Apertura · Vulnerabilidades

CISA añade un día cero de Cisco cuya única carga útil es que el cortafuegos se venga abajo

CVE-2026-76418, en Secure Firewall ASA y FTD, figura en KEV y se explota activamente; es el segundo día cero en las VPN de cortafuegos de Cisco desde agosto.

confianza 0.90

Nos decimos que el cortafuegos es el perímetro. No lo es. Es un dispositivo expuesto a internet que ejecuta código en C ajeno, termina la VPN SSL de acceso remoto de personas que no están en el edificio, y el miércoles CISA añadió CVE-2026-76418 al catálogo de vulnerabilidades explotadas conocidas (KEV) porque un atacante sin autenticar puede alcanzarlo y forzar su reinicio. Cisco ha publicado el parche. Los atacantes llegaron antes, que es lo que significa «día cero» una vez retirado el maquillaje comercial.

Las cifras son a la vez la broma y la credibilidad. CVSS 8,6, explotación activa y un EPSS de 0,00574: un sistema de puntuación que sigue ahí murmurando que es poco probable que se explote mientras la explotación ocupa el titular. SecurityWeek lo contabiliza como el segundo día cero explotado en las VPN de cortafuegos de Cisco desde agosto. Dos días antes, el NVD publicó CVE-2026-106174, un fallo de bloqueo indebido en FortiOS 8.0.0 y 7.6.4 a 7.6.6 que permite a un atacante sin autenticar tumbar la interfaz de gestión HTTPS con peticiones manipuladas. Otro fabricante, el mismo estante del mismo armario.

La versión incómoda es que la denegación de servicio no es un resultado menor. El equipo que cae es el que sostenía la VPN, los registros, la política y buena parte de su relato sobre segmentación, y al reiniciarse se descubre cuánto de la arquitectura era en realidad un único dispositivo con un logotipo muy seguro de sí mismo. Parchéelo hoy, porque es viernes, y el viernes es cuando sube la marea.

Por qué importaSi usa ASA, FTD o una versión afectada de FortiOS, los fallos son remotos, no requieren autenticación y ya se están utilizando; a los plazos de KEV no les importará su congelación de cambios.

Fuentes

Today’s revelation

Un plazo que usted no fijó sigue siendo un plazo. El calendario de publicación del sitio de filtraciones es el único calendario del incidente que nunca se ha retrasado.

— Sturgeon's Revelations · Probably Fine Daily No. 33

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§2

Principales noticias

El resto de las últimas 24 horas, con fuentes.

Vulnerabilidades

GitLab alcanza un CVSS 10,0 y alguien lo probó contra el propio servidor de Alpine Linux

CISA añadió CVE-2026-97229 a KEV el 29 de octubre: un desbordamiento de enteros en GitLab Community y Enterprise Edition que permite a un usuario sin autenticar ejecutar código en el servidor mediante una expresión regular manipulada, con puntuación 10,0. Alpine Linux informó el 28 de octubre de que un atacante intentó explotarlo contra el GitLab del propio proyecto Alpine una semana después de que GitLab publicara la corrección. El EPSS es de 0,18, recordatorio de que el EPSS es un pronóstico meteorológico y KEV es alguien de pie bajo la lluvia. Si aloja GitLab usted mismo, el activo en juego es lo que contiene su CI/CD, sus ejecutores y sus credenciales de despliegue.

Por qué importaUna ejecución remota de código sin autenticar en un servidor de compilación no es un problema de calidad del código: es una llave de todo lo que ese servidor tiene permiso para publicar.

confianza 0.85

Fuentes

Actores de amenazas

KeyDrift roba las claves que cifran su tráfico entre sedes, y nadie se pone de acuerdo sobre quién está detrás

Los atacantes explotaron CVE-2026-20127, una omisión de autenticación en los controladores Cisco Catalyst SD-WAN, para instalar un marco personalizado llamado KeyDrift que copia las claves que cifran el tráfico entre sedes y las almacena para más adelante. BleepingComputer y The Record describen a UAT-11473 como un APT recién identificado y señalan que el fallo se corrigió en febrero; SecurityWeek informa de que Talos vincula la infraestructura con la red Silent Train que Lumen asoció a Volt Typhoon. Los dos relatos no coinciden, y «para más adelante» merece leerse dos veces: es una recopilación con fecha de caducidad, no un asalto relámpago.

Por qué importaSi opera controladores Catalyst SD-WAN, haber parcheado en febrero no es una garantía; rote el material criptográfico y busque indicios, porque las claves robadas no generan ninguna alerta.

confianza 0.60

Fuentes

Ransomware

La extorsión es ya un calendario editorial, y el 29 de octubre fue día de cierre de edición

Los rastreadores registraron 179 reivindicaciones en sitios de filtraciones en siete días, procedentes de 36 de los 267 grupos monitorizados, con Booba Project en 17 reivindicaciones frente a las 2,35 esperadas según su ritmo previo y rhysida en 6 frente a 1,38. Qilin generó una avalancha en un solo día a través de cuatro réplicas el 29 de octubre, con City of Columbia SC, Proterial, W Interactive y Udima; Booba Project publicó entradas de administraciones, educación y sanidad con volúmenes declarados de menos de 1 GB a 295 GB. Everstake fue un paso más allá y publicó un calendario: 417,94 Gb marcados como Published, luego 494 Gb para el 4 de noviembre, 370,73 Gb para el 6 de noviembre y 1,35 Tb para el 7 de noviembre. No es una subcultura de piratas informáticos, es una cadencia de lanzamientos con calendario de contenidos.

Por qué importaDos de las entradas fechadas de Everstake caen dentro de la próxima quincena, lo que supone un reloj de notificación en marcha para alguien, lo haya puesto en marcha o no.

confianza 0.70

Fuentes

Vulnerabilidades

PHP2Shell: la explotación masiva no llegó, y ese es el hallazgo

CISA ordenó a las agencias federales parchear un error de escalada de privilegios de alta gravedad en el kernel de Linux, Fragnesia, que los atacantes encadenan con los fallos de PHP2Shell en entornos reales. Una firma ha contabilizado alrededor de media docena de explotaciones de PHP2Shell y otra ha identificado una campaña muy dirigida, presuntamente china, contra servidores vinculados al Gobierno de EE. UU., lo que queda lejos de la catástrofe a escala de internet que prometía la primera semana. Una nota de investigación explica el motivo: los exploits operativos debían ajustarse a la versión exacta de PHP de cada objetivo, salvo en sistemas que comparten una misma imagen, como los dispositivos de red, donde un solo exploit afinado alcanza a todos los equipos que lo ejecutan.

Por qué importaSu parque de PHP a medida es, por casualidad, difícil de explotar a escala; su flota idéntica de dispositivos es, por casualidad, fácil, y esa es la pregunta de inventario que conviene responder hoy.

confianza 0.75

Fuentes

IA y seguridad

El modelo escribió el exploit, y la prueba de rendimiento da un porcentaje con dos decimales

Anthropic afirmó el 27 de octubre que su modelo escribió un exploit utilizando CVE-2026-98432, un fallo TCP del kernel de Linux calificado con 9,8 por el propio equipo de CVE del kernel y que afecta a Ubuntu, RHEL y otras distribuciones, y, por separado, que una versión no publicada encontró y encadenó varias vulnerabilidades en Chrome, Safari, Android, Windows y Linux. Google lanzó Gemini 4 Carbon esa misma semana, con un 88,2 % en SEC-bench Pro, y lo despliega primero entre defensores de ciberseguridad verificados a través de su Fairwind Programme. Son afirmaciones de los fabricantes, que venden los modelos, y así deben leerse. Son también la misma afirmación que los defensores llevan dos años haciendo con nerviosismo, ahora impresa en la caja.

Por qué importaLa ventana entre un CVE público y un exploit funcional es el único recurso realmente escaso en la gestión de parches, y ambos fabricantes anuncian que pueden acortarla.

confianza 0.60

Fuentes

IA y seguridad

Alguien instaló Claude Code y Codex auténticos en equipos corporativos y desactivó el entorno aislado

Un servicio de retransmisión no autorizado ha estado instalando las herramientas de línea de comandos genuinas OpenAI Codex y Anthropic Claude Code en sistemas corporativos y reconfigurándolas para canalizar cada petición a través del relé, con el entorno aislado (sandbox) cambiado a acceso total; Dark Reading informa de que el mismo servicio abastece a regiones donde esos productos no se venden oficialmente. En torno a ello: un falso kit de inicio de Solana en GitHub concebido para engañar a agentes de programación con IA e instalar un RAT NetSupport, una campaña recurrente de minería de criptomonedas en Hugging Face con un modelo descargado más de 28 000 veces, el ransomware Aurora abusando de Cursor Agent, falsas aplicaciones de escritorio de ChatGPT y Claude que distribuyen mineros bajo el nombre Yoba, y 26 400 credenciales de nube e IA aún operativas halladas en 7,25 millones de repositorios públicos de Gitee. También aparecieron las defensas: Cisco publicó como código abierto Project Quarry contra ataques a agentes que solo emergen en secuencias de pasos benignos, y GitHub presentó en vista previa un cortafuegos para la instalación de npm.

Por qué importaUn agente de programación sin salvaguardas es una estación de trabajo de desarrollador con un par de manos extra y sin instrucciones de incorporación; inventaríe dónde se ejecutan los agentes y a qué se les permite acceder.

confianza 0.55

Fuentes

Actores de amenazas

Binance investiga hasta 5800 millones de dólares, y los pequeños golpes siguen siendo los más instructivos

Binance investiga una posible brecha que afectaría a hasta 5800 millones de dólares en activos digitales, lo que, de confirmarse, la convertiría en el mayor robo de criptomonedas registrado. Polymarket suspendió las operaciones después de que un servicio de terceros fuera comprometido para servir JavaScript que vacía monederos, con unos 2,5 millones de dólares rastreados hasta un monedero de un presunto atacante, y una falsa aplicación de trading llamada Padre Terminal, que estuvo en la App Store de Apple, se ha vinculado con unos 23 000 dólares sustraídos de 27 monederos de Solana. Otra investigación siguió también a equipos «traffer» de habla rusa que desde la primavera de 2026 trasladan sus modelos de fraude de afiliación a los mercados de predicción, es decir, el ecosistema siguiendo el dinero con menos fricción de la que cualquiera de nosotros aplica a una solicitud de cambio.

Por qué importaDos de los tres casos fueron cadena de suministro de terceros y confianza en tiendas de aplicaciones, no criptografía de la plataforma de intercambio; el control que falló fue «quién más puede ejecutar código frente a sus usuarios».

confianza 0.60

Fuentes

Rarezas

Una dirección de correo, un grupo de ransomware llamado Booba Project y una llamada que no debería contestar

Unos investigadores hallaron un fallo en la forja de código de GNU que podría haber permitido a los atacantes colocar una puerta trasera en Bash, al que se llegaba mediante una dirección de correo electrónico manipulada, frase que conviene leer despacio dos veces. Un fallo en Telegram para Android podía encadenarse con otros dos errores para tomar el control total de un teléfono cuando la víctima contestaba una llamada de voz, usando únicamente una cuenta corriente de Telegram; está corregido en la versión 12.10.4. Y en Mastodon alguien descubrió que ahora hay una banda de ransomware que opera con el nombre Booba Project, que esta semana se ha dedicado a publicar entradas de administraciones y educación mientras el resto mantenemos la ficción de que informamos sobre adversarios sofisticados.

Por qué importaActualice Telegram en Android y asuma que el campo identificador que nunca validó es la vía de ejecución de alguien.

confianza 0.70

Fuentes

§3

Oculto

La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.

Bajo los feeds: un jueves enorme, cuatro réplicas que se dan la razón y un NVD que dejó de hablar

Exception 01
El repunte de Qilin puede ser un lote, no cincuenta incidentes
Qilin aparece en 50 elementos fechados el 29 de octubre en atlas, ransomlook, ransomware.live y signal:atlas, frente a una mediana de 0 en los demás días de la ventana. Es muy probable que parte de ello sea una publicación por lotes o una recarga retroactiva del rastreador y no 50 víctimas distintas, y estos datos no permiten saber cuál.
confianza 0.60Speculative
Wrong if
Los elementos de Qilin se resuelven en nombres de víctimas distintos con fechas de reivindicación repartidas en los días previos, o las mismas víctimas aparecen antes en otros rastreadores.
Watch
Si los recuentos de Qilin vuelven a su nivel habitual el 30 y el 31 de octubre y si la lista de víctimas es única entre las réplicas.
Fuentes
Exception 02
La «corroboración» de su sitio de filtraciones son cuatro réplicas de una sola fuente
Ransomlook se adelantó a ransomware.live en torno a 1 a 5 horas en Everstake, Shiba y Emperador; ransomware.live se adelantó a ransomlook 1 a 2 horas en WhiteArmor y Booba Project; signal:atlas va por detrás de ransomware.live de 3 a 8 horas. Ningún agregador es el primero en todo, y la coincidencia entre ellos es réplica, no confirmación independiente.
confianza 0.55
Wrong if
Los desfases responden a los intervalos de sondeo o a diferencias en los campos de marca temporal, no al orden de descubrimiento.
Watch
Si el mismo orden se repite para grupos recién observados en los próximos días.
Fuentes
Exception 03
El NVD se quedó en silencio tras el 28 de octubre y nadie lo notó
El NVD aportó 100 elementos, todos al comienzo de la ventana, sin nada posterior a 2026-10-28T19:32. Lo más probable es un tope de ingesta o un hueco de sondeo y no una pausa en la publicación, pero falta en esta lectura todo lo publicado desde entonces, incluido el detalle que acompañaría a las nuevas entradas de KEV.
confianza 0.50Speculative
Wrong if
Existen elementos posteriores del NVD en el almacén que quedaron excluidos por la ventana o por el tope de 100 elementos.
Watch
Si la ingesta del NVD se reanuda en la próxima ejecución de recopilación.
Fuentes

Nothing to seeNo hay agrupaciones temporales en absoluto, así que no hay indicio estadístico de publicación coordinada. Las coincidencias de entidades en «payload», «s.com» y «g.com» son artefactos de extracción y no significan nada. La ventana está desequilibrada, con 216 de 381 elementos el 29 de octubre, así que toda tendencia aquí es un solo día con abrigo de tendencia.

Deep read: 382 artículos leídos

§4

Previsión

Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.

Today’s calls

DueSat 7 Nov8 days
Al menos una de las publicaciones programadas de Everstake (la entrada de 494 Gb con fecha del 4 de noviembre o la de 370,73 Gb del 6 de noviembre) aparece como publicada en ransomlook o ransomware.live.
Wrong ifAmbas entradas superan sus fechas indicadas sin estado de publicación, o las entradas desaparecen del sitio de filtraciones.
Fuentes
f-2026-10-30-1
Confidence0.70
DueMon 2 Nov72h
Los elementos de Qilin en sitios de filtraciones vuelven a situarse por debajo de diez diarios en los rastreadores, lo que confirma que la cifra del 29 de octubre fue un lote y no un repunte operativo sostenido.
Wrong ifQilin publica diez o más elementos de víctimas distintas en un solo día hasta el 2 de noviembre.
Fuentes
f-2026-10-30-2
Confidence0.60
DueMon 9 Nov10 days
Se informa en estos feeds de detalles públicos de explotación o de una prueba de concepto funcional para GitLab CVE-2026-97229, más allá del intento contra Alpine Linux.
Wrong ifNo aparece más información sobre explotación ni cobertura de PoC de CVE-2026-97229 en las noticias, KEV o los feeds de OTX en la fecha límite.
Fuentes
1. 1CISA KEVCVE-2026-97229 GitLab Community Edition and Enterpr…
2. 2Security newsAttacker Tried to Exploit Alpine Linux’s GitLab via…
f-2026-10-30-3
Confidence0.45

Scorecard

1 right · 2 wrong

wrong
A ransomware or extortion group will claim Ahold Delhaize on a leak site tracked by ransomware.live or ransomlook by 30 October 2026.
Called Tue 20 Oct · due Fri 30 Oct
The call is due today, and no ransomware.live or ransomlook item names Ahold Delhaize or one of its brands.
wrong
Majinahanashi's pending Jons Civil Engineering Company Ltd. (JCEL) post moves from PENDING to published by the end of 29 October 2026, in line with its stated 28 October schedule.
Called Mon 26 Oct · due Thu 29 Oct
The call is past its 29 Oct due date, and no item shows a Majinahanashi JCEL post. The only Majinahanashi item is an Atlas Manufacturing story.
right
CISA adds at least one further vulnerability to the Known Exploited Vulnerabilities catalog.
Called Thu 29 Oct · due Thu 5 Nov
CISA KEV added CVE-2026-97229 (GitLab) and CVE-2026-76418 (Cisco ASA/FTD) on 29 Oct.
Fuentes
1. 1CISA KEVCVE-2026-97229 GitLab Community Edition and Enterpr…
2. 2CISA KEVCVE-2026-76418 Cisco Secure Firewall ASA Software a…

Glosario de términos ante los que se espera que asientas

Scheduled (n.): Un estado en un sitio de filtraciones, como en «494 Gb, Estado: Scheduled, 4 November». Significa que los datos ya tienen propietario, tamaño, categoría y fecha de publicación, es decir, tres artefactos de gestión de proyectos más de los que tiene hoy su plan de respuesta a incidentes.

§5

Desde nuestro perímetro

Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.

Nuestro propio borde perfiló 97 fuentes hostiles en 24 horas: 55 rastreadores automáticos, 34 escáneres, cinco operadores dirigidos y tres atacantes de fuerza bruta, que enviaron en conjunto 9724 peticiones, de las cuales 56 pasaron del reconocimiento a verdaderos intentos de explotación. Nueve grupos de direcciones compartían una huella de comportamiento, incluido un clúster de 30 IP que se movían como una sola herramienta o un solo operador rotando direcciones. El premio a la hostilidad fue para 143.244.57.121, con 7,7 sobre 10, que dedicó 20 peticiones a pedir wlwmanifest.xml y xmlrpc.php bajo una ruta /login, y llegó al acceso a credenciales haciéndolo. Por su parte, 93.123.109.165 lanzó 353 peticiones contra nuestras rutas de administración en unos 12,5 segundos, 20.211.122.120 fue de compras por /aa.php y /wp-act.php, y dos direcciones seguían rociándonos con CVE-2017-9841, un exploit con nombre de 2017, porque internet no lee las notas de los parches. Vimos 12 534 direcciones en total de 125 países, 8636 de ellas por primera vez hoy. Los registros en bruto nunca salieron del servidor.

97fuentes hostiles perfiladas

9724peticiones de ellas

56llegaron a explotación

9clústeres de ADN compartido

8,5/10máxima hostilidad

12 534direcciones en nuestro borde

8636vistas por primera vez hoy

125países

La lista WTF

WTF #1
El visitante más decidido
143.244.57.121, un operador dirigido (hostilidad 7,7/10), envió 20 peticiones a uno de nuestros sitios, buscando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Por qué es llamativoMayor hostilidad del cuadro; su cadena de ataque llegó al acceso a credenciales.
attribution: desconocidoThu 29 Oct, 22:00 UTC
Detail
```
cadena de ataque: reconocimiento → preparación del arma → explotación → acceso a credenciales · ADN 82a939927b85
```
WTF #2
Mismo ADN, distintas direcciones
185.191.171.15, un rastreador automático (hostilidad 0,6/10), envió 170 peticiones a 3 de nuestros sitios, buscando /threat-check/HP%20Multiple%20Products%20Remote%20Code%20Execution%20V, /threat-check/Multiple%20SugarCRM%20Products%20Remote%20Code%20Executi, /threat-check/Microsoft%20Windows%20Runtime%20Remote%20Code%20Executio, /threat-check/D-Link%20Multiple%20Routers%20Remote%20Code%20Execution%.
Por qué es llamativo30 IP comparten una misma huella de comportamiento (ADN 2581d8d3e47e): una herramienta o un operador rotando direcciones: 85.208.96.202, 185.191.171.18, 85.208.96.212, 185.191.171.10, 85.208.96.197 y más.
attribution: desconocidoThu 29 Oct, 22:00 UTC
Detail
```
cadena de ataque: reconocimiento → explotación · ADN 2581d8d3e47e
```
WTF #3
Probando CVE-2017-9841 contra nosotros
2 direcciones enviaron 8 peticiones con la forma de una explotación de CVE-2017-9841 (/vendor/phpunit/phpunit/…), entre ellas 185.177.72.13, 161.248.179.19.
Por qué es llamativoUn exploit conocido y con nombre que aún se rocía por internet; nuestro borde lo vio hoy, diga lo que diga el año en las notas de los parches.
attribution: desconocido
Detail
```
familia de sondeo: phpunit-rce
```
WTF #4
La lista de la compra más extraña
20.211.122.120, un escáner (hostilidad 6,4/10), envió 47 peticiones a uno de nuestros sitios, buscando /aa.php, /upload.php, /wp-act.php, /wp-content/index.php.
Por qué es llamativoPidió archivos que casi nadie más pide: /aa.php, /upload.php, /wp-act.php, /wp-content/index.php, /wp-content/uploads/wpr-addons/forms/b1ack.php.
attribution: desconocidoThu 29 Oct, 22:00 UTC
Detail
```
cadena de ataque: reconocimiento → preparación del arma · ADN dfef4501b216
```
WTF #5
Con prisa
93.123.109.165, un atacante de fuerza bruta (hostilidad 4,5/10), envió 353 peticiones a 3 de nuestros sitios, buscando /admin/login, /admin/login/livewire/update, /admin, /admin/dashboard.
Por qué es llamativoLanzó 353 peticiones en unos 12,5 segundos.
attribution: desconocidoThu 29 Oct, 22:00 UTC
Detail
```
cadena de ataque: reconocimiento → acceso a credenciales · ADN a8561adb3b5b
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

179claims, 7 days

36of 267 groups active

qilin32 this week

Booba Project17 this week · surging

N0n14 this week

SurgingBooba Project — 17 claims in 7 days against 2.4 expected from its own prior rate (p < 0.001)
Surgingrhysida — 6 claims in 7 days against 1.4 expected from its own prior rate (p = 0.003)
Surgingeverest — 8 claims in 7 days against 2.7 expected from its own prior rate (p = 0.007)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.007)
Surgingemperador — 10 claims in 7 days against 4.6 expected from its own prior rate (p = 0.020)
Surgingpayload — 5 claims in 7 days against 1.6 expected from its own prior rate (p = 0.022)

Gone quiet: lynx (62 days), AiLock (65 days), abyss (65 days), blackwater (67 days).

Sector pressure, 30 days

UpTransportation — 2.3× its own prior share (71 claims, 31 expected)
UpEducation — 2.1× its own prior share (54 claims, 25 expected)
UpEnergy & Utilities — 1.4× its own prior share (34 claims, 24 expected)
UpHealthcare — 1.4× its own prior share (108 claims, 79 expected)

22% of claims carry no sector label.

Brand churn

Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 212 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 16 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 34% of its claims on Germany (6.7× every other brand's share); N0n put 34% of its claims on Transportation (7.5× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 64% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 38% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Acompañamientos

Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§8

Colofón

Cómo se elaboró esta edición, sin rodeos.

La edición 33 fue elaborada por una máquina y verificada por código. Se leyeron íntegramente todos los elementos publicados por 13 feeds públicos de amenazas en las 24 horas hasta las 05:05 (hora del Reino Unido) (382 elementos): estadísticas calculadas por código, cada segmento leído por Claude Sonnet y la estructura sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada noticia cita los elementos en los que se apoya; las noticias cuyas referencias no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de la publicación (0 hoy). Los pronósticos se evalúan públicamente en ediciones posteriores. «From our edge» son datos de ataques en vivo de nuestros propios servidores. Costee de esta edición: 0,75 $. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la ha editado a mano, lo cual es o bien el objetivo o bien el problema.

382items read

24hour window

$0.75cost of this edition

05:05 UTCgenerated

Fuentes de esta mañana

NVD100ok
Signal Atlas74ok
Security news60ok
ransomware.live37ok
infosec.exchange37ok
RansomLook28ok
RSS13ok
AlienVault OTX13ok
atlas8ok
signal:ioc-family7ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

GitLab alcanza un CVSS 10,0 y alguien lo probó contra el propio servidor de Alpine Linux

KeyDrift roba las claves que cifran su tráfico entre sedes, y nadie se pone de acuerdo sobre quién está detrás

La extorsión es ya un calendario editorial, y el 29 de octubre fue día de cierre de edición

PHP2Shell: la explotación masiva no llegó, y ese es el hallazgo

El modelo escribió el exploit, y la prueba de rendimiento da un porcentaje con dos decimales

Alguien instaló Claude Code y Codex auténticos en equipos corporativos y desactivó el entorno aislado

Binance investiga hasta 5800 millones de dólares, y los pequeños golpes siguen siendo los más instructivos

Una dirección de correo, un grupo de ransomware llamado Booba Project y una llamada que no debería contestar

El repunte de Qilin puede ser un lote, no cincuenta incidentes

La «corroboración» de su sitio de filtraciones son cuatro réplicas de una sola fuente

El NVD se quedó en silencio tras el 28 de octubre y nadie lo notó

Today’s calls

Scorecard

Glosario de términos ante los que se espera que asientas

La lista WTF

El visitante más decidido

Mismo ADN, distintas direcciones

Probando CVE-2017-9841 contra nosotros

La lista de la compra más extraña

Con prisa

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Fuentes de esta mañana