Intel MX

[Intel MX] 2026-10-20 Qilin reclama a Salauno y la cadena de suministro de software sigue en la mira

20 de octubre de 2026

nacional
cdmx
edomex
salud
ransomware
doble-extorsion
malware
acceso-inicial
credenciales
brecha
filtracion-datos
datos-personales
tecnologia
retail
gobierno
medios
confianza-alta
confianza-media

Una víctima mexicana en salud y una semana en la que el software confiable fue el que entregó el malware.

El grupo Qilin agregó a Salauno, red mexicana de salud visual, a su lista de víctimas. Es el único caso nuevo de ransomware en México del día y todavía no se sabe qué tan grave es. El resto de la edición se repite con una incomodidad: casi todo lo que pasó llegó por canales legítimos. Hubo versiones con puerta trasera de la CLI de OVHcloud, descargas comprometidas del plugin Rank Math, servidores de actualización secuestrados en AOMEI y un acceso no autorizado que obligó a ConnectWise a suspender su servicio de respaldo en la nube. También hay ataques que pararon operaciones en Ahold Delhaize y Bullhorn, espionaje de APT28 contra contratistas de defensa de la OTAN y nuevos casos de Pegasus en Serbia, un tema que México conoce bien.

Qilin publica a Salauno como víctima

El grupo de ransomware Qilin listó a Salauno entre sus víctimas recientes. Salauno es un grupo de centros especializados en Oftalmología fundado en 2011 que ofrece servicios de salud visual en la Ciudad y el Estado de México. La reclamación no se ha verificado de forma independiente: se ha reportado que algunos listados atribuidos a Qilin incluyen reclamaciones de víctimas no verificadas o inventadas. Hasta el cierre de esta edición no hay detalles sobre el volumen ni el tipo de información supuestamente extraída, ni un comunicado de la empresa. Qilin trabaja con doble extorsión: cifra sistemas y amenaza con publicar los datos si no recibe el pago.

Comentario del editor: Una red de atención oftalmológica guarda expedientes clínicos y datos de identificación de sus pacientes. Si hay una filtración, el daño cae sobre personas que pueden quedar expuestas a fraudes posteriores. Conviene ver si en los próximos días aparece una muestra de datos, porque eso indicaría que la reclamación tiene sustento.

Herramientas de desarrollo convertidas en ladrones de secretos

OVHcloud advirtió que atacantes comprometieron su herramienta de línea de comandos de código abierto y publicaron en GitHub versiones con puerta trasera, diseñadas para robar secretos de los desarrolladores ^[1]. Además, el proyecto de programación asistida por IA OpenCode notificó a un número reducido de usuarios que quedaron expuestas las llaves de API que usaban con proveedores externos ^[2]. En México, la prensa de negocios analizó la brecha de Axios como un compromiso que no requirió un hackeo directo ^[3].

Comentario del editor: El patrón ya está claro: el atacante no entra por tu perímetro, entra por la herramienta que tu equipo instaló con confianza. Si en tu organización alguien usó estas herramientas en los últimos días, rota llaves y tokens antes de investigar, no después.

Rank Math, AOMEI y ConnectWise: el canal de actualización como vector

Algunas descargas de Rank Math PRO, plugin de SEO para WordPress, desde el sitio oficial del proveedor traían malware que instalaba puertas traseras ocultas en los sitios ^[4]. En AOMEI, los atacantes habrían comprometido servidores para distribuir malware mediante una función promocional integrada en su software de respaldo. Alteraron archivos de configuración por poco tiempo y luego los restauraron para borrar el rastro ^[5]. ConnectWise, por su parte, suspendió su servicio Cloud Backup después de confirmar un acceso no autorizado a ese entorno, un caso que se trata como ataque a la cadena de suministro ^[6].

Comentario del editor: Dos de los tres casos afectan software de respaldo, la última línea de defensa contra el ransomware. Para los proveedores de servicios administrados que atienden a pymes mexicanas con herramientas de ConnectWise, esta semana toca verificar que los respaldos sigan íntegros y aislados.

Ahold Delhaize y Bullhorn, operaciones detenidas

Ahold Delhaize, uno de los mayores grupos de supermercados del mundo, confirmó que el ataque de la semana pasada interrumpió servicios en tiendas de Europa y Estados Unidos ^[7]. La empresa atribuyó las fallas a "acciones maliciosas" y desconectó sistemas en la mayoría de sus marcas a ambos lados del Atlántico ^[8]. Por otro lado, Bullhorn, proveedor de software para agencias de reclutamiento, deshabilitó el acceso a su plataforma para contener un ciberataque que provocó una caída total del sistema ^[9].

APT28 se instala en contratistas de defensa de la OTAN

Investigadores atribuyeron a APT28 (Fancy Bear), grupo vinculado a Rusia, una campaña en la que usó una puerta trasera documentada hace poco para permanecer dentro de las redes de dos contratistas de defensa y una agencia policial en dos países aliados de la OTAN ^[10].

Pegasus en Serbia y un revés judicial para WhatsApp

Investigadores encontraron Pegasus en el teléfono del rector de la Universidad de Belgrado. Es el caso más reciente de una serie de infecciones contra figuras opositoras serbias en la antesala de las elecciones nacionales ^[11]. En Estados Unidos, un juez federal rechazó la solicitud de WhatsApp para declarar en desacato a NSO Group por supuestamente violar una orden judicial de 2025 que le prohíbe usar la aplicación para distribuir spyware. Según el juez, WhatsApp debilitó su propio caso al no aportar suficiente información ^[12].

Comentario del editor: México fue uno de los mayores clientes documentados de Pegasus y el espionaje a periodistas y activistas sigue sin resolverse por completo. Que una de las pocas vías legales que había logrado frenar a NSO pierda fuerza en tribunales no es una buena noticia para quienes en la región dependen de esa presión externa.

Nikkei suma su tercera brecha en un mes

Nikkei Inc. reveló una nueva brecha de datos que expuso 1.83 millones de registros con información personal. Es el tercer incidente que la empresa divulga en aproximadamente un mes ^[13].

Referencias