A Daily Field Report on Things That Are Probably Fine
No. 43·Lunes 9 Noviembre 2026·Publicado a las 06:00 UK·Indicador Fine 3/5: No muy bien, pero aún no es una crisis
Apertura · Vulnerabilidades
Cinco fallos remotos en un router que ya no tiene a nadie que lo repare
Cinco CVE de D-Link DIR-878 han aparecido a la vez, con código de explotación público y sin parche, porque el producto ha salido de soporte; y las botnets de consumo viven una semana intensa.
confianza0.90
El lote va de CVE-2026-124560 a CVE-2026-124564, todos contra D-Link DIR-878 1.20B05, todos en el gestor HNAP, todos remotos. Un desbordamiento de búfer en el montón en GetCAPTCHAsetting, calificado como crítico con riesgo de ejecución remota de código. Un desbordamiento de pila en SetVLANSettings, en prog.cgi, a través del argumento VID. Dos desbordamientos más en SetWanSettings, uno mediante Primary/Secondary y otro mediante ConfigDNS/Primary/ConfigDNS/Secondary. Y un salto de directorios (path traversal) en GetListDirectory mediante ListDirectoryPath. Los avisos señalan que los exploits se han divulgado públicamente y pueden utilizarse, y que las vulnerabilidades solo afectan a productos que el fabricante ya no mantiene. El consejo de mitigación del análisis público es, íntegramente: aislar o retirar los routers sin soporte.
El fin de vida es un estado en una hoja de cálculo. No es un estado en la física. El router no sabe que lo han descatalogado; sigue respondiendo a peticiones HNAP con la misma alegre competencia de su primera semana, igual que un frigorífico cuya garantía caducó en 2019 sigue enfriando la leche, sigue consumiendo corriente y sigue siendo, técnicamente, un incendio en potencia. Lo único que ha terminado es la posibilidad de que alguien lo repare. Lo que significa que el ciclo de parches de este dispositivo no es un ciclo de parches. Es un salto al vacío.
En la misma ventana, nuestras fuentes recogieron once nuevos indicadores de Mirai, ochenta y seis nuevos indicadores de Mozi y un goteo constante de hashes de muestras de Mirai en ThreatFox. Nadie nos ha mostrado todavía tráfico de explotación HNAP contra estos cinco CVE, y no vamos a fingir lo contrario. Simplemente señalamos que la ejecución remota de código sin autenticación en un router de consumo sin soporte, con exploits funcionales a la vista de todos, tiene una carrera profesional muy conocida, y no incluye un calendario de divulgación responsable.
Por qué importaSi hay un DIR-878 en su infraestructura o en la mesa de un teletrabajador con una vía de gestión hacia cualquier sistema, no llegará ningún parche; los únicos controles disponibles hoy son el aislamiento de red y el contenedor de basura.
Un dispositivo al final de su vida útil no ha dejado de funcionar. Ha dejado de ser responsabilidad de nadie salvo de usted, y el exploit no lee las notas de la versión.
— Sturgeon's Revelations · Probably Fine Daily No. 43
Cada mañana06:00 UK
Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.
Un correo al día. El periódico completo. Cancela la suscripción con un clic.
§2
Principales noticias
El resto de las últimas 24 horas, con fuentes.
Vulnerabilidades
El fallo «sshole» pasa del papel al honeypot
El SANS Internet Storm Center informa de que sus honeypots Cowrie registran un aumento de intentos de explotación de CVE-2026-123158, la vulnerabilidad «sshole» surgida la semana pasada. El ISC señala que sus propios datos son limitados en este caso, porque los honeypots solo recogen los primeros 255 caracteres de una contraseña SSH y los intentos usan contraseñas más largas. Es un detalle delicioso: el instrumento se ve desbordado por el ataque que está midiendo.
Por qué importaLos intentos de explotación ya se observan, no se teorizan; considere el SSH expuesto a internet como prioritario hoy, y no en el próximo fin de semana de mantenimiento.
El panel dice que se enfría; el contador dice dieciocho
El pulso de hoy de Ninja Signal registra 252 reivindicaciones en sitios de filtraciones en siete días procedentes de 43 de los 273 grupos monitorizados, con medusalocker en alza con 18 reivindicaciones frente a las 1,46 esperadas según su propia tasa previa, BrainCipher con 12 frente a 1,74 y metaencryptor con 7, todos con p inferior a 0,001. La misma ventana muestra cómo se ve eso a velocidad de publicación: N0n subió las reivindicaciones n.º 138 a n.º 147 en unos seis minutos, incransom publicó tres en unos dos, LockBit5 soltó cuatro de golpe, entre ellas Sun Clinical Laboratories, Yatra, Grupo Telles y Starmark, Deadlock despachó Kadick, Chonlatee, Trinity Custom Homes, Coopebis, NoseTea y Fidex, y akira reivindicó Calmont Wire & Cable. Mientras tanto, Atlas etiquetó como «cooling» (en enfriamiento) las rachas sectoriales de medusalocker. Ambas cosas están en la misma fuente, la misma mañana, sobre el mismo grupo.
Por qué importaLa publicación por lotes convierte un sitio de filtraciones en un calendario editorial, no en una cronología de incidentes; cuente las reivindicaciones por semana frente a la línea base del propio grupo antes de informar a nadie sobre «niveles de actividad».
Su clave de modelo ya está en la misma lista de la compra que su clave de nube
iTnews informa de que la opción «Don't ask again» de Claude Code, de Anthropic, filtra secretos de desarrolladores: los investigadores han contado 2.539 credenciales expuestas y el proveedor estudia soluciones. Por otra parte, Wired informa de que los modelos de IA chinos gratuitos se están volviendo aterradoramente buenos en hacking.
Por qué importaLas claves de API de modelos necesitan ya el mismo tratamiento que las de la nube: inventario, rotación, límites de salida y una detección para quien descargue archivos ocultos (dotfiles) de la raíz de su web.
Plugins de WordPress: nueve maneras de convertirse en administrador antes del desayuno
El lote de la NVD incluye Static Snapshot hasta la 0.2.1, donde atacantes no autenticados pueden inyectar metacaracteres de shell en comandos del sistema operativo, y WP Libre Form 1.5.0.1, donde usuarios no autenticados pueden subir archivos PHP a una ubicación accesible desde la web y ejecutarlos. Wurdey hasta la 1.0.0 le abre sesión como administrador si conoce el nombre de usuario del administrador y nada más; WHIZZ hasta la 1.1.8 permite a cualquiera fijar una contraseña arbitraria para cualquier usuario; placester hasta la 1.4.3 permite a atacantes no autenticados sobrescribir el correo electrónico de un administrador y entrar mediante el restablecimiento de contraseña; GS JWT Authentication hasta la 1.0.0 y Mail Mage hasta la 0.0.25 sufren ambos inyección SQL sin autenticación. En Telegram, @NeuraSCTB dedicó la misma ventana a anunciar herramientas de dorking, herramientas de CVE para webshells y herramientas de creación de cuentas de WordPress, y después ofreció 400 registros de cuentas de WordPress de dominios aleatorios.
Por qué importaLa toma de control de administrador sin autenticación en un plugin no es un asunto del martes de parches; haga inventario de lo que está realmente instalado, no de lo que dice el formulario de compras, y actualice hoy.
Diez fallos de Keycloak, varios de ellos la capa de identidad negándose a comprobar la identidad
Un único lote de divulgación contiene diez CVE de Keycloak, y el tema es incómodo. CVE-2026-19688: la API REST de administración no verifica la audiencia prevista de los tokens de portador, de modo que un atacante que opere un cliente en un realm puede capturar el token de acceso de un administrador y reutilizarlo. CVE-2026-97367: el propietario de un cliente malicioso puede dirigir sus propios tokens a la sesión activa de otro usuario, hasta llegar a la toma de control total de la cuenta mediante los datos de recuperación. CVE-2026-107124 fija un ID de sesión en el navegador de la víctima a través del endpoint de cierre de sesión de OIDC antes de que terminen las comprobaciones de seguridad. CVE-2026-96460 permite a un solicitante prolongar indefinidamente el acceso de una cuenta de servicio intercambiando tokens repetidamente, y el resto abarca la omisión de las ProxyRestrictions de SAML, tokens sin estado que recurren a nombres de usuario, inyección de roles mediante el registro dinámico de clientes (Dynamic Client Registration), abuso de nombres de claims, roles con forma de Jackson que eluden la sanitización, y abuso de manage-clients sobre JWKS y secretos de cliente.
Por qué importaEste es el componente en el que confía todo lo demás, así que aplique el parche según el calendario del equipo de identidad, no el del backlog de aplicaciones, y revise después las audiencias de los tokens de administración.
Iris Ohyama: 7,7 millones de personas, y el archivo estaba en la nube de otro
El fabricante japonés Iris Ohyama, operador de la plataforma de compras Iris Plaza, ha revelado que los datos personales de unos 7,7 millones de personas pueden haber quedado expuestos tras un acceso no autorizado a un servicio en la nube de terceros que utilizaba. El desglose es de 5,8 millones de miembros y antiguos miembros más 1,9 millones de no miembros; se halló un archivo sospechoso en el servicio de terceros, y pueden estar expuestos nombres, direcciones, correos electrónicos, fechas de nacimiento y contraseñas cifradas, sin que allí se almacenaran datos de tarjetas. «Antiguos miembros» es la expresión que merece una pausa: personas que se marcharon, contadas igualmente.
Por qué importaSus servicios en la nube de terceros custodian los datos de sus clientes en su nombre, de modo que el calendario de conservación de los antiguos clientes es un control de seguridad y debe auditarse como tal.
ShinyHunters se rebautiza con la etiqueta que le pusieron los investigadores
El canal de Telegram @espeonsh pasó a llamarse «Scattered Lapsus Hunters UNC6783», publicó un canal de respaldo, enlazó un perfil de patched.to para shinyhunters y después anunció género nuevo: listados de clientes de bancos de la UE de FR, CH y BE con fullz incluidos, y bases de datos de casas de cambio de criptomonedas «de nivel alto verificadas». Cuatro publicaciones en un día. Nada en el material verifica que el inventario sea real, que los operadores sean quienes dicen ser, ni que adoptar el nombre de un clúster de seguimiento como marca signifique algo más que márketing.
Por qué importaTrate el nombre de un canal como una afirmación, no como una atribución; si un informe de un proveedor cita el cambio de nombre como prueba de identidad de un grupo, pregunte en qué más se apoya.
El modelo de lenguaje que admitió que no tenía nada, en mitad de una publicación de extorsión
Eclipse reivindicó globalair.com.sg con una descripción de la víctima que decía, íntegramente y marcada como «[AI generated]»: «N/A I don't have reliable, verified information about a specific company operating at globalair.com.sg. Rather than speculate about its business activities, industry classification, or operational details, which could produ—». En otro lugar, @DarkfeedNews calificó cinco alertas distintas con «AI Risk Level: 10/10», entre ellas dos filtraciones distintas de bases de datos de comercio electrónico, registros de empleados del Gobierno de Malasia y un banco ecuatoriano. Y Atlas generó cincuenta historias para thegentlemen en un día frente a una mediana de cero. En algún punto de todo esto hay víctimas reales; todo lo que las rodea es autocompletado.
Por qué importaLa mitad de la «inteligencia» del ecosistema, criminal y comercial por igual, es ya texto generado con una puntuación de confianza adjunta; verifique a la víctima, no el reportaje.
La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.
Buena parte de la «confirmación entre fuentes» de hoy es una sola publicación de un sitio de filtraciones con tres sombreros, y una fuga de sandbox que nadie ha incorporado todavía a una historia.
Exception 01
Atlas y ransomlook dependen de ransomware.live, no son independientes de él
Para N0n, BYOD, incransom, akira y Deadlock, ransomware.live publicó primero, ransomlook siguió con un retraso de 1 a 9 horas y signal:atlas de 6 a 8,5 horas. Los recuentos multifuente de estos actores reflejan un único hecho subyacente que se propaga a través de agregadores, lo que significa que una marca de escalada de Atlas no es corroboración de la reivindicación original.
confianza0.80
Wrong if
Elementos de Atlas de estos actores con marcas de tiempo de los hechos anteriores a las publicaciones de ransomware.live, o que citen una fuente distinta.
Watch
Retraso por actor durante las próximas 24 a 48 horas; trate Atlas como una capa derivada.
Las etiquetas de los agregadores de Deadlock no coinciden con el lugar donde están las víctimas
La nigeriana Kadick está etiquetada como US, la tailandesa NOSE TEA como US Retail y la colombiana Coopebis como Costea Rica, Agriculture. Cualquier estadística de país o sector construida a partir de estas etiquetas es errónea antes de llegar a su diapositiva, como lo son las escaladas por país derivadas de ellas.
confianza0.70
Wrong if
Los dominios y direcciones registrados de las víctimas coinciden con los países etiquetados.
Watch
Si las etiquetas se corrigen en actualizaciones posteriores.
Cincuenta historias de thegentlemen en una hora son probablemente un lote de procesamiento
Atlas produjo 50 elementos para thegentlemen el 2026-11-08 frente a una mediana de cero en otros días, dentro de un clúster horario de las 12:00 con 61 elementos frente a una media de 9,91 por hora. Parece una multiplicación de historias generadas a través de permutaciones de sector y país, más que 50 hechos distintos.
confianza0.55Speculative
Wrong if
Existen cincuenta hechos distintos de víctimas o del sitio de filtraciones para thegentlemen en esa fecha.
Watch
Si el patrón se repite en la próxima ejecución de Atlas.
Exception 04
Un fallo del kernel del host que socava el sandbox que compró para contener el anterior
iTnews informa de que unos investigadores han convertido el fallo de Linux PwnEscape en una fuga de Firecracker, demostrando un fallo del kernel del host que socava el aislamiento en sandbox como defensa en profundidad. Si el aislamiento de microVM es un pilar en su diseño multiinquilino o de CI, esa suposición es lo que debe reexaminar esta semana.
confianza0.65
Wrong if
La fuga demostrada resulta requerir condiciones que no se dan en los despliegues estándar de Firecracker.
Watch
Avisos de proveedores y distribuciones que nombren la corrección del kernel.
El silencio del feed de la NVD tras el 07 de noviembre es casi con seguridad culpa de nuestra infraestructura
Los elementos de la NVD se detienen después del 2026-11-07T19:36 pese a haber exactamente 100 elementos anteriores, y ThreatFox también se detiene en exactamente 100. Las cifras redondas de ese tipo son límites de ingesta, no una pausa en la publicación de CVE, y nadie debería presentarlo como una semana tranquila.
confianza0.60Speculative
Wrong if
Una nueva descarga completa no muestra marcas de tiempo de publicación de la NVD posteriores al 2026-11-07.
Nothing to seeNo se encontró vínculo alguno entre los clústeres de CVE de Keycloak, undici, Foxit y JetBrains y ningún actor de amenazas; son lotes rutinarios de divulgación de proveedores. Las marcas de crisis compuesta de Atlas para Taiwán, Indonesia, Panamá, Colombia, Japón, Rusia y Filipinas no incluyen actores nombrados ni hechos, y son de poca señal. La afirmación en Telegram sobre un exploit «DarkSword» para Safari llegó adjunta a un anuncio de un casino de criptomonedas y no la recogemos. El clúster #monsterdon de noches de cine en Mastodon no es un conjunto de intrusión.
Deep read: 432 artículos leídos
§4
Previsión
Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.
Today’s calls
DueCallConfidence
DueMon 23 Nov14d
No existirá ninguna entrada en el KEV de CISA para ninguno de los CVE-2026-124560 a CVE-2026-124564 (D-Link DIR-878) al final del día 23 de noviembre de 2026, pese al código de explotación público, porque el dispositivo está fuera de soporte.
Wrong ifAparece una entrada en el KEV para cualquiera de los cinco CVE del DIR-878 antes de esa fecha.
medusalocker publicará al menos cinco reivindicaciones adicionales en sitios de filtraciones visibles en ransomware.live o ransomlook entre ahora y el 16 de noviembre de 2026, manteniéndose por encima de su propia tasa previa de 1,46 por semana.
Wrong ifAparecen menos de cinco nuevas reivindicaciones de medusalocker en esas fuentes durante la ventana.
Al menos una de las reivindicaciones n.º 138 a n.º 147 de N0n pasará de exposición pendiente a víctima nombrada en ransomware.live o ransomlook antes del 19 de noviembre de 2026.
Wrong ifLas diez reivindicaciones siguen sin nombre o se retiran sin que se nombre a ninguna víctima.
f-2026-11-09-3
Confidence0.50
Scorecard
1 wrong · 2 open
open
None of the CGM CLININET CVEs published on 23 October is added to CISA KEV by 9 November 2026.
Called Mon 26 Oct · due Mon 9 Nov
No KEV-addition items appear in today's feed, so a negative call can't be settled either way.
wrong
At least one of Everstake's scheduled releases (the 494 Gb entry dated 4 November or the 370.73 Gb entry dated 6 November) appears as published on ransomlook or ransomware.live.
Called Fri 30 Oct · due Sat 7 Nov
Due 7 Nov and past. No item shows an Everstake entry published on ransomlook or ransomware.live.
open
Booba Project's rolling seven-day leak-site claim count falls below 17 in the tempo report for 2026-11-09, having already been scored as cooling across its sectors.
Called Mon 2 Nov · due Mon 9 Nov
The 2026-11-09 tempo item is truncated and the visible part doesn't mention Booba Project.
Glosario de términos ante los que se espera que asientas
Fin de vida (hardware)(n.)
Un estado comercial, no físico. El dispositivo sigue enrutando paquetes, aceptando peticiones HNAP y respondiendo a todo internet exactamente como antes; lo único que ha terminado es la posibilidad de que alguien lo repare. Véase también: sigue enchufado detrás del archivador.
§5
Desde nuestro perímetro
Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.
Nuestro propio perímetro, durante la noche: el sensor Adversary DNA perfiló 84 fuentes hostiles —50 rastreadores automáticos (bots), 33 escáneres y un operador dirigido— que enviaron entre todas 7.504 peticiones, de las cuales 49 pasaron del reconocimiento a intentos de explotación. Once grupos de direcciones compartían una huella de comportamiento, entre ellos un clúster de diez IP que pedían los mismos archivos ocultos (dotfiles); 5.079 direcciones tocaron el perímetro desde 79 países, 1.596 de ellas por primera vez. La mayor puntuación de hostilidad fue de 7,7 sobre 10, correspondiente a 82.102.18.222, que envió 20 peticiones a rutas wlwmanifest y xmlrpc de WordPress y llegó al acceso a credenciales. Un escáner pidió /.env.anthropic junto con /.aws/credentials, que es la lista de la compra actualizándose discretamente. Otro lanzó 20 peticiones en unos 1,4 segundos, y una dirección probó CVE-2024-4577 en /index.php tres veces, porque los exploits viejos nunca se jubilan, solo se abaratan. Los registros en bruto nunca salieron del servidor; solo lo hicieron estos hallazgos.
84fuentes hostiles perfiladas
7.504peticiones procedentes de ellas
49llegaron a la explotación
11clústeres de ADN compartido
7,7/10hostilidad máxima
5.079direcciones en nuestro perímetro
1.596vistas por primera vez hoy
79países
La lista WTF
WTF #1
Buscando sus claves de IA
34.38.19.77, un escáner (hostilidad 5,4/10), envió 122 peticiones a uno de nuestros sitios, buscando /.env, /.aws/.env, /.env.anthropic, /.aws/credentials.
Por qué es llamativoFue directo a las credenciales de IA: /.env.anthropic. Las claves de API de modelos están ya en la lista de la compra de los escáneres junto a las claves de la nube.
attribution: desconocidoSun 8 Nov, 22:00 UTC
Detail
cadena de ataque: reconocimiento → militarización · ADN 18e39c4b41fb
WTF #2
El visitante más decidido
82.102.18.222, un operador dirigido (hostilidad 7,7/10), envió 20 peticiones a uno de nuestros sitios, buscando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Por qué es llamativoLa mayor hostilidad del cuadro; su cadena de ataque llegó al acceso a credenciales.
attribution: desconocidoSun 8 Nov, 22:00 UTC
Detail
cadena de ataque: reconocimiento → militarización → explotación → acceso a credenciales · ADN 82a939927b85
WTF #3
Probando CVE-2024-4577 contra nosotros
1 dirección envió 3 peticiones con la forma de una explotación de CVE-2024-4577 (/index.php), entre ellas 101.1.16.25.
Por qué es llamativoUn exploit conocido y con nombre propio que se sigue rociando por internet; nuestro perímetro lo vio hoy, diga lo que diga el año en las notas del parche.
attribution: desconocido
Detail
familia de sondeo: webshell
WTF #4
Mismo ADN, distintas direcciones
34.62.82.207, un escáner (hostilidad 5,1/10), envió 132 peticiones a uno de nuestros sitios, buscando /.aws/.env, /.docker/laravel/app/.env, /.env, /.docker/.env.
Por qué es llamativo10 IP comparten una misma huella de comportamiento (ADN 18e39c4b41fb): una herramienta o un operador que rota direcciones: 2400:6180:10:200::f6a7:9000, 34.156.35.188, 2a03:b0c0:1:e0:0:1:f004:9001, 35.195.41.101, 170.64.170.136 y más.
attribution: desconocidoSun 8 Nov, 22:00 UTC
Detail
cadena de ataque: reconocimiento → militarización · ADN 18e39c4b41fb
WTF #5
La lista de la compra más extraña
52.179.208.167, un escáner (hostilidad 6,7/10), envió 99 peticiones a uno de nuestros sitios, buscando /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /dehnl.php, /motu.php.
Por qué es llamativoPidió archivos que casi nadie más pide: /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /dehnl.php, /motu.php, /tpg-contato.php.
85.204.70.88, un escáner (hostilidad 6,3/10), envió 20 peticiones a uno de nuestros sitios, buscando //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Por qué es llamativoLanzó 20 peticiones en unos 1,4 segundos.
attribution: desconocidoSun 8 Nov, 22:00 UTC
Detail
cadena de ataque: reconocimiento → militarización · ADN dfef4501b216
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
252claims, 7 days
43of 273 groups active
N0n44 this week · surging
thegentlemen25 this week
medusalocker18 this week · surging
Surgingmedusalocker — 18 claims in 7 days against 1.5 expected from its own prior rate (p < 0.001)
SurgingBrainCipher — 12 claims in 7 days against 1.7 expected from its own prior rate (p < 0.001)
Surgingmetaencryptor — 7 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingN0n — 44 claims in 7 days against 26.5 expected from its own prior rate (p = 0.001)
SurgingSilentRansomGroup — 9 claims in 7 days against 3.0 expected from its own prior rate (p = 0.003)
Surgingakira — 14 claims in 7 days against 7.3 expected from its own prior rate (p = 0.018)
UpTransportation — 2.0× its own prior share (72 claims, 37 expected)
UpEducation — 1.3× its own prior share (43 claims, 33 expected)
DownAgriculture and Food Production — 0.6× its own prior share (20 claims, 37 expected)
26% of claims carry no sector label.
Brand churn
Of the 235 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 38% made at least half their claims in their first week. New brands this month: 4 — newest: Destello (2026-11-05, 1 claim), Aoqin (2026-11-04, 5 claims), OBSOFT (2026-11-03, 7 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.2× every other brand's share); N0n put 29% of its claims on Transportation (6.5× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 197 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 32% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.
Un correo al día. El periódico completo. Cancela la suscripción con un clic.
§8
Colofón
Cómo se elaboró esta edición, sin rodeos.
La edición 43 la ha elaborado una máquina y la ha comprobado código. Se leyó íntegramente cada elemento publicado por 13 fuentes públicas de amenazas en las 24 horas hasta las 05:05 (hora del Reino Unido) (432 elementos): estadísticas calculadas por código, cada porción leída por Claude Sonnet y la estructura sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada historia cita los elementos en los que se apoya; las historias cuyos justificantes no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de la publicación (0 hoy). Los pronósticos se califican públicamente en ediciones posteriores. «From our edge» son datos de ataques en vivo de nuestros propios servidores. Costee de esta edición: 0,76 $. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la ha editado a mano, lo cual es o bien el objetivo o bien el problema.
432items read
24hour window
$0.76cost of this edition
05:05 UTCgenerated
Fuentes de esta mañana
NVD100ok
ThreatFox100ok
Signal Atlas82ok
Telegram42ok
infosec.exchange36ok
ransomware.live24ok
RansomLook19ok
atlas18ok
Security news4ok
signal:ioc-family4ok
RSS1ok
signal:actor1ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 432|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.76|STATUS: NO MUY BIEN, PERO AÚN NO ES UNA CRISIS
OWNER: la máquina|EDITOR: las normas|CALLS OPEN: 3|NEXT REVIEW: mañana 06:00 UK