When the damage starts with a supplier or third-party software: liability, dependent business interruption and recourse.
Semana dominada por la seguridad de los LLM: defensas para agentes, para el fine-tuning y para las apps Android que los integran, más el watermarking del texto generado. En hardware, canales laterales en NVLink entre GPU y un ataque Spectre-v2 en engines JIT. Completan una nueva XSS por DoH, defectos del single sign-on móvil y la verificación del ratchet post-quantum de Signal.
Investigación · 15 nov 2026
LeerLa llegada de las actas de una gran conferencia infla los recuentos, así que los saltos deben leerse con cautela. El contenido es sólido en agentes de IA (secuestro de agentes GUI de Android, defensas para los LLM), en la elusión de protecciones de memoria (sandbox de V8, MTE del kernel) y en canales laterales en las implementaciones criptográficas y en los TEE.
Investigación · 15 nov 2026
LeerDesde el 12 de noviembre de 2026 un fallo en los servidores de Microsoft 365 ha detenido Outlook, Exchange Online y otros servicios en al menos 74 países, sin indicios de ataque. El análisis: por qué muchas pólizas cyber no se activan, periodo de espera y cuantificación, el cúmulo en el proveedor único y preguntas para las renovaciones.
Análisis · 13 nov 2026
LeerEl 4 de noviembre de 2026 Crédit Mutuel Arkéa comunicó que atacantes entrados por la plataforma de un proveedor usaron la cuenta del banco para transferir más de 100 millones de euros, convertidos después en criptomonedas. El análisis: la pérdida de fondos entre póliza de crimen y cyber, el cúmulo en el proveedor, la velocidad de la conversión, los controles y preguntas para las renovaciones.
Análisis · 11 nov 2026
LeerEsta semana tres estudios ponen a prueba a los agentes de IA: tools MCP envenenados que aciertan casi una vez de cada cuatro, tools firmados que filtran datos y archivos Office que el modelo lee distinto que nosotros. En hardware destacan un trojan en sensores y dos ataques a SLH-DSA y ML-KEM. Cierran bugs del compilador en zkVM y la NativeMessaging de los navegadores.
Investigación · 08 nov 2026
LeerEl 29 de octubre de 2026 un script de monitorización de un proveedor, cargado en Polymarket, fue sustituido y sustrajo unos 2,7 millones de dólares de más de 700 cuentas. El análisis: qué póliza responde, el cúmulo en los scripts de terceros, los controles y las preguntas para las renovaciones.
Análisis · 04 nov 2026
LeerCon la carta del 7 de julio de 2026, la Supervisión Bancaria del BCE pidió a los bancos significativos un plan de acción frente a las amenazas cyber potenciadas por la inteligencia artificial, con entrega antes del 31 de octubre. La JERS elevó el riesgo cyber sistémico a «grave». Una lectura desde la suscripción: qué pide el BCE, qué cambia para las pólizas cyber de las entidades financieras y qué preguntas llevar a las renovaciones.
Regulación · 02 nov 2026
LeerFicha actualizada al 1 de noviembre de 2026 sobre el Reglamento (UE) 2022/2554 (DORA) y el Decreto Legislativo italiano 23/2025: a quién se aplica, gestión del riesgo TIC, notificación de incidentes graves, proveedores TIC críticos, sanciones y efectos en la póliza cyber de bancos, aseguradoras e intermediarios.
Regulación · 02 nov 2026
LeerFicha actualizada al 1 de noviembre de 2026 sobre la Directiva NIS2 y el Decreto Legislativo italiano 138/2024: a quién se aplica, obligaciones de seguridad y de notificación, sanciones, responsabilidad de los órganos de administración y efectos en la póliza cyber.
Regulación · 02 nov 2026
LeerFicha actualizada al 1 de noviembre de 2026 sobre el Reglamento (UE) 2024/2847 (Cyber Resilience Act): qué productos abarca, notificación de vulnerabilidades explotadas en vigor desde el 11 de septiembre de 2026, requisitos de seguridad desde el 11 de diciembre de 2027, sanciones y efectos en las pólizas cyber, tech E&O y de responsabilidad civil de productos.
Regulación · 02 nov 2026
LeerDesde el 9 de diciembre de 2026 el software es un producto según la directiva (UE) 2024/2853. Qué entra en la RC profesional, en la RC de productos y en el cyber, dónde las tres coberturas se solapan o dejan vacíos y qué cambia en las preguntas de suscripción.
Regulación · 01 nov 2026
LeerEl 29 de julio de 2026 un ataque a CEVA Logistics detuvo al menos ocho almacenes europeos, bloqueando mercancías de clientes como Bol, de Bijenkorf y Valve y exponiendo datos de sus clientes finales. El análisis: mercancías bloqueadas en el almacén de otro, datos de clientes en el proveedor, el cúmulo en la logística y preguntas para las renovaciones.
Análisis · 31 ago 2026
LeerEl 16 de julio de 2026 Hugging Face comunicó que un agente de IA autónomo, entrado a través de un dataset malicioso, había robado credenciales y datos internos con miles de acciones en pocos días. El análisis: el atacante automático, la cadena de suministro de la IA, el wording de las pólizas sobre la IA y preguntas para las renovaciones.
Análisis · 31 jul 2026
LeerEntre el 27 de mayo y el 9 de junio de 2026 ShinyHunters explotó una vulnerabilidad desconocida de Oracle PeopleSoft contra más de 100 organizaciones, dos tercios de ellas universidades, robando datos personales incluso sensibles. El análisis: el esquema MOVEit por tercera vez, el cúmulo en la educación y preguntas para las renovaciones.
Análisis · 30 jun 2026
LeerEn junio de 2026 las extensiones de los agentes de programación se convierten en una nueva dependencia de la cadena de suministro, y los detectores actuales solo ven una parte. El despliegue parcial de ROV permite secuestros BGP invisibles para la víctima, AirDrop y Quick Share muestran fallos sin clic y un estudio reconstruye cómo la policía vulneró Encrochat.
Investigación · 30 jun 2026
LeerEntre finales de abril y principios de mayo de 2026 ShinyHunters vulneró dos veces a Instructure, que produce la plataforma Canvas usada por miles de escuelas y universidades, y el 11 de mayo la empresa pagó para evitar la publicación de los datos. El análisis: pagar por la sola extorsión, un proveedor para muchos asegurados y preguntas para las renovaciones.
Análisis · 31 may 2026
LeerAbril de 2026 trae las actas de IEEE S&P. Mensajes 5G válidos pero incoherentes bloquean los módems de 542 modelos de smartphone, y un audio imperceptible secuestra los asistentes de voz. Los agentes que usan el ordenador causan daños incluso con instrucciones inocuas. En poscuántica, HQC y Falcon ceden ante canales laterales. Cierran el mes los leads de seguros y la Ley de IA.
Investigación · 30 abr 2026
LeerEl 2 de abril de 2026 CERT-EU atribuyó a TeamPCP el robo de datos de la nube de la Comisión Europea, a la que se entró con una clave robada mediante una versión comprometida de la herramienta de código abierto Trivy: al menos 30 organismos de la Unión implicados. El análisis: la herramienta de seguridad como puerta de entrada, la infraestructura compartida y preguntas para las renovaciones.
Análisis · 30 abr 2026
LeerFebrero de 2026 pone en el centro la cadena de suministro de los agentes de IA: las skills de terceros, paquetes de instrucciones y scripts, contienen código malicioso e inyecciones que los agentes siguen hasta el 80% de las veces. Los agentes pueden exfiltrar datos sin rastro en la respuesta, y los LLM convierten la desanonimización en una operación masiva. Cierran el mes Android y las passkeys.
Investigación · 28 feb 2026
LeerEl 6 de febrero de 2026 un ransomware paró durante al menos cuatro días la plataforma de pagos estadounidense BridgePay: comercios obligados a aceptar solo efectivo, municipios y empresas de agua sin cobros en línea. El análisis: el proveedor oculto, periodo de carencia y franquicias, cúmulo en los pagos y preguntas para las renovaciones.
Análisis · 28 feb 2026
LeerEnero de 2026 es el mes de NDSS. El malware trae sus propios drivers firmados y vulnerables para apagar las defensas, y una arquitectura como ACE separa la planificación de los agentes de las apps no fiables. Pocas neuronas sostienen el alineamiento de los LLM, los gestores de contraseñas de escritorio ceden ante pulsaciones simuladas y los alias de correo confunden identidades.
Investigación · 31 ene 2026
LeerEl 20 de enero de 2026 un servidor de actualización del antivirus eScan distribuyó durante dos horas un programa malicioso que bloqueaba las actualizaciones y descargaba más código, afectando a cientos de ordenadores en Asia meridional. El análisis: el canal fiable, el cúmulo en un proveedor de seguridad, quién paga y preguntas para las renovaciones.
Análisis · 31 ene 2026
LeerEl 15 de octubre de 2025 F5 comunicó que un actor estatal había robado partes del código fuente de BIG-IP e información sobre vulnerabilidades no publicadas, y la CISA emitió una directiva de emergencia. El análisis: el robo que prepara los siniestros, exclusiones por actores estatales, daño al proveedor y preguntas para las renovaciones.
Análisis · 31 oct 2025
LeerOctubre de 2025 pone a prueba a los agentes de IA: un benchmark mide doce ataques a través del Model Context Protocol, y la cuantización basta para ocultar una puerta trasera en un modelo. Trece bytes desvían el malware en el filtro de Gmail. Completan el mes la firma de modelos en GPU, los LLM frente a actualizaciones npm maliciosas y la amplificación mediante reenviadores DNS.
Investigación · 31 oct 2025
LeerEl 1 de septiembre de 2025 un ataque paró durante cinco semanas las fábricas de Jaguar Land Rover, con un coste estimado de 1.900 millones de libras para la economía británica y más de 5.000 empresas afectadas. El análisis: la parada productiva, la cadena de proveedores, el coste de no estar asegurado y preguntas para las renovaciones.
Análisis · 30 sept 2025
LeerSeptiembre de 2025 empieza con EchoLeak, la primera inyección de prompts sin clic explotada en un asistente corporativo en producción. Las actas de ACM CCS traen además una defensa para agentes que usan el ordenador, diez años de campañas APT analizados de forma sistemática, ataques a las firmas SSH de cliente y a datos clínicos k-anonimizados, y secuestro TCP remoto con IP compartidas.
Investigación · 30 sept 2025
LeerAgosto de 2025 pone en duda algunas herramientas básicas. CVSS, EPSS y otros sistemas de puntuación clasifican de forma muy distinta las mismas vulnerabilidades, y los escáneres de modelos de IA no ven la mayoría de formas de envenenarlos. Las llamadas con voz clonada se desenmascaran con pruebas de escucha, y los medidores de robustez revelan las contraseñas con que se entrenaron.
Investigación · 31 ago 2025
LeerEntre el 8 y el 18 de agosto de 2025 tokens robados al asistente Drift de Salesloft dieron acceso a los datos de Salesforce de más de 700 organizaciones, entre ellas muchos proveedores de seguridad. El análisis: autorizaciones OAuth, secretos en el CRM, cúmulo, responsabilidad del proveedor y preguntas para las renovaciones.
Análisis · 31 ago 2025
LeerEl 3 de julio de 2025 un ransomware paró durante unos seis días los pedidos y la activación de licencias de Ingram Micro, uno de los mayores distribuidores de tecnología. El análisis: interrupción por dependencia para revendedores y proveedores de servicios gestionados, periodos de espera, cúmulo en el canal TI y preguntas para las renovaciones.
Análisis · 31 jul 2025
LeerJulio de 2025 lleva Rowhammer a las GPU usadas para IA, con caídas de precisión de hasta el 80%. Los modelos descargados pueden ocultar malware autoextraíble, los agentes que gestionan el correo caen ante un nuevo tipo de inyección de prompts y un agente de IA genera exploits rentables para smart contracts. En móvil, WebView y SDK eluden las protecciones.
Investigación · 31 jul 2025
LeerJunio de 2025 desplaza la atención al mundo físico. Los oficiales de a bordo relatan GPS falsificados y ransomware en los barcos, los datos del bus CAN reconstruyen la ruta de un coche sin GPS y un vídeo de una impresora 3D basta para robar el diseño. Los agentes que usan el ordenador caen en instrucciones ocultas en pantalla y el fuzzing halla diez CVE en módems 5G.
Investigación · 30 jun 2025
LeerEn mayo de 2025 Coinbase comunicó que personal de soporte de un proveedor externo, pagado por delincuentes, había copiado los datos de decenas de miles de clientes, con una petición de 20 millones de dólares rechazada y 307 millones de costes. El análisis: infidelidad en el proveedor, reembolsos voluntarios, D&O y preguntas para las renovaciones.
Análisis · 31 may 2025
LeerEn abril de 2025 un ataque iniciado con una contraseña restablecida en un servicio de asistencia externo paró durante 46 días los pedidos online de Marks & Spencer, con un impacto estimado de 300 millones de libras y una póliza cyber de hasta 100 millones. El análisis: límite y daño, el servicio de asistencia, cúmulo por actor y preguntas para las renovaciones.
Análisis · 30 abr 2025
LeerAbril de 2025 es el mes de los agentes conectados a herramientas externas: MCP permite robar credenciales, un documento malicioso secuestra la elección de herramientas y una nueva defensa entrena un LLM contra la inyección de prompts. Fuera de la IA, se reconstruye la puerta trasera de XZ Utils, se falsean previsiones meteorológicas con IA y SSH poscuántico recibe su primer análisis completo.
Investigación · 30 abr 2025
LeerEl 14 y 15 de marzo de 2025 el componente tj-actions/changed-files, usado por más de 23.000 repositorios, fue alterado para imprimir en los registros los secretos CI/CD; el primer objetivo era un proyecto de Coinbase. El análisis: costes sin robo, la pipeline como proveedor, responsabilidad, cúmulo y preguntas para las renovaciones.
Análisis · 31 mar 2025
LeerEl 21 de febrero de 2025 Bybit perdió unos 1.500 millones de dólares en ether durante un traspaso desde el monedero frío, con una interfaz de firma manipulada en el proveedor Safe{Wallet}. El análisis: pólizas cyber, crime y de custodia, atribución estatal y preguntas para las renovaciones.
Análisis · 28 feb 2025
LeerEnero de 2025 trae las actas de NDSS. Los adaptadores de modelos abiertos pueden ocultar troyanos y la caché compartida de los servidores LLM filtra los prompts de otros usuarios. El LiDAR de un coche autónomo se engaña a 60 km/h desde 110 metros, los atacantes usan Tor contra dispositivos IoT sin nube y el CSS basta para identificar navegadores y correo.
Investigación · 31 ene 2025
LeerEn enero de 2025 PowerSchool avisó a los distritos escolares de un robo de datos de decenas de millones de estudiantes y docentes, iniciado desde una cuenta de soporte. El análisis: accesos privilegiados del proveedor, rescate, notificaciones, demandas y preguntas para las renovaciones.
Análisis · 31 ene 2025
LeerEn diciembre de 2024 dos vulnerabilidades en los productos de transferencia de archivos de Cleo fueron explotadas en masa por Clop, con cientos de víctimas reivindicadas y confirmaciones como Hertz y Chicago Public Schools. El análisis: robo de datos, parches insuficientes, cúmulo y preguntas para las renovaciones.
Análisis · 31 dic 2024
LeerEl 21 de noviembre de 2024 un ransomware golpeó el entorno gestionado de Blue Yonder y paró las nóminas de Starbucks y los almacenes de frescos de Morrisons. El análisis: interrupción por dependencia, mercancía perecedera, cúmulo en el retail y preguntas para las renovaciones.
Análisis · 30 nov 2024
LeerNoviembre de 2024 muestra agentes LLM capaces de automatizar un test de penetración y puertas traseras que sacan documentos de sistemas RAG. En infraestructuras, una vulnerabilidad crítica en un validador RPKI podría ser una puerta trasera intencionada. Casi la mitad de las apps que actualizan dispositivos IoT tiene fallos, y un patinete sufre ransomware en la batería.
Investigación · 30 nov 2024
LeerEl 22 de octubre de 2024 Change Healthcare comunicó unos 100 millones de notificaciones por el ataque de febrero; el recuento final es de 192,7 millones. El análisis: concentración, interrupción por dependencia, notificaciones, rescate y preguntas para las renovaciones.
Análisis · 31 oct 2024
LeerSeptiembre de 2024 marca el paso de la seguridad de la IA de los modelos a los agentes: páginas web que roban datos personales a los agentes y una defensa basada en el control de flujos. La ingeniería social se automatiza con llamadas guiadas por un LLM, y un estudio de campo relativiza la formación antiphishing. En post-cuántico, ataques por inyección de fallos golpean ML-KEM y ML-DSA.
Investigación · 30 sept 2024
Leer