Un atacante robó unos 170 repositorios privados de GitHub de CrowdSec usando la cuenta de un ex empleado, cuyo equipo fue comprometido por un ataque de cadena de suministro en TanStack. La filtración incluyó código fuente, correos de 83 usuarios y datos de 51 inversionistas, aunque la infraestructura y bases de datos permanecieron seguras. La empresa ya rotó las credenciales afectadas e implementó software de protección en las laptops de su personal.

BlackHatSect0r y DXQRTXX han sido vinculados a una operación de cibercrimen automatizada que utilizó un agente de IA conectado a un modelo de DeepSeek. Esta herramienta se empleó para escanear secretos expuestos, probar accesos robados y enviar los resultados a una plataforma de control personalizada, permitiendo aprovechar brechas de seguridad a velocidad automatizada y recolectar 16,834 credenciales.

Un grupo está llevando a cabo una campaña de escaneo automatizado a gran escala contra servidores de desarrollo Vite expuestos a internet. El objetivo es robar credenciales de AWS, tokens de acceso de Azure, variables de entorno y secretos de Infraestructura como Código (IaC). Según los sensores de honeypot de F5, se registró un aumento drástico en agosto de 2026, con aproximadamente 32,000 eventos, superando significativamente la actividad observada en meses anteriores.

GrapheneOS soluciona un fallo de privacidad en Android al introducir una función de pegado seguro de credenciales.

Los ciberdelincuentes están utilizando agentes de IA autónomos para convertir sistemas en la nube comprometidos en plataformas rápidas de robo de credenciales. En un caso reciente, los atacantes lograron planificar y lanzar una campaña a gran escala en menos de seis horas, robando miles de credenciales de terceros mediante la combinación de herramientas de codificación de IA, escaneo automatizado y recursos en la nube.

Atacantes comprometieron la infraestructura de Cloudflare de Coder para distribuir módulos de Terraform maliciosos que robaban credenciales, claves API y secretos de usuarios. El incidente ocurrió el 31 de agosto, afectando a organizaciones gubernamentales y privadas que utilizan la plataforma. Se recomienda a los usuarios afectados rotar sus secretos, revisar sus logs de conexión y purgar paquetes almacenados en caché.

El robo de credenciales de la nube puede transformar un incidente aislado en una brecha de seguridad masiva. Un atacante que obtenga una clave o sesión válida de AWS puede acceder como un usuario autorizado y desplazarse hacia sistemas sensibles, comenzando con direcciones desconocidas y finalizando con transferencias de datos o cambios para prolongar su acceso.

Un error común de desarrollo ha dejado expuestos 28,000 repositorios .git accesibles públicamente. Estos contienen credenciales, información financiera y registros internos de empleados, lo que podría facilitar a los cibercriminales el acceso directo a sistemas empresariales y cuentas en la nube. No se trata de una campaña de malware, sino de una vulnerabilidad originada en la configuración de los servidores web.

ReliaQuest reveló que sufrió un ataque de ingeniería social donde los atacantes se hicieron pasar por miembros de su equipo de seguridad para engañar a los empleados y dirigirlos a una página de inicio de sesión único (SSO) fraudulenta. Aunque la identidad de un empleado quedó expuesta brevemente, la empresa afirmó que sus controles de seguridad evitaron el acceso a datos de clientes, aplicaciones internas y sistemas empresariales. El incidente ocurrió el 22 de agosto.

Una investigación de Truffle Security reveló que 768 credenciales de AWS expuestas públicamente aún otgan control administrativo total sobre entornos corporativos. El estudio, que verificó más de 10,000 pares de credenciales filtradas, evidencia fallos persistentes en el monitoreo de cuentas y la gestión de secretos y rotación de credenciales en la nube.

Un actor de amenazas apodado "TheHatman" está llevando a cabo una extensa campaña de exfiltración de datos de Azure en la dark web. El atacante afirma haber robado directorios internos de empleados de grandes corporaciones, incluyendo a McDonald's y Vodafone, accediendo a sus inquilinos de Azure y Entra mediante el uso de credenciales comprometidas.

El grupo de amenazas vinculado a Rusia, Midnight Blizzard, está lanzando una campaña dirigida a viajeros de negocios. En lugar de usar correos electrónicos, los atacantes manipulan las páginas de inicio de sesión de redes Wi-Fi en hoteles y centros de conferencias para infectar a los usuarios y robar sus credenciales de la nube.

Se ha descubierto una vulnerabilidad grave en el sandbox local de Claude Cowork que permite a un agente de IA malicioso escapar de su máquina virtual Linux para acceder al sistema de archivos del Mac anfitrión. Esta falla permite al agente leer información sensible, como claves privadas SSH y credenciales de la nube, sin necesidad de interacción del usuario.

CrashStealer es un programa malicioso diseñado para macOS, escrito en C++, que se hace pasar por la herramienta de informes de errores de Apple. Su objetivo es robar credenciales de navegadores, billeteras de criptomonedas, gestores de contraseñas y contenidos del llavero, para luego cifrar la información y enviarla a un servidor remoto. Jamf detectó la primera muestra sospechosa en VirusTotal a principios de mayo de 2026.

Un corredor de acceso inicial de habla rusa lideró la operación FortiBleed, afectando a más de 430,000 firewalls FortiGate mediante el robo masivo de credenciales. Utilizaron herramientas automatizadas y sniffers para capturar datos de autenticación, impactando especialmente a pymes y sectores de servicios IT en EE. UU. e India. Esta campaña formó parte de un ataque multimarca más amplio que comprometió millones de cuentas en diversos dispositivos de red y servidores.

Se ha descubierto un nuevo kit de phishing dirigido a los usuarios de Amazon Web Services (AWS) que roba credenciales de acceso y códigos de autenticación de múltiples factores (MFA) en tiempo real. A diferencia de herramientas anteriores, este kit actúa instantáneamente mientras la víctima escribe, permitiendo a los atacantes acceder a la consola de AWS antes de que el usuario detecte el engaño.

Una nueva oleada de paquetes maliciosos de npm, denominada Shai-Hulud, está atacando a desarrolladores de infraestructura en la nube y serverless. Esta amenaza, que transporta el malware de la familia Hades, ha ampliado su alcance al ecosistema Leo/RStreams, utilizado habitualmente en flujos de datos y eventos nativos de AWS. El objetivo principal es el robo de credenciales de GitHub, npm, CI/CD y SSH.

LokiBot, una de las familias de malware para el robo de credenciales más antiguas y aún activas, ha reaparecido en una nueva campaña multietapa. Este ataque utiliza un archivo adjunto de JScript en correos electrónicos como punto de entrada para iniciar una cadena de eventos que culmina en la extracción silenciosa de datos sensibles de diversas aplicaciones.

El grupo de hackers vinculado a un estado, conocido como Ghostwriter, ha lanzado una serie de ataques de phishing dirigidos a usuarios de Gmail. Los atacantes utilizan correos electrónicos maliciosos que suplantan alertas de seguridad oficiales de Google con el objetivo de engañar a las víctimas para que entreguen sus credenciales de acceso y códigos de autenticación de dos factores (2FA), logrando así vulnerar una de las capas de seguridad más confiables de las cuentas.

Los ciberdelincuentes están utilizando una nueva táctica que consiste en disfrazar ataques de phishing con la imagen de herramientas de IA populares como ChatGPT, Claude y DeepSeek. El objetivo es engañar a los usuarios para que entreguen credenciales de acceso, números de tarjetas de crédito y tokens de autenticación, aprovechando el rápido crecimiento en la adopción de la inteligencia artificial.