Intel MX

[Intel MX] 2026-11-12 ITAM se desconecta; los MSP vuelven a ser la puerta

12 de noviembre de 2026

sin-victimas-mx
cdmx
educacion
brecha
acceso-inicial
malware
ransomware
doble-extorsion
filtracion-datos
credenciales
vulnerabilidad
transporte
tecnologia
confianza-media

¿Tu organización está bajo un ataque de ransomware ahora? Llama al (800) 649-0625 o identifica la variante.

Una universidad desconectada en la CDMX y un patrón global claro: el atacante ya no rompe la puerta, usa la llave del proveedor.

Hoy no se registraron nuevas víctimas de ransomware en México. Eso no significa que haya sido un día tranquilo: el ITAM reportó un incidente de ciberseguridad que lo obligó a suspender la conexión a internet en sus campus y algunos servicios institucionales. Por ahora no hay atribución pública a ningún grupo ni confirmación de que sea ransomware. Afuera, el tema del día es la confianza heredada. Hay atacantes que entran por ScreenConnect a proveedores de servicios administrados (MSP). Un sistema heredado de Maersk terminó en una demanda de extorsión de 5 millones de dólares. Herramientas legítimas se quedan como persistencia en Linux, agentes de IA roban credenciales de AWS y un proveedor de IA expuso conversaciones de clientes de Notion. Cerramos con un aviso para administradores: los parches de Windows de octubre y noviembre están dando problemas.

El ITAM suspende servicios institucionales e internet tras un incidente de ciberseguridad

El Instituto Tecnológico Autónomo de México (ITAM) informó de un incidente de ciberseguridad. Como parte de la atención, mantiene suspendidos temporalmente la conexión a internet en sus campus y algunos servicios institucionales ^[1]. La cobertura disponible confirma el incidente, pero no detalla el vector de entrada, el alcance ni si hubo robo de información ^[2]. Hasta ahora ningún grupo de ransomware ha reclamado el ataque públicamente, así que no lo contamos como víctima de ransomware en esta edición.

Comentario del editor: Cortar internet en todos los campus es una respuesta típica cuando se sospecha que el atacante sigue dentro. Las universidades guardan expedientes de alumnos, datos financieros de las familias e investigación. Si en los próximos días aparece un reclamo en un sitio de filtraciones, el caso cambia de categoría. Vale la pena seguirlo de cerca.

Entornos de ScreenConnect comprometidos: los MSP como plataforma de distribución de malware

ConnectWise investiga una campaña activa de malware contra proveedores de servicios administrados. Los atacantes usan entornos de ScreenConnect comprometidos para instalar clientes de acceso remoto no autorizados en los equipos de los clientes, y ya hay decenas de organizaciones afectadas ^[3].

Comentario del editor: Si comprometes a un MSP, llegas a todos sus clientes. Las empresas mexicanas que subcontratan su TI deberían preguntarle hoy mismo a su proveedor si usa ScreenConnect y si ya revisó que no haya agentes remotos instalados sin autorización.

Maersk confirma una brecha y WhiteArmor exige 5 millones de dólares

Maersk confirmó que un actor de amenazas accedió sin autorización a un sistema local heredado, que llegó a la empresa con una adquisición anterior, y extrajo datos de él. Por su parte, el grupo de ransomware WhiteArmor exige 5 millones de dólares ^[4].

Comentario del editor: Las adquisiciones traen infraestructura que nadie inventarió. En logística y transporte, donde las fusiones son frecuentes, el sistema olvidado de la empresa comprada suele ser el eslabón más débil.

GSocket: persistencia en Linux que sobrevive al parche

Varios actores de amenazas abusan de GSocket, una herramienta legítima y de código abierto para acceso remoto. La usan para conservar el acceso a servidores Linux incluso después de que se parchan las vulnerabilidades por las que entraron ^[5].

Comentario del editor: Parchar no es lo mismo que limpiar. Si un servidor estuvo expuesto a una vulnerabilidad que se explotó activamente, hay que buscar puertas traseras aunque la actualización ya esté instalada.

Agentes de IA AntiFox en ataques para robar credenciales de AWS

Hay atacantes que alojan en Alibaba Cloud sus propias instancias de AntiFox, una plataforma de código abierto para pruebas de penetración con agentes de IA. Las usan contra servicios web y entornos de AWS para robar credenciales ^[6].

Una brecha en Fireworks AI expone conversaciones de Notion AI

Notion informó que una brecha de seguridad en Fireworks AI, su proveedor de infraestructura de IA, expuso transcripciones de conversaciones con Notion AI en un número reducido de espacios de trabajo ^[7].

Comentario del editor: Lo que la gente le escribe a un asistente de IA suele ser más sensible que sus documentos: borradores, estrategias, datos de clientes. Cada proveedor de IA que hay detrás de una herramienta de productividad es otro tercero con acceso a esa información.

Parches de Windows con efectos secundarios en SQL Server e instalaciones fallidas

Microsoft confirmó que las actualizaciones de Windows publicadas desde el Patch Tuesday de octubre de 2026 causan problemas de rendimiento y estabilidad en SQL Server ^[8]. También reconoció que las actualizaciones de seguridad de noviembre no se instalan en equipos con Windows 11 que tienen la actualización preliminar de octubre ^[9].

Referencias