01 · Supply Chain
Más de 100,000 sitios terminaron mostrando una trampa
Brevo sufrió un ataque de cadena de suministro después de que
un atacante utilizara una API key de Cloudflare comprometida.
Durante aproximadamente cinco horas y media, un Cloudflare Worker
inyectó código malicioso en páginas de Brevo y en archivos JavaScript
utilizados por sitios de sus clientes.
Algunos visitantes terminaron viendo un falso CAPTCHA de Cloudflare
que les indicaba copiar y ejecutar un comando en su computadora,
una técnica conocida como ClickFix.
El incidente terminó sirviendo contenido malicioso a visitantes
de Brevo y de más de 100,000 sitios de clientes.
La parte incómoda es precisamente esa: la víctima no necesariamente
estaba navegando por una página extraña.
02 · ClickFix
Sí. Era un Google Doc real.
Un investigador de seguridad recibió un enlace a un documento
legítimo de Google enviado por un atacante que se hacía pasar
por un ejecutivo de marketing del sector de criptomonedas.
Dentro del documento aparecía una falsa falla de descifrado
acompañada de instrucciones para supuestamente solucionar
el problema.
Seguirlas podía terminar instalando un infostealer en macOS
o iniciando una cadena maliciosa mediante PowerShell en Windows.
El Google Apps Script asociado al documento también podía recopilar
la IP pública y geolocalización del visitante y buscar wallets
de criptomonedas.
Revisar el dominio sigue siendo importante.
Creer que un dominio legítimo convierte automáticamente el contenido
en seguro es otra historia.
03 · IA + Supply Chain
¿Confías en tu agente de IA? Mira también qué instala.
Investigadores de AIR Security presentaron Plugin4Shell,
una vulnerabilidad de ejecución remota de código sin interacción
del usuario que afectaba a Claude Code, OpenAI Codex,
GitHub Copilot y Gemini CLI.
El problema estaba relacionado con la forma en que estos agentes
verificaban plugins mediante SHA pinning. Un atacante con control
del repositorio del plugin podía conseguir que una referencia
aparentemente válida terminara resolviendo hacia código malicioso.
El resultado podía ser ejecución de código sin que el usuario
tuviera que hacer clic en un payload.
Estamos delegando cada vez más acciones a agentes.
La seguridad de aquello en lo que confían empieza a importar
tanto como la seguridad del propio modelo.
04 · LATAM
Tu navegador también puede jugar para el otro equipo
Una operación de malware bancario denominada KREMLIN,
observada en Brasil y activa al menos desde mayo de 2025,
utiliza señuelos que suplantan aproximadamente una docena
de bancos.
La cadena de ataque utiliza loaders JavaScript,
instaladores personalizados y extensiones maliciosas
para Google Chrome y Microsoft Edge.
El objetivo incluye el robo de credenciales,
tokens de sesión y otros datos sensibles.
Una extensión del navegador puede parecer pequeña.
Los permisos que tiene dentro de nuestra sesión no necesariamente lo son.
La idea que me deja esta semana
Durante años repetimos el mismo consejo:
no abras enlaces raros, revisa el dominio y desconfía
de aquello que parece sospechoso.
Sigue siendo un buen consejo.
Solo que ya no alcanza.
Porque esta semana la trampa podía aparecer detrás de
un Google Doc, un CAPTCHA, una extensión del navegador
o un plugin aparentemente confiable.
Quizá el siguiente reto no sea solamente detectar lo raro,
sino aprender a cuestionar también lo que parece completamente normal.