Ciberdelincuentes están manipulando Node.js, el entorno de ejecución de JavaScript, para introducir código malicioso evitando las defensas de seguridad. Según el equipo de Symantec Threat Hunter, desde febrero de 2026, diversos atacantes han abusado de esta herramienta firmada digitalmente para ejecutar malware, afectando a empresas tecnológicas, hoteles y departamentos gubernamentales.

La operación de ransomware The Gentlemen está cifrando redes empresariales a una velocidad sorprendente, logrando desactivar las defensas y los servicios de recuperación en menos de 24 horas. Funcionan bajo un modelo de ransomware como servicio (RaaS) y utilizan un enfoque de doble extorsión para presionar a las organizaciones víctimas.

El gobierno de Berlín sufrió un ataque cibernético y un intento de extorsión, resultando en la filtración de terabytes de datos, aunque las autoridades se niegan a pagar el rescate. Paralelamente, el grupo Manchester Airports Group confirmó el robo de datos personales de millones de clientes en sus servicios de estacionamiento y WiFi. Ambos casos están bajo investigación y se recomienda precaución ante posibles fraudes.

El ransomware TITAN está combinando el cifrado de archivos con el uso de inteligencia artificial, la cual supuestamente puede analizar hasta 700GB de datos corporativos robados por hora. Según el grupo, este sistema les permite localizar rápidamente información sensible, como secretos comerciales o registros personales, para aumentar la presión sobre sus víctimas. Esta operación surgió en abril de 2026.

Las víctimas de ransomware están siendo blanco de una nueva táctica de presión. En lugar de recibir demandas directas de los atacantes, algunas empresas están siendo contactadas por una supuesta firma de recuperación llamada Ransom Busters. Esta entidad afirma poder recuperar los archivos y eliminar las copias robadas, pero en realidad se trata de los mismos hackers que, haciéndose pasar por rescatistas, exigen pagos de hasta 60,000 dólares.

El ransomware Medusa ha atacado a más de 500 organizaciones críticas y autoridades como el FBI y la CISA alertan que España podría ser el próximo objetivo.

Se ha detectado a un grupo llamado Ransom Busters que engaña a víctimas de ransomware ofreciendo borrar sus datos robados a cambio de pagos entre 20,000 y 60,000 dólares. Expertos advierten que es una estafa orquestada por afiliados criminales y no una ayuda legítima. Además, el panorama del ransomware sigue evolucionando con nuevas bandas y tácticas de extorsión más fragmentadas y agresivas.

La CISA, el FBI y el Departamento de Salud y Servicios Humanos (HHS) de EE. UU. han emitido una alerta de seguridad actualizada advirtiendo que los atacantes del ransomware Medusa están infiltrándose activamente en entornos empresariales para desactivar herramientas de seguridad, exfiltrar archivos confidenciales y cifrar redes completas.

Una campaña acelerada está aprovechando el fallo CVE-2026-59310 en el servidor Syslog de VMware vCenter. Este error crítico de salto de directorio (path traversal) permite a los atacantes ejecutar comandos como root sin necesidad de iniciar sesión, otorgándoles el control total de la infraestructura virtual. La explotación se extendió rápidamente tras la divulgación, habiéndose identificado ya 361 direcciones IP afectadas.

Un nuevo informe de inteligencia de Gambit Security ha documentado uno de los ejemplos más claros de cómo la inteligencia artificial puede ser utilizada como arma en una campaña de ransomware activa. Investigadores descubrieron que un presunto afiliado de la operación The Gentlemen utilizó Claude Code de Anthropic para ejecutar casi todas las etapas de una intrusión, incluyendo la vulneración de dispositivos VPN expuestos a internet.

El grupo de ransomware Clop afirma haber robado datos sensibles de gigantes como GE, Philips y Shell, explotando una vulnerabilidad crítica en el software de PTC. Mientras Philips confirmó que el incidente fue contenido sin afectar a clientes, GE y Shell continúan investigando los ataques. Esta campaña forma parte de una serie de ofensivas globales de Clop contra plataformas empresariales, lo que ha llevado al gobierno de EE. UU. a ofrecer una recompensa de 10 millones de dólares por información sobre la banda.

Investigadores atribuyen a un grupo vinculado a China la explotación de fallos críticos en VMware vCenter para ejecutar código arbitrario y saltar la autenticación. El ataque afectó a 361 direcciones IP en 47 países, permitiendo a los atacantes obtener acceso root y crear cuentas administrativas. El objetivo final fue el despliegue de un ransomware derivado de Babuk para cifrar archivos en hosts ESXi.

Se ha detectado un nuevo servicio de IA criminal llamado MessiahGPT, el cual se promociona abiertamente en BreachForums. Según el Centro de Investigación Avanzada de Trellix, se trata de un modelo ofensivo diseñado específicamente para crear ransomware, kits de phishing, stealers, crypters y rootkits bajo demanda. El servicio opera a través de una plataforma web y una comunidad activa en Telegram.

El gigante energético multinacional Shell ha iniciado una investigación activa después de que el conocido sindicato de ransomware Cl0p afirmara haber exfiltrado datos internos confidenciales. Actualmente, investigadores de seguridad y equipos forenses analizan la legitimidad y el alcance del ciberataque, mientras el colectivo de extorsión ha incluido a la compañía en su lista de la dark web.

El ransomware Akira ha implementado una nueva táctica para vulnerar la seguridad de Windows: reiniciar los sistemas comprometidos en modo seguro con funciones de red. Este método permite que el dispositivo permanezca conectado mientras la mayoría de las protecciones de terceros (EDR) permanecen desactivadas. En el caso analizado, el ataque se inició mediante una técnica de credential-spraying dirigida a una VPN SSL de SonicWall expuesta.

Agencias de ciberseguridad de EE. UU. y Corea del Sur advierten sobre el ransomware Gunra, que ataca infraestructuras críticas mediante el robo y cifrado de datos. El grupo utiliza vulnerabilidades en dispositivos de red y phishing, afectando principalmente a organizaciones en Asia, Europa y Australia. Se sospecha que podrían colaborar con grupos estatales como Lazarus para ejecutar sus ataques.

El ransomware DeadLock es una amenaza con fines lucrativos que bloquea archivos y amenaza con filtrar información robada. Detectado por primera vez en julio de 2025, para julio de 2026 ya contaba con más de 80 presuntas víctimas, la mayoría de ellas situadas en Europa, lo que demuestra un impacto constante en diversos sectores.

Las campañas de ransomware están centrándose cada vez más en gestores y directivos, ya que poseen acceso a contratos, pagos y datos de clientes. Los atacantes utilizan estos perfiles porque sus cargos aportan mayor credibilidad a las solicitudes fraudulentas, facilitando el robo de información y la penetración profunda en las redes corporativas.

EtherRAT ha sido detectado en una intrusión de dominios Windows vinculada a un afiliado de la operación de ransomware Gentlemen. La campaña demuestra cómo un único punto de acceso puede escalar a un problema en toda la red cuando los atacantes obtienen privilegios. Los operadores utilizaron tareas programadas remotas para distribuir paquetes de instalación maliciosos que desplegaron el troyano de acceso remoto EtherRAT en otros sistemas.

Un incidente en QNET demuestra cómo un solo clic descuidado puede escalar rápidamente a una emergencia empresarial. El ataque comenzó cuando un usuario abrió un archivo malicioso, probablemente recibido por correo electrónico o descarga, lo que permitió a los atacantes utilizar herramientas confiables de Windows para ejecutar una segunda fase de intrusión. No obstante, Microsoft Defender detuvo el ataque de ransomware en tan solo 128 segundos gracias a la aislación automática del dispositivo.