El gobierno de EE. UU. desmanteló "FaceStealer", una campaña de Corea del Norte que robó más de 400 millones de dólares en criptomonedas mediante ingeniería social y *deepfakes*. Los atacantes engañaban a ejecutivos y desarrolladores con reuniones virtuales falsas para instalar malware y grabar sus webcams secretamente. Finalmente, las autoridades lograron neutralizar la infraestructura en la nube y congelar fondos multimillonarios vinculados a estos grupos.

Una brecha de seguridad en Fireworks AI permitió que atacantes robaran claves de acceso, afectando a empresas como Cursor, Uber y Notion. En el caso de Cursor, esto permitió distribuir una versión maliciosa de la extensión Claude Code que instalaba puertas traseras en unos 5,000 usuarios. La empresa ya mitigó el problema, revocó credenciales y confirmó que quienes usaban el Modo Privacidad no fueron afectados.

El FBI y el Departamento de Justicia de EE. UU. desmantelaron operaciones de hackers norcoreanos que robaron millones en criptomonedas mediante esquemas de ingeniería social. Utilizaron deepfakes y videollamadas falsas para engañar a ejecutivos de Web3 y desarrolladores, instalando malware en sus equipos. Estos fondos robados se destinan presuntamente a financiar el programa de armas ilícitas de Pyongyang.

Investigadores han descubierto una técnica llamada TypoPrompting, donde errores tipográficos al escribir las direcciones de herramientas de IA populares redirigen a los usuarios a páginas de verificación falsas, comandos ocultos e instaladores de malware. Se han identificado 186 dominios similares que afectan a 27 marcas de IA, entre ellas ChatGPT, Claude y DeepSeek.

Cursor ha rastreado su brecha de seguridad de octubre hasta una clave de acceso expuesta por Fireworks AI. El atacante utilizó dicha clave para robar registros históricos de agentes de codificación, obtener más credenciales y, finalmente, colocar extensiones de Claude Code con puertas traseras (backdoors) en el caché del mercado de Cursor. La actualización del 13 de noviembre vincula la exposición del proveedor con los paquetes maliciosos descubiertos en octubre.

El malware Remus permite acceder a Gmail incluso tras cambiar la contraseña, demostrando la evolución de las amenazas digitales.

La empresa Enea identificó a SilentAir, un grupo de espionaje probablemente estatal vinculado a China, que hackeó equipos de operadores móviles en Asia para interceptar llamadas y mensajes, principalmente en Taiwán. Los atacantes manipularon protocolos de red para desviar tráfico y robar códigos de autenticación de dos factores de figuras políticas y gubernamentales. Aunque la actividad fue interrumpida, se recomienda a los operadores reforzar sus firewalls y desconfiar de la red IPX.

Check Point lanzó parches de emergencia para corregir la vulnerabilidad CVE-2026-123039, la cual permite a atacantes obtener privilegios de root en diversos dispositivos de seguridad. Se ha detectado que hackers utilizan este fallo, junto con otros, para instalar malware y desplegar wipers destructivos en servidores VMware ESXi. La empresa insta a los clientes a aplicar las actualizaciones inmediatamente o detener el proceso `dynamic_server` como medida temporal.

Un actor de amenazas desconocido explotó vulnerabilidades en gateways de Check Point para obtener acceso inicial y escalar privilegios mediante el fallo CVE-2026-123039. Los atacantes desplegaron el backdoor TSGA y, en algunos casos, utilizaron el malware wiper destroy_v6 para borrar datos en hosts VMware ESXi. Aunque se vinculan herramientas con grupos alineados a China, el uso de contenido político sugiere una posible operación de bandera falsa.

El ransomware Beast cuenta con un panel de control oculto. Al presionar ALT+CTRL y escribir 666 en una máquina Windows infectada, el atacante accede a una interfaz gráfica que le permite seleccionar qué archivos cifrar. A diferencia de la mayoría de los ransomware que operan mediante líneas de comandos, esta función otorga a los criminales un control mucho más directo y manual durante la infección.

Europol y agencias de nueve países desmantelaron la infraestructura de los malware Gootloader, CastleRAT y StealC, incautando 235 servidores y 257 dominios. Esta acción, parte de la "Operación Endgame", permitió recuperar datos de 6.4 millones de víctimas que eran utilizados para ataques de ransomware. Las autoridades instan a los usuarios, especialmente de WordPress, a actualizar sus credenciales y activar la autenticación de doble factor.

Un nuevo malware permite a ciberdelincuentes mantener el acceso a cuentas de Gmail incluso después de cambiar la contraseña.

Europol y sus socios internacionales han desmantelado una infraestructura vinculada a los malwares Gootloader, CastleRAT y StealC, los cuales facilitan el robo de datos y ataques de ransomware. En la acción más reciente de la Operación Endgame, se neutralizaron 235 servidores y 257 dominios, logrando recuperar además 6,4 millones de conjuntos de datos de las víctimas. La operación estuvo enfocada en combatir el modelo de "cibercrimen como servicio".

Atacantes comprometieron paneles de ScreenConnect alojados en la nube para desplegar un kit de herramientas personalizado llamado SCKit. Esta acción afectó a al menos 288 dispositivos gestionados en 48 organizaciones diferentes. Según la firma de seguridad Huntress, el ataque ocurrió el 11 de noviembre de 2026 y todos los equipos fueron impactados en un lapso de aproximadamente 90 minutos.

Un atacante utilizó credenciales robadas de más de 4,800 cuentas de GitHub para implantar un software malicioso en miles de repositorios. El objetivo era robar secretos, tokens y credenciales de nube mediante los flujos de trabajo de CI, afectando a al menos 1,806 proyectos. Se recomienda tratar como comprometidos todos los secretos de los repositorios donde se detecten pull requests titulados docs: dependency audit notes.

Un nuevo grupo de ransomware llamado Citrus está utilizando las Directivas de Grupo de Windows (Group Policy) para propagar su malware a través de redes corporativas completas. Los atacantes abusan de esta herramienta de administración para convertirla en un sistema de entrega y, prioritariamente, para desactivar Microsoft Defender antes de ejecutar el ataque.

Ciberdelincuentes utilizan el ataque homógrafo sustituyendo letras latinas por cirílicas en dominios como apple.com para crear webs falsas que permitan robar credenciales o instalar malware.

Se han detectado marcos de trabajo de hacking y pruebas de penetración impulsados por IA ejecutándose en servidores accesibles desde internet, algunos de los cuales tienen sus consolas de gestión abiertas y sin autenticación. Según datos de Shodan del 7 de noviembre de 2026, se registraron miles de servicios activos, destacando las familias ARTEX, PentAGI y Agent Zero, las cuales conectan modelos de lenguaje con herramientas de seguridad.

Investigadores de ciberseguridad detectaron que la plataforma de IA AntiFox está siendo utilizada para robar credenciales de AWS y realizar intrusiones automatizadas. Estos agentes de IA permiten a los atacantes ejecutar reconocimientos, explotaciones y exfiltración de datos a una velocidad y escala mucho mayores que los métodos manuales. Esta tendencia refleja un aumento en el uso de herramientas autónomas que facilitan ataques complejos incluso para actores con pocos conocimientos técnicos.

Claude Code ha descubierto una técnica denominada Lazarus, capaz de convertir un modelo de IA en un agente durmiente modificando menos de 10 neuronas inactivas. Este método implanta una puerta trasera oculta en los pesos del modelo, permitiendo que un activador externo obligue a la IA a generar comandos para descargar y ejecutar código malicioso.