Apertura · Actores de amenaza

Binance no perdió miles de millones por un ataque sofisticado. Los perdió por una entrevista de trabajo

Binance afirma que un falso proceso de selección, un instalador de Homebrew manipulado y una herramienta interna de IA utilizada de forma abusiva acabaron en su servicio de firma de monederos; la cifra divulgada se presenta en tres tamaños y Corea del Norte lo niega todo.

confianza 0.85

Binance reveló el 3 de noviembre que un robo detectado en octubre fue el final de lo que su consejero delegado calificó de campaña de meses: atacantes norcoreanos que, según el propio relato de la compañía, «combinaron una serie de técnicas, entre ellas la ingeniería social mediante falsas entrevistas de selección», comprometieron a ingenieros con una instalación de Homebrew troyanizada, abusaron de una herramienta interna de IA y llegaron al servicio de firma de monederos. Corea del Norte niega toda responsabilidad. La cifra depende del medio y de la hora: BleepingComputer habla de unos 6.340 millones de dólares, The Hacker News de 6.430 millones, y los titulares lo redondean en 6.300 millones.

Miren la cadena y díganme dónde está el truco. Una persona que quería un trabajo mejor. Un instalador idéntico al que ya ejecuta todo el equipo. Una herramienta interna, de confianza por ser interna, haciendo lo que hacen las herramientas internas, que es llegar a cosas. Nada en esa secuencia exigió un cero día, un submarino ni una sala oscura con texto verde en cascada. Exigió paciencia y un reclutador verosímil, y los atacantes tenían ambas cosas.

Lo incómodo para el resto de nosotros es el orden de los hechos: descubierto en octubre, revelado el 3 de noviembre y descrito todavía con tres cifras distintas el día de la revelación. Ese desfase no es un escándalo, es la física normal de un incidente grande, y es justo la ventana en la que su propio consejo les pedirá una cifra precisa que aún no tienen. Denles la cadena. La cadena es cierta antes que el número.

Por qué importaLos portátiles personales de sus ingenieros, los gestores de paquetes y las herramientas internas de IA forman ya parte de la ruta de firma de todo lo que consideren valioso, aparezca o no en el diagrama de arquitectura.

Fuentes

Today’s revelation

Una cadena de suministro es una lista de desconocidos cuyo lunes se convierte en tu viernes, y siempre es viernes.

— Sturgeon's Revelations · Probably Fine Daily No. 38

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§2

Principales noticias

El resto de las últimas 24 horas, con fuentes.

Vulnerabilidades

Nueva entrada en el KEV: WordPress Core puede ser tomado durante la actualización, el único momento en que se sentía virtuoso

CISA añadió el 3 de noviembre CVE-2026-119977 al catálogo de Vulnerabilidades Explotadas Conocidas: una condición de carrera de tipo time-of-check time-of-use en WordPress Core que podría permitir a atacantes sin autenticar ejecutar código en el servidor durante la ventana de actualización, debido a un área de preparación predecible y accesible desde la web. Tiene una puntuación EPSS de 0,006, lo que indica lo poco que opinan de ella los modelos estadísticos y hasta qué punto la evidencia de explotación de CISA los supera. Una vulnerabilidad añadida al catálogo ese día, en ese feed.

Por qué importaEl momento explotable es el acto de parchear, de modo que su ventana de mantenimiento es ahora una ventana de detección: vigilen la aparición de archivos inesperados en la ruta de preparación y las peticiones que lleguen a mitad de una actualización.

confianza 0.90

Fuentes

Vulnerabilidades

Node-RED está siendo explotado y lleva una placa industrial

Se detectó desde el 30 de octubre la explotación de CVE-2026-58115, un fallo de la API de administración de Node-RED sin autenticación, con atacantes que despliegan flujos maliciosos que descargan cargas automáticamente; SecurityWeek informa de múltiples ataques desde la misma dirección IP que instalan un bot de Linux y webshells. El detalle que debería subirlo en su lista es que Node-RED está integrado en productos ICS, de modo que lo que queda expuesto a menudo no es algo que se comprara como Node-RED. OTX lo publicó 2,3 horas antes que los servicios de noticias.

Por qué importaBusquen endpoints de administración de Node-RED que nunca desplegaron a sabiendas, sobre todo dentro de appliances de proveedores, y traten un flujo que no hayan creado ustedes como un incidente, no como una deriva de configuración.

confianza 0.80

Fuentes

Vulnerabilidades

Un 9,8 en la pila TCP de Linux está parcheado en una distribución y en un canal de pruebas en otra

Red Hat ha publicado kernels corregidos para un use-after-free en el código TCP IPv4 del kernel de Linux, con CVSS 9,8, para RHEL 8, 9 y 10, mientras que las correcciones de Ubuntu para sus tres versiones de soporte a largo plazo más recientes están en un canal de pruebas opcional, sin fecha para una actualización regular; desactivar MPTCP no basta, de forma explícita, porque el fallo está en el TCP IPv4. Por separado, Barracuda divulgó una elusión de autorización previa a la autenticación y una inyección de comandos que, encadenadas, llevan a root, y una de ellas afecta a seis productos; ambas exigen acceso a la interfaz de administración. Y mSecure ha pedido a los clientes de su gestor de contraseñas que valoren cambiar contraseñas, restablecer la 2FA y eliminar las passkeys tras una actividad sospechosa, sin precisar si se accedió a las cajas fuertes.

Por qué importaLa disponibilidad de parches no es un hecho único: sigan el estado por distribución del fallo del kernel y traten «requiere acceso a la interfaz de administración» como motivo para comprobar quién puede llegar a esa interfaz, no como una mitigación.

confianza 0.85

Fuentes

Ransomware

Los sitios de filtraciones tuvieron un martes muy ruidoso, y casi todo el ruido es de un grupo publicando en bloque

El recuento de ritmo de Ninja Signal para hoy registra 231 reivindicaciones en sitios de filtraciones en siete días procedentes de 39 de los 271 grupos monitorizados, con thegentlemen disparado a 50 reivindicaciones frente a 24,97 esperadas según su propio ritmo anterior, Booba Project a 11 frente a 2,86 y genesis a 9. El resumen semanal de DarkFeed sitúa a Estados Unidos en 106 víctimas, a Alemania en 19 y a la sanidad como primer sector con 28, mientras que Hackmanac contabilizó 389 ataques en 52 países durante la semana, 24 de ellos reivindicados por Qilin.

Por qué importaSi comunican recuentos de sitios de filtraciones hacia arriba, indiquen cuáles son víctimas distintas y cuáles la carga masiva de un único actor, o su línea de tendencia acabará midiendo el calendario de publicación de un delincuente.

confianza 0.70

Fuentes

Actores de amenaza

El canal de actualizaciones es ahora el perímetro: cPGuard envió una puerta trasera a sus propios clientes

Un atacante irrumpió el 2 de noviembre en el sistema de actualizaciones de la suite de seguridad web cPGuard y lo usó para enviar un script malicioso a los servidores Linux de los clientes, instalando una puerta trasera y recopilando hashes de contraseñas, secretos de bases de datos y archivos SSH; el atacante obtuvo archivos vinculados a 32 servidores de clientes, y las versiones afectadas se señalan como 5.88.12 a 5.88.19. Es la misma semana en que Google desmanteló la botnet X.CPE, de más de 1,3 millones de dispositivos Android, sobre todo decodificadores de televisión, que según la compañía el fabricante Videostrong dotó intencionadamente de una puerta trasera y cuyo acceso vendió, y la misma semana en que Frontline Education reveló una brecha que afecta a más de 1,3 millones de personas por un fallo en software de terceros, Seven-Eleven Japan confirmó 169.151 registros de clientes expuestos a través de la plataforma PickGo del contratista logístico CBcloud, y Polymarket reembolsó unos 2,7 millones de dólares a 726 monederos después de que un código malicioso sustituyera un script de velocidad de página que cargaba de una empresa externa.

Por qué importaSu inventario de quién puede escribir en sus servidores sin un ticket de cambio es más corto que su lista de proveedores y mucho más importante: elabórenlo hoy.

confianza 0.80

Fuentes

IA y seguridad

El LLMjacking no es una broma, es un evento de facturación con un modelo de negocio detrás

Google advirtió el 3 de noviembre de que los atacantes secuestran el acceso empresarial a grandes modelos de lenguaje con credenciales de nube robadas, generando cargos fraudulentos de hasta un millón de dólares en algunas organizaciones y de más de 100.000 dólares diarios en otras, y revendiendo después el acceso en mercados clandestinos; el análisis de AlienVault sitúa víctimas en Norteamérica, Sudamérica y Asia-Pacífico, entre ellas servicios financieros. En esas mismas veinticuatro horas, WorkOS dijo que un atacante usó ARTEX AI para vulnerar una aplicación interna de ventas con registros de contactos comerciales y resúmenes de comunicaciones con clientes, y Chainstack reveló una brecha en sistemas de producción y en una base de datos de clientes con nombres, direcciones de correo y hashes de contraseñas, que considera parte de una campaña a gran escala impulsada por IA.

Por qué importaEl gasto en inferencia de modelos es ya una señal de detección de robo: alerten sobre anomalías de coste y de tasa de tokens por clave, y roten las credenciales de nube que pueden llamar a endpoints de inferencia como si fueran credenciales de pago, porque lo son.

confianza 0.85

Fuentes

IA y seguridad

Un afiliado de 3AM parece haber usado un modelo para escribir y revisar sus comandos

Un afiliado del ransomware 3AM atacó un conjunto de centros escolares del Reino Unido y cifró unos 37 de casi 50 equipos accesibles desde un host no gestionado, y los investigadores informan de indicios de que un modelo pudo generar y revisar los comandos durante la intrusión, aunque sin llegar a afirmar una automatización completa. El punto de entrada es lo que sobrevivirá a este ciclo informativo: un host sin dueño, con línea de visión a casi cincuenta más.

Por qué importaBusquen primero el host no gestionado; escribiera quien escribiera los comandos, necesitaba algo en su red que ningún equipo ha reclamado jamás.

confianza 0.75

Fuentes

Rarezas

Segunda oleada de ataques a frigoríficos de supermercados en Europa y una aplicación rusa de alertas de emergencia que envía alertas que nadie pidió

En la madrugada del lunes 2 de noviembre, los atacantes volvieron a modificar la configuración de controladores de refrigeración expuestos a internet en supermercados de Bélgica, Suecia, Estonia, Irlanda y otros países, calentando frigoríficos y congeladores; se vieron afectadas más de 100 tiendas, ninguna cadena notificó más de varias decenas y algunas tuvieron que retirar existencias. Es la segunda oleada tras una anterior en Francia, y los autores no han sido identificados. Esa misma noche, el Ministerio ruso de Situaciones de Emergencia informó de que un atacante explotó una vulnerabilidad en el panel de administración de su aplicación móvil oficial y envió falsas alertas en 33 regiones.

Por qué importaLa infraestructura con control de temperatura, las aplicaciones de alertas y cualquier otro sistema donde la carga útil sea un valor de consigna y no un archivo merecen un lugar en su revisión de exposición, porque el ataque deja casi ningún artefacto en nada de lo que hoy registran.

confianza 0.80

Fuentes

§3

Oculto

La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.

Bajo los feeds: la carga masiva de un solo actor con cuarenta y seis sombreros, un torrente de CVE que se detuvo a media tarde del domingo y números de versión de proveedores que no coinciden entre sí.

Exception 01
El pico de thegentlemen es en gran parte un artefacto del rastreador y de la generación de historias
thegentlemen produjo 46 elementos el 2026-11-03 frente a una mediana de aproximadamente 0 en otros días, N0n 22, Booba Project 13, Qilin 12 y Akira 12, con un clúster de 60 elementos en la hora de las 12:00 frente a una media de 7,6 por hora; muchas de las entradas de thegentlemen son historias «cooling» de Atlas con la misma marca de tiempo, no 46 víctimas distintas.
confianza 0.55Speculative
Wrong if
Víctimas con nombre y fechas distintas tras los elementos de thegentlemen en el propio sitio de filtraciones.
Watch
Si el recuento de thegentlemen vuelve a rondar cero el 11-04 y si Atlas sigue emitiendo historias en bloque.
Fuentes
1. 1ransomware.liveBooba Project claimed DROUIN SAS (Manufacturing · F…
Exception 02
NVD se quedó en silencio después de 2026-11-02T14:43
Los 100 elementos de NVD de la ventana son anteriores a 2026-11-02T14:43 y ninguno posterior, lo que probablemente se debe a un corte del feed o de la ingesta por lotes y no a una pausa en la publicación de CVE; traten los recuentos de CVE posteriores a esa marca de tiempo como no observados, no como bajos.
confianza 0.50Speculative
Wrong if
Elementos de NVD fechados después del 2 de noviembre a las 14:43 que aparezcan en la siguiente reingesta.
Watch
La próxima descarga de NVD.
Fuentes
Exception 03
Las versiones afectadas de cPGuard se notifican de forma incoherente
La historia de la actualización secuestrada aparece en tres fuentes el mismo día, con versiones afectadas señaladas como 5.88.12 a 5.88.19 en un relato y de otra forma en otros; esto importa porque se pide a los administradores que evalúen su exposición frente a un rango que no se ha asentado.
confianza 0.60
Wrong if
Un aviso del proveedor que fije un único rango autorizado de versiones afectadas.
Watch
Un aviso de OPSSHIELD que aclare las versiones.
Fuentes
Exception 04
La declaración de Mercado Bitcoin de que no hubo filtración convive con un anuncio en Breachforums
Mercado Bitcoin informó el 2 de noviembre de más de 40 millones de dólares en transferencias sospechosas en al menos 10 cadenas de bloques y, al día siguiente, un usuario de Breachforums anunció «700k Brazil crypto emails»; con la evidencia disponible, ambos hechos no guardan relación y el anuncio podría ser de datos reciclados.
confianza 0.30Speculative
Wrong if
Una muestra que se demuestre anterior al 2 de noviembre o procedente de otra fuente brasileña.
Watch
La comprobación de una muestra y la declaración actualizada de la plataforma.
Fuentes
1. 1Telegram🚨Cyber Alert ‼️ 🇧🇷Brazil - 𝗠𝗲𝗿𝗰𝗮𝗱𝗼 𝗕𝗶𝘁𝗰𝗼𝗶𝗻 𝗖𝘆𝗯𝗲𝗿𝗮𝘁𝘁…
2. 2TelegramBreachforums User https://breached.st/members/xyp0r…

Nothing to seeLos lotes de CVE de WAVLINK, Gitea, Apache Wicket y herramientas de agentes de IA parecen auditorías de un único investigador y publicación por lotes, no explotación coordinada. El tráfico hacktivista de Telegram es en su mayor parte material atrasado sin sincronización con eventos, y el volumen de ThreatFox y la charla en Mastodon no aportaron hoy estructura entre fuentes.

Deep read: 672 artículos leídos

§4

Previsión

Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.

Today’s calls

DueWed 11 Nov7d
CISA añade al menos una vulnerabilidad más al catálogo KEV antes del 11 de noviembre de 2026.
Wrong ifNo aparece ninguna entrada nueva del KEV en el feed KEV de CISA entre el 4 y el 11 de noviembre.
Fuentes
1. 1CISA KEVCVE-2026-119977 WordPress WordPress Core: WordPress…
2. 2TelegramCISA Adds One Known Exploited Vulnerability to Cata…
f-2026-11-04-1
Confidence0.85
DueTue 10 Nov7d
Ningún día entre el 4 y el 10 de noviembre registra más de 20 nuevas reivindicaciones de víctimas de thegentlemen en ransomware.live y ransomlook, lo que confirmaría el pico del 3 de noviembre como producción por lotes y no como 46 eventos distintos.
Wrong ifAlgún día de esa ventana muestra más de 20 víctimas nuevas y distintas de thegentlemen en los rastreadores.
Fuentes
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-11-04. In th…
f-2026-11-04-2
Confidence0.65
DueSat 14 Nov10d
Ubuntu traslada las correcciones del kernel para el use-after-free de TCP IPv4 de su canal de pruebas opcional a las actualizaciones regulares de sus tres versiones LTS más recientes antes del 14 de noviembre de 2026.
Wrong ifLas correcciones siguen únicamente en el canal de pruebas, sin publicación en actualizaciones regulares, el 14 de noviembre.
Fuentes
1. 1Security newsRed Hat Patches 9.8-Rated Linux TCP RCE Flaw While…
2. 2Telegram‼️ ALERT - Ubuntu releases "test patches" for a cri…
f-2026-11-04-3
Confidence0.50

Scorecard

1 right · 2 wrong

wrong
CISA adds the FortiSIEM path traversal CVE-2026-106173 to the KEV catalog by 4 November, following the public proof-of-concept.
Called Wed 21 Oct · due Wed 4 Nov
Today is the due date; KEV on 2026-11-03 added only CVE-2026-119977 (WordPress), not CVE-2026-106173 (FortiSIEM path traversal). No FortiSIEM entry found.
Fuentes
1. 1CISA KEVCVE-2026-119977 WordPress WordPress Core: WordPress…
right
NVD publication resumes in these feeds, with at least 20 new CVE entries ingested, by 6 November 2026.
Called Tue 3 Nov · due Fri 6 Nov
NVD items are present in today's feed starting 2026-11-01, well over 20 new CVE entries ingested before 2026-11-06 deadline.
Fuentes
wrong
The Gentlemen do not post another day of 20 or more leak-site items between now and 10 November 2026; the 2 November burst was a batch release, not a new rate.
Called Tue 3 Nov · due Tue 10 Nov
Tempo report shows The Gentlemen with 50 claims in 7 days (surging), and ransomlook shows a The Gentlemen leak posted on 2026-11-03, far exceeding 20 items in the window.
Fuentes
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-11-04. In th…

Glosario de términos ante los que se espera que asientas

Actualización automática (n.): Una cita permanente en la que se permite a un desconocido escribir archivos en todos sus servidores, acordada una sola vez, en una reunión de compras, por alguien que desde entonces se ha marchado.

§5

Desde nuestro perímetro

Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.

Nuestro propio perímetro, últimas 24 horas: el sensor Adversary DNA perfiló 64 orígenes hostiles —34 escáneres, 27 rastreadores automáticos, 2 de fuerza bruta y un operador dirigido— que enviaron 9.687 peticiones entre todos, de las cuales 23 pasaron del reconocimiento a intentos de explotación, desde 6.645 direcciones de 99 países, 2.127 de ellas vistas por primera vez hoy. Catorce grupos de direcciones compartían huella de comportamiento, entre ellos siete IP con el DNA dfef4501b216: 158.158.34.156, con hostilidad 6,7, envió 130 peticiones solicitando /wp-content/plugins/hellopress/wp_filemanager.php y /this_is_a_new_hello_world.php, mientras que 34.95.134.180 envió 277 peticiones a 207 por minuto buscando variantes de /.git/config y /.env, y 207.175.85.46 logró 122 peticiones en aproximadamente 1,0 segundos en busca de /.aws/credentials.bak y /.docker/config.json. Una dirección, 20.194.27.148, envió una única petición con la forma de una explotación de CVE-2024-4577 contra /index.php, lo que indica con precisión cuánto tiempo permanece un exploit en la rotación de rociado, sea cual sea el año que señalen las notas del parche. Los registros en bruto nunca salieron del servidor; solo lo hicieron estos hallazgos.

64orígenes hostiles perfilados

9.687peticiones de ellos

23llegaron a la explotación

14clústeres de ADN compartido

7,7/10hostilidad máxima

6.645direcciones en nuestro perímetro

2.127vistas por primera vez hoy

99países

La lista WTF

WTF #1
El visitante más decidido
158.158.34.156, un escáner (hostilidad 6,7/10), envió 130 peticiones a uno de nuestros sitios, buscando /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /rapid.php, //44.php.
Por qué es llamativoLa hostilidad más alta del panel; su cadena de ataque llegó a la fase de armamentización.
attribution: desconocidoWed 4 Nov, 00:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA dfef4501b216
```
WTF #2
Mismo ADN, direcciones distintas
34.95.134.180, un escáner (hostilidad 6,3/10), envió 277 peticiones a 207 por minuto a uno de nuestros sitios, buscando /.git/config, /.env, /.env.local, /.env.production.
Por qué es llamativo7 IP comparten una misma huella de comportamiento (DNA dfef4501b216): una sola herramienta o un solo operador rotando direcciones: 158.158.34.156, 20.164.214.25, 3.142.247.125, 173.239.213.19, 34.95.134.180 y más.
attribution: desconocidoWed 4 Nov, 00:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA dfef4501b216
```
WTF #3
Probando CVE-2024-4577 contra nosotros
1 dirección envió 1 petición con la forma de una explotación de CVE-2024-4577 (/index.php), entre ellas 20.194.27.148.
Por qué es llamativoUn exploit conocido y con nombre sigue rociándose por internet; nuestro perímetro lo vio hoy, sea cual sea el año que digan las notas del parche.
attribution: desconocido
Detail
```
familia de sondeo: webshell
```
WTF #4
La lista de la compra más extraña
20.194.45.183, un escáner (hostilidad 6,4/10), envió 46 peticiones a uno de nuestros sitios, buscando /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php.
Por qué es llamativoPidió archivos que casi nadie más pide: /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
attribution: desconocidoWed 4 Nov, 00:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA 83562bd8e880
```
WTF #5
Con prisa
207.175.85.46, un escáner (hostilidad 5,4/10), envió 122 peticiones a uno de nuestros sitios, buscando /.aws/credentials.bak, /.aws/.env, /.docker/config.json, /.env-sample.
Por qué es llamativoLanzó 122 peticiones en aproximadamente 1,0 segundos.
attribution: desconocidoWed 4 Nov, 00:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA 18e39c4b41fb
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

231claims, 7 days

39of 271 groups active

thegentlemen50 this week · surging

qilin29 this week

N0n17 this week

Surgingthegentlemen — 50 claims in 7 days against 25.0 expected from its own prior rate (p < 0.001)
SurgingBooba Project — 11 claims in 7 days against 2.9 expected from its own prior rate (p < 0.001)
Surginggenesis — 9 claims in 7 days against 2.4 expected from its own prior rate (p < 0.001)
Surgingrhysida — 6 claims in 7 days against 1.5 expected from its own prior rate (p = 0.005)
SurgingSilentRansomGroup — 8 claims in 7 days against 2.8 expected from its own prior rate (p = 0.007)
Surgingsafepay — 10 claims in 7 days against 5.0 expected from its own prior rate (p = 0.031)

Gone quiet: gunra (61 days), lynx (67 days), AiLock (70 days), abyss (70 days).

Sector pressure, 30 days

UpTransportation — 2.1× its own prior share (70 claims, 34 expected)
UpEducation — 2.0× its own prior share (54 claims, 27 expected)
UpEnergy & Utilities — 1.4× its own prior share (36 claims, 27 expected)
DownAgriculture and Food Production — 0.7× its own prior share (22 claims, 34 expected)

25% of claims carry no sector label.

Brand churn

Of the 233 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 62% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 2 — newest: OBSOFT (2026-11-03, 6 claims), PixelLeaks (2026-11-03, 1 claim), everstake (2026-10-29, 7 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 32% of its claims on Germany (6.2× every other brand's share); N0n put 33% of its claims on Transportation (7.4× every other brand's share); genesis put 95% of its claims on the United States (2.6× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 63% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 1 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 32% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Acompañamientos

Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§8

Colofón

Cómo se elaboró esta edición, sin rodeos.

La edición 38 ha sido elaborada por una máquina y revisada por código. Se leyó íntegramente cada elemento publicado por 15 feeds públicos de amenazas en las 24 horas previas a las 05:05 (hora del Reino Unido) (672 elementos): las estadísticas se calcularon en código, cada porción fue leída por Claude Sonnet y la estructura fue sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada historia cita los elementos en que se apoya; las historias cuyos justificantes no se resolvían o cuyas cifras no figuraban en sus fuentes se descartaron antes de la publicación (0 hoy). Las previsiones se evalúan públicamente en ediciones posteriores. «Desde nuestro perímetro» son datos de ataque en vivo de nuestros propios servidores. Costee de esta edición: 1,16 $. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la ha editado a mano, lo cual es o bien el objetivo o bien el problema.

672items read

24hour window

$1.16cost of this edition

05:05 UTCgenerated

Fuentes de esta mañana

ThreatFox160ok
Telegram124ok
NVD100ok
Signal Atlas95ok
Security news54ok
infosec.exchange38ok
ransomware.live30ok
RansomLook23ok
atlas22ok
RSS10ok
AlienVault OTX7ok
signal:ioc-family6ok
signal:kev1ok
CISA KEV1ok
Ransomware tempo · Ninja Signal graph1ok

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Nueva entrada en el KEV: WordPress Core puede ser tomado durante la actualización, el único momento en que se sentía virtuoso

Node-RED está siendo explotado y lleva una placa industrial

Un 9,8 en la pila TCP de Linux está parcheado en una distribución y en un canal de pruebas en otra

Los sitios de filtraciones tuvieron un martes muy ruidoso, y casi todo el ruido es de un grupo publicando en bloque

El canal de actualizaciones es ahora el perímetro: cPGuard envió una puerta trasera a sus propios clientes

El LLMjacking no es una broma, es un evento de facturación con un modelo de negocio detrás

Un afiliado de 3AM parece haber usado un modelo para escribir y revisar sus comandos

Segunda oleada de ataques a frigoríficos de supermercados en Europa y una aplicación rusa de alertas de emergencia que envía alertas que nadie pidió

El pico de thegentlemen es en gran parte un artefacto del rastreador y de la generación de historias

NVD se quedó en silencio después de 2026-11-02T14:43

Las versiones afectadas de cPGuard se notifican de forma incoherente

La declaración de Mercado Bitcoin de que no hubo filtración convive con un anuncio en Breachforums

Today’s calls

Scorecard

Glosario de términos ante los que se espera que asientas

La lista WTF

El visitante más decidido

Mismo ADN, direcciones distintas

Probando CVE-2024-4577 contra nosotros

La lista de la compra más extraña

Con prisa

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Fuentes de esta mañana