¿Plataforma centralizada?

Forg365 proporciona a los operadores una plataforma centralizada para crear campañas de phishing, obtener credenciales y datos de sesión, y gestionar las actividades posteriores a la vulneración de la seguridad. El servicio admite ataques de phishing mediante código de dispositivo y ataques AiTM, e incluye una extensión para navegador, ForgCookie, que puede secuestrar sesiones activas de SSO de Microsoft para mantener el acceso a las cuentas comprometidas.

Ataque a Microsoft 365

Forg365 integra varias técnicas avanzadas de ataque a Microsoft 365 en un servicio de suscripción, lo que reduce significativamente los conocimientos técnicos necesarios para llevar a cabo sofisticadas campañas de vulneración de cuentas. Al aprovecharse de los flujos de autenticación legítimos de Microsoft, los atacantes pueden capturar tokens de sesión y obtener acceso sin depender únicamente de contraseñas robadas.

Dado que estos eventos de autenticación suelen parecer legítimos, los controles de seguridad tradicionales pueden tener dificultades para distinguir la actividad maliciosa del comportamiento normal del usuario. La capacidad de la plataforma para secuestrar y reutilizar sesiones autenticadas también permite a los atacantes eludir la autenticación multifactor y mantener el acceso durante períodos prolongados.

¿Qué puedes hacer para reducir el riesgo?

Tras lograr una intrusión exitosa, los ciberdelincuentes pueden realizar ataques de suplantación de identidad por correo electrónico (BEC), robar datos confidenciales, apoderarse de cuentas de usuario y enviar comunicaciones fraudulentas desde identidades de confianza. Los atacantes también pueden establecer acceso persistente a buzones de correo y recursos de Microsoft 365, lo que les permite seguir operando incluso después de que se hayan cambiado las credenciales.

La información más valiosa no siempre es la más evidente

• Capacite a los usuarios para que reconozcan las solicitudes de autenticación sospechosas, verifiquen las solicitudes de inicio de sesión inesperadas a través de canales de confianza y eviten introducir códigos de inicio de sesión recibidos por correo electrónico, chat o invitaciones a reuniones.
• Recuerde a los usuarios que traten con precaución los mensajes urgentes o inesperados, incluso cuando parezcan provenir de contactos de confianza, proveedores o personal de TI.
• Restrinja o desactive la autenticación mediante código de dispositivo de Microsoft en Entra ID cuando no sea necesaria.
• Implemente la autenticación multifactor (MFA) resistente al phishing, como las claves de acceso FIDO2/WebAuthn.
• Utilice políticas de acceso condicional para limitar el acceso a dispositivos compatibles y ubicaciones de confianza.
• Finalice las sesiones activas, revoque los tokens de actualización y elimine los permisos OAuth no autorizados tras una posible vulneración de la seguridad.
• Elimine las reglas de buzón no autorizadas, los dispositivos registrados, los autenticadores y otros mecanismos de persistencia identificados durante una investigación.

¿Qué es realmente el CPNI?

El CPNI reúne la información que las compañías de telecomunicaciones generan cada vez que utilizamos sus servicios. Incluye elementos como:

• Horarios de llamadas.
• Duración de las comunicaciones.
• Números de origen y destino.
• Registros de mensajes.
• Información relacionada con la cuenta del usuario.
• Datos asociados a la infraestructura utilizada durante la comunicación.

A simple vista parecen datos inofensivos.

Pero cuando se analizan en conjunto cuentan una historia sorprendentemente precisa.

Pueden revelar dónde trabajas, a qué hora sales de casa, con quién tienes contacto frecuente, qué hospitales visitas, qué entidades bancarias utilizas e incluso cuáles son tus hábitos diarios.

En otras palabras, los metadatos pueden convertirse en un mapa completo de tu vida.

El verdadero riesgo no está en el contenido... sino en el contexto

Muchas personas creen que mientras sus conversaciones permanezcan privadas, están protegidas.

La realidad es diferente.

Hoy los atacantes utilizan inteligencia artificial, analítica avanzada y correlación de datos para combinar millones de registros provenientes de distintas fuentes. Lo que para una empresa parecen simples registros técnicos, para un ciberdelincuente representa una mina de información.

Con suficiente información es posible identificar:

• Relaciones personales y profesionales.
• Rutinas de viaje.
• Patrones de trabajo.
• Horarios habituales.
• Ubicaciones frecuentes.

Personas con acceso privilegiado dentro de una organización.

Este tipo de inteligencia resulta extremadamente útil para campañas de phishing dirigido, fraude corporativo, robo de identidad, espionaje industrial e incluso operaciones de inteligencia patrocinadas por Estados.

Cuando los metadatos se convierten en un objetivo

Los últimos años dejaron claro que las compañías de telecomunicaciones también son objetivos prioritarios.

Diversas brechas de seguridad han expuesto registros de millones de usuarios, demostrando que no es necesario robar contraseñas para generar un enorme impacto.

En algunos casos, los atacantes obtuvieron historiales completos de llamadas y mensajes correspondientes a decenas de millones de clientes. Aunque esos registros no incluían el contenido de las conversaciones, sí permitían reconstruir redes de contacto, hábitos de comunicación y patrones de comportamiento a gran escala.

Este tipo de información tiene un enorme valor para organizaciones criminales, grupos de espionaje y actores patrocinados por gobiernos.

La privacidad ya es un asunto de seguridad nacional.

La evolución de las amenazas ha cambiado la percepción sobre los metadatos.

Lo que antes era considerado únicamente un requisito regulatorio, hoy forma parte de la estrategia de ciberseguridad de numerosos países.

Los datos de telecomunicaciones permiten identificar funcionarios, empresas estratégicas, infraestructuras críticas y relaciones entre organizaciones. En manos equivocadas, pueden utilizarse para campañas de espionaje, influencia o planificación de ataques mucho más sofisticados.

Por ello, los organismos reguladores han endurecido las obligaciones para las empresas del sector, exigiendo mejores controles de seguridad, procesos de notificación de incidentes y una mayor protección de la información de los usuarios.

¿Qué puedes hacer para reducir el riesgo?

Aunque ningún usuario puede impedir que un operador de telecomunicaciones sea víctima de un ataque, sí es posible disminuir la exposición de sus datos.

• Algunas recomendaciones incluyen:
• Activar autenticación multifactor (MFA) en todas las cuentas importantes.
• Utilizar contraseñas únicas y robustas.
• Revisar las opciones de privacidad que ofrece el operador telefónico.
• Limitar el intercambio de datos cuando sea posible.
• Evitar redes Wi-Fi públicas sin protección.
• Utilizar aplicaciones con cifrado de extremo a extremo para comunicaciones sensibles.
• Mantenerse informado sobre cambios en las políticas de privacidad de los proveedores.

La información más valiosa no siempre es la más evidente

• La ciberseguridad ya no consiste únicamente en proteger archivos o impedir el robo de contraseñas.
• Los datos que generan nuestras actividades diarias también representan un activo extremadamente valioso.
• Cada llamada, cada mensaje y cada conexión dejan una huella digital que puede utilizarse para construir un perfil detallado de una persona o de toda una organización.
• Por eso, proteger los metadatos ya no es solo una cuestión de privacidad. Es una parte esencial de cualquier estrategia moderna de seguridad.
• En un mundo donde la información es poder, incluso aquello que parece insignificante puede convertirse en el objetivo más valioso para un atacante.

ColdFusion.....

La vulnerabilidad CVE-2026-48282 es crítica en Adobe ColdFusion y permite a atacantes no autenticados ejecutar código remoto en sistemas vulnerables. Los investigadores informan que los atacantes explotan esta vulnerabilidad enviando una solicitud HTTP especialmente diseñada. Esta solicitud les permite subir un archivo malicioso a una ubicación accesible a través de la web y ejecutarlo mediante el servidor web.

La vulnerabilidad afecta a la función de Servicios de Desarrollo Remoto (RDS) de ColdFusion. Según los informes, los atacantes pueden explotarla cuando los administradores habilitan RDS y deshabilitan la autenticación. RDS no está habilitado por defecto.

HoneyPots.....

Según la información obtenida a partir de la actividad de honeypots, los atacantes comenzaron a explotar la vulnerabilidad CVE-2026-48282 a las dos horas de que Adobe la hiciera pública. Varios informes también confirman su explotación activa en la práctica.

Esta vulnerabilidad tiene la máxima calificación de gravedad y solo requiere solicitudes de baja complejidad. Además, no requiere interacción del usuario, lo que aumenta el riesgo de una vulneración generalizada, especialmente para los servidores ColdFusion conectados a internet.

ColdFusion (2025.9,2023.20)

Las organizaciones que utilizan versiones vulnerables de ColdFusion (2025.9, 2023.20 y anteriores) corren el mayor riesgo si no han aplicado los parches. El riesgo aumenta cuando los administradores habilitan RDS y deshabilitan la autenticación de RDS.

Los atacantes pueden usar solicitudes HTTP manipuladas para cargar y ejecutar código malicioso. Una explotación exitosa puede conducir a la ejecución remota de código y, potencialmente, al compromiso total del servidor.

Los servicios de monitorización externos siguen identificando numerosas instancias de ColdFusion expuestas a internet. En consecuencia, las organizaciones se enfrentan a un mayor riesgo de ataques oportunistas, robo de datos, persistencia y otras vulnerabilidades.

El camino de la ciberseguridad

• Actualiza, Adobe ColdFusion a una versión corregida. Adobe ha publicado actualizaciones de seguridad para la vulnerabilidad CVE-2026-48282 y recomienda implementarlas lo antes posible.
• Asegúrese de que RDS esté deshabilitado si no es necesario. Si es imprescindible usar RDS, verifique que la autenticación RDS esté habilitada, ya que las vulnerabilidades reportadas requieren que RDS esté habilitado y la autenticación deshabilitada.
• Identifique las instancias de ColdFusion con acceso a Internet y aplique controles compensatorios, como restricciones de acceso a la red, mientras se lleva a cabo la aplicación de parches.
• Supervise la presencia de cargas de archivos inesperadas, modificaciones de archivos no autorizadas, artefactos a los que se acceda a través de la web y comportamientos inusuales de ColdFusion que puedan indicar una posible explotación.

ColdFusion....

La vulnerabilidad CVE-2026-48282 es crítica en Adobe ColdFusion y permite a atacantes no autenticados ejecutar código remoto en sistemas vulnerables. Los investigadores informan que los atacantes explotan esta vulnerabilidad enviando una solicitud HTTP especialmente diseñada. Esta solicitud les permite subir un archivo malicioso a una ubicación accesible a través de la web y ejecutarlo mediante el servidor web.

La vulnerabilidad afecta a la función de Servicios de Desarrollo Remoto (RDS) de ColdFusion. Según los informes, los atacantes pueden explotarla cuando los administradores habilitan RDS y deshabilitan la autenticación. RDS no está habilitado por defecto.

HoneyPots.....

Según la información obtenida a partir de la actividad de honeypots, los atacantes comenzaron a explotar la vulnerabilidad CVE-2026-48282 a las dos horas de que Adobe la hiciera pública. Varios informes también confirman su explotación activa en la práctica.

Esta vulnerabilidad tiene la máxima calificación de gravedad y solo requiere solicitudes de baja complejidad. Además, no requiere interacción del usuario, lo que aumenta el riesgo de una vulneración generalizada, especialmente para los servidores ColdFusion conectados a internet.

ColdFusion (2025.9,2023.20)

Las organizaciones que utilizan versiones vulnerables de ColdFusion (2025.9, 2023.20 y anteriores) corren el mayor riesgo si no han aplicado los parches. El riesgo aumenta cuando los administradores habilitan RDS y deshabilitan la autenticación de RDS.

Los atacantes pueden usar solicitudes HTTP manipuladas para cargar y ejecutar código malicioso. Una explotación exitosa puede conducir a la ejecución remota de código y, potencialmente, al compromiso total del servidor.

Los servicios de monitorización externos siguen identificando numerosas instancias de ColdFusion expuestas a internet. En consecuencia, las organizaciones se enfrentan a un mayor riesgo de ataques oportunistas, robo de datos, persistencia y otras vulnerabilidades.

El camino de la ciberseguridad

• Actualiza, Adobe ColdFusion a una versión corregida. Adobe ha publicado actualizaciones de seguridad para la vulnerabilidad CVE-2026-48282 y recomienda implementarlas lo antes posible.
• Asegúrese de que RDS esté deshabilitado si no es necesario. Si es imprescindible usar RDS, verifique que la autenticación RDS esté habilitada, ya que las vulnerabilidades reportadas requieren que RDS esté habilitado y la autenticación deshabilitada.
• Identifique las instancias de ColdFusion con acceso a Internet y aplique controles compensatorios, como restricciones de acceso a la red, mientras se lleva a cabo la aplicación de parches.
• Supervise la presencia de cargas de archivos inesperadas, modificaciones de archivos no autorizadas, artefactos a los que se acceda a través de la web y comportamientos inusuales de ColdFusion que puedan indicar una posible explotación.

¿El peligro en la autenticación de Microsoft?

Este ataque masivo contra la identidad en la nube de Microsoft tuvo como objetivo las cuentas de Microsoft 365 y Entra ID mediante una combinación de ataques de fuerza bruta contra contraseñas, relleno de credenciales y abuso de autenticación basada en tokens. En lugar de atacar repetidamente una sola cuenta, los atacantes probaron un pequeño conjunto de credenciales probablemente válidas en múltiples cuentas y organizaciones, lo que les permitió eludir los controles de bloqueo de cuentas e identificar contraseñas débiles, reutilizadas o previamente comprometidas.

Un aspecto clave de la campaña fue el abuso de los mecanismos legítimos de autenticación de Microsoft, incluidos Azure CLI y los flujos de autenticación OAuth. Aprovechando estas herramientas de confianza, los atacantes podían obtener tokens de acceso sin activar todos los controles de seguridad tradicionales, especialmente en entornos donde las políticas de autenticación multifactor (MFA) o de acceso condicional no se aplicaban de forma sistemática.

Una vez obtenidos los tokens de acceso, los atacantes podían acceder a recursos en la nube como Exchange Online, SharePoint, OneDrive, Teams y otros servicios de Microsoft. Dado que la actividad dependía de credenciales válidas y sesiones autenticadas, a menudo parecía legítima, lo que dificultaba su detección y aumentaba el riesgo de robo de datos, fraude por correo electrónico (BEC), phishing y otras vulnerabilidades del entorno.

¿Por qué es digno de mención?

Esta campaña nos recuerda que la autenticación multifactor (MFA) por sí sola no siempre es suficiente. Si bien muchas organizaciones afectadas tenían la MFA habilitada, los atacantes pudieron explotar rutas de autenticación que no estaban totalmente protegidas por las políticas de acceso condicional. Como resultado, pueden persistir vulnerabilidades incluso cuando las organizaciones creen tener una seguridad de identidad integral.

La magnitud de la actividad fue significativa: los investigadores observaron más de 81 millones de intentos de inicio de sesión en un período de dos semanas. En lugar de recurrir a malware o a la vulneración de los sistemas, los atacantes aprovecharon las credenciales robadas, los flujos de autenticación basados en tokens y las vulnerabilidades en las políticas de seguridad para obtener acceso.

Para los equipos de seguridad, esto representa un desafío cada vez mayor. Los ataques de suplantación de identidad contra los entornos de Microsoft 365 y Entra ID siguen aumentando en escala y sofisticación, y dado que los atacantes utilizan credenciales válidas y aplicaciones legítimas, la actividad maliciosa a menudo puede parecer indistinguible de la autenticación normal del usuario.

¿Cuál es la exposición o el riesgo?

Las organizaciones que utilizan Microsoft 365, Entra ID, Azure CLI o flujos de trabajo integrados con Azure se enfrentan a un mayor riesgo. Este riesgo aumenta cuando existen contraseñas débiles, credenciales reutilizadas, una aplicación incompleta de la autenticación multifactor (MFA), políticas de acceso condicional permisivas o autenticación ROPC sin bloquear.

Una intrusión exitosa puede permitir a los atacantes:

• Obtenga tokens de acceso válidos
• Acceso al correo electrónico y a los datos en la nube.
• Enumerar usuarios y recursos
• Realizar fraudes de correo electrónico empresarial (BEC)
• Establecer la persistencia
• Abuso de aplicaciones en la nube

Muévase lateralmente a otros recursos de SaaS o Azure.

Dado que los atacantes utilizan credenciales y tokens válidos, su actividad puede eludir los controles tradicionales de los puntos finales. En muchos casos, la detección requiere visibilidad de los registros de identidad, inicio de sesión y auditoría.

• Aplicar la autenticación Multifactor de forma amplia y coherente.
• Exigir la autenticación multifactor (MFA) para todos los usuarios, no solo para los administradores.
• Aplique las políticas de autenticación multifactor a todas las aplicaciones en la nube.
• Incluir métodos de autenticación heredados y no interactivos.
• Bloquear o restringir la autenticación ROPC y heredada
• Desactive la autenticación heredada siempre que sea posible.
• Bloquea los flujos ROPC de OAuth que no admitan la autenticación Multifactor interactiva.

El futuro de la seguridad comienza antes de ser atacado

• Limite el acceso a la CLI de Azure a los usuarios que lo requieran por motivos laborales.
• Restringir el acceso a la CLI de Azure a los usuarios que no sean administradores siempre que sea posible.
• Supervise los inicios de sesión en la CLI de Azure de los usuarios que normalmente no utilizan herramientas de desarrollo o administración.
• Revisar la cobertura de acceso condicional
• Identificar las lagunas en las que la autenticación Multifactor (MFA) se aplica solo a aplicaciones, ubicaciones o grupos de usuarios específicos.
• Evite confiar únicamente en lugares de confianza.
• Asegúrese de que las políticas se apliquen activamente y no se ejecuten en modo de solo informe.
• Búsqueda de indicadores de compromiso
• Revise los registros de inicio de sesión de Entra ID para detectar la actividad de la CLI de Azure.
• Busque inicios de sesión exitosos después de un gran volumen de intentos fallidos.
• Investigar los inicios de sesión no interactivos y los eventos de emisión de tokens.
• Supervise el tráfico asociado con 2a0a:d683::/32, AS32167 y la infraestructura LSHIY relacionada.
• Revisar los inicios de sesión desde ubicaciones geográficas inusuales, nuevas direcciones IPv6 o eventos de viaje imposibles.
• Restablecer credenciales expuestas
• Restablecer la contraseña de forma forzada para las cuentas que muestren actividad sospechosa.
• Priorice a los usuarios cuyas credenciales puedan aparecer en conjuntos de datos de filtraciones de datos.
• Revocar las sesiones activas y actualizar los tokens para las cuentas que se sospechen comprometidas.
• Mejorar la higiene de contraseñas e identidad
• Implemente políticas de contraseñas estrictas y listas de contraseñas prohibidas.
• Supervise si hay credenciales reutilizadas o comprometidas.
• Fomente el uso de métodos de autenticación Multifactor (MFA) resistentes al phishing, como las claves de seguridad FIDO2, Windows Hello para empresas o la autenticación basada en certificados.
• Priorizar los indicadores de compromiso confirmados
• Un volumen de pulverización elevado por sí solo no siempre indica un problema.
• Priorice las cuentas con eventos de autenticación exitosos, emisión de tokens, actividad de sesión sospechosa o uso inusual de la CLI de Azure.

¿EvilTokens?

EvilTokens es un sofisticado kit de phishing que ataca las cuentas de Microsoft 365 abusando de la autenticación OAuth mediante código de dispositivo en lugar de robar credenciales. En vez de redirigir a las víctimas a una página de inicio de sesión falsa, las guía a través del proceso legítimo de inicio de sesión de Microsoft, engañándolas para que otorguen acceso a la cuenta. Esto permite a los atacantes obtener tokens de acceso y permisos sin necesidad de capturar la contraseña.

Este kit es particularmente difícil de usar porque su contenido de phishing está cifrado con AES-GCM y solo se descifra en el navegador de la víctima. Como resultado, muchas herramientas tradicionales de filtrado de correo electrónico, web y URL solo detectan contenido aparentemente inofensivo y pueden pasar por alto por completo el flujo de trabajo de phishing. Una vez completada la autorización, las víctimas son redirigidas a recursos legítimos de Microsoft, mientras que los atacantes mantienen el acceso continuo a la cuenta comprometida.

¿Por qué es digno de mención?

EvilTokens destaca porque abusa de los mecanismos legítimos de autenticación OAuth y de código de dispositivo, lo que permite que la actividad maliciosa se mimetice con el comportamiento normal de inicio de sesión de Microsoft. Su uso del descifrado del lado del navegador también crea un punto ciego para las herramientas de seguridad que no pueden inspeccionar el contenido web renderizado.

Este kit ha sido destacado en informes recientes de inteligencia sobre amenazas y refleja una tendencia creciente hacia los ataques de phishing centrados en la suplantación de identidad. En conjunto, estas capacidades convierten a EvilTokens en una herramienta eficaz para eludir las defensas tradicionales y atacar directamente las cuentas de Microsoft 365.

¿Cuál es la exposición o el riesgo?

Las organizaciones que dependen de Microsoft 365 se enfrentan a un mayor riesgo si los usuarios son engañados para que completen un inicio de sesión con un código de dispositivo malicioso. Dado que los atacantes obtienen tokens de acceso y permisos de OAuth en lugar de contraseñas, restablecer las contraseñas por sí solo puede no solucionar completamente el incidente. Los equipos de seguridad también deben revocar los tokens y eliminar los permisos de aplicación no autorizados.

Las cuentas comprometidas pueden permitir a los atacantes acceder a correos electrónicos, archivos, aplicaciones en la nube y otros recursos confidenciales, lo que podría derivar en robo de datos, fraude o suplantación de identidad por correo electrónico (BEC). Las organizaciones que dependen principalmente de la inspección de URL estáticas o la monitorización básica de la red pueden tener dificultades para detectar estos ataques, lo que da a los ciberdelincuentes más tiempo para operar sin ser detectados.

El futuro de la seguridad comienza antes del malware

• Refuerce los controles de OAuth y de código de dispositivo: restrinja la autenticación mediante código de dispositivo siempre que sea posible, aplique políticas de acceso condicional y revise periódicamente los permisos de las aplicaciones y las concesiones de consentimiento.
• Revoca tokens, no solo contraseñas: restablece contraseñas, revoca tokens de actualización, cierra sesiones activas y elimina consentimientos de aplicaciones sospechosas tras una posible vulneración de seguridad.
• Implementar la autenticación multifactor (MFA) resistente al phishing: Exigir la MFA para todos los usuarios y dar prioridad a las aplicaciones de autenticación o las claves de seguridad sobre los métodos basados en SMS.
• Implemente protección antiphishing que tenga en cuenta el navegador: utilice herramientas de seguridad que puedan inspeccionar las páginas web renderizadas y detectar contenido de phishing oculto mediante el descifrado del lado del navegador.
• Supervise la actividad de identidad: esté atento a inicios de sesión inusuales, inicios de sesión mediante código de dispositivo, nuevas aplicaciones con privilegios y concesiones de consentimiento inesperadas.
• Refuerce la seguridad del correo electrónico y la web: bloquee los indicadores conocidos de EvilTokens utilizando tecnologías de detección basadas tanto en la reputación como en el comportamiento.
  
• Capacite a los usuarios: Enseñe a los empleados a tener cuidado con las solicitudes de autenticación que no hayan iniciado, incluso cuando aparezcan en páginas legítimas de Microsoft.
  
• Realizar una búsqueda de amenazas: Investigar los registros en busca de evidencia de abuso de código de dispositivo, actividad OAuth sospechosa y otros indicadores relacionados de compromiso.
• Revisa las aplicaciones de terceros: elimina las integraciones que no uses y limita los permisos excesivos otorgados a las aplicaciones de Microsoft 365 conectadas.

¿Cuál es la amenaza?

La vulnerabilidad CVE-2026-0257 es un fallo de seguridad en la función VPN GlobalProtect de los firewalls de Palo Alto Networks y Prisma Access. Afecta a los sistemas donde están habilitadas las cookies de anulación de autenticación y dichas cookies utilizan el mismo certificado que la interfaz web principal (HTTPS) de GlobalProtect.

Estas cookies son pequeños fragmentos de datos que se generan tras un inicio de sesión exitoso. Permiten a los usuarios volver a conectarse sin tener que introducir de nuevo su contraseña ni sus credenciales de autenticación multifactor. Debido a un fallo de diseño, el cortafuegos confía en cualquier cookie que pueda descifrar correctamente. No verifica que haya sido él quien la generó originalmente.

Un atacante puede conectarse al sitio web de GlobalProtect y obtener el certificado público que utiliza el servicio. A continuación, puede usar esa información para generar una cookie falsificada que parezca pertenecer a un usuario legítimo. Cuando el atacante envía la cookie falsificada al portal o puerta de enlace de GlobalProtect, el firewall podría autenticarlo erróneamente como un usuario legítimo. En algunos casos, podría tratarse de una cuenta de administrador local. No se requieren credenciales válidas.

Si el ataque tiene éxito, puede establecer una sesión VPN completa en la red de la organización y acceder a los sistemas internos como si fuera un usuario remoto legítimo. Proveedores de seguridad como Rapid7 y Palo Alto Networks han detectado esta técnica en ataques reales. Los informes indican que los atacantes utilizan proveedores de alojamiento en la nube de bajo costo para buscar y explotar dispositivos GlobalProtect vulnerables.

¿Por qué es digno de mención?

Esta vulnerabilidad es particularmente importante porque afecta a las puertas de enlace VPN en el perímetro de la red. Estos sistemas suelen ser el método principal que utilizan los usuarios y administradores remotos para acceder a los recursos de la organización.

Si se explota, los atacantes pueden eludir los controles de autenticación habituales y obtener acceso desde internet haciéndose pasar por usuarios de VPN de confianza. Palo Alto Networks, Rapid7 y CISA han confirmado la explotación activa de esta vulnerabilidad en entornos reales.

Inicialmente, la vulnerabilidad recibió una calificación de gravedad media. Posteriormente, se reevaluó debido a que su impacto en el mundo real resultó ser más grave de lo estimado originalmente.

La CISA añadió la vulnerabilidad CVE-2026-0257 al catálogo KEV. Asimismo, exigió a las agencias federales estadounidenses que solucionaran el problema con prontitud. Estas medidas ponen de manifiesto la gravedad de la amenaza.

¿Cuál es la exposición o el riesgo?

La explotación exitosa permite a los atacantes autenticarse a través de GlobalProtect sin un nombre de usuario, contraseña o verificación multifactor (MFA) válidos. Como resultado, pueden obtener acceso remoto a redes internas desde internet haciéndose pasar por usuarios legítimos de VPN.

El nivel de acceso depende de la configuración de la VPN y de la cuenta que se está suplantando. En muchos entornos, esto podría proporcionar acceso a sistemas internos críticos, recursos compartidos de archivos y herramientas administrativas.

Palo Alto Networks y Rapid7 no han informado públicamente sobre evidencia de actividad posterior a la intrusión en los incidentes observados. Sin embargo, los atacantes aún podrían usar el acceso para profundizar en el entorno.

Las posibles actividades posteriores pueden incluir el robo de datos, la obtención de credenciales, la implementación de malware o el establecimiento de persistencia para futuros ataques. Dado que los ciberdelincuentes escanean activamente internet y atacan los sistemas GlobalProtect vulnerables, cualquier implementación sin parchear o mal configurada se enfrenta a un mayor riesgo de vulneración. Las organizaciones que dependen en gran medida de GlobalProtect para la conectividad remota deben extremar las precauciones. Una puerta de enlace VPN comprometida puede eludir múltiples capas de controles de seguridad internos.

El futuro de la seguridad comienza antes del malware

• Actualice los dispositivos afectados: Actualice todos los sistemas PAN-OS y Prisma Access a las últimas versiones con correcciones de seguridad publicadas por Palo Alto Networks.
• Deshabilitar o reconfigurar las cookies de anulación de autenticación: Deshabilitar las cookies de anulación de autenticación de GlobalProtect siempre que sea posible. Si deben permanecer habilitadas, configúrelas para que utilicen un certificado específico en lugar del certificado HTTPS principal o del portal.
• Restringir el acceso a la VPN: Limite el acceso a los portales y puertas de enlace de GlobalProtect mediante listas de direcciones IP permitidas, bloqueo geográfico o reglas de firewall que permitan conexiones solo desde fuentes confiables.
• Supervise los registros de GlobalProtect: revise periódicamente los registros de la VPN para detectar actividad de autenticación inusual, incluidos inicios de sesión inesperados basados en cookies, nombres de dispositivos desconocidos, ubicaciones sospechosas o direcciones IP maliciosas conocidas.
• Investigue de inmediato cualquier actividad sospechosa: finalice las sesiones VPN sospechosas, restablezca las credenciales o los tokens de autenticación y revise los sistemas internos en busca de evidencia de acceso no autorizado.
• Implementar la autenticación multifactor y la monitorización continua: Exigir la autenticación multifactor a todos los usuarios de VPN y considerar servicios de monitorización de seguridad 24/7 para identificar y responder rápidamente a las amenazas relacionadas con la VPN.

¿Cuál es la amenaza?

La campaña utiliza páginas de phishing personalizadas para las empresas a las que se dirige. Para parecer auténtica, emplea nombres de marcas locales de confianza y referencias a servicios gubernamentales.

Según los analistas, la campaña comienza con un correo electrónico de phishing que parece legítimo. El enlace redirige a los usuarios a través de un servidor de retransmisión de Google antes de enviarlos a un portal comercial falso.

El sitio web imita los flujos de trabajo de acceso a documentos que suelen usar los empleados de finanzas y administración. Esto facilita que las víctimas bajen la guardia.

¿Por qué es digno de mención?

Este ataque es particularmente peligroso porque, después de que el usuario hace clic en el enlace de descarga, la víctima instala sin saberlo un agente legítimo de NinjaOne Remote Monitoring and Management (RMM) configurado para conectarse a la infraestructura controlada por el atacante en lugar de recibir un documento comercial.

La infraestructura de phishing es más sofisticada de lo que parece a primera vista. Las páginas utilizan la identificación del navegador, la detección en entornos aislados (sandbox) y la geolocalización para filtrar a los investigadores antes de entregar el código malicioso.

¿Cuál es la exposición o el riesgo?

Hasta el momento, la campaña se ha dirigido al menos a una organización brasileña especializada en productos químicos y materiales avanzados. Sin embargo, las tácticas de ingeniería social empleadas, como la falsificación de registros fiscales, documentos de proveedores y portales de gestión de quejas, son aplicables a diversos sectores.

Una vez que la víctima instala el agente NinjaOne, el atacante obtiene los mismos privilegios que tendría un administrador de TI legítimo sobre ese dispositivo, incluyendo la capacidad de monitorear la actividad del dispositivo, ejecutar comandos remotos, transferir archivos y más.

El futuro de la seguridad comienza antes del malware

• Supervise las instalaciones no autorizadas de software de administración remota, especialmente cuando se les pida a los usuarios que instalen software simplemente para ver un documento.
• Trate con precaución las solicitudes inusuales relacionadas con registros fiscales, comunicaciones con proveedores o flujos de trabajo de quejas.
• Alertar a los empleados de finanzas, compras y administración sobre esta campaña de phishing y sus tácticas.
• Antes de tomar medidas, verifique los correos electrónicos inusuales a través de un canal de comunicación confiable.
• Actualiza el software de seguridad de tu ordenador, realiza un análisis y elimina cualquier amenaza detectada.

¿Cuál es la amenaza?

BitUnlocker explota la vulnerabilidad CVE‑2025‑48804 en Windows BitLocker, que permite a los atacantes combinar datos no confiables con componentes de arranque confiables y eludir las protecciones de seguridad mediante acceso físico. La técnica combina una degradación del gestor de arranque con un Entorno de Recuperación de Windows (WinRE) modificado para descifrar silenciosamente las unidades protegidas por BitLocker. Aprovechando la confianza en la cadena de arranque heredada, los atacantes pueden obtener acceso completo a los datos cifrados en menos de cinco minutos sin activar las solicitudes de recuperación.

¿Por qué es digno de mención?

Esta amenaza es relevante porque BitLocker se basa en la validación del TPM para detectar cambios de arranque no autorizados. Sin embargo, en este caso, el gestor de arranque malicioso sigue pareciendo legítimo porque posee una firma de Microsoft de confianza. Esto crea una peligrosa vulnerabilidad, ya que los componentes de arranque antiguos y vulnerables siguen siendo de confianza incluso después de aplicar parches de seguridad.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

PCCOM Mayorista

Lleva tu ciberseguridad al siguiente nivel

www.pccommayorista.com

Contactar ahora

¿Cuál es la amenaza?

RedSun es una vulnerabilidad de escalada de privilegios local (LPE) en la lógica de remediación de Microsoft Defender para archivos marcados con una etiqueta de nube a través de la API de Archivos en la Nube de Windows. En lugar de poner en cuarentena o eliminar de forma segura el contenido malicioso, los atacantes pueden manipular Defender para restaurar el archivo a su ruta protegida original utilizando privilegios elevados. Al combinar este comportamiento con uniones de directorios NTFS, puntos de reanálisis y bloqueos oportunistas (oplocks), los atacantes pueden redirigir la operación de escritura privilegiada de Defender para sobrescribir binarios del sistema protegidos, como C:\Windows\System32\TieringEngineService.exe. Como resultado, el servicio de Infraestructura de Archivos en la Nube ejecuta código controlado por el atacante con privilegios de SYSTEM. Esto permite a los usuarios con pocos privilegios obtener el control total del host, lo que posibilita la persistencia, el volcado de credenciales, la implementación de ransomware y el movimiento lateral sin necesidad de exploits del kernel ni derechos administrativos.

¿Por qué es digno de mención?

Esta amenaza es relevante porque representa una segunda prueba de concepto (PoC) de LPE relacionada con Defender, publicada por el mismo investigador, y ya se ha confirmado su explotación en entornos reales. La cadena de ataque es particularmente peligrosa porque convierte el comportamiento de gestión de archivos en la nube de un producto de seguridad en un mecanismo fiable para la ejecución a nivel de sistema, lo que amplía significativamente el riesgo en entornos Windows que utilizan la protección en tiempo real de Defender y Cloud Files o el etiquetado en la nube.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

PCCOM Mayorista

Lleva tu ciberseguridad al siguiente nivel

www.pccommayorista.com

Contactar ahora