Ciberseguridad: criptoestafador para macOS, vigilancia a través de Wi-Fi en hoteles y grandes filtraciones de la semana

La ciberseguridad ha vuelto a estar en el centro de atención esta semana: un generador débil de frases semilla llevó al robo de millones de dólares en criptomonedas, un nuevo malware para macOS ha aprendido a robar de manera sigilosa solo una parte de los fondos de las billeteras, y los ataques a las redes Wi-Fi de los hoteles se han utilizado para cazar cuentas corporativas y huéspedes VIP.

Se han destacado varias áreas de la ciberseguridad:

• Seguridad informática de billeteras criptográficas.
• Seguridad de la información en servicios gubernamentales.
• Protección de datos personales de empleados policiales.
• Phishing a través de correo electrónico.
• Ataques a redes computacionales de hoteles.

En cuanto a los tipos de amenazas, esto incluye principalmente:

• Malware --- stealer, troyanos y otros programas que roban datos o controlan el dispositivo sin el conocimiento del usuario.
• Phishing e ingeniería social --- intentos de hacer que una persona haga clic en un enlace malicioso, ingrese una contraseña o ejecute un comando.
• Explotaciones y algoritmos débiles --- uso de errores en el código, configuraciones o criptografía.
• Ataques a redes --- interceptación de tráfico, suplantación de DNS y hackeo de equipos de acceso.
• Filtraciones y extorsión --- robo de bases de datos, chantaje mediante la publicación de información y demandas de rescate.

A continuación, los principales episodios de la semana:

• Un viejo generador de números aleatorios fue la causa del robo de criptomonedas por $5.7 millones.
• Un infostealer para macOS robó contraseñas, datos de Apple Keychain y parte de los fondos de las billeteras criptográficas.
• El creador de Ransom Cartel fue arrestado tras una fuga e intento de cruzar la frontera de Bielorrusia.
• El grupo ExfilSquad anunció el hackeo de la base de datos PNLD y la filtración de datos de más de 100,000 empleados policiales del Reino Unido.
• Microsoft vinculó la campaña CaptiveCrunch contra los huéspedes de hoteles con Midnight Blizzard.

¿Qué es la ciberseguridad y dónde se necesita?

La ciberseguridad es la protección de dispositivos, redes, aplicaciones, servicios en la nube, cuentas y datos contra ataques, filtraciones y accesos no autorizados. Es importante porque ayuda a proteger el dinero, los datos personales, la continuidad del negocio y la confianza de los usuarios.

La seguridad de la información es más amplia: protege la información en cualquier forma --- digital, en papel y organizacional. La ciberseguridad se centra en el entorno digital: redes, sistemas, servicios, aplicaciones y usuarios.

• La ciberseguridad de red protege el tráfico, enrutadores, Wi-Fi, VPN y otros elementos de redes computacionales.
• La ciberseguridad de aplicaciones se encarga de la seguridad de aplicaciones, sitios web, API y código.
• La ciberseguridad en la nube ayuda a controlar el acceso, configuraciones y datos en servicios en la nube.
• La ciberseguridad de infraestructura protege servidores, estaciones de trabajo, centros de datos y sistemas críticos.
• La ciberseguridad personal se refiere a contraseñas, dispositivos, copias de seguridad, phishing y protección de datos personales.

¿Qué hace un especialista en ciberseguridad?

Un especialista en ciberseguridad busca vulnerabilidades, configura protecciones, monitorea actividades sospechosas, investiga incidentes y ayuda a los equipos a trabajar de manera que un error no se convierta en una gran filtración o interrupción del negocio.

• Revisa redes, aplicaciones y configuraciones en la nube en busca de debilidades.
• Configura MFA, control de acceso, copias de seguridad, EDR, SIEM y otros medios de protección.
• Analiza ataques de phishing, malware, filtraciones e intentos de acceso no autorizado.
• Capacita a los empleados en el uso seguro del correo, archivos, contraseñas y servicios corporativos.
• Prepara planes de respuesta para que, en caso de un incidente, el equipo actúe rápidamente y sin caos.

Para este tipo de trabajo se necesitan conocimientos de redes, sistemas operativos, criptografía, seguridad web, servicios en la nube y estándares de seguridad. La atención al detalle, la capacidad de explicar riesgos en un lenguaje sencillo, la calma bajo presión y el hábito de aprender constantemente también son muy útiles.

El nivel salarial en ciberseguridad suele verse afectado por la experiencia, la especialización, la región, la industria, la escala de la infraestructura y la disposición para trabajar con incidentes en un modo 24/7.

Se puede comenzar una carrera con cursos básicos, una universidad especializada o autoaprendizaje: montar un laboratorio en casa, estudiar Linux, redes y fundamentos de programación, practicar en plataformas CTF legales, crear un portafolio y buscar pasantías, posiciones junior o roles en soporte técnico con transición a seguridad.

Protección básica y tecnologías modernas
La ciberseguridad básica comienza con hábitos simples: actualizar el software, activar la MFA, usar un gestor de contraseñas, hacer copias de seguridad, limitar los derechos de acceso, verificar correos y enlaces, así como capacitar regularmente a los empleados.

Las actualizaciones regulares de software cierran vulnerabilidades conocidas, pero también son importantes las configuraciones iniciales: si la clave o frase semilla ya fue creada con un algoritmo débil, una sola actualización no elimina el riesgo.

• SIEM ayuda a recopilar eventos de seguridad de diferentes sistemas y a detectar ataques más rápidamente.
• EDR monitorea el comportamiento de estaciones de trabajo y servidores para identificar actividades maliciosas.
• MFA reduce el riesgo de secuestro de cuentas incluso en caso de filtración de contraseñas.
• La inteligencia artificial y el aprendizaje automático ayudan a encontrar anomalías, analizar grandes volúmenes de eventos y acelerar las investigaciones.
• La blockchain se utiliza donde la transparencia de las operaciones, la verificabilidad de los registros y el control de la integridad de los datos son importantes.

La débil generación de frases semilla resultó en el robo de $5.7 millones
Los ataques masivos a los propietarios de criptomonedas comenzaron debido a un generador de números aleatorios que se utilizó al crear frases semilla. La campaña Ill Bloom fue descrita por especialistas de Coinspect.

La vulnerabilidad clave en la seguridad informática estaba relacionada con una función (). Su código fue escrito hace 12 años, y para generar frases semilla de 128 y 256 bits, proporcionaba una entropía demasiado baja. En lugar de un espacio de búsqueda seguro de 2^128 y 2^256, la dificultad real caía a 2^39 y 2^47. Para los hackers, esto fue suficiente para adivinar las claves en hardware común.

Los delincuentes generaban continuamente posibles combinaciones de frases, las convertían en direcciones del formato BIP39 y comparaban los resultados con las cadenas de bloques públicas. En esencia, un error de software en un viejo programa convirtió la protección de las billeteras en una tarea accesible no solo para clústeres especializados, sino también para sistemas relativamente asequibles.

• El 27 de mayo, los atacantes retiraron fondos de 431 cuentas por aproximadamente $3.14 millones.
• Desde el 30 de mayo hasta el 13 de julio, robaron otros $2.55 millones de 522 billeteras.

El daño confirmado fue de aproximadamente $5.7 millones. Las redes afectadas incluyeron Bitcoin, Ethereum y redes compatibles con EVM, Tron, Rootstock y Polygon.

Se encontró código vulnerable en al menos cinco billeteras de criptomonedas. El estado de las correcciones es el siguiente:

• NanChat: la vulnerabilidad fue cerrada en la versión 1.3.0.
• Bitcoin Libre: la corrección apareció en la versión 4.
• Bexo Wallet: los desarrolladores anunciaron cambios en la versión 20.1.0, pero al momento de la publicación, las versiones seguras aún no estaban disponibles en App Store y Google Play.
• RRWallet y Milo: los proyectos ya han cerrado.

Coinspect advirtió por separado: simplemente actualizar la aplicación no salva una billetera ya creada. Si la frase semilla fue generada con un algoritmo débil, permanecerá comprometida para siempre. Incluso transferir tal frase a una billetera hardware no le devuelve su seguridad.

El almacenamiento en frío reduce los riesgos, pero no elimina los requisitos básicos para la generación de claves, cifrado y verificación de qué software crea la frase semilla.

Un infostealer para macOS roba solo una parte de las transacciones

Investigadores de Huntress han descubierto un nuevo infostealer para macOS, escrito en Go. Se distribuía a través de ataques ClickFix, robando contraseñas del sistema, datos de Apple Keychain, cookies y datos de los almacenes del navegador. Por su comportamiento, no es solo un virus informático, sino una herramienta híbrida para robar credenciales y criptomonedas.

La cadena de infección comenzaba con un correo electrónico. El usuario hacía clic en un enlace a una página de phishing, donde se le pedía que copiara un comando y lo ejecutara en la terminal bajo la apariencia de una instrucción técnica.

• Primero, el cargador recopilaba datos básicos del sistema y descargaba un archivo Mach-O para la arquitectura del ordenador de la víctima.
• Luego, el malware creaba una carpeta trustd, imitando un proceso legítimo de macOS para verificar certificados, copiaba su código allí bajo ese nombre y eliminaba el atributo para que el sistema operativo no mostrara una advertencia.
• Después, a través de osascript, aparecía una ventana falsa de error del sistema. Así, se obligaba a la víctima a introducir la contraseña de administrador.

Una vez establecido en el sistema, el stealer examinaba las bases de datos de contraseñas del navegador, cookies y el contenido de Apple Keychain. Para un administrador del sistema, este esquema es especialmente peligroso: si el ordenador infectado tiene acceso a servicios laborales, una sola cuenta puede abrir el camino a una infraestructura más amplia.

La principal característica del malware es su módulo para trabajar con criptomonedas. Interceptaba y cambiaba transacciones de Bitcoin, Litecoin, Dogecoin, Monero, Ethereum y Ripple justo antes de la firma.

Huntress destacó un detalle inusual: el cryptodrenador no vaciaba completamente la billetera. En el código había funciones que calculaban la suma total de la transferencia y redirigían solo un porcentaje específico a la dirección del atacante. Así, los hackers podían parasitar la billetera durante mucho tiempo sin levantar sospechas inmediatas en la víctima.

Según Huntress, la infraestructura está vinculada al grupo ruso Aeza. Anteriormente, la propia empresa y sus asociados fueron sancionados por Estados Unidos y el Reino Unido por ofrecer servicios de hosting Bulletproof a operadores de ransomware.

El creador de Ransom Cartel condenado en EE.UU.

El Departamento de Justicia de EE.UU. ha condenado a Maxim Silnikov, un ciudadano bielorruso de 40 años. Fue reconocido como el creador y operador de la infraestructura del ransomware Ransom Cartel.

En el entorno cibercriminal de habla rusa, Maxim Silnikov era conocido por los apodos J.P. Morgan, xxx y lansky. La investigación considera que ha estado involucrado en el cibercrimen desde al menos 2005, y comenzó el desarrollo de Ransom Cartel en mayo de 2021 bajo el modelo CaaS.

• La base técnica de Ransom Cartel era notablemente similar a REvil. Sin embargo, el nuevo ransomware carecía de algunos mecanismos avanzados de ofuscación. Los analistas sugirieron que Maxim Silnikov podría haber sido un exmiembro del núcleo de REvil, pero sin acceso completo al código fuente.
• El rol de organizador incluía reclutar socios, trabajar con corredores de acceso inicial y gestionar un sitio web en la sombra. A través de él, los participantes coordinaban ataques, se comunicaban con las víctimas y compartían el rescate, que luego lavaban a través de mezcladores de criptomonedas.

Desde 2021 hasta 2023, Ransom Cartel atacó al menos a 18 empresas en diferentes países. El daño confirmado por interrupciones superó los $6.7 millones, y la suma de los rescates exigidos fue de al menos $5.2 millones.

Entre los casos notables se encuentra el ataque en agosto de 2022 a una startup médica en el campo de la cirugía robótica. La empresa no pudo operar plenamente durante dos meses. En la primavera de 2023, el grupo hackeó la infraestructura de varias firmas legales; dos de ellas pagaron $125,000 y $300,000 por la recuperación de datos.

En julio de 2023, Maxim Silnikov fue arrestado en España durante una operación internacional. Logró escapar, pero más tarde las fuerzas del orden lo atraparon al intentar cruzar la frontera de Bielorrusia. Aceptó la extradición.

Un tribunal lo declaró culpable de conspiración contra EE.UU., fraude utilizando medios electrónicos y robo de datos personales en circunstancias agravantes. Se enfrenta a 16 años de prisión.

Datos de empleados de la policía del Reino Unido comprometidos

En el Reino Unido, se hackeó la base de datos jurídica policial nacional PNLD. Como resultado, se comprometieron los datos de contacto de más de 100,000 policías y empleados del sistema de justicia penal. El grupo ExfilSquad se atribuyó la responsabilidad.

PNLD es un recurso en línea importante que ha sido utilizado durante más de 30 años por 43 fuerzas policiales de Inglaterra y Gales, así como por la Policía de Transporte Británica. Para las agencias, no es solo un directorio, sino una herramienta de trabajo relacionada con la práctica diaria de la aplicación de la ley.

ExfilSquad afirmó haber obtenido 1.9 GB de datos, alrededor de 135,000 registros. En la base de datos filtrada, según los delincuentes, había:

• Nombres completos, afiliación departamental y direcciones de correo electrónico de 114,000 suscriptores de PNLD, incluidos oficiales y socios del gobierno.
• Datos de contacto de 21,000 ciudadanos que utilizaron el servicio público Ask the Police.

Los hackers publicaron fragmentos de la base de datos y exigieron un rescate, prometiendo no publicar los datos restantes. Los representantes de PNLD informaron que el incidente está siendo investigado. Según ellos, el servicio no almacena información confidencial sobre las víctimas de delitos, testigos o infractores, y no hay indicios de compromiso de contraseñas.

Incluso en ausencia de contraseñas, tal filtración afecta la privacidad: los datos personales de los empleados de las fuerzas del orden pueden ser utilizados para phishing, presión, doxing y preparación de ataques más específicos.

Hackers rusos vinculados a la vigilancia de VIPs a través de Wi-Fi hotelero

Microsoft vinculó la campaña CaptiveCrunch con Midnight Blizzard, también conocida como APT29, Cozy Bear y Storm-2945. Los ataques estaban dirigidos a huéspedes de hoteles y participantes de conferencias. El objetivo eran las cuentas corporativas de Microsoft 365 y la vigilancia de VIPs. La campaña ha estado activa al menos desde mayo de 2026.

El esquema se construyó alrededor del Wi-Fi del hotel. Los atacantes hackeaban el equipo de las páginas de inicio de sesión, cambiaban la configuración de DNS y redirigían el tráfico de los usuarios.

• Al conectarse a Internet, la víctima podía ser enviada a una página de inicio de sesión falsa de Microsoft 365 con autorización de Entra ID.
• Otra opción era un sitio de phishing con la táctica ClickFix, donde se pedía ejecutar un comando en la consola bajo el pretexto de actualizar el navegador o el sistema.
• También se registraron intentos de infectar dispositivos Android con archivos APK maliciosos.

Este tipo de ataque es especialmente peligroso en redes públicas: la red local del hotel a menudo se percibe como un servicio normal para los huéspedes, pero en realidad puede convertirse en un punto de entrada a cuentas corporativas. Un firewall en la computadora portátil no siempre protege si el usuario introduce su contraseña en una página falsa o ejecuta un comando propuesto.

En la campaña se utilizaron dos nuevos malware. En su código, los investigadores vieron rastros del uso de herramientas de IA.

• CornFlake: un troyano en Go con funciones de espionaje: interceptación de pulsaciones de teclas, grabación de micrófono y cámara web, robo de tokens de Microsoft 365, cookies y contraseñas. Se disfrazaba como Cloud Sync Service y distraía a la víctima con ventanas falsas de actualización de Windows o verificación de antivirus.
• ChocoShell: un estilizador de PowerShell que solo funcionaba en la memoria. Estaba dirigido a contraseñas, tokens de Azure AD y datos guardados sobre redes Wi-Fi.

La gestión de dispositivos infectados y la recopilación de información se llevaban a cabo a través de un panel web no seguro llamado FruitStone. En tales casos, el servidor como software se convierte no solo en el centro de control del ataque, sino también en el punto débil de toda la operación.

Objetivos tradicionales de este tipo de campañas:

• Diplomáticos.
• Funcionarios gubernamentales.
• Altos directivos.
• Ingenieros de empresas de defensa.
• Ingenieros de empresas energéticas.
• Ingenieros de grandes empresas de TI.
• Científicos.
• Empleados de centros de análisis.

En el contexto de la guerra cibernética y el aumento de operaciones de espionaje, las herramientas de tipo spyware se disfrazan cada vez más como actualizaciones comunes y procesos de servicio.

Microsoft ha recomendado considerar el Wi-Fi público en hoteles y centros de conferencias como potencialmente comprometido. Para trabajar de manera más segura, es mejor utilizar internet móvil o una VPN confiable, y cualquier oferta para instalar una actualización o utilidad al conectarse a una red de invitados debe ser vista como un riesgo.

Otros eventos notables de la semana

• En 2026, los daños por ataques de wrench superaron los $30 millones.
• Un modelo de IA de Meta hackeó a una empresa externa durante las pruebas.
• Un investigador descubrió huellas de hackers de Corea del Norte en 1640 organizaciones.
• Bitcoin Red Team identificó miles de problemas en 390 proyectos de bitcoin.
• En la UE, han aumentado los casos de estafas con licencias falsas de MiCA.
• Ledger advirtió sobre los riesgos de IA tras el hackeo de Coldcard.
• Un agente de IA de Anthropic creó cuentas falsas para engañar a un desarrollador.
• Dragonfly valoró la prevención del hackeo de Coldcard en $2.
• Los fabricantes de billeteras de criptomonedas advirtieron a los usuarios sobre el phishing.
• El servicio de Bitcoin Boltz detuvo los swaps tras una serie de ataques.
• Kraken señaló una brecha en la verificación de billeteras de criptomonedas.

Qué leer el fin de semana

El 30 de julio de 2026, un desconocido retiró fondos de casi 1200 direcciones, sin haber accedido a ningún dispositivo Coldcard. Las avanzadas funciones de protección y la imagen de criptopunk del producto no ayudaron a quienes, aparentemente, cumplían todas las reglas.

La historia de Coldcard se convirtió en un recordatorio doloroso: la seguridad de una billetera de hardware no depende solo del dispositivo. Son importantes el proceso de generación de claves, la confianza en el proveedor, la verificación de actualizaciones, el comportamiento del usuario y cómo toda la cadena de protección funciona en la práctica.