Peter Stokes, un ciudadano estadounidense y estonio de 19 años, fue arrestado en Finlandia el 10 de abril de 2026. El joven, quien operaba bajo los alias "Bouquet", "Spencer" y "Jordan", fue identificado como un presunto integrante del grupo de hacking Scattered Spider gracias al rastreo de un identificador de dispositivo persistente de Microsoft, lo que permitió romper su anonimato.

Investigadores han detectado QuimaRAT, un troyano de acceso remoto basado en Java que afecta a Windows, Linux y macOS. Se comercializa como un servicio por suscripción y utiliza una arquitectura modular con plugins cifrados para evadir antivirus. Esta herramienta permite el robo de credenciales, vigilancia por webcam y control total del sistema infectado.

Se ha lanzado T3MP3ST, un nuevo marco de seguridad de código abierto desarrollado por el investigador elder-plinius. Esta herramienta permite transformar agentes de codificación de IA de propósito general (como Claude Code, Codex de OpenAI y Hermes) en operadores autónomos de red-teaming. T3MP3ST funciona como una capa de orquestación multi-agente que no requiere nuevas claves de API ni infraestructura en la nube, convirtiendo a estos agentes en cazadores de vulnerabilidades 0-day.

Citizen Lab reveló que Stelios Kouloglou, exmiembro del Parlamento Europeo, fue hackeado varias veces con el software Pegasus mientras investigaba el abuso de estas herramientas. El ataque permitió el acceso a documentos confidenciales mediante vulnerabilidades de Apple y parece estar vinculado a campañas contra periodistas rusos y bielorrusos. Este caso subraya la preocupación global sobre el uso de spyware comercial para espiar a legisladores y disidentes.

Ciberdelincuentes están utilizando una táctica ingeniosa para evadir las defensas de seguridad ocultando malware dentro de un programa confiable. Investigadores han detectado una campaña que abusa del popular reproductor VLC media player para instalar silenciosamente ValleyRAT, un troyano de acceso remoto que otorga a los atacantes el control total sobre los equipos infectados.

Una nueva modalidad de ataque de suplantación de identidad ejecutiva está afectando a empresas indias, superando en complejidad técnica al fraude de CEO convencional. Esta campaña, denominada "Boss Scam", combina la ingeniería social con una técnica de malware conocida como DLL sideloading para tomar el control de forma silenciosa de las sesiones de WhatsApp Web de altos directivos.

Los investigadores de seguridad ofensiva y los equipos rojos han entrado en una nueva era gracias a la IA, que ahora permite crear herramientas de ataque funcionales a partir de una sola frase. Este concepto, denominado "herramientas desechables", implica el uso de modelos de lenguaje extensos (LLM) para desarrollar y desplegar agentes de ataque rápidamente, lo que representa un desafío real para los defensores de la ciberseguridad.

Se ha presentado RedAmon, una nueva plataforma de seguridad ofensiva de código abierto que redefine las pruebas de penetración automatizadas. Esta herramienta de diseño modular y basada en Docker integra en un único flujo de trabajo el reconocimiento, la explotación, la post-explotación, el triaje mediante IA y la remediación de código, finalizando el proceso con la creación automática de un pull request en GitHub que ya incluye la solución al problema detectando.

Un desarrollador de GitHub ha creado una herramienta de hacking ético que integra diversas utilidades potenciadas por la IA de Claude Code.

Un análisis de seguridad pionero sobre 12 herramientas de seguridad ofensiva agentica ha revelado fallos arquitectónicos críticos. Según los investigadores de Cracken, estas vulnerabilidades permiten que los adversarios roben claves API de LLM, establezcan persistencia y logren el compromiso total del host, incluso cuando se utilizan contenedores aislados (sandboxes).

Según una investigación de Citizen Lab de la Universidad de Toronto, las autoridades rusas utilizaron el dispositivo UFED de la empresa israelí Cellebrite para vulnerar el iPhone del político opositor Andrey Pivovarov en junio de 2021. Este incidente ocurrió meses después de que la firma de vigilancia anunciara públicamente que había finalizado todos sus contratos con clientes rusos.

El modelo de IA Mythos de Anthropic presuntamente logró infiltrarse en casi todos los sistemas clasificados de la Agencia de Seguridad Nacional (NSA) en pocas horas durante una evaluación autorizada de "red-team" el 11 de junio. Este incidente parece ser la causa principal de una directiva general del gobierno de EE. UU. sobre controles de exportación emitida al día siguiente.

La herramienta de código abierto DPAPISnoop ha sido actualizada para permitir la extracción de entradas de CREDHIST. Esta mejora, implementada por Lefteris Panos de LRQA Red Team, facilita la recuperación y el análisis de credenciales históricas de Windows y el descifrado de hashes de claves maestras de DPAPI, permitiendo así el crackeo offline de contraseñas y un estudio más detallado de sus patrones.

Una página de instalación de PHP mal configurada dejó expuesta la infraestructura interna de una plataforma activa de distribución de malware. Esto permitió que un investigador de seguridad obtuviera acceso administrativo accidental al panel de control de un actor de amenazas. Lo que parecía ser un sitio falso de descarga de software resultó ser un sistema backend activo utilizado para distribuir código malicioso.

Ciberdelincuentes están utilizando las herramientas en la nube de Microsoft para localizar discretamente al personal de recursos humanos y nóminas dentro de las redes corporativas. Una vez identificados, los atacantes desvían los salarios de los empleados hacia cuentas bajo su control. Lo más alarmante es que el método es sumamente limpio, ya que no utilizan malware ni explotan vulnerabilidades de software, lo que dificulta la detección por parte de los equipos de seguridad.

Investigadores de Tenet Security descubrieron Agentjacking, un ataque que engaña a agentes de IA para ejecutar código malicioso en máquinas de desarrolladores. El método explota una falla en Sentry mediante la inyección de errores falsos que la IA interpreta como instrucciones legítimas de reparación. Esto permite robar datos sensibles y credenciales, superando las defensas tradicionales ya que el agente actúa con los privilegios del usuario.

Oracle ha alertado sobre una vulnerabilidad crítica de día cero (CVE-2026-35273) en PeopleSoft PeopleTools que permite la ejecución remota de código sin autenticación. El fallo, con una puntuación de riesgo de 9.8, está siendo explotado activamente por el grupo ShinyHunters para robar datos de numerosas organizaciones. Oracle ya ha publicado medidas de mitigación urgentes mientras prepara el parche definitivo.

La Universidad de Nottingham sufrió un ciberataque perpetrado por el grupo ShinyHunters, afectando a más de 450,000 estudiantes y exalumnos. Los atacantes robaron unos 40 GB de datos sensibles, incluyendo información financiera, pasaportes y datos personales. Este incidente es parte de una campaña global que ha comprometido a más de 100 organizaciones mediante vulnerabilidades en el software Oracle PeopleSoft.

Alineados con Corea del Norte están atacando nuevamente a la comunidad de desarrolladores mediante la campaña UNK_DeadDrop. El método consiste en ocultar código malicioso dentro de repositorios de GitHub que parecen legítimos, utilizando ofertas de trabajo falsas y solicitudes de revisión de código para engañar a los programadores y lograr que ejecuten malware en sus propios equipos.

Ha surgido un nuevo grupo de extorsión denominado Pink (rastreado como CL-CRI-1147), que representa una amenaza grave para las organizaciones empresariales. Este grupo utiliza tácticas de ingeniería social para robar credenciales de almacenamiento en la nube y datos sensibles. Pink lanzó su propio sitio de filtración de datos el 31 de mayo de 2026 y ya ha publicado una lista de sus primeras víctimas.