1. Principales Vulnerabilidades y Filtraciones de la semana

2. IOCTA 2026 de Europol: el mapa del crimen organizado digital en Europa

3. FortiBleed, la operación que construyó una base de datos de 86.644 firewalls comprometidos sin explotar ninguna vulnerabilidad

💥Microsoft Exchange CVE-2026-96940: un atacante autenticado puede acceder a los buzones de cualquier otro usuario de la misma organización y leer emails y adjuntos. Microsoft ha publicado un parche fuera de ciclo de emergencia, lo que indica la gravedad que le dan. Si tienes Exchange on-premise, esto es urgente (Segu-Info / The Hacker News)

💥CVE-2026-21589 en Atlassian (Jira, Confluence, Bitbucket, Data Center): acceso no autenticado a ficheros arbitrarios del sistema que en despliegues integrados con Crowd permite forjarse sesiones de administrador. watchTowr publicó el análisis técnico y PoC; Previdian detectó intentos de explotación en sus honeypots dos horas después. Tratar el día del advisory (6 de octubre) como fecha límite de parche para cualquier instancia expuesta a internet (BleepingComputer)

💥SonicWall SMA1000 CVE-2026-102255 (CVSS 10.0): cuarto fallo crítico del año en el mismo appliance, bajo explotación activa apenas tres días después de publicarse el parche. El payload capturado intenta un traversal hacia una función CouchDB usando credenciales admin:admin, el mismo patrón oportunista de siempre buscando configuraciones por defecto. Usa una técnica distinta a los CVEs de julio y septiembre aunque afecta al mismo WorkPlace (BleepingComputer)

💥Nuevo NetScaler CVE-2026-107406: tercera vulnerabilidad crítica de RCE en NetScaler este mes, esta vez sin explotación confirmada en el momento del aviso. Citrix lleva ya 27 entradas en el catálogo KEV de CISA desde noviembre de 2021, siete de ellas abusadas en ataques de ransomware. El historial habla por sí solo (BleepingComputer)

💥LibreOffice y OpenOffice: dos fallos que permiten ejecutar código al abrir hojas de cálculo manipuladas sin que aparezcan los avisos clásicos de macros. LibreOffice Calc ya tiene corrección; Apache OpenOffice sigue sin parche. La ausencia del aviso de macro es lo que hace estos fallos especialmente peligrosos: el usuario no recibe ninguna señal de alerta (Una Al Día)

💥Cinco vulnerabilidades críticas en Cisco NX-OS para switches Nexus: permiten ejecución de código arbitrario con privilegios root. Sin explotación confirmada en el momento del aviso, pero el historial de NX-OS en el KEV de CISA hace el parcheo urgente (BleepingComputer)

💥Pwn2Own Ireland 2026: los investigadores explotaron 98 zero-days en cuatro días, embolsándose 1,26 millones de dólares. El Samsung Galaxy S26 fue hackeado dos veces el primer día. Esta competición es el mayor escaparate anual de vulnerabilidades sin parche en dispositivos de consumo y empresariales; todos los fabricantes afectados tienen 90 días para publicar correcciones (BleepingComputer)

IOCTA 2026 de Europol: el mapa del crimen organizado digital en Europa

Cada año Europol publica el documento más completo que existe sobre el estado del cibercrimen en la Unión Europea: el Internet Organised Crime Threat Assessment, el IOCTA. La edición de 2026 lleva por subtítulo “Cómo el cifrado, los proxies y la IA están expandiendo el cibercrimen”, y si hay un hilo conductor que atraviesa todas sus secciones es la aceleración. Los criminales están comprimiendo el tiempo entre decisión y ejecución, aumentando la escala sin aumentar la plantilla, y creando capas de anonimización que hacen cada vez más difícil que la policía llegue a tiempo, o llegue en absoluto.

El ecosistema de habilitadores: la infraestructura que lo sostiene todo

Antes de hablar de ataques, el informe dedica un capítulo entero a lo que llama “habilitadores”: la infraestructura criminal que hace posible todo lo demás. El primer dato que llama la atención es la evolución del mercado negro en la dark web. Los grandes marketplaces generalistas, que hace unos años eran el epicentro del comercio criminal, están dando paso a plataformas más pequeñas y especializadas: una para credenciales RDP/VPN, otra para malware-as-a-service, otra para datos de tarjetas de crédito. La lógica es la misma que en el mercado legal: la especialización reduce la exposición y permite vender mejor. La vida media de estos mercados sigue acortándose por la presión policial, pero los usuarios migran cada vez más rápido a la siguiente plataforma, y el ecosistema nunca se detiene. El ejemplo más gráfico del año fue el desmantelamiento de Archetyp Market en junio de 2025 (más de 600.000 usuarios, 250 millones de euros en transacciones, 17.000 listados incluyendo fentanilo), que fue seguido en semanas por el lanzamiento de BlackOps Market con 41.942 listados desde el primer día.

Las criptomonedas siguen siendo la columna vertebral financiera del cibercrimen, pero con una evolución preocupante: la adopción creciente de monedas de alta opacidad resistentes a las herramientas de rastreo blockchain, servicios de mixing como Cryptomixer (desmantelado en noviembre de 2025, más de 1.300 millones de euros procesados desde 2016) y el uso de bridges de blockchain para saltar entre cadenas y hacer casi imposible seguir el rastro del dinero. En el extremo físico, los escritorios de cambio cripto a efectivo siguen siendo un vector crítico donde el robo digital se convierte en dinero fiat.

Dos tendencias de infraestructura merecen mención especial. La primera es el uso de proxies residenciales a escala industrial: redes de IPs de hogares particulares (cuyos propietarios a menudo ni saben que participan) que camuflan el tráfico malicioso como tráfico doméstico ordinario. La segunda es la migración de algunos grupos desde el alojamiento bullet-proof comercial hacia infraestructura propia: comprar hardware y desplegarlo ellos mismos en múltiples jurisdicciones, eliminando la posibilidad de que un proveedor coopere con las autoridades.

El fraude online: la categoría que más crece

El fraude online es, según el IOCTA 2026, el área de mayor crecimiento del crimen organizado en Europa, y su industrialización ha alcanzado un nivel que impresiona. Las granjas de SIMs son quizás el ejemplo más revelador: la operación desmantelada en octubre de 2025 en Letonia tenía 1.200 dispositivos SIM box operando 40.000 tarjetas SIM de más de 80 países, había creado 49 millones de cuentas online ilegales, y servía a redes de phishing, extorsión, tráfico de migrantes y distribución de CSAM al mismo tiempo. Es una empresa criminal en sentido literal, con cadena de suministro física incluida: criminales que viajan a jurisdicciones donde se pueden comprar SIMs en bulk sin verificación, las transportan físicamente a las granjas y las ponen a disposición de otros actores.

La IA ha entrado en el fraude online de una forma más rápida y amplia de lo que muchos esperaban. El informe describe chatbots de voz que filtran a las víctimas a escala industrial antes de pasarlas a operadores humanos, scripts de conversación generados con IA que eliminan la barrera del idioma y permiten a centros de llamadas en Asia oriental enganchar a víctimas europeas con conversaciones perfectamente localizadas, y deepfakes que hacen el fraude por suplantación de identidad (BEC, CEO fraud) mucho más convincente. La adopción de sistemas de IA agéntica para automatizar partes completas del proceso criminal, señala el informe, aún está en desarrollo pero se anticipa como el próximo salto cualitativo.

El malvertising merece una mención específica porque es el vector que más ha crecido para el fraude de inversión cripto: grupos criminales compran publicidad en las principales plataformas de internet presentando esquemas fraudulentos que parecen legítimos, llegan a millones de usuarios, y las plataformas no enfrentan las mismas consecuencias regulatorias que los bancos si facilitan actividad fraudulenta. Es un punto ciego del ecosistema digital europeo que el informe señala explícitamente.

Ransomware: más de 120 marcas activas y la línea entre estado y crimen se difumina

En 2025, Europol rastreó más de 120 marcas activas de ransomware, con ataques en constante crecimiento. El dato más significativo del capítulo no es el número sino el modelo: la extorsión ha pivotado de “paga para recuperar tus datos cifrados” a “paga para que no publiquemos los datos que ya tenemos”. Las empresas modernas están razonablemente preparadas para recuperarse de un cifrado con buenos backups, pero la amenaza de filtrar datos de clientes, estrategias internas o propiedad intelectual es otra cosa. Por eso la exfiltración previa al cifrado se ha convertido en el paso más importante de un ataque de ransomware moderno.

La novedad más relevante del ecosistema este año es el anuncio en septiembre de 2025 de una coalición entre DragonForce, LockBit y Qilin: tres grupos que comparten infraestructura, afiliados y en algún caso codebases derivados de las filtraciones de Conti. DragonForce en particular ha lanzado un “servicio de extorsión” donde proporciona a sus afiliados análisis de los datos robados, scripts de llamada a víctimas, borradores de cartas y asesoramiento para maximizar la presión psicológica, cobrando un 20% adicional del rescate. Es, literalmente, una consultoría de extorsión.

La relación entre actores de amenaza estatales y redes de cibercrimen se describe como “cada vez más entretejida”. Los estados contratan o coercionan a grupos criminales como proxies para ataques de sabotaje, espionaje y DDoS. En la economía del Crime-as-a-Service, un estado que quiere un efecto disruptivo es simplemente un cliente más. Esto complica enormemente la atribución y la respuesta, porque el mismo ataque puede tener motivación financiera para el ejecutor y motivación geopolítica para el patrocinador.

Operación Eastwood de julio de 2025, coordinada por Europol y Eurojust con 19 países, desmanteló la infraestructura de NoName057(16), el grupo prorruso de DDoS que cubrimos en este newsletter con el caso del detenido en Palencia. El resultado: más de 100 servidores caídos, 9 detenidos, 5 fichas en el Most Wanted europeo. El efecto: una reducción temporal de actividad seguida de recuperación. El informe es honesto en que estas operaciones no eliminan al actor, solo lo ralentizan.

El capítulo de infostealers confirma que siguen siendo el lubricante que hace funcionar todo el ecosistema. Operación Endgame (varias fases a lo largo de 2025) desmanteló Smokeloader, Bumblebee, Lactrodectus, Qakbot, Hijackloader, DanaBot, Trickbot, Warmcookie, Rhadamantys y VenomRAT: 300 servidores caídos, 650 dominios neutralizados, 1.025 servidores en la fase de noviembre. Cada vez que cae una de estas redes, los criminales ya tienen sustitutos disponibles porque el ecosistema CaaS facilita la proliferación de variantes.

Lo que viene: el “velocity gap” y la IA criminal autónoma

El concepto más importante del informe es el que Europol llama “velocity gap”: la brecha de velocidad entre el ritmo al que los criminales adoptan nuevas tecnologías y el ritmo al que las autoridades policiales pueden adaptarse. Los criminales tienen pocas barreras burocráticas para adoptar IA, no necesitan cumplir con la regulación de protección de datos al usarla, y el incentivo económico para hacerlo es directo e inmediato. La policía opera con restricciones legales, necesita transparencia en sus herramientas, y sus ciclos de adquisición tecnológica son lentos.

El informe termina con una sección de prospectiva donde la conclusión más llamativa es que “los actores criminales han comenzado a aprovechar sistemas de IA agéntica capaces de ejecutar flujos de trabajo criminales completos de forma autónoma con poca o ninguna implicación humana”. No como una predicción futura, sino como una realidad ya observable. La dirección ejecutiva de Europol, Catherine De Bolle, cierra el documento con un llamamiento a la acción que suena urgente: “el ritmo de aceleración del cibercrimen presenta amenazas progresivamente sofisticadas con implicaciones dañinas tanto online como offline.”

(Informe completo IOCTA 2026)

FortiBleed, la operación que construyó una base de datos de 86.644 firewalls comprometidos sin explotar ninguna vulnerabilidad

El 6 de octubre, el FBI y el Secret Service publicaron el aviso conjunto JCSA-20261006-01 con un nombre que resume bien lo que encontraron: FortiBleed. Una campaña activa que entre junio y julio de 2026 comprometió más de 86.644 dispositivos Fortinet FortiGate en 194 países, construyendo una base de datos de credenciales válidas que después alimenta operaciones de ransomware. El detalle que distingue a FortiBleed de la mayoría de campañas similares es que no usó ningún CVE. Ningún zero-day, ninguna vulnerabilidad sin parche. Solo contraseñas débiles, reutilizadas o mal almacenadas.

El playbook en cinco etapas

El aviso del FBI describe una operación madura y bien organizada, no una herramienta automatizada lanzada sin supervisión. Los operadores siguieron una secuencia sistemática:

La primera etapa fue reconocimiento masivo: identificaron dispositivos FortiGate expuestos a internet a través de servicios de escaneo como Shodan, combinando búsquedas por versión de firmware y configuración de interfaz para filtrar objetivos potencialmente vulnerables a las etapas siguientes.

La segunda fue la recolección de credenciales con tres métodos distintos. El más básico fue password spraying y credential stuffing usando listas de credenciales obtenidas de filtraciones previas y logs de infostealers. El más interesante técnicamente fue la explotación del almacenamiento heredado de contraseñas en SHA-256 sin sal, que Fortinet usó en versiones antiguas de FortiOS: los hashes robados se enviaban a un cluster de GPUs para cracking offline. El informe no especifica el número de GPUs ni el proveedor de cloud, pero el esquema SHA-256 sin sal hace que el cracking sea trivialmente rápido con hardware moderno, hashes de ocho caracteres caen en minutos.

La tercera etapa fue el despliegue de FortigateSniffer, una herramienta desarrollada en Go específicamente para este entorno. Una vez dentro del dispositivo con credenciales válidas, FortigateSniffer se instalaba como proceso de baja visibilidad y monitorizaba pasivamente el tráfico que pasaba por el firewall. Cubría 24 protocolos distintos (FTP, SMTP, HTTP, SMB, entre otros) extrayendo credenciales, hashes y cookies de sesión en tránsito. La lógica es elegante: un firewall ve todo el tráfico de la red que protege, así que comprometer el firewall equivale a comprometer la visibilidad de toda la organización.

La cuarta etapa fue enriquecimiento y priorización. Los datos brutos recopilados se procesaban para validar qué credenciales seguían activas, se organizaban por objetivo y se priorizaban según la facturación estimada de la empresa y la estructura de la red (cantidad de usuarios de dominio, presencia de controladores de dominio, servidores de backup). Las organizaciones de mayor valor se marcaban para targeting directo de ransomware; las de menor valor se agregaban a la base de datos que se vendía a otros actores o se usaba para pivoting.

La quinta etapa, la que más directamente afectaba a las víctimas, fue la creación de cuentas administrativas rogue y en muchos casos el cambio o borrado de las credenciales legítimas existentes. El resultado: el administrador de red llegaba a trabajar y no podía entrar a su propio firewall. Esta táctica de lockout servía un doble propósito: complicaba la respuesta al incidente (la primera hora se pierde intentando recuperar el acceso) y aumentaba la presión para pagar si el dispositivo era parte de una cadena de ransomware.

La composición de las credenciales robadas revela por qué funcionó

SOCRadar analizó la base de datos de 86.644 credenciales verificadas y encontró un patrón revelador: el 34% eran contraseñas por defecto de Fortinet sin cambiar, el 28% aparecían en las diez filtraciones de credenciales más grandes de los últimos tres años (usadas en múltiples servicios), el 19% eran variaciones triviales del hostname del dispositivo o del nombre de la empresa, y solo el 19% restante eran contraseñas únicas que requirieron cracking o técnicas más sofisticadas. Es decir, el 81% de los dispositivos comprometidos tenían una higiene de credenciales que un atacante humano habría identificado en minutos.

El otro factor habilitador fue la ausencia casi universal de MFA en los accesos administrativos. El aviso del FBI identifica la falta de MFA como “el principal habilitador” de la campaña. En dispositivos con MFA correctamente configurado, incluso con la contraseña comprometida, el atacante no llegó a completar el acceso.

La conexión con ransomware: INC, Lynx y Payload

SOCRadar vinculó la infraestructura de FortiBleed con operaciones de los grupos de ransomware INC, Lynx y Payload. El modelo de negocio era el de un broker de acceso inicial (IAB) que actuaba además como operador: parte de los accesos se vendían a afiliados de ransomware, otra parte se operaban directamente. Una vez dentro de la red de la víctima a través del FortiGate comprometido, el siguiente paso era enumeración de Active Directory y búsqueda de credenciales privilegiadas, el mismo patrón que documentamos con Qilin explotando PAN-OS GlobalProtect en junio.

El aviso del FBI incluye un punto que muchos equipos de respuesta pasan por alto: “si el atacante tuvo acceso y creó cuentas adicionales, aplicar una actualización y cambiar la contraseña puede no ser suficiente para expulsarlo”. Un FortiGate comprometido puede tener cuentas de backdoor en la configuración, tareas programadas maliciosas, o FortigateSniffer todavía activo. La limpieza requiere una revisión completa de la configuración del dispositivo, no solo un cambio de contraseña.

IOCs del aviso del FBI

El aviso JCSA-20261006-01 incluye IOCs concretos:

IPs de origen de los ataques (lista completa en el PDF del IC3, aquí las más vistas en honeypots): 91.108.56.144, 91.108.56.166, 185.220.101.47, 45.155.204.83, 45.155.205.232.

Nombres de cuentas rogue más frecuentes creadas post-compromiso: fortisupport, fortigate-admin, ftgadmin, backup_admin, svc_monitor y variantes con el hostname del dispositivo como prefijo.

Nombre del proceso del sniffer: fortisniff (en /var/tmp/) o fortigate_monitor dependiendo de la variante, corriendo con los mismos privilegios que el proceso httpsd del FortiGate.

Clave de registro de FortigateSniffer en la configuración del dispositivo: entrada en config system global con set alias "FortiSupport" en builds que usaron persistencia vía configuración en vez de proceso.

Mitigación: más que cambiar la contraseña

El FBI y el Secret Service recomiendan cuatro acciones de remediación. Primero, verificar la lista completa de cuentas administradoras en el dispositivo y eliminar cualquiera no reconocida (menú System > Administrators). Segundo, cambiar todas las contraseñas de cuentas existentes, incluyendo las de servicios y cuentas de API, no solo la cuenta admin principal. Tercero, implementar MFA para todos los accesos administrativos (FortiToken, TOTP o integración con un proveedor de identidad externo). Cuarto, revisar los logs de autenticación en busca de conexiones desde IPs no reconocidas en los últimos 90 días, con especial atención al rango de fechas del 18 de junio al 23 de julio de 2026.

Para prevención estructural: no exponer la interfaz de gestión del FortiGate directamente a internet (separar la interfaz de gestión en una VLAN dedicada accesible solo desde la red interna o mediante VPN independiente), deshabilitar la gestión por HTTP y HTTPS desde la interfaz WAN, migrar a FortiOS 7.6 o superior que usa PBKDF2 en lugar de SHA-256 para el almacenamiento de contraseñas, y auditar con regularidad la lista de cuentas administradoras y permisos API.

El detalle de fondo más preocupante del informe es el timing: la campaña fue activa entre el 18 de junio y el 23 de julio. El aviso del FBI salió el 6 de octubre, dos meses y medio después de que terminara. La base de datos de 86.644 credenciales ya existía y circulaba entre afiliados de ransomware desde el verano. Para las organizaciones en esa lista, la acción de respuesta relevante no es solo preventiva sino también forense: determinar si sus dispositivos fueron parte de esa base de datos y actuar en consecuencia.

(Aviso oficial FBI/USSS JCSA-20261006-01 / The Hacker News / CybersecurityDive)

Ver historial de Publicaciones