CyberXero ha surgido como un agente de acceso inicial que utiliza herramientas de hacking tradicionales combinadas con inteligencia artificial para ejecutar intrusiones a gran escala. Este operador de habla rusa ha atacado sitios de WordPress y comercio electrónico en todo el mundo, además de investigar organizaciones de energía y servicios públicos en Ucrania. La campaña fue descubierta tras la exposición de un directorio abierto con más de 90.000 archivos, incluyendo scripts y sesiones de IA.

La policía holandesa arrestó a Pepijn van der Stap, un hacker de 24 años previamente condenado, como parte de una investigación sobre el grupo ShinyHunters. El sospechoso es vinculado al grupo debido al uso del alias "Umbreon", aunque representantes de ShinyHunters han negado cualquier relación con él. Van der Stap comparecerá ante un tribunal de Róterdam el 29 de septiembre.

Operadores de WaterPlum, vinculados a Corea del Norte, han utilizado la búsqueda de empleo como método de robo. Mediante la suplantación de reclutadores, convencieron a desarrolladores de software para ejecutar archivos maliciosos durante entrevistas laborales falsas. Esta campaña, denominada Contagious Interview, afectó al menos a 30,000 computadoras en más de 100 países entre diciembre de 2025 y julio de 2026.

El grupo de ciberdelincuentes ShinyHunters afirma haber vulnerado los sistemas del FBI mediante un fallo "zero-day" de Oracle PeopleSoft, robando entre 2 y 3 TB de datos sensibles de empleados y aspirantes. Según los atacantes, la acción es una represalia para que el FBI retire un informe previo sobre sus actividades. Aunque han publicado pruebas y desfigurado un sitio web de la agencia, la autenticidad total de la brecha aún no ha sido verificada independientemente.

Una técnica de envenenamiento de caché web denominada inyección de claves de caché podría permitir que los atacantes accedan a datos restringidos, interrumpan sitios web o contaminen páginas almacenadas con contenido malicioso. La investigación de Alex Brumen demuestra que los atacantes no siempre necesitan explotar valores de solicitud HTTP no indexados, sino que pueden abusar de valores que ya están incluidos en el sistema.

Un grupo está utilizando canales de YouTube y técnicas de manipulación de motores de búsqueda (SEO) para engañar a los usuarios. A través de videos de juegos y búsquedas comunes, dirigen a las víctimas hacia instaladores que aparentan ser software útil, herramientas de juegos o mejoras de rendimiento, pero que en realidad instalan malware. Esta operación, denominada CL-CRI-1171, funciona bajo un modelo de pago por instalación, facilitando así el acceso de otros criminales a los sistemas comprometidos.