Comprometieron la infraestructura de Onamae Desktop Cloud en Japón, instalando malware en hasta 26,739 servidores de clientes. La empresa suspendió el servicio para contener la intrusión y advirtió que, aunque la información de pago está a salvo, los datos almacenados y las contraseñas podrían haber sido expuestos. Se recomienda a los usuarios cambiar sus credenciales y estar alerta ante posibles ataques de phishing.

Un grupo de cibercrimen llamado CyberCartel utilizó agentes de inteligencia artificial para coordinar ataques contra más que 400 bancos y organizaciones financieras en América Latina. Según un informe de la empresa Straiker, los atacantes emplearon modelos de IA de Anthropic, xAI y Moonshot AI para planificar y ejecutar diversas fases de sus operaciones.

Se ha detectado una campaña de ataques contra firewalls y sistemas VPN expuestos a Internet, específicamente dirigidos a dispositivos FortiGate y FortiWeb de Fortinet, así como a portales GlobalProtect de Palo Alto Networks. El objetivo de los atacantes es robar credenciales y obtener un acceso permanente a las redes corporativas, utilizando contraseñas almacenadas en las configuraciones de los dispositivos para desplazarse dentro de la red.

Los cibercriminales están utilizando navegadores "antidetect" impulsados por IA para gestionar redes masivas de cuentas falsas. Según Check Point Research, estas herramientas permiten que un solo operador haga parecer que miles de perfiles provienen de diferentes personas, dispositivos y ubicaciones, logrando así evadir los sistemas de seguridad y detección de las plataformas sociales.

El grupo de ciberespionaje ruso APT28 utilizó el backdoor Hookedge para infiltrarse en la red de un constructor naval de un estado miembro de la OTAN. Durante una intrusión que duró al menos dos meses, los atacantes robaron credenciales de acceso y establecieron un túnel SSH oculto.

El grupo de ransomware conocida como The Gentlemen emplea una combinación de manipulación de seguridad, interrupción de servicios y cifrado de archivos para dificultar la recuperación de las organizaciones afectadas. Su malware para Windows puede desactivar la protección en tiempo real de Microsoft Defender, añadir exclusiones amplias para reducir el escaneo, detener los servicios de copia de seguridad y eliminar las copias de sombra del volumen, debilitando así las defensas del sistema.

Grupos vinculados a China, identificados como BRONZE SANDCASTLE, están utilizando aplicaciones confiables de Windows para cargar puertas traseras ocultas. Este grupo coloca archivos maliciosos junto a software legítimo para ejecutar código controlado por ellos sin alterar la aplicación original, logrando así recopilar detalles del sistema y robar credenciales de Active Directory.

La versión 1.107.0 de LiteLLM fue comprometida en PyPI el 21 de octubre de 2026, distribuyendo un robador de credenciales y un troyano de acceso remoto (RAT) a través de sus archivos wheel. Esta versión maliciosa también afectó a las imágenes de Docker, poniendo en riesgo sistemas de desarrolladores y servicios de IA. Aikido advirtió que quienes instalaron esta versión deben asumir que sus credenciales han sido comprometidas.

Un grupo comprometió 333 nodos de salida de Tor, lo que representa aproximadamente una décima parte del total, para redirigir las conexiones SSH hacia servidores diseñados para robar contraseñas. La campaña, iniciada el 2 de octubre, se centró en interceptar inicios de sesión en servidores remotos y tráfico de correo electrónico no cifrado.

Una investigación reciente reveló que los operadores de ransomware utilizaron herramientas de IA comerciales para planificar intrusiones, gestionar datos de víctimas y preparar extorsiones. Sin embargo, debido a un servidor expuesto públicamente, se filtraron las sesiones de chat de la IA, credenciales robadas y notas de campaña, permitiendo a los investigadores analizar cómo los utilizaron Claude AI para sus ataques y posteriormente expusieron sus propios secretos accidentalmente.

Vinculados a ataques asistidos por IA contra bancos de Corea del Sur dejaron expuestas partes de su propia infraestructura, permitiendo que los investigadores analizaran sus herramientas y preparativos. Los archivos revelaron una operación más amplia que incluye herramientas para el robo de criptomonedas, ataques a Linux y pruebas de seguridad móvil, yendo más allá de la campaña bancaria.

Nikkei Inc. sufrió su tercera filtración de datos en un mes, afectando a 1.83 millones de registros, de los cuales 150,000 contenían información personal sensible. El acceso ocurrió el 7 de octubre mediante el uso de credenciales robadas en un sistema de desarrollo en la nube. Aunque la empresa ya revocó los accesos y notificó a las autoridades, aún investiga el alcance total del incidente.

Una campaña denominada GhostAction ha implantado flujos de trabajo maliciosos en 790 repositorios de GitHub. El objetivo de este ataque es comprometer credenciales de la nube, tokens de publicación de software y claves de servicios de IA. Según OpenSourceMalware, estas cifras corresponden a repositorios validados y recuperables públicamente hasta octubre de 2026, aunque no implica que todos hayan sufrido el robo de credenciales o un uso indebido confirmado.

Según una investigación de Reuters, un hacker de habla china utilizó agentes de IA para vulnerar más de 100 sitios web de diversas empresas. La operación tuvo un coste estimado de 5.000 dólares en tokens de IA y demuestra cómo una sola persona puede dirigir software para ejecutar ataques complejos con una intervención humana mínima. Entre los objetivos se encontraban sitios vinculados a la empresa Deere.

Comprometieron la cuenta de GitHub de un desarrollador de OVHcloud para distribuir archivos maliciosos a través de las versiones oficiales de su herramienta de línea de comandos (CLI). El ataque de cadena de suministro, ocurrido el 19 de octubre de 2026, tenía como objetivo robar secretos almacenados en los ordenadores de los usuarios. La brecha fue detectada gracias a un cliente que alertó sobre cambios sospechosos en las versiones publicadas.

Están explotando un fallo de inyección de comandos en SiteGuard Server Edition, un firewall de aplicaciones web. Esta vulnerabilidad, identificada como CVE-2026-106931, afecta a la función de estadísticas del producto y podría permitir que los atacantes ejecuten comandos del sistema operativo con privilegios de root o SYSTEM, otorgándoles potencialmente el control total del servidor afectado.

Están aprovechando fallos de seguridad en Plex Media Server para instalar malware de minería de criptomonedas. Un investigador registró ataques exitosos el 17 de octubre de 2026, utilizando el exploit público Plex2Shell, el cual encadena cuatro vulnerabilidades para ejecutar código sin necesidad de iniciar sesión. También se ha detectado la ejecución de software de proxy junto al malware.

Están utilizando trucos de ClickFix para instalar cargadores de malware y túneles de Python en sistemas Windows. Este método crea un acceso que podría facilitar ataques de ransomware. Un incidente ocurrido a finales de septiembre demostró cómo la ejecución de un comando puede iniciar una cadena de infección basada en programas confiables de Microsoft, código oculto y tráfico de red cifrado, aunque el ataque fue detenido antes de que el ransomware se desplegara.

Una nueva investigación revela que una campaña dirigida a organizaciones gubernamentales e infraestructuras estatales utilizó scripts asistidos por IA para robar credenciales, mantener el acceso a servidores Linux y buscar datos sensibles. Los atacantes modificaron los archivos de inicio de la shell de los usuarios para interceptar el comando sudo, copiando las contraseñas introducidas en un archivo antes de transmitirlas al comando real.

Investigadores advierten sobre una vulnerabilidad crítica (CVE-2026-103849) en Magento y Adobe Commerce que permitiría a hackers ejecutar código PHP en los servidores. Aunque Adobe le asignó una prioridad media, expertos de Sansec alertan que el uso de IA podría facilitar ataques masivos rápidamente. Se insta a los administradores a aplicar urgentemente los parches de octubre y los hotfixes previos para mitigar el riesgo.