Un contratista de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) de EE. UU. cometió un grave error de seguridad al publicar accidentalmente credenciales confidenciales de la nube del gobierno en un repositorio público de GitHub llamado “Private-CISA”. El repositorio estuvo expuesto hasta mediados de mayo de 2026 y contenía datos críticos, incluyendo credenciales de AWS GovCloud y contraseñas en texto plano.

Una acción de GitHub muy utilizada, denominada actions-cool/issues-helper, ha sido comprometida. El ataque consistió en redirigir silenciosamente todas las etiquetas de versión del repositorio hacia un commit malicioso. Como resultado, las credenciales de los flujos de CI/CD son robadas y enviadas directamente al atacante, lo que representa un riesgo grave para los equipos de desarrollo que utilizan esta herramienta en sus flujos de trabajo automatizados.

Se ha detectado un ataque a la cadena de suministro en los flujos de trabajo de GitHub Actions, específicamente en actions-cool/issues-helper y maintain-one-comment. Los atacantes utilizaron commits impostores para robar credenciales confidenciales de los procesos CI/CD y enviarlas a un servidor externo. GitHub ya ha desactivado los repositorios afectados para detener la exfiltración de datos.

Ha surgido una nueva y sumamente sigilosa campaña que distribuye el malware Vidar Stealer, dirigida a usuarios de Windows. Esta operación utiliza una cadena de ataque sofisticada diseñada para evadir las defensas de los endpoints (EDR) y robar credenciales sensibles. La comunidad de ciberseguridad ha destacado que el ataque opera con tal discreción que, a menudo, logra completar el robo de datos antes de que la víctima se percate de la intrusión.

Un nuevo malware basado en Python, conocido como DEEP#DOOR, ha surgido como una grave amenaza para los usuarios de Windows, combinando una puerta trasera completamente funcional con un potente motor de robo de credenciales. Lo que hace que esta amenaza sea especialmente preocupante es su capacidad para operar de manera sigilosa, incrustándose profundamente en un sistema comprometido mientras recopila datos sensibles de múltiples fuentes al mismo tiempo. 

Una campaña de phishing sofisticada y residente en memoria, denominada BlobPhish, activa desde octubre de 2024, que explota las APIs de Blob URL de los navegadores para robar silenciosamente credenciales de usuarios de Microsoft 365, grandes bancos estadounidenses y plataformas financieras, permaneciendo casi completamente invisible para las herramientas de seguridad tradicionales. BlobPhish es una operación sostenida de phishing de credenciales que cambia fundamentalmente la forma en que se entregan las páginas de phishing a los usuarios.

Un botnet de relleno de credenciales en vivo que apunta a cuentas de Twitter/X ha sido encontrado completamente expuesto a internet, sin necesidad de contraseña para acceder a su panel de control, credenciales del servidor de trabajadores o datos de ataques en tiempo real. El sistema expuesto, que opera bajo el nombre “Twitter Checker Master Panel – FULL FIX v2.3”, dejó al descubierto las contraseñas root SSH de los 18 trabajadores 

Una vulnerabilidad crítica fue revelada en Marimo, una plataforma de cuadernos Python reactivos de código abierto. Menos de 10 horas después, los atacantes lograron explotar la falla para robar credenciales sensibles en la nube, lo que subraya la velocidad extrema de los actores de amenazas modernos. La vulnerabilidad de seguridad está formalmente registrada como CVE-2026-39987 (anteriormente GHSA-2679-6mx9-h9xc) y tiene una puntuación CVSS v4.0 crítica de 9.3.

Un servidor mal configurado alojado en un proveedor de hosting a prueba de balas ruso ha expuesto el kit de herramientas operativo completo de un afiliado de TheGentlemen ransomware, incluyendo credenciales robadas de víctimas y tokens de autenticación en texto plano utilizados para establecer túneles de acceso remoto ocultos. El grupo TheGentlemen ransomware opera como un servicio de Ransomware-as-a-Service (RaaS), donde los afiliados llevan a cabo ataques utilizando herramientas compartidas

Un grave fallo en la seguridad operativa del grupo vinculado al Estado ruso, FancyBear, ha brindado a los investigadores de seguridad una visión inusualmente clara de una campaña de espionaje activa dirigida a organizaciones gubernamentales y militares en toda Europa. El 11 de marzo de 2026, la firma de inteligencia de amenazas Hunt.io publicó hallazgos sobre una campaña que rastrea como Operación Roundish, basada en un directorio abierto expuesto

Una ola de ataques de *relleno de credenciales* ha revelado un preocupante cambio en la forma en que los actores de amenazas acceden a las redes corporativas: no explotando vulnerabilidades de software, sino simplemente iniciando sesión con contraseñas robadas. En el centro de esta campaña se encuentran familias de malware infostealer, que recopilan silenciosamente credenciales de dispositivos infectados de empleados.

Una nueva campaña de phishing llamada GTFire está abusando de dos de los servicios más confiables de Google —Firebase y Google Translate— para robar credenciales de inicio de sesión de víctimas en todo el mundo. Lo que hace peligrosa esta campaña es su capacidad para ocultar actividad maliciosa detrás de dominios legítimos propiedad de Google, permitiendo que los enlaces de phishing pasen a través de filtros de correo electrónico y web.