli 1.0.3–1.0.9, 1.1.0 y 1.2.0. Des…
Filtración de M3 en "MR-kun" (25.775 miembros de m3.com y otros, 2.260 empleados farmacéuticos): qué se filtró y qué deben hacer los médicos y el personal de las farmacéuticas
El 15 de octubre y el 23 de octubre de 2026 (segundo aviso), M3, Inc. anunció que un tercero había accedido sin autorización al sistema de MR-kun, un servicio que ofrece a empresas farmacéuticas, y que se habían filtrado datos personales. S…
Filtración en los pedidos online de Pizza Hut Japón: se filtraron direcciones de correo, números de teléfono y tokens de sesión de inicio de sesión, y qué deben hacer los clientes
El 23 de octubre de 2026, Pizza Hut Japan Ltd., que gestiona Pizza Hut en Japón, anunció que un tercero había accedido sin autorización a un sistema vinculado al servicio de pedidos online de Pizza Hut para Japón y que se había filtrado par…
Acceso no autorizado a Rakuten Travel (hasta unos 2,6 millones de registros): nombres, datos de contacto y datos parciales de tarjetas de reservas de hoteles en el extranjero, y qué deben hacer los usuarios
El 26 de octubre de 2026, Rakuten Group, Inc. anunció que había confirmado un acceso no autorizado por parte de un tercero externo a algunas páginas del sitio de reservas de hoteles en el extranjero de Rakuten Travel, gestionado y operado p…
Cómo borrar el historial de navegación, las cookies y las contraseñas guardadas (Chrome, Safari, Edge y Firefox en ordenador y móvil): qué eliminar tras una filtración y qué conservar antes
Una guía para eliminar el historial de navegación, las cookies (datos de sitios), la caché, las contraseñas guardadas y el autocompletado en Chrome (Windows, Mac, Android, iPhone), Safari (Mac, iPhone, iPad), Edge y Firefox, con los nombres…
FortiBleed (filtración de credenciales de FortiGate, unos 74.000 dispositivos): no es una vulnerabilidad nueva, por lo que las contraseñas de administrador y VPN deben cambiarse
FortiBleed es la filtración y el uso indebido a gran escala de credenciales de administrador y de SSL VPN de FortiGate, el dispositivo de cortafuegos y VPN de Fortinet. El 18 de junio de 2026, CISA advirtió de que se habían filtrado credenc…
Datos de la campaña de Fujicco posiblemente filtrados (unas 15.500 inscripciones): nombres, direcciones, datos familiares y qué deben hacer quienes participaron
El 22 de octubre de 2026, Fujicco Co., Ltd., fabricante japonés de alimentos conocido por su yogur del Mar Caspio y sus productos de alga kombu, anunció que un servidor de la empresa con la que contrata la gestión de las inscripciones a sus…
Posible filtración de datos de la app FX Navi de Green Monster (unos 6,19 millones de registros): direcciones de correo y respuestas de encuestas entre los datos, y qué deben hacer los usuarios
El 23 de octubre de 2026, Green Monster Inc. (Bolsa de Tokio, Growth, 157A) anunció que la información de los usuarios de su app de operaciones demo de FX FX Navi (FXなび) puede haber sido obtenida por un tercero (primer informe). El 17 de…
Filtración de datos de miembros de la tienda online y la app de Lindt Japón (3.147.469 registros): nombres, direcciones, teléfonos, fechas de nacimiento y contraseñas con hash expuestos, y qué deben hacer los miembros
El 23 de octubre de 2026, Lindt & Sprüngli Japón, la filial japonesa del fabricante suizo de chocolate, anunció que el sistema de la empresa externa que proporciona la plataforma de su tienda online y gestiona los datos de sus miembros habí…
Filtración de direcciones de correo de la newsletter de Piccoma (1.002.404 registros): solo se expusieron direcciones de correo y qué deben hacer los usuarios
El 24 de octubre de 2026, Kakao piccoma Corp., que opera la aplicación de manga japonesa Piccoma, anunció que blastmail, el sistema de envío de correo de RAKUS Lite Cloud Corporation que utilizaba para enviar su newsletter, había sido acced…
Filtración en la plataforma prepago Value Card (1,42 millones de registros, 1,13 millones de registros de MOS Card): números de tarjeta, PIN y saldos expuestos, y qué deben hacer los titulares
El 23 de octubre de 2026, PayCloud Holdings, empresa cotizada en el mercado de crecimiento de la Bolsa de Tokio, anunció que un tercero accedió sin autorización a los servidores de Value Card, un servicio interno de dinero electrónico (tarj…
Vulnerabilidad CVE-2026-110447 en el servidor CODE integrado de Collabora en Nextcloud, explotada: quién está afectado y qué hacer
El 14 de octubre de 2026, los desarrolladores de Collabora Online revelaron el CVE-2026-110447, una vulnerabilidad de inyección de comandos del sistema operativo sin autenticación en la aplicación de Nextcloud Collabora Online - Built-in CO…
Acceso no autorizado en los servicios en la nube de Digital Arts (i-FILTER@Cloud y otros cinco): algunos datos de clientes pudieron haber sido visualizados, y qué deben hacer los administradores
El 21 de octubre de 2026, Digital Arts Inc., fabricante japonés de productos de filtrado web y de correo electrónico y de seguridad de archivos, anunció mediante una divulgación oportuna y en su sitio web que había encontrado rastros de acc…
Filtración en las tiendas online de FANCL y Attenir (368.184 y 417.312 socios): nombres, direcciones, teléfonos y fechas de nacimiento expuestos, y qué deben hacer los socios
El 16 de octubre de 2026, FANCL Corporation y Attenir Corporation, dos empresas japonesas de cosméticos y productos de salud, anunciaron que un tercero había accedido sin autorización a sus tiendas online entre el 3 y el 10 de octubre, y qu…
La filtración de Trustbank en Furusato Choice (4.454.097 registros de socios): nombres, direcciones y contraseñas con hash expuestos — qué deben hacer los donantes
El 20 de octubre de 2026, Trustbank, Inc., que gestiona Furusato Choice, un sitio importante para el sistema japonés de donaciones de impuesto a la residencia local (furusato nozei), anunció que un tercero había obtenido acceso no autorizad…
GitLab CVE-2026-110264 (CVSS 10.0) y la CVE-2026-97229 explotada: cómo comprobar y actualizar un GitLab autogestionado
El 21 de octubre de 2026, GitLab publicó las versiones de parche crítico 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13 para Community Edition (CE) y Enterprise Edition (EE). La falla más grave, CVE-2026-110264 (CVSS 10.0), es u…
Filtración de datos de and ST HD (unos 2,5 millones de registros de clientes): qué pudo filtrarse y qué deben hacer los miembros
El 23 de octubre de 2026, and ST HD Co., Ltd. anunció que un acceso no autorizado de un tercero a sus servidores de negocio pudo filtrar parte de los datos de clientes, socios comerciales y empleados. Según la empresa, desde aproximadamente…
VeloCloud Orchestrator: explotación de CVE-2026-114625, versiones corregidas y qué revisar
El 22 de octubre de 2026, Arista divulgó CVE-2026-114625, una vulnerabilidad de inyección SQL (CVSS v4.0 9.4, v3.1 9.9) en la edición local (on-premises) de VeloCloud Orchestrator (VCO), su plataforma de gestión SD-WAN. Arista indica que de…
Acceso no autorizado al servicio de envío de correo blastmail (datos de cuenta de todos los clientes y listas de destinatarios y datos similares de 345 contratos): qué deben hacer los destinatarios de boletines y las organizaciones clientes
El servicio de envío de correo blastmail, proporcionado por RAKUS Lite Cloud Co., Ltd., filial de RAKUS Co., Ltd., sufrió el acceso de un tercero externo, que extrajo datos. La empresa cerró el servicio de emergencia a las 0:30 del 21 de oc…
Vulnerabilidades explotadas en dispositivos perimetrales, mediados de octubre de 2026: Ivanti, PAN-OS, FortiOS, Cisco
Entre el 13 y el 16 de octubre de 2026, CISA añadió a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) cuatro vulnerabilidades en dispositivos perimetrales muy extendidos (equipos que están en el límite entre una red e internet):…
Acceso no autorizado al sistema de gestión de clínicas @link (at-link) de Medley: filtración de nombres, fechas de nacimiento, ID de acceso y contraseñas de pacientes — qué deben hacer pacientes y clínicas
El 15 de octubre de 2026, Medley, Inc. anunció un acceso no autorizado de un tercero a su sistema de gestión de instituciones médicas @link (at-link), a la app at-link para pacientes y a servicios relacionados, y dijo que los suspendió desd…
Acceso no autorizado a Nikkei (unos 1,83 millones de registros): nombres, correos electrónicos y otros datos filtrados en unos 150 000 — qué deben hacer los usuarios
El 16 de octubre de 2026, Nikkei Inc., la editorial de periódicos japonesa, anunció que un servicio en la nube que usa para el desarrollo de sistemas había sido objeto de un acceso no autorizado y que, a fecha del día 16, se habían filtrado…
Claves de CA intermedias de eMudhra (emSign) comprometidas: qué deben hacer los usuarios de Python con pip, certifi y uv
El 17 de octubre de 2026, un informe mostró que las claves privadas de ocho certificados intermedios de la autoridad de certificación india eMudhra (seis para TLS) se habían generado tan mal que cualquiera podía recuperarlas. eMudhra revocó…
Posible exposición de variables de entorno en Railway (octubre de 2026, hasta el 1,85 % de los workspaces): qué secretos rotar y qué deben hacer los usuarios
El 21 de octubre de 2026 (UTC), Railway anunció que había detectado actividad anómala en los sistemas que almacenan las variables de entorno de los clientes, y que un tercero no autorizado pudo haber accedido a variables de entorno cifradas…
SiteGuard Server Edition CVE-2026-106931 explotada: quién está afectado y qué hacer
El 14 de octubre de 2026, EG Secure Solutions divulgó CVE-2026-106931, una vulnerabilidad de inyección de comandos del sistema operativo en la función de estadísticas de SiteGuard Server Edition, su firewall de aplicaciones web (WAF) basado…
Filtración de datos de Treasure Factory (Trefac) (746.277 registros de correo): qué deben hacer los clientes de compra a domicilio y de Trefac Moving
El 23 de octubre de 2026, Treasure Factory Co., Ltd., una minorista japonesa de artículos de segunda mano, anunció que un tercero había accedido sin autorización al sistema de gestión de casos que usa para recibir y tramitar las solicitudes…
Filtración de CAPCOM ID de Capcom (11.774.247 registros): se filtraron direcciones de correo y datos de inicio de sesión — qué deben hacer los titulares de cuentas
El 22 de octubre de 2026, Capcom Co., Ltd. anunció que su servicio de membresía en línea CAPCOM ID (la cuenta común que se usa en los servicios web de Capcom y en algunos juegos en línea) fue objeto de un acceso no autorizado por parte de u…
Filtración de datos de miembros de Comic Cmoa (hasta unos 4,2 millones de registros en archivos de registro): direcciones de correo y fechas de nacimiento expuestas — qué deben hacer los usuarios
NTT Solmare Corporation, que opera la tienda japonesa de libros electrónicos Comic Cmoa (コミックシーモア), publicó cuatro comunicados sobre un acceso no autorizado al servicio, desde un primer aviso el 15 de octubre de 2026 hasta un cuarto…
Brecha en proveedor de Iwai Cosmo Securities (4.975 clientes): qué se filtró, las órdenes no deseadas y qué deben hacer los clientes
El 16 de octubre de 2026, Iwai Cosmo Securities Co., Ltd., una corredora japonesa, anunció mediante una divulgación oportuna de su empresa matriz Iwai Cosmo Holdings que un tercero había accedido al sistema de un proveedor que utiliza para…
Acceso no autorizado a Onamae.com Desktop Cloud (GMO Internet) (26.739 servidores posiblemente afectados): datos de clientes extraídos, compensación y qué deben hacer hoy los operadores de divisas y valores
El 21 de octubre de 2026, GMO Internet, Inc. anunció un acceso no autorizado de terceros a Onamae.com Desktop Cloud, un servicio de servidor privado virtual (VPS) para operaciones automáticas de divisas, y afirmó que se había colocado un pr…
Acceso no autorizado al servicio de envío de correo Cuenote FC de Ymirlink (ahora unos 51,63 millones de registros acumulados): incluye datos de socios de Express Reservation y smartEX. Qué deben hacer los destinatarios de boletines y las empresas clientes
El 26 de octubre de 2026, Ymirlink, Inc. (TSE Growth, 4372) publicó un segundo informe sobre el acceso no autorizado a su servicio de envío de correo Cuenote FC, en el que dice que se filtraron datos de 49 sistemas, un total acumulado de 51…
Recruit: fuga o acceso no autorizado en Carsensor.net y C-MATCH (hasta 3.709.551 registros): nombres y direcciones de personas que contactaron a concesionarios podrían estar expuestos — qué deben hacer usuarios y concesionarios
El 21 de octubre de 2026, Recruit Co., Ltd. anunció que la información de usuarios y socios comerciales de Carsensor.net, su sitio de anuncios de coches usados (incluida la aplicación), y de C-MATCH, su servicio de apoyo empresarial para co…
LiteLLM 1.107.0 distribuyó un ladrón de credenciales (octubre de 2026): versión afectada en PyPI e imágenes de Docker, y qué deben hacer los usuarios
El 21 de octubre de 2026 (UTC), BerriAI, la empresa detrás de LiteLLM, anunció que su canal de publicación de versiones había sido comprometido y que se había publicado una v1.107.0 con malware que roba credenciales y carga herramientas de…
[Última hora] Los fallos de PHP CVE-2026-109618 y CVE-2026-109619 ya se están explotando y CISA los añade a su catálogo KEV: actualice ya a 8.5.12, 8.4.27, 8.3.36 u 8.2.35
El 21 de octubre de 2026, el equipo de seguridad de PHP publicó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades críticas que pueden permitir la ejecución remota de código (RCE) sin autenticación, e instó a todos los u…
Filtración de datos de H2O ID (unos 1,26 millones de registros) a través del sitio de reservas de los grandes almacenes Hankyu y Hanshin: direcciones, números de teléfono y fechas de nacimiento filtrados — qué deben hacer los miembros
El 19 de octubre de 2026, H2O Retailing Corporation y Hankyu Hanshin Department Stores, Inc. anunciaron conjuntamente que un tercero había accedido sin autorización al sitio de reservas de los grandes almacenes Hankyu y Hanshin, HANKYU HANS…
Incidente de acceso no autorizado al sistema de solicitudes de línea de NIFTY (hasta 542.513 registros): IDs de socio, nombres, direcciones y números de teléfono podrían estar expuestos — Qué deben hacer los clientes de fibra
El 19 de octubre de 2026, NIFTY Corporation, un proveedor de servicios de internet japonés, anunció (primer informe) que había confirmado un acceso no autorizado desde el exterior a su sistema de gestión de solicitudes y aceptación de línea…
Rank Math PRO 3.0.123 con malware (octubre de 2026): quién está afectado y qué deben hacer los propietarios de sitios WordPress
El 16 de octubre de 2026 (UTC), Rank Math anunció que Rank Math PRO v3.0.123, la versión de pago de su plugin para WordPress, contenía malware para un número limitado de usuarios que lo descargaron entre las 20:02 UTC del 15 de octubre y la…
Acceso no autorizado al creador de sitios web Studio: los datos de todos los usuarios y los envíos de formularios podrían haberse filtrado — qué deben hacer quienes enviaron formularios y los propietarios de sitios
El 16 de octubre de 2026, Studio Inc. anunció que un tercero había obtenido acceso no autorizado al entorno de nube que utiliza y que los datos de todos los clientes registrados en su creador de sitios web Studio podrían haberse filtrado. E…
Filtración en la app de Burger King Japón (unos 11,18 millones de registros): nombres, fechas de nacimiento y números de teléfono expuestos — Qué deben hacer los miembros
El 15 de octubre de 2026, BK Japan Co., Ltd., que opera Burger King en Japón, anunció que un tercero había accedido sin autorización a la app oficial de Burger King que gestiona y que había confirmado la filtración de información de los mie…
Filtración de datos de miembros de SourceNext (22.519.960 registros): correos, contraseñas y direcciones podrían estar expuestos — Qué deben hacer los miembros
El 15 de octubre de 2026, SOURCENEXT CORPORATION anunció que un tercero había obtenido acceso no autorizado a los datos de miembros que gestiona y que datos personales de sus miembros registrados se habían filtrado fuera de la empresa. Segú…
Acceso no autorizado a algunos servidores web de ConoHa WING (GMO Internet) (426 cuentas): datos en las áreas de servidor web de los clientes afectados y qué deben hacer hoy los propietarios de sitios
El 20 de septiembre de 2026, GMO Internet, Inc. anunció que, en algunos servidores de alojamiento (servidores web) de su servicio de alojamiento de pago ConoHa WING, un tercero obtuvo acceso no autorizado a las áreas de servidor web de algu…
¿La seguridad de un sitio web afecta al SEO? Vulnerabilidades, sitios hackeados, HTTPS y posicionamiento según la documentación oficial de Google
Google no incluye las vulnerabilidades entre los factores de posicionamiento. El daño llega cuando alguien las aprovecha. Las páginas de spam añadidas por un atacante hacen que los resultados muestren «Este sitio puede haber sido pirateado»…
Filtración de datos de IDARE (129.659 personas): saldos, historial de transacciones y algunos números de documentos de identidad expuestos — qué deben hacer los usuarios
El 13 de octubre de 2026, Fivot Inc. anunció que su aplicación de pago sin efectivo IDARE había sufrido un acceso no autorizado de terceros que filtró datos personales. Se explotó una vulnerabilidad en un software externo que la empresa uti…
Filtración de SpeeCAN RAIDEN (2026): usuarios de alertas de desastre por correo y riesgo de estafas
El 13 de octubre de 2026, Arcadia Inc. anunció que un tercero accedió sin autorización a SpeeCAN RAIDEN, su servicio de notificación masiva por correo y otros mensajes, y que pudieron filtrarse los nombres de contacto, las direcciones de co…
Acceso no autorizado a Commune (166.505 registros de miembros, contados por comunidad): se filtraron datos de miembros de comunidades corporativas — qué deben hacer los miembros y los operadores
El 9 de octubre de 2026, Commune Inc. anunció que sus servicios de comunidades para empresas, Commune y Commune for Work, fueron accedidos sin autorización por un tercero externo, y que los datos de miembros de algunas comunidades se filtra…
Cómo saber si alguien ha accedido a tu cuenta: actividad de inicio de sesión, dispositivos conectados y reenvío de correo (Google, Microsoft, Apple, LINE, Instagram, X)
Una guía para comprobar accesos no autorizados. Mira en tres sitios: (1) la actividad de inicio de sesión y los dispositivos conectados (en Google, "Your devices"; en Microsoft, "Recent activity"; la lista de dispositivos de la cuenta de Ap…
Cómo saber si han hackeado tu sitio web o tu servidor: comprobaciones paso a paso para hosting compartido, WordPress y un VPS, y qué hacer primero si encuentras algo
Revisar un sitio en busca de intrusiones significa mirar tanto las señales visibles desde fuera como los rastros que quedan dentro. Señales: el informe de problemas de seguridad de Search Console, una etiqueta 'This site may be hacked' en l…
Filtración de Baitoru (hasta unos 3,89 millones de direcciones de correo): solo se filtraron correos — cómo reconocer mensajes falsos de entrevistas y estafas laborales
El 9 de octubre de 2026, dip Corporation anunció que el 6 de octubre había confirmado un acceso no autorizado de terceros a Baitoru y Baitoru NEXT, las bolsas de empleo que opera en Japón, y que algunas direcciones de correo de miembros se…
Filtración de datos de socios de Bookoff (6.383.279 personas): nombres, direcciones, correos electrónicos y hashes de contraseñas podrían estar expuestos — qué deben hacer los socios
El 9 de octubre de 2026, BOOKOFF GROUP HOLDINGS LIMITED anunció que un tercero había accedido sin autorización al sistema de gestión de socios de Bookoff en Japón, proporcionado por su filial BOOKOFF CORPORATION LIMITED, y que los datos de…
Malware en el PC de un contratista de Daiichikosho (unos 8,72 millones de registros): podrían haberse filtrado nombres, fechas de nacimiento y teléfonos de miembros de Big Echo y otras marcas — qué hacer
El 8 de octubre de 2026, Daiichikosho Co., Ltd. anunció que una empresa a la que externaliza el tratamiento de datos personales había informado de que un PC usado por uno de sus empleados estaba infectado con malware, y que los datos de cli…
Posible filtración de correos de JR East, VIEW Card y JR Kyushu (2026): qué hacer
El 9 de octubre de 2026, East Japan Railway Company (JR East), VIEW Card Co., Ltd. y Kyushu Railway Company (JR Kyushu) anunciaron cada una que el servicio externo que usan para enviar correos a sus socios se vio afectado por un acceso no a…
Filtración de datos de NewsPicks (nombres de titulares de tarjetas y últimos dígitos, hasta 362.000 registros): qué se filtró a través de una herramienta de administración interna y qué deben hacer los usuarios
El 8 de octubre de 2026, Uzabase, Inc. anunció que una herramienta de administración utilizada en la operación de su servicio de noticias NewsPicks había sido accedida sin autorización por un tercero, y que datos personales de algunos usuar…
Filtración de datos de skyticket (Adventure Inc.) (unos 14,64 millones de registros): contraseñas, datos bancarios de reembolso y datos de tarjetas de algunos usuarios expuestos. Qué deben hacer hoy los usuarios
El 9 de octubre de 2026, Adventure Inc. anunció tres incidentes de acceso no autorizado separados, cada uno por una vía distinta, que afectaron a su sitio de comparación y reserva de viajes skyticket. En el primero, se utilizó indebidamente…
Programa de robo de tarjetas en la página de pago de PhotoGoods (Daiko Printing): qué deben hacer las personas que pagaron entre el 6 de agosto y el 11 de septiembre
El 16 de septiembre de 2026, Daiko Printing Co., Ltd. anunció el acceso no autorizado de terceros a PhotoGoods (photo-goods.com), el servicio que opera, y dijo que se había instalado un programa capaz de capturar ilegalmente los datos de ta…
¿Te pide la clave de recuperación de BitLocker? Cómo encontrar la clave de 48 dígitos y qué hacer si no aparece
La clave de recuperación de BitLocker es un número de 48 dígitos que Windows pide cuando no puede desbloquear la unidad automáticamente: tras una actualización de BIOS/UEFI, un cambio en el TPM, un cambio en la configuración de arranque y s…
Cómo desactivar BitLocker: decide si basta con suspenderlo y guarda antes la clave de recuperación
Desactivar BitLocker descifra la unidad por completo. Microsoft indica que el descifrado debe hacerse cuando la protección ya no se necesita, no como paso para resolver problemas. Para actualizaciones de BIOS o de firmware basta con «Suspen…
Cómo comprobar si tu contraseña se ha filtrado: usar Have I Been Pwned con seguridad y las comprobaciones que ya traen tu navegador y tu móvil
Guía para comprobar contraseñas filtradas. Have I Been Pwned (HIBP) te dice si una dirección de correo aparece en una filtración de datos conocida, de qué servicio salió y qué tipos de datos se filtraron. Su comprobación de contraseñas (Pwn…
Filtración en un proveedor de Daiwa Securities (unos 110.000 clientes, 220.000 registros): qué pudo filtrarse y qué deben hacer los clientes
El 5 de octubre de 2026, Daiwa Securities Co. Ltd., una de las mayores casas de bolsa de Japón, anunció que se había accedido sin autorización al servidor de un proveedor cuyo servicio utiliza para gestionar las consultas en línea de los cl…
Uso indebido del registro CPR de Dinamarca (unos 8,8 millones de personas): qué se obtuvo y qué deben hacer los residentes y las organizaciones que conceden acceso de consulta
El 5 de octubre de 2026, el Ministerio de Investigación, Educación y Digitalización de Dinamarca anunció que personas no autorizadas habían utilizado indebidamente el acceso legítimo de una empresa privada danesa para consultar datos del re…
Configurar la autenticación en dos pasos (2FA) de GitHub: app de autenticación, llaves de acceso, códigos de recuperación y qué hacer si pierdes el móvil
Guía para configurar la autenticación en dos pasos (2FA) en GitHub y no quedarte fuera. Desde marzo de 2023, GitHub exige el 2FA, grupo a grupo, a los usuarios que contribuyen código en GitHub.com; una vez seleccionado, tienes un periodo de…
Filtración en el sitio de encuestas infoQ (894.082 registros): qué se filtró y qué deben hacer los miembros
El 5 de octubre de 2026, GMO Research & AI, Inc. anunció que un tercero había accedido sin autorización a su sitio de encuestas infoQ y que se habían sustraído datos personales de los miembros. En su segundo informe, del 14 de octubre, conf…
Aplicación y tienda online de MrMax: filtración de hasta unos 1,74 millones de personas, con nombres, correos y teléfonos expuestos: qué deben hacer los miembros
El 6 de octubre de 2026, MrMax Co., Ltd., una cadena japonesa de tiendas de descuento, anunció que un tercero había accedido sin autorización a los servidores de la aplicación y la tienda online de MrMax que opera, y que parte de los datos…
Ataque de ransomware a la Universidad Metropolitana de Osaka (fuga de datos personales confirmada desde el almacenamiento en la nube de un contratista): qué deben hacer estudiantes, egresados, padres y personal
La Universidad Metropolitana de Osaka, en Japón, afirma que una falla a gran escala afectó a su plataforma de virtualización en la madrugada del 2 de octubre de 2026, lo que dejó fuera de servicio la red del campus, OMU Mail, sus sitios web…
Filtración en Rakuten Drive (datos almacenados de 15.382 cuentas): qué se accedió y qué deben hacer los usuarios
El 6 de octubre de 2026, el servicio de almacenamiento en la nube Rakuten Drive anunció que un tercero había obtenido de forma ilegítima las credenciales de una cuenta de administración de una parte de los sistemas que usa el servicio, acce…
Filtración de datos de Abahouse: podrían haberse filtrado los detalles de los pedidos y cómo tratar los correos falsos de reembolso
El 2 de octubre de 2026, Abahouse International Co., Ltd. anunció que un acceso no autorizado a sus sistemas internos, que se cree realizado por un tercero en el extranjero, podría haber filtrado los ID de miembro, nombres, direcciones, núm…
Fuga de datos de Lashinbang: números de documentos de identidad y datos bancarios de pago podrían haberse filtrado (sin imágenes de documentos) — qué deben hacer los vendedores
El 1 de octubre de 2026, Lashinbang Co., Ltd. anunció que un acceso no autorizado a un servicio que opera, entre el 14 y el 16 de septiembre de 2026, podría haber filtrado nombres, direcciones, números de teléfono, direcciones de correo ele…
Filtración en la app de Seicomart (unos 575.000 socios): nombres, direcciones y fechas de nacimiento vistos: qué deben hacer los socios
El 29 de septiembre de 2026, Seicomart Co., Ltd., que gestiona la cadena de tiendas de conveniencia Seicomart en Japón, anunció que un tercero había obtenido acceso no autorizado al servidor que almacena los datos de los socios a través del…
Filtración de datos de ShopServe de E-store (informe final: unos 23,36 millones de personas): qué deben hacer compradores, dueños de tiendas y afiliados
En su informe final del 16 de octubre de 2026, E-store Co., Ltd. indicó que un tercero explotó una vulnerabilidad en una aplicación de los servidores de ShopServe, su servicio para crear tiendas online, y envió al exterior contenido de la b…
Acceso no autorizado a TEMAIRAZU (2026): guía para huéspedes y hoteles
El 28 de septiembre de 2026, Temairazu, Inc. anunció un acceso no autorizado a su TEMAIRAZU Series, un sistema que hoteles y ryokan usan para gestionar en un solo lugar reservas procedentes de muchas fuentes. Desde la noche del 21 de septie…
Filtraciones de datos de Yamato y Sagawa (2026): usuarios afectados y respuesta
Yamato Transport detectó un acceso no autorizado a su servicio de pago diferido Kuroneko el 28 de septiembre de 2026, y Sagawa Express detectó un acceso no autorizado a su servicio de seguimiento de paquetes el 30 de septiembre. Entre el 1…
Brecha de datos de Basic-Fit (IBAN y visitas): estafas de «pago fallido» y qué deben hacer los socios
Basic-Fit informó el 13 de abril de 2026 de un acceso no autorizado al sistema que registra las visitas de los socios a sus clubes. Según la empresa, el acceso se detuvo a los pocos minutos, pero se descargaron datos de socios activos de va…
Brecha de datos de reservas de Booking.com: cómo reconocer mensajes fraudulentos que se hacen pasar por tu alojamiento
En abril de 2026 Booking.com notificó a sus clientes que terceros no autorizados pudieron acceder a cierta información de reservas, actualizó los PIN de las reservas afectadas y dijo que había contenido el problema. Según la comunicación y…
Brecha de datos de Endesa (DNI e IBAN): cómo actuar ante llamadas fraudulentas que conocen tu contrato
Endesa Energía comunicó a sus clientes (hacia el 12 de enero de 2026) que un actor malicioso accedió sin autorización a su plataforma comercial y podría haber exfiltrado datos identificativos básicos, de contacto, DNI, datos del contrato y,…
Brecha de datos de Canvas (Instructure): se filtraron inscripciones en cursos y mensajes — qué deben hacer estudiantes, docentes y centros educativos
Según Instructure, la empresa detrás del sistema de gestión del aprendizaje (LMS) Canvas, el 29 de abril de 2026 se detectó actividad no autorizada y se exfiltraron nombres de usuario, direcciones de correo electrónico, nombres de cursos, i…
Filtración de datos de Times Car (6.628.007 registros con nombres y direcciones, indicios de envío de unas 1,46 millones de imágenes de documentos de identidad): cómo revisar Mi Página y qué deben hacer los socios y los exsocios
En su quinta notificación del 23 de octubre de 2026, Times Mobility Co., Ltd. indicó que la investigación forense externa había concluido y publicó las cifras finales. En el sistema web de Times Car se encontraron indicios de acceso del ata…
Los avisos de «tu PC está infectado» son casi siempre falsos: cómo cerrarlos y qué hacer si ya llamaste
Una página del navegador que grita «tu ordenador está infectado» con un número de teléfono es una estafa de falso soporte técnico. La IPA de Japón indica que, si solo apareció la pantalla, el PC no está infectado y basta con cerrarla, y que…
Spam desde tu propia dirección de correo: casi siempre es un remitente falsificado, y cómo saber si te hackearon
La mayor parte del spam que llega «desde» tu propia dirección es un campo de remitente falsificado; tu cuenta nunca se tocó. Las agencias japonesas IPA y JC3 han advertido de correos de extorsión hechos para parecerse a esto, y la IPA dice…
Los equipos VPN son la principal vía de entrada del ransomware: cómo defender el acceso remoto tras la brecha de la Agencia Digital de Japón
Un equipo VPN conecta internet con la red interna de una organización, y en Japón es por donde entraron los atacantes en aproximadamente dos tercios de los casos de ransomware en los que se conoce la vía. El incidente del GSS de la Agencia…
Exposición pública del almacenamiento en la nube: cuando los datos pueden filtrarse aunque Block Public Access esté activado
Las filtraciones de buckets vienen de la configuración, no de un ataque. La frase clave de la documentación: los ajustes de bloqueo del acceso público no modifican las políticas ni las ACL existentes; los ajustes públicos siguen debajo del…
4 errores de seguridad habituales: configuración por defecto, servicios olvidados, falta de monitorización y confiar demasiado en la validación de entradas
Los incidentes salen de un pequeño conjunto de patrones que se repiten, y esos patrones se ven más claros ordenados por creencia que por tecnología. Son cuatro: lo que viene por defecto será seguro (no se configuró nada), lo que no se usa s…
Deserialización insegura: el riesgo de dejar que los datos externos elijan el tipo de objeto y cómo evitarlo
El peligro de la deserialización no es que lleguen valores malos, sino que algunos formatos dejan que los datos externos decidan qué tipo de objeto se construye. Por eso el daño no se queda en datos corruptos: OWASP enumera denegación de se…
Fallos de diseño en el restablecimiento de contraseña: 5 formas de perder una cuenta pese a un login fuerte, y cómo corregirlas
Un flujo de restablecimiento es un mecanismo para que alguien que no conoce la contraseña pueda fijar una nueva, lo que lo convierte en una vía de autenticación por derecho propio. Refuerza el login todo lo que quieras: si el restablecimien…
Contaminación de prototipos en Node.js: lo que el runtime no cubre y cómo defenderte en tu propio código
La contaminación de prototipos (prototype pollution) ocurre cuando una clave especial de una entrada externa llega a los prototipos integrados de JavaScript, normalmente a través de un merge recursivo. Dos consecuencias: aparecen por todas…
Límite de peticiones y control de abusos: cómo diseñar límites que frenen la fuerza bruta y los costes desbocados
El límite de peticiones suele fallar no porque el límite fuera demasiado laxo, sino porque se hizo la pregunta equivocada. Tres preguntas: a quién cuentas (la IP se puede falsificar y la comparten usuarios reales, así que la identidad va pr…
Cómo elegir las cabeceras de seguridad: cuáles siguen haciendo falta, cuáles están obsoletas y cuáles hacen daño
Más cabeceras no es mejor. Sepáralas en tres grupos: las que siguen siendo eficaces (CSP, HSTS, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy), las obsoletas (Expect-CT está prácticamente obsoleta desde junio de 2021) y las…
Toma de control de subdominios (DNS colgante): cómo un registro DNS olvidado permite a un atacante usar tu dominio
Si borras un recurso en la nube sin borrar el registro DNS, te queda una entrada colgante: cualquiera puede apropiarse de ese subdominio creando un recurso con el mismo FQDN. Tus servidores no se tocan, mientras un subdominio legítimo sirve…
Qué CVE parchear primero: qué mide de verdad CVSS, EPSS y KEV
CVSS es gravedad, EPSS es probabilidad de explotación y KEV es explotación confirmada. No se sustituyen entre sí. Nuestros datos de las 1.695 entradas de KEV: el 64 % está por debajo de CVSS 9 y el 24 % por debajo de EPSS 0,1, así que tanto…
osv-scanner en la práctica: pnpm, ignorar CVE, modo sin conexión y los errores que te encuentras
Solo las preguntas del segundo día, respondidas según la documentación oficial. pnpm-lock.yaml está soportado; las exclusiones van en osv-scanner.toml bajo IgnoredVulns y pueden llevar fecha de caducidad; el modo sin conexión son tres opcio…
¿Next.js y React tienen muchas vulnerabilidades? Lo que muestran realmente los datos de CVE
Los datos dicen que el núcleo de React casi no tiene CVE, mientras que los de Next.js son numerosos y van en aumento. Lo que importa es dónde aparecen: en el middleware, la caché, la optimización de imágenes y las Server Actions, con SSRF,…
Gusanos en la cadena de suministro de npm: cómo roban credenciales durante la instalación y cómo defenderse
Añadir una dependencia significa ejecutar código ajeno con tus privilegios, así que la defensa debe estar en el momento de la instalación. La opinión de este sitio: las firmas y la procedencia no detuvieron esta campaña, así que no pueden s…
Cuando tu proveedor de hosting web sufre una brecha: qué deben hacer los clientes
Un compromiso en el lado del proveedor no se puede bloquear con la configuración del cliente, así que la defensa pasa de la prevención a limitar cuánto puedes perder. Los resultados de la investigación del 10 de septiembre establecieron lo…
Vulnerabilidades en la subida de archivos: cómo evitar web shells y RCE desde el diseño
El problema de una vulnerabilidad de subida no es «recibir un archivo», sino dónde lo pones y si se puede ejecutar. Punto de subida sin autenticación + sin validación del tipo + guardado bajo la raíz web + scripts que se ejecutan ahí = web…
Autenticación frente a autorización: un inicio de sesión por sí solo no protege los datos de otros usuarios
Autenticación = verificar quién es alguien; autorización = decidir qué puede hacer. Son cosas distintas, y añadir un inicio de sesión no es autorización. Sin acotar los datos al propietario (user_id), 'con sesión iniciada = ve todos los dat…
¿Cómo guarda la gente sus contraseñas? Lo que dicen los datos — y la forma segura
Encuestas representativas muestran que ~54% confía en la memoria, ~33% escribe las contraseñas en papel y solo ~36% usa un gestor de contraseñas dedicado — con ~25% reutilizando contraseñas. Mientras tanto, el DBIR de Verizon halló que el c…
Cómo guardar contraseñas con seguridad: la forma correcta de aplicar hash y salt
Una guía práctica para guardar contraseñas con seguridad en el servidor. Entiende por qué el texto plano, el cifrado y los hashes simples fallan todos, y luego converge en una respuesta: un salt por usuario más un hash deliberadamente lento…
Seguridad para la era de la IA: los fundamentos que blindar ya (lista de prioridades)
La IA sobre todo amplifica los ataques sobre debilidades EXISTENTES (CVE sin parchear, contraseñas reutilizadas, secretos expuestos) más que inventar nuevas, y las encuentra de forma automática, rápida y a escala. Así que la mejor preparaci…
Medidas de seguridad para la era de la IA que funcionan y que no: por qué también atacan a los sitios pequeños
Cuatro ideas equivocadas de la era de la IA corregidas: (1) demasiado pequeño para ser objetivo → los ataques automatizados no necesitan que un humano elija el objetivo; (2) necesita un control nuevo especial → los fundamentos siguen funcio…
Suplantación de correo con tu propio dominio: cómo distinguirla de una intrusión y cómo la detienen SPF, DKIM y DMARC
Un correo sospechoso que parece venir de tu propio dominio normalmente no es una intrusión — es un From falsificado, porque SMTP permite a cualquiera escribir la línea From. Leer las cabeceras (Authentication-Results, Received, Reply-To) di…
Fundamentos de copias de seguridad: la regla 3-2-1 y un plan de recuperación que sobrevive al ransomware
«Tengo una copia de seguridad» no basta; solo es útil una copia que has verificado que puedes restaurar. Los fundamentos: la regla 3-2-1 (tres copias, dos tipos de medio, una fuera del sitio). Para el ransomware además necesitas al menos un…
Detén los secretos antes de hacerles commit con gitleaks: atrapa fugas de claves de API antes del push
Los secretos no se pueden «borrar después de que se filtran». Una vez con commit, un secreto se queda en el historial de Git, y una vez con push debe tratarse como filtrado — la clave necesita revocarse/rotarse. gitleaks es una herramienta…
Elegir bien la MFA: qué significa «resistente al phishing» y por qué el SMS es débil
La MFA combina categorías distintas de factores. Los códigos introducidos a mano pueden retransmitirse mediante phishing; el SMS depende además del control del número. Para cuentas importantes, prioriza métodos resistentes al phishing, como…
¿Sigues con Windows 10? Los riesgos de seguridad de usarlo tras el fin de soporte
El soporte ordinario de Windows 10 Home/Pro y variantes 22H2 terminó el 14 de octubre de 2025. La guía oficial revisada el 16 de octubre de 2026 indica ESU de consumo hasta el 12 de octubre de 2027, con continuación automática para quienes…
BitLocker vs «Cifrado de dispositivo» — la misma tecnología, versión completa vs versión ligera automática
BitLocker y el Cifrado de dispositivo comparten el mismo motor de cifrado. Cifrado de dispositivo = la versión automática y ligera que funciona en Home (se activa solo con una cuenta de Microsoft, la clave de recuperación se deposita automá…
Corregir CVE de dependencias de verdad: escanear, corregir, aislar y seguir vigilando
El trabajo de vulnerabilidades no termina cuando «lo corriges». Hecho = 1) escanear, 2) corregir, 3) aislar/delegar, 4) monitorear. Hasta que el monitoreo (detección diaria de cambios) esté en marcha, está incompleto — las dependencias vuel…
Proteger un portátil que llevas contigo — defensa contra robo, pérdida y miradas indiscretas
Llevar un portátil asume que lo perderás o te lo robarán. La defensa principal es configurarlo para que una pérdida no filtre el contenido: cifrado de disco (BitLocker/FileVault), un inicio de sesión fuerte con bloqueo automático corto, y b…
Instalar y usar osv-scanner: encuentra automáticamente CVE en tus dependencias
osv-scanner escanea lockfiles y contenedores para sacar a la luz CVE en tus dependencias, gratis. Esto recorre la instalación, la ejecución y la integración en CI, además de cuándo usarlo frente a npm/pnpm audit y Dependabot. La visión de e…
¿Son seguros los gestores de contraseñas? Cómo funcionan, nube vs local y cómo elegir
Un gestor de contraseñas ayuda a usar una contraseña robusta y distinta para cada servicio. El cifrado de conocimiento cero está diseñado para proteger el contenido incluso si se filtran datos cifrados del proveedor, pero la seguridad tambi…
Los peligros del Wi-Fi público: los puntos de acceso falsos y las advertencias de certificado importan más que el sniffing
El 'sniffing' en Wi-Fi público está mayormente mitigado por HTTPS y ahora es de menor prioridad. Los riesgos reales son (1) conectarte tú mismo a un punto de acceso falso (gemelo malvado), (2) ignorar advertencias de certificado y (3) expon…
¿Dejaste un archivo de secretos en un directorio público? Audita tu webroot
Cualquier cosa en tu webroot puede descargarse por URL por cualquiera. Un JSON de token/credenciales olvidado, un .env o una copia de seguridad significa exposición instantánea — y si vino de una plantilla compartida, todos los sitios tiene…
La base de seguridad para desarrolladores independientes y pequeños operadores: controles estándar en orden de prioridad
La base no es 'todo igual de importante'. El orden de prioridad de este sitio: 1) cuentas de administración, dominio y correo (MFA), 2) secretos y código, 3) la propia app, 4) parchear, detectar, recuperar. Con tiempo finito, complétala de…
El mínimo de seguridad de una organización: seis prioridades deducidas de los incidentes reales de Japón en 2026
El «mínimo» de una organización debe fijarse por dónde los incidentes reales rompieron la defensa, no por una lista de productos. Si se ponen en fila los incidentes de Japón en 2026, las entradas difieren —un dispositivo VPN, software de te…
Inventario de seguridad: 7 comprobaciones que pasan por alto quienes operan varios servidores
Para operadores solos/pequeños, los incidentes vienen menos de controles ausentes que de estado sin seguimiento. La frontera es el PC que guarda tus claves. Prioriza el 2FA según qué cuenta permite recuperar las demás (el correo primero), a…
Git autoalojado vs GitHub: ¿cuál es realmente más seguro?
Autoalojar Git no te hace 'más seguro' — reubica el riesgo. La clase de exposición pública accidental desaparece, pero parchear el servidor, las copias de seguridad y la detección de secretos pre-commit pasan a ti. La decisión correcta si s…
Seguridad básica del smartphone: proteger el único dispositivo que guarda tus contraseñas, tus pagos y tu identidad
Un teléfono concentra el 2FA, el correo, la banca y la identidad en un solo dispositivo, así que perderlo afecta a muchos servicios (un punto único de fallo). La protección más eficaz no es una app de seguridad: (1) un bloqueo fuerte + auto…
Privilegio mínimo en claves SSH: mantén las claves de root de producción fuera de entornos efímeros que pueden ser comprometidos
Registrar una clave de root en producción desde un entorno efímero y comprometible (pod de GPU, runner de CI, VM desechable) significa que en el momento en que ese entorno se compromete, un atacante obtiene root en producción. Solución: sin…
¿Es seguro guardar tus contraseñas en Google Drive? Cómo conservarlas correctamente
Guardar contraseñas en un Documento/Hoja de Google en texto plano es peligroso: una cuenta de Google se convierte en el punto único de fallo de cada contraseña — la toma de la cuenta, una app conectada maliciosa o el phishing las filtran to…
Por qué se banea una cuenta de OpenAI: claves de API robadas y la política de destilación
Cuando una clave de API robada se abusa para 'destilación', hasta la cuenta de la víctima puede suspenderse automáticamente. Una guía defensiva y anonimizada sobre el mecanismo, la prevención y las apelaciones.
Qué es la suplantación de X-Forwarded-For (XFF): mala configuración del proxy de confianza y cómo defenderse
XFF es un encabezado falsificable por el cliente. Un escáner indiscriminado mete sondeos de inyección en un XFF suplantado, y el ajuste 'confiar en todos los proxies (comodín)' lo deja pasar. Solución a corto plazo: sanear el encabezado de…
Una clave de API se filtró desde código escrito por IA y se usó para cargos fraudulentos: la causa era una vulnerabilidad CVSS 10.0 sin parchear
El pico en la factura fue un síntoma. La causa era un RCE CVSS 10.0 publicado y sin parchear. Un caso anonimizado, destilado en lecciones defensivas.
Fundamentos de seguridad: qué es lo realmente peligroso de .env y las claves de API
Empieza aquí. Entiende qué pasa cuando se filtran .env y las claves de API (alguien usa el servicio como si fueras tú y te lo facturan a ti), luego adopta cuatro hábitos hoy: no exponerlas, no hacerles commit, rotar todo si se filtran, y au…
Un caso en que el .env de Laravel era legible públicamente: un error de ubicación en hosting compartido y cómo corregirlo
La causa: toda la app estaba bajo la raíz web; solo public/ debería ser visible. Corrige en tres pasos — un bloqueo temporal con .htaccess, rotar claves, reestructurar — y luego prevenlo con proceso.
Ejecutar Next.js de forma segura: no quedarse atrás con los CVE publicados
El mayor riesgo del framework son los CVE publicados descuidados. Defiende con cuatro prácticas: juzgar por la versión en ejecución, monitorear con Dependabot/osv-scanner, actualizar rápido, y operar con mínimo privilegio. La visión de este…
Mantener el .env fuera de la web pública en hosting compartido
La solución principal: el cuerpo de la app fuera del docroot, solo public/ expuesto. Bloquea primero el acceso con .htaccess, hazlo permanente reestructurando, luego autocomprueba. La visión de este sitio: esto no es el descuido de una pers…