Intel MX

[Intel MX] 2026-10-31 Qilin suma cuatro víctimas mexicanas y Rhysida exhibe nómina poblana

31 de octubre de 2026

nacional
aguascalientes
puebla
cdmx
educacion
manufactura
salud
servicios
tecnologia
finanzas
ransomware
doble-extorsion
filtracion-datos
datos-personales
datos-fiscales
vulnerabilidad
cve
malware
confianza-alta
confianza-media

Siete víctimas mexicanas, cuatro grupos de ransomware y un robo cripto que se volvió noticia nacional.

En los últimos días, cuatro grupos de ransomware publicaron víctimas en México. Qilin aportó cuatro: una farmacia, un despacho de asesores, un corporativo y una empresa de tecnología. Safepay reclamó el dominio de la Universidad Autónoma de Aguascalientes. Rhysida dice tener los expedientes de recursos humanos de una papelera poblana, con CURP, RFC y números del IMSS. The Gentlemen sumó a una empresa capitalina de saneamiento. Fuera del ransomware, la prensa mexicana se volcó sobre el robo a Binance, que se estima en 6,300 millones de dólares y se atribuye a Corea del Norte. En el frente técnico, CISA confirmó que ya se explota una falla de severidad máxima en GitLab, un grupo APT usa un bypass de autenticación en Cisco SD-WAN y se reportó un RCE como root en el kernel de Linux. Además, una extensión maliciosa de Claude Code instaló puertas traseras SSH a desarrolladores.

Qilin publica cuatro organizaciones mexicanas en un solo día

El grupo Qilin agregó a su sitio de filtraciones cuatro organizaciones mexicanas: Farmacia I (salud), Innoe Asesores (servicios profesionales), Grupo Ciosa, SAPI de CV, y Sistemas Visuales 360 (tecnología). Ninguna de las cuatro publicaciones dice qué datos se habrían robado ni cuánto. Tampoco hay plazos de publicación visibles ni confirmación de las empresas. Por ahora son reclamos del atacante, con confianza alta en cuanto a la publicación y sin verificación independiente del contenido.

Comentario del editor: Cuatro víctimas a la vez y sin descripción es la forma habitual en que Qilin publica en lote: primero exhibe el nombre para presionar y deja los detalles para después. Hay que estar atentos a si en los próximos días aparecen muestras de datos de la farmacia, que por su giro podría tener información de pacientes y recetas.

Safepay reclama a la Universidad Autónoma de Aguascalientes

El grupo Safepay publicó como víctima el dominio uaa.mx, que corresponde a la Universidad Autónoma de Aguascalientes. Es una institución pública que imparte licenciatura y posgrado en ingeniería, ciencias naturales, ciencias de la salud y ciencias sociales, entre otras áreas. La publicación no detalla el volumen ni el tipo de información.

Comentario del editor: Una universidad pública estatal guarda expedientes de estudiantes, muchos de ellos menores al ingresar a bachillerato o licenciatura, además de datos de nómina e investigación. Si se confirma la filtración, la exposición no se limita a la institución: abarca a toda su comunidad.

Rhysida dice tener la nómina completa de una papelera de Puebla

Rhysida publicó a Cipsa Industrias, S.A. de C.V., que identifica como Compañía Industrial Papelera Poblana (CIPPSA) y Tubos y Empaques de Puebla (TEPSA / KJAS TEPSA), fabricante mexicano de cartón corrugado, empaques y tubos de papel. Según el grupo, tiene los expedientes completos de recursos humanos: nombres, fechas de nacimiento, domicilios, teléfonos, correos personales y corporativos, CURP, RFC, números del IMSS, salarios y fotografías de gafetes de empleados.

Comentario del editor: Es el reclamo más grave del día por el tipo de datos. Con CURP, RFC, NSS y domicilio juntos alcanza para suplantar identidad, tramitar créditos o hacer fraudes con el IMSS. Si se publica el material, los empleados de la empresa deberían vigilar su historial crediticio y sus semanas cotizadas.

The Gentlemen exhibe a Grupo Sanirent

The Gentlemen publicó como víctima a Grupo Sanirent (sanirent.com.mx), empresa mexicana con origen en la Ciudad de México. Se dedica a la renta de sanitarios portátiles y oficinas móviles, a servicios sépticos y al manejo de residuos. La publicación no especifica qué datos se habrían robado.

Robo a Binance: 6,300 mdd y la pista norcoreana

Medios mexicanos reportan un robo a Binance de unos 6,300 millones de dólares, que empresas de inteligencia vinculan con actores norcoreanos ^[1], ^[2]. Según los reportes, se congeló parte de lo robado, alrededor de 2,500 millones de dólares, y el precio del bitcoin cayó ^[3]. En México, Santander descartó afectaciones ^[4] y se recordó que los saldos en plataformas de criptomonedas no tienen la protección del IPAB ^[5]. Las cifras varían entre medios, de 6,000 a 6,300 millones de dólares, y el monto definitivo de las pérdidas todavía no se conoce.

Comentario del editor: La atribución a Corea del Norte coincide con lo que ya se conoce de sus grandes robos a exchanges, que suelen apuntar a la operación interna de la plataforma más que a fallas en la blockchain. Para el usuario mexicano, lo concreto es que no hay seguro de depósitos. Lo que tiene en un exchange depende por completo de la solvencia y la seguridad de ese exchange.

GitLab y Cisco SD-WAN: dos fallas críticas ya explotadas

CISA advirtió que atacantes ya explotan una vulnerabilidad de severidad máxima en GitLab que se había parchado a principios de este mes ^[6]. Por separado, un nuevo grupo APT identificado como UAT-11473 explota la CVE-2026-20127, un bypass de autenticación en los controladores Cisco Catalyst SD-WAN. Con ella instala KeyDrift, un framework de malware hecho a la medida ^[7].

Comentario del editor: Las dos fallas están en infraestructura que muchas empresas mexicanas exponen a internet sin un inventario claro: repositorios de código con secretos y el controlador de la red de sucursales. Si hay GitLab autoalojado o SD-WAN de Cisco, parchar no basta. Hay que buscar indicios de compromiso desde la fecha en que se publicó cada falla.

Falla crítica en el kernel de Linux permite root remoto vía MPTCP

Investigadores de Anthropic desarrollaron un exploit para una vulnerabilidad crítica del kernel de Linux. Permite a un atacante sin autenticación ejecutar comandos como root de forma remota en servidores con listeners de Multipath TCP (MPTCP) ^[8].

Extensión maliciosa de Claude Code en Cursor instaló puertas traseras SSH

El 29 de octubre, durante unas 11 horas, el marketplace de extensiones de Cursor distribuyó una versión maliciosa de la extensión de Claude Code para VS Code. Hasta 5,000 desarrolladores pudieron quedar expuestos a malware que instala puertas traseras SSH persistentes ^[9].

Comentario del editor: Once horas bastaron. Atacar a desarrolladores sigue rindiendo porque sus equipos guardan llaves de producción. Quien haya instalado o actualizado la extensión ese día debería revisar authorized_keys y rotar sus credenciales.

Referencias