Edición del 13 al 17 de octubre de 2026
Zero-day de Windows en ataques, acceso no autorizado en Interseguro y falsos soportes de Microsoft
10 min de lecturaFueron cuatro días cargados. Microsoft confirmó que uno de los fallos que corrigió en octubre ya se explota en ataques, y en el Perú la aseguradora Interseguro reconoció un acceso no autorizado a sus sistemas. Además, una red de falsos soportes técnicos opera desde más de 20 000 páginas y un programa de copias de seguridad para Windows repartió una puerta trasera desde sus propios servidores. Aquí va qué pasó y qué hacer en cada caso.
Si solo tienes 30 segundos
- Instala la actualización de octubre de Windows y reinicia: corrige un zero-day que ya se usa en ataques.
- Actualiza Chrome a la versión 155.0.8059.84 o superior y reinícialo.
- Si una página bloquea tu pantalla con un «aviso de Microsoft», cierra el navegador y nunca llames al número.
- Si usas AOMEI Backupper, revisa en el Programador de tareas que no existan «RadminComponentRuntime» ni «NitroRuntime».
- Si eres cliente de Interseguro o de Hidrandina, no entregues datos ni pagues a nadie que te contacte; verifica por canales oficiales.
Alertas críticas y vulnerabilidades activas
CríticaConfirmado
Windows: el Patch Tuesday de octubre trae un zero-day que ya se explota
Ilustración: Benxsus
Afecta a: usuarios de Windows 10 (con ESU) y Windows 11 que no instalaron la actualización de octubre · Identificador: CVE-2026-96951
Actualización respecto de la edición anterior: cuando publicamos el Patch Tuesday de octubre, la fuente aún no precisaba si algún fallo se explotaba en ataques. Ahora está confirmado. De los tres zero-day (fallos que se aprovechan o se hacen públicos antes de que exista parche), uno ya se usa contra usuarios: CVE-2026-96951, en el Shell de Windows. Permite saltarse Mark of the Web, la marca que Windows pone a los archivos descargados de internet para mostrar una advertencia antes de abrirlos. Microsoft no detalló quién lo explota ni cómo. Los otros dos, en .NET Framework y en MessagePack para .NET, se divulgaron públicamente sin ataques conocidos. En total, la actualización corrige 1411 fallos, una cifra récord. Un efecto secundario: tras instalar KB5127648, algunos equipos con Windows 11 24H2 o posterior no pueden volver a activar Smart App Control si lo tenían apagado; quienes ya lo tenían encendido siguen protegidos.
Qué hacer
- Entra a Configuración > Windows Update e instala la actualización de octubre (KB5127648 o KB5126653 en Windows 11; KB5126657 en Windows 10 con ESU).
- Reinicia el equipo para que el parche quede aplicado.
- Desconfía de adjuntos y descargas que no esperabas, aunque Windows no muestre ninguna advertencia.
Fuente: BleepingComputer · Publicado el 13/10/2026
Estafas, phishing y fraude digital
AltaConfirmado
Más de 20 000 páginas con falsas alertas de Microsoft empujan a llamar a un «soporte técnico»
Ilustración: Benxsus
Afecta a: usuarios de Windows que visitan sitios WordPress hackeados o hacen clic en anuncios maliciosos · Identificador: no aplica
Infoblox (empresa especializada en seguridad de DNS) vinculó una red de distribución de tráfico llamada Help TDS con el programa de afiliados Hotejka. Desde abril de 2026, la operación creó más de 20 000 páginas en Cloudflare Pages, unas 300 nuevas por día, que muestran alertas falsas de Windows a pantalla completa: dicen que Microsoft bloqueó el equipo, piden no reiniciar y dan un número de supuesto soporte técnico. Las páginas además impiden salir con normalidad. Las víctimas llegan desde sitios WordPress comprometidos, anuncios maliciosos, redes sociales y correo basura. Quien llama termina instalando, a pedido del operador, un programa de acceso remoto como Ultraviewer, que entrega el control total de la computadora. La investigación no detalla campañas dirigidas a hispanohablantes.
Qué hacer
- Si aparece una alerta así, cierra el navegador (con el Administrador de tareas si no responde) y no llames al número.
- Nunca instales programas de acceso remoto a pedido de alguien que te contactó.
- Si ya diste acceso, desconecta el equipo de internet y cambia tus contraseñas desde otro dispositivo.
Fuente: The Hacker News · Publicado el 15/10/2026
MediaConfirmado
Android suma defensas con IA contra mensajes fraudulentos y desvío de llamadas
Ilustración: Benxsus
Afecta a: usuarios de Android con Google Messages y la app Teléfono de Google en equipos compatibles · Identificador: no aplica
Google empezó a desplegar nuevas protecciones contra estafas. Google Messages podrá analizar con Gemini conversaciones con remitentes desconocidos dentro de un entorno cifrado de Google (función desactivada por defecto), revisará en el propio teléfono los enlaces poco conocidos y advertirá con más claridad antes de abrir enlaces de números no guardados. Android, además, impide que las apps activen el desvío de llamadas en segundo plano y avisa antes de aplicar códigos de desvío marcados a mano, un truco usado para interceptar códigos de verificación. La verificación de llamadas bancarias, que corta la comunicación si no viene del banco real, suma entidades: según Google, bloqueó más de 3 millones de llamadas fraudulentas desde junio solo para Banco do Brasil e Itaú. Google no precisó la disponibilidad por país ni por idioma.
Qué hacer
- Actualiza Google Messages y Teléfono desde Play Store.
- Si durante una llamada te piden marcar un código que empieza con * o #, cuelga.
Fuente: BleepingComputer · Publicado el 15/10/2026
Malware y apps maliciosas
AltaConfirmado
AOMEI Backupper repartió una puerta trasera desde sus propios servidores de actualización
Ilustración: Benxsus
Afecta a: usuarios de AOMEI Backupper en Windows que recibieron actualizaciones entre mayo y julio de 2026 · Identificador: no aplica
El Google Threat Intelligence Group (GTIG), junto con Mandiant, y el laboratorio de ManageEngine documentaron que atacantes alteraron los servidores de actualización de AOMEI Backupper, un programa de copias de seguridad para Windows. El incidente ocurrió entre mayo y julio de 2026, pero se dio a conocer recién el 16 de octubre. En ventanas de pocos minutos (28 de mayo, 16 y 20 de julio), quien buscó actualizaciones pudo recibir una puerta trasera que da control remoto del equipo. AOMEI le dijo a Mandiant el 29 de julio que ya aseguró sus servidores, pero eso no limpia las computadoras infectadas, y los investigadores creen que pudo haber más ventanas sin detectar. Tampoco se sabe cómo entraron los atacantes.
Qué hacer
- Abre el Programador de tareas de Windows y busca tareas llamadas «RadminComponentRuntime» o «NitroRuntime».
- Si aparecen, desconecta el equipo de internet y pide ayuda técnica para limpiarlo o reinstalar Windows.
- Cambia desde otro dispositivo las contraseñas que usaste en esa computadora.
Fuente: The Hacker News · Publicado el 16/10/2026
MediaConfirmado
Secuestran NAS y grabadores de cámaras para revender el internet de sus dueños
Ilustración: Benxsus
Afecta a: dueños de NAS D-Link ShareCenter, grabadores Ubiquiti UniFi Video y DVR o NVR Hikvision y Dahua expuestos a internet · Identificador: CVE-2024-3272, CVE-2024-3273, CVE-2021-44228
GreyNoise (empresa que monitorea escaneos y ataques en internet) detectó una campaña de proxyjacking: el atacante aprovecha fallos conocidos de 2021 y 2024 en estos equipos para instalar sin permiso Pawns.app, una aplicación legítima que paga por compartir ancho de banda. Así cobra por el tráfico ajeno que pasa por la conexión de la víctima, cuya IP puede terminar bloqueada o asociada a actividad ilegal. En algunos casos dejó además un acceso de respaldo por SSH. GreyNoise identificó al menos 143 equipos comprometidos, en 34 países según el reporte. La catalogamos como media por su escala reducida, aunque la explotación está confirmada y apunta a equipos comunes en casas y pequeños negocios.
Qué hacer
- Actualiza el firmware de tus NAS y grabadores, y cambia la contraseña de fábrica.
- Desactiva el acceso remoto si no lo usas y no dejes estos equipos expuestos directamente a internet.
Fuente: BleepingComputer · Publicado el 15/10/2026
MediaConfirmado
El spyware Candiru infectó equipos a través de anuncios, sin un solo clic
Ilustración: Benxsus
Afecta a: periodistas y personas de alto perfil; no hay evidencia de ataques masivos contra usuarios comunes · Identificador: no especificado en la fuente
Citizen Lab (laboratorio de la Universidad de Toronto) confirmó con evidencia técnica, por primera vez de forma pública, que el spyware comercial de Candiru infectó dispositivos mediante anuncios en línea sin que la víctima hiciera nada (zero-click). Al menos 45 dispositivos de Al Jazeera fueron objetivo en 2024 y 2025. Los anuncios no traían código malicioso: enviaban el identificador publicitario y la IP del equipo a un servidor que filtraba a las víctimas y solo a ellas les devolvía el ataque, por eso las redes publicitarias no lo detectaron. El exploit no se recuperó, así que no se sabe qué fallo usaron ni si ya está corregido. Para el usuario común el riesgo directo es bajo, pero el método muestra que la publicidad también es una vía de ataque.
Qué hacer
- Si tu trabajo te expone, activa el Modo de aislamiento en iPhone o la Protección avanzada en Android.
- Restablece o elimina el identificador publicitario de tu teléfono desde los ajustes de privacidad.
Fuente: The Hacker News · Publicado el 15/10/2026
Parches y actualizaciones de seguridad
AltaConfirmado
Chrome corrige un fallo crítico en la precarga de páginas
Ilustración: Benxsus
Afecta a: Chrome en Windows, Mac, Linux y Android con versión anterior a 155.0.8059.84 · Identificador: CVE-2026-110922
Google publicó el 15 de octubre Chrome 155.0.8059.84/.85 para Windows y Mac (155.0.8059.84 para Linux) con 10 correcciones de seguridad: una crítica, seis altas y tres medias. La crítica, CVE-2026-110922, es un fallo de tipo use-after-free (el programa sigue usando una zona de memoria que ya liberó) en Prerender, la función que precarga páginas para que abran más rápido. Google no indicó que alguno de estos fallos se esté explotando. La versión para Android, 155.0.8059.84, salió el mismo día y comparte las correcciones de escritorio. Quienes usan el canal Extended Stable reciben la 152.0.7977.169. Este parche llega una semana después del salto a Chrome 155, que cubrimos en la edición del 5 al 8 de octubre.
Qué hacer
- En Chrome, abre Menú > Ayuda > Información de Google Chrome y deja que se actualice.
- Pulsa «Reiniciar» para aplicar el parche; en Android, actualiza Chrome desde Play Store.
Fuente: Chrome Releases · Publicado el 15/10/2026
Perú y LATAM
AltaConfirmado
Interseguro confirma un acceso no autorizado y avisa a sus clientes
Ilustración: Benxsus
Afecta a: clientes de Interseguro en el Perú; número de afectados no especificado en la fuente · Identificador: no aplica
La aseguradora Interseguro confirmó que el 7 de octubre detectó un acceso no autorizado a sus sistemas, lo bloqueó e inició una investigación con especialistas internacionales. Según la empresa, los datos involucrados son principalmente de identificación, de contacto y números de póliza, y no permiten hacer transacciones. El 13 de octubre, el grupo Direwolf la incluyó en su portal de extorsión y afirmó tener unos 2,5 terabytes de información; esa cifra solo proviene de los atacantes y no está verificada. Interseguro aún no sabe cuántos clientes resultaron afectados, desde cuándo duró el acceso ni cómo ocurrió. La SBS confirmó que fue notificada y supervisa el caso, e Indecopi informó que ya recibió cuatro reclamos. Pólizas, coberturas y pagos siguen funcionando con normalidad.
Qué hacer
- Desconfía de llamadas, correos o WhatsApp que citen tu número de póliza y pidan datos, claves o pagos.
- Verifica cualquier trámite directamente con Interseguro por sus canales oficiales.
- Activa la verificación en dos pasos en tu correo electrónico.
Fuente: El Comercio · Publicado el 15/10/2026
AltaConfirmado
Hidrandina advierte de falsos cobradores que piden pagos por Yape
Ilustración: Benxsus
Afecta a: usuarios de Hidrandina, distribuidora eléctrica del norte del Perú · Identificador: no aplica
Hidrandina alertó que personas ajenas a la empresa se hacen pasar por sus trabajadores para pedir dinero. Usan el código de suministro del usuario, el número que figura en el recibo de luz, para ganar confianza, y luego piden transferencias, pagos por Yape u otras billeteras digitales con el pretexto de resolver un reclamo o evitar un corte. La empresa recalcó que nunca solicita pagos a cuentas personales ni a billeteras de trabajadores de campo o de terceros, y que solo acepta pagos en sus cuentas oficiales o en entidades financieras autorizadas. El aviso no detalla si el contacto llega por llamada, mensaje o visita, así que conviene desconfiar de cualquiera de las tres.
Qué hacer
- No pagues a cuentas personales ni por Yape a nombre de una persona, aunque conozcan tu código de suministro.
- Confirma deudas o cortes en los canales oficiales de Hidrandina antes de pagar.
- Reporta el intento a la línea Serviluz: 0801-71001.
Fuente: Macronorte · Publicado el 15/10/2026