Una vulnerabilidad crítica en Apache ActiveMQ ha sido explotada activamente por actores de amenazas, lo que ha llevado al despliegue completo del ransomware LockBit en una red empresarial. Los atacantes aprovecharon la CVE-2023-46604, una falla de ejecución remota de código en el broker de mensajería ActiveMQ, para infiltrarse en un servidor Windows expuesto y, finalmente, cifrar sistemas a través del Protocolo de Escritorio Remoto (RDP),

El sector financiero sigue siendo un objetivo principal para los ciberdelincuentes, ya que protege no solo grandes sumas de dinero, sino también datos personales sensibles, sistemas de pago y la confianza económica. Informes recientes destacan amenazas en aumento, con un 65% de las organizaciones financieras afectadas por ransomware en 2024, la tasa más alta entre todas las industrias, mientras que los costos promedio de recuperación, excluyendo los rescates, alcanzaron los 2,73 millones de dólares.

Cartas de notificación sobre la fuga de datos de Conduent enviadas a millones de personas mientras un grupo de ransomware afirma haber robado 8 terabytes en uno de los mayores incidentes en EE.UU. Las cartas comenzaron a llegar este mes a los afectados, detallando una importante filtración de datos en Conduent Business Services, LLC, un contratista tecnológico gubernamental que procesa pagos, reclamaciones de salud y servicios administrativos para clientes en todo el país. 

Un actor de amenazas rusoparlante con motivaciones financieras utilizó herramientas comerciales de IA generativa para comprometer más de 600 dispositivos FortiGate en 55 países, explotando puertos de administración expuestos y credenciales débiles sin vulnerabilidades conocidas. La IA permitió a un atacante con capacidades técnicas limitadas escalar ataques, incluyendo robo de configuraciones, acceso a Active Directory y preparación para ransomware. Los dispositivos afectados se concentran en Latinoamérica, Asia y Europa, y el ataque se basó en escaneos automatizados de puertos y credenciales reutilizadas. Amazon recomienda proteger interfaces de administración, usar autenticación multifactor y auditar accesos no autorizados.

La CISA alerta sobre la explotación activa de la vulnerabilidad CVE-2026-1731 en BeyondTrust Remote Support y Privileged Remote Access, usada en ataques de ransomware, instando a parchear urgentemente sistemas on-prem/self-hosted expuestos.

Advantest Corporation, líder en equipos de prueba para semiconductores, confirmó un ataque de ransomware en su red corporativa el 15 de febrero, sin evidencia aún de filtración de datos pero resaltando riesgos para la cadena tecnológica global.

Ha surgido una peligrosa nueva versión del ransomware LockBit, que está atacando múltiples sistemas operativos y amenazando a empresas en todo el mundo. LockBit 5.0, lanzada en septiembre de 2025, representa una gran actualización de una de las familias de ransomware más activas en los últimos años. Esta versión es compatible con plataformas Windows, Linux y ESXi, lo que la convierte en una amenaza versátil capaz de atacar diversos entornos.

El hotel confirmó que varios de sus servidores fueron comprometidos en un ataque de ransomware, interrumpiendo partes de su red interna y desencadenando una investigación en curso sobre una posible exposición de datos. Según el comunicado oficial de la Washington Hotel Corporation, el incidente fue detectado por primera vez alrededor de las 10:00 PM del viernes 13 de febrero de 2026, cuando se identificó acceso no autorizado.

Un sofisticado cargador de malware conocido como OysterLoader ha surgido como una amenaza significativa en el panorama de la ciberseguridad, empleando múltiples capas de ofuscación para evadir la detección y entregar cargas peligrosas. Identificado por primera vez en junio de 2024 por Rapid7, este malware en C++ se distribuye principalmente a través de sitios web falsos que suplantan aplicaciones de software legítimas como PuTTy, WinSCP y Google Authenticator.

El panorama del ransomware sigue evolucionando con nuevos actores de amenazas que adoptan tácticas poco convencionales. Coinbase Cartel surgió en septiembre de 2025, logrando rápidamente 14 víctimas en su primer mes de operación. A diferencia de los grupos tradicionales de ransomware, este actor de amenazas se centra exclusivamente en la exfiltración de datos sin cifrar sistemas, lo que representa un cambio en las estrategias de los ciberdelincuentes. 

El panorama de las ciberamenazas está presenciando el resurgimiento de la botnet Phorpiex, una plataforma de malware como servicio con más de una década de actividad. En una reciente campaña de alto volumen, los atacantes están distribuyendo correos electrónicos de phishing con la línea de asunto engañosa "Su Documento".

Los actores de ransomware están constantemente perfeccionando sus arsenales para eludir las defensas modernas. Una campaña reciente del grupo Black Basta ha introducido un cambio táctico significativo al incorporar un componente de "Bring Your Own Vulnerable Driver" (BYOVD) directamente en el propio payload del ransomware. Esta integración representa una desviación notable de los procedimientos operativos estándar, donde las herramientas de evasión de defensas.

ShadowSyndicate, un grupo de actividad maliciosa identificado por primera vez en 2022, ha evolucionado sus técnicas de gestión de infraestructura al adoptar un método de transición de servidores que permite al actor de amenazas rotar claves SSH en múltiples servidores. Este nuevo enfoque dificulta que los equipos de seguridad rastreen las operaciones del grupo. 

Los actores de amenazas están atacando activamente instancias de MongoDB expuestas en internet en campañas automatizadas de ransomware a gran escala. Los ataques siguen un patrón consistente: los atacantes escanean bases de datos de MongoDB no protegidas accesibles en internet, eliminan los datos almacenados e insertan notas de rescate exigiendo el pago en Bitcoin. Evidencias recientes indican que estas campañas siguen siendo altamente rentables a pesar de que las demandas de rescate suelen ser modestas.

El gigante de ropa deportiva Nike está investigando activamente un posible incidente de ciberseguridad después de que el grupo de ransomware WorldLeaks, motivado económicamente, reclamara la responsabilidad de una importante brecha de datos que afecta a la empresa. El grupo anunció la brecha en su sitio de filtraciones en la darknet el 22 de enero de 2026, afirmando haber exfiltrado más de 1,4 terabytes de datos internos y amenazando con publicar la información.