Seguro cyber: los eventos de la semana del 24 al 31 de octubre de 2026

Seis eventos cyber de la semana del 24 al 31 de octubre de 2026, del robo de 6.300 millones de dólares a Binance a Amadeus, GMO Internet, PHP2Shell, UNM Health y Sony Network Communications, unidos por la dependencia de proveedores y plataformas compartidas. Con el impacto asegurador y las preguntas para las renovaciones.

Semana del 24 al 31 de octubre de 2026

Actualizado el 1 de noviembre de 2026: el FBI atribuyó el robo a Binance a TraderTraitor y Binance empezó a reabrir los retiros.

La semana del 24 al 31 de octubre de 2026 tiene un hilo común claro: la dependencia de un proveedor o de una plataforma compartida. Cuatro de los seis eventos seleccionados nacen de un único punto de acceso aguas arriba (un sistema de reservas, un servicio de escritorio en la nube, un software web muy difundido) que se transmite a muchos clientes. El mayor, el robo de 6.300 millones de dólares a Binance, muestra lo que ocurre cuando falla la gestión de los sistemas que firman las transacciones. Otro, el ransomware contra un gran sistema sanitario, muestra cuánto más pesa una interrupción operativa que el robo de datos. Para quien suscribe el riesgo cyber, la pregunta no es solo quién es el asegurado, sino de qué proveedores depende junto con otros asegurados.

En resumen

Binance: el 29 de octubre el exchange suspende los retiros tras un robo estimado en unos 6.300 millones de dólares, el mayor de la historia de las criptomonedas; unos 3.000 millones congelados.
Amadeus: un acceso no autorizado, del 10 de agosto de 2023 al 23 de septiembre de 2026, al sistema de reservas que usan muchas aerolíneas. JAL, ANA y Cathay Pacific han comunicado decenas de miles de clientes afectados.
GMO Internet: el servicio de escritorio en la nube Onamae.com se detiene tras un ataque con una exigencia de extorsión de 50 millones de dólares, rechazada. Hasta 26.739 servidores potencialmente afectados.
PHP2Shell: las dos vulnerabilidades de PHP entran en el catálogo de CISA de vulnerabilidades explotadas el 26 de octubre, con explotación observada a escala global.
UNM Health: un ataque de ransomware obliga a un sistema hospitalario de Nuevo México a desviar ambulancias y suspender intervenciones.
Sony Network Communications: 2.585.481 registros de clientes de los proveedores So-net y plala expuestos.

Los ataques de la semana

1. Binance: el mayor robo de la historia de las criptomonedas

El 29 de octubre de 2026 Binance suspendió depósitos y retiros tras un incidente de seguridad que, según el exchange, afectó a unos 6.300 millones de dólares en activos. Binance afirma que unos 3.000 millones han sido congelados en las blockchains con la ayuda de socios del sector. Las estimaciones de terceros varían: Chainalysis indica unos 5.900 millones en el momento del robo y Elliptic 6.430 millones (The Hacker News). El récord anterior era el robo de unos 1.500 millones de dólares a Bybit en 2025 (Cybersecurity Dive).

Según TRM Labs, las transferencias se realizaron en diez blockchains, por unos 6.360 millones, en gran parte en unos 20 minutos; los primeros movimientos no autorizados se remontan a las 20:05 UTC del 29 de octubre. Los atacantes se preparaban desde al menos 36 horas antes (CoinCentral).

La causa no se ha publicado. Las primeras investigaciones de Binance apuntaban al portátil comprometido de un ingeniero DevOps, que habría dado acceso a un contenedor de servicio desde el que se enviaron transacciones de retiro no autorizadas. El co-CEO Richard Teng dijo después que el ataque era más complejo y que Binance encontró otros puntos de intrusión; no hay pruebas de una filtración de claves privadas de los wallets (The Hacker News). Binance afirma que los cold wallets, donde está la mayor parte de los fondos de los clientes, no fueron tocados (Boston Globe).

TRM Labs y Chainalysis atribuyen el ataque con alta confianza a TraderTraitor, unidad vinculada a Corea del Norte y ya señalada por el robo a Bybit; Elliptic pide cautela por las diferencias en los tiempos y en los métodos de blanqueo. Binance se limita a decir que colabora con las fuerzas del orden. El 1 de noviembre de 2026 el FBI atribuyó oficialmente el robo a TraderTraitor y, junto con el Secret Service y el IRS Criminal Investigation, publicó las direcciones de los wallets usados para mover los fondos, convertidos sobre todo en Ethereum (The Hacker News). Binance ha reservado más de 6.340 millones de dólares de fondos propios para cubrir las pérdidas de los usuarios. El 1 de noviembre inició la primera fase de la reapertura de los retiros y prevé completarla de forma gradual, a medida que termine los controles de seguridad (misma fuente).

2. Amadeus: tres años de acceso a un sistema de reservas

Japan Airlines comunicó que los datos de unos 92.000 clientes quedaron expuestos por un acceso no autorizado al sistema de gestión de pasajeros de Amadeus, usado para reservas, emisión de billetes y check-in. Para unas 90.000 personas están afectados el código de reserva, el nombre, la fecha del vuelo, la ruta y la clase. Para unas 2.000, también el correo electrónico, el teléfono, el número de pasaporte, la nacionalidad, el número de viajero frecuente y los números de billete y asiento (BleepingComputer).

El acceso no autorizado abarca el periodo del 10 de agosto de 2023 al 23 de septiembre de 2026. Amadeus informó a JAL el 23 de octubre de 2026. El 1 de octubre de 2026 Amadeus había publicado un aviso sobre una vulnerabilidad en el entorno de visualización de reservas; BleepingComputer observa que la falla parece haber sido explotada después. Ni el artículo ni Amadeus señalan a un responsable.

All Nippon Airways comunicó unos 37.800 clientes afectados, con pasaporte y nacionalidad para 1.700 de ellos. Asiana Airlines y Korean Air confirmaron estar afectadas (ID Tech). JAL descarta la exposición de tarjetas de crédito y contraseñas y declara no tener pruebas de usos indebidos.

El 31 de octubre de 2026 Cathay Pacific comunicó unas 53.000 reservas afectadas, creadas entre agosto de 2023 y septiembre de 2026. Amadeus la informó el 28 de octubre y explicó que una parte no autorizada usó las credenciales de una cuenta de sistema para acceder a los datos de reserva; Amadeus restableció la contraseña y reforzó la monitorización (Aviation A2Z).

3. GMO Internet: un servicio de escritorio en la nube cerrado

GMO Internet, gran proveedor japonés, descubrió el 20 de octubre de 2026 que terceros habían instalado programas maliciosos en los servidores de algunos clientes del servicio Onamae.com Desktop Cloud, usado en particular para el trading de divisas. El 21 de octubre llegó un correo de extorsión de 50 millones de dólares y empezaron los apagados de servidores. GMO se negó a pagar. El 24 de octubre confirmó que se había sustraído información de clientes y el 27 de octubre que los atacantes habían publicado datos que parecen referirse a clientes, advirtiendo de que podrían contener información falsa (Webhosting Today).

Los servidores potencialmente afectados son hasta 26.739; es una estimación de los servidores que podrían haber sido atacados, no de intrusiones comprobadas. Algunos clientes señalaron operaciones de trading que no reconocían. GMO no reiniciará la plataforma en su forma actual. Ofrecerá un entorno alternativo gratuito durante seis meses, una indemnización de 5.000 yenes a cada cliente y el reembolso de las pérdidas confirmadas, después de los posibles reembolsos de las sociedades de trading. También ha abierto una recompensa de hasta 1 millón de dólares por información útil para los investigadores (mismo artículo).

Según The Register, el consejero delegado Masatoshi Kumagai admitió que la respuesta a avisos internos anteriores no fue lo bastante profunda ni rápida, y relacionó un ataque contra unas 20 empresas japonesas con el uso de ARTEX, una herramienta autónoma de penetration testing basada en IA (The Register). Es una declaración del directivo, no una verificación independiente.

4. PHP2Shell: de vulnerabilidad a explotación confirmada

Las dos fallas del motor PHP (CVE-2026-109618 y CVE-2026-109619), ya tratadas la semana pasada, han dado un paso más. El 26 de octubre de 2026 CISA las incluyó en su catálogo de vulnerabilidades conocidas y explotadas, con plazo hasta el 29 de octubre para las agencias civiles federales estadounidenses. PHP había publicado las correcciones el 21 de octubre, en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 (The Next Web).

El 24 de octubre un investigador registró en tres honeypots 35 comandos de shell lanzados desde el servidor Apache, desde dos direcciones IP, de forma coherente con el primer CVE. El laboratorio de la Universidad Técnica de Delft contó desde el 21 de octubre 68.499 solicitudes de explotación desde 652 direcciones IP en 73 países, 174 de ellas con código o dropper. La misma fuente indica que Sophos corrigió un informe sobre ataques exitosos contra sus propios clientes y que Unit 42 de Palo Alto Networks retiró una evaluación sobre un ataque a un organismo gubernamental europeo: por tanto, las atribuciones deben tratarse con prudencia.

5. UNM Health: la interrupción operativa de un hospital universitario

El 26 de octubre de 2026 University of New Mexico Health sufrió una interrupción de sus sistemas informáticos. UNM Health limitó los nuevos ingresos, desvió las ambulancias a otros hospitales y suspendió intervenciones ambulatorias y citas; se cancelaron las clases en las cuatro escuelas de ciencias de la salud (BleepingComputer).

La universidad no ha declarado el tipo de ataque. El grupo Byod, nuevo y con seis víctimas en su sitio, reivindicó el ataque, afirmando tener acceso a unos 36.000 sistemas y a datos de pacientes, estudiantes y empleados. Son declaraciones del grupo, no verificadas. UNM Health afirma que el evento no penetró en los sistemas y servidores principales, pero afectó a algunos dispositivos de usuarios. En la fecha del artículo, el 27 de octubre, los sistemas críticos habían vuelto a funcionar, los hospitales estaban plenamente abiertos y las clínicas habían retomado la actividad.

6. Sony Network Communications: la filtración masiva de datos

Sony Network Communications, filial de Sony Group que opera como proveedor de internet en Japón, comunicó que la base de datos de miembros de So-net fue consultada por un sujeto no autorizado. Los registros afectados son 2.585.481: 2.141.986 de So-net y 443.495 del servicio plala, que se refiere a clientes de Docomo Hikari de NTT Docomo. Además, quedaron expuestas 54.401 direcciones de correo de varios servicios, junto con las contraseñas de las cuentas (BleepingComputer).

Los datos incluyen nombre, teléfono, correo electrónico, ID de usuario, fecha de nacimiento, género e identificadores de conexión; no constan datos bancarios ni de tarjetas. La intrusión se produjo el 19 de octubre y se detectó unos cuatro días después; Sony la anunció el 27 de octubre y la notificó a la Comisión japonesa de protección de datos personales. El artículo no indica autor ni método, y a 27 de octubre no se habían confirmado usos indebidos.

Otros eventos a destacar

Universidad de Copenhague (educación): acceso a un entorno de pruebas, con datos de unas 525.000 personas (nombre, número de identidad nacional CPR, teléfono, correo) y, en una actualización, los códigos de acceso físico de unos 20.000 miembros del personal y estudiantes. Notificado a la autoridad danesa de protección de datos.
ENGIE (energía): comprometida una plataforma de marketing usada por los socios comerciales; expuestos datos de contacto y contractuales de clientes en Francia, número no comunicado. ENGIE afirma que sus sistemas internos no se vieron afectados.
Quest Diagnostics (sanidad): acceso no autorizado a Quanum, plataforma de pedidos de análisis y facturación, con robo de datos de pacientes. Se desconocen el volumen y el responsable; la empresa presentó una comunicación a la SEC (Beinsure).

Impacto asegurador

El cuadro común es la concentración: el siniestro no nace en el asegurado, sino en una infraestructura compartida. Para cada evento, el posible impacto en las pólizas puede leerse así.

Binance. Coberturas potencialmente activadas: robo de activos digitales, extorsión e interrupción de actividad, cuando estén previstas. Potencial de acumulación: medio-alto, por las contrapartes y los servicios vinculados al exchange (congelaciones de stablecoins, protocolos de finanzas descentralizadas que suspendieron depósitos y préstamos). Punto contractual: muchas pólizas cyber limitan o excluyen los activos digitales y el robo de criptomonedas; cuentan la definición de bien asegurado, la custodia y el sublímite. La atribución a un Estado, ahora hecha por el FBI, activa las exclusiones por actos de guerra u operaciones estatales.
Amadeus. Coberturas potencialmente activadas: responsabilidad por violación de datos, costes de notificación y de gestión del incidente, sanciones cuando sean asegurables. Potencial de acumulación: alto, porque el mismo sistema da servicio a varias aerolíneas en varios países. Punto contractual: la duración del acceso (desde 2023) y la fecha de descubrimiento respecto a la retroactividad y al periodo de notificación ampliado.
GMO Internet. Coberturas potencialmente activadas: extorsión, interrupción de actividad, restauración de sistemas, responsabilidad frente a los clientes. Potencial de acumulación: alto entre los clientes del servicio. Punto contractual: las pérdidas financieras por trading no autorizado, que muchas pólizas excluyen o limitan, y la distinción entre daño al cliente y daño al proveedor.
PHP2Shell. Coberturas potencialmente activadas: todas las de un incidente informático, de la restauración a la responsabilidad. Potencial de acumulación: muy alto, porque el software está muy difundido y la misma falla afecta a asegurados distintos. Punto contractual: el retraso en aplicar las correcciones y las condiciones de gestión de vulnerabilidades.
UNM Health. Coberturas potencialmente activadas: interrupción de actividad, restauración, extorsión, responsabilidad sanitaria por los datos. Potencial de acumulación: bajo como evento aislado, pero elevado en severidad. Punto contractual: sublímites y periodos de carencia de la interrupción, y costes de los servicios sanitarios no prestados.
Sony Network Communications. Coberturas potencialmente activadas: responsabilidad por violación de datos, notificaciones, monitorización del crédito. Potencial de acumulación: medio. Punto contractual: la presencia de contraseñas entre los datos expuestos, que puede extender el daño a otros servicios de los clientes.

El proveedor es el punto de acumulación. Amadeus (ahora también con Cathay Pacific), GMO y PHP2Shell muestran que el riesgo está en las dependencias compartidas más que en el asegurado individual. Hacen falta mapas de dependencias de cartera, no solo cuestionarios por cliente.

La duración de la intrusión cambia la lectura del siniestro. Un acceso que dura años, como el descrito para Amadeus, hace centrales las fechas de retroactividad, descubrimiento y notificación. La misma cautela vale para las declaraciones de los grupos criminales, a menudo no verificables: para la evaluación cuenta el hecho comprobado por el asegurado y el proveedor.

La atribución estatal pesa en los textos. Para Binance, la atribución a Corea del Norte, señalada primero por los analistas, fue confirmada por el FBI el 1 de noviembre de 2026, tres días después del robo. Las cláusulas sobre actos de guerra y operaciones estatales dependen de cómo el texto define la atribución y de quién puede establecerla.

La interrupción pesa más que el robo de datos. Para un hospital, la pérdida principal es la imposibilidad de operar. Las condiciones sobre interrupción de actividad, también por proveedor, merecen más atención que las relativas solo a la filtración de datos.

Qué llevar a las renovaciones

¿Están cubiertos los activos digitales y las criptomonedas, con qué sublímite, y cómo se definen la custodia y los wallets?
¿Qué proveedores críticos (reservas, escritorio en la nube, hosting, MSP) sostienen la actividad del asegurado, y cubre la póliza la interrupción causada por un proveedor?
¿Existen sublímites para la interrupción de actividad por proveedor, y cuánto duran los periodos de carencia?
¿Cómo se tratan las pérdidas financieras causadas por el uso no autorizado de credenciales o de cuentas de trading?
¿Cuáles son la retroactividad y el periodo de notificación ampliado, en caso de accesos no autorizados descubiertos años después?
¿Existe un proceso documentado para aplicar las correcciones a vulnerabilidades explotadas (por ejemplo, las del catálogo de CISA) y en qué plazos?
¿Cómo se cubren los costes de notificación y de gestión del incidente cuando los datos expuestos se refieren a personas en varios países?

En el lado de la cartera, conviene censar las exposiciones a unas pocas plataformas recurrentes (sistemas de reservas, hosting y escritorio en la nube, lenguajes y software muy difundidos) y simular un escenario en el que un solo proveedor afecte a muchos asegurados en el mismo periodo.