Apertura · Vulnerabilidades

Microsoft corrigió este mes una cifra de cuatro dígitos y nadie se pone de acuerdo en cuál

El recuento no es la noticia; la noticia es el fallo de Outlook que los atacantes ya estaban utilizando, y que entró en el KEV el martes.

confianza 0.90

BleepingComputer habla de 1,235 fallos. SecurityWeek, de 1,094. El SANS Internet Storm Center, de 1,260, de los cuales 68 son críticos y 167 son problemas de Chromium que le llegan a través de Edge. CyberScoop contó 1,093; Krebs on Security dijo casi 1,100 con 63 críticos. Son crónicas del mismo martes. No discutimos sobre el riesgo, discutimos sobre aritmética, y nadie zanjará la aritmética porque, cuando se zanje, habrá llegado otro martes.

Lo que no se discute: CVE-2026-124194, un fallo de ausencia de interacción del usuario en Outlook que permite a un atacante no autorizado suplantar identidad a través de la red, con CVSS 6.5, que Microsoft reconoce que se está explotando activamente y que la CISA añadió al catálogo de Vulnerabilidades Explotadas Conocidas el 10 de noviembre. La lectura que hace Dark Reading del resto señala, por debajo, fallos críticos en Exchange, SharePoint, Windows Search y LDAP. Adobe publicó el mismo día 110 correcciones en nueve productos, con Adobe Connect por sí solo acumulando 24 CVE, 18 críticos y seis con CVSS 10.0. La jornada de noviembre de SAP trajo cuatro fallos de severidad máxima en NetWeaver y Web Dispatcher, dentro de 35 correcciones y 42 avisos, según quién cuente.

Uno no instala una cifra. Instala KB5132061 o KB5131087 en Windows 11 y KB5131096 en Windows 10 con seguridad extendida, y empieza por el de Outlook, porque es el único elemento de la lista con un usuario confirmado. Todo lo demás es una cola. Uno de ellos ya tiene cliente.

Por qué importaUno de los más de mil fallos de este mes ya se está explotando y llega por correo electrónico; planifique el despliegue en torno a eso, no en torno al total.

Fuentes

Today’s revelation

El tamaño de una versión de parches mide lo bueno que se ha vuelto el fabricante encontrando fallos. No mide absolutamente nada sobre el jueves.

— Sturgeon's Revelations · Probably Fine Daily No. 45

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§2

Principales noticias

El resto de las últimas 24 horas, con fuentes.

Vulnerabilidades

Seis entran en el KEV, y dos de ellos son lo que lee su correo antes que usted

Barracuda ha advertido por separado de que los atacantes han empezado a explotar dos fallos de ESG corregidos recientemente para ejecutar comandos con privilegios de root. El día anterior, la CISA señaló una elusión de MFA en SonicWall SonicOS en medio de informes de posible explotación, y Google publicó actualizaciones de emergencia para el octavo día cero de Chrome del año.

Por qué importaCuatro de los seis residen en los dispositivos perimetrales que nadie reinicia a plena luz del día; los plazos de vencimiento son la única parte de todo esto que leerá su auditor.

confianza 0.90

Fuentes

Vulnerabilidades

Tres fallos que se están explotando ahora mismo y que carecen de la insignia KEV que lo haga oficial

Vates advierte de que una elusión crítica de autenticación en Xen Orchestra, registrada como VSA-2026-062 y aún sin CVE, se está explotando en la práctica: el análisis de cookies REST convierte authenticationToken=j:%7B%7D en un objeto vacío, la autenticación REST lo acepta, y se obtiene control de administrador y a nivel root de los hosts XCP-ng. La elusión de autenticación de OpenSSH conocida como «SSHole», CVE-2026-123158, se está utilizando para ejecutar comandos, robar credenciales y lograr persistencia, y la primera oleada se atribuye a botnets y mineros de criptomonedas. Y Huntress documentó una intrusión de octubre que encadenaba dos fallos de AhsayCBS, CVE-2026-105133 y CVE-2026-105134, para desplegar webshells ocultas en imágenes PNG, un minero y un implante en Python capaz de evadir sandboxes, con una consulta de credenciales observada contra un servidor Veeam relacionado.

Por qué importaLa explotación se produce en las capas de gestión de hipervisores y de copias de seguridad, que es donde vive su plan de recuperación.

confianza 0.85

Fuentes

Vulnerabilidades

N-able desconecta su N-central alojado y pide a los clientes locales que apaguen el suyo

Después de que un investigador divulgara públicamente más de 30 supuestos días cero en N-central, entre ellos fallos descritos como capaces de permitir el control total del sistema, N-able desconectó sus entornos alojados e instó a los clientes con instalación local a apagar sus servidores. El mismo fin de semana, el proyecto LNbits pidió a todos los operadores de su software de monedero Bitcoin Lightning que apagaran sus servidores mientras se preparan las correcciones, alegando una oleada de ataques. Dos fuentes recogen la noticia de N-able y la cifra de «más de 30» es una afirmación del investigador, no un recuento del fabricante, así que tómela con cautela mientras actúa con rapidez.

Por qué importaN-central es una herramienta para proveedores de servicios gestionados: una instancia comprometida es un llavero, no una llave, y apagarla sale más barato que explicarlo después.

confianza 0.70

Fuentes

Ransomware

Cuarenta y siete publicaciones de Inc Ransom en un día son un rastreador que se despierta, no una banda que trabaja más

El 10 de noviembre se iluminaron los rastreadores de sitios de filtraciones: Inc Ransom 47 elementos frente a una mediana de uno otros días, Interlock 20 frente a una mediana de cero, Vortex 17, N0n 17, Booba Project 13, con Inc publicando unas sesenta páginas de víctimas en un solo minuto. El recuento de tempo de Ninja Signal para la semana es de 306 reivindicaciones de 49 de los 275 grupos rastreados, con N0n en 97 reivindicaciones frente a las 27.56 esperadas según su propio ritmo previo e Interlock en 11 frente a 1.25; el recuento semanal de Hackmanac registra 448 ataques en 64 países, con INC Ransom como el más activo con 34 y EE. UU. como el más afectado con un 21.9 por ciento y 98 ataques. Las listas de víctimas son reales e incluyen distritos escolares, clínicas y varios proveedores de TI gestionados cuyas listas de clientes aparecen nombradas en las publicaciones, de modo que conviene evaluarlas una a una. Entretanto, NBC News informa de que algunas de las principales empresas estadounidenses rechazan trabajos de respuesta a incidentes de emergencia a medida que se disparan los ataques asistidos por IA, y Sophos afirma que otras firmas de DFIR le han pedido apoyo para absorber el exceso de trabajo; la valoración de un respondedor sobre el acceso inicial en todo esto fue que definitivamente no es sofisticado.

Por qué importaTrate el volumen de publicaciones como una marca de tiempo de ingesta y los nombres de las víctimas como trabajo; si no tiene un contrato de respuesta a incidentes, esta es la semana en que el mercado se quedó sin respondedores disponibles.

confianza 0.75

Fuentes

Actores de amenazas

Las propias credenciales de AWS de Qubole fueron la vía de entrada a más de una docena de clientes

Entre el 14 y el 26 de octubre, un atacante utilizó credenciales IAM de la cuenta de AWS 805246085872 de Qubole para asumir los roles de integración que los clientes habían concedido a la plataforma y después robó secretos almacenados, claves, variables de entorno, credenciales y datos, según Wiz. SecurityWeek eleva la cifra a más de una docena de organizaciones afectadas. Ni exploit, ni malware, ni nadie encapuchado: un rol que debía ser asumido, asumido.

Por qué importaEnumere todos los roles entre cuentas de su entorno con un principal externo, compruebe el ID externo y las claves de condición, y busque llamadas AssumeRole que no sepa identificar.

confianza 0.85

Fuentes

IA y seguridad

Las claves de modelos robadas ya son una partida de gasto: 740,000 $ de inferencia ajena

Railway afirma que los atacantes explotaron fallos en su infraestructura, robaron secretos de autenticación de clientes y generaron unos 740,000 $ en uso fraudulento de IA, con la posible exposición de credenciales de hasta 100,000 espacios de trabajo, mientras OpenRouter se niega a efectuar reembolsos. Fireworks AI confirmó una brecha más amplia que afecta a información de cuentas y facturación, secretos, conjuntos de datos, modelos incompletos y chats de Notion AI de un conjunto limitado de cuentas tras el compromiso de un proveedor de nube externo. NEAR AI sufrió la explotación de un fallo de ejecución remota de código de SGLang en un servidor de inferencia, con datos sustraídos de 18 agentes de IA y unas 100 cuentas de usuario, y con solicitudes en modo confidencial potencialmente visibles para el atacante. Y los archivos de configuración de Claude Code han estado subiendo discretamente miles de secretos a repositorios públicos de GitHub, que es la misma historia contada por otra herramienta.

Por qué importaLas claves de API de modelos son ahora tokens al portador con una relación de facturación; rótelas, acote su alcance, configure alertas de gasto y deje de almacenarlas junto a la configuración de su agente.

confianza 0.85

Fuentes

Actores de amenazas

Francia atribuye a una unidad de la IRGC los ataques de octubre a la refrigeración

Francia ha atribuido a hackers iraníes respaldados por el Estado los ciberataques de octubre que interrumpieron los sistemas de refrigeración de más de 700 supermercados y otros establecimientos minoristas, con pérdidas de alimentos y al menos 15 incendios, e identifica a los autores como parte de Shahid Kaveh, una unidad cibernética de la IRGC vinculada anteriormente a ataques contra controladores industriales de empresas de agua de EE. UU. La fiscalía de París ha abierto una causa contra un comandante y dos adjuntos; Teherán lo niega. Por separado, agencias estadounidenses han advertido de que actores de amenazas atacan activamente sistemas de refrigeración industrial y de monitorización de la cadena de frío en todo el mundo, explotando vulnerabilidades o debilidades de sistemas sin parchear, con interrupción del servicio, riesgo de incendio y pérdida de inventario como riesgos declarados.

Por qué importaLos controladores de refrigeración y de cadena de frío expuestos a internet son ya un conjunto de objetivos con nombre y con un adversario con nombre; encuentre los suyos antes que su aseguradora.

confianza 0.80

Fuentes

Rarezas

Dos marcas de coches, un admin:admin, todas las puertas

Dos investigadores de seguridad descubrieron que los sistemas de inicio de sesión de las aplicaciones móviles de dos marcas de coches podían tomarse por completo, lo que daba acceso a la cuenta de cualquier cliente y, en el caso de los propietarios de un coche conectado, la capacidad de abrir las puertas y arrancar el motor. La vía de entrada era un servidor con la contraseña por defecto admin:admin. Ambas aplicaciones autenticaban a los clientes a través del mismo sistema.

Por qué importaSi su producto puede mover una tonelada de metal, el servicio de autenticación que lo respalda merece algo más que la configuración de fábrica.

confianza 0.80

Fuentes

1Security newsDefault 'admin:admin' Server Password Helps Researc…

§3

Oculto

La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.

Buena parte de la aparente corroboración de hoy es sindicación, y buena parte del repunte de ransomware de hoy es un rastreador poniéndose al día.

Exception 01
Los picos en los sitios de filtraciones son cargas por lotes, no un cambio de ritmo
Inc Ransom publicó 47 elementos el 2026-11-10 frente a una mediana de uno otros días, Interlock 20 frente a cero, Vortex 17, N0n 17 y Booba Project 13, con Inc publicando unas sesenta víctimas en un minuto, Interlock unas diez en ocho minutos y tres entradas de Vortex en un minuto que comparten un mismo plazo, el 2026-11-12. Eso encaja mucho mejor con una carga retroactiva del rastreador, una migración del sitio o una subida automatizada que con un cambio repentino en el ritmo de intrusiones. Aun así, las víctimas merecen una evaluación individual.
confianza 0.70Speculative
Wrong if
Divulgaciones de víctimas o informes de incidentes que daten estas intrusiones en la última semana, o los mismos actores manteniendo el ritmo elevado durante varios días más.
Watch
Si Inc Ransom, Interlock y Vortex mantienen el ritmo durante 72 horas, y si el plazo del 12 de noviembre de Vortex produce datos publicados.
Fuentes
Exception 02
ransomware.live es la fuente temprana; todo lo demás es un eco
En el caso de Vortex, Interlock, Play, N0n, SilentRansomGroup, Booba Project, Dark Project, Climax y Aoqin, ransomware.live publicó primero y ransomlook, Atlas o Telegram le siguieron entre 1.6 y 17.6 horas después. Los recuentos «multifuente» de estos actores son la misma afirmación en circulación, no una confirmación independiente.
confianza 0.75
Wrong if
En una ventana más larga, ransomlook o Atlas van por delante en una proporción comparable de casos.
Watch
El desfase en los actores recién nombrados durante la próxima semana.
Fuentes
1. 1RansomLookaoqin leaks leaked Irwin Automotive Group
2. 2ransomware.liveBooba Project claimed Acclaim Health (Healthcare ·…
Exception 03
Los recuentos del Patch Tuesday se contradicen y el vínculo con el KEV es inferido, no declarado
CVE-2026-124194 es la única entidad que aparece en CISA KEV, cyber-news, Mastodon y la señal KEV, y probablemente es el día cero de Outlook explotado del Patch Tuesday, pero ninguna fuente une ambos explícitamente. Los totales publicados discrepan: 1,094, 1,235, 1,260 y entre 1,093 y 1,100 aproximadamente, y los recuentos de críticos de SAP también difieren. Utilice las notas de versión de los fabricantes, no los titulares, para su registro de cambios.
confianza 0.60
Wrong if
El aviso de Microsoft muestra que CVE-2026-124194 es un fallo distinto del día cero de Outlook explotado.
Watch
El texto del propio aviso de Microsoft y los plazos de vencimiento del KEV.
Fuentes
Exception 04
Las fuentes de vulnerabilidades se detienen a las 00:43 y casi con certeza es culpa de nuestra infraestructura
NVD, CISA KEV y la señal KEV se detienen tras 2026-11-10T00:43, con los 100 elementos de NVD en el periodo inicial y seis elementos en cada una de las fuentes KEV. Parece una única ingesta por lotes y no tres fuentes que se quedan en silencio, pero implica que la cobertura de CVE explotados del 10 y el 11 de noviembre en esta ventana es incompleta.
confianza 0.60Speculative
Wrong if
Elementos de NVD o KEV con marcas de tiempo posteriores aparecen en la próxima ventana.
Watch
Si las fuentes de vulnerabilidades se reanudan en la próxima ingesta.
Fuentes
1. 1NVDCVE-2026-103303: The Turisbook Booking System WordP…
2. 2CISA KEVCVE-2026-124194 Microsoft Office: Microsoft Office…

Nothing to seeNo se estableció ningún clúster temporal más allá de los picos en los sitios de filtraciones. Nada vincula entre sí los elementos de Irán, Rusia, China y la RPDC, ni con la actividad de ransomware. El clúster de Japón (Nitori, JCCI, Toyota) y la reivindicación de brecha en Binance son endebles y pueden ser coincidencia o suplantación. Las oleadas masivas de CVE contra OpenEMR, Craft CMS y SunEditor son artefactos de publicación por lotes sin indicios de explotación, y el volumen de ThreatFox es rutinario.

Deep read: 700 artículos leídos

§4

Previsión

Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.

Today’s calls

DueSun 15 Nov96h
Al menos una de las tres víctimas de Vortex con plazo el 12 de noviembre (PYRAMID HEALTHCARE, ALEXION, CRESA) aparece como datos publicados o filtrados en ransomware.live o ransomlook.
Wrong ifNinguna de las tres figura como publicada o filtrada en ninguno de los dos rastreadores a 15 de noviembre.
Fuentes
f-2026-11-11-1
Confidence0.55
DueWed 18 Nov7d
Inc Ransom publica menos de 20 nuevas reivindicaciones en su sitio de filtraciones en cualquier día entre el 12 y el 18 de noviembre, lo que confirma que los 47 fueron una carga retroactiva y no un ritmo real.
Wrong ifCualquier día de ese periodo con 20 o más nuevas reivindicaciones de Inc Ransom en ransomlook o ransomware.live.
Fuentes
f-2026-11-11-2
Confidence0.70
DueSat 21 Nov10d
La CISA añade al catálogo KEV el fallo de OpenSSH «SSHole», CVE-2026-123158.
Wrong ifCVE-2026-123158 no figura en el KEV el 21 de noviembre.
Fuentes
f-2026-11-11-3
Confidence0.35

Scorecard

1 partly · 2 wrong

wrong
Booba Project's rolling seven-day leak-site claim count falls below 17 in the tempo report for 2026-11-09, having already been scored as cooling across its sectors.
Called Mon 2 Nov · due Mon 9 Nov
The 2026-11-11 tempo report shows N0n surging at 97 claims in 7 days; Booba Project posted 6 new claims on 2026-11-10, well above 17 threshold. The tempo report covers 306 claims total and Booba Project atlas signals show escalating activity, not cooling below 17.
Fuentes
wrong
No corroborated, publicly available exploit tool for the three WordPress CVEs teased by @Ransomwareg (including CVE-2026-63030 and CVE-2026-60137) is confirmed by a reputable source.
Called Thu 5 Nov · due Thu 12 Nov
A Telegram post from @NeuraSCTB advertises an auto-exploit tool listing CVE-2026-63030 and CVE-2026-60137 (the teased WordPress CVEs) as working exploits for sale, constituting a publicly advertised working tool, though not from a named reputable vendor. However the falsifier requires a named vendor or researcher confirmation — the feed shows only a Telegram seller post, not reputable source confirmation. Keeping as open would be more precise, but due date is 2026-11-12 and no reputable source confirmed it.
Fuentes
1. 1TelegramWTS AUTO EXPLOIT TOOL FITUR : - AUTO UP SHELL - TRY…
partly
N-able either restores hosted N-central or publishes an advisory naming at least one of the 30-plus disclosed flaws by 20 November 2026.
Called Tue 10 Nov · due Fri 20 Nov
N-able took hosted N-central offline (confirmed in feed), satisfying the 'restores hosted N-central' part partially — actually it went offline not restored. No advisory naming the 30+ flaws yet. The action taken is taking offline, not restoring or publishing named-flaw advisory. Due 2026-11-20.
Fuentes

Glosario de términos ante los que se espera que asientas

Integración de confianza (n.): Un rol entre cuentas que usted aprobó una vez, con prisas, para una plataforma de datos, ahora en manos de una empresa cuyo informe de incidente leerá como noticia, en pasado, sobre usted mismo.

§5

Desde nuestro perímetro

Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.

Nuestro propio sensor perimetral perfiló 114 fuentes hostiles en 24 horas —70 rastreadores automáticos, 39 escáneres, tres atacantes de fuerza bruta y dos operadores dirigidos— que enviaron entre todos 7,087 solicitudes, de las cuales 61 pasaron del reconocimiento a intentos de explotación, desde 9,697 direcciones de 100 países, 2,934 de ellas vistas aquí por primera vez hoy. Diecisiete grupos compartían una huella de comportamiento, entre ellos doce direcciones que operaban como DNA 18e39c4b41fb; una de ellas, 34.53.218.24, pidió /.aws/credentials, /.aws/config, /.env y, de forma notable, /.env.anthropic, es decir, las claves de API de modelos aparecen en la lista de la compra junto a las claves de la nube. La prisa es real: 195.178.110.242 disparó 161 solicitudes en unos 0.7 segundos pidiendo /src/.env, /laravel/.env, /.env.bak y /.env.staging, y 195.178.110.211 logró 513 solicitudes a 315 por minuto. La mayor hostilidad del panel fue de 7.0 sobre 10 para un escáner IPv6 cuya cadena llegó a la explotación, y dos direcciones seguían rociando /hnap1 con la forma de CVE-2015-2051, lo que dice bastante de lo que internet opina de sus notas de parche. Los registros en bruto nunca salieron del servidor; solo lo hicieron estas conclusiones.

114fuentes hostiles perfiladas

7,087solicitudes de estas fuentes

61llegaron a la explotación

17clústeres de ADN compartido

8.2/10hostilidad máxima

9,697direcciones en nuestro perímetro

2,934vistas por primera vez hoy

100países

La lista WTF

WTF #1
Buscando sus claves de IA
34.53.218.24, un escáner (hostilidad 5.4/10), envió 122 solicitudes a uno de nuestros sitios en busca de /.aws/credentials, /.env.anthropic, /.aws/config, /.env.
Por qué es llamativoFue directo a por las credenciales de IA: /.env.anthropic. Las claves de API de modelos figuran ahora en la lista de la compra de los escáneres junto a las claves de la nube.
attribution: desconocidoTue 10 Nov, 06:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA 18e39c4b41fb
```
WTF #2
El visitante más tenaz
2a02:c207:2298:6410::1, un escáner (hostilidad 7.0/10), envió 21 solicitudes a 18 por minuto a uno de nuestros sitios en busca de /.env.backup, /.aws/credentials, /.docker/config.json, /.env.
Por qué es llamativoLa mayor hostilidad del panel; su cadena de ataque llegó a la explotación.
attribution: desconocidoTue 10 Nov, 06:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización → explotación · DNA 3268dda94501
```
WTF #3
Probando CVE-2015-2051 con nosotros
2 direcciones enviaron 2 solicitudes con la forma de una explotación de CVE-2015-2051 (/hnap1), entre ellas 113.138.242.19, 171.14.129.134.
Por qué es llamativoUn exploit conocido y con nombre que aún se rocía por internet; nuestro perímetro lo vio hoy, diga lo que diga el año que figure en las notas de parche.
attribution: desconocido
Detail
```
familia de sondeo: dlink-hnap
```
WTF #4
Mismo ADN, distintas direcciones
195.178.110.211, un escáner (hostilidad 5.9/10), envió 513 solicitudes a 315 por minuto a uno de nuestros sitios en busca de /.env, /vendor/.env, /lib/.env, /lab/.env.
Por qué es llamativo12 IP comparten una misma huella de comportamiento (DNA 18e39c4b41fb): una sola herramienta o un solo operador que rota direcciones: 195.178.110.211, 2400:6180:100:d0:0:1:c071:6001, 2400:6180:100:d0:0:1:c072:1001, 34.53.218.24, 207.175.165.55 y más.
attribution: desconocidoTue 10 Nov, 06:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA 18e39c4b41fb
```
WTF #5
La lista de la compra más extraña
20.92.243.53, un escáner (hostilidad 6.7/10), envió 156 solicitudes a 156 por minuto a uno de nuestros sitios en busca de /spip.php, /about.php, /1.php, /atomlib.php.
Por qué es llamativoPidió archivos que casi nadie más pide: /spip.php, /about.php, /1.php, /atomlib.php, /wp-trackback.php.
attribution: desconocidoWed 11 Nov, 02:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA dfef4501b216
```
WTF #6
Con prisas
195.178.110.242, un escáner (hostilidad 5.1/10), envió 161 solicitudes a uno de nuestros sitios en busca de /src/.env, /laravel/.env, /.env.bak, /.env.staging.
Por qué es llamativoDisparó 161 solicitudes en unos 0.7 segundos.
attribution: desconocidoWed 11 Nov, 02:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA ce6ecdfacbe3
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

306claims, 7 days

49of 275 groups active

N0n97 this week · surging

thegentlemen25 this week

Climax Inc17 this week · new

SurgingN0n — 97 claims in 7 days against 27.6 expected from its own prior rate (p < 0.001)
Surginginterlock — 11 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
Surgingmetaencryptor — 9 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 10 claims in 7 days against 3.1 expected from its own prior rate (p = 0.001)
SurgingBlack X — 3 claims in 7 days against 0.5 expected from its own prior rate (p = 0.014)
SurgingBYOD — 7 claims in 7 days against 2.5 expected from its own prior rate (p = 0.014)

Gone quiet: global (60 days), embargo (63 days), kazu (65 days), DYSPHOR1A (66 days).

Sector pressure, 30 days

UpEducation — 1.3× its own prior share (47 claims, 35 expected)
DownAgriculture and Food Production — 0.6× its own prior share (21 claims, 38 expected)
DownManufacturing — 0.9× its own prior share (150 claims, 174 expected)

30% of claims carry no sector label.

Brand churn

Of the 237 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 6 — newest: Climax Inc (2026-11-10, 17 claims), Vortex (2026-11-10, 14 claims), Destello (2026-11-05, 1 claim).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.4× every other brand's share); N0n put 29% of its claims on Transportation (6.4× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 194 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 34% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–20:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Acompañamientos

Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§8

Colofón

Cómo se elaboró esta edición, sin rodeos.

La edición 45 ha sido elaborada por una máquina y revisada por código. Se leyó íntegramente cada elemento publicado por 15 fuentes públicas de amenazas en las 24 horas previas a las 05:05 (hora del Reino Unido) (700 elementos): estadísticas calculadas por código, cada porción leída por Claude Sonnet y la estructura sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada noticia cita los elementos en los que se basa; las noticias cuyas referencias no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de la publicación (0 hoy). Las previsiones se evalúan públicamente en ediciones posteriores. «From our edge» son datos de ataques en vivo procedentes de nuestros propios servidores. Costee de esta edición: 1.30 $. La escribe una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la ha editado a mano, lo cual es o bien el objetivo o bien el problema.

700items read

24hour window

$1.30cost of this edition

05:05 UTCgenerated

Fuentes de esta mañana

Security news104ok
NVD100ok
ThreatFox100ok
RansomLook88ok
Signal Atlas87ok
Telegram63ok
infosec.exchange46ok
ransomware.live43ok
RSS26ok
atlas16ok
AlienVault OTX7ok
signal:ioc-family7ok
signal:kev6ok
CISA KEV6ok
Ransomware tempo · Ninja Signal graph1ok

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Seis entran en el KEV, y dos de ellos son lo que lee su correo antes que usted

Tres fallos que se están explotando ahora mismo y que carecen de la insignia KEV que lo haga oficial

N-able desconecta su N-central alojado y pide a los clientes locales que apaguen el suyo

Cuarenta y siete publicaciones de Inc Ransom en un día son un rastreador que se despierta, no una banda que trabaja más

Las propias credenciales de AWS de Qubole fueron la vía de entrada a más de una docena de clientes

Las claves de modelos robadas ya son una partida de gasto: 740,000 $ de inferencia ajena

Francia atribuye a una unidad de la IRGC los ataques de octubre a la refrigeración

Dos marcas de coches, un admin:admin, todas las puertas

Los picos en los sitios de filtraciones son cargas por lotes, no un cambio de ritmo

ransomware.live es la fuente temprana; todo lo demás es un eco

Los recuentos del Patch Tuesday se contradicen y el vínculo con el KEV es inferido, no declarado

Las fuentes de vulnerabilidades se detienen a las 00:43 y casi con certeza es culpa de nuestra infraestructura

Today’s calls

Scorecard

Glosario de términos ante los que se espera que asientas

La lista WTF

Buscando sus claves de IA

El visitante más tenaz

Probando CVE-2015-2051 con nosotros

Mismo ADN, distintas direcciones

La lista de la compra más extraña

Con prisas

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Fuentes de esta mañana