Privacidad on Locodigital

Kevin Mitnick: la historia del hacker más buscado del FBI

Sat, 26 Sep 2026 09:00:00 -0300

Era la 1:30 de la madrugada del 15 de febrero de 1995. En un apartamento en Raleigh, Carolina del Norte, agentes del FBI derribaron una puerta y arrestaron a un hombre de 31 años que vivía bajo una identidad falsa. Kevin Mitnick — el fugitivo más buscado de Estados Unidos por delitos informáticos — había sido encontrado. No por un error técnico. Por un ataque cometido en Navidad, contra el computador equivocado, del hombre equivocado.

Person of Interest: cómo la serie predijo la vigilancia masiva

Fri, 25 Sep 2026 09:00:00 -0300

En 2011, una serie de televisión mostraba una IA secreta llamada "the Machine" que analizaba cámaras, llamadas telefónicas, correos electrónicos y metadatos de celulares de todos los estadounidenses — en tiempo real — para predecir crímenes y amenazas terroristas. El gobierno lo sabía. Nadie más. En junio de 2013, Edward Snowden publicó documentos que demostraban que la NSA hacía exactamente eso con el programa PRISM. La ficción tenía dos años de ventaja.

Cómo saber si tu celular tiene spyware: 7 señales y qué hacer

Mon, 21 Sep 2026 10:00:00 -0300

Terminas una conversación privada y minutos después la otra persona ya sabe lo que se dijo, sin que tú se lo hayas contado. O notas que el celular se calienta sin ninguna app abierta, que la batería se agota más rápido de lo habitual. Este conjunto de señales tiene un nombre: spyware. El problema es que estos programas están diseñados justamente para ser invisibles. Esta guía muestra 7 indicadores concretos y los pasos para revisar tu Android ahora mismo.

Yahoo breach 2013: la mayor filtración de la historia, explicada

Sat, 12 Sep 2026 09:00:00 -0300

En agosto de 2013, alguien vulneró los servidores de Yahoo y copió los datos de todos los usuarios registrados en el servicio. Tres años después, la empresa todavía no lo sabía — o al menos eso le dijo al mundo. Cuando la verdad salió a la luz, en octubre de 2017, la cifra final fue impactante: 3.000 millones de cuentas comprometidas. Hasta hoy sigue siendo la mayor filtración de datos jamás confirmada públicamente.

¿Qué es ARP Spoofing? Cómo el ataque envenena tu red

Thu, 10 Sep 2026 10:00:00 -0300

Estás en una red corporativa o en un café con Wi-Fi. Todo parece normal: la notebook se conecta, el navegador abre, el correo funciona. Lo que no sabes es que alguien en la misma red está interceptando cada paquete que envías antes de reenviarlo a su destino. Eso es ARP Spoofing — un ataque silencioso que opera en una capa que la mayoría de la gente nunca piensa en proteger.

Agentes de IA: el riesgo de darle las llaves del PC al asistente

Thu, 10 Sep 2026 09:00:00 -0300

El chatbot respondía; el agente actúa. Ese es el giro de los últimos dos años: asistentes de IA que no solo escriben el correo, sino que lo envían; que no solo sugieren el pasaje, sino que lo compran; que navegan, hacen clic, descargan, instalan y tocan archivos — con tus permisos y, muchas veces, con tu tarjeta. La comodidad es real. El detalle que el entusiasmo atropella: todo lo que el agente puede hacer por ti, también lo puede hacer en tu contra, si alguien logra susurrarle las instrucciones equivocadas al oído.

Sextorsión con deepfake: qué hacer si usan tu imagen

Mon, 07 Sep 2026 09:00:00 -0300

La estafa empieza con un mensaje: "tengo fotos íntimas tuyas, paga o las envío a toda tu lista de contactos". La diferencia es que, hoy, la foto puede existir de verdad — sin haber sido tomada nunca. Herramientas de IA generan imágenes de desnudez falsas a partir de fotos comunes de redes sociales, y la extorsión construida sobre ellas tiene nombre: sextorsión con deepfake. El FBI alerta desde 2023 sobre el crecimiento de este formato, incluso contra adolescentes, y el patrón llegó a Brasil junto con las apps que "desnudan" fotos.

Cómo usar ChatGPT en el trabajo sin filtrar datos de la empresa: 7 cuidados

Tue, 01 Sep 2026 09:00:00 -0300

En abril de 2023, ingenieros de Samsung Semiconductor pegaron código fuente propietario y la transcripción de una reunión interna en ChatGPT — buscando solo corrección de errores y un acta de reunión más organizada. Fueron tres incidentes separados en pocas semanas. El problema: esos datos entraron al flujo de la herramienta y no pudieron recuperarse. Samsung prohibió el uso de IA generativa en la empresa poco después.

Este tipo de filtración no exige ninguna intrusión, ningún malware, ningún atacante. Es el propio empleado, con buena intención, entregando datos sensibles a una herramienta que no entiende completamente por dentro.

Robo de cookie de sesión: el ataque que ignora tu 2FA

Mon, 31 Aug 2026 09:00:00 -0300

En enero de 2023, CircleCI divulgó una brecha que dejó incómoda a la comunidad de seguridad por un motivo específico: el atacante no rompió ninguna contraseña, no explotó ningún zero-day y no necesitó un solo código de autenticación. Un malware instalado en el dispositivo de un empleado extrajo el token de sesión SSO protegido por 2FA y, con esa cookie en la mano, mantuvo acceso irrestricto a la infraestructura de la empresa durante semanas. El segundo factor fue completamente ignorado, no porque estuviera mal configurado, sino porque el ataque ocurrió después del inicio de sesión.

El modo incógnito no es privacidad: qué protege (y qué no)

Tue, 25 Aug 2026 09:00:00 -0300

Si abriste el modo incógnito esperando navegar de forma anónima, no estás solo — y tampoco tienes razón. Esta es probablemente la ilusión de privacidad más extendida en internet. El modo incógnito resuelve un problema bien específico e ignora varios otros. Saber la diferencia puede cambiar cómo piensas sobre la privacidad digital.

Lo que el modo incógnito realmente hace

El modo incógnito (o "pestaña privada", según el navegador) fue creado para un caso de uso bien delimitado: no guardar datos de navegación en el dispositivo local. Esto incluye:

Cómo detectar cryptojacking y eliminar el minero de tu PC

Mon, 24 Aug 2026 08:00:00 -0300

CPU al 90% sin ningún programa abierto. Portátil caliente todo el día. Ventilador acelerado mientras editas un texto. Estas señales pueden indicar que alguien está usando el procesador de tu computadora para minar criptomoneda, sin autorización, sin aviso y, en la mayoría de los casos, sin que te des cuenta durante meses.

Qué es el cryptojacking

El cryptojacking es el uso no autorizado del hardware de otra persona para minar criptomonedas. El atacante se queda con la moneda generada; tú pagas la factura de luz, sufres el desgaste del hardware y no entiendes por qué el sistema va lento.

Qué es DNS over HTTPS y cómo activarlo en Windows 11

Tue, 18 Aug 2026 09:00:00 -0300

Instalas HTTPS en todo, activas la VPN a veces, mantienes el firewall encendido. Pero hay un detalle que la mayoría olvida: cada vez que escribes una dirección en el navegador, tu dispositivo hace una consulta DNS — y esa consulta viaja en texto plano, sin cifrar. Tu proveedor de internet, el administrador de la red de la cafetería o de cualquier Wi-Fi público ve exactamente qué dominios visitaste. El sitio destino queda oculto; los dominios consultados, no.

Extensión maliciosa en Chrome: cómo identificarla y eliminarla

Mon, 17 Aug 2026 10:00:00 -0300

Instalas una extensión conversora de PDF, la usas una vez, te olvidas de que existe. Seis meses después, tu contraseña de Gmail cambia sin que tú lo hayas pedido. La extensión había cambiado de dueño en silencio y empezó a recolectar cookies de sesión — lo que equivale a tener tu inicio de sesión interceptado en todos los sitios que visitaste. No es un escenario hipotético: en enero de 2026, más de 840 mil navegadores fueron comprometidos por extensiones aparentemente legítimas que se convirtieron en espías digitales, según un relevamiento publicado por Techtudo.

PSN fuera de línea: el hackeo que expuso 77 millones de cuentas en 2011

Sat, 15 Aug 2026 10:00:00 -0300

El 20 de abril de 2011, millones de dueños de PS3 abrieron el menú online y se encontraron con el mismo mensaje: “PlayStation Network está en mantenimiento.” Una caída de unas horas era algo normal. Pero pasó un día, después dos, después tres. El “mantenimiento” no terminaba. Seis días después, Sony admitió lo que realmente había pasado: PlayStation Network había sido invadida y los datos de 77 millones de usuarios estaban comprometidos. Era una de las mayores filtraciones de datos de la historia hasta ese momento, y la empresa solo lo contó después de una semana.

Juice jacking: cómo los cargadores USB públicos roban tus datos

Thu, 13 Aug 2026 10:00:00 -0300

Estás en el aeropuerto, en la puerta de embarque, con la batería del celular en las últimas. Dos metros más adelante: una estación de carga USB gratuita. Parece suerte. Conectas el cable. Lo que pasa en los minutos siguientes no lo ves, pero un atacante que preparó esa toma puede estar viéndolo todo. Eso es el juice jacking.

¿Qué es el juice jacking?

El término fue acuñado en 2011 por el investigador Brian Krebs tras una demostración en la DEF CON, la mayor conferencia de seguridad del mundo. La premisa es técnica, pero directa: el conector USB no transporta solo energía, también transporta datos. Una estación de carga comprometida o un cable adulterado pueden hacer las dos cosas a la vez, sin que te des cuenta.

Cómo proteger el router Wi-Fi: 7 ajustes esenciales

Tue, 11 Aug 2026 09:00:00 -0300

Millones de personas nunca abrieron el panel de control de su propio router. El equipo llegó del proveedor, se enchufó y quedó así desde entonces — con la contraseña por defecto impresa en la etiqueta, el WPS activado y el firmware desactualizado. Para un atacante en la misma red Wi-Fi, ese combo alcanza para comprometer toda la red doméstica en cuestión de horas.

Los ajustes de abajo no requieren conocimiento técnico avanzado. Juntos, toman menos de 30 minutos en aplicarse.

Ingeniería social: el ataque que ningún antivirus bloquea

Mon, 10 Aug 2026 08:00:00 -0300

Una contraseña compleja, antivirus actualizado, firewall bien configurado — y aun así la empresa fue comprometida. ¿El vector de ataque? Un empleado recibió una llamada de alguien que decía ser del soporte de TI y entregó las credenciales sin cuestionar nada. La ingeniería social no ataca sistemas. Ataca personas. Y precisamente por eso es el método más eficaz que existe.

Qué es la ingeniería social

La ingeniería social es el conjunto de técnicas psicológicas usadas para manipular a las personas y hacer que revelen información confidencial, ejecuten acciones perjudiciales o concedan acceso a sistemas protegidos. El término describe la idea de "ingeniería" del comportamiento humano — explotar tendencias naturales como la confianza, la obediencia a la autoridad, el miedo y la urgencia para conseguir lo que un ataque puramente técnico no lograría.

Qué es el credential stuffing y cómo las contraseñas filtradas abren otras cuentas

Thu, 06 Aug 2026 09:00:00 -0300

Recibes una alerta: se detectó acceso a tu cuenta de Netflix en Bucarest, a las 3 de la madrugada. Nunca estuviste en Rumania. Pero la contraseña era correcta — así que el sistema lo dejó pasar. Lo que pasó no fue un hacker adivinando tu contraseña. Fue un ataque de credential stuffing, y es muy probable que la culpa sea de una filtración en un sitio del que ni recuerdas haberte registrado.

Cómo saber si tu correo fue filtrado — y qué hacer después

Tue, 04 Aug 2026 09:00:00 -0300

En junio de 2026, una base de datos con 56 millones de direcciones de correo únicas recolectadas por infostealers —malware que captura credenciales en tiempo real— fue indexada en el mayor servicio de rastreo de filtraciones del mundo. Esas direcciones, junto con contraseñas, tokens de sesión y cookies, están disponibles para comprar en canales de la dark web en este mismo momento. La pregunta es simple y directa: ¿está la tuya ahí?

Keylogger: qué es, cómo detectarlo y cómo protegerte

Mon, 03 Aug 2026 07:00:00 -0300

Escribes la contraseña del banco, del correo corporativo, de la tarjeta de crédito. Del otro lado, un programa invisible está registrando cada tecla que presionas y enviando todo a un servidor controlado por otra persona. Eso es un keylogger, y no abre pop-ups, no deja rastro visible, no pide permiso.

¿Qué es un keylogger?

Un keylogger es cualquier herramienta —software o hardware— capaz de capturar y registrar las teclas presionadas en un teclado. El objetivo casi siempre es el mismo: obtener credenciales de acceso, datos bancarios o información sensible sin que la víctima se dé cuenta.

¿Qué es el typosquatting? Cómo una letra equivocada roba tus datos

Thu, 30 Jul 2026 09:00:00 -0300

Escribes itau.com.br en el navegador, pero te equivocas en una letra: itauu.com.br. La página que se abre es idéntica a la del banco: mismo azul, mismo logo, mismo formulario de inicio de sesión. Introduces tu documento de identidad y tu contraseña. El dinero no sale de inmediato, pero tus credenciales acaban de llegar al servidor de un criminal. Esto es typosquatting: una estafa sin malware explícito, sin phishing por correo, activada por un simple error de tecleo.

Cómo proteger tu Android: 8 configuraciones de seguridad

Wed, 29 Jul 2026 10:00:00 -0300

Estás en el metro, desbloqueas el celular con el rostro y dos minutos después alguien te arranca el aparato de la mano. El ladrón tiene el dispositivo desbloqueado, y con él, acceso a la app del banco, a WhatsApp, a las contraseñas guardadas en el navegador. Android tiene funciones para cortar exactamente ese camino, pero la mayoría vienen desactivadas por defecto o exigen configuración manual. Estas 8 configuraciones toman menos de 15 minutos en total y cambian por completo el perfil de riesgo de tu dispositivo.

Cómo identificar phishing por correo: 7 señales prácticas

Tue, 28 Jul 2026 09:00:00 -0300

Recibes un correo de tu banco diciendo que tu cuenta fue bloqueada por actividad sospechosa. El logo está perfecto, el texto está bien escrito, el botón es rojo y te pide que confirmes tus datos "ahora mismo". Parece legítimo — y ese es justamente el problema. El phishing evolucionó mucho más allá de los errores ortográficos y los remitentes extraños de hace diez años. Con herramientas de IA generativa, los atacantes construyen mensajes que imitan con precisión el tono y la identidad visual de bancos, operadoras y organismos gubernamentales.

¿Qué es el vishing? La estafa de voz con IA que clona en 3 segundos

Thu, 23 Jul 2026 10:00:00 -0300

Recibes una llamada. Es la voz de tu jefe: el tono, la cadencia, el acento, todo coincide. Te pide que transfieras el equivalente a 50 mil reales con urgencia para cerrar un contrato. Dudas dos segundos y haces la transferencia. Solo horas después descubres que el "jefe" era una IA que clonó su voz con un clip de 3 segundos sacado de una reunión grabada.

Esto no es guion de serie. Es vishing, y los ataques crecieron 442% entre el primer y el segundo semestre de 2024, según el Global Threat Report 2025 de CrowdStrike. En el primer semestre de 2025 el volumen ya había superado todo 2024.

¿Vale la pena una VPN? Lo que realmente protege (y lo que no)

Tue, 21 Jul 2026 15:00:00 -0300

Cada vez que un streamer o influencer hace publicidad de una VPN, la promesa es la misma: "vuélvete invisible en internet", "nadie sabrá qué haces en línea", "protección total contra hackers". Es marketing bien pagado, y la mayor parte exagera mucho sobre lo que una VPN realmente hace. Eso no significa que una VPN sea inútil: significa que vale la pena entender exactamente qué protege antes de decidir si necesitas una.

Backup 3-2-1 y 3-2-1-1-0: cómo proteger tus datos del ransomware

Tue, 21 Jul 2026 09:00:00 -0300

Una de las primeras cosas que hace el ransomware moderno al entrar en un sistema es ejecutar vssadmin delete shadows /all /quiet — un comando que borra en silencio todos los puntos de restauración de Windows. Después, antes de cifrar los datos de producción, el malware mapea los servidores de backup en la red y también los destruye. Si tu backup estaba conectado a la misma red cuando se disparó el ataque, se fue junto con todo lo demás. Justo ahí es donde entra la regla 3-2-1 — y donde necesita evolucionar.

Guía Definitiva de OPSEC y Privacidad Digital para 2026

Mon, 20 Jul 2026 11:00:00 -0300

La privacidad digital dejó de ser un tema exclusivo de hackers paranoicos y se convirtió en una necesidad básica de supervivencia moderna. En 2026, con el avance astronómico del robo de identidad, los ataques de ingeniería social automatizados con inteligencia artificial (como la famosa estafa del “hola, mamá” que ahora usa voces clonadas) y el rastreo incesante de los data brokers, ignorar tu seguridad online es el equivalente digital a dejar la puerta de tu casa abierta de par en par.

Wi-Fi público falso: cómo el ataque evil twin roba tus contraseñas

Thu, 16 Jul 2026 09:00:00 -0300

Estás en el aeropuerto, vuelo demorado, batería al límite. Ves la red "AeropuertoFree" disponible — la misma que usas en esa terminal siempre — y te conectas sin pensarlo. A treinta metros de distancia, alguien con una notebook y un dispositivo del tamaño de un router está viendo cada solicitud que sale de tu celular. Eso es un ataque evil twin: sencillo de montar, invisible para la víctima y devastador si estás iniciando sesión en algo.

2FA con TOTP: cómo activarlo en Gmail, Instagram y WhatsApp

Wed, 15 Jul 2026 09:00:00 -0300

Más de 23 mil millones de credenciales circulan hoy en foros de cibercriminales. La mayoría corresponde a usuarios con una contraseña razonable, pero sin ninguna capa adicional de protección. Si el servidor del servicio que usas se ve comprometido, o si tu contraseña aparece en un ataque de credential stuffing, la contraseña sola no protege tu cuenta. Para eso existe justamente el 2FA, y en concreto el TOTP.

Qué es TOTP y cómo funciona

¿Qué es exactamente TOTP?

TOTP (Time-based One-Time Password) es un método de autenticación que genera un código de 6 dígitos cada 30 segundos, calculado localmente en tu celular a partir de una clave secreta, sin necesidad de internet ni SMS. El algoritmo (RFC 6238) usa HMAC-SHA1 combinando esa clave con la marca de tiempo actual. Como el servidor y la app parten de la misma clave y del mismo horario, llegan al mismo código, y cualquier código generado es válido solo durante una ventana de 30 segundos.

OPSEC: qué es y cómo aplicarlo para proteger tu privacidad

Tue, 07 Jul 2026 09:00:00 -0300

En 1966, el ejército de Estados Unidos creó un grupo secreto llamado Purple Dragon con una misión inusual: descubrir por qué el enemigo lograba anticipar cada movimiento de las tropas estadounidenses en Vietnam, aunque no interceptara comunicaciones cifradas. La conclusión fue incómoda — los propios soldados estaban revelando información crítica sin darse cuenta, mediante hábitos cotidianos, patrones de comportamiento y descuidos aparentemente triviales. El proceso que surgió de esa investigación recibió el nombre de OPSEC, y hoy tiene más sentido para cualquier persona con un smartphone que para un soldado en la selva.

Credential stuffing: qué es y cómo proteger tus cuentas

Fri, 03 Jul 2026 09:00:00 -0300

A las 4 de la madrugada del 1 de julio de 2025, un ejecutivo de una fintech brasileña fue despertado por una alerta urgente: acababa de ejecutarse una transferencia sospechosa de 18 millones de reales vía Pix (el sistema de pagos instantáneos de Brasil). En las horas siguientes, al menos otras seis instituciones financieras brasileñas registraron el mismo patrón de ataque coordinado — credenciales legítimas de clientes, obtenidas en filtraciones anteriores, usadas para entrar en cuentas reales. El Banco Central estimó que la pérdida potencial de la operación podría llegar a mil millones de reales. Eso es el credential stuffing funcionando a escala industrial.

Qué es el SIM swap: la estafa del chip que roba tu cuenta en Pix

Thu, 02 Jul 2026 10:30:00 -0300

La línea desapareció de tu celular sin aviso. Sin señal, sin SMS, sin datos — como si el chip se hubiera desactivado de repente. Horas después, revisas el estado de cuenta y ves que alguien vació la cuenta vía Pix (el sistema de pagos instantáneos de Brasil) mientras tú estabas imposibilitado de recibir cualquier código de verificación. Eso es el SIM swap: una estafa silenciosa que empieza en la operadora telefónica y termina en tu cuenta bancaria.

Cómo usar Bitwarden y dejar de reutilizar contraseñas (guía práctica)

Wed, 01 Jul 2026 09:00:00 -0300

Probablemente tengas decenas de cuentas online. ¿Y si te pregunto cuántas contraseñas realmente distintas usas? Si la respuesta es "variaciones de la misma", no estás solo — pero estás corriendo un riesgo concreto. Cuando un sitio se compromete y las credenciales terminan en un volcado de datos, lo primero que hacen los atacantes es probar esos datos en otros servicios. El ataque tiene nombre: credential stuffing. Y funciona precisamente porque la mayoría de la gente reutiliza contraseñas.

Cómo proteger tu router Wi-Fi: 9 configuraciones de seguridad

Tue, 30 Jun 2026 09:00:00 -0300

La laptop tiene antivirus, el móvil pide biometría para desbloquearse, pero el router que conecta a ambos a internet sigue con la contraseña de administrador que trae de fábrica, normalmente admin/admin o impresa en una etiqueta que cualquier visita puede fotografiar. Quien invade un router no necesita romper ningún cifrado: basta con encontrar la puerta que nadie cerró con llave. Esta guía cubre 9 configuraciones concretas, sin necesidad de cambiar de aparato, para convertir el router del eslabón más débil en una capa más de defensa de la red doméstica.

Windows 11 más seguro: 10 configuraciones para activar hoy

Tue, 23 Jun 2026 00:00:00 -0300

Instalar Windows 11 e ir haciendo clic en "Siguiente" hasta que aparezca el escritorio deja la máquina funcional, pero no la deja segura. El sistema ya viene con Microsoft Defender activo y el firewall encendido — eso es el piso, no el techo. Buena parte de las protecciones que realmente marcan la diferencia contra el ransomware, el robo de datos y los exploits de kernel está apagada esperando a que alguien entre en la configuración y la active manualmente. Esta guía cubre 10 ajustes concretos, sin necesidad de instalar ningún programa de terceros, para cerrar las brechas más comunes de quien usa Windows 11 sin ningún hardening adicional.

Estafa del "hola, mamá" en WhatsApp: cómo funciona y cómo evitarla

Mon, 22 Jun 2026 06:00:00 -0300

El mensaje llega de un número nuevo, pero con la foto y el nombre de alguien que conoces: "hola mamá, cambié de número, guarda este y borra el anterior". Minutos después, llega el pedido —un pago urgente, una factura que hay que pagar ahora mismo, una tarjeta que quedó bloqueada. No hay nada sofisticado en esto técnicamente. Es ingeniería social pura, y funciona porque explota la confianza que ya tienes en quien está al otro lado —o crees que está.

Edward Snowden: la filtración de la NSA que redefinió la privacidad

Sun, 21 Jun 2026 05:00:00 -0300

El 21 de junio de 1983 nació en Elizabeth City, Carolina del Norte, el hombre que trece años después pondría la vigilancia masiva de un gobierno en la primera plana de los diarios de todo el mundo. Edward Snowden cumple hoy 43 años, y la filtración que lleva su nombre sigue siendo la referencia obligada cada vez que el tema es vigilancia gubernamental, criptografía y privacidad en internet.

De analista de TI a contratista de la NSA

Snowden no era un hacker ni un agente secreto en el sentido clásico. Pasó brevemente por el ejército estadounidense, trabajó como asistente técnico en la CIA desde 2006 y, en 2009, se convirtió en contratista de Dell, prestando servicios de administración de sistemas para la propia NSA (National Security Agency). En marzo de 2013, por decisión propia, pidió traslado a Booz Allen Hamilton, otra contratista de la agencia, en una instalación en Hawái —según declaró después al South China Morning Post, justamente para tener acceso a más documentos clasificados antes de filtrarlos.

Passkeys: cómo funciona la autenticación sin contraseña de verdad

Wed, 17 Jun 2026 09:00:00 -0300

Las credenciales comprometidas lideran el ranking de vectores de ataque desde hace dos años seguidos, responsables del 22% de las brechas confirmadas, según datos compilados por investigadores de seguridad. No es phishing, no es explotación de una vulnerabilidad zero-day, no es malware sofisticado. Es alguien usando tu usuario y tu contraseña, generalmente comprados en un dump de base de datos de alguna empresa de la que ni te acordabas que tenías cuenta. Las passkeys se crearon para volver ese modelo de ataque estructuralmente irrelevante.

Filtración de datos de iFood: 1,2 millones de CPF expuestos

Tue, 16 Jun 2026 09:00:00 -0300

A finales de mayo de 2026, un actor de amenazas identificado como "bacen" publicó en BreachForums alegando tener 43,84 millones de registros de clientes de iFood —nombres, CPF (el equivalente brasileño al DNI o número de identificación fiscal), direcciones, teléfonos—. iFood respondió confirmando un incidente, pero con un número bastante distinto: 1,2 millones de usuarios, equivalente a cerca del 2% de la base de la plataforma. La historia es más interesante de lo que parece, porque el vector de entrada revela un punto ciego crónico en las empresas que operan en Brasil.

Hardening SSH: 5 configuraciones que cierran el 95% de los vectores

Wed, 03 Jun 2026 10:00:00 -0300

Levanta una instancia nueva en AWS, DigitalOcean o cualquier VPS con el puerto 22 expuesto y abre /var/log/auth.log diez minutos después. Verás algo así:

Jun 3 10:04:17 sshd[12884]: Failed password for invalid user admin from 45.142.212.100 port 41832 ssh2
Jun 3 10:04:19 sshd[12886]: Failed password for invalid user root from 45.142.212.100 port 41834 ssh2
Jun 3 10:04:21 sshd[12889]: Failed password for invalid user ubuntu from 185.234.219.45 port 22018 ssh2

Internet escanea el rango completo de IPs todo el tiempo. Scripts automatizados prueban root, admin, ubuntu, pi, y diccionarios de contraseñas comunes las 24 horas del día. La mayoría de los administradores de servidores ignora ese ruido de fondo, hasta el día en que una contraseña débil cede. Este post cubre los cinco cambios de configuración que reducen radicalmente la superficie de ataque del SSH sin complicar la operación del día a día.

Carnival Corporation: 6 millones de clientes filtrados por ShinyHunters

Fri, 29 May 2026 09:00:00 -0300

La mayor operadora de cruceros del mundo acaba de notificar a casi 6 millones de clientes sobre una filtración de datos. Carnival Corporation confirmó que el grupo ShinyHunters accedió a sus sistemas el 14 de abril de 2026 usando un vector que las empresas insisten en subestimar: un empleado engañado. Pasaportes, fechas de nacimiento, correos electrónicos y datos de programas de fidelidad de 5.995.277 personas quedaron expuestos. Las notificaciones empezaron a llegar a las bandejas de los clientes el 27 de mayo, más de seis semanas después de la intrusión.

ShinyHunters: 275 millones de registros de estudiantes expuestos

Mon, 18 May 2026 14:00:00 -0300

En la mañana del 7 de mayo de 2026, estudiantes de al menos 330 universidades de todo el mundo intentaron acceder a Canvas —el sistema de gestión de aprendizaje más usado en la educación superior estadounidense— y se encontraron con la pantalla de inicio de sesión reemplazada por un mensaje de extorsión. No era un error de servidor. Era el grupo ShinyHunters avisando que tenía 3,65 terabytes de datos y que Instructure tenía hasta el 12 de mayo para pagar. Esa escena, multiplicada por cientos de portales institucionales, resume bien el nivel que alcanzó la campaña del grupo en abril y mayo de 2026.

NextDNS: privacidad y bloqueo de anuncios a nivel de DNS

Sun, 10 May 2026 14:00:00 -0300

Cada vez que escribes una dirección en el navegador, pasa algo antes que cualquier otra cosa: tu dispositivo le pregunta a un servidor DNS "¿dónde queda ese sitio?". Esa pregunta —simple, invisible, automática— pasa por tu proveedor de internet por defecto. Y el proveedor las ve todas. Cada dominio que visitaste hoy, ayer, el mes pasado.

Esa constatación fue lo que me llevó a NextDNS. Y después de usarlo en el día a día, no vuelvo atrás.