Grupos vinculados a China, identificados como BRONZE SANDCASTLE, están utilizando aplicaciones confiables de Windows para cargar puertas traseras ocultas. Este grupo coloca archivos maliciosos junto a software legítimo para ejecutar código controlado por ellos sin alterar la aplicación original, logrando así recopilar detalles del sistema y robar credenciales de Active Directory.

Un grupo comprometió 333 nodos de salida de Tor, lo que representa aproximadamente una décima parte del total, para redirigir las conexiones SSH hacia servidores diseñados para robar contraseñas. La campaña, iniciada el 2 de octubre, se centró en interceptar inicios de sesión en servidores remotos y tráfico de correo electrónico no cifrado.

Una campaña denominada GhostAction ha implantado flujos de trabajo maliciosos en 790 repositorios de GitHub. El objetivo de este ataque es comprometer credenciales de la nube, tokens de publicación de software y claves de servicios de IA. Según OpenSourceMalware, estas cifras corresponden a repositorios validados y recuperables públicamente hasta octubre de 2026, aunque no implica que todos hayan sufrido el robo de credenciales o un uso indebido confirmado.

Se han detectado dos sitios web que alojan páginas falsas de Google Meet con el objetivo de robar credenciales de cuentas de Google. Estas páginas utilizan técnicas de phishing que incluyen la suplantación de la autenticación de dos factores (2FA), imitando el servicio real para engañar a los usuarios y hacer que la solicitud de sus datos parezca legítima. 

El malware de tipo infostealer está permitiendo que los criminales accedan a entornos corporativos en la nube de forma más discreta. En lugar de intentar vulnerar el perímetro de seguridad, infectan los dispositivos de empleados o desarrolladores para robar credenciales, claves API y sesiones activas que ya cuentan con la confianza de la organización. Estas infecciones iniciales suelen ocurrir a través de phishing, descargas engañosas o paquetes maliciosos.

Un informe de SOCRadar advierte sobre el aumento del robo de credenciales y sesiones de IA (principalmente ChatGPT) mediante *infostealers*, afectando a cientos de grandes empresas. Estos ataques son críticos ya que permiten saltar el MFA y acceder a historiales de chats con datos confidenciales, claves API y permisos de automatización. Para mitigarlo, se recomienda implementar SSO con sesiones cortas, rotar claves API y monitorear la reutilización de tokens.

PHP ha corregido un fallo de seguridad de severidad moderada (CVE-2026-91766) que podía exponer credenciales de inicio de sesión, cookies y datos de autenticación de proxy. Este error ocurría durante las redirecciones HTTP cuando se utilizaba el envoltorio de flujo (stream wrapper) de PHP con los protocolos http:// o https://, enviando potencialmente dicha información sensible a un servidor no deseado.

Un grupo está llevando a cabo una campaña de escaneo automatizado a gran escala contra servidores de desarrollo Vite expuestos a internet. El objetivo es robar credenciales de AWS, tokens de acceso de Azure, variables de entorno y secretos de Infraestructura como Código (IaC). Según los sensores de honeypot de F5, se registró un aumento drástico en agosto de 2026, con aproximadamente 32,000 eventos, superando significativamente la actividad observada en meses anteriores.

GrapheneOS soluciona un fallo de privacidad en Android al introducir una función de pegado seguro de credenciales.