Brecha de seguridad en Accenture: hackers roban 35GB de datos

  • Análisis de dependencias y código: Verificar si algún software o script de automatización desarrollado o gestionado por Accenture contiene dependencias comprometidas o secrets incrustados que puedan ser explotados.
  • Implementación de políticas Zero Trust: Restringir el acceso de los contratistas y consultores externos a los recursos mínimos necesarios para sus tareas cotidianas (principio de mínimo privilegio), y aplicar autenticación multifactor inquebrantable (phishing-resistant MFA) para todas las conexiones.
  • La filtración confirmada en julio de 2026 nos recuerda que en el panorama moderno de amenazas, la seguridad de una corporación es tan fuerte como el más débil de sus socios comerciales. Mientras Accenture trabaja en contener los daños de este «asunto aislado», el resto del ecosistema empresarial global debe asumir la responsabilidad de blindar sus propias fronteras digitales ante la posibilidad latente de que las llaves de su reino hayan caído en las manos equivocadas.

    «`

    Let’s double-check the Yoast SEO rule compliance:
    – **Focus Keyword:** «brecha de seguridad»
    – **Keyword in first 10%:** «…representa una profunda brecha de seguridad que compromete secretos de infraestructura…» (This is in the first paragraph, approx. 110 words in, easily within the first

    Publicado en Noticias de Impacto, Tecnología & IA | Etiquetado , , , | Deja un comentario

    Vishing Microsoft Entra: Nueva campaña de robo de identidad

    En el dinámico ecosistema de la ciberseguridad corporativa, la transición hacia esquemas de autenticación sin contraseña (passwordless) ha sido aclamada como el santo grial de la defensa contra el phishing convencional. Sin embargo, los actores de amenazas han demostrado una capacidad asombrosa para transformar las propias salvaguardas tecnológicas en vectores de ataque altamente efectivos. Un claro ejemplo de esta evolución es la reciente campaña de vishing Microsoft Entra. Este sofisticado esquema, atribuido al grupo de extorsión digital conocido como «Pink» (también rastreado bajo las designaciones de catálogo O-UNC-066 por Okta y CL-CRI-1147 por Palo Alto Networks Unit 42), ha encendido las alarmas globales al vulnerar de manera directa los procesos de registro de llaves de acceso (passkeys) en entornos empresariales.

    La campaña no se limita a un objetivo fortuito; de acuerdo con los reportes de telemetría, los atacantes dirigen sus esfuerzos de manera selectiva hacia empleados con acceso a cuentas de Microsoft 365 en seis sectores económicos críticos: alimentación y bebidas, tecnología de la información, salud, automotriz, construcción y aviación. El objetivo principal de estos intrusores no es un simple vandalismo digital, sino el

    Publicado en Alerta de Amenazas, Seguridad & Privacidad | Etiquetado , , , | Deja un comentario

    reMarkable Paper Pro: Cómo transformar tu tablet en el diario de Tom Riddle

    En la intersección donde la nostalgia de la escritura analógica colisiona con el estado del arte de la inteligencia artificial, ha surgido un proyecto que desafía las fronteras tradicionales del diseño de interfaces de usuario. Se trata de Riddle, un innovador hack de código abierto desarrollado por el programador canadiense Maxime Rivest, el cual transforma el dispositivo reMarkable Paper Pro en una réplica interactiva, física y funcional del icónico diario encantado de Tom Riddle, popularizado en la saga de Harry Potter.

    A diferencia de las aplicaciones convencionales que saturan al usuario con interfaces recargadas, botones táctiles y burbujas de chat parpadeantes, Riddle propone una experiencia de computación invisible y de bajísima fricción cognitiva. El usuario escribe sobre la pantalla de tinta electrónica con su stylus; tras levantar el lápiz y detectarse una breve pausa de inactividad, la tinta manuscrita se desvanece de forma gradual, como si el papel físico estuviera «absorbiendo» o «bebiendo» el trazo. Instantes después, la página comienza a responder por sí sola, autogenerando texto animado trazo a trazo en una elegante tipografía cursiva (específicamente *Dancing Script*) que simula una caligrafía humana en tiempo real. Una vez leído el mensaje del sistema, este también se desvanece, devolviendo al usuario un lienzo completamente limpio y listo para el siguiente pensamiento.

    El hardware como lienzo: la pantalla del reMarkable Paper Pro y la ilusión del papel vivo

    El éxito de esta experiencia inmersiva no depende únicamente de la sofisticación del software, sino de las características físicas y de ingeniería detrás del reMarkable Paper Pro. Diseñado originalmente como un cuaderno digital de alta gama enfocado en la productividad sin distracciones, el dispositivo cuenta con una pantalla de tinta electrónica Canvas de última generación con iluminación frontal integrada y soporte para color. La bajísima latencia de su lápiz óptico y su texturizado sutil, que emula la fricción del papel real, son el ecosistema ideal para un hack que aspira a replicar un objeto místico.

    Desde el punto de vista de la arquitectura interna, el tablet (conocido en los círculos de desarrollo bajo el nombre en clave ferrari y con una arquitectura de procesador aarch64) corre sobre una distribución personalizada de Linux optimizada para pantallas e-ink llamada Codex. Esta base de software libre permite a desarrolladores experimentados eludir las capas de abstracción del sistema operativo original para interactuar directamente con los componentes de bajo nivel. Maxime Rivest aprovechó estas facilidades del SDK nativo para construir un sistema de ejecución sumamente rápido y eficiente programado en Rust y WebAssembly (WASM), logrando que la latencia entre la escritura humana y la respuesta de la inteligencia artificial sea casi imperceptible.

    La arquitectura de Riddle: cómo funciona bajo el capó

    Para conseguir que un dispositivo de tinta electrónica se comporte como un diario mágico, Riddle implementa una canalización técnica sumamente depurada que prescinde de reconocedores de caracteres (OCR) tradicionales basados en texto plano. En su lugar, el sistema se compone de una secuencia coordinada de eventos de hardware y llamadas a APIs de visión artificial de última generación. Los componentes y pasos clave de este flujo de trabajo se desglosan a continuación:

    • Captura de coordenadas en crudo: Riddle intercepta directamente los eventos del stylus desde la interfaz de entrada del kernel de Linux utilizando el subsistema evdev. Esto permite registrar la posición exacta en los ejes X e Y, junto con hasta 4,096 niveles de presión del lápiz óptico.
    • Bucle de inactividad (Timeout): Un temporizador interno monitorea constantemente la actividad del stylus. Si el sistema detecta que han transcurrido exactamente 2.8 segundos sin ningún tipo de interacción física, el software determina que el usuario ha terminado de redactar su pregunta o pensamiento.
    • Captura del Framebuffer: En lugar de transcribir la escritura a texto plano en el dispositivo, Riddle toma una captura de pantalla directa del lienzo en formato PNG. Esto conserva las peculiaridades del trazo, dibujos, tachaduras y la distribución espacial de la escritura del usuario.
    • Procesamiento con LLM de Visión: La imagen PNG generada se envía a un modelo de lenguaje grande (LLM) con capacidades de visión a través de APIs compatibles con OpenAI. Entre los backends soportados se incluyen plataformas de alta velocidad como Groq, OpenRouter o servidores locales compatibles con la inferencia de imágenes. El modelo de visión analiza la caligrafía directamente desde la imagen y elabora una respuesta en consecuencia.
    • Desvanecimiento de tinta: Mientras el modelo procesa la respuesta en la nube (o de manera local), Riddle inicia una animación de desvanecimiento de la tinta original modificando directamente el búfer de pantalla de la tableta.
    • Renderizado vectorial animado: Una vez que la API devuelve el flujo de texto de respuesta (streaming), Riddle no imprime caracteres tipográficos estáticos. En su lugar, traduce cada letra de la tipografía Dancing Script en un conjunto de vectores y traza la respuesta de manera progresiva en la pantalla. Esto genera el efecto visual de que una mano invisible está escribiendo de forma fluida y continua sobre el e-ink.

    Captura cruda de eventos vía evdev y coordenadas cartesianas

    El núcleo de la interactividad de Riddle radica en su capacidad para esquivar la pila de software estándar del fabricante. Normalmente, las aplicaciones del reMarkable Paper Pro procesan los trazos a través de xochitl, la interfaz de usuario por defecto del dispositivo. Riddle, sin embargo, lee directamente del archivo de dispositivo correspondiente al digitalizador en /dev/input/event* mediante la biblioteca evdev de Linux.

    Al capturar los datos crudos del digitalizador electromagnético (EMR), el programa en Rust obtiene un flujo ininterrumpido de paquetes de datos que contienen coordenadas cartesianas de alta resolución y metadatos de presión. Esto no solo sirve para saber cuándo el usuario está escribiendo, sino para mapear con precisión milimétrica la zona de la pantalla que ha sido utilizada, garantizando que el desvanecimiento posterior afecte únicamente a los pixeles modificados de forma activa.

    Procesamiento de imágenes y LLMs de visión

    Una de las decisiones de diseño más brillantes de Maxime Rivest fue eludir los motores locales de reconocimiento óptico de caracteres (OCR). El OCR local en dispositivos e-ink suele ser lento, impreciso con caligrafías descuidadas y demanda ciclos de CPU valiosos que agotan la batería del dispositivo. Al delegar la interpretación de los trazos a un modelo de visión avanzado (como Claude o Fable 5, entre otros compatibles con la especificación de API de OpenAI), Riddle se vuelve inmune a las complejidades de la caligrafía individual.

    El prompt interno del sistema instruye al LLM para que actúe bajo el rol de Tom Riddle: una entidad misteriosa, sumamente elocuente y atrapada dentro del diario. Dado que el modelo recibe un archivo PNG completo de la página, puede interpretar incluso diagramas, flechas o dibujos simples, ampliando las posibilidades conversacionales mucho más allá de lo que permitiría un simple chat de texto.

    Renderizado dinámico de trazos vectoriales y Dancing Script

    Para proyectar la respuesta de la inteligencia artificial de forma convincente, Riddle utiliza la fuente cursiva de Google Dancing Script. No obstante, las pantallas de tinta electrónica convencionales sufren de parpadeos molestos (frecuencia de refresco lenta) al renderizar texto dinámico de forma estándar. Para solucionar esto, el código en Rust implementa dos modos de visualización avanzados que manejan la salida gráfica del dispositivo de manera diferencial:

    1. Modo Ventana (Windowed): Ejecuta el proceso gráfico a través de qtfb (Qt Framebuffer) encapsulado dentro de la propia interfaz activa de xochitl, permitiendo un uso híbrido del diario sin perder el acceso a las funciones básicas de la tableta.
    2. Modo Adquisición (Takeover): Utiliza una herramienta de renderizado directo llamada quill, la cual toma el control absoluto del framebuffer físico de la pantalla, reduciendo la latencia de refresco a su mínimo absoluto y permitiendo animaciones de trazo suave que emulan la velocidad de una pluma estilográfica real.

    El proceso de instalación: SSH, acceso root y el ecosistema homebrew

    Dado que Riddle es un proyecto puramente comunitario y de código abierto (bajo licencia MIT), no se distribuye a través de una tienda oficial de aplicaciones ni cuenta con el soporte directo de la compañía reMarkable. Para experimentar esta porción de magia tecnológica, los usuarios deben sumergirse en el ecosistema homebrew del dispositivo. El proceso técnico requiere activar el «Modo Desarrollador» (Developer Mode) en la configuración del reMarkable Paper Pro, lo que desbloquea el acceso a la línea de comandos mediante SSH y otorga privilegios de usuario administrador (root).

    Las herramientas del hacking: xovi, AppLoad y remagic

    La instalación y ejecución exitosa de Riddle depende de un conjunto de herramientas de software especializado desarrollado por la activa comunidad del e-paper. Para inyectar el código de Riddle en el sistema operativo Codex, se utilizan las siguientes utilidades clave:

    • xovi: Un framework avanzado diseñado específicamente para inyectar bibliotecas compartidas y código personalizado directamente dentro de las aplicaciones que se encuentran en ejecución en el sistema (principalmente la interfaz nativa xochitl), permitiendo modificar el comportamiento de la pantalla en tiempo real sin colapsar el sistema operativo.
    • AppLoad: Un gestor y lanzador que facilita la transferencia de binarios compilados externamente para la arquitectura ARM (aarch64) directamente desde una computadora de escritorio al almacenamiento interno de la tableta.
    • remagic: Una suite de instalación automatizada creada por el propio Maxime Rivest que simplifica el engorroso proceso de configuración de dependencias, permisos de ejecución de archivos y variables de entorno necesarias para que el binario de Riddle se comunique correctamente con la red.

    Una vez completada la transferencia del binario nativo, el usuario debe configurar su clave de API de preferencia mediante la definición de la variable de entorno RIDDLE_OPENAI_KEY en los archivos de inicio de sesión del sistema. Al iniciar el ejecutable, la tableta queda en espera del primer trazo del lápiz óptico, abriendo las puertas a una de las experiencias tecnológicas más singulares de la actualidad.

    El renacimiento de las interfaces táctiles sin distracciones

    Más allá de la atractiva referencia a la cultura popular de Harry Potter, Riddle representa un hito de gran relevancia conceptual para el diseño de interacción humana con computadoras. En un momento histórico dominado por interfaces saturadas de notificaciones invasivas, el experimento de Maxime Rivest demuestra que la inteligencia artificial no necesita estar confinada a pantallas brillantes llenas de campos de texto planos y menús desplegables.

    Al fusionar la naturaleza reflexiva y analógica de la tinta electrónica con el procesamiento cognitivo de los LLMs modernos, Riddle nos ofrece una mirada a un futuro donde la tecnología de punta vuelve a sentirse orgánica, pausada y, en cierto modo, verdaderamente mágica. El reMarkable Paper Pro deja de ser un simple sustituto digital del bloc de notas para convertirse en un objeto interactivo vivo, demostrando que a veces, para avanzar en la tecnología del futuro, debemos recuperar la mística y simplicidad de los objetos del pasado.

    Publicado en Curiosidades de Internet, Recursos & Cultura | Etiquetado , , , | Deja un comentario

    Autenticación de dos factores en DeviantArt: nueva seguridad global

    El pasado 7 de julio de 2026 marcará un hito indiscutible en la historia de la ciberseguridad para las comunidades creativas digitales. DeviantArt, la plataforma de arte en línea más grande del mundo, oficializó el lanzamiento de una actualización de seguridad de gran alcance: la expansión global de su protocolo de autenticación de dos factores (2FA) para todos sus miembros. Hasta hace poco, esta herramienta crítica de seguridad digital estaba restringida principalmente a los suscriptores de los planes de pago «Core», limitando el acceso de millones de creadores gratuitos. Con este nuevo despliegue, la plataforma finalmente democratiza la protección de datos, permitiendo que cualquier artista, sin importar su nivel de suscripción o método de registro, blinde su cuenta frente a las crecientes amenazas informáticas.

    El fin del «paywall» de seguridad: ¿Por qué la autenticación de dos factores es crucial para los creadores?

    Durante años, la decisión de mantener la autenticación de dos factores restringida detrás de una membresía de pago fue objeto de severos debates en foros de seguridad y comunidades de creadores. La postura de los

    Publicado en Protección de Identidad, Seguridad & Privacidad | Etiquetado , , , | Deja un comentario

    Gafas inteligentes Meta: Nueva actualización bloquea la grabación encubierta

    del dispositivo ahora analiza de manera continua los parámetros eléctricos del circuito del LED, incluyendo la resistencia de línea, la capacitancia de carga y el bucle de corriente cerrado del diodo emisor de luz.

    Si la firma digital del circuito reporta que el LED de captura ha sido interrumpido, desoldado, dañado físicamente con herramientas o eliminado de la montura, el sistema operativo del wearable activa de inmediato un mecanismo de desconexión de seguridad (kill switch). Este bloqueo apaga por completo el suministro de energía de la cámara frontal de forma permanente. El dispositivo no volverá a registrar imágenes ni video hasta que los sensores internos reporten que el LED físico ha sido reparado o restaurado a su configuración original de fábrica.

    Un detalle crucial de esta medida es su carácter retroactivo. Meta no solo está previniendo futuras manipulaciones en la línea de ensamblaje, sino que está inhabilitando de inmediato la cámara de todos aquellos dispositivos que ya habían sido modificados por servicios clandestinos como el de Bong Kim. Para los usuarios que pagaron por estas alteraciones físicas, sus costosas gafas inteligentes se han convertido de la noche a la mañana en simples auriculares bluetooth con marcos pesados.

    Guerra total en el mercado gris: Bloqueos y demandas legales

    El parche de firmware v26 es solo una de las aristas en la estrategia de contención de la multinacional dirigida por Mark Zuckerberg. Meta ha entendido que el software debe ser complementado con una enérgica

    Publicado en Protección de Identidad, Seguridad & Privacidad | Etiquetado , , , | Deja un comentario

    Seguridad VPN móviles: El estudio de la Universidad de Michigan que expone fallos críticos

    , 1.1.5]. Hasta ahora, la mayoría de las auditorías de VPN se realizaban mediante análisis manuales de casos aislados, enfocándose casi exclusivamente en plataformas de escritorio. La complejidad inherente al ecosistema de Android —con su diversidad de arquitecturas de hardware y versiones del sistema operativo— dificultaba una evaluación masiva.» (85 words)

    «MVPNalyzer resuelve este vacío al inspeccionar múltiples capas de red, examinando la transmisión de paquetes de datos y auditando los archivos de configuración interna de las aplicaciones. Su arquitectura verifica si el tráfico se canaliza correctamente por el túnel cifrado, si se emplean canales robustos y si las aplicaciones realizan la exfiltración subrepticia de identificadores únicos. El estudio subraya que usar una VPN implica una «transferencia de confianza» crítica: el usuario deja de confiar su tráfico a su Proveedor de Servicios de Internet (ISP) para entregárselo, en teoría de manera segura, al proveedor de la VPN. No obstante, los resultados revelan que esta transferencia suele ser un salto al vacío.» (122 words)

    Section 2:
    «Radiografía de una negligencia sistemática: Los hallazgos clave» (8 words)
    «La evaluación de las 281 aplicaciones —que acumulan cientos de millones de descargas— arrojó métricas devastadoras que delinean un panorama de descuido

    Publicado en Anonimato & Privacidad Web, Seguridad & Privacidad | Etiquetado , , , | Deja un comentario

    Phishing Microsoft 365: La herramienta DEBULL evade la autenticación MFA

    El peligro de DEBULL: La campaña que redefine el phishing Microsoft 365 abusando del flujo de código de Microsoft

    El ecosistema de la ciberseguridad corporativa se enfrenta a una de sus amenazas más elusivas e innovadoras en lo que va del año 2026. Recientemente, investigadores de la firma de seguridad de correo electrónico ZeroBEC identificaron una sofisticada campaña de phishing Microsoft 365 que logra eludir por completo los mecanismos tradicionales de autenticación multifactor (MFA/2FA) sin necesidad de robar contraseñas o clonar portales de inicio de sesión. Esta operación se apoya en una capa de herramientas reutilizable y comercializada bajo el modelo de Phishing-as-a-Service (PhaaS) conocida como DEBULL.

    A diferencia de los ataques convencionales de Adversary-in-the-Middle (AitM), que dependen de la creación de páginas web falsas que imitan a la perfección el portal de inicio de sesión de la víctima, DEBULL redirige a los usuarios hacia el portal auténtico y confiable de Microsoft. Al abusar del flujo legítimo de concesión de autorización de dispositivos de OAuth 2.0 (Device Authorization Grant flow), este kit de phishing permite a los atacantes interceptar tokens de acceso persistente, otorgándoles un control total sobre los entornos empresariales de la suite de productividad más utilizada del mundo.

    ¿Qué es DEBULL y por qué redefine las amenazas de phishing Microsoft 365?

    Para comprender la peligrosidad de DEBULL, primero es necesario analizar cómo ha evolucionado el panorama del phishing Microsoft 365 en los últimos años. Históricamente, las organizaciones se sentían seguras al implementar políticas de autenticación de doble factor (2FA/MFA). Los ciberdelincuentes respondieron con proxies inversos como Evilnginx para capturar las credenciales y las cookies de sesión en tiempo real a través de ataques AitM. Sin embargo, estas infraestructuras suelen ser detectadas por firewalls de capa de aplicación, soluciones de seguridad de correo electrónico y herramientas de análisis de reputación de dominios.

    DEBULL marca un punto de inflexión al eliminar la necesidad de hospedar páginas de inicio de sesión falsas. Al utilizar la infraestructura oficial de Microsoft para la validación de la identidad del usuario, los atacantes logran neutralizar las alertas de seguridad de los navegadores y de las soluciones de correo electrónico, que ven al usuario interactuando con dominios 100% legítimos (como microsoft.com/devicelogin). La comercialización de DEBULL como un kit de herramientas modular y reutilizable democratiza el acceso a este tipo de vectores de ataque avanzados, permitiendo que incluso actores de amenazas con habilidades técnicas moderadas lancen campañas sumamente efectivas contra objetivos corporativos globales.

    Anatomía técnica del ataque: ¿Cómo funciona el abuso del Device-Code Flow?

    El flujo de código de dispositivo (Device Authorization Grant) es un protocolo diseñado por el estándar OAuth 2.0 para autenticar a usuarios en dispositivos que no cuentan con una interfaz de entrada de texto cómoda, tales como televisores inteligentes, consolas de videojuegos, impresoras o terminales de línea de comandos. En condiciones normales, el dispositivo genera un código alfanumérico corto y le pide al usuario que ingrese a una URL segura desde su computadora o teléfono móvil para introducir dicho código y validar su identidad. Una vez ingresado el código y aprobada la autenticación, el dispositivo original recibe un token de acceso.

    La plataforma DEBULL manipula este proceso mediante una secuencia de ataque meticulosamente estructurada:

    • El señuelo inicial: El atacante envía un correo electrónico de phishing con temática de colaboración o notificaciones urgentes de Microsoft Teams, facturas pendientes o solicitudes de propuestas (RFPs). Estos mensajes instan a la víctima a acceder a un supuesto documento compartido o a unirse a una sesión de trabajo.
    • La redirección silenciosa: Al hacer clic en el enlace del correo, la víctima es dirigida a un sitio web intermedio comprometido. En la campaña detectada a finales de junio y principios de julio de 2026, ZeroBEC descubrió el uso de un portal croata de alquiler de propiedades, el cual fue hackeado para actuar como un «orquestador» de códigos de dispositivo.
    • La solicitud del código en segundo plano: Mientras la víctima navega por la página intermedia, el motor backend de DEBULL realiza una solicitud automatizada al Broker de Autenticación de Microsoft, solicitando un código de autenticación de dispositivo legítimo para una aplicación controlada por el atacante o un cliente confiable (como Microsoft Command Line o Microsoft Teams).
    • La ingeniería social interactiva: El sitio web comprometido muestra a la víctima una pantalla que imita el diseño de Teams o SharePoint, presentándole el código de dispositivo generado en el paso anterior y un enlace directo a la página oficial de inicio de sesión de dispositivos de Microsoft.
    • La validación por la víctima: Convencida de que se trata de un paso necesario para ver el archivo o acceder a la videollamada, la víctima hace clic en el enlace legítimo, ingresa el código proporcionado y completa el proceso de inicio de sesión (incluida la aprobación de su 2FA/MFA en su aplicación autenticadora habitual).
    • Intercepción y secuestro de tokens: Paralelamente, el backend de DEBULL realiza solicitudes constantes (polling) al servicio de autenticación de Microsoft. En el preciso instante en que la víctima aprueba la solicitud en el portal legítimo, Microsoft emite los tokens de acceso y actualización a la aplicación vinculada. El servidor de DEBULL intercepta de inmediato estos tokens y los almacena para el uso del atacante.

    El rol de DEBULL: El motor comercializado detrás de la campaña de 2026

    La sofisticación de DEBULL no se limita únicamente al abuso del protocolo OAuth 2.0; radica principalmente en la robustez y accesibilidad de su panel de administración. Los investigadores de ZeroBEC descubrieron que DEBULL funciona como un servicio estructurado (Phishing-as-a-Service) que permite a sus operadores configurar y automatizar toda la infraestructura de ataque con unos pocos clics.

    El kit incluye características de diseño dinámico y post-explotación extremadamente avanzadas:

    1. Personalización de señuelos (Lures): Los operadores del kit de herramientas pueden definir nombres de página específicos, personalizar las rutas de URL (slugs) y modificar directamente el código HTML, CSS y JavaScript para que el diseño visual coincida de forma exacta con la identidad de marca de la organización objetivo.
    2. Integración con GraphSpy: Las investigaciones señalan que DEBULL utiliza flujos de trabajo derivados de GraphSpy, una conocida herramienta de pruebas de penetración diseñada para la post-explotación de entornos Microsoft 365 y Entra ID. Esto significa que, una vez que el token es secuestrado, el sistema automatiza el reconocimiento interno del inquilino (tenant) de la víctima.
    3. Funcionalidades asistidas por IA: Al igual que otros toolkits modernos como EvilTokens, la plataforma DEBULL incorpora capacidades de inteligencia artificial para agilizar las fases posteriores al compromiso. Estos módulos permiten filtrar miles de correos electrónicos de la víctima en cuestión de segundos, identificar conversaciones financieras críticas (como hilos sobre transferencias o facturas) y redactar correos electrónicos de Business Email Compromise (BEC) hiperpersonalizados que imitan el tono de escritura del usuario afectado.
    4. Rastros de desarrollo en el código: El análisis del backend de DEBULL reveló la presencia de comentarios y variables con marcadores en idioma turco. Aunque esto no permite una atribución concluyente sobre el origen geográfico de los atacantes, ofrece pistas valiosas para que los analistas de inteligencia de amenazas rastreen el desarrollo de este software en foros clandestinos.

    El rastro de Storm-2372 y los vínculos con el cibercrimen global

    El análisis técnico de la campaña de DEBULL llevada a cabo entre finales de junio y principios de julio de 2026 expone importantes solapamientos tácticos con grupos de amenazas persistentes avanzadas (APT). Específicamente, los analistas de seguridad han trazado paralelismos contundentes con el grupo Storm-2372, un actor de amenazas documentado previamente por Microsoft a principios de 2025.

    Storm-2372, cuyos intereses se alinean moderadamente con los del Estado ruso, se destacó por utilizar invitaciones a salas de chat de Microsoft Teams y correos electrónicos altamente dirigidos para implementar campañas masivas de robo de tokens mediante flujos de códigos de dispositivo. El hecho de que la campaña actual de DEBULL utilice señuelos temáticos de colaboración similares sugiere dos posibilidades claras: o bien Storm-2372 ha actualizado sus tácticas implementando este nuevo marco operativo, o bien sus metodologías altamente exitosas han sido empaquetadas, modularizadas y puestas a la venta en el mercado negro de la ciberdelincuencia. Esto último confirmaría la alarmante tendencia de la «comercialización de tácticas de nivel de estado nación», permitiendo que cibercriminales comunes utilicen tradecraft avanzado para vulnerar empresas de gran escala.

    Estrategias de defensa y mitigación en entornos corporativos

    Para mitigar eficazmente las amenazas de phishing Microsoft 365 que abusan del Device-Code Flow, las organizaciones no pueden depender de que los usuarios identifiquen enlaces sospechosos o confíen ciegamente en la presencia de una URL oficial de Microsoft. Se requieren controles técnicos estrictos a nivel de inquilino de Entra ID para desactivar o supervisar este vector de ataque de forma proactiva:

    • Deshabilitar o restringir el Device Authorization Grant: Microsoft Entra ID permite a los administradores de seguridad deshabilitar por completo el flujo de código de dispositivo para los usuarios estándar. Salvo que existan necesidades operativas específicas (como el uso masivo de impresoras de red o salas de videoconferencia heredadas), este protocolo debe desactivarse globalmente.
    • Implementar políticas de Acceso Condicional (Conditional Access): Es fundamental configurar directivas de acceso condicional que exijan que los inicios de sesión provengan únicamente de dispositivos administrados (por ejemplo, dispositivos híbridos unidos a Microsoft Entra o marcados como conformes en Intune). Esto impide que el atacante use el token secuestrado en un dispositivo no autorizado, incluso si logra obtenerlo.
    • Filtrado geográfico e IP: Restringir el uso de flujos de código de dispositivo a rangos de direcciones IP de confianza o ubicaciones de red corporativas conocidas. Si un intento de inicio de sesión se origina desde una ubicación anómala, el acceso condicional debe bloquear la solicitud de inmediato.
    • Monitoreo y alertas en tiempo real: Los equipos de seguridad (SOC) deben configurar alertas para detectar anomalías de inicio de sesión asociadas con el flujo de código de dispositivo. Actividades como el registro de múltiples dispositivos de corta duración o el uso de identidades desde sistemas operativos inusuales deben ser tratadas como incidentes de alta prioridad.
    • Capacitación avanzada para usuarios: El entrenamiento tradicional de concientización sobre el phishing debe actualizarse para alertar a los empleados sobre el peligro de ingresar códigos de dispositivo no solicitados. La regla de oro debe ser clara: ningún flujo de trabajo de colaboración habitual (como abrir una hoja de cálculo o ingresar a una reunión) requiere que el usuario digite un código de 8 caracteres en una pantalla web externa.

    La irrupción de plataformas como DEBULL demuestra que los atacantes ya no necesitan romper el cifrado de la autenticación multifactor, sino que han aprendido a caminar junto al usuario, aprovechando su propia confianza en las plataformas oficiales para abrir las puertas traseras de la organización. Corregir esta vulnerabilidad operativa es hoy una prioridad absoluta para cualquier administrador de TI que busque salvaguardar su ecosistema de Microsoft 365.

    Publicado en Protección de Identidad, Seguridad & Privacidad | Etiquetado , , , | Deja un comentario

    Phishing en marketing: Nueva campaña de robo de credenciales Google

    «`

    Wait, let’s make sure the word count is within 1000-1500 words.
    Let’s continue writing. I will copy and paste the rest of the draft and adjust.

    «`html
    Es aquí donde los atacantes despliegan una técnica extremadamente peligrosa: el ataque Browser-in-the-Browser (BitB). En lugar de redirigir al usuario al sitio real de Google o abrir una pestaña estándar de inicio de sesión, el sitio web malicioso renderiza un elemento HTML dinámico (un pop-up falso) dentro del propio navegador de la víctima. Este recuadro flotante está programado para imitar con exactitud la apariencia de una ventana emergente legítima de autenticación de Google.

    El ataque BitB resulta letal por las siguientes razones:

    • Barra de direcciones falsificada: La ventana emergente muestra una barra de direcciones falsa que simula el protocolo HTTPS y el dominio real de Google (https://accounts.google.com), lo que neutraliza el consejo de seguridad clásico de revisar la URL antes de ingresar la contraseña.
    • Interacción fluida: El usuario puede arrastrar la ventana, ver efectos de carga reales y experimentar la misma respuesta visual que obtendría en un proceso de autenticación genuino.
    • Captura en tiempo real: En el instante en que la víctima introduce su correo electrónico y contraseña, el código JavaScript malicioso que
    Publicado en Alerta de Amenazas, Seguridad & Privacidad | Etiquetado , , , | Deja un comentario

    Ransomware autónomo: JADEPUFFER y la primera amenaza por IA

    En los albores de julio de 2026, la industria de la ciberseguridad y la cultura digital marcaron un hito histórico con la revelación pública de JADEPUFFER. Descubierto por los analistas de la firma de seguridad en la nube Sysdig, este alarmante incidente representa el primer caso documentado en el mundo real de un ransomware autónomo agéntico. A diferencia del malware convencional operado directamente por hackers o scripts rígidos, JADEPUFFER fue ejecutado de extremo a extremo por un agente de Inteligencia Artificial basado en un Modelo de Lenguaje Grande (LLM) que demostró una sorprendente destreza para razonar sobre su entorno, sortear barreras y completar su campaña de extorsión a velocidad de máquina.

    El salto evolutivo: De LameHug y MalTerminal a JADEPUFFER

    Para comprender la magnitud de este suceso, debemos diferenciar la campaña de JADEPUFFER de los intentos previos de malware asistido por Inteligencia Artificial. Hasta hace poco, la integración de modelos de lenguaje en el ecosistema del cibercrimen se limitaba a roles de soporte o subrutinas secundarias dentro de flujos rígidos diseñados por desarrolladores de código:

    • LameHug: Atribuido al grupo de amenazas estatal de origen ruso APT28, usaba la API del modelo Qwen 2.5-Coder-32B-Instruct para ejecutar comandos de recolección de archivos basados en descripciones estáticas. Su lógica interna dependía de plantillas predefinidas y rígidas, actuando simplemente como un traductor de lenguaje a código sin verdadera autonomía táctica.
    • MalTerminal: Descubierto originalmente por SentinelLabs a finales de 2025, integraba un modelo local gpt-oss:20b para generar scripts maliciosos en lenguaje Lua de forma dinámica y evadir sistemas basados en firmas. Sin embargo, seguía atado a prompts fijos integrados de forma estática en su binario.

    Publicado en Curiosidades de Internet, Recursos & Cultura | Etiquetado , , , | Deja un comentario