ransomware
10 artículos con esta etiqueta
Ataques de ransomware a Synology DSM: versiones desactualizadas atacadas mediante un fallo corregido en diciembre de 2024, qué actualizar y comprobar hoy (SA-24:20)
El 29 de octubre de 2026, Synology dijo que había identificado a actores de amenazas que explotan una vulnerabilidad corregida en diciembre de 2024 para atacar dispositivos con versiones desactualizadas de DSM, con el fin de cifrar datos y exigir un rescate. Insta encarecidamente a todos los que tengan versiones vulnerables a actualizar DSM de inmediato y recomienda activar las actualizaciones automáticas. Remite a Synology-SA-24:20, cuyas versiones corregidas son 7.2.2-72806-1 o superior para DSM 7.2.2, 7.2.1-69057-6 para 7.2.1, 7.2-64570-4 para 7.2, 7.1.1-42962-7 para 7.1 y 6.2.4-25556-8 para 6.2. El aviso enumera tres CVE y Synology no dice cuál de ellos se está explotando. No ha publicado el número de víctimas ni el nombre de ningún atacante. Conclusión de este sitio: compruebe hoy la versión de su DSM, actualice a la versión corregida o posterior y no exponga la interfaz de administración de DSM a internet. Mantenga una copia de seguridad separada del NAS y que este no pueda sobrescribir.
Ataque de ransomware a la Universidad de Saga (los datos personales de estudiantes, personal y exalumnos pueden haberse filtrado, unas 80.000 personas, más datos de pacientes): qué deben hacer quienes tienen registrados su nombre, dirección y contraseña
La Universidad de Saga, una universidad nacional de Japón, anunció el 30 de octubre de 2026 que, tras el ataque de ransomware que divulgó el 28 de septiembre en sus sistemas de información administrativa, había confirmado que no puede descartar que la información personal que conserva, incluidos datos de pacientes, se haya filtrado fuera de la universidad. Según la universidad, a las 8:42 del 24 de septiembre confirmó un daño que se cree causado por ransomware en un NAS (almacenamiento conectado a la red) usado por los departamentos administrativos. Después encargó a una empresa especializada externa investigar la vía de intrusión y el alcance. El grupo afectado es de unas 80.000 personas: estudiantes, personal, exalumnos, antiguo personal y personas relacionadas. Los elementos son nombre, fecha de nacimiento, sexo, dirección, número de teléfono, dirección de correo y contraseña. El número de pacientes aún se investiga, y los datos de pacientes se describen como información personal que requiere atención especial (departamento clínico, nombre de la enfermedad o lesión, fecha de la consulta, etc.). El aviso no dice en qué forma se guardaban las contraseñas (cifradas o con hash). La universidad advierte de que pueden llegar correos, mensajes de texto y llamadas sospechosos que se hagan pasar por la universidad o por organizaciones relacionadas. Opinión de este sitio: compruebe cualquier mensaje que diga ser de la universidad o de su hospital en un sitio oficial que abra usted mismo, aunque los datos que contenga sean correctos, y cambie cualquier contraseña que haya reutilizado de su cuenta universitaria.
FortiBleed (filtración de credenciales de FortiGate, unos 74.000 dispositivos): no es una vulnerabilidad nueva, por lo que las contraseñas de administrador y VPN deben cambiarse
FortiBleed es la filtración y el uso indebido a gran escala de credenciales de administrador y de SSL VPN de FortiGate, el dispositivo de cortafuegos y VPN de Fortinet. El 18 de junio de 2026, CISA advirtió de que se habían filtrado credenciales asociadas a unos 74.000 dispositivos. El 19 de junio, Fortinet afirmó que no es una vulnerabilidad nueva y que la actividad probablemente implica la reutilización de credenciales de incidentes anteriores y ataques de fuerza bruta contra dispositivos con contraseñas débiles y sin autenticación multifactor. El 23 de junio, JPCERT/CC emitió una alerta en la que afirmaba haber confirmado que los datos incluyen información relacionada con empresas japonesas. El 6 de octubre, el FBI y el Servicio Secreto de EE. UU. advirtieron de que la actividad continúa, que algunos administradores han quedado bloqueados fuera de sus dispositivos y que el acceso se ha utilizado como punto de entrada para ransomware. Actualizar a un firmware corregido no invalida las contraseñas filtradas. Conclusión de este sitio: si usa FortiGate, cambie las contraseñas de administrador y VPN, active la autenticación multifactor, retire la interfaz de gestión de internet y elimine las copias heredadas de las contraseñas de administrador en SHA-256.
Posible filtración de correos de JR East, VIEW Card y JR Kyushu (2026): qué hacer
El 9 de octubre de 2026, East Japan Railway Company (JR East), VIEW Card Co., Ltd. y Kyushu Railway Company (JR Kyushu) anunciaron cada una que el servicio externo que usan para enviar correos a sus socios se vio afectado por un acceso no autorizado en un proveedor de servicios en la nube, y que no pueden descartar que las direcciones de correo y otros datos de sus socios hayan sido vistos u obtenidos. Las cifras son, como máximo, unos 1,67 millones de socios de eki-net y unos 390.000 socios del Otona no Kyujitsu Club (JR East); unos 4,03 millones de direcciones de correo de usuarios de VIEW's NET (VIEW Card); y, como máximo, unos 1,3 millones de socios de JR Kyushu Web (JR Kyushu). En eki-net, VIEW's NET y JR Kyushu Web solo están implicadas las direcciones de correo; en los socios del Otona no Kyujitsu Club también intervienen el número de socio, la fecha de caducidad de la tarjeta de crédito y la fecha de nacimiento. Quedan excluidos los nombres, direcciones, números de teléfono y números de tarjeta. El proveedor de servicios en la nube ha dicho que la interrupción iniciada a primera hora del 7 de octubre fue causada por un ataque de ransomware de un tercero. En su quinto informe, del 14 de octubre, el proveedor afirmó que no había encontrado rastro de que se consultaran o sacaran datos de los servidores virtuales de la zona afectada, y concluyó que no se filtraron datos al exterior. El 15 de octubre, tras recibir esas conclusiones, JR Kyushu anunció que no se había confirmado ninguna filtración de las direcciones de sus socios de JR Kyushu Web. El sitio de eki-net de JR East también indica que el 15 de octubre la empresa de envío de correo comunicó que había concluido que no se filtraron datos personales de socios de eki-net (consultado el 19 de octubre). En cuanto al Otona no Kyujitsu Club y VIEW Card, este sitio no encontró seguimiento al 19 de octubre (consultado en el sitio de cada empresa). En su séptimo informe, del 27 de octubre, el proveedor de servicios en la nube indicó que su investigación había concluido y señaló como causa una vulnerabilidad en un software de código abierto usado en el sistema de autenticación de su portal de gestión de clientes. Su conclusión de que no se filtraron al exterior datos de los servidores virtuales no ha cambiado. La postura de este sitio: JR Kyushu dijo que no se confirmó filtración alguna, y eki-net afirma que se le comunicó que no se filtraron datos personales de sus socios. Aun así, pueden llegar correos falsos que usen este incidente como pretexto. No inicie sesión desde enlaces de correos; compruebe a través de la aplicación oficial o de un marcador que haya guardado usted mismo.
Ataque de ransomware a la Universidad Metropolitana de Osaka (fuga de datos personales confirmada desde el almacenamiento en la nube de un contratista): qué deben hacer estudiantes, egresados, padres y personal
La Universidad Metropolitana de Osaka, en Japón, afirma que una falla a gran escala afectó a su plataforma de virtualización en la madrugada del 2 de octubre de 2026, lo que dejó fuera de servicio la red del campus, OMU Mail, sus sitios web y sus sistemas académicos, financieros, de nóminas y de biblioteca. En una rueda de prensa el 5 de octubre, la universidad dijo haber concluido que la causa fue un ataque de ransomware. Las clases se suspendieron del 2 al 8 de octubre y, en su cuarto aviso del 8 de octubre, la universidad anunció que las clases presenciales se reanudarían en todos los campus el 9 de octubre. En su quinto aviso del 21 de octubre, la universidad indicó que el contratista que mantiene y opera sus sistemas principales le informó de que una empresa a la que subcontrata había sufrido un ciberataque a finales de septiembre de 2026, y que los sistemas de la universidad fueron accedidos sin autorización mediante la cuenta legítima del subcontratista. El contratista también informó de que datos personales relacionados con la universidad y información de sistemas almacenados en el almacenamiento en la nube que utilizaba se han confirmado como filtrados; el contenido y las cifras aún se están verificando con el contratista. Los datos que la universidad señaló en su rueda de prensa como posiblemente filtrados (unos 130.000 registros relacionados, entre otros, con el sistema de asuntos académicos) están en la plataforma de virtualización propia de la universidad y son independientes; si se filtraron sigue bajo investigación. El 23 de octubre la universidad abrió un servicio de atención para egresados y padres. Según informes de prensa, unos 500 servidores dejaron de funcionar y gran parte de los datos de respaldo también quedó cifrada. La opinión de este sitio: compruebe cualquier mensaje que diga provenir de la universidad en la página OMU Entrance, no a través de enlaces en correos o SMS, y denuncie los contactos sospechosos al servicio de atención de la universidad. Las organizaciones deben enumerar las cuentas que usan sus contratistas y subcontratistas y mantener al menos una copia de respaldo que las cuentas de administración de producción no puedan eliminar.
Ransomware de Capcom (2020) — por qué un viejo dispositivo VPN fue la vía de entrada, y la defensa ante la doble extorsión
La vía de entrada fue un viejo dispositivo VPN de respaldo que se había dejado en marcha en una filial norteamericana después de que unidades más nuevas lo reemplazaran. Desde ahí se vulneró la red, se robaron datos y luego el ransomware cifró los sistemas (doble extorsión). Los datos personales de hasta ~390.000 personas quedaron potencialmente expuestos (sin datos de tarjetas de pago). Capcom se negó a pagar, restauró desde copia de seguridad y lo divulgó con transparencia. Defiéndete retirando el equipo sin uso, parcheando los dispositivos de borde y cubriendo tanto el robo como el cifrado (segmentación, detección, copias de seguridad).
Ransomware de KADOKAWA / Niconico (2024) — por qué se propagó a toda la empresa, y la segmentación de red y el BCP
La vía de entrada se describió como phishing que robó las credenciales de un empleado; desde ahí se vulneró la red interna y se ejecutó el ransomware, tumbando durante meses muchos servicios del grupo (incluido Niconico) y filtrando datos de ~250.000 personas. Según reportes y análisis, la propagación a toda la empresa se atribuye a que sistemas de muy distinta criticidad compartían la misma red, al parecer sin segmentación suficiente. Defiéndete segmentando la red por criticidad, usando autenticación resistente al phishing, y preparando la continuidad del negocio (BCP) y la recuperación.
¿Qué es el ransomware? Cómo funciona, cómo entra y cómo evitar pagar
El ransomware es malware que cifra tus archivos y exige un pago para devolvértelos. Los ataques modernos añaden la doble extorsión: roban datos primero y amenazan con filtrarlos, así que el descifrado por sí solo no detiene la brecha. Principales vías de entrada: phishing, VPN/RDP débil o sin MFA, y fallos expuestos a Internet sin parchear. La defensa más importante son las copias de seguridad sin conexión/inmutables más pruebas de restauración: poder recuperarse sin pagar. También evita la intrusión (MFA, parches) y limita el daño (privilegios mínimos, segmentación).
Filtración masiva de MOVEit (2023) — cómo un zero-day de inyección SQL alcanzó a más de 2.700 organizaciones, y cómo defenderse
La entrada fue un zero-day de inyección SQL (CVE-2023-34362) en MOVEit Transfer, expuesto a internet. Se plantó un web shell (LEMURLOOT) y se robaron datos en masa de la base de datos de respaldo, golpeando a más de 2.700 organizaciones y ~93,3M de personas. La mayoría de las víctimas fueron arrastradas indirectamente porque un proveedor usaba MOVEit. En tu entorno: parcheo rápido de KEV, minimizar la exposición, mínimo privilegio y segmentación web↔BD, inventario de proveedores y minimización de datos.
Fundamentos de copias de seguridad: la regla 3-2-1 y un plan de recuperación que sobrevive al ransomware
«Tengo una copia de seguridad» no basta; solo es útil una copia que has verificado que puedes restaurar. Los fundamentos: la regla 3-2-1 (tres copias, dos tipos de medio, una fuera del sitio). Para el ransomware además necesitas al menos una copia «offline o inmutable» — una copia siempre conectada se cifra junto con el original. La sincronización en la nube no es una copia de seguridad (también replica borrados y cifrado). El versionado y una prueba de restauración periódica completan la práctica.