Un actor de amenazas está utilizando agentes de IA (como Claude Opus y Cursor) para automatizar la creación y prueba de malware y ransomware. Este flujo de trabajo permite desarrollar rápidamente herramientas para evadir sistemas de detección (EDR) y descubrir vulnerabilidades en Active Directory. Aunque la IA acelera el desarrollo y la implementación de técnicas de ataque, el proceso sigue siendo dirigido enteramente por humanos.

Una nueva y peligrosa variante de ransomware llamada Payload ha estado expandiendo su lista de víctimas globales desde febrero de 2026. El grupo inició sus operaciones con un objetivo de alto perfil y se ha extendido por países como Egipto, México y Polonia. Esta amenaza destaca no solo por su alcance, sino por sus capacidades técnicas de cifrado.

OpenPetya es un proyecto educativo que reconstruye la lógica de un bootkit para analizar cómo el malware toma el control del proceso de arranque, sustituyendo el MBR y cifrando la Master File Table (MFT) mediante el algoritmo Salsa20 antes de iniciar el sistema operativo.

Microsoft Defender for Endpoint ha implementado una función de aislamiento automático de dispositivos. Esta capacidad de contención proactiva permite desconectar estaciones de trabajo comprometidas de la red en el instante en que se detecta un ataque de alta confianza, sin necesidad de intervención humana, con el objetivo de detener la propagación de ransomware.

Microsoft desmanteló la operación de Fox Tempest, un servicio que defraudaba el sistema de firma de certificados de la empresa para disfrazar malware y ransomware como software legítimo. Esta red permitió ataques globales contra sectores de salud, finanzas y gobierno, cobrando entre 5,000 y 9,000 dólares por cada firma fraudulenta. La intervención incluyó la incautación de su sitio web y el cierre de cientos de máquinas virtuales utilizadas para el crimen cibernético.

Microsoft desmanteló Fox Tempest, un servicio ilegal que vendía certificados de firma de código para hacer que el malware pareciera software legítimo. Mediante cuentas fraudulentas, el grupo facilitó la propagación de ransomware y otros virus en miles de equipos, incluidos algunos de la propia Microsoft. La operación fue detectada tras una investigación que incluyó compras encubiertas y el rastreo de pagos en criptomonedas.

El grupo de ransomware The Gentlemen ha desarrollado una de las operaciones cibercriminales más agresivas de los últimos años. Tras surgir públicamente en la segunda mitad de 2025, escalaron rápidamente su actividad hasta convertirse, a principios de 2026, en una de las dos amenazas de ransomware más activas a nivel mundial.

La empresa de tecnología educativa Instructure, propietaria de Canvas, llegó a un acuerdo con el grupo cibercriminal ShinyHunters tras el robo de 3.65 TB de datos de unas 9,000 instituciones. La compañía decidió pagar un rescate para evitar la filtración de 275 millones de registros y asegurar la destrucción de la información robada. Actualmente, trabajan en mejorar su seguridad y advierten sobre posibles campañas de phishing dirigidas a estudiantes y personal afectado.

A diferencia del ransomware tradicional que cifra datos, se ha descubierto una nueva técnica llamada GhostLock. Esta metodología logra interrumpir la operatividad de una organización sin necesidad de cifrar bytes en el disco, sino explotando el comportamiento estándar de archivos compartidos de Windows para bloquear el acceso a los archivos.

La ICO multó con casi 1 millón de libras a la matriz de South Staffordshire Water por fallos graves de seguridad tras un ataque de ransomware de Cl0p en 2022. La brecha, no detectada durante dos años, expuso datos personales y bancarios de más de 600,000 personas debido al uso de software obsoleto y monitoreo insuficiente. La empresa admitió su responsabilidad y afirmó estar invirtiendo en mejorar su resiliencia cibernética.

Investigadores de Rapid7 detectaron que el grupo iraní MuddyWater simuló ser la banda de ransomware Chaos para encubrir una operación de ciberespionaje. Los atacantes utilizaron phishing y manipulación social para robar credenciales y extraer datos sensibles sin cifrar archivos ni pedir rescate. Esta táctica de bandera falsa busca desviar la atención de los defensores y dificultar la atribución del ataque al estado iraní.