Agencias de ciberseguridad de EE. UU., Reino Unido y Países Bajos detectaron un malware de Windows usado por la inteligencia de Irán para espiar a disidentes y periodistas. El software, controlado mediante Telegram, puede robar correos, capturar pantallas y activar el micrófono para grabar audio. Los ataques suelen iniciar con archivos falsos que suplantan aplicaciones legítimas para comprometer los dispositivos de las víctimas.

Se ha descubierto una nueva campaña de ciberespionaje que utiliza bots de Telegram como controladores ocultos para puertas traseras (backdoors) instaladas en redes gubernamentales de Oriente Medio. Los atacantes emplean componentes legítimos de Windows y archivos aparentemente inofensivos, como imágenes ISO que contienen programas reales de ASUSTek junto con código malicioso, para establecer acceso sin levantar sospechas inmediatas.

El dominio principal de Telegram, t.me, ha sido colocado en estado serverHold por el registro .me. Esta acción a nivel de registro elimina el dominio del DNS global, lo que provoca que todos los enlaces cortos de t.me dejen de funcionar en todo el mundo. Los registros WHOIS confirman que el dominio presenta ahora ocho banderas de estado, incluyendo restricciones de eliminación.

RedWing es un nuevo malware para Android que se alquila en Telegram como un servicio de fraude bancario para criminales sin conocimientos técnicos. Utiliza páginas de phishing y permisos de accesibilidad para robar contraseñas, interceptar códigos SMS y controlar el teléfono en tiempo real. Esta herramienta, vinculada a actores rusos, evade la seguridad convencional y recomienda instalar aplicaciones solo desde tiendas oficiales.

El Ministerio de Electrónica y Tecnología de la Información de la India (MeitY) ha impuesto una prohibición temporal a la plataforma de mensajería Telegram en todo el país hasta el 22 de junio de 2026. Esta medida busca combatir esquemas de fraude organizado que afectan a millones de estudiantes que realizan el examen de admisión médica NEET UG.

Un único actor de amenazas ruso ha operado durante cinco años una persona política falsa en Telegram, logrando reunir a más de 17.000 suscriptores. Aunque el canal se presenta como un espacio de patriotismo estadounidense, en realidad se trata de un esquema de fraude con fines lucrativos. Para automatizar toda la operación, el operador utilizó claves de API de Gemini robadas.

Se ha descubierto un paquete malicioso de Python llamado pyronut en el Python Package Index (PyPI), dirigido a desarrolladores que crean bots de Telegram al hacerse pasar por el popular framework pyrogram. En lugar de depender del typosquatting —donde el nombre se asemeja a uno legítimo—, el actor de la amenaza copió palabra por palabra toda la descripción del proyecto de pyrogram, creando lo que los investigadores describen como un fork malicioso

La comunidad de desarrollo de criptomonedas enfrenta una grave amenaza en la cadena de suministro tras descubrirse cinco paquetes npm maliciosos que roban claves privadas de billeteras y las envían directamente a un bot de Telegram. Publicados bajo la cuenta npm galedonovan, estos paquetes fueron diseñados para parecer bibliotecas confiables en las que los desarrolladores de Solana y Ethereum confían a diario. 

Telegram bate récord histórico en moderación pero no logra frenar la ciberdelincuencia, manteniéndose como una plataforma clave para amenazas de seguridad.

Un informe de Derechos Digitales revela que en Argentina, Brasil y Perú se venden DNIs, licencias de conducir, domicilios, historiales financieros y datos de salud por menos de 4 dólares en Telegram mediante bots automatizados, usando filtraciones de organismos públicos como el Renaper. Los datos, obtenidos a través de pagos con criptomonedas o Mercado Pago, se usan para suplantación de identidad, extorsiones y violencia de género. Telegram afirma eliminar contenido ilegal, pero los canales reaparecen.