A Daily Field Report on Things That Are Probably Fine
No. 31·Miércoles 28 Octubre 2026·Publicado a las 06:00 UK·Indicador Fine 3/5: No del todo bien
Apertura · Vulnerabilidades
PHP2Shell entra en el KEV con plazo hasta el jueves, y todas las shells confirmadas hasta ahora acabaron en un honeypot
La CISA afirma que se explota activamente; el único éxito publicado son 35 shells desde dos direcciones contra máquinas diseñadas para ser asaltadas, y esa distinción es la que le toca gestionar el miércoles.
confianza0.82
Dos fallos de uso tras liberación en el tratamiento de session.upload_progress del motor de PHP, CVE-2026-109618 y CVE-2026-109619, ambos con una puntuación de 9,2, ambos desencadenados durante el procesamiento de peticiones multipart, comercializados conjuntamente como PHP2Shell. El lunes la CISA confirmó la explotación activa, los añadió al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) y ordenó a las agencias federales aplicar el parche antes del jueves. Ese es el titular, y el titular es cierto.
Lo de fondo es más interesante. SecurityWeek cifra el paso de las sondas a las shells operativas en 35 shells lanzadas desde dos direcciones IP el 24 de octubre, contra honeypots. Wiz, que lo observa desde la divulgación pública del 21 de octubre, informa de intentos de explotación y de que no se ha observado ninguna intrusión exitosa. Un pulse de OTX, 31 horas posterior a la primera noticia, lo resume con más desparpajo: actores UNC que aprovechan código de explotación público contra infraestructuras públicas, empresariales y educativas. Nadie miente aquí. Tres personas describen la misma marea desde tres playas distintas, y solo una de ellas lleva cámara.
Lo que esto significa en una sala con una ventana de parcheo: el exploit funciona, de forma fiable, a partir de código público, que es la única parte de la pregunta a la que realmente necesita respuesta. Siemens, Schneider Electric y ABB ya han confirmado que algunos de sus productos están afectados, que es la manera tradicional que tiene el sector industrial de avisarle de que esto llevará meses. La CISA ha fijado el jueves. La marea cambia el viernes, y siempre es viernes.
Por qué importaSi ejecuta PHP en cualquier lugar donde un extraño pueda enviar una petición multipart, hoy está dentro del alcance, y el reloj es federal.
Todo «explotado activamente en el mundo real» nace como «el honeypot de alguien cumplió su función»; la distancia entre esas dos frases es donde se le va la semana entera.
— Sturgeon's Revelations · Probably Fine Daily No. 31
Cada mañana06:00 UK
Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.
Un correo al día. El periódico completo. Cancela la suscripción con un clic.
§2
Principales noticias
El resto de las últimas 24 horas, con fuentes.
Vulnerabilidades
El fallo con cuatro nombres recibe un quinto: CISA KEV, junto con Adobe Commerce
El propio feed del KEV incluyó dos incorporaciones fechadas el 27 de octubre: CVE-2026-48356, una carga sin restricciones de archivos de tipo peligroso en Adobe Commerce y Magento que conduce a la ejecución arbitraria de código (EPSS 0.30582), y CVE-2026-111497, un valor de retorno sin comprobar en Google Brotli que permite a un atacante remoto no autenticado corromper la memoria de estado adyacente del decodificador, revelar el contenido de la memoria, provocar una denegación de servicio o, potencialmente, ejecutar código a partir de un flujo comprimido manipulado (EPSS 0.55483). El fallo de Brotli es el que esta semana se ha llamado Node2Shell, HTTP2Shell y Broccoli2Shell según el comunicado de prensa que le haya llegado primero, y alcanza a paquetes de Node.js, .NET, PowerShell y Python. Microsoft ha publicado actualizaciones de emergencia de .NET. Un decodificador, cuatro nombres, una conversación muy larga sobre inventario de activos.
Por qué importaBrotli es una dependencia de sus dependencias; que figure en el KEV significa que la pregunta ya no es si lo distribuye, sino dónde.
UNM Health desvía ambulancias, y quienes lo bloquearon ofrecen gratis la llave al hospital
El Sistema de Salud de la Universidad de Nuevo México pidió a la población que no acudiera a su hospital principal de Albuquerque, canceló citas en más de 30 clínicas, suspendió cirugías ambulatorias y desvió ambulancias a centros de Albuquerque y Santa Fe durante unas dos horas el lunes. La publicación de filtración del actor etiquetado como BYOD asegura tener 36.000 equipos, los dos bosques de AD que cubren el campus principal y el sector hospitalario, GPO, dos bases de datos Oracle y datos personales de estudiantes y empleados, incluidos números de la Seguridad Social. Un día después, el mismo actor publicó una actualización en la que ofrecía la clave de descifrado gratis solo para el sector hospitalario, alegando que no sabían que los equipos asistían a pacientes en tiempo real. La reivindicación apareció primero en ransomlook, con la prensa 4,1 horas por detrás.
Por qué importaSu patrimonio de identidades es el radio de la explosión: dos bosques y las GPO que los unen son toda la organización, no un departamento.
El interruptor de apagado tuvo una buena semana: GMO pide a sus clientes que apaguen, Moldavia retira más de 80 servicios
El grupo japonés GMO instó a los clientes de Onamae Desktop Cloud a desconectarse de internet y apagar sus ordenadores después de que un intruso que ya había vulnerado la plataforma amenazara con detonar ransomware; un resumen muy difundido cifra la exposición en hasta 26.739 servidores de clientes, afirma que se rechazó la exigencia de unos 8.000 millones de yenes (unos 50 millones de dólares) y que los datos robados fueron publicados. En el mismo ciclo informativo, Moldavia dejó fuera de línea más de 80 servicios públicos tras un ciberataque. Dos organizaciones, dos continentes, un solo control, y es el control que nadie incluye en un modelo de madurez porque puntúa cero en automatización.
Por qué importaSi su plan de incidentes no contempla una forma documentada y autorizada de apagar rápidamente sistemas de gran tamaño, no tiene un plan de incidentes, tiene un ensayo.
El lunes fue el día más ruidoso en sitios de filtraciones de la ventana: 291 de 524 elementos llegaron el 27 de octubre
El pulso de Ninja Signal para hoy contabiliza 203 reivindicaciones en sitios de filtraciones en siete días procedentes de 40 de los 267 grupos monitorizados, con Booba Project disparado a 10 reivindicaciones frente a las 2,4 esperadas según su ritmo previo, qilin a 44 frente a 25,41 y everest a 10, todos con p inferior a 0,001. El panorama diario es más severo: Everest publicó 28 elementos el 27 de octubre frente a una mediana de cero en los demás días, Booba Project 26, Play 24, The Gentlemen 21 (y 31 el día anterior con otra grafía), WhiteArmor 13. Las víctimas nombradas son el surtido habitual de organizaciones corrientes: el Ayuntamiento de Bristol, reivindicado por Wallstreet; dos cooperativas de crédito estadounidenses, por qilin; el municipio belga de Machelen, por rhysida, con 1,3 millones de archivos y unos 2,9 TB. Una salvedad que conviene tener presente: ransomlook y ransomware.live se replican mutuamente con desfases de entre una y veinticinco horas, de modo que buena parte de la corroboración aparente es la misma publicación vista dos veces.
Por qué importaLa publicación por lotes parece una campaña en un gráfico; cuente víctimas distintas, no filas distintas del feed, antes de informar a nadie.
Las claves de modelos son ya botín: un ladrón de llaveros de desarrolladores, archivos de instrucciones envenenados y una brecha en los registros de decisiones de agentes
Cuatro elementos distintos, una misma dirección. El stealer «Aokigahara» apunta a los llaveros de desarrolladores y a los asistentes de IA, y expone sesiones de IA, datos empresariales e infraestructura de desarrollo desde un único endpoint. Una técnica observada en circulación abusa de la forma en que los asistentes de programación consumen archivos locales de instrucciones en Markdown, lo que difumina la frontera entre un documento de texto y una acción ejecutable. Warp reveló una brecha en un proveedor externo que expuso registros de decisiones de agentes de IA y telemetría de usuarios. Y los entornos de pruebas de intrusión Cairn AI sin protección llevan comprometiéndose sistemáticamente desde aproximadamente el 20 de octubre mediante campañas automatizadas que insertan tareas maliciosas. Entretanto, el NIST, la CISA y la NSA han publicado una guía que trata los agentes descontrolados como incidentes que hay que ensayar, donde la pregunta difícil es con qué autoridad actuó el agente, y esa respuesta debe existir antes que el incidente.
Por qué importaLa identidad, la memoria y los registros de los agentes son ya activos de producción con consecuencias de producción; inventaríelos antes de que otro los enumere por usted.
Tailscale parchea en público casi una docena de fallos de SSH, porque los detalles salieron antes que las correcciones
El equipo de seguridad de Tailscale trabaja en cerca de una docena de vulnerabilidades en Tailscale SSH que podrían usarse para robar credenciales, bloquear servidores y obtener privilegios de root. Los detalles del conjunto, bautizado como «Tailworm», se hicieron públicos durante el fin de semana antes de que se publicara ninguna corrección, de modo que el proveedor escribe ahora los parches con público. No se informa de explotación en estos elementos; hay, sin embargo, un mapa publicado.
Por qué importaTailscale SSH está en el camino hacia cosas que usted considera internas; averigüe si lo tiene habilitado antes de decidir que esta es la historia de otro.
Un 9,5 en el firmware UEFI, por debajo del sistema operativo y por debajo de Secure Boot
Comunicado esta mañana en el Mastodon de la infosec con enlace a Ars Technica: CVE-2026-97631 en TianoCore EDK II, el código UEFI de código abierto integrado en el firmware por la mayoría de los fabricantes de servidores y proveedores de nube, con una puntuación de 9,5. El fallo es un problema de corrupción de memoria en un componente ICMP que permite la ejecución de código antes de que cargue el sistema operativo, y las publicaciones son explícitas: Secure Boot no le protege, porque la propia cadena de confianza es el punto débil. La corrección consiste en actualizaciones de firmware de su proveedor de servidores o de nube. Una salvedad sobre la fuente, dicha con claridad: en nuestra ventana esto llegó a través de publicaciones en redes sociales y una noticia enlazada, no a través de NVD ni de KEV.
Por qué importaSi aterriza por debajo del sistema operativo, ninguna de la telemetría de sus endpoints es testigo; esto es una campaña de firmware de proveedores, no un martes de parches.
El sitio de filtraciones que no puede confirmar que sus víctimas existan
La ráfaga de reivindicaciones de Everest del 27 de octubre llegó con descripciones de víctimas generadas por IA, varias de las cuales se niegan a seguir el juego: de «SleepEx LabRetriever», el texto dice que no corresponde a ninguna organización verificable y que la construcción inusual del nombre sugiere que podría ser ficticio o de prueba; «Burris & MacOmber» y «Point Robotics» reciben un trato similar; otras tres dicen simplemente N/A. En otro lugar, el actor ULose publicó en su sitio de filtraciones dos entradas llamadas «zzq-test» y «probe-011637cabbf94076», con el código de país «zz», que es lo que parece probar en producción cuando la producción es extorsión. Y WhiteArmor se tomó un respiro en un día de intensa publicación para decirle a KuCoin, por escrito, que no es un grupo hacktivista y que se centra principalmente en la extorsión de datos y el ransomware, lo más parecido a una declaración de principios que ha dado esta semana.
Por qué importaLos recuentos de víctimas en los sitios de filtraciones son artefactos de marketing; trate un nombre sin verificar como no verificado hasta que algo ajeno al sitio de filtraciones diga lo contrario.
confianza0.68
§3
Oculto
La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.
Una verdadera historia de vulnerabilidad entre feeds, una montaña de publicaciones de filtraciones replicadas y dos feeds que se detuvieron en el mismo minuto.
Exception 01
PHP2Shell: la noticia se adelantó 31 horas al feed de amenazas, y las fuentes discrepan sobre el impacto
El mismo par de CVE aparece en cyber-news, OTX y RSS. Cyber-news informó primero; OTX le siguió 31 horas después con un pulse que describe a actores UNC contra objetivos públicos, empresariales y educativos, mientras que Wiz informa de intentos y de ninguna intrusión exitosa. Las 35 shells operativas procedían de honeypots, de modo que demuestran que el código del exploit funciona, no que alguien haya sido comprometido. No presente el pulse de OTX como compromiso confirmado de víctimas.
confianza0.60
Wrong if
Una víctima con nombre, o telemetría de un entorno que no sea un honeypot, que muestre un compromiso exitoso.
Watch
El plazo del KEV del jueves, las notas de parche de los proveedores y si OTX o Wiz revisan sus afirmaciones en las próximas 48 horas.
Las entradas del KEV que tenemos no son los CVE de PHP
Cyber-news y RSS informan de que la CISA añadió los fallos de PHP2Shell al KEV con plazo hasta el jueves. Las dos entradas del KEV en nuestra propia ventana, fechadas el 27 de octubre, son CVE-2026-48356 (Adobe Commerce y Magento) y CVE-2026-111497 (Google Brotli). Ambas cosas pueden ser ciertas, y la lectura más sencilla es que nuestra extracción del KEV está incompleta, pero no podemos confirmar la inclusión de PHP a partir de los datos del catálogo de que disponemos.
confianza0.35Speculative
Wrong if
Leer el catálogo KEV en vivo y encontrar CVE-2026-109618 y CVE-2026-109619 listados, o no.
La ráfaga del 27 de octubre puede ser un volcado, no una oleada
291 de los 524 elementos de la ventana corresponden al 27 de octubre, con Everest, Booba Project, Play, The Gentlemen y WhiteArmor disparándose frente a medianas cercanas a cero. No se detectaron agrupaciones temporales, y ransomware.live suele adelantarse a ransomlook entre una y dos horas en las mismas publicaciones, lo cual es réplica y no corroboración. Esto es compatible tanto con una publicación por lotes o un efecto de rastreo como con una campaña coordinada.
confianza0.40Speculative
Wrong if
Si los elementos del 27 de octubre comparten una misma hora de rastreo o un relleno retroactivo, o si las mismas publicaciones llevan fechas anteriores en otros lugares, se trata de un artefacto de ingestión.
Watch
Los recuentos diarios de estos grupos los días 28 y 29 de octubre; una vuelta a la línea base significa un lote puntual.
NVD y SafePay enmudecen ambos a las 2026-10-27T01:31
El feed de NVD (81 elementos) y el actor SafePay (9 elementos) se detienen en el mismo minuto. Un corte idéntico en una fuente de vulnerabilidades y en un único grupo de ransomware sin relación apunta a un límite de recopilación compartido, no a dos hechos independientes del mundo real. La ráfaga de SafePay del 26 de octubre seguida de un silencio total es, con toda probabilidad, el mismo artefacto.
confianza0.50Speculative
Wrong if
Nuevas entradas de NVD o publicaciones de SafePay con marca de tiempo posterior a 2026-10-27T01:31.
Watch
La próxima extracción de NVD; si sigue vacía, la canalización está rota y debe tratarse como tal.
Nothing to seeNo se encontraron agrupaciones temporales en ningún punto de la ventana. La mayor parte del solapamiento de ransomware entre fuentes es ransomlook y ransomware.live llevando dos veces la misma publicación de filtración, lo cual no es corroboración independiente por muy satisfactorio que resulte en un gráfico. La afirmación de OTX sobre «actores UNC» no incluye ningún detalle de atribución que podamos ver. Muchas de las entidades «x:» son duplicados de las entidades «actor:» y no deben contarse dos veces.
Deep read: 525 artículos leídos
§4
Previsión
Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.
Today’s calls
DueCallConfidence
DueWed 4 Nov7 days
Ninguna organización con nombre y que no sea un honeypot será notificada públicamente en estos feeds como comprometida con éxito mediante CVE-2026-109618 o CVE-2026-109619 antes del 4 de noviembre.
Wrong ifCualquier informe de proveedor, noticia de prensa o publicación de sitio de filtraciones que nombre a una organización víctima real comprometida a través de PHP2Shell.
Booba Project publicará al menos cinco reivindicaciones más en sitios de filtraciones a través de ransomware.live o ransomlook antes del 4 de noviembre.
Wrong ifMenos de cinco nuevas publicaciones de víctimas de Booba Project o booba team en ese periodo.
Los elementos de NVD con marca de tiempo posterior a 2026-10-27T01:31 aparecerán en nuestro feed antes del 31 de octubre, lo que confirmará que el silencio fue un límite de ingestión y no una interrupción en origen.
Wrong ifEl feed de NVD sigue vacío pasado el 31 de octubre, lo que lo convierte en un problema de nuestra canalización y, por tanto, nuestro.
A public proof of concept or in-the-wild exploitation report appears for the Magento BlockStrap flaw CVE-2026-103849.
Called Sun 18 Oct · due Wed 28 Oct
No PoC or exploitation report for CVE-2026-103849 (Magento BlockStrap flaw) appears in today's feeds; the KEV addition is for CVE-2026-48356, a different Adobe Commerce CVE, and the due date of 28 October has now passed
Tailscale publishes a fix or advisory for the Tailscale SSH port-forwarding privilege-escalation flaws by 2 November 2026.
Called Mon 26 Oct · due Mon 2 Nov
Tailscale published an advisory warning of SSH privilege-escalation flaws and announced patches are being rushed, but fixes not yet released as of today's feeds; deadline is 2 November
Fresh PHP2Shell indicators — exploitation source addresses or shell artefacts beyond the two IPs seen on 24 October — will appear in news or OTX reporting.
Called Tue 27 Oct · due Fri 6 Nov
OTX and SecurityWeek reporting on 2026-10-27 describe exploitation from two IPs on 24 October and broader UNC actor exploitation, with additional IOC details published beyond the original two addresses
Glosario de términos ante los que se espera que asientas
En el mundo real(n.)
Observado en una máquina colocada en internet con el propósito expreso de ser observada. Ascendida, en la versión que circula, a la máquina que usted posee, y luego al plazo que le han dado.
§5
Desde nuestro perímetro
Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.
Nuestro propio perímetro, últimas 24 horas: el sensor local Adversary DNA perfiló 40 fuentes hostiles —25 escáneres, 13 rastreadores automáticos y dos operadores dirigidos— que entre todas enviaron 7.920 peticiones; 13 pasaron del reconocimiento a intentos de explotación, y cuatro grupos de direcciones compartían una huella de comportamiento. La lista de la compra se ha actualizado a los nuevos tiempos: 34.156.56.233, hostilidad 5,6 sobre 10, envió 228 peticiones a dos de nuestros sitios pidiendo /.env.anthropic, /.aws/.env, /.aws/credentials y /.aws/config, es decir, claves de API de modelos archivadas junto a claves de nube como si siempre hubieran estado ahí. 35.241.239.86 lanzó 117 peticiones en aproximadamente medio segundo, todas contra rutas de credenciales de AWS. Tres direcciones, 24 peticiones, nos rociaron con CVE-2017-9841 a través de /vendor/phpunit/phpunit/, y ocho IP compartían una misma huella (DNA 672df8667b3d), que es una sola herramienta o un solo operador rotando direcciones mientras la hoja de cálculo las cuenta como ocho adversarios. En total, 4.549 direcciones de 96 países tocaron el perímetro, 1.746 de ellas vistas aquí por primera vez hoy. Los registros en bruto nunca salieron del servidor; solo lo hicieron estos hallazgos.
40fuentes hostiles perfiladas
7.920peticiones procedentes de ellas
13llegaron a explotación
4clústeres de ADN compartido
6,7/10hostilidad máxima
4.549direcciones en nuestro perímetro
1.746vistas por primera vez hoy
96países
La lista WTF
WTF #1
Buscando sus claves de IA
34.156.56.233, un escáner (hostilidad 5,6/10), envió 228 peticiones a 2 de nuestros sitios, buscando /.env.anthropic, /.aws/.env, /.aws/credentials, /.aws/config.
Por qué es llamativoFue directo a las credenciales de IA: /.env.anthropic. Las claves de API de modelos figuran ya en la lista de la compra de los escáneres junto a las claves de nube.
attribution: desconocidoTue 27 Oct, 22:00 UTC
Detail
cadena de ataque: reconocimiento → militarización · DNA 9427f6c77bf1
WTF #2
El visitante más decidido
20.24.222.184, un escáner (hostilidad 6,5/10), envió 42 peticiones a uno de nuestros sitios, buscando /file2.php, /general.php, /666.php, /file.php.
Por qué es llamativoLa mayor hostilidad del panel; su cadena de ataque llegó hasta la militarización.
attribution: desconocidoTue 27 Oct, 22:00 UTC
Detail
cadena de ataque: reconocimiento → militarización · DNA dfef4501b216
WTF #3
Probando CVE-2017-9841 con nosotros
3 direcciones enviaron 24 peticiones con la forma de una explotación de CVE-2017-9841 (/vendor/phpunit/phpunit/…), entre ellas 185.238.231.89, 94.26.0.103, 185.177.72.29.
Por qué es llamativoUn exploit conocido y con nombre propio que sigue rociándose por internet; nuestro perímetro lo vio hoy, diga lo que diga el año de las notas del parche.
attribution: desconocido
Detail
familia de sondeo: phpunit-rce
WTF #4
Mismo ADN, distintas direcciones
94.180.163.194, un rastreador automático (hostilidad 1,2/10), envió 60 peticiones a uno de nuestros sitios, buscando /threat-check/%22Next%20Exploit%20Opportunities%22%3A%20How%20a%20Thre.
Por qué es llamativo8 IP comparten una misma huella de comportamiento (DNA 672df8667b3d): una sola herramienta o un solo operador rotando direcciones: 94.180.163.194, 85.208.96.208, 185.191.171.10, 85.208.96.204, 85.208.96.197 y más.
attribution: desconocidoTue 27 Oct, 08:00 UTC
Detail
cadena de ataque: reconocimiento → explotación · DNA 672df8667b3d
WTF #5
La lista de la compra más extraña
20.53.239.152, un escáner (hostilidad 6,4/10), envió 46 peticiones a uno de nuestros sitios, buscando /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php.
Por qué es llamativoPidió archivos que casi nadie más pide: /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
attribution: desconocidoTue 27 Oct, 08:00 UTC
Detail
cadena de ataque: reconocimiento → militarización · DNA 83562bd8e880
WTF #6
Con prisas
35.241.239.86, un escáner (hostilidad 5,5/10), envió 117 peticiones a uno de nuestros sitios, buscando /.aws/.env, /.aws/credentials.bak, /.aws/config, /.aws/credentials.
Por qué es llamativoLanzó 117 peticiones en unos 0,5 segundos.
attribution: desconocidoTue 27 Oct, 22:00 UTC
Detail
cadena de ataque: reconocimiento → militarización · DNA 18e39c4b41fb
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
203claims, 7 days
40of 267 groups active
qilin44 this week · surging
N0n24 this week
Whitearmor11 this week · new
SurgingBooba Project — 10 claims in 7 days against 2.4 expected from its own prior rate (p < 0.001)
Surgingqilin — 44 claims in 7 days against 25.4 expected from its own prior rate (p < 0.001)
Surgingeverest — 10 claims in 7 days against 2.8 expected from its own prior rate (p < 0.001)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.008)
Surgingpayoutsking — 3 claims in 7 days against 0.6 expected from its own prior rate (p = 0.024)
Surgingrhysida — 4 claims in 7 days against 1.2 expected from its own prior rate (p = 0.039)
UpTransportation — 2.1× its own prior share (70 claims, 33 expected)
UpEducation — 2.0× its own prior share (52 claims, 26 expected)
UpEnergy & Utilities — 1.5× its own prior share (38 claims, 25 expected)
UpHealthcare — 1.4× its own prior share (116 claims, 81 expected)
22% of claims carry no sector label.
Brand churn
Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 210 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 11 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 35% of its claims on Germany (6.8× every other brand's share); N0n put 34% of its claims on Transportation (7.7× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.4 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 92% of its claims on Wednesdays, half of them in 12:00–15:59 UTC; safepay released 63% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 193 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 37% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.
Un correo al día. El periódico completo. Cancela la suscripción con un clic.
§8
Colofón
Cómo se elaboró esta edición, sin rodeos.
La edición 31 fue elaborada por una máquina y verificada por código. Se leyó íntegramente cada elemento publicado por 13 feeds públicos de amenazas en las 24 horas hasta las 05:05 de la hora del Reino Unido (525 elementos): estadísticas calculadas por código, cada segmento leído por Claude Sonnet y la estructura sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada historia cita los elementos en los que se apoya; las historias cuyos justificantes no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de publicar (0 hoy). Las previsiones se evalúan públicamente en ediciones posteriores. «Desde nuestro perímetro» son datos de ataque en vivo de nuestros propios servidores. Costee de esta edición: 1,02 $. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la ha editado a mano, lo cual es o bien el objetivo o bien el problema.
525items read
24hour window
$1.02cost of this edition
05:05 UTCgenerated
Fuentes de esta mañana
RansomLook100ok
Signal Atlas98ok
Security news88ok
NVD81ok
atlas41ok
ransomware.live41ok
infosec.exchange36ok
signal:ioc-family12ok
AlienVault OTX12ok
RSS11ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 525|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $1.02|STATUS: NO DEL TODO BIEN
OWNER: la máquina|EDITOR: las normas|CALLS OPEN: 3|NEXT REVIEW: mañana 06:00 UK