Alarma Log4j matizada, 700 claves AWS activas y amenazas estatales: la semana de la seguridad

La falsa alarma de Log4j: RCE posible, pero condiciones restringidas

Los desarrolladores de Apache Log4j 2 han matizado los rumores sobre una nueva vulnerabilidad crítica con ejecución remota de código. En los últimos días había circulado un informe sobre un posible fallo explotable de forma remota; el equipo del proyecto confirmó que existe una vía hacia la RCE, pero habló de "no hallazgo de seguridad conocido" y subrayó que la explotación requiere circunstancias muy específicas. El tiempo limitado de los voluntarios, como señalaron los desarrolladores, puede emplearse de forma más útil en otros asuntos. La sombra de Log4Shell, la vulnerabilidad que hace unos años sacudió a todo el sector, explica la reacción inicial, pero esta vez el riesgo residual parece contenido. No se publicaron mitigaciones específicas; los desarrolladores consideran el problema un no hallazgo.

Más de 700 claves AWS activas y 28.000 repositorios Git expuestos

Una investigación de Truffle Security identificó más de 700 claves AWS corporativas aún activas que otorgaban control total de las cuentas. El hallazgo surge de la revisión de 10.616 claves AWS expuestas entre 2022 y 2026. En paralelo, Intruder escaneó 3,5 millones de hosts activos y encontró 28.000 repositorios Git expuestos. De estos surgieron más de 400 claves AWS, 107 claves de Stripe, 123 claves de OpenAI, 80 tokens de Telegram y 17 tokens de acceso personal de GitHub. Algunas de estas credenciales seguían funcionando y podían permitir acceso a entornos cloud, código fuente privado y sistemas sensibles. No se dieron a conocer medidas de mitigación inmediatas por parte de las empresas involucradas.

Ransomware: LockBit apunta a U.S. Bank, Akira golpea a Paylogix, Manchester rechaza el rescate

U.S. Bancorp declaró que las reivindicaciones de ransomware que citan su nombre derivan de un posible incidente en un proveedor de cuarta parte, externo al entorno del banco. La compañía afirmó que por el momento no hay evidencia de compromiso de sistemas, redes o repositorios de datos del banco, a pesar de que LockBit amenazó con publicar datos que afirma haber robado. En otro caso, Paylogix comunicó que los atacantes sustrajeron archivos de su red durante varios días en noviembre, exponiendo números de seguridad social, datos financieros y de seguros, datos médicos, números de pasaporte y códigos fiscales. Al menos 67.789 personas resultan afectadas entre Carolina del Sur, Nuevo Hampshire y Vermont; el ataque fue reivindicado por el grupo Akira. Manchester Airports Group, por último, sufrió un acceso a datos personales de aproximadamente 8,7 millones de clientes, incluyendo direcciones de correo electrónico, números de teléfono, matrículas de vehículos y códigos postales. Se pidió un rescate por la devolución de los datos, pero la empresa se negó a pagar. Declaró que las operaciones aeroportuarias, la seguridad de los pasajeros y la seguridad aérea no se vieron comprometidas.

La filtración de Carhartt matizada: la mitad de los correos era sintética

Troy Hunt descubrió que una gran parte de los datos atribuidos a la presunta filtración de Carhartt estaba compuesta en realidad por datos de referencia sintéticos TPC-DS mezclados con información auténtica de los clientes. Su análisis estima que aproximadamente la mitad de los 24,8 millones de direcciones de correo electrónico eran registros ficticios, reduciendo significativamente las reivindicaciones iniciales de ShinyHunters sobre la cantidad de datos reales robados. El hallazgo pone en guardia contra la tendencia a inflar las cifras de las filtraciones sin verificar la calidad de los conjuntos de datos.

Malware bancario móvil: IA como amplificador contra 800 apps en EMEA

Zimperium detectó 30 familias de malware móvil que atacan activamente a más de 800 aplicaciones bancarias y fintech en 44 países de la región EMEA. La investigación destaca un creciente uso de la inteligencia artificial a lo largo de la cadena de ataque: desde señuelos localizados y scripts para exploits hasta páginas de phishing y superposiciones más creíbles. La IA permite adaptar las campañas a los idiomas y contextos locales, haciendo que los ataques sean más difíciles de reconocer. No se proporcionaron indicaciones sobre cómo mitigar específicamente esta amenaza.

Amenazas estatales: entrenamiento ciber ruso y sanciones de EE. UU. a Irán

Registros filtrados de la Universidad Bauman revelan un programa de larga duración que ha entrenado a unos 250 estudiantes, entre personal de carrera y reservistas, para operaciones de inteligencia militar y cibernética rusas. El material cubre técnicas ofensivas y defensivas, análisis de malware, actividades de inteligencia y destinos militares; los graduados están vinculados a unidades asociadas a los grupos rusos APT28 y Sandworm. En el frente iraní, el Departamento del Tesoro de Estados Unidos sancionó a ciberactores vinculados al MOIS, acusándolos de comprometer infraestructuras críticas y de realizar robos informáticos con fines financieros. Las personas designadas son Keyvan Fayyaz Ghareh Blagh, Saber Shahbazi Balujeh y Mohammad Reza Kadkhoda'i, acusados de intrusiones y robo de datos. Cuatro de los 17 ciberactores iraníes imputados por el FBI fueron incluidos en la medida.

Minimus cierra y es adquirida por Echo

Minimus, proveedor de imágenes de contenedores endurecidas, anunció el cese de sus operaciones tras haber recaudado 51 millones de dólares en 2025, afirmando que el clima económico y de inversión no le permitió continuar. El cierre se produce menos de un mes después de su presencia en la conferencia Black Hat. Poco después del anuncio, Echo declaró haber adquirido la empresa y su tecnología.