Apertura · El panorama del día

Su incidente ocurrió en una empresa que usted nunca ha auditado

El servicio nacional de sangre de Francia, un banco francés, seis aerolíneas y un proveedor de alojamiento web tuvieron un mal miércoles, y en todos los casos la intrusión se produjo en otra parte.

confianza 0.88

El servicio nacional de sangre de Francia confirmó que un ciberataque contra Coolworld, la empresa que mantiene su almacenamiento en frío, modificó los ajustes de temperatura y descongelación en tres de sus instalaciones, lo que puso en peligro los productos sanguíneos almacenados; la alerta de Hackmanac afirma que los congeladores fueron reprogramados para alcanzar los 110 °C. No se trata de una filtración de datos con su correspondiente carta de disculpas. Es un software que, a través de un contrato de mantenimiento, llega a tocar algo físico, y es con diferencia el asunto de mayores consecuencias de las últimas veinticuatro horas.

No viajó solo. Crédit Mutuel Arkéa confirmó que los atacantes realizaron transferencias utilizando la propia cuenta del banco tras comprometer a un proveedor no identificado, con pérdidas declaradas de 133 millones de dólares (118 millones de euros). Japan Airlines, Cathay Pacific, Korean Air, Asiana, Singapore Airlines y Malaysia Airlines han revelado en la última semana brechas atribuidas a Amadeus IT Group. Se accedió a los servidores de actualización de OpsShield con credenciales comprometidas y se envenenaron varias versiones de cPGuard. Los scripts del lanzador para PC de NIKKE fueron manipulados para distribuir programas que roban credenciales y carteras de criptomonedas. DreamHost tuvo a atacantes en el interior de su plataforma File Manager durante dos meses y perdió los nombres de usuario y contraseñas FTP/SFTP de sus clientes.

Lo llamamos riesgo de terceros, lo cual es un error de categoría, y ese error tiene consecuencias reales. El tercero no es colindante con su entorno. Está dentro de él, con una cuenta de servicio, una VPN, un canal de actualizaciones y, en al menos un caso esta semana, acceso de escritura a un termostato. Su perímetro de control termina donde termina su contrato. El del adversario no, que es todo su modelo de negocio y buena parte del nuestro.

Por qué importaElabore la lista de proveedores que pueden modificar el estado de su infraestructura —actualizaciones, gestión remota, sistemas de edificios— y configure alertas ante los cambios de configuración realizados por sus cuentas, no solo ante sus inicios de sesión.

Fuentes

Today’s revelation

La gestión de riesgos de terceros es la creencia de que un cuestionario devuelto en abril gobierna un controlador de refrigeración en noviembre.

— Sturgeon's Revelations · Probably Fine Daily No. 39

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§2

Principales noticias

El resto de las últimas 24 horas, con fuentes.

Vulnerabilidades

CISA afirma que WordPress Core está siendo explotado durante las actualizaciones, y de paso añade un fallo de Apple de hace dos años

CISA añadió CVE-2026-119977 al catálogo de Vulnerabilidades Explotadas Conocidas (KEV), un fallo de alta gravedad de tipo time-of-check-time-of-use en WordPress Core, con una puntuación CVSS de 8.1, explotado en el mundo real durante las actualizaciones de software. En la misma ventana, KEV incorporó CVE-2024-27834, un fallo de autenticación incorrecta en Apple iOS, iPadOS, macOS, Safari, tvOS y watchOS 10.5 que permite a un atacante con lectura y escritura arbitrarias eludir la autenticación de punteros, con un EPSS de 0.00598. Entretanto, un canal de Telegram pasó la tarde anunciando que «en breve se publicará una herramienta que explota tres vulnerabilidades recientes de WordPress», citando CVE-2026-63030 y CVE-2026-60137, junto con una herramienta más antigua para Struts, CVE-2017-5638, acompañada de URL de objetivos activos.

Por qué importaParchee ya WordPress Core y trate la propia ruta de actualización como alcanzable por el atacante; la entrada de Apple en KEV es el final de una cadena, no el principio, así que busque la primitiva de lectura/escritura que la precede.

confianza 0.92

Fuentes

Actores de amenazas

APT29 secuestró un script de analítica y el teléfono hizo el resto

El TDR de Sekoia describe una campaña de abrevadero a gran escala atribuida a APT29, con tres vectores de infección: sitios legítimos comprometidos, suplantación de dominios de alto perfil al estilo adversario en el medio y un compromiso de la cadena de suministro del servicio ucraniano de analítica web Plerdy SEO Tracker. El script inyectado entregaba a los visitantes, sin interacción alguna, exploits n-day para iOS y Android, y descargaba DarkSword y AndroSnitch para robar cookies del navegador, contraseñas de Wi-Fi y datos del dispositivo. Cuatro tipos de fuente distintos lo recogieron en cinco horas, lo que por una vez refleja un suceso real y no un eco de los recolectores.

Por qué importaLos móviles están dentro del alcance: imponga niveles de parches del sistema operativo en todo dispositivo que lea correo corporativo y compruebe si sus propios sitios cargan analítica de terceros que nunca ha inventariado.

confianza 0.82

Fuentes

Vulnerabilidades

Mil conmutadores Zyxel, dos fallos de SonicWall que nadie corregirá y una cola de parches interminable

Zyxel ha corregido un día cero en sus conmutadores de la serie GS1900 que los atacantes utilizaron para comprometer casi 1000 dispositivos en todo el mundo y robar archivos de configuración y credenciales. SonicWall confirmó dos fallos en Global Management System 9.5.2 y versiones anteriores, que han llegado al final de su vida útil y no se parchearán en absoluto: CVE-2026-109593, una lectura de archivos sin autenticación con CVSS 9.1, y CVE-2026-109594, una inyección SQL autenticada, con la migración a NSM como única solución ofrecida. Tras ellos: una elusión de autenticación en Barracuda ESG encadenable con una inyección de comandos en el campo de zona horaria hasta obtener root; un fallo de APT en las configuraciones predeterminadas de Debian 12+ y Ubuntu 22.04+ (CVE-2026-109518) que permite a un atacante en el medio sustituir un paquete ya verificado y ejecutar código como root; una escritura de archivos crítica en Rails mediante ImageMagick corregida en 8.1.4.1 y 8.0.5.2; dos fallos de Xen que permiten a un invitado leer y escribir en la memoria de otro, incluido dom0, sin mitigación disponible; una RCE crítica en Android sin interacción del usuario (CVE-2026-58868) corregida en el nivel de parche 2026-11-01; y Chrome 157 con 213 correcciones de seguridad, siete de ellas críticas.

Por qué importaPrimero los dispositivos perimetrales y los gestores de paquetes: el robo de credenciales desde un conmutador y el acceso root desde un apt-get son vías de compromiso total que ningún agente EDR vigila.

confianza 0.90

Fuentes

Ransomware

Cuatro grupos vaciaron su carpeta de borradores el martes, y los rastreadores lo llamaron oleada

El recuento de Ninja Signal contabiliza 246 reivindicaciones en sitios de filtraciones en los últimos siete días, procedentes de 42 de los 272 grupos rastreados, con thegentlemen disparado a 50 reivindicaciones frente a las 24.56 esperadas según su ritmo anterior, safepay con 18 frente a 4.98 y genesis con 9. Por separado, un grupo que se hace llamar BYOD reivindicó el ataque a IHG Hotels & Resorts con una contraseña de enlace LDAP «123» y acceso completo a CyberArk, algo que Darkfeed repitió ocho horas después como incidente de «BusinessServices», y nada de ello está confirmado por nadie que pueda saberlo.

Por qué importaCuente víctimas, no publicaciones: una carga por lotes reflejada por dos recolectores es un único suceso, y su informe al consejo no debería presentarla como veintiséis.

confianza 0.78

Fuentes

IA y seguridad

948 exploits root para Linux en treinta horas, y los escáneres ya piden las claves de sus modelos

OpenAI detalló un proceso que, con un próximo modelo centrado en ciberseguridad, identificó y analizó 2308 hallazgos candidatos en el kernel de Linux, reprodujo 1724 vulnerabilidades, desarrolló 291 pruebas de concepto de fuga de información y validó y parcheó 948 escaladas de privilegios locales, con un coste declarado de 1,2 millones de dólares en API; aunque un pasaje citado que circula en Mastodon sitúa el coste de la campaña en unos 32 936 dólares frente a una valoración hipotética de recompensas de 18,9 a 66,3 millones, conviene leer el alcance antes de leer la cifra. El otro lado del balance, el defensivo, es más sombrío y está mejor corroborado: WorkOS, Northflank y Trigger.dev revelaron ataques vinculados a tokens de acceso a IA sustraídos; una extensión maliciosa con la marca de Claude Code (versiones 2.1.313 y 2.1.312) distribuyó una puerta trasera SSH a través del mercado de Cursor; Check Point halló «adware de prompts» en un paquete de jailbreak de Codex que reescribe las instrucciones de confianza del agente para promocionar una pasarela de terceros; y la operación KeyHunter combinó el robo de credenciales de API de LLM con fraude académico en 20 universidades. En nuestro propio perímetro, un escáner pidió /.env.anthropic por su nombre.

Por qué importaLas claves de API de modelos son ya credenciales con un centro de costes y un radio de impacto: rótelas, limite su alcance e inclúyalas en el inventario de secretos junto con las claves de la nube.

confianza 0.72

Fuentes

Actores de amenazas

El primer informe de incidente de Binance: tres ingenieros, una tarea de programación trucada y meses de paciencia

SecurityWeek informa de que el primer informe de incidente de Binance atribuye el robo récord de unos 6000 millones de dólares a una campaña de meses que comprometió los ordenadores de tres ingenieros, y que comenzó con una tarea de programación trucada y el abuso de una herramienta de IA. Los comentarios en los canales cifran la cantidad en aproximadamente 6300 millones de dólares el 29 de octubre y afirman que el récord anterior era el de Bybit, con unos 1500 millones en febrero de 2025, citando un informe de Chainalysis fechado el 1 de octubre para la atribución a Corea del Norte; fechas y totales que no encajan del todo, así que considere la cifra exacta como la del exchange y el resto como no verificado. Corea del Norte, entretanto, ha lanzado misiles hacia el mar mientras Pyongyang protesta por las afirmaciones de EE. UU. sobre el ataque a Binance.

Por qué importaEl acceso inicial fue un señuelo con forma de oferta de empleo dirigido a ingenieros con acceso a producción; la incorporación de desarrolladores y la cultura de las pruebas para realizar en casa son ahora una vía de ataque.

confianza 0.62

Fuentes

Política

Varios empleados de la Casa Blanca alquilan sus direcciones de internet, posiblemente sin saberlo

Brian Krebs informa de que varios empleados de la Casa Blanca utilizan ordenadores o dispositivos móviles que ejecutan servicios de proxy residencial, los cuales ponen su dirección de internet a disposición de otros para su alquiler, según expertos en seguridad. Uno de esos servicios de proxy es una empresa rusa cuyo negocio de alojamiento web fue, en palabras de Krebs, el epicentro de los ciberataques contra sistemas electorales en Arizona. La noticia fue recogida y difundida de nuevo en Telegram la misma mañana.

Por qué importaLos SDK de proxy residencial llegan con VPN gratuitas, juegos y utilidades; si su lista de permitidos trata la «IP residencial» como benigna, ahora es un servicio gestionado para otra persona.

confianza 0.78

Fuentes

Rarezas

El sitio de extorsión de BrainCipher ahora se disculpa por no saber a quién ha robado

Varias fichas de BrainCipher en ransomware.live llegan con descripciones de víctimas generadas por IA que se niegan a describir a la víctima: para megastarfinancial.com, «No dispongo de información verificada y fiable sobre una empresa que opere en megastarfinancial.com»; para ciscocems.com, una nota que indica que el dominio se parece superficialmente a Cisco y que no se puede confirmar ninguna afiliación. Las entradas correspondientes de ransomlook no son nada vagas: citan 32 000 documentos de material de prestatarios en una ficha y 243 500 archivos que suman más de 170 GB en otra, con una dirección de contacto en cyberfear.com. La economía de la extorsión ha llegado a la fase en que el texto comercial se subcontrata a un modelo que tiene la decencia de expresar incertidumbre, algo que el atacante no tiene.

Por qué importaLos metadatos de los sitios de filtraciones están ya en parte escritos por máquinas, de modo que las etiquetas de sector y país de su hoja de seguimiento son conjeturas de un LLM y no datos contrastados.

confianza 0.80

Fuentes

§3

Oculto

La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.

Bajo las fuentes: una campaña real, varias cargas por lotes disfrazadas de ola delictiva y un mercado de afirmaciones inverificables.

Exception 01
La «oleada» de ransomware del martes es en gran parte publicación por lotes reflejada dos veces
Safepay (26 elementos), Soul (25, todos vinculados al único dominio codice-ledger.io), BrainCipher (19) y N0n (12) alcanzan su máximo el 4 de noviembre frente a una mediana de 0–1 en otros días, y ransomware.live suele ir aproximadamente una hora por delante de ransomlook en los mismos dominios de víctimas. Se trata de volúmenes de publicación, no de incidentes independientes.
confianza 0.70
Wrong if
Las entradas de Soul se resuelven en víctimas distintas con dominios y sectores diferentes, o las víctimas confirman las intrusiones una a una.
Watch
Si alguna víctima de Soul o Safepay confirma una brecha, o es confirmada por la prensa, en los próximos 3 a 7 días.
Fuentes
Exception 02
Ninguna fuente vincula la campaña móvil de APT29 con la nueva entrada de Apple en KEV
APT29 aparece en RSS, cyber-news, OTX y Telegram en un plazo de cinco horas, y CISA añadió el CVE-2024-27834 de Apple en la misma ventana. La tentación de unirlos es fuerte y carece de fundamento: ningún elemento conecta la entrada de KEV con el conjunto de exploits de Sekoia.
confianza 0.60Speculative
Wrong if
La lista de indicadores o de exploits de Sekoia incluye CVE-2024-27834, o CISA cita esta campaña.
Watch
Seguimientos de Sekoia y nuevas incorporaciones de iOS o Android a KEV durante la próxima semana.
Fuentes
Exception 03
Las cifras de coste de la generación de exploits con IA no cuadran
Se informa de que el mismo proceso costó 1,2 millones de dólares en API y, en un pasaje citado, unos 32 936 dólares para la campaña, con una valoración hipotética de recompensas de 18,9 a 66,3 millones. Es probable que los alcances difieran; ninguna fuente lo dice. El hilo de la IA como objetivo —tokens de modelos robados, extensiones envenenadas, adware de prompts— está mucho mejor corroborado que la aritmética de la IA como arma.
confianza 0.50Speculative
Wrong if
Un análisis primario aclara que las dos cifras abarcan alcances distintos y ambas se sostienen.
Watch
El análisis original del investigador y cualquier respuesta de los mantenedores del kernel.
Fuentes
Exception 04
Un vendedor de Telegram toma prestado el esquema de nombres de Mandiant
Un canal que anuncia un conjunto de datos ucraniano de 2,285 PB, un conjunto reciclado de 800 millones de registros de Facebook y pivotes de Slack/Jira hacia Google y Motorola opera bajo «UNC6783», una etiqueta con forma de clúster de seguimiento profesional. Tomar prestadas marcas es más barato que comprometer sistemas.
confianza 0.55Speculative
Wrong if
Las víctimas nombradas confirman los datos, o un proveedor emplea públicamente UNC6783 para esta actividad.
Watch
Declaraciones de las víctimas y verificación independiente de los datos de muestra.
Fuentes

Nothing to seeNo hay pruebas de una campaña coordinada entre los grupos de ransomware; el solapamiento entre fuentes consiste en las mismas publicaciones reflejadas dos veces. El grupo de las 04:00 del 5 de noviembre es una oleada ordinaria de publicaciones matutinas. Los mensajes del «capítulo final» de BreachForums, las reivindicaciones hacktivistas sobre la ONU y la política india, la señal sísmica de Vanuatu y la nota de Shodan sobre AS35805 son ruido de una sola fuente y no se ha construido nada sobre ellos. El silencio de NVD tras las 00:31 del 4 de noviembre es casi con seguridad ingesta por lotes, no una caída del servicio.

Deep read: 572 artículos leídos

§4

Previsión

Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.

Today’s calls

DueSat 14 Nov9 days
Al menos otra aerolínea o empresa de viajes u hostelería revela públicamente una brecha atribuida a Amadeus IT Group.
Wrong ifNo aparece en estas fuentes ninguna nueva revelación vinculada a Amadeus antes del 14 de noviembre.
Fuentes
1. 1Security newsMore Asian airlines announce data breaches after at…
f-2026-11-05-1
Confidence0.60
DueThu 12 Nov7 days
Ninguna fuente de reputación confirma una herramienta de explotación pública y corroborada para los tres CVE de WordPress anunciados por @Ransomwareg (incluidos CVE-2026-63030 y CVE-2026-60137).
Wrong ifUn proveedor o investigador identificado confirma una herramienta pública funcional para esos CVE antes del 12 de noviembre.
Fuentes
f-2026-11-05-2
Confidence0.50
DueThu 12 Nov7 days
IHG Hotels & Resorts no confirma públicamente la reivindicación de intrusión de BYOD.
Wrong ifIHG emite un comunicado o una notificación regulatoria que reconoce el incidente antes del 12 de noviembre.
Fuentes
1. 1Telegram🚨 Major breach in UK BusinessServices sector A lead…
f-2026-11-05-3
Confidence0.65

Scorecard

1 right

right
CISA adds at least one further vulnerability to the KEV catalogue by 11 November 2026.
Called Wed 4 Nov · due Wed 11 Nov
CISA KEV added CVE-2024-27834 (Apple Multiple Products) on 2026-11-04, and CVE-2026-119977 (WordPress Core) was also confirmed added on 2026-11-04.
Fuentes
1. 1CISA KEVCVE-2024-27834 Apple Multiple Products: Apple Multi…
2. 2Security newsCISA Confirms Hackers Exploiting WordPress Core Fla…

Glosario de términos ante los que se espera que asientas

Fin de vida útil (n.): la fecha en que un fabricante deja de escribir parches para un dispositivo que, pese a ello, seguirá en su rack varios años más, crítico, sin que nadie lo mencione y accesible desde internet.

§5

Desde nuestro perímetro

Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.

Nuestro propio perímetro, entretanto, tuvo un día normal, y eso es lo que da miedo. El sensor Adversary DNA perfiló 95 fuentes hostiles —49 escáneres, 36 rastreadores automáticos, 6 operadores dirigidos y 2 atacantes de fuerza bruta— que enviaron entre todas 7645 solicitudes, de las cuales 41 pasaron del reconocimiento a intentos reales de explotación, repartidas en 12 grupos de direcciones con una huella de comportamiento común. Vimos 5182 direcciones en total procedentes de 93 países, 1536 de ellas por primera vez, con una hostilidad máxima de 8,5 sobre 10. Seis direcciones enviaron 34 solicitudes con la forma de CVE-2017-9841 contra nuestras rutas de PHPUnit, un exploit con nombre que se sigue lanzando contra internet con independencia de lo que digan las notas del parche sobre el año. Un escáner en 34.62.82.207 lanzó 123 solicitudes en aproximadamente medio segundo en busca de archivos .env. Otro, 207.175.165.55, envió 121 solicitudes recorriendo /.aws/credentials y después pidió, específicamente, /.env.anthropic: la lista de la compra se ha actualizado, y las claves de modelos figuran ahora junto a las de la nube. Los registros en bruto nunca salieron del servidor; solo lo hicieron estos hallazgos.

95fuentes hostiles perfiladas

7645solicitudes de estas fuentes

41llegaron a la explotación

12grupos de ADN compartido

8,5/10hostilidad máxima

5182direcciones en nuestro perímetro

1536vistas por primera vez hoy

93países

La lista WTF

WTF #1
A la caza de sus claves de IA
207.175.165.55, un escáner (hostilidad 5,4/10), envió 121 solicitudes a uno de nuestros sitios, en busca de /.aws/credentials, /.aws/credentials.bak, /.env-example, /.env.
Por qué es llamativoFue directo a por las credenciales de IA: /.env.anthropic. Las claves de API de modelos figuran ya en la lista de la compra de los escáneres junto a las de la nube.
attribution: desconocidoWed 4 Nov, 21:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · ADN 18e39c4b41fb
```
WTF #2
El visitante más tenaz
103.47.145.23, un escáner (hostilidad 7,4/10), envió 22 solicitudes a uno de nuestros sitios, en busca de /wordpress/wp-login.php, /site/wp-login.php, /admin/wp-login.php, /web/wp-login.php.
Por qué es llamativoLa mayor hostilidad del cuadro; su cadena de ataque alcanzó el acceso a credenciales.
attribution: desconocidoWed 4 Nov, 21:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización → acceso a credenciales · ADN e91dc116af74
```
WTF #3
Probando CVE-2017-9841 contra nosotros
6 direcciones enviaron 34 solicitudes con la forma de una explotación de CVE-2017-9841 (/vendor/phpunit/phpunit/…), entre ellas 185.177.72.23, 185.177.72.70, 185.177.72.100.
Por qué es llamativoUn exploit conocido y con nombre que se sigue lanzando contra internet; nuestro perímetro lo vio hoy, diga lo que diga el parche sobre el año.
attribution: desconocido
Detail
```
familia de sondeo: phpunit-rce
```
WTF #4
Mismo ADN, direcciones distintas
114.119.154.203, un rastreador automático (hostilidad 0,2/10), envió 66 solicitudes a uno de nuestros sitios, en busca de /threat-check/Adobe%20Reader%20and%20Acrobat%20Arbitrary%20Code%20Exec.
Por qué es llamativo11 IP comparten una misma huella de comportamiento (ADN 672df8667b3d): una sola herramienta o un solo operador que rota direcciones: 213.32.68.80, 85.208.96.194, 180.92.135.45, 57.129.81.224, 152.39.230.157 y más.
attribution: desconocidoWed 4 Nov, 21:00 UTC
Detail
```
cadena de ataque: reconocimiento → explotación · ADN 672df8667b3d
```
WTF #5
La lista de la compra más extraña
213.202.253.4, un escáner (hostilidad 6,8/10), envió 29 solicitudes a uno de nuestros sitios, en busca de /wp-content/txets.php, /filefuns.php, /wp-content/postnews.php, /postnews.php.
Por qué es llamativoPidió archivos que casi nadie más pide: /wp-content/txets.php, /filefuns.php, /wp-content/postnews.php, /postnews.php, /userfuns.php.
attribution: desconocidoWed 4 Nov, 21:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · ADN 6f8669ba7e26
```
WTF #6
Con prisa
34.62.82.207, un escáner (hostilidad 5,4/10), envió 123 solicitudes a uno de nuestros sitios, en busca de /.env, /.env-example, /.docker/laravel/app/.env, /.aws/.env.
Por qué es llamativoLanzó 123 solicitudes en unos 0,5 segundos.
attribution: desconocidoWed 4 Nov, 22:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · ADN 18e39c4b41fb
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

246claims, 7 days

42of 272 groups active

thegentlemen50 this week · surging

qilin25 this week

N0n22 this week

Surgingthegentlemen — 50 claims in 7 days against 24.6 expected from its own prior rate (p < 0.001)
Surgingsafepay — 18 claims in 7 days against 5.0 expected from its own prior rate (p < 0.001)
Surginggenesis — 9 claims in 7 days against 2.1 expected from its own prior rate (p < 0.001)
SurgingBrainCipher — 8 claims in 7 days against 1.8 expected from its own prior rate (p < 0.001)
Surgingrhysida — 6 claims in 7 days against 1.6 expected from its own prior rate (p = 0.006)
SurgingSilentRansomGroup — 8 claims in 7 days against 2.8 expected from its own prior rate (p = 0.007)

Gone quiet: DYSPHOR1A (60 days), gunra (62 days), lynx (68 days), AiLock (71 days).

Sector pressure, 30 days

UpTransportation — 1.9× its own prior share (68 claims, 35 expected)
UpEducation — 1.9× its own prior share (53 claims, 28 expected)
UpEnergy & Utilities — 1.4× its own prior share (37 claims, 27 expected)
UpHealthcare — 1.2× its own prior share (107 claims, 89 expected)
DownAgriculture and Food Production — 0.6× its own prior share (20 claims, 35 expected)

25% of claims carry no sector label.

Brand churn

Of the 234 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 38% made at least half their claims in their first week. New brands this month: 3 — newest: Aoqin (2026-11-04, 4 claims), OBSOFT (2026-11-03, 6 claims), PixelLeaks (2026-11-03, 1 claim).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.4× every other brand's share); N0n put 33% of its claims on Transportation (7.4× every other brand's share); genesis put 95% of its claims on the United States (2.6× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 60% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 1 of 195 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 33% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Acompañamientos

Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§8

Colofón

Cómo se elaboró esta edición, sin rodeos.

La edición 39 ha sido elaborada por una máquina y revisada por código. Se leyó íntegramente cada elemento publicado por 15 fuentes públicas de amenazas en las 24 horas hasta las 05:05 (hora del Reino Unido) (572 elementos): estadísticas calculadas por código, cada porción leída por Claude Sonnet, la estructura sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada noticia cita los elementos en los que se basa; las noticias cuyas referencias no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de la publicación (0 hoy). Los pronósticos se evalúan públicamente en ediciones posteriores. «Desde nuestro perímetro» son datos de ataques reales de nuestros propios servidores. Costee de esta edición: 1,09 $. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la ha editado a mano, lo cual es o bien el objetivo o bien el problema.

572items read

24hour window

$1.09cost of this edition

05:05 UTCgenerated

Fuentes de esta mañana

NVD100ok
ThreatFox100ok
RansomLook73ok
Signal Atlas60ok
Telegram57ok
Security news52ok
ransomware.live47ok
infosec.exchange40ok
RSS11ok
atlas10ok
AlienVault OTX10ok
signal:ioc-family9ok
signal:kev1ok
CISA KEV1ok
Ransomware tempo · Ninja Signal graph1ok

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

CISA afirma que WordPress Core está siendo explotado durante las actualizaciones, y de paso añade un fallo de Apple de hace dos años

APT29 secuestró un script de analítica y el teléfono hizo el resto

Mil conmutadores Zyxel, dos fallos de SonicWall que nadie corregirá y una cola de parches interminable

Cuatro grupos vaciaron su carpeta de borradores el martes, y los rastreadores lo llamaron oleada

948 exploits root para Linux en treinta horas, y los escáneres ya piden las claves de sus modelos

El primer informe de incidente de Binance: tres ingenieros, una tarea de programación trucada y meses de paciencia

Varios empleados de la Casa Blanca alquilan sus direcciones de internet, posiblemente sin saberlo

El sitio de extorsión de BrainCipher ahora se disculpa por no saber a quién ha robado

La «oleada» de ransomware del martes es en gran parte publicación por lotes reflejada dos veces

Ninguna fuente vincula la campaña móvil de APT29 con la nueva entrada de Apple en KEV

Las cifras de coste de la generación de exploits con IA no cuadran

Un vendedor de Telegram toma prestado el esquema de nombres de Mandiant

Today’s calls

Scorecard

Glosario de términos ante los que se espera que asientas

La lista WTF

A la caza de sus claves de IA

El visitante más tenaz

Probando CVE-2017-9841 contra nosotros

Mismo ADN, direcciones distintas

La lista de la compra más extraña

Con prisa

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Fuentes de esta mañana