ShadowSyndicate, un grupo de actividad maliciosa identificado por primera vez en 2022, ha evolucionado sus técnicas de gestión de infraestructura al adoptar un método de transición de servidores que permite al actor de amenazas rotar claves SSH en múltiples servidores. Este nuevo enfoque dificulta que los equipos de seguridad rastreen las operaciones del grupo. 

Los equipos de seguridad empresariales enfrentan un nuevo desafío sofisticado, ya que los ciberdelincuentes están explotando cada vez más plataformas en la nube de confianza para lanzar ataques de phishing. En lugar de depender de dominios recién registrados y sospechosos, los actores de amenazas ahora alojan su infraestructura maliciosa en servicios legítimos como Microsoft Azure Blob Storage, Google Firebase y AWS CloudFront. 

Una campaña de reconocimiento a gran escala dirigida a la infraestructura de Citrix ADC Gateway y NetScaler Gateway fue detectada entre el 28 de enero y el 2 de febrero de 2026 por la GreyNoise Global Observation Grid. La operación coordinada combinó la rotación de proxies residenciales para el descubrimiento de paneles de inicio de sesión con escaneos concentrados de divulgación de versiones alojados en AWS, generando más de 111,834 sesiones desde más de 63,000 direcciones IP únicas.]

Investigadores han identificado una nueva campaña de malware en Windows que usa Pulsar RAT y Stealerv37, destacando por su interacción en tiempo real con las víctimas mediante chats, rompiendo el modelo tradicional de infecciones silenciosas.

APT28, el grupo de amenazas persistentes avanzadas vinculado a Rusia, ha lanzado una campaña sofisticada dirigida a Europa Central y del Este utilizando una vulnerabilidad de día cero en Microsoft Office. Los actores de amenazas aprovecharon archivos Microsoft Rich Text Format (RTF) especialmente diseñados para explotar la vulnerabilidad y distribuir puertas traseras maliciosas a través de una cadena de infección de múltiples etapas. 

El grupo de amenazas ShinyHunters ha ampliado sus operaciones de extorsión con métodos de ataque sofisticados dirigidos a sistemas basados en la nube en múltiples organizaciones. Estos ciberdelincuentes utilizan phishing de voz y sitios web falsos de recolección de credenciales para robar información de inicio de sesión de los empleados. Una vez que obtienen acceso, extraen datos sensibles de aplicaciones de software en la nube y utilizan esta información para exigir pagos de rescate

El panorama de la ciberseguridad ha entrado en una peligrosa nueva fase en la que los agentes autónomos de IA están pasando de ser simples herramientas de automatización a convertirse en sofisticados operadores criminales. Estos sistemas autodirigidos ahora ejecutan ciberataques complejos sin supervisión humana, lo que marca un cambio fundamental en la forma en que surgen y se propagan las amenazas digitales en las redes de todo el mundo. 

Los actores de amenazas están atacando activamente instancias de MongoDB expuestas en internet en campañas automatizadas de ransomware a gran escala. Los ataques siguen un patrón consistente: los atacantes escanean bases de datos de MongoDB no protegidas accesibles en internet, eliminan los datos almacenados e insertan notas de rescate exigiendo el pago en Bitcoin. Evidencias recientes indican que estas campañas siguen siendo altamente rentables a pesar de que las demandas de rescate suelen ser modestas.

Una sofisticada campaña de ataques aprovecha una vulnerabilidad crítica en FreePBX para desplegar una webshell persistente denominada "EncystPHP", permitiendo a los actores de amenazas obtener control administrativo completo sobre sistemas VoIP comprometidos. La campaña, iniciada a principios de diciembre de 2025, explota la CVE-2025-64328, una falla de inyección de comandos post-autenticación en el Endpoint Manager de FreePBX. 

La cuenta de GitHub de ClawdBot fue secuestrada en 10 segundos por estafadores crypto, quienes crearon tokens falsos con $16M de capitalización antes de colapsar un 90%, generando pérdidas millonarias para inversores.

El gigante de ropa deportiva Nike está investigando activamente un posible incidente de ciberseguridad después de que el grupo de ransomware WorldLeaks, motivado económicamente, reclamara la responsabilidad de una importante brecha de datos que afecta a la empresa. El grupo anunció la brecha en su sitio de filtraciones en la darknet el 22 de enero de 2026, afirmando haber exfiltrado más de 1,4 terabytes de datos internos y amenazando con publicar la información.

Una importante operación de robo de identidad está atacando ahora a más de 100 organizaciones de alto valor en múltiples industrias. La amenaza proviene de SLSH, una peligrosa alianza que combina las tácticas de Scattered Spider, LAPSUS$ y ShinyHunters. A diferencia de los ataques automatizados típicos, esta campaña utiliza personas reales que llaman a tus empleados mientras ejecutan simultáneamente páginas de inicio de sesión falsas que parecen idénticas a las de tu empresa 

Alineados con Corea del Norte han lanzado una nueva campaña que convierte la inteligencia artificial en un arma contra equipos de desarrollo de software. Utilizando código PowerShell escrito con IA, el grupo conocido como KONNI está distribuyendo una puerta trasera sigilosa que mezcla contenido real de proyectos con scripts maliciosos. 

Un exhacker que robó 120.000 Bitcoins hace una década y cumplió condena ahora afirma que sus habilidades ayudarán a evitar futuros hackeos multimillonarios, buscando redención tras su pasado delictivo.