Una nueva campaña de DCRat está utilizando archivos de imagen SVG para ocultar archivos maliciosos. El ataque comienza con correos de phishing que fingen ser notificaciones legales, instando a los usuarios a abrir un archivo adjunto que parece inofensivo, pero que en realidad contiene malware mediante una técnica conocida como HTML smuggling.

Se ha detectado un nuevo servicio de IA criminal llamado MessiahGPT, el cual se promociona abiertamente en BreachForums. Según el Centro de Investigación Avanzada de Trellix, se trata de un modelo ofensivo diseñado específicamente para crear ransomware, kits de phishing, stealers, crypters y rootkits bajo demanda. El servicio opera a través de una plataforma web y una comunidad activa en Telegram.

El grupo Lazarus de Corea del Norte utiliza ofertas de empleo falsas en LinkedIn para atacar empresas de defensa y aeroespaciales en varios países. Emplean un fallo de seguridad zero-day en Windows y visores de PDF maliciosos para instalar puertas traseras y robar datos sensibles. La campaña destaca por su sofisticación al suplantar identidades corporativas y usar infraestructura legítima comprometida para evadir la detección.

Un vuelo de Delta Air Lines que transportaba a asistentes de la conferencia de hacking más grande del mundo se vio envuelto en un incidente de ciberseguridad. Se reportó que alguien a bordo bloqueó la señal de Wi-Fi oficial del avión y creó una red falsa convincente diseñada para realizar phishing a los demás pasajeros.

Una operación de phishing está utilizando certificados web y direcciones seleccionadas para engañar a clientes de marcas de alto valor a través de WhatsApp. La actividad busca que las páginas fraudulentas parezcan legítimas a simple vista, convirtiendo las señales de seguridad habituales en parte del engaño mediante el uso de sitios falsos con nombres similares a los originales.

El grupo Kimsuky, a través de la Operación GitPower, está utilizando documentos generados por IA combinados con tácticas de phishing tradicionales para distribuir AsyncRAT, un troyano de acceso remoto. Esta campaña demuestra cómo el uso de contenido redactado profesionalmente mediante IA puede otorgar mayor credibilidad a métodos de entrega antiguos, como el uso de archivos ZIP con accesos directos de Windows.

El grupo Payroll Pirates está utilizando correos de phishing para secuestrar sesiones de Microsoft 365 y acceder a buzones relacionados con el pago de nóminas. La campaña suplanta notificaciones de mensajes de voz para dirigir a las víctimas a un portal fraudulento, logrando evadir la autenticación de múltiples factores (MFA) para cometer fraudes financieros.

Ciberdelincuentes utilizan actualizaciones falsas de Adobe y Zoom mediante la campaña SMOKE#SCREEN para instalar ScreenConnect y obtener acceso remoto persistente a los sistemas de las víctimas.

Durante julio de 2026, los ciberdelincuentes demostraron que herramientas empresariales confiables, como las páginas de autenticación de Microsoft, las invitaciones a eventos de Zoom y portales gubernamentales oficiales, pueden ser utilizadas como armas contra objetivos corporativos. Según investigaciones de ANY.RUN, atacantes en Estados Unidos, Europa y Brasil explotaron sistemáticamente los flujos de trabajo rutinarios para evadir controles de seguridad, robar credenciales y mantener el acceso.

La actividad global de phishing como servicio (PhaaS) aumentó a 7.295 cargas rastreadas entre el 20 y 26 de julio de 2026. Este crecimiento fue impulsado principalmente por el abuso del flujo de códigos de dispositivo OAuth y kits de adversario en el medio (AiTM) dirigidos a identidades de Microsoft 365. Por su parte, el grupo cibercriminal Storm-1747, operador de Tycoon2FA, registró 50 cargas, una cifra menor a la semana anterior debido a la presión de las autoridades sobre su infraestructura.

Investigadores detectaron HollowFrame y Matryoshka, un cargador y un backdoor diseñados para infiltrarse en sistemas mediante phishing. Estas herramientas permiten la ejecución remota de comandos, el robo de credenciales y el movimiento lateral, utilizando técnicas de evasión y GitHub para el control. El ataque, que afectó a una firma de abogados, empleó una cadena de etapas para dificultar su detección y atribución.

Norcoreanos utilizan un kit de phishing que suplanta a Zoom y Microsoft Teams para robar carteras de criptomonedas y sesiones de Telegram. Emplean ingeniería social, deepfakes de IA y dominios falsos para engañar a víctimas de alto valor, instalando malware mediante falsas actualizaciones de software. El ataque es autocontenido, ya que usan las cuentas comprometidas para infectar a nuevos contactos.

Investigadores de ciberseguridad revelaron una campaña de fraude activa desde 2017 que utiliza sitios web clonados de grandes empresas rusas para estafar a firmas internacionales. Los atacantes engañan a clientes B2B mediante phishing y llamadas, solicitando pagos anticipados por productos inexistentes a través de cuentas bancarias falsas. La operación ha desplegado casi 100 dominios fraudulentos en varios idiomas, afectando la reputación de las empresas legítimas y causando pérdidas económicas significativas.

El vishing ya no se limita a llamadas convincentes y páginas falsas. Se ha detectado una nueva plataforma criminal llamada Work Panel que centraliza la investigación de objetivos, la gestión de llamadas, la creación de sitios de phishing y el manejo de credenciales robadas en una sola operación web. Esto permite que el proceso desde la suplantación de un servicio de soporte técnico hasta la toma de control de cuentas empresariales sea mucho más rápido.

El grupo ruso Laundry Bear está explotando una vulnerabilidad XSS en Microsoft Outlook Web Access para atacar entidades gubernamentales y sectores estratégicos en EE. UU. y Europa. Utilizan ataques de medio clic donde basta abrir el correo para instalar OWAReaper, un sofisticado malware que roba credenciales y accede a buzones completos. Este implante es altamente persistente, ya que sobrevive al formateo de dispositivos y al cambio de contraseñas al operar directamente en el servidor y el navegador.

Vinculados a la inteligencia rusa están intentando secuestrar cuentas de Signal haciéndose pasar por personal de soporte técnico. Su objetivo es obtener las claves de recuperación de copias de seguridad de personas con acceso a información sensible, como funcionarios, militares, figuras políticas, periodistas y líderes ucranianos. Esta campaña se basa en el engaño y el phishing, y no en una vulnerabilidad del cifrado de extremo a extremo de la aplicación.

Las campañas de phishing generadas por IA están evolucionando y ya no dependen del malware tradicional. Ahora, los atacantes actúan directamente en el navegador web para secuestrar sesiones activas, evadir la autenticación de múltiples factores (MFA) y saltarse los controles de seguridad convencionales, lo que obliga a los centros de operaciones de seguridad (SOC) a replantear sus estrategias de detección y contención.

Víctimas de recientes filtraciones de datos están recibiendo correos electrónicos alarmantes en los que se afirma que fueron grabadas a través de sus webcams. Los estafadores utilizan el nombre de ShinyHunters y mencionan el correo electrónico real del receptor para hacer el fraude más personal e intimidante. El objetivo es presionar a las víctimas para que envíen Bitcoin rápidamente.

Se ha descubierto una vulnerabilidad crítica en los Agentes de Espacio de Trabajo de ChatGPT de OpenAI, denominada AgentForger. Este fallo permitía que, mediante un solo enlace de phishing, un atacante pudiera construir, configurar y publicar de forma silenciosa un agente autónomo bajo su control dentro de la organización de la víctima. A diferencia del CSRF tradicional, que falsifica una sola solicitud, AgentForger es capaz de crear un agente de IA autónomo completo operando internamente.

Kyle Svara, un hombre de Illinois, fue sentenciado a 76 meses de prisión por hackear las cuentas de Snapchat de más de 750 mujeres para robar y vender fotos íntimas. El acusado utilizó tácticas de ingeniería social y phishing, además de distribuir material de abuso sexual infantil. Svara también ofrecía sus servicios de hackeo a terceros, incluyendo a un entrenador universitario ya condenado.