CrashStealer es un programa malicioso diseñado para macOS, escrito en C++, que se hace pasar por la herramienta de informes de errores de Apple. Su objetivo es robar credenciales de navegadores, billeteras de criptomonedas, gestores de contraseñas y contenidos del llavero, para luego cifrar la información y enviarla a un servidor remoto. Jamf detectó la primera muestra sospechosa en VirusTotal a principios de mayo de 2026.

El grupo de hackers vinculado a un estado, conocido como Ghostwriter, ha lanzado una serie de ataques de phishing dirigidos a usuarios de Gmail. Los atacantes utilizan correos electrónicos maliciosos que suplantan alertas de seguridad oficiales de Google con el objetivo de engañar a las víctimas para que entreguen sus credenciales de acceso y códigos de autenticación de dos factores (2FA), logrando así vulnerar una de las capas de seguridad más confiables de las cuentas.

Los ciberdelincuentes están utilizando una nueva táctica que consiste en disfrazar ataques de phishing con la imagen de herramientas de IA populares como ChatGPT, Claude y DeepSeek. El objetivo es engañar a los usuarios para que entreguen credenciales de acceso, números de tarjetas de crédito y tokens de autenticación, aprovechando el rápido crecimiento en la adopción de la inteligencia artificial.

Se ha detectado una nueva campaña de phishing vinculada a Corea del Norte llamada UNK_DeadDrop, que utiliza ofertas de empleo y revisiones de código falsas para atacar a desarrolladores. Los atacantes engañan a las víctimas para que clonen repositorios de GitHub con malware compatible con Windows, macOS y Linux. El objetivo final es robar credenciales de navegadores y billeteras de criptomonedas mediante la instalación de extensiones maliciosas en editores de código.

Un contratista de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) de EE. UU. cometió un grave error de seguridad al publicar accidentalmente credenciales confidenciales de la nube del gobierno en un repositorio público de GitHub llamado “Private-CISA”. El repositorio estuvo expuesto hasta mediados de mayo de 2026 y contenía datos críticos, incluyendo credenciales de AWS GovCloud y contraseñas en texto plano.

Una acción de GitHub muy utilizada, denominada actions-cool/issues-helper, ha sido comprometida. El ataque consistió en redirigir silenciosamente todas las etiquetas de versión del repositorio hacia un commit malicioso. Como resultado, las credenciales de los flujos de CI/CD son robadas y enviadas directamente al atacante, lo que representa un riesgo grave para los equipos de desarrollo que utilizan esta herramienta en sus flujos de trabajo automatizados.

Se ha detectado un ataque a la cadena de suministro en los flujos de trabajo de GitHub Actions, específicamente en actions-cool/issues-helper y maintain-one-comment. Los atacantes utilizaron commits impostores para robar credenciales confidenciales de los procesos CI/CD y enviarlas a un servidor externo. GitHub ya ha desactivado los repositorios afectados para detener la exfiltración de datos.