Los ciberdelincuentes están utilizando una nueva táctica que consiste en disfrazar ataques de phishing con la imagen de herramientas de IA populares como ChatGPT, Claude y DeepSeek. El objetivo es engañar a los usuarios para que entreguen credenciales de acceso, números de tarjetas de crédito y tokens de autenticación, aprovechando el rápido crecimiento en la adopción de la inteligencia artificial.

Se ha detectado una nueva campaña de phishing vinculada a Corea del Norte llamada UNK_DeadDrop, que utiliza ofertas de empleo y revisiones de código falsas para atacar a desarrolladores. Los atacantes engañan a las víctimas para que clonen repositorios de GitHub con malware compatible con Windows, macOS y Linux. El objetivo final es robar credenciales de navegadores y billeteras de criptomonedas mediante la instalación de extensiones maliciosas en editores de código.

Un contratista de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) de EE. UU. cometió un grave error de seguridad al publicar accidentalmente credenciales confidenciales de la nube del gobierno en un repositorio público de GitHub llamado “Private-CISA”. El repositorio estuvo expuesto hasta mediados de mayo de 2026 y contenía datos críticos, incluyendo credenciales de AWS GovCloud y contraseñas en texto plano.

Una acción de GitHub muy utilizada, denominada actions-cool/issues-helper, ha sido comprometida. El ataque consistió en redirigir silenciosamente todas las etiquetas de versión del repositorio hacia un commit malicioso. Como resultado, las credenciales de los flujos de CI/CD son robadas y enviadas directamente al atacante, lo que representa un riesgo grave para los equipos de desarrollo que utilizan esta herramienta en sus flujos de trabajo automatizados.

Se ha detectado un ataque a la cadena de suministro en los flujos de trabajo de GitHub Actions, específicamente en actions-cool/issues-helper y maintain-one-comment. Los atacantes utilizaron commits impostores para robar credenciales confidenciales de los procesos CI/CD y enviarlas a un servidor externo. GitHub ya ha desactivado los repositorios afectados para detener la exfiltración de datos.

Ha surgido una nueva y sumamente sigilosa campaña que distribuye el malware Vidar Stealer, dirigida a usuarios de Windows. Esta operación utiliza una cadena de ataque sofisticada diseñada para evadir las defensas de los endpoints (EDR) y robar credenciales sensibles. La comunidad de ciberseguridad ha destacado que el ataque opera con tal discreción que, a menudo, logra completar el robo de datos antes de que la víctima se percate de la intrusión.

Un nuevo malware basado en Python, conocido como DEEP#DOOR, ha surgido como una grave amenaza para los usuarios de Windows, combinando una puerta trasera completamente funcional con un potente motor de robo de credenciales. Lo que hace que esta amenaza sea especialmente preocupante es su capacidad para operar de manera sigilosa, incrustándose profundamente en un sistema comprometido mientras recopila datos sensibles de múltiples fuentes al mismo tiempo. 

Una campaña de phishing sofisticada y residente en memoria, denominada BlobPhish, activa desde octubre de 2024, que explota las APIs de Blob URL de los navegadores para robar silenciosamente credenciales de usuarios de Microsoft 365, grandes bancos estadounidenses y plataformas financieras, permaneciendo casi completamente invisible para las herramientas de seguridad tradicionales. BlobPhish es una operación sostenida de phishing de credenciales que cambia fundamentalmente la forma en que se entregan las páginas de phishing a los usuarios.

Un botnet de relleno de credenciales en vivo que apunta a cuentas de Twitter/X ha sido encontrado completamente expuesto a internet, sin necesidad de contraseña para acceder a su panel de control, credenciales del servidor de trabajadores o datos de ataques en tiempo real. El sistema expuesto, que opera bajo el nombre “Twitter Checker Master Panel – FULL FIX v2.3”, dejó al descubierto las contraseñas root SSH de los 18 trabajadores 

Una vulnerabilidad crítica fue revelada en Marimo, una plataforma de cuadernos Python reactivos de código abierto. Menos de 10 horas después, los atacantes lograron explotar la falla para robar credenciales sensibles en la nube, lo que subraya la velocidad extrema de los actores de amenazas modernos. La vulnerabilidad de seguridad está formalmente registrada como CVE-2026-39987 (anteriormente GHSA-2679-6mx9-h9xc) y tiene una puntuación CVSS v4.0 crítica de 9.3.

Un servidor mal configurado alojado en un proveedor de hosting a prueba de balas ruso ha expuesto el kit de herramientas operativo completo de un afiliado de TheGentlemen ransomware, incluyendo credenciales robadas de víctimas y tokens de autenticación en texto plano utilizados para establecer túneles de acceso remoto ocultos. El grupo TheGentlemen ransomware opera como un servicio de Ransomware-as-a-Service (RaaS), donde los afiliados llevan a cabo ataques utilizando herramientas compartidas