Hardening on Locodigital

DigiNotar: la autoridad certificadora hackeada en 2011 y quebrada

Sat, 07 Nov 2026 08:00:00 -0300

En agosto de 2011, un usuario de Gmail en Irán abrió Chrome y vio una alerta: el certificado de Google no era de confianza. Publicó el aviso en un foro de soporte de la empresa. Esa captura fue la primera señal pública de uno de los ataques más graves a la infraestructura de confianza de la web: la intrusión en DigiNotar, una autoridad certificadora holandesa que quebró pocas semanas después.

¿Qué es XSS (cross-site scripting)? 3 tipos y cómo evitarlo

Thu, 05 Nov 2026 05:00:00 -0300

Imagina un cuadro de comentarios en un blog. En lugar de escribir "buen artículo", alguien escribe un fragmento de JavaScript. Si el sitio guarda ese texto y lo entrega a cada visitante sin tratarlo, el navegador de todos los que abran la página ejecutará el código, creyendo que forma parte del sitio. Eso es XSS (cross-site scripting), una de las fallas web más antiguas y más repetidas, y la que sostiene buena parte del robo de cookies de sesión.

Cómo encontrar un proceso sospechoso en Windows con Get-Process

Wed, 04 Nov 2026 05:00:00 -0300

El PC va lento, el ventilador no para y el Administrador de tareas muestra una lista de nombres que parecen todos legítimos: svchost.exe aparece quince veces, y uno de ellos puede ser un impostor. El Administrador muestra el nombre, pero no responde lo que importa: de dónde salió ese ejecutable, quién lo firmó y quién lo inició. El Get-Process de PowerShell, combinado con dos cmdlets más, responde las tres preguntas en pocos minutos.

Cómo crear una contraseña segura: passphrase de 6 palabras

Tue, 03 Nov 2026 07:30:00 -0300

"Tr0ub4dor&3" parece complicada, pero sigue un patrón que cualquier programa de cracking conoce: palabra común, letras cambiadas por números, un símbolo al final. En cambio, "caballo-bateria-grapa-nube-pedal-helado" parece una broma y es mucho más difícil de adivinar. La diferencia está en cómo se eligió la contraseña, no en cuántos símbolos tiene.

Por qué una contraseña con símbolos y números no es fuerte

Los humanos somos predecibles cuando hay que cumplir reglas de complejidad: primera letra mayúscula, la "a" se vuelve "@", un número al final, un "!" para cerrar. Quien rompe contraseñas lo sabe y prueba esas variaciones primero. El resultado es una contraseña difícil de recordar y fácil de adivinar.

SQL Slammer: el gusano de 376 bytes que frenó internet en 2003

Sat, 31 Oct 2026 08:00:00 -0300

El sábado 25 de enero de 2003, poco antes de las 05:30 UTC, un paquete diminuto empezó a circular por internet. Diez minutos después, la mayoría de los servidores vulnerables del planeta ya estaba infectada y enlaces enteros se habían saturado. SQL Slammer (también llamado Sapphire) cabía en apenas 376 bytes, menos que este párrafo, y sigue siendo el ejemplo clásico de lo rápido que puede moverse un gusano.

La falla que explotaba Slammer

El objetivo era Microsoft SQL Server 2000 y MSDE (la versión integrada en muchas aplicaciones). Estos programas escuchan en el puerto UDP 1434 el llamado SQL Server Resolution Service, que ayuda a los clientes a descubrir instancias en la red. Un desbordamiento de búfer en ese servicio permitía ejecutar código con un solo mensaje malformado.

SPF, DKIM y DMARC: qué son y cómo evitar el correo falso

Thu, 29 Oct 2026 05:00:00 -0300

El protocolo original del correo (SMTP) no verifica quién es el remitente. El campo "De:" es solo texto: cualquier servidor puede enviar un mensaje diciendo ser finanzas@tuempresa.com, y el destinatario ve exactamente eso. SPF, DKIM y DMARC son tres registros de DNS creados para cerrar esa brecha. Si tienes un dominio propio, es probable que falte alguno de ellos (o los tres) o que esté mal configurado.

El problema: el "De:" del correo no prueba nada

Ese agujero es la base de buena parte del phishing por correo y del fraude del directivo falso descrito en BEC y deepfake de CEO. Sin autenticación, el atacante no necesita invadir a nadie: le basta escribir tu dominio en el remitente. Si tu dominio está protegido, el servidor del destinatario descarta o aísla esos mensajes antes de que lleguen a la bandeja de entrada.

Cómo activar el Acceso controlado a carpetas contra ransomware

Tue, 27 Oct 2026 05:00:00 -0300

El ransomware no necesita privilegios de administrador para arruinarte el día: le basta con ejecutarse con tu usuario y empezar a reescribir todo lo que hay en Documentos, Imágenes y Escritorio. Por eso Microsoft incluyó en Windows una función que casi nadie activa: el Acceso controlado a carpetas (Controlled Folder Access, o CFA). Funciona como una lista de invitados: solo las apps de confianza pueden modificar tus carpetas importantes. Aquí tienes el paso a paso para activarlo, permitir lo legítimo y revisar qué se bloqueó.

Windows XP cumple 25 años: la lección de seguridad que dejó

Sun, 25 Oct 2026 05:00:00 -0300

Hoy, 25 de octubre de 2026, se cumplen 25 años desde que Windows XP llegó a las tiendas. Quien tuvo un PC en los años 2000 recuerda la colina verde de Bliss, el menú Inicio azul y la pantalla de activación. Menos gente recuerda que XP fue también el sistema con el que Microsoft aprendió por las malas que un Windows conectado directo a internet necesita un firewall activado de fábrica.

Password spraying: qué es y cómo detectar este ataque de contraseñas

Thu, 22 Oct 2026 05:00:00 -0300

La mayoría de los sistemas bloquea la cuenta tras cinco o diez contraseñas erróneas. Por eso el atacante hace lo contrario de lo que imaginas: en vez de probar mil contraseñas en una cuenta, prueba una contraseña ("Verano2026!", "Empresa@123") en mil cuentas, y solo vuelve a la primera después de una pausa. Cada cuenta ve un único intento fallido y no salta ningún bloqueo. Eso es password spraying.

Qué es el password spraying

¿Qué es el password spraying y en qué se diferencia de la fuerza bruta?

El password spraying es un ataque que prueba pocas contraseñas comunes contra muchas cuentas, en lugar de muchas contraseñas contra una sola. Como cada cuenta recibe muy pocos intentos, el bloqueo por número de errores nunca se activa.

Cómo activar BitLocker en Windows 11 y guardar la clave

Tue, 20 Oct 2026 05:00:00 -0300

Un portátil olvidado en el asiento trasero del coche, el SSD extraído y conectado a otra máquina: sin cifrado de disco, el ladrón lee tus archivos en dos minutos, y la contraseña de Windows no sirve de nada, porque solo vale mientras el sistema está en marcha. BitLocker cierra esa puerta cifrando el volumen completo. El problema es que mucha gente lo activa sin saber dónde quedó la clave de recuperación, y entonces el primer error de arranque se convierte en pérdida total de los datos. Este tutorial muestra cómo activarlo, dónde se guarda la clave y cómo confirmar que el disco está protegido.

Infostealer: qué es y cómo saber si estás infectado

Mon, 19 Oct 2026 05:30:00 -0300

Descargas un "crack" de un programa, o haces clic en una verificación CAPTCHA que te pide pegar un comando en Windows. No pasa nada, el programa abre normal y la vida sigue. Tres días después, alguien entra a tu correo, a tu Instagram y a tu cuenta de la casa de bolsa sin adivinar una contraseña y sin necesitar un código 2FA. El culpable suele ser un infostealer: un malware que no quiere destruir tu PC, solo vaciar tu navegador.

KRACK: el ataque de 2017 que rompió el WPA2 de tu Wi-Fi

Sat, 17 Oct 2026 09:00:00 -0300

Durante más de una década, el WPA2 fue la respuesta estándar a "¿cómo protejo mi Wi-Fi?". Router nuevo, contraseña fuerte, WPA2 activado, problema resuelto. El 16 de octubre de 2017, los investigadores belgas Mathy Vanhoef y Frank Piessens, de la KU Leuven, publicaron un estudio que derrumbó esa certeza: el propio protocolo tenía una falla de diseño. No importaba lo larga que fuera la contraseña. El ataque recibió el nombre de KRACK, de Key Reinstallation Attack.

¿Qué es SQL Injection? Cómo funciona y cómo evitarla

Thu, 15 Oct 2026 10:00:00 -0300

Escribes en el campo de usuario de una pantalla de login y, en lugar de un nombre, pegas un fragmento de código. El sitio no se queja: lo ejecuta. Así funciona, en esencia, SQL Injection, una falla descrita públicamente hace más de 25 años y que sigue apareciendo en incidentes de gran escala. Este post explica el mecanismo con un ejemplo que se entiende sin ser programador y muestra qué resuelve realmente el problema.

Get-NetFirewallRule: auditar reglas del firewall de Windows

Wed, 14 Oct 2026 08:00:00 -0300

El Firewall de Windows suele quedar encendido y olvidado. Cada instalador que "pide permiso" crea una regla, y años después el equipo tiene cientos de excepciones que nadie revisó. Leer eso en el panel gráfico es un sufrimiento. En PowerShell, Get-NetFirewallRule convierte toda la lista en objetos que puedes filtrar y exportar en segundos.

Qué es Get-NetFirewallRule

Get-NetFirewallRule forma parte del módulo NetSecurity, que ya viene en Windows 10, Windows 11 y Windows Server. Lee las reglas del Firewall de Windows Defender con seguridad avanzada y devuelve cada una con propiedades como DisplayName, Enabled, Direction, Action y Profile. La documentación oficial está en Microsoft Learn.

Cómo activar las actualizaciones automáticas de seguridad en Ubuntu

Tue, 13 Oct 2026 09:00:00 -0300

Firewall configurado, SSH con llave, fail2ban funcionando — y un servidor que nadie actualiza hace ocho meses. Es el estado más común de un VPS olvidado: la defensa perimetral está bien, pero openssl o el kernel arrastran fallos ya corregidos y públicos. El caso clásico es la filtración de Equifax en 2017, en la que el parche de Apache Struts existía meses antes de la intrusión. En Ubuntu, el paquete unattended-upgrades lo resuelve instalando solo los parches de seguridad.

Conficker: el gusano que explotó la falla MS08-067 de Windows

Sat, 10 Oct 2026 09:00:00 -0300

El 23 de octubre de 2008, Microsoft hizo algo poco común: lanzó un parche fuera de su ciclo mensual, sin esperar al siguiente martes de actualizaciones. El boletín MS08-067 corregía una falla en el servicio Server de Windows, y la empresa avisó de que ya circulaba código de ataque. Cerca de un mes después apareció el gusano que convirtió esa falla en epidemia: Conficker. Casi veinte años después, sigue citándose en los informes de seguridad como ejemplo de lo que cuesta dejar equipos sin parchear.

BadUSB: cómo un pendrive se vuelve teclado hacker y cómo protegerte

Thu, 08 Oct 2026 10:00:00 -0300

En enero de 2022, el FBI alertó a empresas estadounidenses sobre paquetes que llegaban por correo con una memoria USB dentro: a veces una carta falsa de un departamento de salud sobre reglas de COVID, a veces una caja de regalo "de Amazon" con una tarjeta de regalo de obsequio. Quien conectaba el dispositivo a la computadora no veía ningún archivo. Lo que ocurría era peor: la "memoria USB" se presentaba como teclado y empezaba a escribir sola. Eso es BadUSB.

Get-ScheduledTask: detecta tareas programadas sospechosas en Windows

Wed, 07 Oct 2026 09:00:00 -0300

Un malware que se ejecuta una vez y desaparece preocupa menos que el que vuelve después del reinicio. Una de las formas más baratas de asegurar ese regreso es crear una tarea programada: se dispara al iniciar sesión, cada hora o todos los lunes, sin pedirle nada al usuario. Si nunca has mirado la lista de tareas de tu Windows, probablemente no sabes qué hay ahí. PowerShell lo resuelve en una línea.

Cómo configurar el firewall UFW en Ubuntu en 5 pasos

Tue, 06 Oct 2026 09:00:00 -0300

Ubuntu trae UFW instalado, pero apagado. Quien levanta un VPS, instala nginx, Postgres y Redis y sigue de largo suele terminar con media docena de puertos abiertos a internet sin darse cuenta. UFW (Uncomplicated Firewall) es una capa simple sobre iptables/nftables que lo resuelve con unos pocos comandos. Este tutorial va paso a paso, incluido el error clásico que te deja afuera de tu propio servidor.

Qué es UFW y por qué usarlo

¿Qué es UFW en Ubuntu?

UFW es la interfaz de línea de comandos de Ubuntu para gestionar el firewall del kernel (netfilter) sin escribir reglas de iptables a mano. Defines qué conexiones de entrada y salida se permiten o se bloquean, y él las traduce a las reglas reales.

Qué es Google Dork y cómo los hackers hallan datos expuestos

Thu, 01 Oct 2026 09:00:00 -0300

Un analista de seguridad abre Google, escribe tres palabras con operadores especiales y en segundos encuentra un archivo .sql expuesto con nombres de usuario y contraseñas de una base de datos de comercio electrónico. No se utilizó ninguna herramienta de hacking ni se explotó ninguna vulnerabilidad. El servidor simplemente dejó ese archivo accesible al público — y Google lo indexó. Eso es Google Dorking.

¿Qué es un Google Dork?

¿Qué es exactamente un Google Dork?

Un Google Dork es una consulta de búsqueda avanzada que combina operadores especiales de Google para localizar información sensible expuesta públicamente — como archivos de configuración, paneles de administración y credenciales que nunca deberían haber sido indexados.

Test-NetConnection: probar puertos remotos y conectividad en PowerShell

Wed, 30 Sep 2026 09:00:00 -0300

El servidor del cliente responde al ping, pero la aplicación no abre. ¿El puerto 443 está realmente permitido en el firewall? En lugar de instalar telnet — que Microsoft eliminó de Windows por defecto — o depender del ping que solo prueba ICMP, PowerShell ofrece un cmdlet que hace todo eso a la vez: Test-NetConnection. Un comando reemplaza ping, telnet y traceroute, y entrega la salida como objeto que puedes filtrar y automatizar.

Hardening SSH en Linux: 7 ajustes esenciales para proteger el acceso remoto

Tue, 29 Sep 2026 09:00:00 -0300

Un servidor Linux con SSH en el puerto 22 expuesto a internet empieza a recibir intentos de login en cuestión de minutos tras ser aprovisionado. No es exageración: herramientas automatizadas escanean bloques de IP las 24 horas del día probando combinaciones de usuario y contraseña. La buena noticia es que proteger SSH no requiere semanas de estudio — basta con ajustar media docena de parámetros en el archivo de configuración.

Cómo saber si tu PC fue hackeada: 8 señales de alerta

Mon, 28 Sep 2026 09:00:00 -0300

El ratón se movió solo. El antivirus apareció desactivado y estás seguro de que no lo tocaste. O llegó una alerta de inicio de sesión de Gmail desde un dispositivo que no es tuyo. Estas señales suelen descartarse como un "cuelgue" o un "virus genérico", pero pueden indicar algo más serio: acceso no autorizado activo en tu equipo. Esta guía cubre los 8 indicadores concretos de compromiso y los pasos reales para cada escenario.

¿Qué es Kerberoasting? El ataque que explota Kerberos en Active Directory

Thu, 24 Sep 2026 09:00:00 -0300

Imagina que un empleado nuevo, con acceso básico al dominio de la empresa, puede extraer la contraseña del servidor de base de datos sin activar ninguna alerta — usando solo herramientas nativas de Windows. Eso es exactamente lo que permite el Kerberoasting. No se trata de un zero-day sofisticado: es una característica del propio protocolo Kerberos, y cualquier cuenta de dominio puede iniciar el ataque.

Cómo funciona Kerberos (en 60 segundos)

Kerberos es el protocolo de autenticación estándar en entornos Windows con Active Directory. El flujo básico tiene tres pasos:

Get-FileHash en PowerShell: verificar hash SHA256 de archivos

Wed, 23 Sep 2026 09:00:00 -0300

Descargaste el instalador de Firefox directamente desde el sitio oficial. El antivirus no protestó. Pero, ¿cómo saber si, entre el servidor de Mozilla y tu disco, nadie cambió ese archivo por una versión modificada? La respuesta está en dos líneas de PowerShell y un número de 64 caracteres hexadecimales.

Qué es Get-FileHash

Get-FileHash es un cmdlet nativo de PowerShell (disponible desde la versión 4.0) que calcula el valor de hash de cualquier archivo. Un hash es una "huella digital" matemática del contenido: cualquier cambio de un solo byte produce un hash completamente distinto. Si el hash que calculaste coincide con el que publicó el fabricante, el archivo es idéntico al que salió de su servidor.

fail2ban: cómo bloquear fuerza bruta en Linux paso a paso

Tue, 22 Sep 2026 09:00:00 -0300

Abre el /var/log/auth.log de cualquier servidor SSH expuesto a internet y vas a ver cientos — a veces miles — de intentos de inicio de sesión por día. Los bots rastrean todo el IPv4 en horas, probando combinaciones de usuario y contraseña en cada puerto 22 que encuentran. fail2ban es la respuesta estándar para esto: monitorea los logs en tiempo real y banea automáticamente cualquier IP que supere el límite de intentos que definas. Simple, ligero y eficiente.

Pass-the-Hash: cómo funciona el ataque NTLM sin necesitar la contraseña

Thu, 17 Sep 2026 10:00:00 -0300

Un atacante compromete una estación de trabajo en la red corporativa. No tiene la contraseña del administrador de dominio — pero eso no importa. Con el hash NTLM extraído de la memoria, se autentica en decenas de servidores como si fuera el propio administrador. Este es el Pass-the-Hash: un ataque que existe desde 1997, documentado por el investigador Paul Ashton, y que todavía hoy alimenta las etapas iniciales de ataques de ransomware y campañas APT.

Cómo desactivar las macros de Office y cerrar esa brecha clásica

Tue, 15 Sep 2026 10:00:00 -0300

Antes de que el Emotet fuera derribado en 2021, infectó a cientos de miles de máquinas en todo el mundo usando un método sorprendentemente simple: un archivo de Word con una macro que le pedía al usuario hacer clic en "Habilitar contenido". Una línea de código VBA descargaba el payload, creaba persistencia y abría la puerta al ransomware, al robo de credenciales y al movimiento lateral. El mismo mecanismo fue usado por el Qakbot, el Dridex y decenas de otros loaders. Las macros de Office no son una vulnerabilidad nueva — son un problema de configuración.

¿Qué es ARP Spoofing? Cómo el ataque envenena tu red

Thu, 10 Sep 2026 10:00:00 -0300

Estás en una red corporativa o en un café con Wi-Fi. Todo parece normal: la notebook se conecta, el navegador abre, el correo funciona. Lo que no sabes es que alguien en la misma red está interceptando cada paquete que envías antes de reenviarlo a su destino. Eso es ARP Spoofing — un ataque silencioso que opera en una capa que la mayoría de la gente nunca piensa en proteger.

Get-Acl: audita permisos de carpetas en Windows con PowerShell

Wed, 09 Sep 2026 09:00:00 -0300

En una auditoría interna, un administrador encontró una carpeta de proyectos confidenciales con el permiso Everyone — FullControl. Nadie sabía decir cuándo se había configurado así, y el registro de acceso mostraba que 40 cuentas habían leído archivos que no deberían. El Get-Acl habría revelado el problema en segundos.

¿Qué es una ACL en Windows?

¿Qué significa ACL en seguridad de sistemas?

ACL (Access Control List, lista de control de acceso) es la lista de permisos asociada a un archivo o carpeta en Windows — define quién puede leer, escribir, modificar o tener control total sobre ese recurso. Cada entrada de la lista se llama ACE (Access Control Entry) y contiene el usuario o grupo, el tipo de permiso y si es heredada de la carpeta padre o configurada directamente.

Cómo proteger el RDP de Windows contra fuerza bruta: 7 pasos

Tue, 08 Sep 2026 10:00:00 -0300

Mientras leés esto, probablemente alguien esté intentando adivinar la contraseña de tu servidor Windows vía RDP. No es exageración: según Kaspersky, los ataques de fuerza bruta a puertos RDP abiertos llegaron a 1,7 millones de intentos por día en Brasil durante picos de actividad — y Brasil históricamente concentra más del 60% de los ataques registrados en América Latina. El RDP es hoy la principal puerta de entrada para el ransomware. Si tenés el puerto 3389 abierto a internet sin las protecciones de abajo, es cuestión de cuándo, no de si.

IA en el SOC: cómo el machine learning detecta amenazas antes del ataque

Thu, 03 Sep 2026 09:00:00 -0300

Buena parte de este blog cubre cómo los criminales usan la IA para clonar voces, escribir phishing perfecto y reescribir malware en tiempo real. La otra mitad de la historia se comenta menos: la misma tecnología se convirtió en pieza central de la defensa en los Centros de Operaciones de Seguridad (SOC) de todo el mundo, y hoy es una de las pocas herramientas capaces de seguirle el ritmo al volumen de ataques automatizados que la propia IA generativa ayudó a crear.

LLMNR poisoning: cómo Windows entrega hashes de contraseña en la red

Thu, 03 Sep 2026 08:00:00 -0300

Alguien en la red escribe \\FILESRV en el Explorador de Windows — un carácter equivocado, el servidor con ese nombre no existe en el DNS. En vez de devolver un error y quedar ahí, Windows levanta la mano y le pregunta a gritos a todos en la red local: "¿alguien aquí se llama FILESRV?" El atacante, que está escuchando con el Responder corriendo en su laptop, responde de inmediato: "Soy yo." Windows lo acepta, intenta autenticarse — y le entrega el hash NTLMv2 del usuario conectado en bandeja de plata.

Get-Service en PowerShell: auditar servicios de Windows

Wed, 02 Sep 2026 09:00:00 -0300

Abres el Event Viewer después de una noche movida y encuentras errores de aplicación que nadie vio ocurrir. ¿La causa? Un servicio que debía estar en ejecución quedó detenido durante horas. El Get-Service de PowerShell es la herramienta que resuelve ese diagnóstico en segundos —y evita que te enteres del problema por el cliente.

Qué es Get-Service y cuándo usarlo

El Get-Service es un cmdlet nativo de PowerShell que devuelve objetos que representan los servicios instalados en Windows. Cada objeto trae propiedades como Name, DisplayName, Status y StartType —información suficiente para construir auditorías, alertas y scripts de remediación automatizados.

Malware polimórfico con IA: cómo BlackMamba engaña a los antivirus

Wed, 02 Sep 2026 09:00:00 -0300

Investigadores de HYAS probaron un keylogger contra una solución de EDR (Endpoint Detection and Response) considerada líder del mercado. El resultado, repetido varias veces: cero alertas, cero detecciones. El nombre del experimento es BlackMamba, y el truco no está en un exploit sofisticado, sino en usar inteligencia artificial para reescribir el propio malware cada vez que se ejecuta.

Qué es el malware polimórfico

¿Qué hace que un malware sea "polimórfico"?

El malware polimórfico es aquel capaz de alterar su propio código en cada ejecución, manteniendo la función maliciosa pero cambiando la "firma" —el patrón que las soluciones de antivirus tradicionales usan para reconocer amenazas conocidas. El concepto no es nuevo, pero la IA generativa hizo que este proceso sea mucho más barato y eficaz de producir.

Cómo saber si un archivo tiene virus: 3 métodos gratis

Tue, 01 Sep 2026 10:00:00 -0300

Descargas un instalador de un sitio que parece legítimo, el antivirus no se queja y haces doble clic. Tres días después notas que algo anda mal con la PC. Ese guion se repite con frecuencia porque el antivirus local no es omnisciente — depende de firmas actualizadas y de heurística que, contra malware nuevo, falla. Existe una capa extra, gratuita y de dos minutos, que deberías usar antes de abrir cualquier archivo sospechoso: VirusTotal combinado con la verificación de hash.

Data poisoning: qué es y cómo los atacantes envenenan modelos de IA

Mon, 31 Aug 2026 09:00:00 -0300

Un modelo de IA no nace sabiendo nada: aprende a partir de ejemplos. Esa dependencia es lo que hace posible uno de los ataques más sutiles contra la inteligencia artificial: envenenar los datos de entrenamiento para que el modelo aprenda algo incorrecto a propósito, sin dejar un rastro obvio de que algo fue manipulado.

Qué es el data poisoning

¿Qué es el envenenamiento de datos de IA?

El data poisoning es un ataque en el que se insertan deliberadamente información maliciosa o alterada en los datos usados para entrenar un modelo de inteligencia artificial, haciendo que aprenda patrones incorrectos o comportamientos ocultos definidos por el atacante. El objetivo generalmente no es bloquear el sistema, sino cambiar su comportamiento de forma sutil, manteniendo la apariencia de funcionamiento normal la mayor parte del tiempo.

Robo de cookie de sesión: el ataque que ignora tu 2FA

Mon, 31 Aug 2026 09:00:00 -0300

En enero de 2023, CircleCI divulgó una brecha que dejó incómoda a la comunidad de seguridad por un motivo específico: el atacante no rompió ninguna contraseña, no explotó ningún zero-day y no necesitó un solo código de autenticación. Un malware instalado en el dispositivo de un empleado extrajo el token de sesión SSO protegido por 2FA y, con esa cookie en la mano, mantuvo acceso irrestricto a la infraestructura de la empresa durante semanas. El segundo factor fue completamente ignorado, no porque estuviera mal configurado, sino porque el ataque ocurrió después del inicio de sesión.

Prompt injection: qué es y por qué es la mayor amenaza para los chatbots de IA

Fri, 28 Aug 2026 09:00:00 -0300

Chatbots de atención al cliente, asistentes de código, agentes que leen correo y agendan reuniones solos: la IA generativa se convirtió en infraestructura. Y toda esa infraestructura comparte un fallo estructural que la industria todavía no ha resuelto de verdad: el modelo no puede diferenciar con seguridad una instrucción legítima de un texto malicioso disfrazado de contenido común.

Ese problema tiene nombre: prompt injection. Y ocupa el primer lugar del ranking OWASP Top 10 for LLM Applications por segunda edición consecutiva.

Watering hole attack: cuando sitios legítimos se convierten en trampa

Fri, 28 Aug 2026 08:00:00 -0300

Una empresa del sector financiero cierra el día con normalidad. A la mañana siguiente, el equipo de seguridad detecta tráfico sospechoso en los servidores. El origen no es un correo de phishing, ni un adjunto malicioso, ni un empleado que hizo clic en un enlace dudoso. Es el sitio del organismo regulador del sector — el mismo que los empleados visitan cada semana para consultar normas y circulares. El sitio llevaba semanas comprometido. El ataque simplemente esperó a que llegara la víctima correcta.

Fileless malware: qué es y cómo engaña a tu antivirus

Thu, 27 Aug 2026 09:00:00 -0300

Instalas un buen antivirus, mantienes Windows actualizado y aun así tu máquina puede verse comprometida sin que aparezca ningún archivo sospechoso en el disco. Eso es lo que hace el fileless malware: el código malicioso vive enteramente en la RAM, se disfraza de herramientas legítimas del sistema y desaparece con el siguiente reinicio — pero antes ya hizo el daño.

¿Qué es el fileless malware?

El fileless malware, o malware sin archivo, es código malicioso que no escribe ejecutables en el disco duro. En vez de crear un archivo .exe o .dll que pueda detectarse por firma, funciona directamente en la memoria RAM, inyectando comandos en procesos legítimos del sistema operativo.

Get-LocalUser: auditar cuentas locales en Windows con PowerShell

Wed, 26 Aug 2026 08:00:00 -0300

¿Sabes exactamente cuántas cuentas de usuario existen en tu Windows en este momento? Mucha gente no lo sabe — y esa es justamente la brecha que un atacante con acceso inicial va a explotar: crear una cuenta oculta con nombre genérico, habilitarla con contraseña y mantener persistencia silenciosa. Get-LocalUser es el cmdlet que expone todo esto en una sola línea.

Qué es Get-LocalUser

El Get-LocalUser forma parte del módulo Microsoft.PowerShell.LocalAccounts, disponible de forma nativa desde PowerShell 5.1 (Windows 10 / Server 2016 en adelante). Devuelve todos los usuarios locales de la máquina — cuentas creadas manualmente, cuentas integradas del sistema (Administrator, Guest, DefaultAccount, WDAGUtilityAccount) y cuentas vinculadas a una cuenta Microsoft.

El modo incógnito no es privacidad: qué protege (y qué no)

Tue, 25 Aug 2026 09:00:00 -0300

Si abriste el modo incógnito esperando navegar de forma anónima, no estás solo — y tampoco tienes razón. Esta es probablemente la ilusión de privacidad más extendida en internet. El modo incógnito resuelve un problema bien específico e ignora varios otros. Saber la diferencia puede cambiar cómo piensas sobre la privacidad digital.

Lo que el modo incógnito realmente hace

El modo incógnito (o "pestaña privada", según el navegador) fue creado para un caso de uso bien delimitado: no guardar datos de navegación en el dispositivo local. Esto incluye:

Cómo detectar cryptojacking y eliminar el minero de tu PC

Mon, 24 Aug 2026 08:00:00 -0300

CPU al 90% sin ningún programa abierto. Portátil caliente todo el día. Ventilador acelerado mientras editas un texto. Estas señales pueden indicar que alguien está usando el procesador de tu computadora para minar criptomoneda, sin autorización, sin aviso y, en la mayoría de los casos, sin que te des cuenta durante meses.

Qué es el cryptojacking

El cryptojacking es el uso no autorizado del hardware de otra persona para minar criptomonedas. El atacante se queda con la moneda generada; tú pagas la factura de luz, sufres el desgaste del hardware y no entiendes por qué el sistema va lento.

Cómo ver puertos abiertos en Windows con Get-NetTCPConnection

Wed, 19 Aug 2026 09:00:00 -0300

¿Sabes qué puertos está exponiendo tu Windows en este momento? Una conexión abierta que no autorizaste puede ser malware comunicándose con un servidor de comando, un servicio mal configurado o simplemente un programa que se olvidó de cerrar el socket. PowerShell tiene un cmdlet hecho para esto: Get-NetTCPConnection. Es más potente que el viejo netstat y permite filtrar, combinar y automatizar directo en el pipeline.

Get-NetTCPConnection vs netstat: ¿cuál es la diferencia?

netstat -ano existe desde el DOS y todavía funciona — pero la salida es texto plano, difícil de filtrar sin redirigir a findstr. Get-NetTCPConnection devuelve objetos de PowerShell, así que puedes usar Where-Object, Select-Object, Sort-Object e incluso exportar a CSV sin esfuerzo. La diferencia práctica: filtrar por proceso, estado y dirección remota al mismo tiempo — algo que en netstat exige dos comandos y regex a mano.

Qué es DNS over HTTPS y cómo activarlo en Windows 11

Tue, 18 Aug 2026 09:00:00 -0300

Instalas HTTPS en todo, activas la VPN a veces, mantienes el firewall encendido. Pero hay un detalle que la mayoría olvida: cada vez que escribes una dirección en el navegador, tu dispositivo hace una consulta DNS — y esa consulta viaja en texto plano, sin cifrar. Tu proveedor de internet, el administrador de la red de la cafetería o de cualquier Wi-Fi público ve exactamente qué dominios visitaste. El sitio destino queda oculto; los dominios consultados, no.

Extensión maliciosa en Chrome: cómo identificarla y eliminarla

Mon, 17 Aug 2026 10:00:00 -0300

Instalas una extensión conversora de PDF, la usas una vez, te olvidas de que existe. Seis meses después, tu contraseña de Gmail cambia sin que tú lo hayas pedido. La extensión había cambiado de dueño en silencio y empezó a recolectar cookies de sesión — lo que equivale a tener tu inicio de sesión interceptado en todos los sitios que visitaste. No es un escenario hipotético: en enero de 2026, más de 840 mil navegadores fueron comprometidos por extensiones aparentemente legítimas que se convirtieron en espías digitales, según un relevamiento publicado por Techtudo.

Juice jacking: cómo los cargadores USB públicos roban tus datos

Thu, 13 Aug 2026 10:00:00 -0300

Estás en el aeropuerto, en la puerta de embarque, con la batería del celular en las últimas. Dos metros más adelante: una estación de carga USB gratuita. Parece suerte. Conectas el cable. Lo que pasa en los minutos siguientes no lo ves, pero un atacante que preparó esa toma puede estar viéndolo todo. Eso es el juice jacking.

¿Qué es el juice jacking?

El término fue acuñado en 2011 por el investigador Brian Krebs tras una demostración en la DEF CON, la mayor conferencia de seguridad del mundo. La premisa es técnica, pero directa: el conector USB no transporta solo energía, también transporta datos. Una estación de carga comprometida o un cable adulterado pueden hacer las dos cosas a la vez, sin que te des cuenta.

Cómo proteger el router Wi-Fi: 7 ajustes esenciales

Tue, 11 Aug 2026 09:00:00 -0300

Millones de personas nunca abrieron el panel de control de su propio router. El equipo llegó del proveedor, se enchufó y quedó así desde entonces — con la contraseña por defecto impresa en la etiqueta, el WPS activado y el firmware desactualizado. Para un atacante en la misma red Wi-Fi, ese combo alcanza para comprometer toda la red doméstica en cuestión de horas.

Los ajustes de abajo no requieren conocimiento técnico avanzado. Juntos, toman menos de 30 minutos en aplicarse.

Qué es el credential stuffing y cómo las contraseñas filtradas abren otras cuentas

Thu, 06 Aug 2026 09:00:00 -0300

Recibes una alerta: se detectó acceso a tu cuenta de Netflix en Bucarest, a las 3 de la madrugada. Nunca estuviste en Rumania. Pero la contraseña era correcta — así que el sistema lo dejó pasar. Lo que pasó no fue un hacker adivinando tu contraseña. Fue un ataque de credential stuffing, y es muy probable que la culpa sea de una filtración en un sitio del que ni recuerdas haberte registrado.

Robocopy: backup automático en Windows sin instalar nada extra

Wed, 05 Aug 2026 09:00:00 -0300

¿Tienes backup de tus archivos? Probablemente sí. Pero ¿ese backup corre solo, de forma incremental, sin necesitar software de terceros? Si la respuesta es "no" o "no sé", Robocopy resuelve esto ahora mismo — y ya está instalado en tu Windows.

¿Qué es Robocopy?

Robocopy (Robust File Copy) es una herramienta de línea de comandos incluida en Windows desde Vista. A diferencia de xcopy y del simple copiar-pegar del Explorador, fue hecha para copias serias: retoma transferencias interrumpidas, copia solo los archivos que cambiaron (backup incremental), soporta copia paralela multi-thread y genera un log detallado de todo lo que pasó.

Cómo saber si tu correo fue filtrado — y qué hacer después

Tue, 04 Aug 2026 09:00:00 -0300

En junio de 2026, una base de datos con 56 millones de direcciones de correo únicas recolectadas por infostealers —malware que captura credenciales en tiempo real— fue indexada en el mayor servicio de rastreo de filtraciones del mundo. Esas direcciones, junto con contraseñas, tokens de sesión y cookies, están disponibles para comprar en canales de la dark web en este mismo momento. La pregunta es simple y directa: ¿está la tuya ahí?

Keylogger: qué es, cómo detectarlo y cómo protegerte

Mon, 03 Aug 2026 07:00:00 -0300

Escribes la contraseña del banco, del correo corporativo, de la tarjeta de crédito. Del otro lado, un programa invisible está registrando cada tecla que presionas y enviando todo a un servidor controlado por otra persona. Eso es un keylogger, y no abre pop-ups, no deja rastro visible, no pide permiso.

¿Qué es un keylogger?

Un keylogger es cualquier herramienta —software o hardware— capaz de capturar y registrar las teclas presionadas en un teclado. El objetivo casi siempre es el mismo: obtener credenciales de acceso, datos bancarios o información sensible sin que la víctima se dé cuenta.

¿Qué es el typosquatting? Cómo una letra equivocada roba tus datos

Thu, 30 Jul 2026 09:00:00 -0300

Escribes itau.com.br en el navegador, pero te equivocas en una letra: itauu.com.br. La página que se abre es idéntica a la del banco: mismo azul, mismo logo, mismo formulario de inicio de sesión. Introduces tu documento de identidad y tu contraseña. El dinero no sale de inmediato, pero tus credenciales acaban de llegar al servidor de un criminal. Esto es typosquatting: una estafa sin malware explícito, sin phishing por correo, activada por un simple error de tecleo.

Cómo proteger tu Android: 8 configuraciones de seguridad

Wed, 29 Jul 2026 10:00:00 -0300

Estás en el metro, desbloqueas el celular con el rostro y dos minutos después alguien te arranca el aparato de la mano. El ladrón tiene el dispositivo desbloqueado, y con él, acceso a la app del banco, a WhatsApp, a las contraseñas guardadas en el navegador. Android tiene funciones para cortar exactamente ese camino, pero la mayoría vienen desactivadas por defecto o exigen configuración manual. Estas 8 configuraciones toman menos de 15 minutos en total y cambian por completo el perfil de riesgo de tu dispositivo.

¿Vale la pena una VPN? Lo que realmente protege (y lo que no)

Tue, 21 Jul 2026 15:00:00 -0300

Cada vez que un streamer o influencer hace publicidad de una VPN, la promesa es la misma: "vuélvete invisible en internet", "nadie sabrá qué haces en línea", "protección total contra hackers". Es marketing bien pagado, y la mayor parte exagera mucho sobre lo que una VPN realmente hace. Eso no significa que una VPN sea inútil: significa que vale la pena entender exactamente qué protege antes de decidir si necesitas una.

Backup 3-2-1 y 3-2-1-1-0: cómo proteger tus datos del ransomware

Tue, 21 Jul 2026 09:00:00 -0300

Una de las primeras cosas que hace el ransomware moderno al entrar en un sistema es ejecutar vssadmin delete shadows /all /quiet — un comando que borra en silencio todos los puntos de restauración de Windows. Después, antes de cifrar los datos de producción, el malware mapea los servidores de backup en la red y también los destruye. Si tu backup estaba conectado a la misma red cuando se disparó el ataque, se fue junto con todo lo demás. Justo ahí es donde entra la regla 3-2-1 — y donde necesita evolucionar.

Guía Definitiva de OPSEC y Privacidad Digital para 2026

Mon, 20 Jul 2026 11:00:00 -0300

La privacidad digital dejó de ser un tema exclusivo de hackers paranoicos y se convirtió en una necesidad básica de supervivencia moderna. En 2026, con el avance astronómico del robo de identidad, los ataques de ingeniería social automatizados con inteligencia artificial (como la famosa estafa del “hola, mamá” que ahora usa voces clonadas) y el rastreo incesante de los data brokers, ignorar tu seguridad online es el equivalente digital a dejar la puerta de tu casa abierta de par en par.

2FA con TOTP: cómo activarlo en Gmail, Instagram y WhatsApp

Wed, 15 Jul 2026 09:00:00 -0300

Más de 23 mil millones de credenciales circulan hoy en foros de cibercriminales. La mayoría corresponde a usuarios con una contraseña razonable, pero sin ninguna capa adicional de protección. Si el servidor del servicio que usas se ve comprometido, o si tu contraseña aparece en un ataque de credential stuffing, la contraseña sola no protege tu cuenta. Para eso existe justamente el 2FA, y en concreto el TOTP.

Qué es TOTP y cómo funciona

¿Qué es exactamente TOTP?

TOTP (Time-based One-Time Password) es un método de autenticación que genera un código de 6 dígitos cada 30 segundos, calculado localmente en tu celular a partir de una clave secreta, sin necesidad de internet ni SMS. El algoritmo (RFC 6238) usa HMAC-SHA1 combinando esa clave con la marca de tiempo actual. Como el servidor y la app parten de la misma clave y del mismo horario, llegan al mismo código, y cualquier código generado es válido solo durante una ventana de 30 segundos.

Ransomware: cómo protegerte y qué hacer si te infectan

Tue, 14 Jul 2026 08:00:00 -0300

En 2025, el 45% de las organizaciones que pagaron el rescate de un ransomware no recuperaron todos los datos — y aun así el número de víctimas sigue creciendo. El tiempo promedio entre el acceso inicial y el cifrado completo de los archivos bajó a menos de 24 horas, según Securelist. Eso significa que cuando notas el ataque, generalmente ya es tarde para reaccionar sin preparación previa.

La buena noticia: las defensas que funcionan son simples, baratas (a veces gratuitas) y se pueden implementar hoy.

SSH en Windows 11 sin PuTTY: OpenSSH nativo en 5 minutos

Thu, 09 Jul 2026 09:00:00 -0300

Durante años, conectarse a un servidor Linux desde Windows significaba descargar PuTTY, configurar sesiones, exportar claves en su formato propietario: un ritual que todo sysadmin se sabe de memoria. Eso terminó en 2018, cuando Microsoft agregó OpenSSH como componente opcional de Windows 10. En Windows 11 ya viene preinstalado. Probablemente tengas un cliente SSH completo en tu máquina ahora mismo y no lo sepas.

¿Qué es el OpenSSH nativo de Windows?

Microsoft portó OpenSSH —el mismo paquete que corre en Linux y macOS— como función opcional de Windows 10 (a partir de la versión 1809, de octubre de 2018) y como componente preinstalado en Windows 11. Esto incluye:

OPSEC: qué es y cómo aplicarlo para proteger tu privacidad

Tue, 07 Jul 2026 09:00:00 -0300

En 1966, el ejército de Estados Unidos creó un grupo secreto llamado Purple Dragon con una misión inusual: descubrir por qué el enemigo lograba anticipar cada movimiento de las tropas estadounidenses en Vietnam, aunque no interceptara comunicaciones cifradas. La conclusión fue incómoda — los propios soldados estaban revelando información crítica sin darse cuenta, mediante hábitos cotidianos, patrones de comportamiento y descuidos aparentemente triviales. El proceso que surgió de esa investigación recibió el nombre de OPSEC, y hoy tiene más sentido para cualquier persona con un smartphone que para un soldado en la selva.

Credential stuffing: qué es y cómo proteger tus cuentas

Fri, 03 Jul 2026 09:00:00 -0300

A las 4 de la madrugada del 1 de julio de 2025, un ejecutivo de una fintech brasileña fue despertado por una alerta urgente: acababa de ejecutarse una transferencia sospechosa de 18 millones de reales vía Pix (el sistema de pagos instantáneos de Brasil). En las horas siguientes, al menos otras seis instituciones financieras brasileñas registraron el mismo patrón de ataque coordinado — credenciales legítimas de clientes, obtenidas en filtraciones anteriores, usadas para entrar en cuentas reales. El Banco Central estimó que la pérdida potencial de la operación podría llegar a mil millones de reales. Eso es el credential stuffing funcionando a escala industrial.

Qué es el SIM swap: la estafa del chip que roba tu cuenta en Pix

Thu, 02 Jul 2026 10:30:00 -0300

La línea desapareció de tu celular sin aviso. Sin señal, sin SMS, sin datos — como si el chip se hubiera desactivado de repente. Horas después, revisas el estado de cuenta y ves que alguien vació la cuenta vía Pix (el sistema de pagos instantáneos de Brasil) mientras tú estabas imposibilitado de recibir cualquier código de verificación. Eso es el SIM swap: una estafa silenciosa que empieza en la operadora telefónica y termina en tu cuenta bancaria.

Cómo usar Bitwarden y dejar de reutilizar contraseñas (guía práctica)

Wed, 01 Jul 2026 09:00:00 -0300

Probablemente tengas decenas de cuentas online. ¿Y si te pregunto cuántas contraseñas realmente distintas usas? Si la respuesta es "variaciones de la misma", no estás solo — pero estás corriendo un riesgo concreto. Cuando un sitio se compromete y las credenciales terminan en un volcado de datos, lo primero que hacen los atacantes es probar esos datos en otros servicios. El ataque tiene nombre: credential stuffing. Y funciona precisamente porque la mayoría de la gente reutiliza contraseñas.

Cómo proteger tu router Wi-Fi: 9 configuraciones de seguridad

Tue, 30 Jun 2026 09:00:00 -0300

La laptop tiene antivirus, el móvil pide biometría para desbloquearse, pero el router que conecta a ambos a internet sigue con la contraseña de administrador que trae de fábrica, normalmente admin/admin o impresa en una etiqueta que cualquier visita puede fotografiar. Quien invade un router no necesita romper ningún cifrado: basta con encontrar la puerta que nadie cerró con llave. Esta guía cubre 9 configuraciones concretas, sin necesidad de cambiar de aparato, para convertir el router del eslabón más débil en una capa más de defensa de la red doméstica.

Windows 11 más seguro: 10 configuraciones para activar hoy

Tue, 23 Jun 2026 00:00:00 -0300

Instalar Windows 11 e ir haciendo clic en "Siguiente" hasta que aparezca el escritorio deja la máquina funcional, pero no la deja segura. El sistema ya viene con Microsoft Defender activo y el firewall encendido — eso es el piso, no el techo. Buena parte de las protecciones que realmente marcan la diferencia contra el ransomware, el robo de datos y los exploits de kernel está apagada esperando a que alguien entre en la configuración y la active manualmente. Esta guía cubre 10 ajustes concretos, sin necesidad de instalar ningún programa de terceros, para cerrar las brechas más comunes de quien usa Windows 11 sin ningún hardening adicional.

Passkeys: cómo funciona la autenticación sin contraseña de verdad

Wed, 17 Jun 2026 09:00:00 -0300

Las credenciales comprometidas lideran el ranking de vectores de ataque desde hace dos años seguidos, responsables del 22% de las brechas confirmadas, según datos compilados por investigadores de seguridad. No es phishing, no es explotación de una vulnerabilidad zero-day, no es malware sofisticado. Es alguien usando tu usuario y tu contraseña, generalmente comprados en un dump de base de datos de alguna empresa de la que ni te acordabas que tenías cuenta. Las passkeys se crearon para volver ese modelo de ataque estructuralmente irrelevante.

SolarWinds Serv-U: el CVE-2026-28318 tumba el servidor con un POST

Tue, 09 Jun 2026 10:00:00 -0300

El nombre SolarWinds carga un peso desde 2020 — cuando la cadena de suministro de la empresa se convirtió en vector de uno de los ataques más sofisticados jamás registrados contra agencias federales estadounidenses. En 2026, el nuevo capítulo involucra al Serv-U, el producto de transferencia de archivos de la empresa: un único POST HTTP, sin autenticación, basta para tumbar el servicio. La CISA confirmó explotación activa e incluyó el CVE-2026-28318 en el catálogo de vulnerabilidades explotadas en el campo.

CVE-2026-50751: Qilin explota un zero-day en el VPN de Check Point

Mon, 08 Jun 2026 09:00:00 -0300

Un atacante estuvo moviéndose por redes corporativas durante 31 días antes de que Check Point supiera que había un zero-day en explotación activa. El vector fue el CVE-2026-50751: un bypass de autenticación en el Remote Access VPN de la empresa. El desenlace para las víctimas: ransomware Qilin, Rclone para exfiltrar datos y el mismo actor que ya estaba golpeando a Palo Alto, Fortinet y F5 en paralelo.

Qué es CVE-2026-50751

CVE-2026-50751 es una falla crítica de bypass de autenticación en Check Point Remote Access VPN y Mobile Access. El problema está en la lógica de validación de certificados cuando el gateway está configurado para usar el protocolo IKEv1 —la versión heredada del protocolo de intercambio de claves IPsec, obsoleta desde hace años pero todavía activa en muchos entornos.

Hardening SSH: 5 configuraciones que cierran el 95% de los vectores

Wed, 03 Jun 2026 10:00:00 -0300

Levanta una instancia nueva en AWS, DigitalOcean o cualquier VPS con el puerto 22 expuesto y abre /var/log/auth.log diez minutos después. Verás algo así:

Jun 3 10:04:17 sshd[12884]: Failed password for invalid user admin from 45.142.212.100 port 41832 ssh2
Jun 3 10:04:19 sshd[12886]: Failed password for invalid user root from 45.142.212.100 port 41834 ssh2
Jun 3 10:04:21 sshd[12889]: Failed password for invalid user ubuntu from 185.234.219.45 port 22018 ssh2

Internet escanea el rango completo de IPs todo el tiempo. Scripts automatizados prueban root, admin, ubuntu, pi, y diccionarios de contraseñas comunes las 24 horas del día. La mayoría de los administradores de servidores ignora ese ruido de fondo, hasta el día en que una contraseña débil cede. Este post cubre los cinco cambios de configuración que reducen radicalmente la superficie de ataque del SSH sin complicar la operación del día a día.

CISA filtra credenciales de AWS GovCloud en GitHub durante 6 meses

Sat, 30 May 2026 09:00:00 -0300

La agencia estadounidense responsable de defender la infraestructura crítica de Estados Unidos contra ataques cibernéticos filtró sus propias credenciales en GitHub — y quedaron accesibles al público durante seis meses. El repositorio fue descubierto el 15 de mayo de 2026 por Guillaume Valadon, investigador de la firma GitGuardian, quien notificó a CISA. La historia llegó al conocimiento público a través de Krebs on Security días después, y generó una reacción inmediata del Congreso estadounidense.

MFA Fatigue: el ataque que hace que tu 2FA trabaje en tu contra

Wed, 27 May 2026 10:00:00 -0300

En abril de 2025, Marks & Spencer, una de las mayores cadenas minoristas del Reino Unido, se quedó con el e-commerce fuera de línea durante cinco días consecutivos. La causa no fue un zero-day sofisticado ni una vulnerabilidad desconocida. El grupo Scattered Spider llamó al centro de atención al cliente de la empresa, se hizo pasar por un empleado, consiguió un restablecimiento de contraseña, y a partir de ahí fue solo cuestión de tiempo. Pérdida estimada por el Cyber Monitoring Centre: entre 270 y 440 millones de libras. Todo empezó con una llamada de teléfono y una notificación de MFA aprobada por error.

CVE-2026-42897: zero-day en Exchange OWA explotado sin parche

Tue, 26 May 2026 09:00:00 -0300

Abres un correo en Outlook Web Access. No haces clic en ningún enlace, no ejecutas ningún archivo, no aceptas ningún prompt. Solo abres el correo. Y eso es suficiente para que un atacante ejecute JavaScript en el contexto de tu sesión autenticada en Exchange Server. Es exactamente lo que hace CVE-2026-42897, y se está explotando activamente desde el 14 de mayo de 2026, sin parche permanente disponible hasta esta fecha.

YellowKey: el zero-day que burla BitLocker en Windows

Wed, 20 May 2026 10:00:00 -0300

Imagina dejar un notebook corporativo encerrado en el auto por diez minutos. Está cifrado con BitLocker, protegido, ¿cierto? El CVE-2026-45585, apodado YellowKey, cuestiona exactamente esa premisa. El investigador Chaotic Eclipse publicó la prueba de concepto (PoC) el 12 de mayo y, ocho días después, Microsoft emitió mitigaciones de emergencia, todavía sin parche definitivo. En este momento, cualquier dispositivo Windows afectado en modo solo-TPM es vulnerable para quien tenga algunos minutos de acceso físico.

PowerShell para auditar logs de seguridad en Windows

Tue, 19 May 2026 09:00:00 -0300

Imagina que alguien pasó las últimas 48 horas intentando adivinar la contraseña de un usuario en tu servidor Windows. Sin monitoreo, nunca lo sabrías, hasta el día en que lo consiguiera. Windows registra todo esto en el Security Event Log. El problema es que el Event Viewer es lento, está lleno de clics y es imposible de automatizar. PowerShell resuelve eso en una línea.

Get-WinEvent: el cmdlet correcto para eventos de seguridad

Existe Get-EventLog (legado) y Get-WinEvent (moderno). Usa siempre Get-WinEvent: es significativamente más rápido en logs grandes, admite filtrado por hash directo en la consulta (sin traer todo a memoria primero) y ya no se sigue desarrollando en PowerShell 7+. Get-EventLog ni siquiera existe en PowerShell Core corriendo en Linux.