El año 2025 estuvo marcado por pérdidas récord en ataques y fraudes en el universo de las criptomonedas. Solo en la primera mitad del año, los robos ya totalizaron 2,17 mil millones de dólares, superando el valor total registrado en 2024, según Chainalysis. Las proyecciones indican que 2025 podría terminar con más de 4 mil millones de dólares en activos desviados, un máximo histórico.

ESET, compañía líder en detección proactiva de amenazas, repasa algunos de los principales casos ocurridos en 2025 y cómo vulnerabilidades aparentemente simples resultaron en robos millonarios que sacudieron el mercado de criptomonedas.

Este escenario de vulnerabilidad contrasta con la creciente institucionalización del sector donde los ETF de criptomonedas registraron entradas récord de 5.95 mil millones de dólares e inversores corporativos como Strategy (anteriormente MicroStrategy) anunciaron nuevas compras de Bitcoin, el mercado expuso sus debilidades de seguridad. “La BBC señaló que el ataque de 1.500 millones de dólares al exchange Bybit, atribuido a hackers vinculados a Corea del Norte, fue el más grande de la historia, simbolizando así esta contradicción: incluso con avances regulatorios y técnicos, se siguen explotando fallas conocidas”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

El año 2025 se consolida como un período de pérdidas históricas para el mercado de criptoactivos. Según CertiK, la industria perdió casi 2.5 mil millones de dólares por ataques y estafas solo en los primeros seis meses del año. Chainalysis , por otro lado, señaló que el volumen de criptoactivos robados en el mismo período superó la marca de 2.17 mil millones de dólares registrada en todo 2024.

Manteniendo este ritmo, según ESET, las pérdidas podrían superar los 4 mil millones de dólares para fin de año, lo que haría de 2025 el año con la mayor cantidad de activos desviados en la historia de las criptomonedas.

Vulnerabilidades que pueden convertirse en pérdidas multimillonarias

ESET ha analizado los incidentes más significativos del año, que ilustran cómo las vulnerabilidades de diferente naturaleza pueden resultar en pérdidas multimillonarias:

1. Ataques a exchanges y plataformas centralizadas (CEX):Entre los episodios más emblemáticos se encuentra el ataque a Bybit, que resultó en el robo de aproximadamente 1.500 millones de dólares en Ethereum, el más grande jamás registrado en la historia de las criptomonedas. En este caso, los atacantes no violaron directamente los servidores del exchange, sino que comprometieron a un proveedor externo de la plataforma, cambiando la dirección de la billetera donde se transfirieron los fondos. ByBit pensó que estaba transfiriendo los fondos a su propia billetera digital, pero lo envió todo a los piratas informáticos. La sofisticación de la operación reveló cómo las cadenas de confianza y las integraciones externas pueden convertirse en puntos de entrada para delincuentes altamente especializados.
2. Exploits en protocolos DeFi: El ataque a Balancer, que causó pérdidas de más de 100 millones de dólares, destacó una de las debilidades recurrentes en el espacio DeFi; errores en el código. Un error en el contrato inteligente permitió retiros no autorizados, exponiendo cómo se pueden explotar pequeñas fallas lógicas para comprometer un protocolo completo. El impacto se extendió a proyectos derivados, como Beets Finance, que también reportó pérdidas millonarias. Estos incidentes refuerzan la importancia de las auditorías continuas e independientes, un desafío para los protocolos que priorizan la innovación y la velocidad de lanzamiento.
3. Estafas de phishing: Si bien las grandes plataformas sufrieron ataques coordinados, los usuarios individuales siguieron siendo los objetivos preferidos. Las estafas de phishing, en las que se engaña a las víctimas para que renuncien voluntariamente a sus credenciales, generaron 410 millones de dólares en pérdidas, según Certik. Se estima que los ataques dirigidos a individuos representaron el 23,35% de todos los fondos robados en el período, una señal de que la ingeniería socialsigue siendo tan eficiente como las intrusiones técnicas.
4. Ataques históricos y vulnerabilidades de puentes: Aunque en 2025 no se produjeron incidentes importantes relacionados con puentes, este tipo de ataque sigue siendo uno de los más destructivos. El recuerdo del caso del puente Ronin, en 2022, cuando se robaron 600 millones de dólares, sigue siendo una alerta permanente. Estas fallas muestran cómo la interconectividad entre redes, esencial para la escalabilidad del ecosistema criptográfico, también amplía la superficie de ataque y puede convertir un solo error de código en un colapso sistémico.

“Los ataques recientes revelan el creciente nivel de profesionalización de la ciberdelincuencia relacionada con las criptomonedas. Incluso con la creciente madurez técnica y regulatoria del ecosistema, los ciberdelincuentes han demostrado que siguen un paso por delante en 2025, mejorando los métodos, explotando las lagunas conocidas y diversificando los objetivos. Si bien la industria ha madurado en regulación, transparencia e infraestructura, muchos de los ataques explotaron errores humanos, integraciones mal administradas y código no auditado, puntos que la innovación por sí sola no elimina”, destaca Gutierrez Amaya.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/.

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

La entrada Ciberseguridad y criptomonedas: Los avances, riesgos y aprendizajes de 2025   apareció primero en Bitfinance.

El número de filtraciones de datos durante 2024, investigadas por Verizon, aumentó 20 puntos porcentuales en el total de incidentes, con respecto al año anterior. ESET, compañía líder en detección proactiva de amenazas, asegura que la preparación previa es significativamente importante para dar una respuesta eficaz a los incidentes (IR).

Una vez que las amenazas se introducen en la red, el tiempo juega en contra y detenerlas antes de que lleguen a provocar daño es cada vez más difícil: según las últimas investigaciones, en 2024 los adversarios fueron un 22% más rápidos que en el año anterior para progresar desde el acceso inicial hasta el movimiento lateral (también conocido como «tiempo de fuga»). El tiempo medio de penetración fue de 48 minutos, aunque el ataque más rápido registrado fue casi la mitad: solo 27 minutos.

“Una filtración de datos no tiene por qué ser tan catastrófica como parece para los defensores de la red, siempre y cuando los equipos sean capaces de responder con rapidez y decisión a las intrusiones. Aunque cada organización (y cada incidente) es diferente, si todos los miembros del equipo de respuesta a los incidentes saben exactamente lo que tienen que hacer, y nada queda librado al azar o a inventar sobre la marcha, hay más posibilidades de que la resolución sea rápida, satisfactoria y de bajo costo”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Guía sobre cómo actuar durante las primeras 24 a 48 horas

Desde ESET aclaran que ninguna organización es 100% protegida, a prueba de brechas, y que si se sufre un incidente y sospecha de un acceso no autorizado, se debe trabajar metódicamente y con rapidez. Para ello, una guía de cómo actuar durante las primeras 24 a 48 horas rápidamente y con minuciosidad, sin comprometer la precisión ni las pruebas, es de máxima utilidad:

1. Recopilar información y comprender el alcance: El primer paso es comprender exactamente qué sucedió, activar el plan de respuesta a incidentes preestablecido y notificarlo al equipo. Este grupo debe incluir a las partes interesadas de toda la empresa, entre estas las áreas de recursos humanos, de relaciones públicas y comunicación, el departamento jurídico y la dirección ejecutiva. Todos ellos tienen un importante papel que desempeñar tras el incidente.

A continuación, se calcula el radio de acción del ataque: ¿Cómo ha entrado el adversario en la red de la empresa? ¿Qué sistemas se han visto comprometidos? ¿Qué acciones maliciosas han realizado ya los atacantes?

Es preciso documentar cada paso y recopilar pruebas, tanto para evaluar el impacto del ataque, como para la etapa de investigación forense e, incluso para futuros procesos legales. Mantener la cadena de custodia garantiza la credibilidad en caso de que deban intervenir las fuerzas de seguridad o los tribunales.

2. Notificar a terceros: Una vez que se haya establecido qué sucedió, es necesario informar a las autoridades pertinentes.

• Reguladores: Si se ha robado información de identificación personal (PII), hay que ponerse en contacto con las autoridades correspondientes en virtud de las leyes de protección de datos o específicas del sector. En los Estados Unidos, por ejemplo, debe actuarse de acuerdo a las normas de divulgación de ciberseguridad de la SEC o las leyes de violación a nivel estatal.
• Aseguradoras: La mayoría de las pólizas de seguros estipulan que se informe a su proveedor de seguros tan pronto como se haya producido una violación.
• Clientes, socios y empleados: La transparencia genera confianza y ayuda a evitar la desinformación. Es mejor que se enteren antes de que la información se difunda por redes sociales o medios de comunicación.
• Fuerzas y cuerpos de seguridad: Informar de incidentes, especialmente de ransomware, puede ayudar a identificar campañas más grandes, o a proporcionar herramientas de descifrado y apoyo de inteligencia.
• Expertos externos: También puede ser necesario ponerse en contacto con especialistas legales e informáticos externos.

3. Aislar y contener: Mientras se mantiene el contacto con los terceros pertinentes, se debe trabajar con rapidez para evitar la propagación del ataque. Se recomienda aislar de internet los sistemas afectados sin apagar los dispositivos, para limitar el alcance del atacante sin comprometer posibles pruebas valiosas.

Todas las copias de seguridad deben estar fuera de línea y desconectadas para evitar que sean secuestradas o el ransomware pueda corromperlas. Desactivar todos los accesos remotos, restablecer las credenciales VPN y utilizar herramientas de seguridad para bloquear cualquier tráfico malicioso entrante y las conexiones de comando y control.

4. Eliminar y recuperar: Se debe realizar el análisis forense para comprender las tácticas, técnicas y procedimientos (TTP) del atacante, desde la entrada inicial hasta el movimiento lateral y (si procede) el cifrado o la extracción de datos. Y eliminar cualquier malware persistente, backdoors, cuentas fraudulentas y otros signos de peligro. Para recuperar y restaurar es clave eliminar el malware y las cuentas no autorizadas, verificar la integridad de los sistemas y datos críticos, restaurar copias de seguridad limpias (tras confirmar que no están comprometidas) y vigilar de cerca la aparición de indicios de un nuevo compromiso o de mecanismos de persistencia.

En esta fase puede aprovecharse la reconstrucción de los sistemas para reforzar los controles de privilegios, implementar una autenticación más estricta y robustecer la segmentación de la red. Para acelerar el proceso puede recurrirse a la ayuda de socios que ofrezcan herramientas como Ransomware Remediation de ESET.

5. Revisar y mejorar:Una vez pasado el peligro inmediato, es momento de revisar las obligaciones con los organismos reguladores, los clientes y otras partes interesadas (por ejemplo, socios y proveedores). Es necesario actualizar las comunicaciones una vez que se comprenda el alcance de la infracción, lo que podría incluir una presentación ante los organismos reguladores. Esta iniciativa debería impulsarse desde los asesores jurídicos y de relaciones públicas.

La revisión posterior al incidente puede ser un catalizador para la resiliencia. Una vez que se ha calmado el ambiente, también es buena idea averiguar qué ocurrió y qué lecciones se pueden aprender para evitar que se produzca un incidente similar en el futuro. Un punto útil sería introducir ajustes en el plan de gestión de incidentes o recomendar nuevos controles de seguridad y consejos para la formación de los empleados.

Una cultura sólida tras un incidente trata cada brecha como un ejercicio de entrenamiento para la siguiente, mejorando las defensas y la toma de decisiones en situaciones de estrés

“No siempre es posible evitar una brecha, pero sí minimizar los daños. Si su organización no dispone de recursos para vigilar las amenazas 24 horas al día, 7 días a la semana, considere la posibilidad de contratar un servicio de detección y respuesta gestionadas (MDR) de un tercero de confianza. Pase lo que pase, ponga a prueba su plan de IR, y luego vuelva a ponerlo a prueba. Porque el éxito de la respuesta a incidentes no es solo una cuestión de IT. Requiere que una serie de partes interesadas de toda la organización y externas que trabajen juntas en armonía. El tipo de memoria muscular que todos necesitan suele requerir mucha práctica para desarrollarse”, concluye Gutiérrez Amaya de ESET Latinoamérica.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/.

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Con información e imágenes referenciales suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

La entrada Hay 5 acciones clave por ejecutar tras descubrir un ciberataque apareció primero en Bitfinance.

En julio de 2024, el proveedor de ciberseguridad KnowBe4 comenzó a observar una actividad sospechosa relacionada con un nuevo empleado que comenzó a manipular y transferir archivos potencialmente dañinos, e intentó ejecutar software no autorizado. Posteriormente, se descubrió que era un trabajador norcoreano que había engañado al equipo de recursos humanos de la empresa para conseguir un empleo a distancia. En total, consiguió superar cuatro entrevistas por videoconferencia, así como una comprobación de antecedentes previa a la contratación.

ESET, compañía líder en detección proactiva de amenazas, analiza y profundiza sobre este engaño y advierte que ninguna organización es inmune al riesgo de contratar inadvertidamente a un saboteador.

“Las amenazas basadas en la identidad no se limitan al robo de contraseñas o la apropiación de cuentas, sino que se extienden a las personas que se incorporan a la plantilla. A medida que la IA mejora en la falsificación de la realidad, se hace bastante necesario afinar y optimizar los procesos de contratación”, advierte Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Este tipo de amenaza ha estado presente desde, al menos, abril de 2017, según una alerta de búsqueda del FBI y rastreado como WageMole por ESET Research. Según Microsoft, el gobierno estadounidense ha descubierto más de 300 empresas -algunas de ellas incluidas en la lista Fortune 500- que han sido víctimas de este tipo de ataques, entre 2020 y 2022. Dicha empresa tecnológica se vio obligada en junio a suspender 3.000 cuentas de Outlook y Hotmail creadas por solicitantes de empleo norcoreanos.

Por otra parte, una acusación estadounidense imputa a dos norcoreanos y tres «facilitadores» por haber obtenido más de 860.000 dólares de 10 de las más de 60 empresas en las que trabajaron. El equipo de investigación de ESET advierte que el foco se ha desplazado recientemente a Europa, incluyendo Francia, Polonia y Ucrania. Por su parte, Google ha advertido de que las empresas británicas también están en la mira.

Engaños tras robo de identidades

Estos engaños son posibles, ya que los estafadores crean o roban identidades que coinciden con la ubicación de la organización objetivo y, a continuación, abren cuentas de correo electrónico, perfiles en redes sociales y cuentas falsas en plataformas de desarrolladores como GitHub para añadir legitimidad. Durante el proceso de contratación, pueden utilizar imágenes y vídeos deepfake, o software de intercambio de caras y cambio de voz, para disfrazar su identidad o crear otras sintéticas.

Según los investigadores de ESET, el grupo WageMole está vinculado a otra campaña norcoreana que rastrea como DeceptiveDevelopment. Esta se centra en engañar a desarrolladores occidentales para que soliciten trabajos inexistentes. Los estafadores piden a sus víctimas que participen en un reto de codificación o en una tarea previa a una entrevista. Pero el proyecto que descargan para participar contiene en realidad código troyanizado. WageMole roba estas identidades de desarrolladores para utilizarlas en sus falsos esquemas de trabajadores.

La clave de la estafa reside en los facilitadores extranjeros

• Crear cuentas en sitios web de trabajo autónomo
• Crear cuentas bancarias, o prestar al trabajador norcoreano la suya propia
• Comprar números de móvil, o tarjetas SIM
• Validar la identidad fraudulenta del trabajador durante la verificación del empleo, utilizando servicios de comprobación de antecedentes

Una vez contratado el falso trabajador, estos individuos reciben el portátil corporativo y lo instalan en una granja de portátiles situada en el país de la empresa contratante. A continuación, el trabajador informático norcoreano utiliza VPN, servicios proxy, supervisión y gestión remota (RMM) y/o servidores privados virtuales (VPS) para ocultar su verdadera ubicación.

“El impacto en las organizaciones engañadas podría ser enorme. No solo están pagando involuntariamente a trabajadores de un país fuertemente sancionado, sino que estos mismos empleados a menudo obtienen acceso privilegiado a sistemas críticos. Es una invitación abierta a robar datos confidenciales o incluso a pedir un rescate a la empresa”, resalta el investigador de ESET.

En términos de detección y protección, desde ESET explican cómo evitar que una organización se convierta en víctima

1. Identificar los falsos trabajadores durante el proceso de contratación:

• Comprobar el perfil digital del candidato, incluidas las redes sociales y otras cuentas en línea, en busca de similitudes con otras personas cuya identidad puedan haber robado. También pueden crear varios perfiles falsos para solicitar puestos de trabajo con nombres diferentes.
• Prestar atención a las discrepancias entre las actividades en línea y la experiencia declarada: un “desarrollador senior” con repositorios de códigos genéricos o cuentas creadas recientemente debería hacer saltar las alarmas.
• Asegurarse de que tiene un número de teléfono legítimo y único, y comprobar que su currículum no presenta incoherencias. Comprobar que las empresas mencionadas existen realmente. Ponerse en contacto directamente con las referencias (teléfono/videollamada) y prestar especial atención a los empleados de las empresas de personal.
• Dado que muchos solicitantes pueden utilizar audio, video e imágenes falsificados, insistir en las entrevistas en video y realizarlas varias veces durante la contratación.
• Durante las entrevistas, considerar una advertencia importante cualquier afirmación de que la cámara funciona mal. Pedirle al candidato que apague los filtros de fondo para tener más posibilidades de identificar los deepfakes(los indicios podrían incluir fallos visuales, expresiones faciales que parecen rígidas y poco naturales y movimientos de los labios que no se sincronizan con el audio) Hacerles preguntas basadas en la ubicación y la cultura del lugar donde “viven” o “trabajan”, por ejemplo, sobre la comida o los deportes locales.

2. Vigilar a los empleados en busca de actividades potencialmente sospechosas:

• Estar atento a señales de alarma como números de teléfono chinos, descarga inmediata de software RMM en un portátil recién entregado y trabajo realizado fuera del horario normal de oficina. Si el portátil se autentica desde direcciones IP chinas o rusas, también debe investigarse.
• Vigilar el comportamiento de los empleados y los patrones de acceso al sistema, como inicios de sesión inusuales, transferencias de archivos de gran tamaño o cambios en el horario de trabajo. Centrase en el contexto, no solo en las alertas: la diferencia entre un error y una actividad maliciosa puede estar en la intención.
• Utilizar herramientas contra amenazas internas para detectar actividades anómalas.

3. Contener la amenaza:

• Si se cree haber identificado a un trabajador norcoreano en la organización, actuar con cautela al principio para no ponerle sobre aviso.
• Limitar su acceso a recursos sensibles y revisar su actividad en la red, limitando este proyecto a un pequeño grupo de personas de confianza de los departamentos de seguridad informática, recursos humanos y jurídico.
• Conservar las pruebas e informe del incidente a las fuerzas de seguridad, al tiempo de buscar asesoramiento jurídico para la empresa.

“Además, es buena idea actualizar los programas de formación sobre ciberseguridad. Y asegurarse de que todos los empleados, especialmente los responsables de contratación de IT y el personal de recursos humanos, comprenden algunas de las señales de alarma a las que hay que prestar atención en el futuro. Las tácticas, técnicas y procedimientos (TTP) de los actores de amenazas evolucionan constantemente, por lo que estos consejos también deberán cambiar periódicamente. Los mejores métodos para evitar que los falsos candidatos se conviertan en informadores maliciosos combinan los conocimientos humanos y los controles técnicos. Asegurarse de cubrir todas las bases”, sugiere Gutiérrez Amaya de ESET.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/.

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

La entrada Cómo detectar falsos postulantes a empleos: Espionaje corporativo con informantes malintencionados apareció primero en Bitfinance.

Durante octubre se celebra el mes de la Concienciación sobre la Ciberseguridad, una iniciativa global para reforzar los hábitos seguros en el entorno digital. En la región latinoamericana los riesgos en ciberseguridad son concretos, según el último ESET Security Report 2025, 1 de cada 4 empresas ya ha sufrido un ciberataque en el último año. Pero no solo las empresas son vulnerables, ya que las campañas masivas de phishing buscan atraer al público general y simulan mensajes de empresas de correos con supuestos problemas de entregas, o de organismos gubernamentales que comunican multas inexistentes, citaciones judiciales, entre tantos otros intentos de engañar y generar urgencia para que se actúe bajo presión.

En este contexto, ESET, compañía líder en detección proactiva de amenazas, advierte que cualquier persona usuaria de servicios en línea es blanco de ataque y comenta que, es necesario abordar algunos mitos que aún persisten sobre la seguridad digital y que pueden poner en riesgo tanto a usuarios personales como a sistemas corporativos.

La seguridad no es solo tecnología, también es proceso y gobernanza

LOS MITOS:

1. No soy un objetivo, porque no tengo nada de valor: Es común que las personas crean que los ciberataques solo apuntan a grandes empresas o figuras públicas. La realidad es que cualquier dato personal tiene valor para los ciberdelincuentes, desde información bancaria hasta credenciales de correo electrónico o redes sociales. Las estafas digitales llegan a millones de usuarios comunes, independientemente de su perfil o relevancia en línea.

“Subestimar el riesgo crea una falsa sensación de seguridad y conduce a comportamientos riesgosos, como no habilitar la autenticación multifactor, usar contraseñas débiles o hacer clic en enlaces sospechosos. Estas debilidades son una oportunidad única para ataques que resultan en robo de datos, clonación de tarjetas, apropiación de cuentas o incluso extorsión digital, a usuarios que creen no ser blanco de ataques”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

2.Mi antivirus me protege contra todo: El antivirus es una pieza importante de la defensa, pero no cubre todos los vectores de ataque. La ingeniería social, las fallas en los procesos, la mala administración de privilegios, los ataques a la cadena de suministro y brechas de visibilidad operativa, son acciones que un antivirus por sí solo no puede resolver.

Un ejemplo de esto se dio en Brasil, el caso de C&M Software expuso cómo las lagunas en los procedimientos, la falta de controles y las fallas en la gestión de terceros permitieron el desvío de recursos y comprometieron la seguridad operativa de la organización. Esto demostró que la seguridad no es solo tecnología, también es proceso y gobernanza. Otro punto crítico es que muchos ataques explotan credenciales filtradas, debilidades humanas o flujos de autorización inseguros, escenarios en los que una solución antivirus no evita la intrusión inicial o la escalada de acceso. Por lo tanto, la estrategia de defensa actual debe estar en capas.

3.Mi contraseña es segura, puedes usarla en todo: Aunque una contraseña sea segura, reutilizarlas en múltiples servicios presenta un riesgo. En la práctica, los delincuentes que se especializan en ataques automatizados, como el relleno de credenciales (credential stuffing), donde utilizan combinaciones de correo electrónico y contraseña filtradas para intentar acceder a otras cuentas automáticamente. Si la contraseña es la misma, el acceso es inmediato y silencioso.

Por otro lado, la reutilización de contraseñas hace que estafas como el phishing y la apropiación de cuentas sean más efectivas, porque los ciberdelincuentes pueden combinar información de diferentes servicios para engañar al usuario de manera más convincente. Incluso si una plataforma tiene una protección sólida, si se usa la misma contraseña en un sitio web con seguridad débil, el riesgo se replica.

“Confiar exclusivamente en contraseñas seguras y únicas crea una falsa sensación de seguridad y deja a los usuarios vulnerables a intrusiones, robo de identidad y fraude financiero. La protección eficaz requiere no solo contraseñas seguras, sino también una combinación de autenticación multifactor, monitoreo de actividades sospechosas y buenas prácticas de administración de credenciales”, agrega Gutiérrez Amaya de ESET.

4.Mi celular está seguro, solo tengo que preocuparme por la computadora: Muchas personas creen que sus teléfonos inteligentes o tabletas están protegidos porque son dispositivos más pequeños o modernos, y que los ataques cibernéticos no les afectan. Los dispositivos móviles son objetivos frecuentes de estafas sofisticadas, y los riesgos aumentan a medida que se concentra información personal, financiera y profesional en ellos. La defensa móvil efectiva implica contraseñas seguras, autenticación multifactor, tener cuidado con las aplicaciones y enlaces sospechosos, actualizaciones periódicas y prestar atención a llamadas telefónicas inesperadas.

Además de los casos de phishing y vishing y otros de ingeniería social, también los dispositivos, tanto Android como Apple, y otros, son blanco de distribución de malware, con aplicaciones falsas y explotación de vulnerabilidades del sistema, que pueden comprometer el dispositivo incluso sin interacción directa del usuario. De hecho, se ha identificado en el pasado como apps maliciosas han permanecido en las tiendas oficiales de Google por un tiempo considerable sin ser detectadas. O cómo, hacia fines de 2023, se había advertido un aumento de las aplicaciones de préstamos en Android que no eran más que vías de entrada para programas espías.

5.La ciberseguridad es responsabilidad exclusiva del sector IT: Todo usuario tiene un papel esencial en la protección de datos y sistemas. La persona que adopta buenas prácticas contribuye a fortalecer la seguridad de toda la organización o comunidad en línea. Hábitos simples como verificar enlaces antes de hacer clic, mantener contraseñas seguras y únicas, habilitar la autenticación multifactor y reportar actividades sospechosas crean barreras efectivas que complementan las tecnologías y políticas de IT.

Cuanto más actúe cada persona de forma consciente, más resistente será el ecosistema digital

“Cuando todos nos involucramos, la conciencia colectiva se convierte en una poderosa defensa, capaz de prevenir estafas, fraudes e invasiones, proteger la información personal y corporativa y la comunidad digital en su conjunto. Cuanto más actúe cada persona de forma consciente, más resistente será el ecosistema digital. Es importante recordar que la ciberseguridad es responsabilidad de todos, y los pequeños hábitos marcan una gran diferencia”, concluye el investigador de ESET Latinoamérica.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/.

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

La entrada Mitos sobre ciberseguridad que pueden ponerte en riesgo: ESET analiza 5 bastante comunes apareció primero en Bitfinance.

La plataforma de mensajería Discord, que utilizan más de 200 millones de personas cada mes, confirmó el viernes pasado que fue afectada por un incidente de seguridad en su servicio de soporte a usuarios, administrado por un tercero. El proveedor externo sufrió un ataque con fines de extorsión, con características similares a los de tipo ransomware, en el que los atacantes accedieron a datos sensibles y exigieron un rescate para no divulgar la información robada. ESET, compañía líder en detección proactiva de amenazas, analiza el incidente que afectó a usuarios que habían interactuado con los servicios de atención al cliente (customer service) y con miembros de confianza y seguridad (trust and safety).

Entre los datos filtrados y comprometidos se encuentran documentos de identidad, datos parciales de tarjetas de crédito e historial de pagos.

Según la notificación de incidente que envió Discord a los usuarios afectados e hizo pública en su web, los atacantes no accedieron a la información más sensible, como direcciones físicas, datos completos de tarjetas de crédito o débito, ni datos de autenticación. “Tampoco mensajes fuera de los que se hayan intercambiado con el centro de soporte al cliente”, detallaron.

Si bien se asegura que el grupo de cibercriminales no tuvo acceso directo a servidores de la plataforma, desde ESET aseguran que el caso demuestra cómo un servicio con estándares altos de seguridad puede verse debilitado en uno de los eslabones de su cadena de suministro.

Los servicios de terceros y sus debilidades, explica Jake Moore, Global Security Advisor de ESET, “son más difíciles de monitorear y controlar, y a menudo guardan información sensible, por lo que se están transformando en objetivos comunes para los cibercriminales”.

El 20 de septiembre se habría producido un incidente de seguridad, que está aún bajo investigación, y desde el 3 de octubre la plataforma comenzó a notificar a cada afectado sobre la filtración y ha emitido un comunicado para alertar a la comunidad en general.

Datos afectados y/o comprometidos

Entre los datos comprometidos, según la información que publicó Discord, se encuentran:

• Nombres de usuario, correo electrónico y datos de contacto.
• Información de pagos, como los últimos 4 dígitos de tarjetas e historiales de compra.
• Direcciones IP.
• Mensajes y adjuntos que se hayan enviado al servicio de atención al cliente, o consultas a miembros de trust and safety (confianza y seguridad) de la plataforma.
• Información corporativa como materiales de capacitación y presentaciones internas.

Según la misma alerta, dentro de los datos a los que accedieron los cibercriminales están “un pequeño número” de documentos de identidad, como licencias de conducir o pasaportes, que suelen pedirse para corroborar la edad del miembro de Discord. Si bien no se detalla el volumen de estos documentos filtrados, la plataforma asegura que en el correo electrónico de notificación del incidente se especifica esta información para cada usuario afectado. Es decir, si se recibe un mail notificando la filtración de los datos, será allí donde se aclarará qué datos fueron comprometidos.

“La recomendación para cualquier usuario de la plataforma que haya sido afectado o si se utiliza Discord, es prestar especial atención a cualquier comunicación que parezca provenir de Discord, ya que la posibilidad de que los datos sean usados en campañas dirigidas de phishing es más alta. Los cibercriminales pueden no solo aprovechar la información filtrada, sino también la noticia de la filtración para vehiculizar, con esa excusa o anzuelo, una campaña específica dirigida a personas usuarias de la plataforma —aunque no hayan sido objetivos de esta última filtración—”, advierte Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Sin importar si se fue notificado o no, desde ESET aseguran que es una buena oportunidad para repasar algunas recomendaciones que pueden ser fundamentales ante incidentes como este:

• Verificar si se tiene activada la verificación en dos pasos en la cuenta. Esto da una capa más de protección ante filtraciones de credenciales de acceso.
• Revisar los movimientos de pago si se usa Discord Nitro u otros servicios pagos.

Importancia de fortalecer la cadena de suministro (atención y cuidado con los proveedores)

Al momento de esta publicación, y según especifica un artículo del sitio especializado BleepingComputer, el grupo de ransomware Scattered Lapsus$ Hunters (SLH) se había atribuido el ataque en un primer momento, aunque luego indicaron a ese medio que el ataque fue realizado por otro grupo que tiene contacto con SLH.

“Este tipo de incidentes en proveedores externos recuerda la importancia de fortalecer la cadena de suministro. Una política de ciberseguridad robusta debe incluir y contemplar todos los eslabones que componen la red de proveedores. También es clave que los usuarios comprendan la importancia de mantenerse informados y atentos a incidentes que puedan comprometer la seguridad y privacidad de sus datos, y recordar las medidas básicas con las que pueden enfrentarlos, o al menos estar mejor preparados para este tipo de situaciones, cada vez más frecuentes”, concluye Gutiérrez Amaya de ESET.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/.

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Con información e imágenes referenciales suministradas por ESET y Comstat Rowland

 Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

La entrada Discord sufrió filtración de datos por ataque a proveedor: Lo analiza y comenta ESET apareció primero en Bitfinance.

Los cibercriminales encontraron en la utilización de la inteligencia artificial una manera de potenciar sus estafas, y que sus engaños sean más reales y difíciles de detectar. En los últimos tiempos se observaron videos falsos en los que se suplanta la identidad de personas de renombre internacional, como Lionel Messi, o el CEO de una importante organización, aunque también existen en escalas más pequeñas, como el director de una escuela en Estados Unidos. ESET, compañía líder en detección proactiva de amenazas, repasa algunos de los casos en donde las deepfakes fueron la herramienta principal para diagramar estafas que generaron pérdidas millonarias o de información sensible.

El deepfake es una técnica de síntesis de imágenes humanas basada en inteligencia artificial para crear contenido falso desde cero, utilizando vídeos existentes o, incluso, solo a partir de una imagen estática. Están diseñados para replicar la apariencia y el sonido de una persona real.

“Con la evolución de la Inteligencia Artificial, estos vídeos y audios parecen cada vez más reales. Muchos explotan la imagen de figuras públicas o entidades de renombre diciendo algo falso, como parte de una estafa que busca obtener dinero o información sensible.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

ESET recopiló casos asombrosos, efectivamente reales y recientes

Lionel Messi: El jugador de fútbol argentino es una de las personalidades más reconocidas a nivel mundial. En este caso, los cibercriminales aprovecharon su popularidad para realizar una estafa con deepfake, mediante la cual promovían una aplicación con ganancias sospechosamente altas e irresistibles. La app en cuestión se llamaba «Wildcat Dive», y en el video apócrifo Messi aseguraba que era una de sus principales fuentes de ingresos y que gracias a ella pudo ayudar a muchas personas a ganar dinero. A través de publicidades de la red social Instagram, los cibercriminales distribuyeron fragmentos de una entrevista apócrifa para la que habían utilizado de base una entrevista real que el futbolista había concedido a un reconocido programa argentino de streaming.

Arup: A principios de 2024, la empresa de arquitectura que diseñó la Ópera de Sídney y el Estadio Etihad, Arup, fue noticia porque un empleado financiero de la oficina que la compañía tiene en Hong Kong, tomó una videollamada con (supuestamente) su director financiero. El resultado de la reunión fueron 15 transferencias por más de 25 millones de dólares. La mala noticia es que en realidad se trataba de un deepfake, por lo que las transferencias no habían sido previamente aprobadas por nadie en la compañía.

Ferrari: En este caso, los cibercriminales buscaron llevar a cabo una estafa de voz deepfake, simulando ser Benedetto Vigna, el director ejecutivo de la empresa automotriz. En julio de 2024, a través de la imitación de la voz, intentaron convencer a los ejecutivos encargados de las finanzas de la compañía para que realizaran una transferencia de dinero, por un monto muy alto. Uno de los empleados dudó de la situación y realizó una pregunta que la IA utilizada para el engaño no pudo contestar correctamente. No solo que este ataque no surtió efecto, sino que sirvió para que Ferrari reforzara la capacitación de sus colaboradores para que no caigan en este tipo de estafas.

WPP: Una de las mayores empresas de publicidad del mundo también fue blanco de un intento de estafa que involucraba un deepfake. A mitad de 2024, los cibercriminales se valieron de una cuenta falsa de WhatsApp, un audio de voz y material de YouTube de una reunión virtual, para suplantar la identidad del CFO de la compañía, llamado Mark Read. Los actores maliciosos organizaron una reunión a través de Microsoft Teams, con la excusa de crear una nueva empresa, y a través de ese señuelo, obtener dinero y datos personales y sensibles de la compañía. Según informaron desde WPP, este ataque no tuvo éxito gracias al estado de vigilancia y la capacitación de los colaboradores para detectar estos engaños.

Escuela en Baltimore: No solo las empresas de alto rango son objetivo de las deepfake. En este caso, se escucha a un director de escuela hacer comentarios racistas y antisemitas. El hecho se hace viral (más de 2 millones de visualizaciones) y termina provocando amenazas de muerte contra el educador en cuestión. Tras una investigación, las autoridades policiales locales confirmaron que se trataba de un audio falso manipulado con IA.

Elon Musk: Una estafa vinculada a inversiones en criptomonedas, utilizó la imagen del Elon Musk para difundir anuncios en X y YouTube de supuestas oportunidades de inversión que prometían altas ganancias en Bitcoin.  Los anuncios distribuían un enlace que dirigía a un sitio web fraudulento en el que el usuario engañado debía realizar depósitos iniciales para operar en la supuesta inversión. Según la Federal Trade Commission de los Estados Unidos, el engaño, que incluía deepfakes, representó una pérdida de más de 80 millones de dólares entre las más de 7.000 víctimas que creyeron en la supuesta inversión.

Presidente Zelensky: La política también se vio envuelta en el engaño de los deepfakes. En marzo de 2022, en pleno conflicto entre Rusia y Ucrania, circuló un video apócrifo en el cual se veía al presidente de Ucrania, Volodímir Zelensky instando a sus tropas a rendirse. Esto provocó que el mandatario respondiera casi inmediatamente, a través de un video legítimo que publicó en sus canales oficiales.

Más allá de que los engaños que utilizan deepfake sean cada vez más realistas y difíciles de detectar, desde ESET se comparten buenas prácticas que permiten reducir el riesgo de ser víctima de este tipo de estafas

·        Desconfiar de los anuncios llamativos, que ofrecen una ganancia demasiado buena para ser verdad. Y también de aquellos que involucran a personalidades de renombre mundial.

·         Prestar atención a la calidad del video: si se evidencian fallas a nivel visual, mala sincronización o baja resolución, posiblemente se trate de un deepfake.

·         Utilizar un software de seguridad en todos los dispositivos, que contribuya al bloqueo de sitios falsos y mails con contenido malicioso.

·         Para las empresas, es importante que no se puedan autorizar pagos solamente por una llamada o videollamada. En este punto se puede incluir el uso de palabras clave o códigos internos, como método extra de validación.

·         Ponderar la capacitación continua: estar entrenado para reconocer las señales de alarma de deepfakes y fraudes es otro hábito clave.

·         Aprovechar las herramientas que existen actualmente para detectar deepfakes y combatir la desinformación.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

La entrada ESET informa y resume 7 escandalosos casos verdaderos de engaños con deepfakes apareció primero en Bitfinance.

Ante las dudas e inquietudes económicas, no es de extrañar que se busquen alternativas para que el dinero rinda un poco más. Esto lleva a que usuarios con poca experiencia en inversiones se interesen y den sus primeros pasos. ESET, compañía líder en detección proactiva de amenazas, advierte que los estafadores se aprovechan de esta curiosidad o necesidad con engaños cada vez más sofisticados en redes sociales y alerta que las estafas potenciadas con inteligencia artificial producen anuncios falsos, deepfakes y promesas de ganancias que buscan engañar incluso a los usuarios más cautelosos.

“¿Sabrías distinguir entre un anuncio de inversión real y uno falso? Cada vez es más difícil hacerlo. Los actores o autores de amenazas cuentan hoy con diversas tácticas para hacer sus engaños más verosímiles, incluidos los videos deepfake generados con inteligencia artificial. Si bien son muchas las tácticas, técnicas y procedimientos (TTP) asociados a este tipo de fraude, la mayoría empiezan con anuncios maliciosos o engañosos que circulan por las redes sociales. Suelen utilizarse como señuelo para engañar a la víctima, ya sea para que facilite información personal o para dirigirla directamente a una estafa de inversión”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Según el FBI, las estafas relacionadas con inversiones han sido la principal fuente de ingresos para los ciberdelincuentes durante varios años. En el último recuento, ganaron casi 6.600 millones de dólares, y eso solo por los delitos denunciados a los federales. Esta cifra eclipsa los 2.800 millones de dólares obtenidos por el segundo puesto, el correo electrónico comercial comprometido (BEC).

Un ejemplo de este tipo de campañas se identificó en junio de 2025, cuando anuncios de Instagram se hacían pasar por bancos legítimos. Algunos utilizaban ofertas tentadoras, como cuentas con tipos de interés elevados, en un intento de persuadir a la víctima para que hiciera clic e introdujera sus datos bancarios. En otros casos, utilizaban historias de Instagram deepfake protagonizadas por estrategas de inversiones bancarias para recopilar información personal y/o atraerlos a grupos de WhatsApp con temas de estafas de inversión. Una campaña de 2024 difundía un video falso de Lionel Messi para promover supuestas inversiones mediante una aplicación que prometía ganancias altas.

También en 2024, ESET observó la campaña del troyano Nomani. El contenido de los anuncios y los sitios web de phishing a los que enlazaban estaban diseñados para hacerse pasar por medios de noticias locales y otras organizaciones. O bien podría ser un visual genérico de temática financiera con nombres que cambian con frecuencia como «Quantum Bumex, Immediate Mator o Bitcoin Trader». Algunas de las características de la campaña de Nomani (y de otras campañas similares), son:

• Contenido muy localizado para atraer a víctimas regionales específicas.
• Distribución a través de anuncios falsos en Facebook, Instagram, X, YouTube, así como Messenger y Threads.
• Testimonios en vídeo deepfake utilizando potencialmente a celebridades, a menudo mostrados en vídeos de baja calidad y con repetición no natural de palabras clave.
• Uso de cuentas falsas y pirateadas para ejecutar los anuncios (incluido, en un caso, un actor con 300.000 seguidores).
• Plantillas y callbacks compartidos que apuntan a la misma infraestructura de alojamiento.

En esta campaña, según ESET, el objetivo pretendido es persuadir a la víctima para que entregue su información personal, que es utilizada por los estafadores para contactarlo directamente. Utilizan este método para engañarles y conseguir que se apunten a una estafa de inversión, pidan un préstamo o incluso instalen un software de acceso remoto en su dispositivo. ESET observó un aumento del 335% en las amenazas Nomani entre H1 y H2 de 2024, y bloqueó más de 8.500 dominios relacionados.

Si bien estas técnicas parecen indicadores claros de fraude, puede ser mucho más difícil detectarlos, especialmente si se buscan oportunidades para aliviar presiones financieras. Desde ESET aseguran que la continua efectividad de este tipo de estafas, como los anuncios financieros fraudulentos, se debe a que:

• Los tiempos son difíciles, y la posibilidad de obtener ganancias financieras rápidas y sencillas es atractiva.
• La capacidad de atención está disminuyendo, especialmente en los dispositivos móviles, por lo que las señales de advertencia pueden no ser detectadas a tiempo.
• Muchas personas no están familiarizadas con las últimas TTP de amenazas, como el uso de vídeos deepfake, lo que los hace más vulnerables.
• Muchas de estas amenazas están localizadas, utilizan cuentas legítimas (secuestradas) y pueden aparecer en las primeras posiciones de las búsquedas.
• Los mecanismos antifraude tradicionales de los bancos no suelen funcionar si la manipulación se realiza también socialmente por teléfono para invertir en un plan tramposo.

Las estafas de inversión son muy frecuentes y desde ESET señalan que es necesario prestar atención a estas señales de advertencia

• Anuncios llamativos (que pueden aprovechar marcas legítimas) que ofrecen rentabilidades demasiado buenas para ser ciertas o tipos de interés inusualmente altos.
• Avales de famosos, suelen ser el anzuelo para darle una cierta legitimidad. Comprobar siempre si el aval es legítimo.
• Vídeos que no se ven del todo bien, por ejemplo, con fallos visuales, mala sincronización de audio y vídeo, baja resolución o voces robóticas o demasiado pulidas.
• Presión para actuar con rapidez y asegurar la inversión.
• Retorno de la inversión garantizado.

Además, aconsejan mantenerse en alerta frente a las señales de advertencia, resistir tentación de hacer clic en anuncios sobre finanzas o inversiones, aunque parezcan promovidos por marcas y personas legítimas, buscar reseñas en Internet sobre un plan o grupo de inversión concreto para comprobar su veracidad, no invertir en productos financieros sin haberlos estudiado y saber bien cómo funcionan, ignorar cualquier propuesta no solicitada de terceros, nunca compartas información personal y/o financiera después de hacer clic en un anuncio en línea, así como chequear siempre la información que se vea circular con la entidad supuestamente emisora por los canales oficiales. Por último, utilizar software de seguridad en todos los dispositivos de un proveedor de confianza como ESET, que ayudará a bloquear las estafas

“En tiempos de incertidumbre económica, es comprensible que busquemos alternativas para mejorar nuestra situación financiera. Pero justamente esa necesidad es la que los estafadores aprovechan con tácticas cada vez más sofisticadas. Por eso, desconfiar de lo fácil, reconocer las señales de alerta y proteger tus datos personales es fundamental para evitar caer en este tipo de engaños”, concluye el investigador de ESET.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Bitfinance.News

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

La entrada Aumentan las estafas a inversores en redes sociales con ayuda de la inteligencia artificial  apareció primero en Bitfinance.

El credential stuffing (o relleno de credenciales) es un tipo de ciberataque en el que los actores maliciosos utilizan usuarios y contraseñas que hayan sido filtradas para iniciar sesión en cuentas y servicios distintos al que sufrió la filtración. El éxito de estos ataques se vale del hábito de reutilizar la misma contraseña para diferentes cuentas o servicios. Entonces, si una contraseña se filtra, los atacantes solo deben probarla en otros sitios donde el usuario ya tenga cuenta, ya que si hay coincidencia, acceden sin necesidad de vulnerar el sistema. ESET, compañía líder en detección proactiva de amenazas, analiza cómo es un ataque de credential stuffing, por qué son tan efectivos, cuáles pueden ser sus consecuencias y cómo evitarlos.

“Repetir contraseñas es como usar la misma llave para abrir la casa, automóvil, oficina y la caja fuerte. Prestar atención y gestionar las contraseñas correctamente es tan importante como cerrar la puerta de casa con llave. Hábitos simples pueden marcar la diferencia: evitar la reutilización de contraseñas, activar el doble factor de autenticación y usar un gestor seguro son prácticas que necesitamos incorporar para estar protegidos ante este tipo de amenazas y muchas otras”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

El inicio de un ataque de credential stuffing es la obtención por parte del cibercriminal de credenciales filtradas, las mismas son provocadas por casos de brechas en información, de empresas y organizaciones importantes y reconocidas, e involucra la exposición de millones de datos. Con esa información sensible disponible, y mediante la utilización de bots o scripts automatizados, se realizan pruebas de esas contraseñas en diversos sitios, cuentas o servicios (como Netflix, Gmail, bancos, redes sociales, entre otras). Se llegan a probar miles de logins por minuto.

En caso de que se encuentre una coincidencia, se realiza el ingreso a las cuentas. Este acceso sería idéntico al del usuario legítimo, lo que dificulta su detección, ya que no hay una actividad sospechosa como pueden ser los intentos fallidos reiterados.

Para entender mejor el impacto de estos ataques, desde ESET repasan dos casos concretos que muestran cómo el credential stuffing puede comprometer miles de cuentas

• Caso PayPal: Entre el 6 y el 8 de diciembre de 2022, PayPal sufrió un ataque de credential stuffing que comprometió cerca de 000 cuentas, exponiendo información sensible como nombres, direcciones, fechas de nacimiento y números de identificación tributaria.
• Snowflake: Más de 165 organizaciones fueron afectadas cuando atacantes accedieron a cuentas de clientes de Snowflake utilizando credenciales robadas mediante malware tipo infostealer. Aunque no se vulneró directamente la infraestructura de Snowflake, los atacantes aprovecharon la falta de autenticación multifactor y el uso de contraseñas antiguas.

“Las grandes filtraciones de datos son la principal vía por la que los cibercriminales obtienen estas credenciales, y suceden con más frecuencia de la esperada”, agrega el especialista de ESET.

En junio de 2025, otro ejemplo fue una serie de bases de datos que sumaban 16 mil millones de registros estuvo alojada en repositorios mal configurados que quedaron expuestos y públicos. Aunque la exposición fue temporal, fue suficiente para que los investigadores, o cualquier persona, accedieran a los datos, que incluían combinaciones de usuario y contraseña para servicios online como cuentas de Google, Facebook, Meta, Apple, entre otros.

Pero no fue la única del año: en mayo, el investigador de seguridad Jeremiah Fowler reveló la exposición pública de 184 millones de credenciales de acceso de cuentas de usuarios de todo el mundo. Allí se incluían información de diversos proveedores de servidores de correo electrónico, productos de Apple, Google, Facebook, Instagram, Snapchat, Roblox, por nombrar solo los más conocidos. No solo eso: entre los registros había credenciales de bancos y otras entidades financieras, plataformas de atención de salud y portales de gobiernos de varios países.

Para evitar un ataque de credential stuffing ESET recomienda distintas acciones

1. Fundamental: no reutilizar una misma contraseña en diferentes cuentas, plataformas y servicios.
2. Tener contraseñas robustas, seguras y únicas en cada una de las cuentas. Para ello, es muy útil un gestor de contraseñas, herramienta diseñada para almacenar credenciales de acceso y protegerlas mediante cifrado, y además contar con una funcionalidad dedicada a generar contraseñas complejas y robustas.
3. Activar el doble factor de autenticación en todas las cuentas y servicios que sea posible. El segundo factor es clave si una contraseña cae en las manos equivocadas, ya que el ciberatacante no podrá acceder sin él a las cuentas.
4. Verificar si las contraseñas o credenciales de acceso ya fueron filtradas en alguna brecha de datos, para cambiarlas de inmediato. Por ejemplo, en el sitio haveibeenpwned.com.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Con información e imagen principal suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

La entrada Credential stuffing: el riesgo de repetir contraseñas y cómo protegerse apareció primero en Bitfinance.

El control de Apple sobre su ecosistema de dispositivos y aplicaciones ha sido históricamente estricto. Además, hay varias funciones de seguridad integradas, como el cifrado fuerte y la contenerización, que ayudan a evitar la fuga de datos y limitan la propagación de malware. No obstante, y en adición a todo esto, ESET, compañía líder en detección proactiva de amenazas, advierte en este amplio análisis que no se eliminan los riesgos por completo, ya que las estafas cotidianas y otras amenazas bombardean también a los usuarios de iOS … y aunque algunas son más comunes que otras, todas exigen atención.

“El hecho de que las aplicaciones de iOS suelen proceder de la App Store oficial de Apple y deban superar estrictas pruebas para ser aprobadas ha evitado dolores de cabeza relacionados con la seguridad y la privacidad a lo largo de los años. Pero, la reciente ley antimonopolio de la UE, conocida como Ley de Mercados Digitales (DMA), busca que los usuarios de iOS tengan la opción de utilizar mercados de aplicaciones de terceros. Esto traerá nuevos retos a Apple a la hora de proteger a los usuarios de iOS de posibles daños y a los que utilicen sus productos, ya que tendrán que ser más conscientes de las amenazas. Este cambio de las reglas de juego, sin dudas, será aprovechado por el cibercrimen”, comenta y concientiza Camilo Gutiérrez Amaya, Jefe del Laboratorio de Seguridad informática de ESET Latinoamérica.

ESET también ha estudiado y opina sobre otros tipos de amenazas, posiblemente más inmediatas, que apuntan a los usuarios de iOS en todo el mundo:

Dispositivos con jailbreak: Si se desbloquea deliberadamente un dispositivo para permitir lo que Apple denomina «modificaciones no autorizadas», se podría violar el Contrato de Licencia de Software y desactivar algunas funciones de seguridad integradas, como el Arranque Seguro y la Prevención de Ejecución de Datos. El dispositivo dejará de recibir actualizaciones automáticas. Y al poder descargar aplicaciones desde fuera de la App Store, se está expuesto a software malicioso y/o con errores.

Aplicaciones maliciosas: Aunque Apple hace un buen trabajo a la hora de examinar las aplicaciones, no acierta el 100% de las veces. Entre las aplicaciones maliciosas detectadas recientemente en la App Store se incluyen: Una versión falsa del gestor de contraseñas LastPass diseñada para recopilar credenciales, un programa malicioso de lectura de capturas de pantalla apodado «SparkCat», camuflado en aplicaciones de inteligencia artificial y reparto de comida; así como una falsa aplicación de monedero criptográfico llamada «Rabby Wallet & Crypto Solution».

Descarga de aplicaciones desde sitios web: Como se detalló en el último ESET Threat Report, las aplicaciones web progresivas (PWA) permiten la instalación directa sin necesidad de que los usuarios concedan permisos explícitos, lo que significa que las descargas podrían pasar desapercibidas. ESET descubrió esta técnica utilizada para disfrazar malware bancario como aplicaciones legítimas de banca móvil.

Phishing / Ingeniería social: Los ataques de phishing por correo electrónico, texto (o iMessage) e incluso voz son habituales. Se hacen pasar por marcas legítimas y engañan al usuario para que facilite sus credenciales, haga clic en enlaces maliciosos o abra archivos adjuntos para desencadenar descargas de malware. Los ID de Apple se encuentran entre los inicios de sesión más preciados, ya que pueden proporcionar acceso a todos los datos almacenados en una cuenta de iCloud y/o permitir a los atacantes realizar compras en iTunes / App Store. Desde ESET aconsejan tener cuidado con:

• Ventanas emergentes falsas que afirman que el dispositivo tiene un problema de seguridad
• Llamadas telefónicas fraudulentas y llamadas FaceTime haciéndose pasar por el Soporte de Apple u organizaciones asociadas
• Promociones falsas que ofrecen regalos y sorteos
• Spam de invitaciones al calendario con enlaces de phishing

Como ejemplo a compartir, en una campaña muy sofisticada, los autores de la amenaza y planificadores de ataques utilizaron técnicas de ingeniería social para engañar a los usuarios y conseguir que descargaran un perfil de gestión de dispositivos móviles (MDM) que les permitiera controlar los dispositivos de las víctimas. Con esto, desplegaron el malware GoldPickaxe, diseñado para recopilar datos biométricos faciales y utilizarlos para eludir los inicios de sesión bancarios.

Riesgos de las redes wifi públicas: Un punto de acceso de wifi público, puede ser un punto de acceso falso creado por agentes de amenazas para vigilar el tráfico web y robar información confidencial, como contraseñas bancarias. Incluso si el punto de acceso es legítimo, muchos no cifran los datos en tránsito, lo que significa que los hackers con las herramientas adecuadas podrían ver los sitios web que visita y las credenciales que introduce. Es por lo que desde ESET recomiendan la utilización de VPN, que crea un túnel cifrado entre el dispositivo e Internet.

Vulnerabilidades: Si bien desde Apple se le dedica mucho tiempo y esfuerzo a garantizar que su código esté libre de vulnerabilidades, a veces hay fallos en la producción. En estos casos, los piratas informáticos pueden aprovecharse si los usuarios no han actualizado el dispositivo, por ejemplo, enviando enlaces maliciosos en mensajes que activan un exploit si se hace clic sobre ellos.

• El año pasado, Apple se vio obligada a parchear una vulnerabilidad que podía permitir a los agresores robar información de un dispositivo bloqueado mediante comandos de voz de Siri
• En ocasiones, los propios actores de amenazas y empresas comerciales investigan nuevas vulnerabilidades (de día cero) para explotarlas. Aunque son poco frecuentes y muy selectivos, los ataques que aprovechan estas vulnerabilidades se utilizan a menudo para instalar de forma encubierta programas espía con el fin de husmear los dispositivos de las víctimas

Prevención y resguardo, algo necesario y prudente

Si bien hay malware que acecha los dispositivos de iOS, también es posible minimizar la exposición a las amenazas. ESET comparte las siguientes tácticas principales:

• Mantener el iOS y todas las aplicaciones actualizadas. Esto reducirá la ventana de oportunidad para que los actores de amenazas exploten cualquier vulnerabilidad en versiones antiguas para lograr sus objetivos.
• Utilizar siempre contraseñas seguras y únicas para todas las cuentas, quizás utilizando el gestor de contraseñas de ESET para iOS, y activar la autenticación multifactor si se ofrece. Esto es fácil en los iPhones, ya que requerirá un simple escaneo de Face ID. Esto asegurará que, incluso si los malhechores obtienen las contraseñas, no podrán acceder a las aplicaciones sin el escaneo de la cara del usuario real o verdadero.
• Activar Face ID o Touch ID para acceder al dispositivo, respaldado con una contraseña segura. Esto mantendrá el iPhone seguro en caso de pérdida o robo.
• No hacer jailbreak al dispositivo, por las razones mencionadas anteriormente. Tu iPhone sería menos seguro.
• Tener cuidado con el phishing. Eso significa tratar con extrema precaución las llamadas, mensajes de texto, correos electrónicos y mensajes de redes sociales no solicitados. No hacer clic en enlaces ni abrir archivos adjuntos. Si realmente se necesita hacerlo, comprobar por separado con el remitente que el mensaje es legítimo (es decir, no respondiendo a los datos que figuran en el mensaje). Buscar signos de ingeniería social, como errores gramaticales y ortográficos, una urgencia para actuar, regalos y ofertas demasiado buenas para ser ciertas o dominios (del remitente) que no coinciden con el supuesto emisor.
• Evitar las redes wifi públicas. Si es necesario utilizarlas, hacerlo con una VPN. Como mínimo, no iniciar sesión en ninguna cuenta valiosa ni introducir información confidencial en una red wifi pública.
• Intentar limitarse a la App Store para cualquier descarga, con el fin de minimizar el riesgo de descargar algo malicioso o arriesgado.
• Si se cree que se puede ser objetivo de programas espía (utilizados a menudo contra periodistas, activistas y disidentes), activar el modo de bloqueo.

• Prestar atención a los signos reveladores de una infección por malware, que podrían incluir un rendimiento lento, ventanas emergentes de publicidad no deseada, un sobrecalentamiento del dispositivo, aparición de nuevas aplicaciones en la pantalla de inicio o aumento del consumo de datos.

“Si bien el iPhone de Apple sigue siendo uno de los dispositivos más seguros que existen. Esto no quiere decir que estén libres de amenazas. Mantenerse alerta, conocer los posibles riesgos y tomar las medidas de protección necesarias ayudan a mantener la información y los dispositivos seguros”, concluye Gutiérrez Amaya, de ESET Latinoamérica.

Para obtener más información preventiva en materia de ciberseguridad, puede visitar el sitio web de ESET: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET). O https://www.eset.com/latam.

Con información e imagen referencial suministrada por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

La entrada ¿Qué tan seguro es tu iPhone?: ESET analiza, lo explica y hace recomendaciones apareció primero en Bitfinance.

No es una novedad que la Inteligencia Artificial llegó para revolucionar el mundo, así como que los ciberdelincuentes han sabido aprovechar todo este potencial para armar ataques de ingeniería social dirigidos, muy realistas y sofisticados. Las técnicas que involucran la clonación de voz para hacerse pasar por familiares, amigos o conocidos están en pleno auge con el objetivo de obtener información privada o directamente dinero de sus víctimas. ESET, compañía líder en detección proactiva de amenazas, analiza la metodología que utilizan los atacantes en este tipo de engaños, cómo pueden afectar a las personas y de qué manera debemos evitar ser víctimas.

Los cibercriminales o delincuentes informáticos toman pequeños fragmentos de una grabación real y mediante el uso de la Inteligencia Artificial (IA) y los patrones de voz, crean conversaciones y frases para llevar a cabo sus engaños, con consecuencias tan graves como costosas.  Estas muestras las obtienen de grabaciones de voz o de videos que estén publicados en redes sociales como Instagram o TikTok.

Para dimensionar cuál es su impacto, la Comisión Federal de Comercio de los Estados Unidos informó que en 2023 ese país perdió 2.700 millones de dólares solo por estafas. En esa línea, Starling Bank (banco británico que opera de manera online) alertó sobre la preponderancia de este tipo de estafas en el Reino Unido. La encuesta realizada a más de 3.000 personas reveló que más de una cuarta parte de los adultos afirma haber sido víctima de una estafa de clonación de voz mediante inteligencia artificial al menos una vez en el año. Además, el 46% de los encuestados mencionó que no sabía que existían tales estafas.

El crecimiento del número de estafas que involucran a la Inteligencia Artificial llevó al FBI a emitir un comunicado para alertar a las personas: “Los atacantes están aprovechando la IA para crear mensajes de voz o video y correos electrónicos muy convincentes para permitir esquemas de fraude contra individuos y empresas por igual. Estas tácticas sofisticadas pueden resultar en pérdidas financieras devastadoras, daño a la reputación y compromiso de datos confidenciales”, remarcó el organismo de investigaciones estadounidense.

Recomendaciones de ESET

Desde ESET advierten que ante este tipo de estafas que involucran la ingeniería social, el primer consejo es mantenerse bien alerta. Esto quiere decir, prestar especial atención a aquellos mensajes inesperados que llegan con la urgencia de solicitar dinero o credenciales de ciertas cuentas. Y en esa misma línea, devolver la llamada al familiar o amigo correspondiente a un número de teléfono conocido.

Otra de las medidas sugeridas por el equipo de investigación de ESET es tener una “frase segura”, que sea acordada previamente entre familiares y amigos, con el objetivo de comprobar si la persona que está hablando del otro lado es quien realmente dice ser.

También es muy importante implementar la autenticación multifactor siempre que se pueda. Se trata de agregar una capa de seguridad extra, con el objetivo de que los ciberdelincuentes no puedan acceder a nuestras cuentas y sistemas.

“En el caso de las empresas, más allá de combinar soluciones para reducir la cantidad de correos electrónicos, llamadas y mensajes de phishing que llegan a sus colaboradores, es primordial educar y concientizar a sus equipos de colaboradores para que puedan detectar los engaños y no caer en la trampa”, comentó y compartió Camilo Gutiérrez Amaya, Jefe del Laboratorio de investigación de ESET Latinoamérica.

Coordenadas de contacto con ESET, empresa especialista en seguridad digital e informática, fuente de la presente información y recomendaciones: https://www.eset.com/ve/.

También sus redes sociales: Instagram (@esetla) y Facebook: (ESET).

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

La entrada Crecen estafas que se aprovechan de la clonación de voz con Inteligencia Artificial apareció primero en Bitfinance.