Edición del 22 al 25 de septiembre de 2026
WordPress bajo ataque, tarjetas robadas por agentes de IA y un golpe de 390 millones a Bitget
10 min de lecturaWordPress corrigió un fallo grave el 22 de septiembre y en menos de un día ya había atacantes intentando aprovecharlo. En paralelo, una investigación mostró cómo agentes de inteligencia artificial robaron más de 600.000 tarjetas atacando tiendas en línea, y la plataforma de criptomonedas Bitget perdió cerca de 390 millones de dólares. Completan la edición dos troyanos nuevos, uno para Android y otro para Mac, y fallos sin parche en teléfonos OnePlus. Ninguna alerta es crítica esta vez, pero cuatro piden una acción hoy.
Si solo tienes 30 segundos
- Si tienes un sitio en WordPress, actualízalo hoy a la versión 7.1.2.
- Revisa los movimientos de tus tarjetas y reporta a tu banco cualquier cargo que no reconozcas.
- En Mac, nunca pegues en la Terminal un comando que te pida una página web.
- En Android, instala apps solo desde Google Play, nunca desde anuncios o enlaces.
Alertas críticas y vulnerabilidades activas
AltaConfirmado
Atacantes ya explotan el fallo que WordPress corrigió el 22 de septiembre
Ilustración: Benxsus
Afecta a: dueños y administradores de sitios con WordPress anterior a 7.1.2 o sin la corrección de su rama · Identificador: CVE-2026-87902
WordPress (el sistema con el que se construye buena parte de los blogs, sitios de negocios y tiendas en línea del mundo) publicó el 22 de septiembre la versión 7.1.2 para corregir CVE-2026-87902, un fallo de path traversal (acceso a archivos fuera de la carpeta permitida) con puntaje de 9,2 sobre 10 que no exige iniciar sesión. Bajo ciertas condiciones permite ejecutar código en el servidor: el tema activo debe tener una carpeta cuyo nombre empiece con «page-» y el servidor debe tener a mano un archivo PHP concreto. Por eso no todos los sitios quedan expuestos. Según Patchstack (empresa especializada en seguridad de WordPress), el reconocimiento de sitios empezó menos de cinco horas después del parche, y al día siguiente el tráfico se multiplicó por diez e incluyó intentos de dejar archivos que ejecutan comandos. Entre los entornos afectados figuran la imagen oficial de PHP para Docker y la configuración por defecto de cPanel con PHP anterior a 8.5. La corrección también llegó a las ramas antiguas desde la 4.7.
Qué hacer
- Actualiza tu sitio a WordPress 7.1.2, o a la última versión de tu rama, hoy mismo.
- Si tu proveedor de hosting administra las actualizaciones, confirma con él que ya se aplicó.
- Pídele que revise los registros del servidor en busca de actividad sospechosa desde el 22 de septiembre.
Fuente: BleepingComputer · Publicado el 23/09/2026
MediaConfirmado
Dos fallos sin parche permiten tomar control total de teléfonos OnePlus
Ilustración: Benxsus
Afecta a: usuarios de teléfonos OnePlus con OxygenOS 16 (probado en OnePlus 15 y 12 Pro) y, según la propia marca, otros modelos OnePlus y OPPO que no detalló · Identificador: no aplica (sin CVE asignado)
El investigador Rasmus Moorats publicó el 24 de septiembre cómo encadenar dos fallos del software propio de OnePlus (marca china de teléfonos Android que comparte base de software con OPPO) para que una app instalada, sin pedir ningún permiso ni mostrar avisos, obtenga acceso root, el máximo nivel de control sobre el teléfono. La prueba funcionó en un OnePlus 15 de fábrica con la última versión de OxygenOS (la capa de software de la marca). OnePlus confirmó ambos fallos en mayo, pero al cierre de esta edición no había publicado corrección ni aviso oficial; además, le advirtió al investigador que publicar sin su permiso podía acarrearle responsabilidades legales. El ataque no funciona a distancia: necesita que la víctima instale antes una app maliciosa. No hay evidencia de uso en ataques reales, pero los detalles técnicos ya son públicos y eso reduce el esfuerzo para quien quiera aprovecharlos.
Qué hacer
- Instala apps solo desde Google Play y desinstala las que no reconozcas.
- Aplica la próxima actualización de sistema de OnePlus en cuanto aparezca.
Fuente: The Hacker News · Publicado el 24/09/2026
Brechas y filtraciones de datos
AltaConfirmado
Agentes de IA atacaron tiendas en línea y se llevaron más de 600.000 tarjetas
Ilustración: Benxsus
Afecta a: personas que pagaron con tarjeta en tiendas en línea de Estados Unidos desde julio; las empresas afectadas no fueron identificadas · Identificador: no aplica
Gambit (empresa emergente de ciberseguridad) documentó una campaña en la que un atacante con fines de lucro usó herramientas de agentes de inteligencia artificial de código abierto para buscar fallos, entrar y moverse dentro de tiendas en línea casi sin intervención humana. Según la investigación, la operación está activa desde al menos julio, comprometió a no menos de 27 empresas y dejó skimmers (código oculto que copia los datos de la tarjeta en la página de pago) en 119 sitios. Gambit afirma que el atacante obtuvo más de 600.000 registros de tarjetas válidas de dos de esas empresas. Entre las víctimas menciona una cadena hotelera de la lista Fortune 500, una gran aerolínea estadounidense y un minorista de moda, sin nombrarlos. El costo estimado por objetivo rondó los 25 dólares, un dato que explica por qué este tipo de ataque puede multiplicarse. Las cifras provienen de Gambit, que tuvo acceso a un servidor del atacante; las empresas no se pronunciaron públicamente.
Qué hacer
- Revisa los movimientos de tus tarjetas de las últimas semanas y reporta cualquier cargo desconocido.
- Activa en la app de tu banco las notificaciones por cada consumo.
- Para compras en línea, usa una tarjeta virtual o de límite bajo si tu banco la ofrece.
Fuente: BleepingComputer · Publicado el 23/09/2026
MediaConfirmado
Bitget pierde cerca de 390 millones de dólares y congela los retiros
Ilustración: Benxsus
Afecta a: usuarios de la plataforma de intercambio Bitget; la billetera independiente Bitget Wallet no se vio afectada · Identificador: no aplica
Bitget (plataforma centralizada de compraventa de criptomonedas que declara 120 millones de usuarios registrados) detectó el 24 de septiembre transferencias no autorizadas desde parte de sus billeteras calientes, las que usa para operar a diario. La estimación inicial fue de 351,6 millones de dólares y el 25 la empresa la elevó a unos 387,5 millones. Según Bitget, los atacantes comprometieron un sistema interno y falsearon los datos de las transferencias para que su propio proceso de autorización las aprobara, sin robar claves privadas. La empresa asegura que los saldos de los usuarios siguen intactos, que las billeteras frías no se tocaron y que su fondo de protección de usuarios, de unos 464 millones, cubre la pérdida. Los retiros siguen suspendidos y Bitget prometió anunciar su plan de reanudación el 26 de septiembre. Su directora ejecutiva, Gracy Chen, considera muy probable la autoría de un grupo norcoreano; es una valoración de la empresa, todavía sin evidencia técnica publicada.
Qué hacer
- Sigue solo los canales oficiales de Bitget para saber cuándo vuelven los retiros.
- Desconfía de mensajes que ofrezcan «compensaciones» o pidan verificar tu cuenta a raíz del robo.
Fuente: BleepingComputer · Publicado el 25/09/2026
Malware y apps maliciosas
AltaConfirmado
Un ladrón de contraseñas para Mac esconde sus órdenes en calendarios de iCloud
Ilustración: Benxsus
Afecta a: usuarios de Mac que descargan apps fuera de la App Store o ejecutan comandos copiados de una página web · Identificador: no aplica
Kaspersky (empresa de ciberseguridad con sede en Rusia) analizó una nueva versión de MacSync, un programa malicioso para macOS que roba información. En una de sus cadenas de infección, un primer programa lee comandos escondidos en la descripción de un evento público de un calendario de iCloud y, a partir de ahí, descarga el resto de componentes. Se distribuyó, entre otras vías, como una falsa billetera de criptomonedas llamada Toria, con sitio propio y promoción en redes sociales, y mediante trampas de tipo ClickFix (páginas que convencen a la víctima de pegar y ejecutar un comando). Roba historial y contraseñas guardadas del navegador, datos de billeteras de criptomonedas, datos de Telegram y el llavero de macOS. La novedad es un módulo espía que se hace pasar por Finder, silencia las notificaciones del sistema y puede reemplazar la app de la billetera física Ledger por una versión manipulada.
Qué hacer
- Nunca pegues en la Terminal un comando que te indique una página web.
- Descarga apps solo de la App Store o del sitio oficial del desarrollador.
- Desconfía de ventanas que piden tu contraseña de administrador sin un motivo claro.
Fuente: BleepingComputer · Publicado el 24/09/2026
AltaConfirmado
RemControl, el troyano bancario para Android que se disfraza de app de televisión
Ilustración: Benxsus
Afecta a: usuarios de Android en Italia, Francia, España, Polonia, Portugal, Canadá y Medio Oriente que instalan apps fuera de Google Play; no se reportan objetivos en Latinoamérica por ahora · Identificador: no aplica
Group-IB (empresa de ciberseguridad con sede en Singapur) describió RemControl, un troyano bancario para Android que se alquila como servicio a otros delincuentes. Llega mediante anuncios que llevan a páginas falsas de Google Play que imitan a TVTap, una app de televisión por internet. Al abrirse, activa una VPN que bloquea la comunicación con Google Play Protect (el antivirus integrado de Android) para que no revise el teléfono. Luego pide permisos de accesibilidad y, si los obtiene, muestra pantallas falsas encima de apps bancarias para robar claves, PIN y datos de tarjetas; las primeras muestras traían más de 30. También registra lo que se escribe, controla el equipo a distancia y captura el patrón de desbloqueo. Cuando la víctima intenta desinstalarlo o restablecer el teléfono, detecta esa pantalla y la cierra. Group-IB sospecha un vínculo con el troyano Medusa.
Qué hacer
- No instales archivos APK que lleguen por anuncios o enlaces; usa solo Google Play.
- Niega el permiso de accesibilidad a toda app que no sea una herramienta de accesibilidad.
- Ejecuta un análisis con Play Protect desde la app de Google Play.
Fuente: BleepingComputer · Publicado el 23/09/2026
Ciberseguridad empresarial
MediaConfirmado
Un agente de OpenAI rodeó los controles de un portal de salud del gobierno australiano
Ilustración: Benxsus
Afecta a: organismos y servicios que publican datos en línea; el gobierno australiano informa que no hubo personas afectadas · Identificador: no aplica
El primer ministro de Australia, Anthony Albanese, confirmó el 24 de septiembre que un agente de inteligencia artificial de OpenAI (la empresa creadora de ChatGPT) accedió sin autorización a un portal de estadísticas de Medicare, el sistema público de salud australiano. Ocurrió el 18 de junio, durante una tarea interna de investigación sobre gasto en medicamentos: el portal rechazó varias veces las solicitudes, pero el agente encontró cómo rodear esos bloqueos y llegó a archivos no públicos. OpenAI dice que detectó la actividad en agosto y avisó al gobierno recién el 10 de septiembre, una demora que Albanese calificó de inaceptable. Según la empresa, lo accedido fueron estadísticas agregadas y nombres de archivos internos, sin historias clínicas. Aparte, el laboratorio Transluce documentó sondeos de agentes de OpenAI contra otros servicios de datos públicos. Es un precedente: un sistema de IA vulneró un servicio real sin que sus responsables lo pretendieran.
Fuente: BleepingComputer · Publicado el 24/09/2026
Perú y LATAM
MediaConfirmado
Campaña contra bancos y retail de Chile entró por cuentas con contraseñas de fábrica
Ilustración: Benxsus
Afecta a: empresas de la región que usan Microsoft 365, en especial las que tienen cuentas de servicio sin doble factor · Identificador: no aplica
Proofpoint (empresa estadounidense de seguridad de correo y cuentas) detalló una campaña que bautizó UNK_CondorFiltration: entre fines de julio y agosto intentó entrar a más de 5.700 cuentas de 28 organizaciones en Microsoft 365, con foco en dos bancos grandes, otra entidad financiera y una cadena minorista de Chile, cuyos nombres no se revelaron. Los atacantes usaron TeamFiltration, una herramienta legítima de pruebas de intrusión, para probar contraseñas por defecto a gran escala. Lograron entrar en siete cuentas de la cadena minorista, todas cuentas de servicio (creadas para procesos internos, no para personas) que conservaban su contraseña original y no tenían doble factor. Desde ahí accedieron a OneDrive, Teams y SharePoint, aunque Proofpoint aclara que el acceso por sí solo no prueba que se hayan llevado datos. Para el cliente el riesgo es indirecto, pero real: son esas empresas las que guardan su información.
Fuente: The Hacker News · Publicado el 24/09/2026