Intel MX

[Intel MX] 2026-11-13 The Gentlemen golpea Toluca y CDMX; se venden más de 2 millones de registros laborales

13 de noviembre de 2026

ransomware
edomex
cdmx
nacional
manufactura
retail
servicios
tecnologia
filtracion-datos
datos-personales
datos-fiscales
credenciales
vulnerabilidad
malware
phishing
confianza-alta
confianza-media

¿Tu organización está bajo un ataque de ransomware ahora? Llama al (800) 649-0625 o identifica la variante.

Dos empresas mexicanas aparecen en un sitio de filtraciones, se vende un padrón laboral y fue una semana difícil para quienes administran la TI de terceros.

El grupo The Gentlemen sumó a su lista a dos empresas mexicanas: una fabricante de productos infantiles de Toluca y un grupo de servicios inmobiliarios y contables de la Ciudad de México. También se reporta la venta de más de 2 millones de registros de un "buró laboral" con RFC, CURP y nombres. En el plano global, la caída de Microsoft 365 desató rumores de ciberataque que la empresa descartó. Check Point y N-able enfrentan zero-days explotados activamente, un malware tipo gusano ataca a proveedores de servicios administrados (MSP) mediante ScreenConnect y una campaña en GitHub usa miles de cuentas comprometidas para robar credenciales de nube. Además, hubo arrestos masivos y acciones judiciales contra el cibercrimen, y la Guardia Nacional realiza una jornada contra el ciberfraude antes del Buen Fin.

The Gentlemen reclama a Prinsel y a Grupo San Cristóbal

El grupo de ransomware The Gentlemen publicó como víctimas a dos organizaciones mexicanas. La primera es Productos Infantiles Selectos S.A. de C.V. (Prinsel). Se fundó en 1960 en Toluca de Lerdo, Estado de México, y fabrica y distribuye calzado, ropa y accesorios infantiles. Tiene entre 200 y 500 empleados y vende por medio de tiendas y redes de distribución. La segunda es Grupo San Cristóbal, con sede en la Ciudad de México, que ofrece administración de inmuebles, contabilidad, construcción, seguros y servicios legales en más de 10 unidades de negocio. Según su propia descripción, tiene más de 250 empleados, 500 clientes y 2,800 propiedades administradas. Por ahora es solo un reclamo del grupo, sin confirmación independiente de la intrusión ni del alcance de los datos comprometidos. Confianza: alta en la publicación del reclamo.

Comentario del editor: El caso de Grupo San Cristóbal es el que más preocupa por lo que podría haber detrás. Una firma que se encarga de la contabilidad, los seguros y los asuntos legales de 2,800 propiedades probablemente guarda escrituras, datos fiscales y contratos de sus clientes. Si se confirma la filtración, el daño caería sobre todo en ellos.

Más de 2 millones de registros de un "buró laboral" a la venta

Se reporta el hackeo de un "buró laboral" en México. Se habrían vendido más de 2 millones de sus registros, con datos como RFC, CURP y nombres ^[1]. La información disponible no identifica a la plataforma afectada ni al vendedor, y tampoco detalla el método de acceso. Confianza: media.

Comentario del editor: Las bases de antecedentes laborales sirven para suplantar identidades. Con el RFC, la CURP y el nombre completo de una persona se pueden armar fraudes de contratación y pedir créditos a su nombre. También sirven para crear phishing muy convincente justo antes del Buen Fin.

Microsoft 365 se cae y Microsoft descarta un ciberataque

Una interrupción masiva afectó a Outlook, Teams y Copilot en todo el mundo. Los usuarios reportaron problemas de conexión mientras Microsoft investigaba ^[3]. En México circularon versiones de que se trataba de un ciberataque, porque la caída coincidió con una alerta de seguridad en Estados Unidos ^[2]. Microsoft descartó esa hipótesis ^[4]. Confianza: media.

Comentario del editor: Que dos hechos coincidan en el tiempo no prueba que estén relacionados. La lección práctica es otra: muchas organizaciones mexicanas dependen de un solo proveedor para el correo y la colaboración, y pocas tienen un canal alterno cuando ese servicio falla.

Check Point corrige un zero-day que da acceso root

Check Point Software publicó hotfixes de emergencia para una falla de severidad alta que los atacantes explotan desde finales de octubre. La vulnerabilidad les permite obtener privilegios de root y mantener persistencia en los equipos vulnerables ^[5]. Confianza: media.

Comentario del editor: La falla lleva semanas siendo explotada, así que instalar el parche no basta. Hay que revisar si el equipo fue comprometido antes del hotfix, porque la persistencia que dejaron los atacantes puede seguir ahí.

Proveedores de servicios administrados bajo ataque: N-able y ScreenConnect

Los atacantes explotan un zero-day en N-able N-central llamado "4EverAble2Shell" apenas horas después de que se publicó una prueba de concepto. Lo usan para comprometer servidores e instalar mineros de criptomonedas. Los investigadores contabilizan al menos 21 sistemas afectados, 19 de ellos con la actualización de seguridad más reciente ^[6]. Por otro lado, en los ataques recientes contra ScreenConnect se usó un kit de malware tipo gusano llamado SCKit. Está diseñado para pasar de los equipos de clientes infectados a las computadoras de los técnicos del MSP y, desde ahí, comprometer otras redes administradas ^[7]. Confianza: media.

Comentario del editor: Muchas pymes mexicanas tercerizan su TI con un proveedor de servicios administrados. Esta semana conviene preguntarle qué herramientas de administración remota usa, qué versiones tiene instaladas y cómo separa el acceso a cada cliente.

wfx-loot: 4,837 cuentas de GitHub comprometidas para robar credenciales de nube

Una campaña llamada "wfx-loot" usó 4,837 cuentas comprometidas de GitHub para revisar 61,764 repositorios, abrir pull requests y subir malware que roba secretos ^[8]. Confianza: media.

Ofensiva contra el cibercrimen: 354 detenidos y orden judicial sobre 1,200 millones de dólares

Una operación internacional conjunta terminó con 354 detenidos, entre vendedores y compradores de los mercados de la dark web Archetyp, Nemesis, Tor2Door, Bohemia y Kingdom ^[9]. Por separado, el Departamento de Justicia y el FBI de Estados Unidos anunciaron una autorización judicial para incautar o retener más de 1,200 millones de dólares robados a Binance. También anunciaron el desmantelamiento de la infraestructura de "FaceStealer". Ambas acciones responden a robos de criptomonedas vinculados a Corea del Norte ^[10]. Confianza: media.

Guardia Nacional realiza una jornada contra el ciberfraude antes del Buen Fin

Antes del Buen Fin, la Guardia Nacional organiza una jornada de prevención contra el ciberfraude ^[11]. Confianza: media.

Comentario del editor: Esta jornada coincide con la venta de millones de registros con CURP y RFC. Con esos datos, un mensaje de "confirma tu compra" o "tu pedido está retenido" que incluye tu nombre y tu RFC se vuelve mucho más creíble.

Referencias