Se ha detectado un fallo crítico de autenticación en Tata Nexarc, una plataforma de compras B2B en India. Esta vulnerabilidad permitía a los atacantes apoderarse de cuentas conociendo únicamente el número de teléfono móvil registrado, ya que la plataforma exponía la contraseña de un solo uso (OTP) dentro de una respuesta de API descifrable, eliminando la necesidad de interceptar SMS o realizar phishing.

Red Hat ha revelado una vulnerabilidad crítica (CVE-2026-18963) en su versión de Keycloak que permitiría a atacantes remotos no autenticados apoderarse de cuentas de usuario arbitrarias. El fallo, que afecta al proceso de recuperación de contraseñas, tiene una puntuación de gravedad de 9.1 según el CVSS v3.1.

Se vende en foros rusos iAuthFlow v2, un kit de phishing que utiliza un modelo de navegador intermedio para registrar llaves de acceso (passkeys) controladas por el atacante. Esto permite el acceso persistente a cuentas de Google, Microsoft y otras, incluso después de que la víctima cambie su contraseña. Los expertos advierten que la recuperación de cuentas ya no basta con reiniciar contraseñas, sino que requiere una investigación exhaustiva de credenciales y configuraciones alteradas.

Un servicio en línea clandestino denominado Poison Claude está revendiendo el acceso a los modelos de IA premium de Anthropic con descuentos considerables. Según los investigadores, estos precios bajos son posibles gracias al uso de cuentas de nube registradas fraudulentamente que aprovechan créditos de bonificación gratuitos.

El vishing ya no se limita a llamadas convincentes y páginas falsas. Se ha detectado una nueva plataforma criminal llamada Work Panel que centraliza la investigación de objetivos, la gestión de llamadas, la creación de sitios de phishing y el manejo de credenciales robadas en una sola operación web. Esto permite que el proceso desde la suplantación de un servicio de soporte técnico hasta la toma de control de cuentas empresariales sea mucho más rápido.

Vinculados a la inteligencia rusa están intentando secuestrar cuentas de Signal haciéndose pasar por personal de soporte técnico. Su objetivo es obtener las claves de recuperación de copias de seguridad de personas con acceso a información sensible, como funcionarios, militares, figuras políticas, periodistas y líderes ucranianos. Esta campaña se basa en el engaño y el phishing, y no en una vulnerabilidad del cifrado de extremo a extremo de la aplicación.

Google ha implementado una nueva función de verificación de identidad denominada "video selfie", diseñada para ayudar a los usuarios a recuperar el acceso a sus cuentas bloqueadas. Esta herramienta busca ofrecer un método de inicio de sesión adicional, siendo especialmente útil cuando se pierde el acceso a los dispositivos de autenticación principales, mejorando así la seguridad en la recuperación de cuentas.

Google lanzó una nueva opción de inicio de sesión mediante videos selfie para ayudar a los usuarios a recuperar el acceso a sus cuentas. Este método opcional y cifrado verifica la identidad comparando un video actual con uno previamente configurado. Además, la empresa implementó un sistema de gestos con las manos en reCAPTCHA para combatir el tráfico de bots.

Chick-fil-A ha advertido a sus clientes que deben actualizar sus contraseñas de Chick-fil-A One tras detectar un acceso no autorizado a un grupo de cuentas de fidelidad. La empresa confirmó que, entre el 17 y el final de junio de 2026, sufrió un ataque de relleno de credenciales (credential stuffing) automatizado contra su sitio web y aplicación móvil.

Los usuarios de WhatsApp están siendo blanco de una técnica de ingeniería social denominada GhostPairing. Este método permite que los estafadores accedan a cuentas sin necesidad de contraseñas o códigos de verificación. En lugar de vulnerar el servicio directamente, el ataque abusa de la función legítima de vinculación de dispositivos de WhatsApp, engañando a la víctima para que apruebe la conexión de un nuevo dispositivo controlado por el atacante.

Joshua Khane perdió 25 años de archivos y fotos debido al hackeo de su cuenta de Microsoft, resaltando la importancia de realizar copias de seguridad externas para evitar la pérdida permanente de datos en la nube.

Netflix prueba un nuevo sistema que obliga a asociar un email a cada perfil en cuentas compartidas, generando polémica entre sus usuarios.

Spotify eliminará el inicio de sesión con nombre de usuario el 1 de septiembre, obligando a los usuarios a identificarse de otra manera.

Wallpaper Engine en Steam ha sido afectado por una campaña de malware inyectado en fondos de pantalla para robar cuentas de usuario.

Se ha detectado una nueva campaña de phishing dirigida a usuarios de Microsoft 365 que utiliza un método innovador. En lugar de intentar robar la contraseña directamente, el ataque engaña a las víctimas para que completen un proceso de autenticación legítimo de Microsoft, lo que permite que el atacante tome el control de la cuenta de manera silenciosa.

Google reduce la capacidad de Gmail de 15 a 5 GB para cuentas vinculadas al mismo número de móvil.

Cuentas de PSN podrían ser robadas debido a fallos en la verificación del soporte técnico, afectando incluso a usuarios con passkeys y autenticación en dos pasos.

X ha suspendido la icónica cuenta de @twitter en su plataforma, reemplazando su perfil con un aviso estándar que indica que la cuenta viola las normas. Capturas de pantalla de la suspensión comenzaron a circular ampliamente a finales de la semana pasada, generando discusiones sobre los esfuerzos de rebranding de la plataforma. La cuenta de @twitter había permanecido inactiva desde antes de la adquisición de la plataforma por parte de Elon Musk en 2022

 

 

Microsoft ha eliminado silenciosamente una forma más de evitar su proceso de configuración basado en internet, ¡y esta vez lo ha hecho en una versión que ni siquiera ha soportado por un tiempo! La activación por llamada todavía aparece listada en la documentación de soporte de Microsoft, pero un nuevo video de YouTube que ejecuta Windows 7 muestra que ahora te redirige al portal online. La activación telefónica para Windows y Office ha sido descontinuada y ahora se obliga a los usuarios a activar sus productos online a través de una cuenta de Microsoft. Los usuarios de Windows ahora son dirigidos a un portal exclusivo online para la activación.

Seguro que alguna vez has olvidado tu contraseña de Gmail o, por desgracia, alguien logro entrar en tu cuenta de Google sin permiso. En ambos casos, aunque uno es más grave que otro, resulta de un proceso algo latoso y complicado el recuperar la cuenta, ya que antes solo hacía falta con recibir un enlace en el correo alternativo.