Un análisis de código público en GitHub ha revelado 543,699 credenciales únicas que seguían siendo válidas durante las pruebas realizadas el 27 y 28 de julio de 2026. Según una investigación de Truffle Security, este hallazgo evidencia un fallo en la gestión de secretos, ya que las credenciales pueden permanecer activas durante años después de ser publicadas, a pesar de los controles de protección y escaneo de GitHub.

Una investigación de Truffle Security reveló que más de 543,000 credenciales válidas siguen expuestas en repositorios públicos de GitHub, algunas desde 2009. Aunque la herramienta *Push Protection* de GitHub ha reducido las filtraciones en categorías protegidas, muchos secretos (como claves de Google) siguen siendo vulnerables. Los expertos recomiendan rotar inmediatamente las credenciales expuestas y limpiar el historial de los repositorios.

El malware de tipo infostealer está permitiendo que los criminales accedan a entornos corporativos en la nube de forma más discreta. En lugar de intentar vulnerar el perímetro de seguridad, infectan los dispositivos de empleados o desarrolladores para robar credenciales, claves API y sesiones activas que ya cuentan con la confianza de la organización. Estas infecciones iniciales suelen ocurrir a través de phishing, descargas engañosas o paquetes maliciosos.

Un informe de SOCRadar advierte sobre el aumento del robo de credenciales y sesiones de IA (principalmente ChatGPT) mediante *infostealers*, afectando a cientos de grandes empresas. Estos ataques son críticos ya que permiten saltar el MFA y acceder a historiales de chats con datos confidenciales, claves API y permisos de automatización. Para mitigarlo, se recomienda implementar SSO con sesiones cortas, rotar claves API y monitorear la reutilización de tokens.

PHP ha corregido un fallo de seguridad de severidad moderada (CVE-2026-91766) que podía exponer credenciales de inicio de sesión, cookies y datos de autenticación de proxy. Este error ocurría durante las redirecciones HTTP cuando se utilizaba el envoltorio de flujo (stream wrapper) de PHP con los protocolos http:// o https://, enviando potencialmente dicha información sensible a un servidor no deseado.

Un atacante robó unos 170 repositorios privados de GitHub de CrowdSec usando la cuenta de un ex empleado, cuyo equipo fue comprometido por un ataque de cadena de suministro en TanStack. La filtración incluyó código fuente, correos de 83 usuarios y datos de 51 inversionistas, aunque la infraestructura y bases de datos permanecieron seguras. La empresa ya rotó las credenciales afectadas e implementó software de protección en las laptops de su personal.

BlackHatSect0r y DXQRTXX han sido vinculados a una operación de cibercrimen automatizada que utilizó un agente de IA conectado a un modelo de DeepSeek. Esta herramienta se empleó para escanear secretos expuestos, probar accesos robados y enviar los resultados a una plataforma de control personalizada, permitiendo aprovechar brechas de seguridad a velocidad automatizada y recolectar 16,834 credenciales.

Un grupo está llevando a cabo una campaña de escaneo automatizado a gran escala contra servidores de desarrollo Vite expuestos a internet. El objetivo es robar credenciales de AWS, tokens de acceso de Azure, variables de entorno y secretos de Infraestructura como Código (IaC). Según los sensores de honeypot de F5, se registró un aumento drástico en agosto de 2026, con aproximadamente 32,000 eventos, superando significativamente la actividad observada en meses anteriores.

GrapheneOS soluciona un fallo de privacidad en Android al introducir una función de pegado seguro de credenciales.

Los ciberdelincuentes están utilizando agentes de IA autónomos para convertir sistemas en la nube comprometidos en plataformas rápidas de robo de credenciales. En un caso reciente, los atacantes lograron planificar y lanzar una campaña a gran escala en menos de seis horas, robando miles de credenciales de terceros mediante la combinación de herramientas de codificación de IA, escaneo automatizado y recursos en la nube.

Atacantes comprometieron la infraestructura de Cloudflare de Coder para distribuir módulos de Terraform maliciosos que robaban credenciales, claves API y secretos de usuarios. El incidente ocurrió el 31 de agosto, afectando a organizaciones gubernamentales y privadas que utilizan la plataforma. Se recomienda a los usuarios afectados rotar sus secretos, revisar sus logs de conexión y purgar paquetes almacenados en caché.

El robo de credenciales de la nube puede transformar un incidente aislado en una brecha de seguridad masiva. Un atacante que obtenga una clave o sesión válida de AWS puede acceder como un usuario autorizado y desplazarse hacia sistemas sensibles, comenzando con direcciones desconocidas y finalizando con transferencias de datos o cambios para prolongar su acceso.

Un error común de desarrollo ha dejado expuestos 28,000 repositorios .git accesibles públicamente. Estos contienen credenciales, información financiera y registros internos de empleados, lo que podría facilitar a los cibercriminales el acceso directo a sistemas empresariales y cuentas en la nube. No se trata de una campaña de malware, sino de una vulnerabilidad originada en la configuración de los servidores web.

ReliaQuest reveló que sufrió un ataque de ingeniería social donde los atacantes se hicieron pasar por miembros de su equipo de seguridad para engañar a los empleados y dirigirlos a una página de inicio de sesión único (SSO) fraudulenta. Aunque la identidad de un empleado quedó expuesta brevemente, la empresa afirmó que sus controles de seguridad evitaron el acceso a datos de clientes, aplicaciones internas y sistemas empresariales. El incidente ocurrió el 22 de agosto.

Una investigación de Truffle Security reveló que 768 credenciales de AWS expuestas públicamente aún otgan control administrativo total sobre entornos corporativos. El estudio, que verificó más de 10,000 pares de credenciales filtradas, evidencia fallos persistentes en el monitoreo de cuentas y la gestión de secretos y rotación de credenciales en la nube.

Un actor de amenazas apodado "TheHatman" está llevando a cabo una extensa campaña de exfiltración de datos de Azure en la dark web. El atacante afirma haber robado directorios internos de empleados de grandes corporaciones, incluyendo a McDonald's y Vodafone, accediendo a sus inquilinos de Azure y Entra mediante el uso de credenciales comprometidas.

El grupo de amenazas vinculado a Rusia, Midnight Blizzard, está lanzando una campaña dirigida a viajeros de negocios. En lugar de usar correos electrónicos, los atacantes manipulan las páginas de inicio de sesión de redes Wi-Fi en hoteles y centros de conferencias para infectar a los usuarios y robar sus credenciales de la nube.

Se ha descubierto una vulnerabilidad grave en el sandbox local de Claude Cowork que permite a un agente de IA malicioso escapar de su máquina virtual Linux para acceder al sistema de archivos del Mac anfitrión. Esta falla permite al agente leer información sensible, como claves privadas SSH y credenciales de la nube, sin necesidad de interacción del usuario.

CrashStealer es un programa malicioso diseñado para macOS, escrito en C++, que se hace pasar por la herramienta de informes de errores de Apple. Su objetivo es robar credenciales de navegadores, billeteras de criptomonedas, gestores de contraseñas y contenidos del llavero, para luego cifrar la información y enviarla a un servidor remoto. Jamf detectó la primera muestra sospechosa en VirusTotal a principios de mayo de 2026.

Un corredor de acceso inicial de habla rusa lideró la operación FortiBleed, afectando a más de 430,000 firewalls FortiGate mediante el robo masivo de credenciales. Utilizaron herramientas automatizadas y sniffers para capturar datos de autenticación, impactando especialmente a pymes y sectores de servicios IT en EE. UU. e India. Esta campaña formó parte de un ataque multimarca más amplio que comprometió millones de cuentas en diversos dispositivos de red y servidores.