Intel MX

[Intel MX] 2026-10-21 SafePay supera 600 víctimas en infraestructura crítica y PHP prepara parches de emergencia

21 de octubre de 2026

sin-victimas-mx
nacional
ransomware
doble-extorsion
acceso-inicial
phishing
vulnerabilidad
brecha
filtracion-datos
credenciales
datos-personales
tecnologia
confianza-media

Contraseñas adivinadas, llaves robadas, criptografía débil: el día lo definen las credenciales.

Hoy no se registraron nuevas víctimas de ransomware en México. Lo más importante viene de fuera. Una alerta conjunta de Estados Unidos, Reino Unido y Alemania coloca a SafePay entre las bandas más activas, con más de 600 organizaciones de infraestructura crítica comprometidas desde 2024. PHP avisa de dos fallas críticas cuyos detalles se filtraron antes de tiempo. Unas llaves robadas de UpdraftCentral ya se usan para meter puertas traseras en sitios WordPress, y los navegadores bloquearon certificados de eMudhra con llaves privadas débiles. En el frente de datos, Zeabur cierra tras su segunda brecha. En México, la alerta del día es doméstica: el robo de cuentas de WhatsApp a través del buzón de voz.

SafePay: más de 600 organizaciones de infraestructura crítica desde 2024

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) afirma que la banda de ransomware SafePay ha vulnerado a más de 600 organizaciones de infraestructura crítica en todo el mundo desde 2024 ^[1]. Según CISA, la actividad del grupo ha afectado a empresas e infraestructura crítica en Norteamérica, Sudamérica, Europa y Australia desde agosto de 2024. El FBI, junto con agencias de ciberseguridad del Reino Unido y Alemania, la ubica "entre las más activas" y señala que obtiene el acceso inicial adivinando contraseñas, explotando vulnerabilidades y lanzando campañas de phishing contra empresas e infraestructura crítica ^[2].

Comentario del editor: Nada en ese repertorio es sofisticado, y justo por eso funciona. Una banda que entra adivinando contraseñas puede atacar a cualquiera con una VPN o un portal expuesto sin MFA, y en México hay mucho de eso. La alerta incluye a Norteamérica entre las regiones afectadas, así que no hay motivo para pensar que el país queda fuera de su alcance. Lo urgente es revisar los accesos remotos, las políticas de bloqueo por intentos fallidos y el inventario de parches.

PHP adelanta parches de emergencia por dos fallas críticas filtradas

El equipo de seguridad de PHP pidió a los administradores que se preparen para actualizaciones de emergencia que corrigen dos vulnerabilidades críticas, porque la información sobre las fallas se habría filtrado antes de su divulgación programada ^[3]. Según el aviso, las correcciones salen el miércoles 21 de octubre a las 14:00 UTC, y cada vulnerabilidad tiene una calificación de 9.2 en CVSS v4.0.

Comentario del editor: Si los detalles circularon antes del parche, los atacantes ya llevan ventaja. Como PHP corre en buena parte de la web pública, conviene tener listas desde ya las ventanas de mantenimiento y el inventario de versiones.

Llaves robadas de UpdraftCentral sirven para meter puertas traseras en WordPress

Un actor de amenazas vulneró el sitio de TeamUpdraft, desarrollador de complementos populares de respaldo y seguridad para WordPress, y pudo haber obtenido llaves de conexión de UpdraftCentral, que permiten enviar comandos a los sitios conectados. Esas llaves robadas ya se están usando para instalar puertas traseras ^[4].

Comentario del editor: Es un ataque a la cadena de suministro hecho con la misma herramienta que debía proteger al sitio. Si administras WordPress con UpdraftCentral, actualiza UpdraftPlus, elimina las llaves de conexión y revisa los usuarios administradores y los complementos instalados recientemente. Actualizar no elimina una puerta trasera que ya se haya instalado.

Mozilla, Google y Apple bloquean certificados comprometidos de eMudhra

La autoridad certificadora eMudhra revocó ocho certificados intermedios comprometidos. Investigadores encontraron que sus llaves privadas eran tan débiles que cualquiera podía recuperarlas casi al instante y falsificar certificados de confianza para sitios legítimos. Mozilla, Google y Apple ya los bloquean ^[5].

Zeabur cierra tras su segunda brecha en dos meses

La plataforma de desarrollo Zeabur anunció su cierre después de un incidente en el que un atacante usó credenciales internas filtradas, guardadas en texto plano, para comprometer su infraestructura. Se llevó más de 3.2 millones de registros de variables de entorno e información de 321,810 cuentas ^[6]. La empresa irá apagando sus servicios entre el 1 y el 31 de diciembre de 2026.

Comentario del editor: Las variables de entorno suelen guardar llaves de API, cadenas de conexión a bases de datos y tokens de terceros. Si tu equipo desplegó algo en Zeabur, debe dar esos secretos por expuestos y rotarlos ya, sin esperar al cierre de la plataforma.

México: alerta por robo de cuentas de WhatsApp a través del buzón de voz

Medios nacionales publicaron recomendaciones para desactivar el buzón de voz del celular, porque se ha convertido en una vía para robar cuentas de WhatsApp ^[7]. Es un fraude contra usuarios, no un incidente de ransomware.

Comentario del editor: Defenderse cuesta poco: activa la verificación en dos pasos de WhatsApp y cambia el PIN del buzón o desactívalo. Una cuenta robada suele usarse después para pedir dinero a los contactos, así que el daño no termina en la víctima.

Referencias