Reddit se convertirá gradualmente en un servicio que requerirá iniciar sesión para acceder a la totalidad de su contenido, buscando mejorar la personalización y combatir el raspado de datos (*scraping*). El cambio se probará primero en mercados fuera de EE. UU., aunque se mantendrá el acceso público a la página principal y a resultados de búsqueda. Esta medida también permitirá optimizar la publicidad y recopilar mejores datos de usuario, manteniendo opciones de privacidad y un modo incógnito.

Acceder a passwords.google.com permite verificar la seguridad de las contraseñas guardadas en Google, detectando si están expuestas, son débiles o están duplicadas para poder cambiarlas o borrarlas rápidamente.

Cuentas de Microsoft 365 en 79 organizaciones mediante el reúso de tokens de inicio de sesión robados. Entre el 14 de julio y el 22 de septiembre de 2026, se registraron al menos 497 accesos exitosos y más de 200,000 intentos fallidos. La campaña se centró en secuestrar sesiones ya autenticadas en lugar de intentar adivinar contraseñas.

Grandes bancos de Estados Unidos, como Morgan Stanley y Bank of America, han detectado agentes de IA de terceros operando dentro de las cuentas de sus clientes. Existe la preocupación de que estas herramientas automatizadas puedan actuar de forma independiente, superando las instrucciones dadas por los usuarios, llegando incluso a contactar con centros de atención telefónica.

Los cibercriminales están utilizando navegadores "antidetect" impulsados por IA para gestionar redes masivas de cuentas falsas. Según Check Point Research, estas herramientas permiten que un solo operador haga parecer que miles de perfiles provienen de diferentes personas, dispositivos y ubicaciones, logrando así evadir los sistemas de seguridad y detección de las plataformas sociales.

Google verifica automáticamente los números de teléfono en dispositivos Android y los añade a cada cuenta de Google iniciada en el teléfono. Esta configuración está activada por defecto, lo que genera preocupaciones de privacidad para aquellos usuarios que desean mantener separadas sus cuentas personales, laborales o secundarias. Según la documentación de Google, este proceso afecta tanto a las cuentas ya existentes como a las que se añadan posteriormente.

Microsoft elimina el método más sencillo para instalar Windows 11 sin cuenta de Microsoft, obligando a usar alternativas complejas.

Una investigación reciente revela cómo el compromiso de una sola cuenta puede poner en riesgo toda una infraestructura en la nube. Un atacante logró escalar privilegios desde la recuperación de contraseñas hasta acceder a Azure DevOps, canalizaciones de desarrollo y recursos de Kubernetes. Lo más alarmante es que el incidente no utilizó malware ni fallos de software, sino que se basó en el abuso de servicios confiables.

Han logrado vulnerar entornos de Microsoft 365 aprovechando cuentas activas pero no supervisadas. Mediante el uso de contraseñas antiguas y la falta de protecciones de inicio de sesión, los atacantes accedieron a correos electrónicos, archivos y aplicaciones en la nube. Esta campaña se centró principalmente en organizaciones de Chile, afectando a instituciones financieras y a un gran minorista.

Investigadores de Proofpoint detectaron la campaña UNK_CondorFiltration, que atacó a más de 5,700 cuentas de Microsoft 365 en instituciones financieras y retail de Chile. El ataque explotó cuentas de servicio inactivas y no monitoreadas que mantenían contraseñas predeterminadas y carecían de autenticación multifactor. Utilizando la herramienta TeamFiltration, los atacantes lograron acceder a OneDrive, Teams y Office para potenciales extracciones de datos.

ZTE ha solucionado cuatro vulnerabilidades en su aplicación móvil SmartLife. Estas fallas críticas permitían a los atacantes enumerar cuentas, recuperar identificadores, restablecer contraseñas y tomar el control total de las cuentas de usuario. La vulnerabilidad más grave, identificada como CVE-2026-86553, alcanzó una puntuación CVSS de 8.8 y afectaba a las versiones 2.8.2 y anteriores de la aplicación.

WhatsApp permitirá gestionar hasta tres números en un mismo iPhone desde la misma aplicación, manteniendo chats y datos independientes sin cerrar sesión.

El portal de restablecimiento de contraseñas (SSPR) de Microsoft podría exponer detalles sensibles de cuentas a usuarios no autenticados. Esta vulnerabilidad permite revelar si existe una cuenta de Entra ID y cuáles son sus métodos registrados para restablecer la contraseña, lo que facilitaría que los atacantes perfeccionen campañas de phishing, ingeniería social o ataques de password-spraying contra redes corporativas.

Disney+ actualizará sus reglas y podrá bloquear cuentas o suspender la reproducción si detecta el uso de bloqueadores de anuncios, VPN o accesos no permitidos.

Guía para instalar Windows 11 utilizando una cuenta local y sin conexión a Internet, evitando así la obligatoriedad de usar cuentas de Microsoft.

Ciberdelincuentes están utilizando malware para robar tokens de sesión y claves API, permitiéndoles acceder a cuentas de IA como Google y OpenAI sin necesidad de contraseñas ni MFA. Estos accesos robados se venden en foros clandestinos para realizar espionaje, robos de recursos o generar costos elevados para las víctimas. Expertos recomiendan implementar tokens de corta duración y tecnologías resistentes al phishing para mitigar este riesgo.

Se reporta que cibercriminales usan malware de robo de información para secuestrar cuentas de Claude y usar sus servicios premium gratis. Anthropic ha detectado estos ataques y ha tomado medidas, como cerrar sesiones y eliminar métodos de pago para proteger a los usuarios. El problema no es una falla de la IA, sino el uso de malware convencional mediante descargas peligrosas.

Se ha detectado un fallo crítico de autenticación en Tata Nexarc, una plataforma de compras B2B en India. Esta vulnerabilidad permitía a los atacantes apoderarse de cuentas conociendo únicamente el número de teléfono móvil registrado, ya que la plataforma exponía la contraseña de un solo uso (OTP) dentro de una respuesta de API descifrable, eliminando la necesidad de interceptar SMS o realizar phishing.

Red Hat ha revelado una vulnerabilidad crítica (CVE-2026-18963) en su versión de Keycloak que permitiría a atacantes remotos no autenticados apoderarse de cuentas de usuario arbitrarias. El fallo, que afecta al proceso de recuperación de contraseñas, tiene una puntuación de gravedad de 9.1 según el CVSS v3.1.

Se vende en foros rusos iAuthFlow v2, un kit de phishing que utiliza un modelo de navegador intermedio para registrar llaves de acceso (passkeys) controladas por el atacante. Esto permite el acceso persistente a cuentas de Google, Microsoft y otras, incluso después de que la víctima cambie su contraseña. Los expertos advierten que la recuperación de cuentas ya no basta con reiniciar contraseñas, sino que requiere una investigación exhaustiva de credenciales y configuraciones alteradas.