La ley de vigilancia que el Congreso no puede abandonar y no puede explicar

El Congreso está lidiando con la renovación de una ley de vigilancia que expirará a finales de este mes y que, según los críticos, es un misterio en cuanto a la diferencia que ha supuesto para las controvertidas autoridades gubernamentales de espionaje, para bien o para mal.

La ley de 2024 reautorizó los llamados poderes de la Sección 702 de la Ley de Vigilancia de Inteligencia Extranjera (FISA), que autoriza la vigilancia sin orden judicial de las comunicaciones electrónicas de objetivos extranjeros. Lo más controvertido es que la ley permite a los funcionarios estadounidenses buscar (“consultar”) en esas bases de datos de comunicaciones utilizando información personal de los estadounidenses, siempre que el estadounidense esté en contacto con alguien en el extranjero, lo que plantea importantes preocupaciones sobre la privacidad.

Los partidarios de la ley de 2024, conocida como la Ley de reforma de la inteligencia y protección de Estados Unidos (RISAA), señalan 56 cambios que realizó para abordar las críticas a la Sección 702, luego de un período en el que salieron a la luz abusos, incluidos cientos de miles de registros indebidos. Al mismo tiempo, la ley introdujo cambios que algunos temían que en realidad pudieran ampliar los poderes de la Sección 702.

La Cámara votó para extender la ley tal como está para 10 dias temprano el viernes. El Senado entonces hizo lo mismo. La administración Trump ha buscado una reautorización “limpia” de 180 días.

Mientras el Congreso sopesa posibles extensiones de la ley de 2024 sin realizar cambios, “no creo que sepamos” qué beneficio ha obtenido, dijo Elizabeth Goitein, directora principal del programa de libertad y seguridad nacional del Centro Brennan para la Justicia. Del mismo modo, es difícil saber si algunos de los temores de expansión se han hecho realidad, afirmó: «No tenemos información fiable al respecto».

Jake Laperruque, del Centro para la Democracia y la Tecnología, añadió: «Aquí hay muchas cajas negras».

Examinando cambios pasados

Sin embargo, tanto Goitein como Laperruque se muestran escépticos ante cualquier cambio positivo por parte de RISAA y han abogado durante mucho tiempo por un requisito de orden judicial para las búsquedas de personas en Estados Unidos. Las agencias de inteligencia se han resistido a esa adición, alegando que ralentizaría drásticamente las investigaciones de seguridad nacional urgentes.

Por el contrario, Glenn Gerstell, ex asesor general de la Agencia de Seguridad Nacional, dijo que RISAA constituía “el conjunto de reformas más importante al estatuto desde su adopción en 2008”. y que “esas reformas han tenido un efecto dramático”.

Un punto importante de controversia es hasta qué punto disminuyó el número de búsquedas de personas en Estados Unidos, particularmente debido a una conclusión del Departamento de Justicia del año pasado. informe del inspector general descubriendo que una “herramienta de filtrado avanzada generó consultas que no fueron rastreadas por el FBI”.

Como lo describe el informe, un sistema del FBI tiene una “'función de filtro avanzado' que permite a los usuarios seleccionar un número de expediente del FBI o una 'instalación' específica (por ejemplo, un número de teléfono o una dirección de correo electrónico), utilizando un menú desplegable o una barra de búsqueda, para revisar las comunicaciones con las instalaciones específicas.

“Esta funcionalidad permite a los usuarios seleccionar de listas de 'participantes' en comunicación con instalaciones específicas y revisar las comunicaciones de esos participantes. En agosto de 2024 o alrededor de esa fecha”, continúa el informe. La División de Seguridad Nacional del Departamento de Justicia “se dio cuenta de la función de filtro de participantes en [the system] y le preocupaba que las búsquedas realizadas mediante el uso del filtro de participantes constituyan consultas separadas que deben satisfacer el estándar de consulta y cumplir con todos los requisitos de procedimiento de consulta”.

Según el recuento de la comunidad de inteligencia, el número de búsquedas de personas en Estados Unidos ha disminuido en gran medida incluso desde antes de la aprobación de la ley de 2024: 119.383 en 2022, 57.094 en 2023, 5.518 en 2024 y 7.413 en 2025.

«Está bastante claro que las búsquedas que se realizaron utilizando esta función de filtro cumplían con la definición legal de consultas y, sin embargo, el FBI durante un período de tiempo significativo decidió no contarlas como consultas», dijo Goitein.

Laperruque, subdirector del proyecto de seguridad y vigilancia del CDT, dijo que un mandato de auditoría en la ley de 2024 era potencialmente útil, pero no ha demostrado serlo en la realidad.

«Al menos debería significar que debería ayudar a intentar detectar abusos si están ocurriendo», dijo. «El problema aquí, sin embargo, es que todavía se confía en que el FBI registre adecuadamente todas sus canteras y las entregue al Departamento de Justicia para que las revise, lo cual no ha sucedido. Se confía en que el Departamento de Justicia y el ejecutivo se autocontrolen, y eso es algo sobre lo que la gente, con razón, tiene mucho escepticismo basándose en cómo se ha comportado el Departamento de Justicia recientemente».

Gerstell, asesor principal del Centro de Estudios Estratégicos e Internacionales, señala numerosas revisiones (incluido un informe del personal de la Junta de Supervisión de la Privacidad y las Libertades Civiles (PCLOB)) que indican una caída en las búsquedas de personas en Estados Unidos. Es el cambio más grande de RISAA, dijo.

“La más significativa es una caída muy sustancial en el número de consultas a la base de datos de información de personas estadounidenses, que ha sido un gran foco para los defensores de la privacidad, y ha habido una caída dramática, hasta el punto de que tanto el Inspector General del Departamento de Justicia como el personal del PCLOB han dicho: 'Me pregunto si nos estamos exagerando'. … Cada uno de ellos presenta esos números, sin reservas”.

En cuanto al recuento de la función de filtro avanzado, Gerstell reconoció la ambigüedad, pero se refirió a informes que decían, como resumió: «Si se hubieran considerado consultas, parece que la mayoría habría cumplido de todos modos… porque eran un subconjunto de algo que ya cumplía. Pero no sabemos si alguno de ellos no cumplía, y no tenemos los datos».

En el otro lado del debate sobre RISAA, los críticos argumentaron que su definición revisada de “proveedor de servicios de comunicaciones electrónicas” podría ampliar drásticamente la vigilancia para incluir empresas como cafeterías o propietarios. El objetivo real del cambio, informado, pero no revelado formalmente, fueron los centros de datos.

«Esa fue una expansión bastante grande con muchos abusos potenciales», dijo Laperruque. Pero «realmente no sabemos mucho sobre cómo ha cambiado», dijo.

El senador de Virginia Mark Warner, el principal demócrata del Comité de Inteligencia, intentó avanzar lenguaje clarificador sobre ese tema después de la aprobación de RISAA, y la administración Biden dijo limitaría el uso de la disposición al tipo de negocios no divulgados que motivaron la disposición en primer lugar. Laperreque señaló que la administración Trump no ha hecho tales promesas y que el lenguaje aclaratorio de Warner nunca se convirtió en ley.

El Tribunal de Vigilancia de Inteligencia Extranjera (FISC) ha emitido su dictamen anual recertificando el programa de la Sección 702 por un año más. Sin embargo, el tribunal supuestamente discrepó con los sistemas de filtrado del programa, diciendo que cuando dicho sistema se utiliza para buscar información sobre estadounidenses debe contarse como una consulta, sometiéndola a restricciones adicionales. La administración Trump planea apelar el fallo.

Otras críticas a la ley de 2024 incluyen que muchos de sus cambios más importantes no fueron cambios en absoluto, sino codificaciones de cambios que el entonces director del FBI, Christopher Wray, había implementado. Los abusos continuaron después de esos cambios, afirmó Goitein.

Gerstell dijo que consagrar esos cambios en la ley no era algo malo. “El estatuto codificó expresamente algunas, pero no todas, las reformas de Wray, y algunas fueron más allá de eso en muchos sentidos”, dijo. Esos cambios incluyeron exigir la aprobación del subdirector del FBI para consultas de personas estadounidenses dirigidas a funcionarios electos, personas designadas por el gobierno, candidatos u organizaciones políticas o medios de comunicación. Estos fueron algunos de los abusos de persecución anteriores más criticados.

La lucha aún por delante

Los republicanos siguen divididos sobre la extensión de la ley. Algunos que tenían reservas sobre una reautorización limpia se han sumado, como el presidente del Poder Judicial del Senado, Chuck Grassley, republicano por Iowa, quien había discrepado con las limitaciones a la asistencia del Congreso a los procedimientos del FISC, pero desde entonces ha Tenía esa preocupación resuelta.

Otros pueden haberse dejado influir por el lobby directo de la administración Trump, incluido un publicación en redes sociales del propio Trump esta semana, donde escribió: “¡Estoy dispuesto a arriesgarme a renunciar a mis derechos y privilegios como ciudadano por nuestro gran país y ejército!” Otros más han visto su posición contra una prórroga limpia endurecida por el Opinión del tribunal FISC y preocupaciones adicionales.

Otras cuestiones se han enredado en el debate sobre la reautorización, como los llamados a impedir que las agencias gubernamentales compren información de intermediarios de datos. Pero «esto no tiene nada que ver con esta autoridad», afirmó George Barnes, ex subdirector de la NSA.

Pero los legisladores de ambos partidos se han quejado durante meses de que la administración guardó silencio durante demasiado tiempo mientras se acercaba la expiración de la ley.

Sólo recientemente la administración Trump compartió nuevos ejemplos de los éxitos de la ley, incluido el de que había frustrado un ataque terrorista en 2024 contra una Concierto de Taylor Swift. Barnes dijo que publicar tales ejemplos podría ofrecer un caso público a favor de la ley, pero también tiene sus desventajas.

«Siempre fui comprensivo, pero me sentí frustrado por la necesidad de publicar ejemplos simplemente porque le coreografiaban al adversario lo que podíamos hacer», dijo Barnes, ahora presidente de la práctica cibernética de Red Cell.

Sin embargo, reautorizar la Sección 702 es urgente por motivos de ciberseguridad, dijo.

“Gran parte del impacto que vi que tuvo la autoridad sobre mi tiempo también se produjo en la ciberseguridad”, dijo. «Y entonces, cuando hay entidades extranjeras que tienen como objetivo a Estados Unidos, o intereses estadounidenses en el extranjero, esa autoridad puede estar posicionada para ayudar a eliminar esas actividades».

Tim Starks

Escrito por Tim Starks

Tim Starks es reportero senior de CyberScoop. Sus paradas anteriores incluyen trabajar en The Washington Post, POLITICO y Congressional Quarterly. Originario de Evansville, Indiana, se ocupa de la ciberseguridad desde 2003. Envíe un correo electrónico a Tim aquí: tim.starks@cyberscoop.com.

Tres Microsoft Defender Zero-Days explotados activamente; Dos aún sin parchear – CYBERDEFENSA.MX

La cazadora es advertencia que los actores de amenazas están explotando tres fallas de seguridad recientemente reveladas en Microsoft Defender para obtener privilegios elevados en sistemas comprometidos.

La actividad implica la explotación de tres vulnerabilidades que tienen el nombre en código Martillo azul (requiere iniciar sesión en GitHub), rojosoly Desdefendertodos los cuales fueron publicados como días cero por un investigador conocido como Chaotic Eclipse (también conocido como Nightmare-Eclipse) en respuesta al manejo por parte de Microsoft del proceso de divulgación de vulnerabilidades.

Si bien tanto BlueHammer como RedSun son fallas de escalada de privilegios locales (LPE) que afectan a Microsoft Defender, UnDefend se puede utilizar para desencadenar una condición de denegación de servicio (DoS) y bloquear eficazmente las actualizaciones de definiciones.

Ciberseguridad

Microsoft tomó medidas para abordar BlueHammer como parte de sus actualizaciones del martes de parches lanzadas a principios de esta semana. La vulnerabilidad se rastrea con el identificador CVE CVE-2026-33825. Sin embargo, las otras fallas no tienen solución al momento de escribir este artículo.

En una serie de publicaciones compartidas en X, Huntress dijo que observó que las tres fallas se explotaban en la naturaleza, con BlueHammer siendo utilizado como arma desde el 10 de abril de 2026, seguido del uso de RedSun y UnDefend prueba de concepto (PoC) el 16 de abril.

«Estas invocaciones siguieron a los típicos comandos de enumeración: whoami /priv, cmdkey /list, net group y otros que indican la actividad práctica del actor de amenazas en el teclado», añadió.

El proveedor de ciberseguridad dijo que ha tomado medidas para aislar a la organización afectada para evitar una mayor explotación posterior. The Hacker News se comunicó con Microsoft para hacer comentarios y actualizaremos la historia si recibimos una respuesta.

Google bloquea 8.300 millones de anuncios que infringen políticas en 2025 y lanza una revisión de privacidad de Android 17 – CYBERDEFENSA.MX

Google esta semana anunciado un nuevo conjunto de actualizaciones de la política de Play para fortalecer la privacidad del usuario y proteger a las empresas contra el fraude, incluso cuando reveló que bloqueó o eliminó más de 8,3 mil millones de anuncios en todo el mundo y suspendió 24,9 millones de cuentas en 2025.

Las nuevas actualizaciones de políticas se relacionan con los permisos de contacto y ubicación en Android, lo que permite que aplicaciones de terceros accedan a las listas de contactos y a la ubicación de un usuario de una manera más respetuosa con la privacidad. Esto incluye un nuevo Selector de contactos, que ofrece una interfaz estandarizada, segura y con capacidad de búsqueda para la selección de contactos.

«Esta característica permite a los usuarios otorgar acceso a las aplicaciones sólo a los contactos específicos que elijan, alineándose con el compromiso de Android con la transparencia de los datos y la minimización de los permisos», dijo Google. dicho.

Anteriormente, las aplicaciones que requerían acceso a los contactos de un usuario específico dependían de READ_CONTACTS, un permiso demasiado amplio que otorgaba a las aplicaciones la capacidad de acceder a todos los contactos y su información asociada. Con el último cambio introducido en Android 17, las aplicaciones pueden especificar qué campos de un contacto necesitan, como números de teléfono o direcciones de correo electrónico, en lugar de leer el registro completo.

Ciberseguridad

La política actualizada requerirá que todas las aplicaciones aplicables utilicen el selector (o el Hoja compartida de Android) como la forma principal de acceder a los contactos de los usuarios, con READ_CONTACTS ahora reservado solo para aplicaciones que no pueden funcionar sin él. Se recomienda eliminar por completo el permiso READ_CONTACTS de la declaración del manifiesto de la aplicación si está dirigida a las versiones 17 de Android (actualmente en versión beta) y posteriores.

«Si su aplicación requiere acceso completo y continuo a la lista de contactos de un usuario para funcionar, debe justificar esta necesidad enviando una Declaración de desarrollador de Play en Play Console», señaló Google.

El segundo cambio de política gira en torno a una botón de ubicación optimizado que Google ha introducido en Android 17 que permite que las aplicaciones soliciten acceso único a la ubicación precisa de un usuario. Al hacerlo, permite al usuario elegir mejor cuánta información desea compartir y durante cuánto tiempo. Es más, aparecerá un indicador persistente para alertar al usuario cada vez que una aplicación ajena al sistema acceda a su ubicación.

Para cumplir con esta actualización, se insta a los desarrolladores a revisar el uso de la ubicación de sus aplicaciones para asegurarse de que solicitan la cantidad mínima de datos de ubicación necesarios para que funcionen.

«Si su aplicación está dirigida a Android 17 y superior y utiliza una ubicación precisa para acciones temporales discretas, implemente el botón de ubicación agregando la bandera onlyForLocationButton en su manifiesto», dijo el gigante tecnológico. «Si su aplicación requiere una ubicación persistente y precisa para funcionar, deberá enviar una Declaración de desarrollador de Play en Play Console para mostrar por qué el nuevo botón o la ubicación aproximada no es suficiente para las funciones principales de su aplicación».

Se espera que el formulario de declaración esté disponible antes de octubre de 2026, con comprobaciones previas a la revisión en Play Console que estarán disponibles a partir del 27 de octubre para identificar posibles contactos o problemas con la política de permisos de ubicación.

Google también está implementando una forma segura para que las empresas transfieran la propiedad de sus aplicaciones a través de una función de transferencia de cuenta nativa integrada en Play Console para mantenerse protegidas contra el fraude. La compañía recomienda que los desarrolladores de aplicaciones gestionen los cambios de propiedad de la cuenta a través de esta función a partir del 27 de mayo de 2026.

«Eso significa que no se permiten transferencias no oficiales (como compartir credenciales de inicio de sesión o comprar y vender cuentas en mercados de terceros), que dejan a su negocio vulnerable», dijo.

Google apunta a la publicidad maliciosa

Los cambios en el ecosistema Android llegan según Google dicho está aprovechando las capacidades de Gemini, su modelo de inteligencia artificial (IA), para detectar y bloquear anuncios maliciosos en su plataforma. Más del 99% de los anuncios que infringen las políticas fueron detectados por sus sistemas en 2025 antes de mostrarse a los usuarios, señaló.

Ciberseguridad

«A diferencia de los sistemas anteriores basados ​​en palabras clave, nuestros últimos modelos comprenden mejor la intención, ayudándonos a detectar contenido malicioso y bloquearlo preventivamente, incluso cuando está diseñado para evadir la detección», dijo Keerat Sharma, vicepresidente y director general de Privacidad y Seguridad de Anuncios de Google, en una publicación compartida con The Hacker News.

En conjunto, la compañía eliminó o bloqueó 602 millones de anuncios y 4 millones de cuentas asociadas con estafas o actividades relacionadas con estafas el año pasado. Se restringieron más de 4.800 millones de anuncios y se tomaron medidas contra más de 480 millones de páginas web por intentar ofrecer contenido sexual explícito, promoción de armas, juegos de azar en línea, alcohol, tabaco y malware.

Por el contrario, Google suspendió más de 39,2 millones de cuentas de anunciantes en 2024, detuvo 5,1 mil millones de anuncios malos, restringió 9,1 mil millones de anuncios y bloqueó o restringió anuncios en 1,3 mil millones de páginas.

«Los malos actores están utilizando IA generativa para crear anuncios engañosos a escala, y Gemini nos ayuda a detectarlos y bloquearlos en tiempo real», dijo Google. «A finales del año pasado, la mayoría de los anuncios de búsqueda adaptables creados en Google Ads se revisaron instantáneamente y el contenido dañino se bloqueó en el momento del envío, una capacidad que planeamos implementar en más formatos de anuncios este año».

El NIST limita el enriquecimiento de CVE después de un aumento del 263 % en las presentaciones de vulnerabilidades – CYBERDEFENSA.MX

El Instituto Nacional de Estándares y Tecnología (NIST) ha anunciado cambios en la forma en que maneja las vulnerabilidades y exposiciones de ciberseguridad (CVE) enumeradas en su Base de datos nacional de vulnerabilidades (NVD), afirmando que solo enriquecerá aquellas que cumplan ciertas condiciones debido a una explosión en las presentaciones de CVE.

«Los CVE que no cumplan esos criterios seguirán figurando en el NVD, pero no se incluirán automáticamente enriquecido por NIST,» él dicho. «Este cambio está impulsado por un aumento en las presentaciones de CVE, que aumentaron un 263 % entre 2020 y 2025. No esperamos que esta tendencia disminuya pronto».

Los criterios de priorización descritos por el NIST, que entraron en vigor el 15 de abril de 2026, son los siguientes:

  • CVE que aparecen en el catálogo de vulnerabilidades explotadas conocidas (KEV) de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA).
  • CVE para software utilizado dentro del gobierno federal.
  • CVE para software crítico según lo define la Orden Ejecutiva 14028: esto incluye software que está diseñado para ejecutarse con privilegios elevados o privilegios administrados, tiene acceso privilegiado a redes o recursos informáticos, controla el acceso a datos o tecnología operativa y opera fuera de los límites de confianza normales con acceso elevado.
Ciberseguridad

Cualquier envío de CVE que no cumpla con estos umbrales se marcará como «No programado». La idea, dijo el NIST, es centrarse en CVE que tengan el máximo potencial de impacto generalizado.

«Si bien los CVE que no cumplen con estos criterios pueden tener un impacto significativo en los sistemas afectados, generalmente no presentan el mismo nivel de riesgo sistémico que aquellos en las categorías priorizadas», añadió.

El NIST dijo que las presentaciones de CVE durante los primeros tres meses de 2026 son casi un tercio más altas que el año pasado, y está trabajando más rápido que nunca para enriquecer las presentaciones. También dijo que enriqueció casi 42.000 CVE en 2025, un 45% más que cualquier año anterior.

En los casos en los que un CVE de alto impacto se haya clasificado como no programado, los usuarios tienen la opción de solicitar enriquecimiento enviando un correo electrónico a «nvd@nist[.]gov.»Se espera que el NIST revise esas solicitudes y programe el enriquecimiento de los CVE según corresponda.

También se han instituido cambios para varios otros aspectos de las operaciones de NVD. Estos incluyen –

  • El NIST ya no proporcionará de forma rutinaria una puntuación de gravedad separada para un CVE cuando la Autoridad de Numeración de CVE ya haya proporcionado una puntuación de gravedad.
  • Un CVE modificado se volverá a analizar sólo si «afecta materialmente» los datos de enriquecimiento. Los usuarios pueden solicitar que se vuelvan a analizar CVE específicos enviando un correo electrónico a la misma dirección indicada anteriormente.
  • Todos los CVE no enriquecidos actualmente en cartera con una fecha de publicación de NVD anterior al 1 de marzo de 2026 se trasladarán a la categoría «No programado». Esto no se aplica a los CVE que ya están en el catálogo de KEV.
  • NIST ha actualizado el Etiquetas y descripciones de estado CVEasí como el Panel de control NVDpara reflejar con precisión el estado de todos los CVE y otras estadísticas en tiempo real.

«El anuncio del NIST no es una gran sorpresa, dado que previamente han telegrafiado su intención de pasar a un modelo de priorización ‘basado en riesgos’ para el enriquecimiento de CVE», dijo Caitlin Condon, vicepresidenta de investigación de seguridad de VulnCheck, en un comunicado compartido con The Hacker News.

«En el lado positivo, el NIST está estableciendo clara y públicamente expectativas para la comunidad en medio de un aumento enorme y creciente de nuevas vulnerabilidades. Por otro lado, una parte significativa de las vulnerabilidades ahora parece no tener un camino claro hacia el enriquecimiento para las organizaciones que dependen del NIST como su fuente autorizada (o única) de datos de enriquecimiento CVE».

Los datos de la empresa de ciberseguridad muestran que todavía quedan aproximadamente 10.000 vulnerabilidades a partir de 2025 sin puntuación CVSS. Se estima que el NIST ha enriquecido 14.000 vulnerabilidades ‘CVE-2025’, lo que representa aproximadamente el 32 % de la población CVE de 2025.

Ciberseguridad

«Este anuncio subraya lo que ya sabemos: ya no vivimos en un mundo donde el enriquecimiento manual de nuevas vulnerabilidades es una estrategia factible o efectiva», dijo Condon.

«Incluso sin que el descubrimiento de vulnerabilidades impulsado por IA acelere el volumen de CVE y los desafíos de validación, el clima de amenazas actual exige inequívocamente enfoques distribuidos y a velocidad de máquina para la identificación y el enriquecimiento de vulnerabilidades, junto con una perspectiva genuinamente global sobre el riesgo que reconozca la naturaleza interconectada e interdependiente del ecosistema de software mundial y los atacantes que lo atacan. Después de todo, lo que no priorizamos para nosotros mismos, los adversarios lo priorizarán para nosotros».

David Lindner, director de seguridad de la información de Contrast Security, dijo que la decisión del NIST de priorizar solo las vulnerabilidades de alto impacto marca el final de una era en la que los defensores podrían aprovechar una única base de datos administrada por el gobierno para evaluar los riesgos de seguridad, lo que obligaría a las organizaciones a adoptar un enfoque proactivo para la gestión de riesgos impulsado por la inteligencia de amenazas.

«Los defensores modernos deben ir más allá del ruido del volumen total de CVE y, en cambio, centrar sus recursos limitados en la lista CISA KEV y las métricas de explotabilidad», dijo Lindner.

«Si bien esta transición puede alterar los flujos de trabajo de auditoría heredados, en última instancia hace que la industria madure al exigir que prioricemos la exposición real sobre la gravedad teórica. Depender de un subconjunto curado de datos procesables es mucho más efectivo para la resiliencia nacional que mantener un archivo completo pero inmanejable de cada error menor».

Operación PowerOFF incauta 53 dominios DDoS y expone 3 millones de cuentas criminales – CYBERDEFENSA.MX

Una operación internacional de aplicación de la ley derribó 53 dominios y arrestó a cuatro personas en relación con operaciones comerciales de denegación de servicio distribuido (DDoS) que fueron utilizadas por más de 75.000 ciberdelincuentes.

El esfuerzo en curso, denominado Operación Apagadointerrumpió el acceso a los servicios de alquiler de DDoS, derribó la infraestructura técnica que los respaldaba y obtuvo acceso a bases de datos que contenían más de 3 millones de cuentas de usuarios criminales. Las autoridades también están enviando correos electrónicos y cartas de advertencia a los usuarios criminales identificados, y se han emitido 25 órdenes de registro.

En la acción participaron nada menos que 21 países: Australia, Austria, Bélgica, Brasil, Bulgaria, Dinamarca, Estonia, Finlandia, Alemania, Japón, Letonia, Lituania, Luxemburgo, Países Bajos, Polonia, Portugal, Suecia, Tailandia, Reino Unido y Estados Unidos.

«Los servicios de arranque permiten a los usuarios lanzar ataques DDoS contra sitios web, servidores o redes específicos», Europol dicho en un comunicado. «Su infraestructura se compone de servidores, bases de datos y otros componentes técnicos que hacen posibles las actividades de alquiler de DDoS. Al apoderarse de estas infraestructuras, las autoridades pudieron obstaculizar estas operaciones criminales y evitar mayores daños a las víctimas».

Ciberseguridad

La agencia describió el alquiler de DDoS como una de las tendencias más prolíficas y de fácil acceso en materia de delitos cibernéticos, ya que permite que incluso personas con poco o ningún conocimiento técnico ejecuten ataques maliciosos a escala e inflijan daños significativos a las empresas.

Europol también señaló que la actividad DDoS puede provenir de actores de amenazas capacitados y con buenos recursos, que podrían confiar en dichos servicios para personalizar u optimizar sus actividades ilícitas. Los ataques DDoS suelen tener como objetivo varios servicios basados ​​en la web, y las motivaciones detrás de ellos son tan variadas como amplias.

Esto va desde la simple curiosidad y la ganancia financiera mediante la extorsión hasta el hacktivismo impulsado por razones ideológicas y la interrupción de los servicios de los competidores. Se ha descubierto que algunos operadores de estos servicios enmascaran sus verdaderos motivos y escapan al escrutinio de las autoridades disfrazándolos de herramientas de pruebas de estrés.

Este desarrollo marca el último paso dado por las autoridades para desmantelar las infraestructuras criminales de alquiler de DDoS en todo el mundo como parte de PowerOFF. En agosto de 2025, el gobierno de EE. UU. anunció la eliminación de una botnet DDoS llamada RapperBot que se utilizaba para llevar a cabo ataques disruptivos a gran escala dirigidos a víctimas en más de 80 países desde al menos 2021.

Apache ActiveMQ CVE-2026-34197 agregado a CISA KEV en medio de explotación activa – CYBERDEFENSA.MX

Una falla de seguridad de alta gravedad recientemente revelada en Apache ActiveMQ Classic ha sido objeto de explotación activa en la naturaleza, según la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA).

Para ello, la agencia ha agregado la vulnerabilidad, rastreada como CVE-2026-34197 (Puntuación CVSS: 8,8), a sus vulnerabilidades explotadas conocidas (KEV), que exige que las agencias del Poder Ejecutivo Civil Federal (FCEB) apliquen las correcciones antes del 30 de abril de 2026.

CVE-2026-34197 se ha descrito como un caso de validación de entrada incorrecta que podría provocar la inyección de código, lo que permitiría efectivamente a un atacante ejecutar código arbitrario en instalaciones susceptibles. Según Naveen Sunkavally de Horizon3.ai, CVE-2026-34197 ha estado «escondido a plena vista» durante 13 años.

Ciberseguridad

«Un atacante puede invocar una operación de administración a través de la API Jolokia de ActiveMQ para engañar al corredor para que obtenga un archivo de configuración remoto y ejecute comandos arbitrarios del sistema operativo», agregó Sunkavally.

«La vulnerabilidad requiere credenciales, pero las credenciales predeterminadas (admin:admin) son comunes en muchos entornos. En algunas versiones (6.0.0–6.1.1), no se requieren credenciales debido a otra vulnerabilidad, CVE-2024-32114, que expone inadvertidamente la API de Jolokia sin autenticación. En esas versiones, CVE-2026-34197 es efectivamente un RCE no autenticado».

la vulnerabilidad impactos las siguientes versiones –

  • Agente Apache ActiveMQ (org.apache.activemq:activemq-broker) anterior a 5.19.4
  • Apache ActiveMQ Broker (org.apache.activemq:activemq-broker) 6.0.0 anterior a 6.2.3
  • Apache ActiveMQ (org.apache.activemq:activemq-all) anterior a 5.19.4
  • Apache ActiveMQ (org.apache.activemq:activemq-all) 6.0.0 anterior a 6.2.3

Se recomienda a los usuarios que actualicen a la versión 5.19.4 o 6.2.3, que soluciona el problema. Actualmente no hay detalles sobre cómo se está explotando CVE-2026-34197 en la naturaleza, pero SAFE Security, en un informe publicado esta semana, reveló que los actores de amenazas están apuntando activamente a los puntos finales de administración de Jolokia expuestos en implementaciones de Apache ActiveMQ Classic.

Los hallazgos demuestran una vez más que los plazos de explotación continúan colapsando a medida que los atacantes se abalanzan sobre las vulnerabilidades recientemente reveladas a un ritmo alarmantemente más rápido y violan los sistemas antes de que puedan ser parcheados.

Ciberseguridad

Apache ActiveMQ es un objetivo popular de ataque, con fallas en el intermediario de mensajes de código abierto explotadas repetidamente en varias campañas de malware desde 2021. En agosto de 2025, actores desconocidos utilizaron como arma una vulnerabilidad crítica en ActiveMQ (CVE-2023-46604, puntuación CVSS: 10.0) para lanzar un malware de Linux llamado DripDropper.

«Dado el papel de ActiveMQ en la mensajería empresarial y los canales de datos, las interfaces de gestión expuestas presentan un riesgo de alto impacto, lo que potencialmente permite la filtración de datos, la interrupción del servicio o el movimiento lateral», SAFE Security dicho. «Las organizaciones deben auditar todas las implementaciones para los puntos finales de Jolokia accesibles externamente, restringir el acceso a redes confiables, imponer una autenticación sólida y desactivar Jolokia cuando no sea necesario».