Intel MX

[Intel MX] 2026-09-27 Aeroméxico confirma brecha y The Gentlemen golpea a Jalisco

27 de septiembre de 2026

jalisco
tabasco
nacional
manufactura
transporte
medios
tecnologia
ransomware
doble-extorsion
brecha
filtracion-datos
vulnerabilidad
cve
datos-personales
confianza-alta
confianza-media

Una aerolínea, un distribuidor tapatío y un medio tabasqueño: el día pegó en tres frentes distintos.

México abre la jornada con una víctima nueva de ransomware en Guadalajara: el grupo The Gentlemen reivindica un ataque contra Magnetos y Refacciones. Aeroméxico confirma que se vulneraron datos de sus clientes, aunque asegura que no hubo exposición de información bancaria. En Tabasco hackearon el sitio de la XEVT. Un reporte señala que aumentan los ataques de ransomware contra empresas mexicanas. En el plano global, ShinyHunters sigue explotando Oracle PeopleSoft y hasta vulneró el sitio de filtraciones de Clop. Kiteworks pidió a sus clientes apagar servidores por un posible zero-day, CISA suma fallas explotadas en WSO2, SharePoint y Adobe Commerce, y dos GitHub Actions comprometidas volvieron a quedar activas.

The Gentlemen reivindica ataque contra Magnetos y Refacciones (Jalisco)

El grupo de ransomware The Gentlemen incluyó en su sitio de filtraciones a Magnetos y Refacciones, S.A. de C.V. Es una empresa comercial y de servicios fundada en 1977, con sede en Guadalajara, Jalisco. Distribuye alambre magneto, rodamientos, barnices aislantes, motores eléctricos y refacciones para reparación de motores, tanto al mayoreo como al menudeo, y atiende a clientes en los 32 estados del país. La empresa no ha publicado ninguna postura hasta el momento. Tampoco se conocen el volumen ni el tipo de datos que el grupo dice tener. Confianza: alta.

Comentario del editor: Una víctima así pesa más de lo que aparenta. Un distribuidor con clientes en todo el país guarda listas de talleres, precios, facturas y datos de contacto, que sirven para montar fraudes de proveedor falso contra sus clientes. Si ustedes le compran, desconfíen de cualquier aviso de cambio de cuenta bancaria que llegue en las próximas semanas.

Aeroméxico confirma vulneración de datos de clientes

Aeroméxico confirmó que un ciberataque vulneró datos de sus clientes ^[1]. La aerolínea sostiene que no se expusieron datos bancarios ^[2]. Según la empresa, la información involucrada comprende nombres y, en algunos casos, fechas de nacimiento, correos electrónicos y números telefónicos, y el acceso no autorizado ocurrió en una plataforma de gestión de clientes administrada por un proveedor externo. No hay una cifra confirmada de pasajeros afectados. Confianza: media.

Comentario del editor: Que no haya datos bancarios expuestos no significa que no haya riesgo. Con nombres, correos, teléfonos y fechas de nacimiento basta para armar phishing muy creíble sobre reembolsos, cambios de vuelo o programas de lealtad. Hay que esperar esas campañas.

Hackean el sitio web de la XEVT en Tabasco

Hackearon la página web de la XEVT, medio de comunicación de Tabasco. La agrupación "México Nuevo" calificó el incidente de "acto cobarde" ^[3]. Hasta ahora no hay detalles públicos sobre el vector de ataque, el alcance ni los autores. Confianza: media.

Aumentan los ataques de ransomware contra empresas mexicanas

Un reporte señala que los ataques de ransomware contra empresas mexicanas van en aumento ^[4]. Confianza: media.

Comentario del editor: Este tipo de reportes suele salir de la telemetría de cada proveedor y sus cifras cambian según quién las mida. La tendencia merece atención, pero no conviene tomar ningún número como dato oficial.

ShinyHunters: evasión de WAF en PeopleSoft y ataque al sitio de Clop

La banda de extorsión ShinyHunters usa una técnica de codificación de URL para saltarse las reglas de firewall de aplicaciones web (WAF) que mitigaban la falla CVE-2026-35273 de Oracle PeopleSoft. Con eso retomó la explotación masiva de servidores vulnerables ^[5]. Por otro lado, el grupo Clop movió su sitio de filtraciones a una nueva dirección en Tor tras confirmar que su servidor anterior fue comprometido y desfigurado. El atacante aprovechó una vulnerabilidad de path traversal sin autenticación en Grav CMS, un ataque atribuido a ShinyHunters ^[6]. Confianza: media.

Comentario del editor: Lo de PeopleSoft es lo importante para México, porque universidades, gobiernos estatales y corporativos lo usan para nómina y recursos humanos. Una regla de WAF es un parche temporal, no un parche del software. Quien se haya quedado en esa mitigación sin aplicar la actualización de Oracle está expuesto otra vez.

Kiteworks pide apagar servidores seis horas por posible zero-day

Kiteworks, empresa de software para compartir archivos de forma segura, pidió a sus clientes en todo el mundo apagar sus servidores durante una ventana de seis horas el sábado. La razón es inteligencia sobre un ciberataque posiblemente inminente ^[7]. Su CISO, Frank Balonis, dijo que la empresa recibió información creíble de autoridades federales de inteligencia de que un actor podría atacar algunos sistemas de clientes de Kiteworks ^[8]. Confianza: media.

Comentario del editor: Kiteworks nació de Accellion, cuya plataforma FTA explotó Clop en 2020 y 2021 en una campaña masiva de robo de datos. Las plataformas de transferencia de archivos son un blanco favorito de los grupos de extorsión, y un apagado preventivo coordinado es una medida poco común. Si su organización usa Kiteworks, revise bitácoras aunque todavía no se publique un CVE.

CISA alerta por fallas explotadas en WSO2, SharePoint y Adobe Commerce

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) advirtió que atacantes están explotando una vulnerabilidad crítica de evasión de autenticación, CVE-2026-5430, que afecta a varios productos de WSO2. También alertó sobre fallas explotadas en Microsoft SharePoint y Adobe Commerce ^[9]. Confianza: media.

GitHub Actions comprometidas por Mini Shai-Hulud vuelven a estar activas

Dos GitHub Actions de terceros, comprometidas antes en una campaña de Mini Shai-Hulud, fueron reactivadas por su mantenedor. Estuvieron disponibles más de una semana aunque seguían apuntando a código malicioso ^[10]. Confianza: media.

Comentario del editor: Si un pipeline de CI/CD usa una Action por etiqueta y no por hash de commit, hereda cualquier cambio sin enterarse. Fijen versiones por SHA y roten los secretos que hayan pasado por esos flujos.

Referencias