Intel MX

[Intel MX] 2026-10-25 Krybit golpea a un corporativo potosino y F5 parcha NGINX de emergencia

25 de octubre de 2026

san-luis-potosi
manufactura
ransomware
vulnerabilidad
malware
finanzas
datos-personales
biometria
confianza-alta
confianza-media

Una víctima en San Luis Potosí, tres frentes técnicos afuera y ninguno se puede dejar para el lunes.

La única víctima mexicana de hoy es Grupo Euro Corporativo, un conglomerado potosino que el grupo Krybit agregó a su lista. El resto del día es contexto con consecuencias prácticas: F5 publicó parches fuera de ciclo para tres vulnerabilidades críticas en NGINX que permiten ejecutar código, apareció un bootkit UEFI que salta Secure Boot con una falla vieja, y un análisis del mercado clandestino de verificación de identidad muestra lo fácil que es comprar un KYC aprobado. Dejamos fuera las correcciones menores de Windows y Outlook porque no son de seguridad.

Krybit reivindica ataque contra Grupo Euro Corporativo (San Luis Potosí)

El grupo de ransomware Krybit agregó a su lista de víctimas a Grupo Euro Corporativo (grupoeuro.com.mx), un conglomerado empresarial 100% potosino fundado en 1990 y clasificado en el sector manufactura. La confianza en el registro es alta. El registro no incluye datos sobre el volumen de información supuestamente robada, una posible exigencia de rescate ni el impacto en la operación.

Comentario del editor: Un conglomerado regional suele tener nómina, proveedores y datos fiscales de varias razones sociales en la misma infraestructura. Si se confirma el robo de datos, la exposición puede alcanzar a empleados y socios comerciales de toda la región, no solo a la matriz. Conviene que los proveedores del grupo estén atentos a correos de cobro o cambios de cuenta bancaria en las próximas semanas.

F5 lanza parches de emergencia para NGINX: tres fallas críticas con ejecución de código

F5 publicó parches de seguridad fuera de ciclo para varias vulnerabilidades del servidor web NGINX. Tres de ellas tienen severidad crítica y pueden permitir que un atacante ejecute código en los sistemas vulnerables ^[1].

Comentario del editor: NGINX es la puerta de entrada de buena parte de los portales públicos, bancarios y de comercio electrónico en México, muchas veces como proxy inverso que nadie tiene inventariado. Cuando un parche sale fuera de ciclo, el proveedor está diciendo que no se puede esperar a la ventana de mantenimiento normal. Revisen también las imágenes de contenedores y los appliances que traen NGINX integrado.

BlackX: un bootkit UEFI salta Secure Boot con la vieja falla Baton Drop

Un nuevo bootkit UEFI llamado BlackX, usado en una campaña de espionaje a principios de 2026, explotó la vulnerabilidad Baton Drop, que ya tiene años, para saltarse Secure Boot y cargar un controlador malicioso hecho para interferir con las soluciones de seguridad de Kaspersky y Avast ^[2].

Comentario del editor: Que funcione una falla conocida desde hace años muestra que parchar no basta si no se revocan los binarios de arranque vulnerables en la lista de exclusión de Secure Boot. Un implante en el firmware sobrevive a reinstalar el sistema operativo, así que la respuesta a incidentes en equipos críticos tiene que incluir verificar la integridad del arranque.

El mercado clandestino del KYC: documentos falsos, deepfakes y verificación en vivo

Un análisis de Flare describe cómo los ciberdelincuentes venden documentos de identidad falsificados, videos deepfake y servicios de verificación en vivo para burlar los controles Know Your Client (KYC). También documenta las técnicas para crear y mantener cuentas verificadas fraudulentas ^[3].

Comentario del editor: Para la banca y las fintech mexicanas, que basan el alta remota en una INE escaneada y una prueba de vida, esto ya es una amenaza operativa directa. Una cuenta verificada fraudulenta sirve como cuenta mula, para lavado y para fraude de crédito. La prueba de vida pasiva por sí sola ya no alcanza.

Referencias