Edición del 10 al 11 de noviembre de 2026
Outlook bajo ataque, fallas en el iPhone y 37 millones de registros expuestos: Monitor Ciber del 11 de noviembre
6 min de lecturaEste martes Microsoft publicó su paquete mensual de parches y confirmó que una falla de Outlook ya se usaba en ataques reales. Apple, por su lado, cerró dos huecos de privacidad en los chats grupales de iMessage, mientras Binance advirtió sobre otra falla de iOS que podría exponer billeteras de criptomonedas. En Japón, la cadena Nitori reconoció un acceso no autorizado que pone en riesgo hasta 37,6 millones de registros, y en Latinoamérica reapareció una campaña de correos que se hacen pasar por notificaciones judiciales. Ninguna alerta es crítica, pero cuatro piden actuar hoy.
Si solo tienes 30 segundos
- Actualiza Office o Microsoft 365 y aplica el parche de Windows de noviembre.
- Pon tu iPhone o iPad en iOS 27.2.1, 26.7.3 o 18.7.12, según tu modelo.
- Si eres cliente de Nitori, desconfía de correos y llamadas que usen su nombre.
- No abras adjuntos de supuestas citaciones judiciales o de la Fiscalía; verifica en la web oficial.
- Si guardas criptomonedas en el iPhone, borra las apps instaladas fuera de la App Store.
Alertas críticas y vulnerabilidades activas
Alta Confirmado
Microsoft corrige más de mil fallas y una de Outlook ya se explotaba
Ilustración: Benxsus
Afecta a: usuarios de Outlook en Microsoft 365 Apps y Office LTSC 2021 y 2024 · Identificador: CVE-2026-124194
Microsoft publicó el 10 de noviembre su Patch Tuesday (la actualización mensual de seguridad) con más de mil fallas corregidas. La más urgente es CVE-2026-124194, una falla de suplantación (spoofing) en Outlook que la empresa confirmó como explotada en ataques reales antes del parche. Si la víctima abre un archivo manipulado, Outlook se conecta a un servidor del atacante sin mostrar la advertencia habitual y le entrega el hash NTLM, una huella cifrada de la contraseña de Windows que puede servir para suplantar a la persona. Microsoft descartó que el panel de vista previa sea una vía de ataque y le asignó 6,5 sobre 10. Ojo: el arreglo llega por la actualización de Office, no solo por la de Windows (KB5132061 en Windows 11).
Qué hacer
- En Word u Outlook entra a Archivo > Cuenta > Opciones de actualización > Actualizar ahora.
- Instala la actualización de Windows de noviembre y reinicia el equipo.
- No abras adjuntos que no esperabas, aunque parezcan venir de un contacto conocido.
Fuente: Microsoft Security Response Center · Publicado el 10/11/2026
Brechas y filtraciones de datos
Alta Confirmado
Nitori admite un acceso no autorizado que pone en riesgo hasta 37,6 millones de registros
Ilustración: Benxsus
Afecta a: socios y compradores en línea de Nitori; no se precisó si incluye clientes fuera de Japón · Identificador: no aplica
La cadena japonesa de muebles Nitori anunció el 9 de noviembre que un tercero entró sin autorización a sus servidores y que hasta 37,62 millones de registros de datos personales podrían haber salido de la empresa. Detectó el acceso el 6 de noviembre y lo bloqueó, pero sus registros indican que el intruso estaba dentro desde mediados o fines de octubre. Los datos en riesgo incluyen número de socio, nombre, correo, dirección, teléfono, fecha de nacimiento, género y datos de pedidos en línea. Según la compañía, no se filtraron contraseñas ni tarjetas de crédito. La cifra es un máximo posible: Nitori todavía no determinó cuántas personas resultaron afectadas ni la causa, y evalúa si hubo ransomware (secuestro de datos). El riesgo inmediato es el phishing (engaño para robar datos) armado con información real.
Qué hacer
- Desconfía de correos, SMS y llamadas a nombre de Nitori, de empresas de reparto o de marketplaces.
- Nitori no pide contraseñas, tarjetas ni PIN; usa solo los canales de su web oficial.
Fuente: BleepingComputer · Publicado el 10/11/2026
Malware y apps maliciosas
Media Confirmado
Binance advierte que una falla de iOS deja a apps maliciosas leer datos de otras apps
Ilustración: Benxsus
Afecta a: usuarios de iPhone con billeteras cripto y apps de fuera de la App Store (iOS 26.7.1, 27.0.1 y 27.2) · Identificador: sin CVE público
Binance alertó el 10 de noviembre sobre una falla de iOS que permitiría a una app maliciosa leer los archivos de otras apps, incluidas frases semilla, claves privadas y credenciales de billeteras. Su autor publicó una prueba de concepto que funciona sin jailbreak desde una app instalada fuera de la App Store. Hasta ahora no hay ataques ni robos reportados, y existir una prueba de concepto no equivale a explotación activa. Lo que sigue sin aclararse es el parche: Apple publicó actualizaciones el 9 de noviembre, pero sus notas no mencionan esta falla y la empresa no comentó el caso. La clasificamos como media porque el riesgo depende de que instales una app maliciosa, y la vía más probable es la instalación por fuera de la tienda oficial.
Qué hacer
- Borra las apps instaladas fuera de la App Store o con perfiles de firma manual.
- Actualiza iOS y todas tus apps.
- Si sospechas exposición, mueve tus fondos a una billetera nueva.
Fuente: BleepingComputer · Publicado el 10/11/2026
Parches y actualizaciones de seguridad
Alta Confirmado
Apple cierra dos fallas que exponían mensajes de grupos de iMessage
Ilustración: Benxsus
Afecta a: iPhone y iPad sin iOS 27.2.1, 26.7.3 o 18.7.12 · Identificador: CVE-2026-113961, CVE-2026-113960
Apple publicó el 9 de noviembre nueve actualizaciones de seguridad. Para el usuario común, lo más relevante son dos fallas en los chats grupales de iMessage descritas en el aviso de iOS 27.2.1. La primera (CVE-2026-113961) permitía que un atacante remoto se uniera a un grupo y recibiera sus mensajes; la segunda (CVE-2026-113960) dejaba que alguien recién agregado leyera mensajes enviados antes de su ingreso. Apple no indicó que se hayan explotado. Un detalle importante: las actualizaciones para iPhone XS, XS Max, XR y el iPad de 7.ª generación no mencionan los arreglos de iMessage, y Apple no aclaró si esos equipos están expuestos.
Qué hacer
- Ve a Ajustes > General > Actualización de software e instala la versión que te ofrezca tu equipo.
- Si tienes un iPhone XS o XR, evita compartir información sensible en grupos de iMessage hasta que Apple aclare.
Fuente: Apple Security Releases · Publicado el 09/11/2026
Perú y LATAM
Alta Confirmado
Blind Eagle vuelve con correos que imitan citaciones judiciales en Latinoamérica
Ilustración: Benxsus
Afecta a: personas y organizaciones de Latinoamérica, con foco en Colombia; señuelos en español y portugués · Identificador: no aplica
Investigadores de la firma Zenox documentaron una nueva campaña de phishing que atribuyen a Blind Eagle (APT-C-36), un grupo con larga trayectoria en la región. Los correos simulan notificaciones de juzgados, citaciones de la Fiscalía y procesos de tutela; una de las muestras suplanta a la Fiscalía General de la Nación de Colombia. El adjunto, al abrirse en el navegador, arma un archivo comprimido dentro del propio equipo para esquivar los filtros de correo, y la cadena termina instalando un troyano de acceso remoto (RAT) derivado de AsyncRAT que permite espiar el equipo y robar documentos. Zenox no reportó víctimas confirmadas. Aun así, el cebo funciona en cualquier país donde los avisos judiciales reales llegan por correo, y el Perú es uno de ellos.
Qué hacer
- No abras adjuntos de supuestas notificaciones judiciales que no esperabas.
- Verifica el caso en la web oficial del Poder Judicial o del Ministerio Público, no desde el correo.
- Si ya abriste uno, desconecta el equipo y pide revisión técnica.
Fuente: The Hacker News · Publicado el 10/11/2026