El grupo UNC6692 utiliza Microsoft Teams y bombardeo de correo con ingeniería social para engañar a empleados y desplegar el malware Snow, que permite control remoto, movimiento lateral y robo de Active Directory.

La Dark Web comercializa servicios de Deepfake-as-a-Service, incluyendo clonación de voz en tiempo real, vídeos deepfake y kits de fraude completos, usados en ataques como suplantación de CEOs para transferencias millonarias (ej: 220.000€ en Reino Unido o 25M$ en Hong Kong). Aunque herramientas públicas como ElevenLabs o DeepFaceLab facilitan estos ataques, la Dark Web ofrece servicios "llave en mano" con soporte para llamadas y verificación de identidad. El vishing con deepfakes ha crecido un 1600%, y 1 de cada 4 personas ha recibido llamadas con voces sintéticas.

Un actor de amenazas norcoreano conocido como Sapphire Sleet ha lanzado una nueva campaña dirigida a usuarios de macOS, utilizando una actualización falsa del SDK de Zoom para engañar a las víctimas y hacer que ejecuten archivos maliciosos que roban contraseñas, activos de criptomonedas y datos personales.

Un ataque de ingeniería social durante 6 meses permitió a delincuentes robar 285 millones de dólares del protocolo Drift (Solana) el 1 de abril de 2026, tras ganarse la confianza del equipo mediante reuniones presenciales, depósitos de fondos y suplantación de una empresa legítima. Los atacantes, vinculados al Grupo Lazarus (Corea del Norte), explotaron vulnerabilidades en contratos inteligentes y herramientas como VS Code para obtener firmas digitales y autorizar el robo. Drift colabora con autoridades y forenses para rastrear los fondos, mientras el ecosistema cripto alerta sobre riesgos similares.

Microsoft alerta sobre una campaña de malware VBS distribuida vía WhatsApp que omite el UAC en Windows usando ingeniería social y herramientas legítimas renombradas, alojando cargas en AWS, Tencent Cloud y Backblaze B2 para instalar paquetes MSI maliciosos y obtener acceso remoto persistente.

Una campaña de ingeniería social altamente coordinada está atacando activamente a los principales desarrolladores de código abierto en el ecosistema de Node.js y npm. Tras el reciente compromiso del popular paquete Axios, que registra más de 100 millones de descargas semanales, varios mantenedores de software de alto impacto han reportado ataques similares.

Los atacantes han encontrado una nueva forma de distribuir malware al aprovechar una de las herramientas cotidianas más confiables: Google Forms. Una campaña recientemente identificada está explotando señuelos con temática empresarial, incluyendo falsas entrevistas de trabajo, briefs de proyectos y documentos financieros, para instalar un Troyano de Acceso Remoto (RAT) conocido como PureHVNC en los equipos de las víctimas. 

Un grupo de amenazas conocido como APT-Q-27 ha estado llevando a cabo una campaña activa contra equipos de soporte al cliente de Web3, utilizando enlaces falsos de capturas de pantalla en ventanas de chat en vivo para instalar silenciosamente una puerta trasera persistente en las máquinas de las víctimas. El ataque se dirige a la parte más humana de cualquier organización —el agente de soporte que responde a los tickets— en lugar de explotar vulnerabilidades de software

Los atacantes usan phishing con device code y vishing para comprometer cuentas de Microsoft Entra y Microsoft 365, abusando del flujo OAuth 2.0 con herramientas como SquarePhish2 (automatiza ataques) y Graphish (crea páginas falsas). El ataque engaña a víctimas para que ingresen códigos en microsoft.com/devicelogin, completando MFA sin robar credenciales, lo que permite acceso persistente a datos corporativos. Los equipos SOC no lo detectan fácilmente porque el tráfico es cifrado y usa dominios legítimos, requiriendo monitoreo de tokens OAuth y comportamiento anómalo.

Ciberatacantes vinculados a Corea del Norte explotaron Kubernetes y Cloud SQL en un sofisticado ataque que comenzó con ingeniería social en el dispositivo de un desarrollador, instalando un backdoor para acceder a la infraestructura cloud. Usaron credenciales robadas y manipularon workflows DevOps para escalar privilegios, modificar bases de datos y robar millones en criptomonedas. El grupo UNC4899 empleó técnicas “living-off-the-cloud” para evadir detección. Se recomienda MFA resistente al phishing y monitorización de contenedores.

Microsoft alerta sobre los ataques ClickFix que engañan a usuarios de Windows para ejecutar malware mediante comandos peligrosos en la terminal.

Microsoft alerta sobre ClickFix, una técnica de ingeniería social que engaña a usuarios de Windows y Mac para ejecutar comandos maliciosos mediante DNS, descargando malware como ModeloRAT o Lumma Stealer. Se distribuye vía phishing, malvertising o CAPTCHAs falsos, con variantes como FileFix o CrashFix. Los atacantes usan dominios antiguos y herramientas como CastleLoader para evadir detecciones, afectando principalmente a India, EE.UU. y Europa. La amenaza explota la confianza del usuario y prioriza el robo de criptomonedas, incluso en Mac, donde los cibercriminales firman malware con certificados válidos de Apple.

Detectan una nueva campaña de phishing que suplanta a Booking.com mediante correos electrónicos y WhatsApp, afectando a hoteles y clientes. Los atacantes usan ingeniería social y un kit de phishing para robar credenciales y contactar a huéspedes con datos reales de reservas. Investigadores de Bridewell alertan sobre el riesgo, especialmente para quienes hayan reservado recientemente. Se recomienda extrema precaución ante mensajes sospechosos.

Una nueva evolución en la campaña de ingeniería social ClickFix, que ahora emplea una técnica personalizada de secuestro de DNS para distribuir malware. Este método de ataque engaña a los usuarios para que ejecuten comandos maliciosos que utilizan búsquedas de DNS para obtener la siguiente fase de la infección, permitiendo a los atacantes eludir los métodos tradicionales de detección y mezclarse con el tráfico normal de la red.

Investigadores de FortiGuard Labs descubrieron una campaña de malware multietapa que abusa de servicios legítimos como GitHub, Dropbox y la herramienta DefendNot para desactivar Windows Defender y desplegar ransomware y Amnesia RAT, combinando ingeniería social con tácticas "living off the land" para evadir detecciones.

El correo electrónico sigue siendo el principal vector de ataques cibernéticos, con un aumento del 130% en malware y del 30% en estafas. El 78% de las organizaciones sufrieron filtraciones en el último año, impulsadas por phishing, suplantación de identidad y apropiación de cuentas. Sectores como manufactura (26%), retail (20%) y salud (19%) son los más afectados. Los ataques de ingeniería social representan el 99% de las amenazas, mientras que solo el 1% incluye malware. Además, el 90% de los correos son spam, con tácticas cada vez más sofisticadas como phishing de devolución de llamada.

Se confirmó una filtración de datos de 17,5 millones de cuentas de Instagram con información confidencial como nombres de usuario, correos, teléfonos y direcciones postales, sin claridad sobre su origen. Los datos circulan en mercados clandestinos y ya hay explotación activa con intentos de restablecimiento de contraseñas. Instagram ha iniciado medidas de seguridad, pero persisten riesgos de fraude, suplantación y robo de cuentas.