INVESTIGACIÓN
Julio de 2026: firmas poscuánticas bajo ataque, huellas de dispositivos y miniapps
En julio de 2026 bastan unos pocos bits filtrados para recuperar las claves de Falcon, HAWK y ML-DSA, y las redes neuronales automatizan los ataques de canal lateral contra ML-KEM. Móviles y navegadores se reconocen por cientos de propiedades o por diferencias de fabricación de las GPU. Las miniapps de WeChat fallan en OAuth y un retraso de renderizado engaña al antiphishing visual.
Archivo: reconstrucción escrita en noviembre de 2026
1. Halfspace Learning for Lattice Signature Key Recovery from Signs
CRYPTO · Marcus Brinkmann, Nicolai Kraus, Alexander May · Criptografía poscuántica
En breve: Conocer solo el signo de algunos valores aleatorios basta para recuperar las claves secretas de HAWK, Falcon y ML-DSA.
Los autores muestran que una fuga mínima de la aleatoriedad usada al firmar, incluso un solo bit o el peso de Hamming, revela el signo de una combinación de la clave secreta. Tratan la recuperación como un problema de aprendizaje conocido y obtienen la clave de HAWK con 30 firmas en 10 minutos, la de Falcon con 100 en menos de un minuto y la de ML-DSA con 190.000.
Por qué importa. Las firmas poscuánticas llegan ya a productos y certificados: las implementaciones deben verificarse frente a fugas mínimas, no solo frente al criptoanálisis clásico.
2. Neur-SASCA: High-Noise-Tolerant and Automated Single-Trace Attack against NTT
IACR Transactions on Cryptographic Hardware and Embedded Systems · Yuxuan Wang, Jintong Yu, Yihan Nie, Yubo Zhao et al. · Criptografía poscuántica
En breve: Neur-SASCA usa redes neuronales para atacar ML-KEM con una sola traza de consumo, incluso con mucho ruido y dispositivos distintos.
La transformada NTT es el núcleo de ML-KEM y un objetivo conocido de los ataques de canal lateral. Hasta ahora estos ataques requerían plantillas hechas a mano, trazas alineadas y localizar los puntos de fuga. Neur-SASCA procesa directamente las trazas en bruto con una red neuronal, tolera ruido no gaussiano y desalineación y se transfiere entre dispositivos.
Por qué importa. La automatización abarata los ataques físicos a los algoritmos poscuánticos: los dispositivos embebidos que los adopten necesitan contramedidas desde el diseño.
3. EXADPrinter: Semi-Exhaustive Permissionless Device Fingerprinting Within the Android Ecosystem
Proceedings on Privacy Enhancing Technologies · Sihem Bouhenniche, Pierre Laperdrix, Walter Rudametkin · Web y móvil
En breve: Sin ningún permiso, una app Android recoge más de 200.000 propiedades del dispositivo, y bastan cinco para identificarlo.
Con normas de privacidad más estrictas, los rastreadores buscan identificadores menos vigilados. EXADPrinter extrae de cada móvil Android más de 200.000 propiedades de hardware, sistema y usuario mediante reflexión Java y comandos de shell, sin pedir permisos. En 4.004 huellas de 3.143 dispositivos de 68 fabricantes, cinco atributos sin datos personales bastan para reconocer un móvil.
Por qué importa. El rastreo sin consentimiento elude los permisos visibles para el usuario: para quien trata datos personales es un riesgo de cumplimiento que entra con librerías de terceros.
4. DRAWNAPART: A Device Identification and Spoofing Detection Technique Based on Remote GPU Fingerprinting
ACM Transactions on Privacy and Security · Tomer Laor, Naif Mehanna, Antonin Durey, Vitaly Dyadyuk et al. · Web y móvil
En breve: DrawnApart distingue ordenadores con hardware y software idénticos por mínimas diferencias de fabricación de sus GPU.
Las huellas del navegador cambian con el tiempo y acaban confundiéndose con las de dispositivos similares. DrawnApart aprovecha las variaciones de producción entre GPU del mismo modelo, medidas con un script en el navegador, para separar máquinas idénticas. También verifica el modelo de GPU declarado y desenmascara a quien imita el dispositivo de la víctima para eludir el segundo factor.
Por qué importa. La misma técnica sirve para rastrear usuarios y para proteger cuentas: los equipos de autenticación pueden usarla contra el robo de sesión, respetando las normas de privacidad.
5. Overcoming Language Barriers: Multilingual Analysis of the 2023 Swiss Privacy Law’s Impact
Proceedings on Privacy Enhancing Technologies · Luka Nenadic, David Rodríguez, Joseph A. Calandrino · Políticas, derecho y sociedad
En breve: Tras la reforma de 2023, las políticas de privacidad de los sitios suizos citan mucho más los derechos de los interesados.
En 2023 Suiza alineó su ley de privacidad con el RGPD. Los autores crean un sistema basado en modelos de lenguaje que lee políticas en alemán, francés, italiano e inglés sin traducirlas, y lo aplican a más de 35.000 sitios antes y después de la reforma. Las menciones a los derechos de los interesados crecen mucho, impulsadas sobre todo por generadores automáticos.
Por qué importa. Las reformas cambian los textos más que las prácticas: medir el efecto real de una ley requiere herramientas como esta, útiles también para evaluar el cumplimiento de clientes.
6. Mini-Programs, Mega-Problems: Unveiling OAuth-based Authentication Misuses in Mini-Programs via Dynamic Analysis
arXiv · Zidong Zhang, Zhentao Xie, Lingyun Ying, Qinsheng Hou et al. · Identidad y autenticación
En breve: En más de 46.000 miniapps de WeChat y Baidu, 1.834 errores de acceso OAuth permiten suplantar a los usuarios.
Las miniapps funcionan dentro de superapps como WeChat y usan el OAuth de la plataforma para el inicio de sesión. Los autores hallan tres nuevos tipos de error que solo aparecen en ejecución y crean MiniAuth, que ejecuta los flujos incluso con código ofuscado. En 44.273 miniapps de WeChat y 2.721 de Baidu encuentran 1.834 casos, con credenciales expuestas y un fallo criptográfico en Baidu.
Por qué importa. Quien ofrece servicios mediante superapps hereda los riesgos de integraciones escritas por terceros: el acceso debe verificarse en ejecución, no solo en el código.
7. Investigating Developers’ Usage and Perception of Trusted Execution Environment Features in Android
IEEE European Symposium on Security and Privacy · Abdullah Imran, Güliz Seray Tuncay, René Mayrhofer, Antonio Bianchi · Web y móvil
En breve: Menos del 6% de los desarrolladores Android usa sin problemas las funciones de seguridad por hardware, y muchos malinterpretan sus garantías.
Android ofrece API basadas en el entorno de ejecución confiable que resisten incluso un sistema operativo comprometido. Una encuesta a 396 desarrolladores y 20 entrevistas muestran que más del 70% necesitaría estas funciones, menos de la mitad las conoce y menos del 6% las adopta sin problemas. El 62,4% cree erróneamente que el KeyStore resiste la manipulación física.
Por qué importa. Las apps de bancos y aseguradoras dependen de estas protecciones para claves y biometría: sin mejor documentación y herramientas a menudo quedan sin usar o mal configuradas.
8. I can’t recognize (yet): Delayed Rendering to Defeat Visual Phishing Detectors
IEEE European Symposium on Security and Privacy · Ying Yuan, Cristiano Alex Rado, Giovanni Apruzzese, Mauro Conti et al. · Malware y amenazas
En breve: Retrasar la carga de logotipos y formularios basta para engañar a los detectores de phishing que juzgan la página por su aspecto.
Los detectores de phishing más avanzados comparan una captura de la página con la del sitio legítimo que imita. Para ello deben tomar la captura en un momento dado. Los autores muestran que esta clase de defensas nunca ha considerado ataques basados en tiempos: basta retrasar el renderizado de los elementos reconocibles para que la página parezca inocua en el instante del control.
Por qué importa. Muchos filtros corporativos de correo y navegación usan esta técnica: un truco casi gratuito la debilita, así que hacen falta controles repetidos u otras señales.
9. Cross-Host Lateral Movement Attacks Detection with QUIC-Aware Dynamic Information Flow Tracking
IEEE European Symposium on Security and Privacy · Kokthay Poeng, Laurent Schumacher · Seguridad de red
En breve: Un sistema de seguimiento de flujos entre hosts reconstruye el movimiento lateral incluso cuando los atacantes usan QUIC.
Detectar a un atacante que salta de un host a otro requiere vínculos causales entre flujos de red. QUIC oculta esos vínculos a los monitores basados en llamadas al sistema, y los sistemas existentes pierden más de la mitad de su precisión. Los autores combinan monitorización ligera del kernel e instrumentación de servidores QUIC, con atribución completa y latencias bajo 15 microsegundos.
Por qué importa. El movimiento lateral decide hasta dónde se extiende un ataque: los nuevos protocolos pueden cegar las herramientas de detección si no se actualizan.
10. Banshee: Target Switch Attacks on Gimbal-Stabilized Visual Tracking Systems via Acoustic Injection
IEEE Symposium on Security and Privacy · Jiarui Li, Joseph Brewington, Qingzhao Zhang, Zhuoqing Morley Mao · Web y móvil
En breve: Con sonido dirigido al estabilizador de la cámara, Banshee hace que un dron siga un objetivo elegido por el atacante.
Los drones que siguen un objeto usan una cámara sobre estabilizador gimbal, cuyos sensores son sensibles al sonido. Banshee genera ondas acústicas que hacen oscilar la cámara de forma calculada y rompen la asociación entre fotogramas: el seguimiento pasa al objeto elegido por el atacante. En vuelo, contra un dron comercial, el ataque funciona en el 95,5% de los casos.
Por qué importa. Los drones de inspección, seguridad y reparto dependen del seguimiento visual: un ataque físico barato puede desviar su misión sin tocar el software.
Leer el artículo · PDF · Código
Las tendencias del mes
Criptografía poscuántica
72 artículos del mes sobre este tema
Con los estándares poscuánticos ya fijados, la investigación pasa a las implementaciones. Pocos bits filtrados bastan para recuperar las claves de Falcon, HAWK y ML-DSA, y las redes neuronales hacen más automáticos y robustos los ataques de canal lateral contra ML-KEM. La migración exige implementaciones verificadas, no solo algoritmos nuevos.
Artículos citados:
- Halfspace Learning for Lattice Signature Key Recovery from Signs
- Neur-SASCA: High-Noise-Tolerant and Automated Single-Trace Attack against NTT
Privacidad
76 artículos del mes sobre este tema
El rastreo pasa de las cookies a las características de los dispositivos. Una app sin permisos recoge más de 200.000 propiedades del móvil y las diferencias de fabricación de las GPU distinguen ordenadores idénticos. Mientras, en Suiza la reforma de 2023 cambia sobre todo el texto de las políticas de privacidad, a menudo escritas por generadores automáticos.
Artículos citados:
- EXADPrinter: Semi-Exhaustive Permissionless Device Fingerprinting Within the Android Ecosystem
- DRAWNAPART: A Device Identification and Spoofing Detection Technique Based on Remote GPU Fingerprinting
- Overcoming Language Barriers: Multilingual Analysis of the 2023 Swiss Privacy Law’s Impact
Identidad y autenticación
83 artículos del mes sobre este tema
Los errores de integración pesan tanto como los fallos de protocolo. Las miniapps fallan en el login OAuth de formas visibles solo en ejecución, muy pocos desarrolladores Android usan bien las protecciones por hardware y los detectores visuales de phishing caen ante un simple retraso de renderizado. Las herramientas existen, pero hay que adoptarlas y verificarlas.
Artículos citados:
- Mini-Programs, Mega-Problems: Unveiling OAuth-based Authentication Misuses in Mini-Programs via Dynamic Analysis
- Investigating Developers’ Usage and Perception of Trusted Execution Environment Features in Android
- I can’t recognize (yet): Delayed Rendering to Defeat Visual Phishing Detectors
Cómo se elabora este digest
Este número forma parte del archivo del digest, reconstruido a posteriori. Los artículos del mes se recopilaron de arXiv, del archivo IACR ePrint y de las principales conferencias y revistas de seguridad; en la selección cuentan también las citas recibidas tras la publicación. Un modelo de inteligencia artificial evaluó a los candidatos y redactó los resúmenes, que se basan en los abstracts: para los detalles, prevalece el artículo original.
Artículos del mes evaluados: 1939.