La computadora de un solo ingeniero costó 6,300 millones de dólares en 20 minutos: ¿qué pasaría si el equipo comprometido es el de tu contador, tu gerente o tu proveedor de TI?

Imagina la escena. Un ingeniero de una de las empresas de criptomonedas más grandes del planeta enciende su laptop un jueves cualquiera. Nada parece raro. Veinte minutos después, más de 6,300 millones de dólares habían salido de las billeteras de su empresa.

No fue una explosión ni un asalto: fue una computadora comprometida con permisos de más.

Eso es, según lo informado hasta hoy, lo que ocurrió el 29 de octubre de 2026 en Binance. Y aunque tu empresa no maneje criptomonedas, el mecanismo del golpe se parece demasiado a lo que puede pasarle a una fábrica, a un despacho contable o a una clínica mexicana.

Qué pasó: lo confirmado y lo que no

De acuerdo con TechCrunch (30 de octubre de 2026), Binance explicó que los atacantes comprometieron la laptop de un ingeniero de DevOps, la persona que mantiene y despliega los sistemas internos.

Desde ese equipo accedieron a un componente automatizado de la infraestructura con autoridad para ejecutar operaciones, y desde ahí enviaron retiros no autorizados en 10 cadenas de bloques distintas.

La firma TRM Labs calculó la pérdida en unos 6,360 millones de dólares y el robo habría durado cerca de 20 minutos. Es el mayor robo de criptomonedas registrado, por encima del ataque a Bybit de febrero de 2025, de alrededor de 1,500 millones.

Lo que no está confirmado: Binance sostiene que no tiene evidencia de filtración de sus llaves privadas, pero nadie lo ha verificado de forma independiente. Aún no se sabe cómo fue comprometida la laptop, y el co-CEO Richard Teng habría indicado que el atacante no se limitó a los permisos de un ingeniero, por lo que la versión preliminar probablemente no cuenta toda la historia.

La atribución a Corea del Norte (grupo TraderTraitor) proviene de firmas privadas como TRM Labs y Elliptic; algunos medios reportan que el FBI también la respaldó, pero Binance no culpa públicamente a nadie.

Según reportes de prensa, la empresa repuso cerca del 95% de lo perdido al 1 de noviembre. Las cifras pueden cambiar con el informe forense.

La verdadera noticia no es el monto: es la puerta

Una empresa con presupuesto de seguridad de cientos de millones y equipos especializados cayó por el dispositivo de un colaborador.

Para una PyME el riesgo es mayor: es común que la misma laptop tenga acceso al banco, a la facturación, al correo de la dirección y a los datos de los clientes, sin una segunda barrera.

Los especialistas llaman a esto acceso privilegiado: la capacidad de una cuenta o equipo de mover dinero, cambiar configuraciones o ver información completa de clientes.

Casi nunca se revisa; se concede porque es más rápido, se acumula con los años y nadie lo retira cuando la persona cambia de puesto.

Eduardo Chavarro, director para Américas del equipo global de respuesta a incidentes de Kaspersky, afirmó el 24 de junio de 2026: “Cuando un atacante entra con una cuenta válida, sus movimientos pueden parecer parte de la actividad normal del negocio”.

Según el mismo informe, el abuso de cuentas válidas fue un hallazgo real en el 34.5% de las alertas analizadas, casi tan frecuente como adivinar contraseñas (34.8%).

En más de un tercio de los casos, el atacante no rompió nada: entró con una llave legítima.

¿Y en México?

No existe, hasta el momento, un caso mexicano confirmado de una pérdida de esta magnitud por un solo equipo comprometido.

Lo que sí hay son señales de que la materia prima abunda.

El informe de ESET del primer semestre de 2026 (17 de septiembre de 2026) ubica al phishing y la ingeniería social como principal vector de entrada en México, con el 20.53% de los eventos, y señala que el país concentró casi el 70% de la actividad de engaños con códigos QR en América Latina.

Además, detectó malware que roba credenciales y sesiones guardadas, de modo que lo que se pierde no es solo una contraseña, sino también una sesión abierta.

SCILabs/Scitum, citado por UnoTV el 7 de septiembre de 2026, ubica a México como el segundo país de Latinoamérica con más incidentes de ransomware en el primer semestre de 2026 (17.93% de los casos regionales).

Según INEGI y Salles Sainz Grant Thornton (Publimetro, 12 de octubre de 2026), México acumuló 43,116 incidentes en dos años, el 79% en el sector privado.

Y el 95.4% de las 5.47 millones de unidades económicas del país son microempresas (INEGI, Censos Económicos 2024), donde casi nunca existe un área dedicada a la seguridad.

Cuatro ideas que conviene tener claras

1. El tamaño del daño lo define el permiso, no el atacante

Si la computadora de un colaborador solo ve su carpeta, el atacante se lleva poco; si puede aprobar pagos y descargar los datos de todos los clientes, hereda todo eso.

Es el principio de mínimo privilegio: cada persona y sistema tiene solo el acceso que necesita para trabajar.

2. Una sola barrera es una apuesta, no una defensa

Cuando una operación delicada depende de un solo punto, quien lo controle lo controla todo.

La alternativa es una segunda confirmación independiente, de otra persona y por otro canal.

En una PyME, por ejemplo, una transferencia grande debería requerir la aprobación de dos personas desde dos dispositivos diferentes.

3. Los equipos de tus colaboradores son parte de tu empresa, aunque estén en su casa

Una laptop sale de la oficina, se conecta a redes ajenas y hasta puede utilizarla un familiar.

Mantenerla actualizada, protegida contra malware y sin permisos de administrador durante el uso diario protege justo el punto que esta semana costó miles de millones.

4. La velocidad ya no está de tu lado

Veinte minutos tomó vaciar las billeteras.

Si detectar una intrusión depende de que alguien lo note el lunes, el atacante ya habrá terminado.

Las alertas automáticas ante pagos fuera de horario, accesos desde otro país o descargas masivas son fundamentales para responder a la velocidad del delito.

La pregunta que sí vale 6,300 millones

Se trata del orgullo de proteger lo que construiste: los clientes que confiaron en ti, los colaboradores que dependen de que la empresa siga operando y el nombre que tardaste años en ganar.

Binance pudo reponer buena parte de lo perdido porque tenía recursos; la mayoría de las PyMEs no.

La pregunta incómoda es: si hoy se comprometiera la computadora de la persona con más acceso en tu empresa, ¿cuánto podría hacer el atacante en 20 minutos?

No esperes a que ocurra un incidente para descubrirlo.

Si quieres revisar con calma quién tiene acceso a qué dentro de tu empresa, un especialista en ciberseguridad puede ayudarte a mapearlo sin compromiso y sin tecnicismos.

Es una conversación breve que puede ahorrarte muchas noches de insomnio.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada El ciberataque a Binance: cómo una computadora comprometida puede poner en riesgo millones en tu empresa se publicó primero en Care Telecom.

Hay una frase que muchos empresarios repiten con tranquilidad: “Si nos hackean, no pasa nada, tenemos respaldo”.

Es una de las frases más caras que puedes decir en una empresa.

Un aviso conjunto publicado el 20 de octubre de 2026 por el FBI, la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA), el Servicio Secreto estadounidense y agencias policiales de Alemania y el Reino Unido documenta las actividades de un grupo de ransomware llamado SafePay, que desde agosto de 2024 acumula al menos 600 víctimas en Norteamérica, Sudamérica, Europa y Australia.

El ransomware es un programa malicioso que secuestra los archivos de una empresa: los cifra para impedir que puedas abrirlos y exige un pago a cambio de devolver el acceso.

Lo inquietante no es solo el número de víctimas, sino el orden en que trabajan.

Primero entran, después te roban y, antes de cifrar, destruyen tu salvavidas

Según el aviso, identificado como AA26-293A, SafePay consigue entrar mediante credenciales expuestas, ataques de fuerza bruta —probar contraseñas una tras otra hasta acertar—, accesos por VPN, cuentas obtenidas mediante correos engañosos y fallas en equipos como firewalls, algunas conocidas desde 2020.

No necesitan una vulnerabilidad nueva y sofisticada: basta con encontrar un equipo que alguien instaló y olvidó actualizar.

Una vez dentro, los atacantes obtienen permisos de administrador, recorren las carpetas compartidas, roban contraseñas y copian la información a servidores que controlan.

Primero te roban y después cifran tus archivos. Aunque lograras recuperar toda tu información, tus datos ya podrían estar fuera de tu empresa.

Y aquí viene lo más preocupante: antes de cifrar los archivos, según el aviso, detienen el servicio de Windows que guarda versiones anteriores de los archivos, restablecen a la configuración de fábrica algunos dispositivos NAS —equipos de almacenamiento conectados a la red— y, en ciertos casos, eliminan las copias de seguridad conectadas a la red.

Destruyen tu respaldo antes de pedirte dinero porque saben que una empresa capaz de recuperarse por sí misma tiene menos motivos para pagar.

Por qué tu respaldo puede ser un espejismo

Si tus copias de seguridad están conectadas a la misma red que las computadoras de tu empresa, comparten el mismo riesgo. Si un atacante obtiene permisos de administrador, podría utilizarlos también para borrar tus respaldos.

Es como guardar una copia de la llave de tu caja fuerte dentro de la propia caja fuerte.

Por eso, las agencias recomiendan mantener copias de seguridad fuera de línea, cifradas, inmutables y probadas.

• Fuera de línea: desconectadas de la red para que un atacante no pueda alcanzarlas desde los sistemas comprometidos.
• Cifradas: protegidas para impedir que alguien pueda leer su contenido sin autorización.
• Inmutables: configuradas para que no puedan modificarse ni eliminarse durante un periodo definido, incluso ante determinados intentos de borrado con privilegios elevados.
• Probadas: verificadas mediante ejercicios de restauración para confirmar que realmente puedes recuperar tus archivos cuando los necesitas.

Porque un respaldo que nunca has intentado restaurar es una esperanza, no una garantía.

La extorsión llega con una llamada telefónica

Las víctimas reciben una nota con acceso a un chat anónimo y, según el aviso, un representante del grupo puede llamar por teléfono para presionarlas.

La exigencia suele consistir en una parte de los ingresos de la empresa, pagada en criptomonedas. Si la víctima no paga, los atacantes amenazan con publicar sus datos en un sitio de filtraciones.

El monto que exigen puede depender de cuánto factura tu empresa, no solamente de cuánto dinero tienes disponible para pagar.

Es lo que se conoce como doble extorsión: los delincuentes presionan para obtener un pago por recuperar el acceso a los archivos y otro para evitar que se difunda información de tus clientes, proveedores y colaboradores.

El problema ya no es únicamente tecnológico. También puede convertirse en una crisis financiera, legal, operativa y reputacional.

¿Y qué pasa en México?

De acuerdo con SCILabs, la unidad de inteligencia de amenazas de Scitum (Telmex), citada por UnoTV el 7 de septiembre de 2026, México fue el segundo país de América Latina con más ataques de ransomware durante el primer semestre de 2026, con el 17.93 % de los incidentes de la región, solo detrás de Brasil, con el 25.17 %.

En toda América Latina, los ataques crecieron un 25.54 % respecto al semestre anterior.

Sobre SafePay en México, es importante distinguir entre lo confirmado y lo que todavía es una atribución del propio grupo.

El 15 de septiembre de 2026, SafePay se atribuyó un ataque contra La Concepción, prestador de servicios de salud en Coahuila, según el sitio Dexpose, el 16 de septiembre de 2026.

El 28 de septiembre de 2026, el grupo también reclamó un ataque contra Auromex, fabricante industrial mexicano, según la plataforma SOCRadar, que lo clasificó como presunto.

Ninguna de las dos empresas ha confirmado los hechos en la información citada, y el contenido de los datos presuntamente sustraídos no está detallado.

Mencionar estos casos no significa dar por confirmados los ataques. El punto es que un grupo con más de 600 víctimas está reclamando ataques contra organizaciones de sectores como la salud y la manufactura, cuya operación también sostiene a numerosas pequeñas y medianas empresas en México.

La lección que no caduca

Los nombres de los grupos de ransomware cambian cada año, pero la lógica sigue siendo la misma: el atacante busca destruir tu capacidad de recuperarte.

Tu respaldo no es simplemente un archivo olvidado en un disco duro. Es tu capacidad para seguir operando y negociar sin entrar en pánico.

Si tienes una copia limpia, aislada y probada, puedes recuperar el control con mayor confianza. Si no la tienes, podrías enfrentarte a una negociación bajo presión, mientras tu teléfono no deja de sonar y tu empresa pierde dinero por cada hora de inactividad.

Además, muchas de las puertas de entrada son sorprendentemente comunes: contraseñas débiles, accesos remotos sin verificación en dos pasos y equipos que llevan demasiado tiempo sin actualizarse.

Las agencias recomiendan activar la autenticación multifactor en el correo electrónico, las VPN y las cuentas críticas; utilizar contraseñas largas; priorizar las actualizaciones de fallas que ya están siendo explotadas y segmentar la red para evitar que un intruso pueda recorrer libremente todos los sistemas.

No necesitas tener el presupuesto de una multinacional para comenzar a reducir estos riesgos. Necesitas tomar decisiones y establecer prioridades.

Como CEO o director general, no tienes que convertirte en especialista técnico. Pero sí necesitas saber si tu empresa puede recuperarse de un ataque y quién es responsable de comprobarlo.

Una pregunta para cerrar

Si mañana, a las 7:00 a. m., encontraras los archivos de tu empresa cifrados y descubrieras que tu sistema de respaldos fue formateado, ¿cuánto tiempo podrías seguir operando?

¿Quién respondería la llamada en la que te exigen un porcentaje de tus ventas?

¿De dónde saldría la primera copia limpia para recuperar tus sistemas?

Si no tienes una respuesta inmediata, no es un reproche. Es una señal de que necesitas revisar tu estrategia de recuperación.

Un especialista en ciberseguridad puede ayudarte a evaluar, sin compromiso y sin tecnicismos innecesarios, qué tan preparada está tu empresa para recuperarse de un ataque de ransomware.

Porque proteger lo que has construido durante años también es una forma de orgullo y de responsabilidad con tus clientes, tus proveedores y tus colaboradores.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Tu respaldo no te va a salvar: cómo el ransomware destruye tus copias de seguridad se publicó primero en Care Telecom.

Bastó con escribir un número de teléfono para ver el CURP, el RFC y el correo de millones de mexicanos: así de expuesta está hoy tu identidad digital

Imagina un formulario público, sin usuario ni contraseña, donde lo único que hace falta para ver el nombre completo, el CURP, el RFC y el correo electrónico de cualquier persona es teclear su número de celular. No es un escenario hipotético: es exactamente lo que el periodista Ignacio Gómez Villaseñor documentó el 9 de enero de 2026 en el portal oficial de Telcel, apenas horas después de que entrara en vigor el registro obligatorio de líneas móviles en México.

La falla permitía consultar datos personales de millones de clientes sin ningún código de verificación. Este caso no fue un hecho aislado: es el síntoma más visible de un año en el que, según cifras oficiales, México acumuló más de 43,000 incidentes de ciberseguridad y vio comprometidas instituciones tan distintas como la UNAM, el IMSS y el SAT.

Un número de teléfono, la única llave que hacía falta

Según la denuncia pública de Gómez Villaseñor, el portal de Telcel exponía datos de identidad, CURP, RFC y correo electrónico con solo introducir un número telefónico, sin solicitar contraseña ni código de verificación adicional.

La primera respuesta de la empresa fue un comunicado ambiguo que aseguraba que los datos estaban protegidos. Horas después, Renato Flores, subdirector de comunicación de Telcel, reconoció en una entrevista de radio que “hubo una vulnerabilidad técnica” y que se corrigió de inmediato.

La empresa sostuvo que los usuarios solo podían consultar su propia información, pero el periodista publicó un video que, según él, demostraría lo contrario.

Más allá de quién tenga la razón técnica final, el episodio expone un problema de diseño que cualquier empresa con una plataforma de atención a clientes debería tomarse personalmente: un sistema de verificación de identidad que depende únicamente de un dato público y fácil de obtener, como un número telefónico, no es realmente una verificación.

La UNAM, 380,000 cuentas expuestas y una factura que nunca se pagó

Apenas unos días antes, entre el 31 de diciembre de 2025 y el 1 de enero de 2026, la UNAM sufrió lo que terminaría siendo uno de los incidentes más comentados del año.

La universidad confirmó oficialmente un acceso no autorizado a 5 de sus más de 100,000 sistemas informáticos y aseguró que no se había extraído información personal. Sin embargo, de acuerdo con la investigación del mismo periodista, un atacante identificado como “ByteToBreach” habría accedido a datos de más de 380,000 estudiantes y académicos, incluidas matrículas, correos institucionales y contraseñas cifradas. También se reportó la exposición de denuncias de acoso laboral, presuntos casos de plagio académico y comunicaciones internas de la oficina del rector.

Es importante distinguir lo confirmado de lo que no lo está: estas cifras provienen del trabajo periodístico, no de un reconocimiento oficial de la UNAM.

El ataque habría explotado una vulnerabilidad crítica conocida, identificada como CVE-2025-66478, en servidores Next.js, y no fue el primero: la universidad ya había detectado un acceso ilícito previo el 13 de marzo de 2025 y presentó una denuncia ante la Fiscalía General de la República que, según los reportes, no avanzó.

Un detalle adicional, documentado en una carta interna de septiembre de 2025, añade una capa incómoda a la historia: los ingenieros y desarrolladores responsables de la infraestructura tecnológica llevaban meses sin cobrar su salario debido a “procesos de auditoría” internos, justo en el periodo previo al ataque definitivo.

Ya sea causa, coincidencia o simplemente un síntoma más de instituciones que subestiman a su propio equipo técnico, la lección es la misma: la ciberseguridad de una organización no depende solo de qué tan buena sea su tecnología, sino también de qué tan bien cuidada esté la gente que la mantiene funcionando.

El negocio detrás de las filtraciones: un comerciante que no distingue de fronteras

Según la firma de inteligencia de amenazas SOCRadar, “ByteToBreach” opera como comerciante de bases de datos robadas desde al menos junio de 2025 y está vinculado a filtraciones en aerolíneas, bancos, instituciones gubernamentales y sistemas de salud de varios países.

En México se le atribuye, además del caso de la UNAM, un ataque a la aplicación Factura SAT Móvil en diciembre de 2025, que el SAT negó públicamente, pese a las pruebas técnicas presentadas por el propio atacante.

Entre septiembre de 2025 y enero de 2026 se documentó, según reportes periodísticos, al menos una decena de incidentes graves en instituciones mexicanas, con indicios de filtraciones en el IMSS, el Servicio Nacional de Empleo, la Secretaría de Educación de Chiapas y la Comisión Federal de Electricidad, entre otras.

A esto se suma el caso de Aeroméxico, anunciado el 20 de septiembre de 2026 por la Secretaría Anticorrupción y Buen Gobierno: más de 15 millones de registros fueron ofrecidos en un canal de Telegram, de los cuales se logró analizar una muestra de 100,092.

La magnitud del problema, en números duros

De acuerdo con cifras del INEGI citadas por la firma Salles Sainz Grant Thornton, México acumuló 43,116 incidentes de ciberseguridad en los últimos dos años, de los cuales el 79% ocurrió en el sector privado.

El 95.4% de las 5.47 millones de unidades económicas del sector privado y empresas estatales del país son microempresas, según los Censos Económicos 2024 del INEGI. Esto significa que una gran parte del tejido empresarial tiene recursos limitados para absorber las consecuencias de un incidente de este tipo.

El costo promedio de recuperación de un ataque de ransomware en México, sin contar el pago del rescate, se ubica en 1.35 millones de dólares, según el reporte State of Ransomware 2025 de Sophos.

A nivel regional, el Banco Mundial documentó que los incidentes cibernéticos graves y divulgados públicamente en América Latina y el Caribe han crecido un 25% anual durante la última década.

Por qué esto debería importarte aunque no seas la UNAM ni Telcel

Tu empresa quizá no administra los sistemas de una universidad con más de cien mil servidores ni gestiona el registro de líneas móviles de todo un país. Pero el patrón detrás de ambos casos también se repite, a menor escala, en miles de negocios mexicanos todos los días: sistemas de verificación de clientes que dependen de un solo dato fácil de adivinar, vulnerabilidades conocidas que pasan meses sin corregirse y equipos técnicos que operan sin el respaldo ni los recursos que necesitan.

La diferencia entre que un atacante como “ByteToBreach” toque la puerta de tu negocio y se vaya con las manos vacías, o se lleve la base de datos completa de tus clientes, casi nunca está en la sofisticación del atacante.

Está en si alguien, dentro de tu empresa, se tomó el tiempo de cerrar esa puerta antes de que la tocaran.

Si quieres hablar con un especialista sobre qué tan sólida es realmente la verificación de identidad de tus clientes y qué tan actualizados están los parches de tus sistemas, podemos conversarlo.

En un país donde los incidentes de ciberseguridad ya se cuentan por decenas de miles, la pregunta no es si alguien intentará atacar a tu empresa, sino qué tan fácil se lo pondrías.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Filtración de datos en México: el caso Telcel y la exposición de tu identidad digital se publicó primero en Care Telecom.

El 7 de octubre de 2026, a las 3:40 de la madrugada, hora de Japón, un atacante dejó un mensaje dentro de la consola de administración de IDC Frontier, el brazo de infraestructura en la nube de SoftBank: “Exactly seven minutes is what it took to turn your entire East Japan Region one into ciphertext” (“Exactamente siete minutos fue lo que tomó convertir toda tu Región Este de Japón en texto cifrado”).

Siete minutos después, cerca de 500 empresas y gobiernos locales se quedaron sin sistemas, sin sitios web y, en algunos casos, sin poder despachar mercancía. Muchas de estas organizaciones nunca habían contratado directamente a IDC Frontier. Dependían de sus servicios a través de otros proveedores.

Ninguna de esas 495 organizaciones parecía estar preparada para algo así, porque ninguna imaginaba que la continuidad de sus operaciones dependiera de una empresa cuyo nombre probablemente ni siquiera conocía.

Cuando cae un proveedor, caen cientos de empresas que nunca lo supieron

IDC Frontier reportó que el ataque de ransomware dejó inoperable la región “East Japan Region 1” de su servicio de infraestructura en la nube (IaaS), utilizada para alojar servidores virtuales, almacenamiento y redes de clientes corporativos y gubernamentales.

Según la propia empresa, el incidente afectó a cerca de 495 empresas y gobiernos locales que utilizaban ese servicio. Entre las víctimas colaterales confirmadas se encuentra Nissui Logistics, que perdió su sistema logístico en 17 sedes, y el sitio web oficial de la prefectura de Ibaraki, que quedó fuera de línea.

Según cifras que el propio atacante publicó en la consola de IDC Frontier, pero que no han sido verificadas de forma independiente, el ataque habría cifrado 225 bases de datos —unos 3.6 petabytes de información—, comprometido 239 servidores de virtualización, bloqueado 16,000 discos de máquinas virtuales y borrado más de 554,000 copias de seguridad o snapshots.

IDC Frontier no confirmó esas cifras, pero sí advirtió a sus clientes que podría ser difícil recuperar sus datos y les recomendó preparar un entorno separado y reconstruir sus sistemas. En otras palabras, algunas empresas podrían tener que empezar prácticamente desde cero.

Lo más inquietante de este caso no es la velocidad del ataque, sino la cantidad de empresas afectadas que ni siquiera eran clientes directas de IDC Frontier.

Varias organizaciones dependían de este servicio a través de otros proveedores: revendedores, integradores de sistemas y plataformas de software que, a su vez, operaban sobre esa nube. Es decir, la empresa final podía no tener idea de dónde se alojaban realmente sus sistemas hasta que todo dejó de funcionar.

Un informe de Google sobre tendencias de ransomware encontró que la infraestructura de virtualización fue el objetivo en aproximadamente el 43% de las intrusiones de ransomware documentadas en 2025, frente al 29% del año anterior. Los atacantes ya no buscan únicamente comprometer una computadora o un servidor: también pueden atacar la infraestructura que sostiene las operaciones de cientos de clientes al mismo tiempo.

Japón declaró, de facto, una emergencia cibernética nacional

El caso de IDC Frontier no ocurrió de forma aislada.

Según reportes de Financial Times y Associated Press, más de 20 grandes empresas japonesas —entre ellas la plataforma de autos compartidos Times Car, la operadora ferroviaria JR East, la casa de bolsa Daiwa Securities, la cadena de conveniencia Lawson y la tienda de segunda mano BookOff— revelaron ataques o filtraciones de datos durante las últimas semanas.

En el caso de Times Car, se informó que unas 6.6 millones de cuentas podrían haber quedado expuestas, incluidos escaneos de licencias de conducir. Por su parte, JR East reportó la filtración de 1.67 millones de direcciones de correo electrónico.

La policía nacional japonesa registró 123 incidentes de ransomware durante el primer semestre de 2026, la cifra más alta para ese periodo en su historia.

Masaaki Taira, citado por Associated Press y Financial Times, calificó la situación como un “estado de emergencia en el ciberespacio”. El ministro de ciberseguridad, Toshiharu Furukawa, reconoció públicamente que los ataques son cada vez más sofisticados, mientras que el gobernante Partido Liberal Democrático convocó una reunión de emergencia sobre ciberseguridad.

El gobierno japonés también advirtió sobre un riesgo especialmente preocupante: algunos atacantes se hacen pasar por proveedores legítimos de ciberseguridad que supuestamente buscan protegerte de otras amenazas, cuando en realidad intentan infiltrarse todavía más en tus sistemas.

Es importante distinguir entre lo confirmado y lo que todavía no está demostrado. Especialistas consultados por The Japan Times no encontraron evidencia firme de que la inteligencia artificial hubiera dirigido estos ataques específicos en Japón. El equipo nacional de respuesta a incidentes, JPCERT/CC, tampoco identificó malware desconocido ni una vulnerabilidad de día cero detrás de la ola de ataques, sino una campaña coordinada de intrusión que opera a escala industrial.

Lo que sí ha señalado el gobierno japonés, sin atribuirlo a un incidente específico, es que la inteligencia artificial puede hacer que las amenazas sean más difíciles de contener. Permite analizar redes en busca de debilidades a gran velocidad y redactar mensajes de phishing con una calidad lingüística mucho más convincente.

Para tu empresa, esto significa que ya no basta con confiar en que los ataques serán fáciles de reconocer o que tus proveedores sabrán detenerlos a tiempo.

México no es ajeno a esta dependencia invisible de un solo proveedor

En México no existe, hasta el momento, un caso documentado y confirmado de una falla en cascada de la magnitud del incidente de IDC Frontier. Es importante decirlo con claridad, sin inventar paralelismos que no se han comprobado.

Sin embargo, el escenario de dependencia tecnológica que hizo posible un impacto de esta magnitud también existe en nuestro país.

Según datos citados por El Ecosistema Startup el 20 de abril de 2026, el 84% de las PyMEs mexicanas y el 93% de las grandes empresas del país ya tienen presencia digital diaria. Esto significa que una gran parte del sector empresarial depende de proveedores externos de nube, hosting o software como servicio para mantener sus operaciones.

El mismo informe señala que el 86% de las empresas mexicanas planea aumentar su presupuesto de ciberseguridad en 2026 y que al 69% de los directivos les preocupa específicamente el malware potenciado por inteligencia artificial.

Además, el mercado mexicano de ciberseguridad alcanzó un valor estimado de 3,120 millones de dólares en 2026, con un crecimiento anual del 8%. Mientras tanto, el gobierno federal prepara un Plan Nacional de Ciberseguridad y una Ley General de Ciberseguridad para este año.

Pero, más allá de las cifras, hay una pregunta que cualquier director general debería hacerse hoy:

¿Sabes realmente de qué proveedores depende tu empresa para seguir operando mañana y qué pasaría si uno de ellos dejara de funcionar?

La mayoría de los empresarios conoce a su proveedor directo de hosting o software. Sin embargo, pocos saben sobre qué infraestructura opera ese proveedor o qué tan preparado está el tercer o cuarto eslabón de la cadena para resistir un ataque.

Tu empresa puede tener buenos sistemas de seguridad y aun así quedar expuesta si un proveedor crítico sufre un incidente que afecta tus operaciones.

Por eso, proteger tu negocio también significa conocer y evaluar a las empresas de las que dependes.

La lección que Japón le está dando al resto del mundo

Lo que distingue al caso japonés de otros incidentes de ransomware no es solamente su escala, sino lo que revela sobre la arquitectura invisible de la que depende casi cualquier negocio moderno.

Hablamos de una red de proveedores, subproveedores y plataformas interconectadas que muchas empresas nunca auditan porque ni siquiera saben que existen.

Cuando uno de esos nodos cae, no necesariamente cae una sola empresa. También pueden detenerse las operaciones de todas aquellas organizaciones que, sin saberlo, construyeron su actividad diaria sobre esa infraestructura.

Y cuando algunos atacantes se hacen pasar por quienes deberían protegerte, la confianza —uno de los pilares de cualquier relación comercial— también puede convertirse en un riesgo.

La pregunta ya no es únicamente si tienes un buen antivirus o si tus empleados saben reconocer un correo sospechoso.

La verdadera pregunta es si conoces todos los eslabones tecnológicos de los que depende tu negocio y si tienes un plan para seguir operando cuando alguno falle.

Porque no necesitas contratar directamente a un proveedor para sufrir las consecuencias de un ataque contra él.

Tu empresa podría estar a un solo proveedor de distancia de una interrupción crítica.

Si quieres conocer qué tan expuesta está realmente tu empresa ante la caída de un proveedor que nunca elegiste directamente, podemos analizarlo juntos.

Entender de qué depende tu negocio, hasta el último eslabón, ya no es un lujo técnico. Es una decisión estratégica que puede marcar la diferencia entre superar una crisis y detener tus operaciones durante días o semanas.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Ciberataque en Japón: 495 empresas afectadas por depender de un mismo proveedor de nube se publicó primero en Care Telecom.

Bastaron 20 segundos de un video tuyo en redes sociales para que un criminal clonara tu voz y llamara a tu familia

Imagina que tu teléfono suena a media mañana. Es un número desconocido. Al contestar, escuchas la voz de tu hijo o tu hija, llorando, diciendo que lo tienen secuestrado. De fondo hay gritos y ruido de tráfico. Exigen una transferencia inmediata o “ya no vas a poder hablar con él otra vez”.

Esa voz, que jurarías reconocer entre miles, pudo haberse generado con apenas 20 segundos de audio tomado de un video que tu propio hijo subió a redes sociales.

No es ciencia ficción. Es una amenaza que la industria de la ciberseguridad ya está documentando en México. Y la misma tecnología que hace posible este tipo de fraude también se está utilizando para atacar empresas mediante llamadas falsas de directores generales, directores financieros y otros ejecutivos.

La voz que tu familia reconocería en cualquier lugar, hecha con 20 segundos de audio

El 14 de septiembre de 2026, el diario La Razón de México, citando un análisis de ESET Latinoamérica, documentó cómo los criminales están utilizando tecnología de clonación de voz con inteligencia artificial para hacer más creíbles los secuestros virtuales, uno de los fraudes telefónicos más extendidos y dolorosos en el país.

El método es metódico y aterrador por su simplicidad.

Los delincuentes monitorean perfiles públicos en redes sociales para reunir información personal y familiar. Después identifican momentos en los que una posible víctima podría estar de viaje o incomunicada y utilizan apenas unos segundos de audio público —de un video, una nota de voz o una entrevista— para clonar la voz de un ser querido.

Mario Micucci, investigador de seguridad de ESET Latinoamérica, explicó que los criminales aprovechan datos personales, profesionales, familiares y de amistad disponibles en línea para construir narrativas de ingeniería social mucho más convincentes.

La voz clonada puede utilizarse durante apenas unos segundos y combinarse con sonidos de llanto, tráfico y otros ruidos de fondo. El objetivo es generar una situación de emergencia que no te dé tiempo para cuestionar lo que estás escuchando.

El mismo análisis documentó que los fraudes de este tipo representaron pérdidas por 139,000 millones de pesos mexicanos entre 2024 y 2025. Además, el 12% de los adultos mexicanos se enfrenta a este tipo de estafas varias veces por semana.

A nivel internacional, el 25% de los ciudadanos estadounidenses recibió al menos una llamada con voz clonada por inteligencia artificial durante los últimos 12 meses, mientras que el 24% de las personas no logra distinguir una voz genuina de una voz clonada.

La misma tecnología, apuntando ahora a tu empresa

Lo que hace especialmente relevante esta amenaza para cualquier dueño de negocio es que la tecnología utilizada para clonar la voz de un familiar es prácticamente la misma que puede utilizarse para suplantar a un ejecutivo de una empresa.

Imagina que alguien del área de finanzas recibe una llamada.

La voz es la del director general.

Le pide realizar una transferencia urgente y le explica que se trata de una operación confidencial que no puede esperar.

El colaborador reconoce la voz, escucha una instrucción aparentemente legítima y actúa.

El problema es que el director general nunca hizo esa llamada.

Este tipo de fraude aprovecha exactamente la misma vulnerabilidad que los secuestros virtuales: nuestra tendencia natural a confiar en una voz que reconocemos.

Los ataques de ingeniería social mediante voz, conocidos como vishing, representan una amenaza cada vez más relevante para las organizaciones. Cuando además se incorpora inteligencia artificial para clonar voces, el atacante puede construir escenarios mucho más convincentes.

La pérdida económica puede ser considerable. Una sola llamada puede ser suficiente para conseguir que un colaborador autorice una transferencia de cientos de miles o incluso millones de pesos.

El caso que demuestra hasta dónde puede llegar el fraude

Uno de los casos más conocidos a nivel internacional involucra al director financiero de Ferrari.

El ejecutivo recibió una llamada de una voz que parecía ser la de su director general. Durante la conversación, supuestamente le solicitaron realizar una transferencia de 25.6 millones de euros relacionada con una adquisición.

La voz sonaba auténtica.

Sin embargo, el director financiero tuvo una sospecha y decidió realizar una comprobación adicional.

Le hizo una pregunta personal relacionada con un libro que su jefe le había recomendado días antes.

La voz clonada no pudo responder correctamente.

La conversación terminó revelando el intento de fraude.

La lección es especialmente importante para cualquier empresa: la voz ya no puede considerarse una prueba suficiente de identidad.

México empieza a legislar, pero la tecnología avanza rápidamente

El 23 de abril de 2026, el Senado de la República presentó una iniciativa relacionada con la suplantación de identidad maliciosa mediante inteligencia artificial, incluyendo medidas relacionadas con el contenido generado por IA y la atención de este tipo de delitos.

La iniciativa también contempla consecuencias relacionadas con la exposición de datos personales y posibles sanciones conforme al marco de protección de datos personales.

Mientras el marco legal continúa evolucionando, los criminales no están esperando.

La tecnología ya está disponible y puede utilizarse para atacar tanto a personas como a organizaciones.

Por eso, la seguridad de tu empresa no puede depender únicamente de que existan nuevas leyes o herramientas tecnológicas de detección.

Por qué ni tu oído ni tu instinto son ya suficientes

Lo más preocupante de esta amenaza no es únicamente la tecnología.

Es lo que implica para nuestra propia capacidad de verificar una identidad.

Durante toda la historia humana, reconocer la voz de alguien cercano ha sido una de las formas más confiables de identificarlo a distancia.

Si alguien te llamaba y escuchabas la voz de tu hijo, de tu pareja, de tu jefe o de un compañero de trabajo, tu cerebro utilizaba esa voz como una señal de autenticidad.

Eso está cambiando.

Hoy, escuchar la voz de una persona conocida ya no significa necesariamente que esa persona esté al otro lado del teléfono.

Y esto aplica tanto a una familia que recibe una llamada de un supuesto secuestro como a una empresa cuyo departamento financiero recibe una instrucción urgente de transferencia.

En ambos casos, el ataque explota exactamente lo mismo: la confianza que depositamos en una voz conocida.

¿Cómo puedes proteger a tu empresa?

La respuesta no consiste únicamente en comprar una nueva herramienta de ciberseguridad.

Tu empresa necesita establecer procesos de verificación que no dependan exclusivamente de una llamada telefónica.

Por ejemplo, cualquier solicitud de transferencia extraordinaria, cambio de cuenta bancaria o pago urgente debería contar con un segundo mecanismo de autenticación.

Si un supuesto director general solicita una operación por teléfono, tu equipo debería tener la posibilidad de verificar la instrucción mediante otro canal independiente.

Una llamada no debería ser suficiente.

Una voz no debería ser suficiente.

Y mucho menos cuando hay millones de pesos de por medio.

La inteligencia artificial está haciendo que los ataques de ingeniería social sean más convincentes. Por eso, los protocolos internos de tu empresa también tienen que evolucionar.

Si quieres platicar con un especialista sobre cómo blindar los protocolos de verificación de pagos de tu empresa frente a este tipo de fraude, con gusto lo conversamos.

Entender que la voz, por sí sola, ya no es una prueba de identidad es el primer paso para proteger tu negocio y a las personas que más te importan.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Clonación de voz con IA: cómo los criminales pueden suplantar a tu CEO y vaciar las cuentas de tu empresa se publicó primero en Care Telecom.

Un grupo de ransomware descubierto apenas esta semana demostró exactamente por qué esa confianza, sin verificación, puede ser la puerta de entrada perfecta para perder el control completo de tu empresa.

El ransomware que se disfraza del técnico que ya conoces

El 17 y 18 de septiembre de 2026, los investigadores de la firma de ciberseguridad Huntress documentaron dos ataques del grupo detrás del ransomware SETTRA: uno contra una empresa de retail y servicios al consumidor en julio de 2026, y otro contra una compañía manufacturera en septiembre de 2026.

Lo que hace a este grupo particularmente inquietante no es la sofisticación de su malware —los propios investigadores lo describieron como “capaz, más que sofisticado”— sino la forma en la que se mueve dentro de la red de la víctima sin levantar sospechas.

Los atacantes obtienen acceso inicial mediante credenciales de VPN comprometidas y, una vez adentro, despliegan MeshAgent, una herramienta legítima de monitoreo y gestión remota del tipo que miles de proveedores de tecnología en todo el mundo utilizan todos los días para dar soporte a sus clientes.

En el primer ataque documentado, renombraron el programa como “mvtcs.exe” para camuflarlo; en el segundo, ni siquiera se molestaron en disfrazarlo.

En el ataque de septiembre contra la manufacturera, además, utilizaron una técnica conocida como BYOVD —“trae tu propio controlador vulnerable”, por sus siglas en inglés—: instalaron un controlador de sistema con una falla de seguridad conocida específicamente para apagar el antivirus y las herramientas de protección de la víctima antes de cifrar sus archivos.

Después del cifrado, el grupo mantiene un sitio de “vergüenza pública” donde publica los nombres de las empresas afectadas para presionarlas a pagar. Es la firma característica de la doble extorsión: no solo secuestran tus archivos, también amenazan con exhibir a tu empresa.

Por qué la manufactura está en la mira como nunca antes

Según el reporte Manufacturing Threat Landscape 2025 de Check Point Software, publicado el 17 de abril de 2026, los ataques de ransomware contra fabricantes crecieron 56% a nivel global, pasando de 937 casos documentados en 2024 a 1,466 en 2025.

El mismo reporte identifica a grupos como Akira —con ganancias estimadas de 244 millones de dólares a finales de 2025—, Qilin y Play como los operadores de ransomware como servicio que dominan los ataques contra infraestructura manufacturera.

México, entre los países donde este problema crece más rápido

El mismo reporte de Check Point ubica a México como el sexto país a nivel mundial con el mayor incremento anual de ciberataques semanales contra el sector manufacturero, con un aumento del 80% entre 2024 y 2025, superando en ese crecimiento a países como Perú, Suiza, Taiwán y Austria.

Un análisis de Kaspersky, publicado el 21 de julio de 2026 sobre incidentes atendidos en México y Colombia entre mayo y junio de ese año, documentó un caso específico en México atribuido a un grupo identificado como “XEntry Team”, que obtuvo acceso inicial a través de un servidor de Microsoft SQL mal configurado, utilizando credenciales que habían quedado expuestas públicamente en código fuente.

El grupo mantuvo acceso persistente durante varios meses antes de ser detectado.

Cuando finalmente activaron el ataque, los colaboradores de la empresa afectada se encontraron con una pantalla azul que decía simplemente: “Hacked by XEntry Team”.

El mismo análisis de Kaspersky encontró que más del 20% de los incidentes de ransomware atendidos en la región involucraron el abuso de herramientas legítimas de monitoreo y gestión remota, y que en algunos casos los atacantes utilizaron más de tres herramientas distintas de este tipo dentro de un mismo ataque.

La lección incómoda detrás de la herramienta “de confianza”

Lo que conecta el caso de SETTRA con los incidentes documentados en México es la misma idea central: los atacantes ya no necesitan construir sus propias herramientas de intrusión cuando pueden utilizar exactamente el mismo software que tu proveedor de tecnología legítimo utiliza para ayudarte.

Un antivirus tradicional, entrenado para detectar programas maliciosos conocidos, generalmente no marca como sospechoso un programa de gestión remota legítimo simplemente porque alguien más lo está utilizando sin tu autorización.

La pregunta que esto plantea no es si confías en tu proveedor de TI —probablemente deberías seguir haciéndolo—, sino si alguien más, sin que tú ni tu proveedor lo sepan, está utilizando ese mismo tipo de acceso remoto para moverse dentro de tu red.

Si quieres platicar con un especialista sobre qué visibilidad tiene realmente tu empresa sobre quién se conecta remotamente a tus sistemas y con qué herramientas, con gusto lo conversamos.

La confianza en tu proveedor de tecnología no debería ser lo único que se interponga entre tu empresa y un ataque como este.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Ransomware en empresas: cómo el acceso remoto de tu proveedor de TI puede convertirse en una puerta de entrada se publicó primero en Care Telecom.

Durante años, la tranquilidad relativa de muchas PyMEs frente al cibercrimen descansaba en un supuesto simple: montar un ataque sofisticado requiere tiempo, un equipo humano especializado y, sobre todo, horas de trabajo manual que hacían improbable que alguien “perdiera el tiempo” con un negocio mediano. Esa suposición murió esta semana. Ya no hace falta un equipo de criminales trabajando toda la noche. Basta con darle instrucciones a una inteligencia artificial y dejar que ella sola haga el resto.

De asistente a operador: el salto que documentaron Google y Anthropic

El 8 de septiembre de 2026, el equipo de inteligencia de amenazas de Google (GTIG) publicó un reporte titulado “From Prompting to Autonomy: The Evolution of Adversarial AI”, en el que documentó que atacantes ya lograron comprometer un recurso en la nube y, después, planear, construir y ejecutar una campaña completa de robo masivo de credenciales en menos de seis horas, con la inteligencia artificial operando la mayor parte del proceso: escaneo de vulnerabilidades, corrección de errores operativos en tiempo real y rotación automática de direcciones IP para evadir bloqueos, todo sin intervención manual. El mismo reporte documentó un panel de control automatizado que organizó y validó más de 23,800 credenciales robadas en tiempo real, incluyendo llaves de acceso a servicios de nube e inteligencia artificial.

Dos días después, el 10 de septiembre de 2026, Anthropic publicó su propio reporte de inteligencia de amenazas correspondiente a septiembre de 2026, documentando nueve meses de casos reales de uso malicioso de inteligencia artificial. Uno de los casos más alarmantes, identificado como GTG-50014 y vinculado al grupo de extorsión ShinyHunters, muestra que una brecha de seguridad completa —desde el acceso inicial hasta el robo de decenas de millones de registros de pasajeros y datos de clientes— se completó en apenas 2 a 3 horas.

La propia Anthropic lo resumió así: “la inteligencia artificial ha eliminado la brecha de mano de obra y herramientas que solía separar a los operadores respaldados por un Estado de los operadores individuales”, concluyendo que “los ataques sofisticados ya no requieren atacantes sofisticados”.

El caso que muestra qué tan rápido puede escalar

Entre el 8 y el 10 de septiembre de 2026, cuatro equipos independientes de inteligencia de amenazas —incluyendo GreyNoise, Anthropic y el propio GTIG de Google— documentaron lo que describieron como la primera campaña de explotación a gran escala ejecutada de forma autónoma por agentes de inteligencia artificial.

Los atacantes construyeron un laboratorio privado con software vulnerable y, usando un agente de IA operando sobre modelos de código, pasaron de un espacio de trabajo vacío a ejecución remota de código en menos de cuatro horas, y a acceso de administrador de dominio en apenas dos horas.

Una vez lanzada la campaña real, el agente comprometió 11 organizaciones en 26 segundos. Al final del conteo: 395 organizaciones afectadas en 48 países, con credenciales robadas de 280 víctimas y acceso de administrador de dominio confirmado en 12 organizaciones, en algunos casos en tan solo 5 minutos.

Ninguno de estos números describe la velocidad de un grupo de hackers trabajando muy rápido. Describen lo que ocurre cuando el trabajo humano deja de ser el cuello de botella del ataque.

Lo que ya sabemos que está pasando en México, y lo que todavía no

Es importante ser honestos: hasta donde pudimos verificar con fuentes públicas confiables, no existe todavía un caso documentado de un ataque completamente autónomo, ejecutado por inteligencia artificial, contra una empresa mexicana específica.

Lo que sí documentó La Jornada el 21 de septiembre de 2026, citando el reporte “Ransomware en LATAM: Primer Semestre de 2026” de SCILabs y el Compromise Report 2026 de Lumu Technologies, es que 52 organizaciones mexicanas sufrieron ataques de ransomware durante la primera mitad de 2026, colocando a México como el segundo país más atacado de América Latina, con 18 de cada 100 ataques registrados en la región dirigidos específicamente contra el país.

El mismo análisis documentó un cambio de táctica relevante: los criminales están abandonando los ataques “ruidosos” de fuerza bruta a favor de intrusiones lentas y sigilosas que usan herramientas legítimas del propio sistema para pasar desapercibidas.

Es, en otras palabras, el mismo tipo de comportamiento metódico y silencioso que un agente de inteligencia artificial ejecuta de forma natural, aunque estos casos mexicanos documentados hasta ahora no se hayan atribuido formalmente a operaciones autónomas de IA.

La ausencia de un caso mexicano confirmado de ataque autónomo no debería tranquilizarte. Las herramientas descritas en los reportes de Google y Anthropic no distinguen entre una corporación en San Francisco y un despacho contable en Guadalajara: escanean internet completo, sin preferencia geográfica, buscando exactamente el tipo de configuraciones débiles que abundan en empresas medianas y pequeñas de cualquier país.

Por qué esto cambia el reloj con el que debes pensar tu seguridad

La conclusión más incómoda de los reportes de esta semana no es técnica, es de tiempos.

Google lo llamó “la compresión de la ventana de respuesta de los defensores”: cuando un atacante humano necesitaba días u horas entre cada paso de un ataque —investigar, probar, avanzar, corregir errores—, tu empresa tenía margen real para detectar movimientos sospechosos y reaccionar.

Cuando ese mismo proceso lo ejecuta un agente de inteligencia artificial de forma autónoma, sin pausas para dormir, comer o dudar, ese margen se reduce a minutos.

La velocidad ya no es una ventaja que un atacante particularmente hábil consigue con experiencia; es una característica de fábrica de la herramienta que cualquiera puede usar hoy.

Si quieres platicar con un especialista sobre qué tan preparada está tu empresa para enfrentar ataques que ya no dan tiempo de reaccionar como antes, con gusto lo conversamos.

Entender este cambio de velocidad es el primer paso; el segundo es decidir, con calma y no en plena crisis, qué vas a hacer al respecto.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Ciberataques autónomos: cómo la inteligencia artificial está cambiando la seguridad de las empresas se publicó primero en Care Telecom.

Tu equipo de TI no cometió ningún error. Tus colaboradores no cayeron en ningún correo sospechoso. Tu contraseña era buena. Y aun así, el software que usas todos los días para facturar, gestionar clientes o controlar tu inventario pudo haber quedado comprometido sin que nadie dentro de tu empresa hiciera nada mal.

Bienvenido al ataque de cadena de suministro, la amenaza que en 2026 creció más rápido que ninguna otra y que no necesita tocar tu puerta para entrar a tu casa.

El gusano que se niega a morir

El 8 de septiembre de 2026, medios especializados en ciberseguridad reportaron que el llamado gusano “Shai-Hulud” —una pieza de malware que infecta paquetes de código abierto utilizados por millones de programadores en todo el mundo a través del repositorio npm— resurgió después de 111 días de aparente inactividad, infectando cuatro paquetes nuevos publicados en apenas una hora el 7 de septiembre.

Lo más inquietante no es que haya vuelto: es que logró pasar el sistema de escaneo de seguridad de npm siendo prácticamente idéntico a una versión ya identificada meses atrás, coincidencia de huella digital incluida.

Esta campaña arrancó en septiembre de 2025 y, según reportes acumulados durante 2026, ha comprometido más de 1,300 versiones de paquetes de software con un alcance combinado de 2,000 millones de descargas mensuales.

El malware roba credenciales de programadores y usa esas credenciales para republicarse automáticamente en más paquetes, expandiéndose solo, como un virus biológico.

Ninguna de las empresas que terminan utilizando ese software comprometido —fábricas, despachos, clínicas, comercios— tuvo que cometer ningún error propio para quedar expuesta.

El error ocurrió varios eslabones atrás, en el código que alguien más escribió y que tu proveedor de software, sin saberlo, incorporó al producto que tú utilizas.

La cifra que triplicó su tamaño en dos años

El Verizon Data Breach Investigations Report (DBIR) 2026, publicado el 18 de junio de 2026, encontró que el 48% de las brechas de datos analizadas involucraron a terceros: un proveedor, un desarrollador de software o cualquier parte externa con acceso a los sistemas de la víctima.

Esa misma cifra era de apenas 15% en 2024 y subió a 30% en 2025.

En dos años, el riesgo de que tu próxima brecha de seguridad venga de un tercero prácticamente se triplicó.

Como lo resume el propio reporte, casi una de cada dos brechas de datos hoy involucra a un proveedor, un fabricante de software o alguna otra parte externa, no necesariamente a alguien dentro de la empresa afectada.

México, arriba del promedio mundial en este riesgo específico

Según un estudio de Kaspersky publicado el 24 de marzo de 2026, con 1,714 especialistas técnicos encuestados en 16 países, incluyendo empresas de 500 o más colaboradores en México, Brasil y Colombia, el 43% de las organizaciones mexicanas sufrió un ataque a través de su cadena de suministro en el último año.

Esta fue la cifra más alta de toda la región latinoamericana estudiada, por encima de Brasil y Colombia, con 36% cada uno, y también por encima del promedio global de 31%.

Además, el 31% de las empresas mexicanas encuestadas reportó específicamente ataques que explotaron relaciones de confianza con socios o proveedores.

El Foro Económico Mundial, citado en la cobertura de esta misma investigación, añade que las grandes organizaciones trabajan en promedio con cerca de 100 proveedores y más de 130 terceros con algún tipo de acceso a sus sistemas.

Esto ayuda a explicar por qué el 65% de las grandes empresas identifica las vulnerabilidades de sus proveedores como el principal obstáculo para su seguridad.

Por qué “yo no uso ese software” no te protege

Si utilizas un sistema de punto de venta, un software de contabilidad, una aplicación de nómina, un portal de facturación electrónica o cualquier herramienta digital construida por un tercero —y prácticamente toda empresa utiliza varias de estas—, dependes de que ese proveedor haya construido su producto sobre componentes seguros.

La mayoría del software moderno está armado con decenas o cientos de piezas de código de origen abierto que ni siquiera el propio proveedor revisó línea por línea.

Cuando una de esas piezas se compromete, como ocurrió con Shai-Hulud, la infección puede viajar silenciosamente hasta el producto final que tú instalaste confiando en una marca conocida.

Y aquí está el verdadero problema: tú puedes tener buenas contraseñas, capacitar a tus colaboradores, utilizar autenticación multifactor y contar con sistemas de seguridad actualizados.

Pero si uno de tus proveedores tiene una vulnerabilidad y ese proveedor tiene acceso a tus sistemas, tu seguridad puede verse comprometida por una decisión que tú nunca tomaste.

Qué hacer esta semana

Pregunta a tus proveedores qué controles tienen para sus propias dependencias

No necesitas entender el código. Necesitas saber si auditan lo que incorporan a sus productos y qué hacen ante una alerta como la de Shai-Hulud.

Pregúntales qué mecanismos utilizan para identificar componentes vulnerables y cómo te notifican cuando detectan un problema de seguridad.

Limita el acceso de cada proveedor al mínimo indispensable

Cada permiso de más es una puerta adicional que no controlas tú.

Revisa qué proveedores tienen acceso a tus sistemas, qué información pueden consultar y qué acciones pueden realizar. Si un proveedor ya no necesita determinado acceso, elimínalo.

Mantén un inventario de qué proveedores tienen acceso a tus sistemas críticos

No puedes reaccionar ante una alerta si ni siquiera recuerdas que utilizas ese proveedor.

Identifica cuáles tienen acceso a información financiera, datos de clientes, sistemas de producción, infraestructura tecnológica o cualquier otro activo crítico para tu operación.

Exige notificación contractual de incidentes

Incluye en tus contratos la obligación explícita de que el proveedor te avise si sufre una brecha de seguridad y establece claramente en cuánto tiempo debe hacerlo.

No esperes a enterarte por las noticias de que un proveedor que utilizas fue comprometido.

La pregunta que tu empresa debería hacerse hoy

La lección incómoda de esta semana es que la ciberseguridad de tu empresa ya no depende solamente de las decisiones que tú tomas puertas adentro.

Depende también de decisiones que tomaron, muy lejos de tu vista, personas que nunca conocerás.

Eso no significa que estés indefenso.

Significa que la pregunta correcta ya no es solamente:

“¿Estamos seguros nosotros?”

La pregunta correcta es:

“¿Sabemos realmente en quién estamos confiando?”

Porque tu empresa puede tener una excelente estrategia de ciberseguridad y aun así estar conectada con proveedores que representan un riesgo que nunca has evaluado.

Si quieres revisar con un especialista qué tan expuesta está tu empresa a través de tus propios proveedores de tecnología, con gusto lo platicamos.

Mapear esas dependencias toma una conversación; no hacerlo puede costarte una crisis que ni siquiera provocaste tú.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Ataque a la cadena de suministro: tu proveedor de software puede ser la puerta de entrada se publicó primero en Care Telecom.

La falla que nadie vio venir (pero que estaba ahí desde hace tiempo)

El 5 de septiembre de 2026, el equipo de respuesta a incidentes de Polonia (CERT Polska) publicó una alerta urgente: dos vulnerabilidades críticas en RouterOS, el sistema operativo de los routers MikroTik —uno de los equipos de red más vendidos del mundo, y particularmente popular entre pequeños proveedores de internet, oficinas y comercios en México por su bajo costo—, permiten a un atacante tomar el control administrativo total de un router sin necesidad de contraseña, usuario ni ningún tipo de autenticación.

Los investigadores bautizaron la técnica “MikroTrick”. Combina dos fallas: CVE-2026-67276, que permite falsificar la verificación de una llave criptográfica para saltarse el inicio de sesión por SSH, y CVE-2026-86060, que permite escalar privilegios usando nombres de usuario manipulados. Ambas tienen una puntuación de severidad de 9.2 sobre 10.

En términos simples: si tu router tiene el acceso remoto (SSH) abierto hacia internet —una configuración extremadamente común porque “así es más fácil dar soporte a distancia”—, un desconocido puede entrar como si fuera el dueño del equipo.

Lo más inquietante: la explotación activa comenzó el 2 de septiembre, tres días antes de que existiera un aviso público. Costin Raiu, uno de los investigadores de amenazas más reconocidos del mundo (ex director del equipo global de análisis de Kaspersky), lo resumió sin rodeos: “Si tienes un router MikroTik en internet con SSH abierto, es probable que ya esté comprometido”.

No es la primera vez (y esa es la parte que debería preocuparte más)

Si el nombre MikroTik te suena, es porque no es la primera vez que estos equipos terminan en el centro de un escándalo de seguridad. En 2021, cientos de miles de routers MikroTik comprometidos formaron la columna vertebral de Mēris, uno de los botnets de ataques de denegación de servicio más potentes jamás registrados, capaz de generar más de 21 millones de solicitudes por segundo contra sus víctimas.

¿La causa? Routers con el sistema sin actualizar, expuestos a internet, cuyos dueños nunca supieron que habían sido reclutados para un ejército digital.

Cinco años después, el patrón se repite casi exacto. No porque la tecnología no haya avanzado, sino porque el eslabón más débil sigue siendo el mismo: dispositivos que se instalan una vez y se olvidan para siempre.

Por qué esto debería quitarte el sueño si tienes una empresa en México

Aquí es donde la historia deja de ser “noticia de tecnología” y se convierte en un problema de negocio.

México se ha posicionado como uno de los países más atacados de toda América Latina, con 324 mil millones de intentos de ciberataque registrados en 2024, según el reporte Global Threat Landscape de Fortinet.

Y las empresas mexicanas no son espectadoras de esa cifra: son parte del objetivo constante de los ciberdelincuentes.

• Más del 60% de las PyMEs mexicanas sufrió intentos de robo de datos, ataques de ransomware o accesos no autorizados en el último año.
• El 52.8% ya sufrió al menos un incidente de ciberseguridad confirmado en 2024, y el 93.8% admite tener miedo de ser el próximo blanco.
• El 75.5% de las PyMEs reconoce que un ciberataque podría paralizar por completo sus operaciones —no solo “causar molestias”: detener la empresa.
• Solo 4 de cada 10 cuentan con un plan formal de respuesta a incidentes. El resto improvisa en el peor momento posible.
• Las pérdidas por cibercrimen en México se estiman entre 3,000 y 5,000 millones de dólares al año.

Y el contexto global no ayuda.

El Reporte de Investigaciones de Brechas de Datos 2026 de Verizon confirma que la explotación de vulnerabilidades —no el robo de contraseñas, no el phishing— es ya la causa número uno de brechas de seguridad, representando el 31% de los casos analizados.

Peor aún: mientras los atacantes utilizan inteligencia artificial para encontrar y explotar fallas en cuestión de horas, el tiempo promedio que tardan las empresas en aplicar un parche aumentó a 43 días en 2025, cuando antes eran 32.

Y de las vulnerabilidades que la agencia estadounidense CISA marca como “explotadas activamente”, solo el 26% fue parchado a tiempo.

La ventana de defensa, dice el propio reporte, “pasó de meses a horas”.

La lección que ninguna empresa puede seguir ignorando

No hace falta ser una corporación multinacional para ser un blanco.

De hecho, es al revés: los atacantes automatizados no distinguen entre una fábrica en Querétaro, un despacho contable en Guadalajara o una clínica en Monterrey.

Escanean internet buscando puertas abiertas, y un router mal configurado —con el acceso remoto expuesto “porque siempre se hizo así”— es una puerta con el letrero de “pase usted”.

La lección atemporal aquí no es sobre MikroTik específicamente.

Es sobre qué tan expuesta está la infraestructura que sostiene tu negocio y quién la está vigilando.

Si nadie en tu empresa puede responder ahora mismo a estas tres preguntas, tienes un problema:

¿Qué equipos de red tenemos con acceso remoto habilitado hacia internet?

¿Cuándo fue la última vez que se actualizó el firmware de nuestro router, firewall o VPN?

¿Quién recibe una alerta si alguien inicia sesión en esos equipos a las tres de la mañana?

El costo de responder estas preguntas hoy es una revisión técnica.

El costo de no responderlas es, en el mejor de los casos, una operación paralizada; en el peor, una extorsión digital con tus datos y los de tus clientes como rehenes.

Si después de leer esto no estás seguro de qué tan expuesta está la red de tu empresa, ese es exactamente el tipo de duda que vale la pena resolver antes de que alguien más la resuelva por ti.

Un especialista en ciberseguridad puede revisar en pocas horas lo que a un atacante automatizado le toma minutos encontrar.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada El router de $800 que puede hundir tu empresa en una sola noche: la vulnerabilidad que está secuestrando redes completas se publicó primero en Care Telecom.

Es la respuesta que casi todo dueño de negocio da cuando le preguntas qué pasaría si el ransomware le apagara los sistemas mañana: “No hay problema, tenemos respaldos”.

Es también, según la evidencia más reciente de la industria, una de las suposiciones más peligrosas que puede sostener una empresa hoy.

Porque los atacantes ya lo saben, y por eso ya no solo cifran tu información: van primero por tus copias de seguridad.

El respaldo ya no es tu salvavidas automático

Según datos de investigación de Veeam, uno de los proveedores de software de respaldo más usados del mundo, presentados en julio de 2025 y todavía considerados una referencia de la industria en 2026, el 89% de los ataques de ransomware del último año tuvieron como objetivo directo el repositorio de respaldos de la víctima, no solo sus archivos de trabajo.

Y no es un intento fallido: en una de cada tres ocasiones, los atacantes lograron modificar o eliminar esas copias de seguridad antes de que la empresa pudiera utilizarlas.

El mismo análisis encontró que el 69% de las empresas sufrió al menos un ataque de ransomware en el último año y que, de esas empresas, el 69% volvió a ser atacada, muchas veces por el mismo grupo criminal.

La ventana entre que el atacante entra al sistema, roba información y entrega la nota de rescate se comprimió a apenas 24 horas.

¿Por qué los criminales atacan primero los respaldos?

Porque saben exactamente lo mismo que tú: si puedes restaurar tus sistemas desde una copia limpia, no tienes ninguna razón para pagarles.

Destruir o corromper esas copias antes de exigir el rescate no es un efecto secundario del ataque.

Es la estrategia central.

El dato que debería incomodar incluso a quien “ya tiene todo resuelto”

El Data Trust and Resilience Report 2026 de Veeam, publicado el 14 de abril de 2026 con más de 900 líderes de TI, seguridad y riesgo encuestados a nivel global, encontró una brecha enorme entre la confianza y la realidad.

El 90% de las organizaciones dijo confiar en su capacidad para recuperarse de un incidente cibernético, pero solo el 28% logró recuperar completamente sus datos después de un ataque real.

El 44% recuperó menos del 75% de la información afectada, y la tasa promedio de recuperación entre todas las víctimas encuestadas fue de apenas 72%.

Traducido a algo concreto: si tu empresa depende de facturas, historiales de clientes, inventarios o expedientes, un 72% de recuperación promedio significa que casi tres de cada diez registros podrían no volver jamás, incluso si “sí tenías respaldos”.

El mismo reporte encontró que las organizaciones que aumentaron su inversión en ciberseguridad durante el último año lograron una recuperación completa en el 40% de los casos, contra apenas 16% entre las que no invirtieron más.

La pregunta que casi ninguna empresa mexicana se ha hecho

No existe todavía una cifra pública específica sobre qué porcentaje de las empresas mexicanas ha probado —de verdad, restaurando datos reales— sus propios respaldos.

Esa ausencia de datos no es casualidad: probar una restauración completa requiere tiempo, disciplina y personal técnico dedicado, recursos que suelen ser de los más escasos en una empresa mediana o pequeña.

Lo que sí sabemos, por los datos globales de Veeam, es que tener un respaldo sin haberlo probado nunca es estadísticamente casi lo mismo que no tenerlo.

Y aquí está el problema.

Puedes tener terabytes de información almacenados en servidores, discos o servicios en la nube. Puedes pagar todos los meses por una solución de backup. Puedes incluso recibir reportes que indiquen que las copias se están realizando correctamente.

Pero eso no responde la pregunta más importante:

¿Puedes recuperar tu empresa cuando realmente lo necesites?

Por qué “tenemos un backup en la nube” no es una respuesta completa

Muchas empresas confunden tener un respaldo con tener una estrategia de respaldo.

Un archivo copiado a un disco externo conectado permanentemente a la misma red infectada no es una protección real.

Una carpeta sincronizada en la nube sin control de versiones tampoco sirve de mucho si el archivo cifrado se sincroniza automáticamente sobre el archivo bueno.

La diferencia entre sobrevivir un ataque de ransomware y sufrir una interrupción capaz de poner en riesgo la operación de tu empresa casi siempre está en detalles como estos.

Tu estrategia de respaldo debe considerar, entre otras cosas:

• Dónde se almacenan tus copias.
• Si están aisladas de tu red principal.
• Si un atacante podría eliminarlas o modificarlas.
• Cuántas versiones históricas conservas.
• Qué tan rápido puedes restaurarlas.
• Si has probado una recuperación completa.
• Qué información es crítica para mantener operando tu empresa.
• Cuánto tiempo puede permanecer detenida tu operación antes de generar pérdidas graves.

Porque un backup que nunca has restaurado es, en realidad, una promesa.

Y durante un ataque de ransomware no quieres descubrir que esa promesa era falsa.

La pregunta que vale la pena hacerte esta semana

La pregunta no es si tu empresa tiene respaldos.

La pregunta es:

¿Tus respaldos sobrevivirían al mismo ataque que está diseñado específicamente para destruirlos primero?

Si mañana el ransomware cifra tus servidores, elimina tus respaldos y deja fuera de operación tus sistemas críticos, ¿cuánto tiempo tardarías realmente en volver a operar?

¿Horas?

¿Días?

¿Semanas?

¿Tendrías que pagar?

¿Y cuánto le costaría a tu empresa cada hora sin operar?

Ese es el verdadero valor de una estrategia de respaldo: no cuánto almacenamiento tienes, sino qué tan rápido y completamente puedes recuperar tu negocio.

Si quieres revisar qué tan sólida es realmente tu estrategia de respaldo y recuperación, con gusto lo platicamos.

Una prueba de restauración bien hecha puede tomar unas horas.

Descubrir que tus respaldos fallaron durante una crisis real puede costarte la empresa completa.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada “Tenemos respaldos, estamos tranquilos”: el error que puede dejar a tu empresa sin datos se publicó primero en Care Telecom.