Un congelador de supermercado en Estonia alcanzó 50 °C esta semana, y no fue un mal funcionamiento, sino un ciberataque. Seis países fueron afectados durante la noche. Tiendas en Irlanda retiraron todos sus alimentos refrigerados, un carnicero en Bélgica desechó cientos de kilos de carne, y algunas de estas empresas aún usaban contraseñas predeterminadas en 2026. Esto es lo que la gente no entiende sobre ciberseguridad: ya no se trata solo de tu cripto o tus contraseñas. Alguien sentado en una habitación en algún lugar puede arruinar el suministro alimentario de todo un país con una laptop. El próximo ciberataque no vaciará tu monedero, podría vaciar tu refrigerador.

Alguien puede desbloquear tu teléfono con una foto impresa de tu rostro, y la mayoría de ustedes ni siquiera lo saben. La mayoría de los teléfonos Android utilizan una cámara 2D básica para el desbloqueo facial, sin infrarrojos ni detección de profundidad, solo una coincidencia de imagen plana. Investigadores han demostrado durante años que una simple foto es suficiente para omitirlo. Esa es la “seguridad” que protege tus aplicaciones bancarias, tus monederos de criptomonedas, tus frases semilla, toda tu vida. Y cada vez que lo usas, tu cámara frontal procesa un fotograma de tu rostro y lo almacena localmente en carpetas del sistema que nunca has abierto. Sin cifrar, sin protección, simplemente ahí sentado. Si estás usando el desbloqueo facial en algo que no sea un dispositivo insignia con detección de profundidad adecuada, cambia a huella dactilar o un PIN fuerte hoy. Tu rostro es la única contraseña que nunca podrás restablecer.

La aplicación que descargaste para proteger tus cuentas podría haber sido la razón por la que fuiste hackeado. Microsoft Authenticator en Android tenía una vulnerabilidad que permitía a aplicaciones maliciosas robar los tokens de acceso a tu cuenta de trabajo sin necesidad de ningún permiso. Es una aplicación sentada en tu teléfono haciendo lo que le da la gana. La falla estaba en el componente broker, básicamente la parte que maneja la autenticación entre aplicaciones. No estaba verificando adecuadamente, por lo que cualquier aplicación aleatoria podía entrar y tomar tus tokens como si les pertenecieran. Microsoft ya lo parchó (CVE-2026-80097, CVSS 8.6, que es de severidad alta), pero si no has actualizado recientemente tu aplicación Authenticator, podrías seguir estando expuesto. Esta es la parte que me molesta. La gente instala aplicaciones autenticadoras porque le dicen que es lo seguro que hacer, y lo es. Pero cuando la herramienta de seguridad misma tiene una brecha, la mayoría de las personas nunca pensarían en revisarlo. Actualiza tus aplicaciones. No solo tu sistema operativo del teléfono, sino también tus aplicaciones. Especialmente las que más confías. Porque son las que dejas de controlar.

Hice una publicación sobre lo que estaba sucediendo en internet hace unos días y alcanzó 2,3 millones de visitas. Desde entonces, ha empeorado. ¿Esa vulnerabilidad de Brotli que OpenAI encontró por accidente? Evolucionó. Ahora la llaman HTTP2Shell y afecta a todos los navegadores principales, todos los sistemas operativos, y aplicaciones como Discord, Slack, VS Code, 1Password. Aún no hay soluciones disponibles para todo. El CEO de Cloudflare dijo: “Cada semana sentirás que el cielo se cae”. Polymarket abrió literalmente una apuesta sobre si se divulgarán más fallas importantes este mes. Los hackers utilizaron modelos de IA para automatizar ataques simultáneos a más de 400 bancos en América Latina, sin parar, las 24 horas. X tenía un error que permitía iniciar sesión en la cuenta de un extraño solo ingresando tu número de teléfono. El monedero de hardware Keystone fue comprometido a través de su API de Shopify; se filtraron nombres y direcciones residenciales de clientes. Una empresa japonesa de nube perdió 27 000 servidores, y Japón activó por primera vez en su historia una defensa cibernética de nivel militar. Actualiza tu navegador. Actualiza tus aplicaciones. Cambia tus contraseñas. Activa la autenticación de dos factores en todas partes. Octubre aún no ha terminado con nosotros.

Un desarrollador acaba de depositar $2,000 en bitcoin en un servidor con una vulnerabilidad en PHP y desafió a todo internet a robarlo. 17 horas después, el dinero sigue allí. La gente está colapsando el servidor, pero nadie puede ejecutar realmente la explotación. ¿Recuerdan cuando publiqué sobre Marcus Hutchins exponiendo todas esas explotaciones falsas generadas por IA en GitHub? Esto es la prueba. La vulnerabilidad es real. Pero usarla realmente es una historia completamente diferente. $2,000 sentados en un servidor roto y todo internet no puede tocarlos.

Un solo error puso en riesgo todos los navegadores, todos los sistemas operativos y casi todas las aplicaciones que usas. La vulnerabilidad del error Brotli, que OpenAI descubrió accidentalmente mientras realizaba pruebas de penetración en sus propios sistemas, ha evolucionado de “node2shell” a algo que los investigadores llaman HTTP2Shell, y el alcance del daño es masivo. No hablamos de una sola biblioteca anymore. Hablamos de todos los navegadores principales: Chrome, Edge, Firefox. Todos los sistemas operativos, incluyendo iOS. Aplicaciones Electron como Discord, Slack, VSCode, 1Password, Notion. Herramientas de imágenes, lectores de PDF, software de archivos, aplicaciones de IA para escritorio, incluso curl. Básicamente, si toca internet o maneja datos comprimidos, probablemente esté afectado. El CVE original CVE-2026-111497 ya era grave: ejecución remota de código sin autenticación a través de datos comprimidos maliciosos. Pero el alcance se amplió para cubrir casi todo lo que usas diariamente. Las correcciones aún no están disponibles para todos los servicios afectados. Actualiza todo ahora mismo. Primero los navegadores, luego las aplicaciones de escritorio y luego las herramientas de desarrollo. Si algo ofrece una actualización hoy, no hagas preguntas, simplemente instálala. Internet funciona sobre una base agrietada y las grietas acaban de volverse mucho más grandes.

Este chico de TI acaba de salvar a toda una empresa de un ataque de ransomware a medianoche, y esta historia es loca. El tipo estaba viendo Netflix cuando su teléfono empezó a sonar locamente con alertas de servidor. Se conectó remotamente y vio cómo los archivos de la empresa cambiaban de nombre uno por uno en tiempo real, todo volviéndose un sinsentido confuso. Este hombre agarró las llaves de su coche y condujo hasta la oficina como un loco. Llegó a las 12:20 AM, en completa oscuridad, y fue de escritorio en escritorio sacando manualmente los cables LAN de 40 computadoras, con las manos temblorosas. La nota de rescate en cada pantalla decía: “Páguenos toda su ganancia mensual en bitcoin dentro de las 72 horas”. Su jefe lo llamó y le dijo: “Págales, necesitamos esos archivos para el lunes”. Él dijo que no. Las empresas que pagan son atacadas nuevamente. Intentó restaurar desde copias de seguridad, pero el servidor de respaldos también había sido infectado. La misma red, el mismo ransomware. El tipo dice que se quedó en blanco por completo. Pero tenía una última carta. Todos los miércoles, en su camino a casa, hacía manualmente una copia de seguridad de los datos de la empresa en un disco duro externo y lo guardaba en el cajón de su escritorio. Un hábito que casi dejó de hacer porque le parecía una pérdida de tiempo. Ese disco duro en el cajón salvó a toda la empresa. Reconstruyó todo durante el fin de semana, y el lunes por la mañana se enviaron todos los envíos. Su jefe rió y dijo: “Me alegra que no hayas enviado ese bitcoin”. La semana siguiente, dos discos duros más aparecieron sobre su escritorio. El hábito aburrido que nadie quiere hacer fue lo único que realmente funcionó.

OpenAI encontró accidentalmente una vulnerabilidad que podría comprometer millones de servidores, y ni siquiera estaban buscándola. Intentaban impedir que sus modelos de IA accedieran a internet durante el entrenamiento, y crearon un entorno completamente offline para ellos. Mientras realizaban pruebas de red en esa configuración, descubrieron una vulnerabilidad en Brotli, una de las bibliotecas de compresión más utilizadas en internet. La falla permite a un atacante ejecutar su propio código en cualquier sistema afectado enviando datos comprimidos maliciosos. No se necesita inicio de sesión ni cuenta de usuario; solo envíalos y ya estás dentro. Brotli está integrado en Node.js, Bun, Envoy y prácticamente cualquier cosa que maneje tráfico web comprimido. La vulnerabilidad se corrigió técnicamente en febrero, pero en ese momento nadie sabía que se trataba de un problema de seguridad. Durante meses, el parche existió, pero casi nadie lo aplicó porque parecía una actualización rutinaria. A veces, los descubrimientos más aterradores ocurren cuando ni siquiera estás buscando.

Lo están llamando “Octubre Negro” y no creo que la gente se dé cuenta de lo grave que es. En las últimas 48 horas se han producido más de 27 incidentes cibernéticos importantes. No en un mes. No en una semana. En 48 horas. CUALQUIERA de estos sería normalmente la historia más importante del año. PHP: vulnerabilidad crítica en el software que ejecuta el 80% de la web. Gravedad de 9,2 sobre 10. Node.js: falla de alta gravedad que permite a los atacantes tomar el control de servidores remotamente. Afecta a las versiones 22, 24 y 26. Java: también comprometido. Tres de los lenguajes de programación más utilizados en el mundo afectados al mismo tiempo. GitLab: una brecha de gravedad perfecta 10 sobre 10 en todas las versiones desde 2014. Railway: plataforma de alojamiento comprometida. Claves de API de OpenAI, Claude y Stripe posiblemente expuestas. Signal: un error que podría dejar activados tu micrófono y cámara después de colgar. WordPress: los hackers robaron las claves de un creador de plugins e instalaron puertas traseras en sitios web. LiteLLM: una herramienta de IA descargada 3,4 millones de veces al día fue envenenada con un robacontraseñas. Y esto ni siquiera es la mitad de la lista. Se informa que miles de enjambres de agentes de IA están escaneando y atacando servidores vulnerables en este momento. Automatizados. Las 24 horas. Los investigadores de seguridad dicen que esto podría ser el inicio temprano de un incidente cibernético global que nadie entiende completamente aún. Si tienes un sitio web, usas servicios en la nube, almacenas claves de API en plataformas de alojamiento o usas cualquier software construido con PHP, Node.js o Java, es posible que estés afectado. Actualiza todo. Cambia tus claves de API. Cambia tus contraseñas en servicios críticos. Activa la autenticación de dos factores en todos los lugares donde aún no lo hayas hecho. Esta no es una semana normal en internet. Esto es algo diferente.

Otra vez Revolut, hermano. Una filtración de datos que expuso nombres, direcciones, fotos de pasaportes e historial de transacciones de criptomonedas. Hace unas semanas. Un hombre pudo haber sido asaltado a punalada por $800,000 debido a esos datos filtrados. La semana pasada. Hoy, un problema de servicio que afecta a millones de usuarios. “Su dinero y sus datos están seguros”, dicen ellos. En este punto, ¿cuántas veces más tiene que aparecer Revolut en las noticias por razones equivocadas antes de que la gente empiece a hacerse preguntas serias? Tus datos se filtran. Tu servicio se cae. Y todo lo que recibes es “lamentamos cualquier inconveniente”. Un robo de $800,000 no es un inconveniente, hermano.