MFA
10 artículos con esta etiqueta
FortiBleed (filtración de credenciales de FortiGate, unos 74.000 dispositivos): no es una vulnerabilidad nueva, por lo que las contraseñas de administrador y VPN deben cambiarse
FortiBleed es la filtración y el uso indebido a gran escala de credenciales de administrador y de SSL VPN de FortiGate, el dispositivo de cortafuegos y VPN de Fortinet. El 18 de junio de 2026, CISA advirtió de que se habían filtrado credenciales asociadas a unos 74.000 dispositivos. El 19 de junio, Fortinet afirmó que no es una vulnerabilidad nueva y que la actividad probablemente implica la reutilización de credenciales de incidentes anteriores y ataques de fuerza bruta contra dispositivos con contraseñas débiles y sin autenticación multifactor. El 23 de junio, JPCERT/CC emitió una alerta en la que afirmaba haber confirmado que los datos incluyen información relacionada con empresas japonesas. El 6 de octubre, el FBI y el Servicio Secreto de EE. UU. advirtieron de que la actividad continúa, que algunos administradores han quedado bloqueados fuera de sus dispositivos y que el acceso se ha utilizado como punto de entrada para ransomware. Actualizar a un firmware corregido no invalida las contraseñas filtradas. Conclusión de este sitio: si usa FortiGate, cambie las contraseñas de administrador y VPN, active la autenticación multifactor, retire la interfaz de gestión de internet y elimine las copias heredadas de las contraseñas de administrador en SHA-256.
Brecha de datos de Canvas (Instructure): se filtraron inscripciones en cursos y mensajes — qué deben hacer estudiantes, docentes y centros educativos
Según Instructure, la empresa detrás del sistema de gestión del aprendizaje (LMS) Canvas, el 29 de abril de 2026 se detectó actividad no autorizada y se exfiltraron nombres de usuario, direcciones de correo electrónico, nombres de cursos, información de inscripción y mensajes. La empresa dice que los campos afectados no están diseñados para almacenar contraseñas, fechas de nacimiento, información de salud, números de la Seguridad Social, información financiera, calificaciones ni expedientes disciplinarios. El 7 de mayo, el mismo actor usó otra vulnerabilidad para alterar las páginas que se mostraban tras iniciar sesión. La lista de campos parece poco relevante, pero un correo electrónico más las clases que cursa alguien es justo lo que necesita una estafa convincente con temática escolar, y los mensajes son texto libre, así que puede estar incluida cualquier cosa que se haya escrito en ellos. Verifica cualquier contacto solo por los canales oficiales de tu centro; el equipo de TI debe registrar contactos de seguridad, revisar los registros, exigir MFA a los administradores y guardar copia de los datos de los cursos fuera del LMS.
¿Cómo guarda la gente sus contraseñas? Lo que dicen los datos — y la forma segura
Encuestas representativas muestran que ~54% confía en la memoria, ~33% escribe las contraseñas en papel y solo ~36% usa un gestor de contraseñas dedicado — con ~25% reutilizando contraseñas. Mientras tanto, el DBIR de Verizon halló que el compromiso de credenciales estuvo presente en ~38% de las brechas y que ~74% de las contraseñas en datos de brechas estaban reutilizadas. En resumen: los hábitos de almacenamiento más populares son los más fáciles de explotar para los atacantes. Lo básico y seguro es un gestor (una contraseña única por sitio) más passkeys/MFA en tus cuentas clave.
Seguridad para la era de la IA: los fundamentos que blindar ya (lista de prioridades)
La IA sobre todo amplifica los ataques sobre debilidades EXISTENTES (CVE sin parchear, contraseñas reutilizadas, secretos expuestos) más que inventar nuevas, y las encuentra de forma automática, rápida y a escala. Así que la mejor preparación es blindar los fundamentos en el orden correcto: parcheo de CVE + monitoreo de dependencias, dejar de reutilizar contraseñas + MFA, quitar secretos expuestos, mínimo privilegio, reducir la superficie pública, registros/IOC, copias de seguridad.
¿Qué es el phishing? Los tipos de ataque y defensas más fiables que saber detectarlo
El phishing suplanta a una parte de confianza para llevarte a una página de inicio de sesión falsa y robar credenciales o datos (o ejecutar malware). Apunta al juicio humano en lugar de a un fallo de software, y es la vía de entrada número uno del ransomware y las brechas. El phishing moderno con atacante en el medio (AiTM) retransmite incluso códigos de un solo uso al sitio real en tiempo real, así que el MFA por SMS/aplicación puede ser derrotado. La defensa fiable no es 'detectarlo' sino mecanismos: MFA resistente al phishing ligado al dominio (passkeys/llaves de seguridad), ir al sitio oficial directamente en lugar de hacer clic en enlaces, y autenticación de correo (SPF/DKIM/DMARC).
Elegir bien la MFA: qué significa «resistente al phishing» y por qué el SMS es débil
La MFA combina categorías distintas de factores. Los códigos introducidos a mano pueden retransmitirse mediante phishing; el SMS depende además del control del número. Para cuentas importantes, prioriza métodos resistentes al phishing, como passkeys o llaves FIDO2, y revisa la verificación del usuario y la recuperación.
¿Son seguros los gestores de contraseñas? Cómo funcionan, nube vs local y cómo elegir
Un gestor de contraseñas ayuda a usar una contraseña robusta y distinta para cada servicio. El cifrado de conocimiento cero está diseñado para proteger el contenido incluso si se filtran datos cifrados del proveedor, pero la seguridad también depende de la fortaleza de la contraseña maestra, la configuración de cifrado y la seguridad del dispositivo. Usa MFA para evitar accesos no autorizados y elige nube o local según el uso.
La base de seguridad para desarrolladores independientes y pequeños operadores: controles estándar en orden de prioridad
La base no es 'todo igual de importante'. El orden de prioridad de este sitio: 1) cuentas de administración, dominio y correo (MFA), 2) secretos y código, 3) la propia app, 4) parchear, detectar, recuperar. Con tiempo finito, complétala de arriba abajo. La mayoría de las brechas graves no vienen de ataques novedosos sino de que falta un control básico.
Seguridad básica del smartphone: proteger el único dispositivo que guarda tus contraseñas, tus pagos y tu identidad
Un teléfono concentra el 2FA, el correo, la banca y la identidad en un solo dispositivo, así que perderlo afecta a muchos servicios (un punto único de fallo). La protección más eficaz no es una app de seguridad: (1) un bloqueo fuerte + autobloqueo corto (el código es la clave de cifrado); (2) actualizaciones automáticas del SO/apps; (3) tienda oficial + revisión de permisos; (4) configurar de antemano el bloqueo/borrado remoto; (5) mantener un respaldo de tu 2FA. iOS/Android ya cifran y aíslan por defecto.
¿Es seguro guardar tus contraseñas en Google Drive? Cómo conservarlas correctamente
Guardar contraseñas en un Documento/Hoja de Google en texto plano es peligroso: una cuenta de Google se convierte en el punto único de fallo de cada contraseña — la toma de la cuenta, una app conectada maliciosa o el phishing las filtran todas de golpe. La opción más segura es un gestor de contraseñas dedicado (el contenido sigue cifrado incluso al sincronizar). Si debes usar Drive, guarda solo un archivo de bóveda cifrado y pon MFA resistente al phishing en la cuenta.