Apertura · Vulnerabilidades

La pasarela de seguridad fue la puerta de entrada, y la prueba de concepto ya es pública

CISA añadió a KEV el CVE-2026-123039 de Check Point; en pocas horas la prensa se hizo eco y un exploit funcional circulaba por Telegram.

confianza 0.85

Esta es la forma incómoda del asunto. Los atacantes obtuvieron acceso inicial a pasarelas Check Point Security Gateway sin parchear mediante los fallos PHP2Shell y, después, usaron el CVE-2026-123039, una asignación incorrecta de permisos en el sistema operativo Gaia, para convertirse en root, instalar una puerta trasera llamada TSGA y borrar archivos en hosts VMware ESXi. Check Point ha distribuido revisiones de emergencia (hotfixes) y afirma que la explotación se prolonga desde finales de octubre; un relato sitúa el inicio de los ataques el 30 de octubre. El dispositivo que se compró para no tener que preocuparse por el perímetro resultó ser la puerta, la llave y el hombre que sostiene ambas.

El calendario es lo que los defensores deberían meditar. CISA lo incluyó el 13 de noviembre, la ciberprensa se hizo eco unas ocho horas después y, esa misma tarde, un canal de exploits de Telegram enlazaba una prueba de concepto en GitHub para el CVE-2026-123039. La entrada del catálogo es un artefacto público. Le dice a su comité de control de cambios que algo está siendo explotado, y le dice a cualquiera con un escáner y un fin de semana libre a qué producto apuntar; y solo una de esas dos partes tiene ventana de mantenimiento.

Por otra parte, un análisis sobre ESXi publicado esa misma mañana describe un entorno desmantelado a lo largo de diez días: cuatro hosts ESXi, los dos servidores vCenter, todas las máquinas virtuales. Nadie ha vinculado esa investigación con esta campaña y no vamos a fingir lo contrario. Pero si usted gestiona pasarelas Check Point, el orden honesto para hoy es: aplicar las revisiones y, después, ir a mirar sus hipervisores, porque el wiper es de los que no se preocupan de si tenía copias de las copias de seguridad.

Por qué importaParchee Gaia ahora y busque después TSGA y persistencia mediante webshells en las pasarelas, y compruebe si hay destrucción de archivos en ESXi y vCenter, porque el exploit ya no es escaso.

Fuentes

Today’s revelation

La entrada de KEV no es un aviso para los defensores. Es una lista de lectura para todos los demás, publicada la misma mañana, y leen más rápido que su comité de cambios.

— Sturgeon's Revelations · Probably Fine Daily No. 49

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§2

Principales noticias

El resto de las últimas 24 horas, con fuentes.

Vulnerabilidades

Tres más a KEV, y 19 servidores que ya habían aplicado la revisión

Junto a la entrada de Check Point, CISA añadió el CVE-2026-114713 de UnrealIRCd, un fallo de neutralización de delimitadores con una puntuación CVSS de 8.6 que permite a cualquier usuario de una red con dos o más servidores enlazados inyectar comandos con autoridad de servidor, además de un path traversal en WSO2 que conduce a ejecución remota de código (CVE-2026-5430) y un fallo de autorización incorrecta en Adobe Commerce y Magento (CVE-2026-71362). En la misma ventana, N-able afirmó que los atacantes que explotaban los fallos 4EverAble2Shell y Agent2Shell infectaron 21 servidores N-central, 19 de los cuales ejecutaban Hotfix 2, y que ahora restringe determinadas funciones e integraciones. Y Microsoft confirmó que las actualizaciones de noviembre causan fallos de activación con errores 0x80041008 y pueden impedir la impresión de documentos complejos.

Por qué importaTres entradas de KEV que clasificar antes del lunes y un ejemplo práctico de por qué «aplicamos la revisión» es un estado, no un resultado.

confianza 0.80

Fuentes

Ransomware

324 reivindicaciones en siete días y tres bandas que publican por lotes, como una combinación de correspondencia

El patrón de publicación importa tanto como el volumen: pixelleaks volcó catorce víctimas el 13 de noviembre con marcas de tiempo idénticas y plazos de filtración completa programados de antemano para el 16, 17 y 18 de noviembre; Play publicó nueve, y N0n incluyó una mezcla de grandes marcas occidentales con empresas anonimizadas y numeradas de Etiopía, Catar y Botsuana, varias aún pendientes de verificación. Qilin, por su parte, incluyó a York University, Oral Roberts University y la University of Texas at Arlington, que ha confirmado por separado que se robó información personal en un ciberataque.

Por qué importaSi su proceso de notificación de víctimas da por hecho que las reivindicaciones llegan de una en una, se le escapará un lote de catorce publicado en el mismo minuto y con la cuenta atrás ya adjunta.

confianza 0.75

Fuentes

IA y seguridad

La extensión maliciosa llegó por el marketplace, y las credenciales, del proveedor de IA

Cursor confirmó una brecha en la que los atacantes usaron credenciales robadas al proveedor de infraestructura de IA Fireworks AI para publicar una extensión maliciosa de Claude Code a través de su marketplace. El hilo conductor no es que los modelos sean peligrosos, sino que las herramientas de desarrollo que los rodean son ya una cadena de suministro con la misma higiene que cualquier otra.

Por qué importaTrate las extensiones de programación con IA y sus marketplaces como código de terceros con permisos de publicación en las máquinas de los desarrolladores, porque eso es exactamente lo que son.

confianza 0.70

Fuentes

Vulnerabilidades

Once CVE en un plugin de WordPress llamado Security For WooCommerce, todos sin autenticación

NVD publicó un bloque secuencial, de CVE-2026-123695 a CVE-2026-123705, contra Security For WooCommerce hasta la versión 1.0.16, y la lista parece una inversión deliberada del nombre del producto: usuarios no autenticados pueden generar tokens de inicio de sesión para todos los usuarios e iniciar sesión como cualquiera de ellos, administradores incluidos; eliminar de golpe la inscripción en la autenticación de dos factores de todas las cuentas; leer la configuración completa, incluidas las claves secretas configuradas y la URL de acceso oculta; restablecer la configuración a sus valores predeterminados y así desactivar la URL de acceso personalizada, el 2FA, reCAPTCHA, la política de contraseñas y el cortafuegos; y obtener un informe del servidor con la dirección de correo del administrador. La causa en todos los casos es la misma: rutas REST sin comprobación de autorización. No se indica versión corregida, y el hallazgo llegó dentro de una oleada más amplia de divulgaciones de plugins de WordPress que incluye Printaura, ARForms y Gravity Forms.

Por qué importaSi lo utiliza, asuma que los controles que anuncia son ahora opcionales para cualquiera con curl y considere eliminarlo en lugar de esperar a un parche.

confianza 0.75

Fuentes

Vulnerabilidades

Una docena de fallos de cgo en Go publicados a la vez: su servidor de compilación es la superficie de ataque

NVD publicó del CVE-2026-97033 al CVE-2026-97043 el mismo día, casi todos describiendo la misma forma de problema: un paquete malicioso que use cgo puede lograr ejecución arbitraria de código en tiempo de compilación o enlazado mediante los indicadores de compilador y enlazador permitidos en las directivas #cgo, desde --sysroot reubicando subprogramas del compilador hasta archivos de especificación de GCC no confiables, scripts del enlazador, objetos .syso manipulados y archivos .pc de pkg-config. El CVE-2026-97054 es la excepción: una cabecera Connection: close no sincronizada en MaxBytesReader de net/http que puede provocar un pánico en un servidor HTTP/1. La ejecución en tiempo de compilación implica que el compromiso se produce en la máquina que tiene las claves de firma y las credenciales del registro, no en la que tiene el cortafuegos delante.

Por qué importaActualice su cadena de herramientas y trate los runners de CI como producción: todo lo que compila dependencias no confiables las está ejecutando.

confianza 0.60

Fuentes

Política

La Operación Endgame se lleva 235 servidores, 354 detenciones en los mercados y el FBI desconecta FaceStealer

Una operación internacional se incautó de 235 servidores y 257 dominios vinculados a Gootloader, CastleRAT y StealC, junto con unos 6,4 millones de credenciales robadas pertenecientes a víctimas. Una acción conjunta distinta detuvo a 354 sospechosos que compraban y vendían en los mercados de la dark web Archetyp, Nemesis, Tor2Door, Bohemia y Kingdom. Y el FBI afirma haberse incautado de la infraestructura de FaceStealer, un esquema norcoreano de ingeniería social que empleaba videollamadas con deepfakes y clips de webcam robados de más de 900 víctimas para sustraer más de 400 millones de dólares en criptomonedas durante dieciocho meses.

Por qué importaSeis millones y medio de credenciales fueron incautadas, no retiradas: asuma que todo lo que sus usuarios reutilizaron ya circula y fuerce los restablecimientos.

confianza 0.80

Fuentes

Curiosidades

Trezor confirma una placa de circuito adicional dentro de tres carteras, que lee la pantalla y «llama a casa»

Trezor ha confirmado que tres dispositivos Safe 5 vendidos por el antiguo revendedor CryptoBilis contenían un implante de hardware: una placa de circuito adicional que lee la frase de recuperación de la propia pantalla del dispositivo y la transmite por la red móvil. Se ha publicado una corrección, pero la empresa deja claro que una actualización de firmware no deshace la exposición anterior. Es el raro caso en que el modelo de amenazas que todo el mundo dibuja y descarta, el que incluye al revendedor malicioso, resultó ser una descripción de los hechos.

Por qué importaLa cadena de suministro también es la física: la procedencia del distribuidor es un control y, para cualquier dispositivo vendido por ese revendedor, la semilla está quemada.

confianza 0.80

Fuentes

Curiosidades

La caída de la FAA parece una actualización de software, que es lo que nadie quiere que sea

Las autoridades afirman que no hay indicios de un ciberataque detrás de la parada general de vuelos de la FAA en todo el país, y según se informa el FBI examina una actualización de software; la información citada por profesionales apunta a una actualización en la red privada de comunicaciones operada por L3Harris, que se reinició y colapsó. Coincidió en la misma semana con una caída global del correo de Microsoft, que produjo una cantidad de especulación en el fediverso más o menos proporcional al número de personas incapaces de leer su bandeja de entrada. No se ha demostrado que ninguno de estos hechos esté conectado, y tratarlos como una sola cascada es un relato que nos contamos, no un hallazgo.

Por qué importa«No fue un ciberataque» es una causa raíz legítima, y su comunicación de incidentes debería poder decirlo sin sonar decepcionada.

confianza 0.60

Fuentes

§3

Oculto

La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.

Bajo las fuentes: una entrada de KEV que adelanta a su propia cobertura, tres bandas que publican según un calendario y un bloque de plugins que invierte el nombre de su propio producto.

Exception 01
De KEV a la prensa y a la PoC pública, en menos de un día
El CVE-2026-123039 apareció primero en KEV, en la ciberprensa unas ocho horas después y como prueba de concepto enlazada en GitHub en un canal de exploits de Telegram esa misma tarde. La cobertura lo vincula con el acceso inicial PHP2Shell, la puerta trasera TSGA y el borrado de archivos en ESXi, pero los medios discrepan sobre si fue un auténtico zero-day y sobre si las correcciones precedieron a los ataques.
confianza 0.75
Wrong if
Avisos de fabricantes que muestren parches publicados antes del inicio de la explotación el 30 de octubre, o el pulse de OTX sobre destrucción en ESXi que nombre a un actor y un conjunto de herramientas sin relación.
Watch
Nuevos informes de explotación, más víctimas del wiper de ESXi y forks de la PoC durante los próximos tres a siete días.
Fuentes
Exception 02
Publicación por lotes sincronizada con plazos preestablecidos
pixelleaks publicó 14 elementos el 13 de noviembre frente a una mediana de 1,5 en otros días, con marcas de tiempo idénticas y filtraciones completas programadas del 16 al 18 de noviembre; N0n publicó 10 frente a una mediana de 3 e intercaló grandes marcas occidentales con empresas anonimizadas y numeradas de Etiopía, Catar y Botsuana; Play publicó 9 frente a una mediana de 2. Algunas entradas están explícitamente pendientes de verificación, por lo que la escala reivindicada puede estar inflada.
confianza 0.60
Wrong if
Víctimas con nombre, como Samsung o Starbucks, que desmientan las reivindicaciones, o que las marcas de tiempo idénticas resulten ser un artefacto de un agregador.
Watch
Si las publicaciones programadas del 16 al 18 de noviembre se materializan realmente y si alguna marca nombrada lo confirma.
Fuentes
Exception 03
Los agregadores discrepan en horas, así que una sola fuente no es cobertura
ransomware.live suele adelantarse a ransomlook en las mismas reivindicaciones (toyokiki-thailand.com por 43,5 horas, N0n por 16, doommageddon por 11, endzone por 9, bravox por 4,1), y Telegram a menudo precede a ambos en Play, Everest y Qilin. Con estos datos no puede distinguirse si eso refleja visibilidad de la reivindicación o frecuencia de rastreo.
confianza 0.55
Wrong if
Que el orden se invierta o desaparezca en las publicaciones del 16 al 18 de noviembre, lo que indicaría frecuencia de rastreo y no visibilidad.
Watch
Orden de adelanto y retraso en el próximo lote de reivindicaciones.
Fuentes
Exception 04
Tres fuentes se detienen en seco en el mismo minuto
NVD, OTX y Vexy Ransomware dejan de producir elementos después de 2026-11-13T14:46. Un corte idéntico en tres fuentes no relacionadas es un límite de ingesta o de ventana, no inactividad de ningún actor, y no debe interpretarse como que alguien haya callado.
confianza 0.50Speculative
Wrong if
Elementos nuevos de NVD, OTX o Vexy con marca de tiempo posterior al 13 de noviembre a las 14:46 una vez revisada la ingesta.
Watch
La próxima ejecución de ingesta.
Fuentes

Nothing to seeEl hilo sobre Taiwán y los semiconductores, las señales de país de crisis compuestas y el patrón de reutilización de puertos de ThreatFox proceden de una sola fuente o son puramente descriptivos. La reivindicación de extorsión de mil millones de registros de Expedia no está verificada. El hilo sobre la dimisión de Jensen Huang parece sátira y se trata como tal. El retraso de 71 horas entre NVD y Telegram en los CVE-2026-64669, 64671 y 64686 es casi con certeza frecuencia de rastreo.

Deep read: 674 artículos leídos

§4

Previsión

Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.

Today’s calls

DueSun 22 Nov7d
pixelleaks publica al menos cinco nuevas reivindicaciones en su sitio de filtraciones en los siete días hasta el 22 de noviembre, cumpliendo las fechas de filtración completa que programó del 16 al 18 de noviembre.
Wrong ifAparecen menos de cinco reivindicaciones de pixelleaks entre ransomlook y ransomware.live en esa ventana.
Fuentes
f-2026-11-15-1
Confidence0.70
DueSun 22 Nov7d
El repunte de incransom persiste: al menos 20 reivindicaciones en los siete días hasta el 22 de noviembre, frente a las 7,4 que predice su propio ritmo anterior.
Wrong ifSe registran menos de 20 reivindicaciones de incransom en esa ventana.
Fuentes
f-2026-11-15-2
Confidence0.55
DueSun 29 Nov14d
Los fallos de toma de control sin autenticación de Security For WooCommerce no llegan a KEV antes del 29 de noviembre: sin informe de explotación no hay entrada en el catálogo, y el CVE-2026-123695 permanece fuera de la lista.
Wrong ifCISA añade el CVE-2026-123695 (o cualquiera de los 123696-123705) a KEV antes del 29 de noviembre.
Fuentes
f-2026-11-15-3
Confidence0.80

Scorecard

3 right · 1 partly · 2 wrong · 3 open

wrong
No public vendor or CISA advisory ties the Ivanti Connect Secure exploitation chain to a specific named threat actor or ransomware group by 2026-11-12.
Called Mon 2 Nov · due Thu 12 Nov
Due date 2026-11-12 passed; no item in today's feed ties the Ivanti CVE-2026-111357 chain to a named actor or ransomware group, confirming the call that no such attribution occurred.
open
Ubuntu moves the IPv4 TCP use-after-free kernel fixes out of its opt-in testing channel into regular updates for its three newest LTS releases by 14 November 2026.
Called Wed 4 Nov · due Sat 14 Nov
No feed items mention Ubuntu kernel update channel moves for the IPv4 TCP use-after-free fixes; cannot confirm or deny.
open
IHG Hotels & Resorts does not publicly confirm the BYOD intrusion claim.
Called Thu 5 Nov · due Thu 12 Nov
Due date 2026-11-12 passed; no IHG statement or regulatory filing appears in the feeds acknowledging a BYOD intrusion, confirming the call that IHG would not publicly confirm it.
right
At least three of n0n's numbered 'Company #138-147' listings will be replaced by named victims on a leak site tracked by these feeds.
Called Sun 8 Nov · due Sun 15 Nov
By 15 November, n0n's ransomlook entries show named victims (DraftKings, LiveRamp, Female Daily Network, LEO Pharma, etc.) replacing numbered placeholders, with at least three formerly-numbered entries now named.
open
At least one of Vortex's three 12 November deadline victims (PYRAMID HEALTHCARE, ALEXION, CRESA) appears as published or leaked data on ransomware.live or ransomlook.
Called Wed 11 Nov · due Sun 15 Nov
No feed items show PYRAMID HEALTHCARE, ALEXION, or CRESA as published or leaked on ransomware.live or ransomlook by 15 November; the falsify condition (no published/leaked status) may apply but no explicit confirmation either way is present.
wrong
Inc Ransom posts fewer than 20 new leak-site claims on any single day between 12 and 18 November, confirming the 47 was a backfill rather than tempo.
Called Wed 11 Nov · due Wed 18 Nov
The tempo signal reports incransom surging with 53 claims in 7 days; individual day counts are not broken out but ransomlook shows multiple incransom postings on 13 November alone (sportsmansguide, Advantage Archives, axiscades, etc.), and the tempo signal flags a p<0.001 surge well above the <20/day threshold.
Fuentes
partly
Microsoft confirms the SignDrop CLFS issue or assigns it a CVE by 27 November 2026.
Called Fri 13 Nov · due Fri 27 Nov
SecurityWeek reports 'Nightmare Eclipse Drops Windows Zero-Day Exploit SignDrop' describing CLFS abuse, confirming the technique is public; however no Microsoft CVE assignment or official Microsoft advisory is cited in the feeds yet. Due date is 2026-11-27.
Fuentes
1. 1Security newsNightmare Eclipse Drops Windows Zero-Day Exploit ‘S…
right
Pixelleaks publishes at least one of the full data sets scheduled for 16-17 November, visible on ransomlook.
Called Sat 14 Nov · due Wed 18 Nov
Pixelleaks posted numerous entries on ransomlook dated 2026-11-13 with full data leak dates of 2026-11-16 and 2026-11-17, visible on ransomlook before the deadlines.
Fuentes
right
Qilin posts five or more new victims across the ransomware trackers, holding its position at the top of the 2026 tally.
Called Sat 14 Nov · due Sat 21 Nov
Ransomlook shows Qilin posted at least 5 new victims (York University, UT Arlington, Oral Roberts University, Leonard's Express, Wisconsin Timber Rattlers) on 2026-11-14, and darkfeed confirms Qilin leads 2026 tally at 1171.
Fuentes

Glosario de términos ante los que se espera que asientas

Hotfix (n.): Una revisión aplicada con la rapidez suficiente para figurar en la cronología del incidente. Véase N-able, donde 19 de los 21 servidores infectados ejecutaban Hotfix 2.

§5

Desde nuestro perímetro

Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.

Nuestro propio perímetro perfiló 99 fuentes hostiles en las últimas 24 horas —52 escáneres, 42 rastreadores automatizados, 3 operadores dirigidos y 2 atacantes de fuerza bruta— que enviaron 10.989 solicitudes en total, de las cuales 36 pasaron del reconocimiento a verdaderos intentos de explotación. Nueve mil ciento setenta y siete direcciones nos tocaron desde 127 países, 4.932 de ellas por primera vez hoy. Catorce direcciones distintas compartían una misma huella de comportamiento, lo que indica una sola herramienta o un solo operador rotando IP y no, diga lo que diga el márketing, un panorama de amenazas diverso. La puntuación de hostilidad más alta, 8,2 sobre 10, es menos interesante que la de 35.195.245.38, que lanzó 187 solicitudes de /.env, /api/.env, /backend/.env y /laravel/.env en unos seis décimas de segundo, o que las dos direcciones que hoy siguen rociándonos con rutas phpunit del CVE-2017-9841, sea cual sea el año que crean las notas de parche. Los registros en bruto nunca salieron del equipo; solo los hallazgos.

99fuentes hostiles perfiladas

10.989solicitudes de estas fuentes

36llegaron a la explotación

14clústeres de ADN compartido

8,2/10hostilidad máxima

9.177direcciones en nuestro perímetro

4.932vistas por primera vez hoy

127países

La lista WTF

WTF #1
El visitante más decidido
2400:6180:100:d0:0:1:c39d:c001, un escáner (hostilidad 6,9/10), envió 30 solicitudes a uno de nuestros sitios, buscando /.aws/credentials, /.aws/config, /.env.aws, /.docker/config.json.
Por qué es llamativoLa hostilidad más alta del tablero; su cadena de ataque llegó a la explotación.
attribution: desconocidoSun 15 Nov, 05:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización → explotación · ADN 851a17b90a85
```
WTF #2
Mismo ADN, distintas direcciones
45.148.10.14, un escáner (hostilidad 6,7/10), envió 666 solicitudes a uno de nuestros sitios, buscando /.docker/laravel/app/.env, /.env.config, /.env.copy, /.env.bkp.
Por qué es llamativo14 IP comparten una misma huella de comportamiento (ADN dfef4501b216): una sola herramienta o un solo operador que rota direcciones: 54.203.154.170, 34.80.2.173, 172.213.26.234, 20.106.103.160, 20.205.56.255 y más.
attribution: desconocidoSat 14 Nov, 19:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · ADN dfef4501b216
```
WTF #3
Probando el CVE-2017-9841 con nosotros
2 direcciones enviaron 3 solicitudes con la forma de una explotación del CVE-2017-9841 (/lib/vendor/phpunit/…, /yii/vendor/phpunit/…, /zend/vendor/phpunit/…), entre ellas 185.177.72.9, 185.177.72.23.
Por qué es llamativoUn exploit conocido y con nombre que aún se rocía por internet; nuestro perímetro lo vio hoy, diga lo que diga el parte de parches sobre el año.
attribution: desconocido
Detail
```
familia de sondeo: phpunit-rce
```
WTF #4
La lista de la compra más extraña
20.219.139.13, un escáner (hostilidad 6,3/10), envió 49 solicitudes a uno de nuestros sitios, buscando /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
Por qué es llamativoPidió archivos que casi nadie más pide: /inputs.php, /ioxi-o.php, /function/function.php, /rip.php, /admin.php.
attribution: desconocidoSun 15 Nov, 05:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · ADN 83562bd8e880
```
WTF #5
Con prisas
35.195.245.38, un escáner (hostilidad 5,1/10), envió 187 solicitudes a uno de nuestros sitios, buscando /.env, /api/.env, /backend/.env, /laravel/.env.
Por qué es llamativoLanzó 187 solicitudes en unos 0,6 segundos.
attribution: desconocidoSat 14 Nov, 19:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · ADN ce6ecdfacbe3
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

324claims, 7 days

47of 277 groups active

N0n77 this week · surging

incransom53 this week · surging

thegentlemen22 this week

Surgingincransom — 53 claims in 7 days against 7.4 expected from its own prior rate (p < 0.001)
SurgingN0n — 77 claims in 7 days against 29.4 expected from its own prior rate (p < 0.001)
Surginginterlock — 13 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
SurgingBlack X — 3 claims in 7 days against 0.5 expected from its own prior rate (p = 0.013)
Backbeast — first claim after 56 days of silence; 0 this week
NewAoqin — first claim 2026-11-04; 10 so far

Gone quiet: ShadowByt3$ (60 days), global (64 days), embargo (67 days), kazu (69 days).

Sector pressure, 30 days

UpEducation — 1.3× its own prior share (47 claims, 36 expected)
DownAgriculture and Food Production — 0.4× its own prior share (15 claims, 38 expected)
DownProfessional Services — 0.8× its own prior share (127 claims, 149 expected)

29% of claims carry no sector label.

Brand churn

Of the 239 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 8 — newest: Curious Worm (2026-11-11, 12 claims), osiris (2026-11-11, 8 claims), Climax Inc (2026-11-10, 17 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 32% of its claims on Germany (6.2× every other brand's share); N0n put 28% of its claims on Transportation (6.2× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.3× every other brand's share). Widest spread: nightspire across 10.7 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; Deadlock released 61% of its claims on Fridays, half of them in 12:00–13:59 UTC; akira posted only 2 of 197 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 37% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 07:00–15:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Acompañamientos

Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§8

Colofón

Cómo se elaboró esta edición, sin rodeos.

La edición 49 fue elaborada por una máquina y verificada por código. Cada elemento publicado por 14 fuentes públicas de amenazas en las 24 horas hasta las 05:05 (hora del Reino Unido) (674 elementos) fue leído íntegramente: estadísticas calculadas por código, cada porción leída por Claude Sonnet y la estructura sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada noticia cita los elementos en los que se apoya; las noticias cuyas referencias no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de la publicación (0 hoy). Los pronósticos se califican públicamente en ediciones posteriores. «Desde nuestro perímetro» son datos de ataque en vivo de nuestros propios servidores. Costee de esta edición: 1,11 $. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la editó a mano, lo cual es o bien el objetivo o bien el problema.

674items read

24hour window

$1.11cost of this edition

05:05 UTCgenerated

Fuentes de esta mañana

ThreatFox200ok
NVD100ok
Telegram84ok
infosec.exchange77ok
RansomLook66ok
Security news53ok
Signal Atlas34ok
ransomware.live31ok
RSS10ok
AlienVault OTX7ok
CISA KEV4ok
atlas4ok
signal:ioc-family3ok
Ransomware tempo · Ninja Signal graph1ok

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Tres más a KEV, y 19 servidores que ya habían aplicado la revisión

324 reivindicaciones en siete días y tres bandas que publican por lotes, como una combinación de correspondencia

La extensión maliciosa llegó por el marketplace, y las credenciales, del proveedor de IA

Once CVE en un plugin de WordPress llamado Security For WooCommerce, todos sin autenticación

Una docena de fallos de cgo en Go publicados a la vez: su servidor de compilación es la superficie de ataque

La Operación Endgame se lleva 235 servidores, 354 detenciones en los mercados y el FBI desconecta FaceStealer

Trezor confirma una placa de circuito adicional dentro de tres carteras, que lee la pantalla y «llama a casa»

La caída de la FAA parece una actualización de software, que es lo que nadie quiere que sea

De KEV a la prensa y a la PoC pública, en menos de un día

Publicación por lotes sincronizada con plazos preestablecidos

Los agregadores discrepan en horas, así que una sola fuente no es cobertura

Tres fuentes se detienen en seco en el mismo minuto

Today’s calls

Scorecard

Glosario de términos ante los que se espera que asientas

La lista WTF

El visitante más decidido

Mismo ADN, distintas direcciones

Probando el CVE-2017-9841 con nosotros

La lista de la compra más extraña

Con prisas

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Fuentes de esta mañana