SI LO CONSIDERA DE UTILIDAD HAGA UNA CAPTURA DEL URL Y TEXTO, REPRODÚSZCALO DESDE NUESTRO PORTAL INFORMATIVO, COMPÁRTALO CON FAMILIARES Y JUNTO CON EL GADGET O EQUIPO QUE DECIDIÓ ENTREGAR COMO OBSEQUIO.

En un mundo donde los niños crecen rodeados de pantallas, dispositivos inteligentes y aplicaciones con inteligencia artificial, ESET, compañía líder en detección proactiva de amenazas, desde su iniciativa Digipadres, que busca acompañar a madres, padres y docentes en el cuidado de los niños en Internet, advierte sobre la importancia de fomentar un uso consciente de la tecnología desde edades tempranas. Analizan en esta entrega por qué desarrollar una higiene digital sólida ayuda a los menores a mantenerse equilibrados, seguros y en control de su vida en línea.

Un informe de la OMS en 2024, realizado con 280.000 adolescentes en 44 países, reveló que el uso problemático de redes sociales aumentó del 7 % en 2018 al 11 % en 2022, afectando más a las niñas (13 %) que a los niños (9%). Asimismo, investigaciones de la Academia Americana de Pediatría en 2024 concluyen que reducir el tiempo frente a pantallas, en lugar de eliminarlo por completo, mejora el bienestar de manera más consistente.

Desde Digipadres explican que la higiene digital implica enseñar a los niños a usar la tecnología de forma intencionada, no pasiva, para que mantengan el control de lo que consumen y comparten. Además, destacan que los límites deben establecerse desde pequeños y el ejemplo de los adultos resulta determinante en la formación de hábitos digitales saludables.

“El momento en que los niños empiezan a usar la tecnología es importante, pero también lo es cuánto y cuándo. No hay una regla única para todas las familias, pero los más pequeños son los que necesitan más estructura. Para los infantes, el tiempo frente a la pantalla debe limitarse a momentos breves y con un propósito, no más de 50 minutos al día, como videollamadas con familiares. A medida que crecen, las reglas pueden adaptarse a su edad y madurez”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Algunos puntos destacados o relevantes para todas las familias

• Conciencia digital: Enseñar a las infancias y adolescencias a usar la tecnología con propósito.

• Ejemplo parental: Los hábitos de los adultos influyen directamente en los más pequeños.

• Equilibrio: Combinar actividades en línea con descansos activos y experiencias fuera de la pantalla.

• Desintoxicación digital: No debe ser un castigo, sino una oportunidad para reflexionar y recuperar el control.

Sobre la desintoxicación digital

En cuanto a la desintoxicación digital, tomarse un breve descanso de las pantallas puede ayudar tanto a niños como a adultos a redefinir sus hábitos, pero solo si se hace por las razones correctas. Jarmila Tomková, psicóloga infantil, advierte que la desintoxicación debe venir después de establecer rutinas digitales saludables, no como un castigo. “La desintoxicación digital solo debería ser una opción cuando el niño ya tiene una higiene digital equilibrada. De lo contrario, podría ser más perjudicial que beneficiosa”.

En cuanto a recomendaciones para construir un uso consciente de la tecnología, desde ESET subrayan el iniciar las conversaciones sobre seguridad digital pronto, tempranamente, desde que los infantes tienen dos o tres años. Además, establecer un Acuerdo Familiar Digital completo y visible que rija en distintos niveles para todos los integrantes de la casa. También, aconsejan limitar el tiempo frente a pantallas en menores de tres años a momentos breves y con propósito. Por último, promover actividades físicas y al aire libre como contrapeso a la sobrecarga digital.

“Los hábitos digitales saludables empiezan con el equilibrio, la conciencia y el ejemplo de los padres. Los niños imitan lo que ven. Si los padres navegan en la mesa o responden mensajes durante el tiempo en familia, los niños aprenden que es normal. Establecer límites y vivir de acuerdo con ellos es la lección más poderosa que se puede dar. El mensaje es simple: enseñen a sus hijos que no pierden nada al guardar sus teléfonos. En cambio, ganan tiempo para la creatividad, el descanso y la conexión con el mundo físico”, aconseja Luis Lubeck, Mentor Educativo y Miembro de la Comisión Directiva de la ONG Argentina Cibersegura, Asociación Civil cuyo objetivo es acompañar la educación digital.

Digipadres, es una iniciativa impulsada por SaferKidsOnline de ESET, que busca acompañar a madres, padres y docentes en el cuidado de los niños en Internet con el fin de generar conciencia acerca de riesgos y amenazas en el mundo digital. Brindan materiales para el proceso de aprendizaje, diálogo y supervisión con el objetivo de facilitar los conocimientos necesarios para ayudar a lo más pequeños en el uso de las nuevas tecnologías. Para obtener más información sobre los peligros que enfrentan los niños en línea, visite: https://digipadres.com/

Para saber más visite: https://digipadres.com/novedades/139-construyendo-un-uso-consciente-de-la-tecnologia

ESET invita a conocer y profundizar sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Puro Vinotinto

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

Con acceso a las credenciales almacenadas en un gestor de contraseñas, los actores de amenazas podrían secuestrar sus cuentas para cometer fraude de identidad, o vender accesos/contraseñas a otros. Por eso siempre están buscando nuevas formas de atacar.

Cuáles son los 6 problemas a los que prestar atención especialmente

1. Compromiso de la contraseña maestra: Si los ciberdelincuentes consiguen hacerse de esa contraseña maestra, obtendrán un acceso total a la cuenta. Por ejemplo, pueden obtenerla mediante un ataque de “fuerza bruta” en el que utilizan herramientas automatizadas para probar diferentes contraseñas repetidamente, a través de la explotación de vulnerabilidades del software de gestión de contraseñas, o vía páginas de phishing con las que engañan a los usuarios para que entreguen su información.

2. Anuncios de phishing/estafa: Los actores de amenazas publican anuncios maliciosos en búsquedas de Google diseñados para atraer a las víctimas a sitios falsos que recopilan su dirección de correo electrónico, contraseña maestra y clave secreta. Estos anuncios parecen legítimos, y enlazan a páginas falsas con dominios que intentan falsificar a la auténtica Por ejemplo, un dominio puede ser “the1password[.]com” en lugar del original “1password.com”, o “appbitwarden[.]com” en lugar de “bitwarden.com”. Al hacer clic en una página de este tipo, se accede a una página de inicio de sesión de aspecto legítimo diseñada para robar todos los inicios de sesión importantes del gestor de contraseñas.

3. Malware para robar contraseñas: En el ingenio que aplican los ciberdelincuentes, algunos han desarrollado malware para robar credenciales de los gestores de contraseñas de las víctimas. Por ejemplo, el equipo de investigación de ESET descubrió recientemente un intento de este tipo por parte de una campaña patrocinada por el estado norcoreano apodada DeceptiveDevelopment, el malware InvisibleFerret que incluía un comando backdoor capaz de filtrar datos tanto de extensiones de navegador como de gestores de contraseñas a través de Telegram y FTP. Entre los gestores de contraseñas atacados se encontraban 1Password y Dashlane. En este caso, el malware estaba oculto en archivos descargados por la víctima como parte de un elaborado proceso de falsa entrevista de trabajo. Pero no hay razón por la que un código malicioso con propiedades similares no pueda propagarse de otras formas, como por correo electrónico, mensajes de texto o redes sociales.

4. La brecha de un proveedor de gestores de contraseñas: Los proveedores de gestores de contraseñas saben que son uno de los principales objetivos de las amenazas. Por eso dedican mucho tiempo y recursos a hacer que sus entornos informáticos sean lo más seguros posible. En 2022, ladrones digitales comprometieron el equipo de un ingeniero de LastPass para acceder al entorno de desarrollo de la empresa. Allí robaron código fuente y documentos técnicos que contenían credenciales, lo que les permitió acceder a las copias de seguridad de los datos de los clientes.

Esto incluía información personal y de cuentas de clientes, que podría utilizarse para ataques de phishing posteriores. Una lista de todas las URL de los sitios web de sus almacenes. Y los nombres de usuario y contraseñas de todos los clientes. Aunque estaban cifrados, el pirata informático pudo “forzarlos”. Se cree que esto dio lugar a un robo masivo de criptomonedas por valor de 150 millones de dólares.

5. Aplicaciones falsas de gestión de contraseñas: A veces, los ciberdelincuentes se aprovechan de la popularidad de los gestores de contraseñas para intentar robar contraseñas y propagar malware a través de aplicaciones falsas. Incluso la App Store de Apple, normalmente segura, permitió el año pasado que los usuarios descargaran una de estas aplicaciones maliciosas de gestión de contraseñas. Estas amenazas suelen estar diseñadas para robar la importantísima contraseña maestra o descargar malware que roba información en el dispositivo del usuario.

6. Explotación de vulnerabilidades: Los gestores de contraseñas no son más que software, y al estar escrito (en su mayoría) por humanos inevitablemente contiene vulnerabilidades. Si un ciberdelincuente se las arregla para encontrar y explotar uno de estos errores, puede ser capaz de obtener credenciales de su almacén de contraseñas. También podrían aprovecharse de las vulnerabilidades de los complementos de los gestores de contraseñas de los navegadores web para robar credenciales e incluso códigos de autenticación de dos factores (2FA). O podrían atacar los sistemas operativos de los dispositivos para hacer lo mismo. Cuantos más dispositivos tengan descargado el gestor de contraseñas, más oportunidades tendrán de hacerlo.

Para protegerse de las amenazas mencionadas, desde ESET recomiendan tener en cuenta lo siguiente

• Piensa en una frase de contraseña maestra segura, larga y única. Piense en cuatro palabras memorables separadas por guiones. Así será más difícil que un atacante pueda “forzarla”.
• Aumenta siempre la seguridad de tus cuentas activando el 2FA. Esto significa que aunque los piratas informáticos se hagan con tus contraseñas, no podrán acceder a tus cuentas sin el segundo factor.
• Mantenga actualizados los navegadores, los gestores de contraseñas y los sistemas operativos para que tengan las versiones más seguras. Así se reducen las posibilidades de explotar vulnerabilidades.
• Descarga únicamente aplicaciones de una tienda de aplicaciones legítima (Google Play, App Store) y comprueba el desarrollador y la calificación de la aplicación antes de hacerlo, por si se tratara de aplicaciones falsas o maliciosas.
• Elige solo un gestor de contraseñas de un proveedor de confianza. Compara precios hasta que encuentres uno con el que te sientas cómodo.
• Asegúrate de instalar software de seguridad de un proveedor de confianza en todos los dispositivos, para mitigar la amenaza de ataques diseñados para robar contraseñas directamente de tu gestor de contraseñas.

“Los gestores de contraseñas siguen siendo una parte clave de las mejores prácticas de ciberseguridad. Pero solo si toma precauciones adicionales. Los riesgos de seguridad evolucionan constantemente, así que mantente al día de las tendencias actuales en materia de amenazas para asegurarte de que tus credenciales en línea permanecen bajo llave”, puntualiza Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Puro Vinotinto

Con información e imagen referencial suministrada por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

ESET, compañía líder en detección proactiva de amenazas, repasa algunos de los principales casos ocurridos en 2025 y cómo vulnerabilidades aparentemente simples resultaron en robos millonarios que sacudieron el mercado de criptomonedas.

Este escenario de vulnerabilidad contrasta con la creciente institucionalización del sector donde los ETF de criptomonedas registraron entradas récord de 5.95 mil millones de dólares e inversores corporativos como Strategy (anteriormente MicroStrategy) anunciaron nuevas compras de Bitcoin, el mercado expuso sus debilidades de seguridad. “La BBC señaló que el ataque de 1.500 millones de dólares al exchange Bybit, atribuido a hackers vinculados a Corea del Norte, fue el más grande de la historia, simbolizando así esta contradicción: incluso con avances regulatorios y técnicos, se siguen explotando fallas conocidas”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

ESET explica que durante el presente año, pérdidas multimillonarias y ataques sofisticados pusieron a prueba la confianza en el futuro de las criptomonedas

El año 2025 se consolida como un período de pérdidas históricas para el mercado de criptoactivos. Según CertiK, la industria perdió casi 2.5 mil millones de dólares por ataques y estafas solo en los primeros seis meses del año. Chainalysis, por su parte, señaló que el volumen de criptoactivos robados en el mismo período superó la marca de 2.17 mil millones de dólares registrada en todo 2024.

Manteniendo este ritmo, según ESET, las pérdidas podrían superar los 4 mil millones de dólares para fin de año, lo que haría de 2025 el año con la mayor cantidad de activos desviados en la historia de las criptomonedas.

Vulnerabilidades que pueden convertirse en pérdidas multimillonarias

ESET ha analizado los incidentes más significativos del año, que ilustran cómo las vulnerabilidades de diferente naturaleza pueden resultar en pérdidas multimillonarias:

1. Ataques a exchanges y plataformas centralizadas (CEX): Entre los episodios más emblemáticos se encuentra el ataque a Bybit, que resultó en el robo de aproximadamente 1.500 millones de dólares en Ethereum, el más grande jamás registrado en la historia de las criptomonedas. En este caso, los atacantes no violaron directamente los servidores del exchange, sino que comprometieron a un proveedor externo de la plataforma, cambiando la dirección de la billetera donde se transfirieron los fondos. ByBit pensó que estaba transfiriendo los fondos a su propia billetera digital, pero lo envió todo a los piratas informáticos. La sofisticación de la operación reveló cómo las cadenas de confianza y las integraciones externas pueden convertirse en puntos de entrada para delincuentes altamente especializados.
2. Exploits en protocolos DeFi: El ataque a Balancer, que causó pérdidas de más de 100 millones de dólares, destacó una de las debilidades recurrentes en el espacio DeFi; errores en el código. Un error en el contrato inteligente permitió retiros no autorizados, exponiendo cómo se pueden explotar pequeñas fallas lógicas para comprometer un protocolo completo. El impacto se extendió a proyectos derivados, como Beets Finance, que también reportó pérdidas millonarias. Estos incidentes refuerzan la importancia de las auditorías continuas e independientes, un desafío para los protocolos que priorizan la innovación y la velocidad de lanzamiento.
3. Estafas de phishing: Si bien las grandes plataformas sufrieron ataques coordinados, los usuarios individuales siguieron siendo los objetivos preferidos. Las estafas de phishing, en las que se engaña a las víctimas para que renuncien voluntariamente a sus credenciales, generaron 410 millones de dólares en pérdidas, según Certik. Se estima que los ataques dirigidos a individuos representaron el 23,35% de todos los fondos robados en el período, una señal de que la ingeniería social sigue siendo tan eficiente como las intrusiones técnicas.
4. Ataques históricos y vulnerabilidades de puentes: Aunque en 2025 no se produjeron incidentes importantes relacionados con puentes, este tipo de ataque sigue siendo uno de los más destructivos. El recuerdo del caso del puente Ronin, en 2022, cuando se robaron 600 millones de dólares, sigue siendo una alerta permanente. Estas fallas muestran cómo la interconectividad entre redes, esencial para la escalabilidad del ecosistema criptográfico, también amplía la superficie de ataque y puede convertir un solo error de código en un colapso sistémico.

“Los ataques recientes revelan el creciente nivel de profesionalización de la ciberdelincuencia relacionada con las criptomonedas. Incluso con la creciente madurez técnica y regulatoria del ecosistema, los ciberdelincuentes han demostrado que siguen un paso por delante en 2025, mejorando los métodos, explotando las lagunas conocidas y diversificando los objetivos. Si bien la industria ha madurado en regulación, transparencia e infraestructura, muchos de los ataques explotaron errores humanos, integraciones mal administradas y código no auditado, puntos que la innovación por sí sola no elimina”, destaca Gutierrez Amaya.  

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Puro Vinotinto

Con información e imagen referencial suministrada por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

Desde ESET, se describen algunos de los esquemas más utilizados por los estafadores que se aprovechan de las personas mayores:

Estafas de Phishing: Los estafadores pueden hacerse pasar por representantes de organismos estatales, cuidados médicos o bancos, exigiendo pagos para evitar multas o para «desbloquear» cuentas. Estas estafas suelen empujar a las víctimas a introducir sus credenciales de inicio de sesión o revelar otra información confidencial en sitios web diseñados para parecerse a los de entidades legítimas.

Estafas de soporte técnico: Una ventana emergente de advertencia en la pantalla de una computadora o una llamada telefónica que afirma que un dispositivo ha sido infectado con malware. El representante de «soporte técnico» lo convence de que le conceda acceso remoto y, a continuación, roba sus credenciales bancarias o instala malware -precisamente- para robar información en el dispositivo.

Estafas románticas: Los estafadores cultivan relaciones con sus «víctimas» durante períodos de tiempo que abarcan semanas o meses, se ganan su confianza y luego solicitan grandes transferencias bancarias para una emergencia inventada.

La urgencia falsa: Un estafador llama para hacerle creer que uno de sus seres queridos está en problemas y necesita una transferencia de dinero urgente. En la manipulación por parte del delincuente sobre las emociones de la persona a ser perjudicada, la víctima muchas veces se salta pasos de verificación, cae en el engaño y convencido de que está asistiendo a su familiar o amigo, cumple con el pedido o solicitud, enviando la transferencia requerida maliciosamente. 

Inversiones fraudulentas: Los delincuentes contacten a posibles víctimas, para ofrecerles oportunidades de inversión, que no son más que estafas para quedarse con el dinero que supuestamente se invierte. A medida que los esquemas fraudulentos aprovechan cada vez más los deepfakes, pueden clonar las voces de otras personas o crear videos que parecen involucrar a familiares o figuras públicas de confianza, lo que hace que muchas de las estratagemas parezcan alarmantemente reales.

“Las estafas dirigidas a las personas mayores están aumentando en costo, frecuencia y sofisticación. Sin embargo, las familias que combinan una comunicación abierta con medidas de protección técnicas y de comportamiento eficaces pueden reducir el riesgo de forma drástica. Implementar estas medidas de protección hará que a los delincuentes les resulte mucho más difícil convertir los ahorros de toda la vida de tus padres o abuelos en su día de pago”, destaca Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

ESET señala que la población adulta mayor está en el blanco de las estafas online; protegerlos exige educación digital, diálogo familiar y acciones concretas para cuidar su bienestar financiero y emocional

En caso de haber sido víctima de algún fraude, desde ESET advierten que actuar rápidamente es lo esencial, y hará que haya mayor chance de evitar la estafa o aminorar la magnitud del robo. Si un ser querido cayó en algún engaño es importante asegurarse de:

• Congelar las cuentas y dar aviso a la entidad: Para evitar que haya otras transferencias fraudulentas y se extienda el daño.
• Documentar todo: Registrar números de teléfono, correos electrónicos y tomar capturas de pantallas que den cuenta de cómo se produjo la estafa.
• Reportar el engaño: Por ejemplo, en el Internet Crime Complaint Center (IC3) o en IdentityTheft.gov de la FTC, en los Estados Unidos.
• Congelar líneas de créditos y tarjetas: Para evitar que los estafadores continúen su estafa solicitando créditos en nombre de la víctima.
• Apoyar emocionalmente al ser querido: Recordar que son víctimas del crimen, en lugar de cargarlos de culpa, lo cual podría hacer que no den aviso de casos similares. El silencio solo beneficia a los estafadores.

En términos de prevención y en lo que refiere a familiares y adultos mayores, una importante capa de defensa, para ESET, es construir una comunicación abierta y sin vergüenza. “Comenzar con empatía y explicar cómo los estafadores manipulan las emociones: si pueden engañar a personas de entre 30 y 40 años con conocimientos tecnológicos, cualquiera puede convertirse en víctima.”, agrega y comenta el especialista Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET.

Además, se destaca que puede ser útil compartir una historia, como: «Una amiga mía estuvo a punto de transferir una gran cantidad de dinero después de escuchar lo que parecía ser la voz de su nieto. Resultó ser una estafa. ¿Podemos establecer una regla familiar para que, antes de enviar dinero, siempre lo comprobemos dos veces?». En otras palabras, considerar la posibilidad de implementar un plan sencillo basado en «detener y verificar», de modo que al menos otro miembro de la familia sea el «compañero de verificación» al cual acudir para cualquier solicitud financiera. También se sugiere consultar con el banco si ofrece protecciones especiales para clientes mayores, que incluya llamadas de verificación para algunas transacciones, límites para nuevos beneficiarios o retenciones en transferencias bancarias de gran cantidad, y alertas para los abuelos como a un familiar de confianza para cualquier transacción que supere un monto determinado.

ESET comparte asimismo algunas reglas de “ciber higiene” básicas que combinadas representan medidas de seguridad que cierran las brechas tecnológicas más comúnmente explotadas:

• Utilizar un administrador de contraseñas para generar y almacenar una contraseña segura y única para cada cuenta en línea, especialmente las más valiosas (por ejemplo, banca, correo electrónico y redes sociales).
• Activar la autenticación de dos factores siempre que sea posible, idealmente con una aplicación de autenticación móvil o incluso una llave de hardware, en lugar de mediante mensajes SMS.
• Bloquear las ventanas emergentes y las llamadas automáticas utilizando las herramientas o medidas de seguridad que ofrecen los operadores de telefonía, según corresponda.
• Activar las actualizaciones automáticas para todos los dispositivos, especialmente teléfonos, tabletas y computadoras.
• Recordar a familiares no descargar archivos adjuntos ni hacer clic en enlaces de mensajes no solicitados; en caso de duda, utilizar el verificador de enlaces gratuito y fácil de usar de ESET.
• Instalar un software de seguridad de confianza en todos los dispositivos.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Puro Vinotinto

Con información e imágenes referenciales suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

En este contexto, ESET, compañía líder en detección proactiva de amenazas, advierte que cualquier persona usuaria de servicios en línea es blanco de ataque y comenta que, es necesario abordar algunos mitos que aún persisten sobre la seguridad digital y que pueden poner en riesgo tanto a usuarios personales como a sistemas corporativos.

La seguridad no es solo tecnología, también es proceso y gobernanza

LOS MITOS:

1. No soy un objetivo, porque no tengo nada de valor: Es común que las personas crean que los ciberataques solo apuntan a grandes empresas o figuras públicas. La realidad es que cualquier dato personal tiene valor para los ciberdelincuentes, desde información bancaria hasta credenciales de correo electrónico o redes sociales. Las estafas digitales llegan a millones de usuarios comunes, independientemente de su perfil o relevancia en línea.

“Subestimar el riesgo crea una falsa sensación de seguridad y conduce a comportamientos riesgosos, como no habilitar la autenticación multifactor, usar contraseñas débiles o hacer clic en enlaces sospechosos. Estas debilidades son una oportunidad única para ataques que resultan en robo de datos, clonación de tarjetas, apropiación de cuentas o incluso extorsión digital, a usuarios que creen no ser blanco de ataques”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

2. Mi antivirus me protege contra todo: El antivirus es una pieza importante de la defensa, pero no cubre todos los vectores de ataque. La ingeniería social, las fallas en los procesos, la mala administración de privilegios, los ataques a la cadena de suministro y brechas de visibilidad operativa, son acciones que un antivirus por sí solo no puede resolver.

Un ejemplo de esto se dio en Brasil, el caso de C&M Software expuso cómo las lagunas en los procedimientos, la falta de controles y las fallas en la gestión de terceros permitieron el desvío de recursos y comprometieron la seguridad operativa de la organización. Esto demostró que la seguridad no es solo tecnología, también es proceso y gobernanza. Otro punto crítico es que muchos ataques explotan credenciales filtradas, debilidades humanas o flujos de autorización inseguros, escenarios en los que una solución antivirus no evita la intrusión inicial o la escalada de acceso. Por lo tanto, la estrategia de defensa actual debe estar en capas.

3. Mi contraseña es segura, puedes usarla en todo: Aunque una contraseña sea segura, reutilizarlas en múltiples servicios presenta un riesgo. En la práctica, los delincuentes que se especializan en ataques automatizados, como el relleno de credenciales (credential stuffing), donde utilizan combinaciones de correo electrónico y contraseña filtradas para intentar acceder a otras cuentas automáticamente. Si la contraseña es la misma, el acceso es inmediato y silencioso.

Por otro lado, la reutilización de contraseñas hace que estafas como el phishing y la apropiación de cuentas sean más efectivas, porque los ciberdelincuentes pueden combinar información de diferentes servicios para engañar al usuario de manera más convincente. Incluso si una plataforma tiene una protección sólida, si se usa la misma contraseña en un sitio web con seguridad débil, el riesgo se replica.

“Confiar exclusivamente en contraseñas seguras y únicas crea una falsa sensación de seguridad y deja a los usuarios vulnerables a intrusiones, robo de identidad y fraude financiero. La protección eficaz requiere no solo contraseñas seguras, sino también una combinación de autenticación multifactor, monitoreo de actividades sospechosas y buenas prácticas de administración de credenciales”, agrega Gutiérrez Amaya de ESET.

4. Mi celular está seguro, solo tengo que preocuparme por la computadora: Muchas personas creen que sus teléfonos inteligentes o tabletas están protegidos porque son dispositivos más pequeños o modernos, y que los ataques cibernéticos no les afectan. Los dispositivos móviles son objetivos frecuentes de estafas sofisticadas, y los riesgos aumentan a medida que se concentra información personal, financiera y profesional en ellos. La defensa móvil efectiva implica contraseñas seguras, autenticación multifactor, tener cuidado con las aplicaciones y enlaces sospechosos, actualizaciones periódicas y prestar atención a llamadas telefónicas inesperadas.

Además de los casos de phishing y vishing y otros de ingeniería social, también los dispositivos, tanto Android como Apple, y otros, son blanco de distribución de malware, con aplicaciones falsas y explotación de vulnerabilidades del sistema, que pueden comprometer el dispositivo incluso sin interacción directa del usuario. De hecho, se ha identificado en el pasado como apps maliciosas han permanecido en las tiendas oficiales de Google por un tiempo considerable sin ser detectadas. O cómo, hacia fines de 2023, se había advertido un aumento de las aplicaciones de préstamos en Android que no eran más que vías de entrada para programas espías.

5. La ciberseguridad es responsabilidad exclusiva del sector IT: Todo usuario tiene un papel esencial en la protección de datos y sistemas. La persona que adopta buenas prácticas contribuye a fortalecer la seguridad de toda la organización o comunidad en línea. Hábitos simples como verificar enlaces antes de hacer clic, mantener contraseñas seguras y únicas, habilitar la autenticación multifactor y reportar actividades sospechosas crean barreras efectivas que complementan las tecnologías y políticas de IT.

Cuanto más actúe cada persona de forma consciente, más resistente será el ecosistema digital

“Cuando todos nos involucramos, la conciencia colectiva se convierte en una poderosa defensa, capaz de prevenir estafas, fraudes e invasiones, proteger la información personal y corporativa y la comunidad digital en su conjunto. Cuanto más actúe cada persona de forma consciente, más resistente será el ecosistema digital. Es importante recordar que la ciberseguridad es responsabilidad de todos, y los pequeños hábitos marcan una gran diferencia”, concluye el investigador de ESET Latinoamérica.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Puro Vinotinto

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

“Seguir utilizando Windows 10 después del 14 de octubre trae aparejadas consecuencias reales que pueden traer impacto tanto para usuarios como para las empresas. Los sistemas sin soporte se transforman en un entorno de alto riesgo y en un objetivo más que apetecible para los ciberatacantes. Se brinda la posibilidad de quedar expuesto a problemas de seguridad, en cuanto a la información personal así como la operatoria de muchas empresas”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Algunos puntos destacados para tener en cuenta con relación al fin del soporte son la exposición al cibercrimen, ya que los delincuentes saben que millones de usuarios seguirán en Windows 10 debido a que no se tiene el hábito de actualizar el software, transformándolos en un blanco tan recurrente como vulnerable. Sin parches de seguridad ni actualizaciones, las vulnerabilidades no serán corregidas y así quedarán las puertas abiertas al malware y diversos tipos de exploits. Por otro lado, es importante tener en cuenta que la compatibilidad con ciertas aplicaciones será cada vez menor, por lo cual podrían no instalarse o bloquearse por políticas de soporte. A su vez, se perderá el soporte en navegadores, que puede exponer a los usuarios a fallos críticos vía web y ciertos drivers y hardware podrían no funcionar correctamente. También se podrían evidenciar bloqueos en entornos corporativos: servicios como Microsoft 365, Teams o Zoom podrían impedir su uso por compliance, y podrían existir restricciones en servicios en la nube, ya que OneDrive, Google Drive y Dropbox (por citar algunos) pueden limitar sus funciones. Por último, están las obligaciones legales, ya que el riesgo legal y de cumplimiento existe para algunos sectores, donde usar un sistema operativo sin soporte puede implicar sanciones o pérdida de certificaciones.

Desde ESET repasan de qué manera prepararse para no quedar expuestos ante estos riesgos

• Migrar a Windows 11: La primera opción sería migrar a Windows 11, que es gratuita si el equipo cumple con los requisitos mínimos requeridos. Esto se comprueba a través de: Menú Inicio > Configuración > Actualización y seguridad > Windows Update > Buscar actualizaciones. Siguiendo esos pasos se podrá identificar si un equipo es compatible o no.

Migrar a Windows 11 asegura el seguir recibiendo soporte, actualizaciones y correcciones, además cuenta con dos upgrades importantes a nivel seguridad. Por un lado, Win 11 que ofrece un Control de aplicaciones inteligentes (Smart App Control) que proporciona una capa de seguridad extra al permitir que solamente se instalen aplicaciones con buena reputación, funciona como una barrera para filtrar apps falsas o que esconden alguna intención maliciosa detrás, con base en su reputación en la nube. Por otro lado, integra las Passkeys, con Windows Hello, lo que significa que los usuarios de Windows 11 podrán sustituir las contraseñas por Passkeys para sus sitios web y aplicaciones. Estas claves digitales son almacenadas y protegidas con cifrado en el dispositivo, por lo cual no pueden ser interceptadas por actores maliciosos.

• Programa de actualizaciones de seguridad extendidas: el ESU (Extended Security Updates), puede ser útil para aquellas personas o empresas que necesitan más tiempo antes de migrar ya que este programa puede proteger cualquier dispositivo con Windows 10 hasta un año después del 14 de octubre de 2025. La inscripción tiene un costo variable dependiente del tipo de usuario, y solo proporciona el acceso a actualizaciones de seguridad críticas e importantes, pero no a otro tipo de correcciones, mejoras de funciones ni mejoras del producto, ni tampoco incluye soporte técnico.
• Long-term servicing channel: Las versiones LTSC son pensadas puntualmente para organizaciones y ofrecen un ciclo de soporte mucho más largo que el de las versiones convencionales. En ese contexto, para los usuarios que ya cuenten con este tipo de licencia, no habrá costos adicionales asociados al soporte extendido, ya que forma parte del paquete original. Y podría extenderse hasta 2032, según la versión que se tenga instalada obviamente.
• Migrar a Linux: Existe una última opción y es migrar a Linux. Obviamente que esta decisión puede requerir el tener que invertir algo de tiempo en la curva de aprendizaje, pero existen diversas distribuciones para explorar, como Fedora, Linux Mint y o Ubuntu, entre tantas otras. Y un dato no menor: es gratuito.

Hay ejemplos icónicos en la historia reciente de la ciberseguridad sobre parches no aplicados a tiempo. En 2017 el ransomware WannaCry provocó un hackeo mundial al infectar a miles de computadoras en más de 150 países del mundo. Los actores maliciosos aprovecharon una vulnerabilidad que Microsoft ya había corregido, pero muchos sistemas no habían instalado el parche.

Otro ejemplo fue Zerologon, una falla crítica en el protocolo Netlogon que permitía a un atacante autenticarse como administrador de dominio sin credenciales a través de una vulnerabilidad. En ese caso, la CISA emitió una directiva de emergencia para que todas las agencias federales lo parchearan. Y, aunque el parche estuvo disponible desde septiembre del 2020, meses después muchas organizaciones fueron comprometidas por no haber aplicado el parche.

Lo mismo ocurrió con ProxyLogon, que fue explotado masivamente incluso después de que Microsoft lanzara el parche. En este caso, una vulnerabilidad en Microsoft Exchange permitió a atacantes instalar web shells y robar datos de más de 60.000 organizaciones. Si bien el parche fue lanzado rápidamente, miles de servidores siguieron expuestos por la falta de actualización.

Verdaderamente importante y prioritario

“El End of Life de Windows 10 invita a reflexionar sobre la importancia de estar al día con los parches y las actualizaciones de software. Muchas personas dilatan el actualizar sus equipos, y ese mal hábito es aprovechado por los cibercriminales. Los parches de seguridad son esenciales. No basta con que el fabricante los publique, sino que hay que aplicarlos. Así que, si estás usando un sistema operativo sin soporte o tienes actualizaciones pendientes, es un buen momento para reforzar tu seguridad digital.”, agrega y concluye en esta entrega el investigador de ESET Latinoamérica.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Puro Vinotinto

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

“En el universo de Roblox, que alberga miles de juegos creados por usuarios, los jugadores más competitivos o curiosos pueden sentirse tentados a usar un executor para ganar habilidades especiales, obtener moneda virtual gratis o desbloquear contenido. Un executor de Roblox es una herramienta de trampa o hack que permite a un jugador ejecutar código personalizado para obtener alguna ventaja. Si bien para algunos jóvenes esto puede resultar muy llamativo por las posibilidades que ofrecen, o bien porque varios executors se ofrecen gratis en la red, también es muy importante conocer los riesgos que puede conllevar su uso”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

A nivel técnico, un executor en Roblox es un programa externo que fue diseñado para inyectar y ejecutar código externo o código de terceros dentro de los juegos de Roblox. Es una forma de exploit o herramienta de trampas que permite ejecutar código que el juego originalmente no permitiría. Debido a su utilización, un jugador podría activar hacks como ver a través de paredes, obtener ventajas injustas o modificar el juego a su favor.

Los riesgos y peligros de usar executors en Roblox, tanto a nivel de la experiencia en el juego como en lo que respecta a la ciberseguridad, son:

• Violación de las reglas y consecuencias en Roblox: El uso de exploits o trampas está prohibido por Roblox. De hecho, la empresa marca claramente que hacer trampa arruina la experiencia y supone una violación de los términos de uso, lo cual puede derivar en el baneo (eliminación) de la cuenta. Entonces, si un jugador es descubierto usando un executor, puede perder su cuenta y todo su progreso en el juego. Roblox cuenta con sistemas antitrampas y con los reportes de la propia comunidad para detectar el uso de software no autorizado.

• Malware y virus ocultos: A nivel ciberseguridad, este representa uno de los riesgos más graves. Sobre todo, porque son muchos los executors disponibles en internet que contienen malware encubierto.

El mismo soporte oficial de Roblox alerta que muchos exploits “son estafas para que descarguen malware, como keyloggers u otros programas de phishing, que pueden usarse para robar información personal que tiene en su computadora, incluida su contraseña de Roblox”.

En la práctica, es común que las soluciones de seguridad detecten los executors como amenazas. Muchas veces son virus o troyanos disfrazados de hacks, en especial si se trata de descargas gratuitas de fuentes dudosas: nadie ofrece trucos gratis, sin obtener algo a cambio. Ese “algo” suele ser infectar un dispositivo.

• Robo de datos y cuentas: El malware que se esconde en estos ejecutores tiene como objetivo robar credenciales, datos sensibles y hasta monederos de criptomonedas de la víctima. Esto implica que no solo peligra la integridad de la cuenta de Roblox del jugador, sino también cualquier otras cuentas o información valiosa almacenada en el dispositivo infectado.

• Daños al sistema y pérdida de información: Algunos troyanos asociados con executors pueden dañar el sistema operativo, ya sea corrompiendo programas, eliminando datos o bien enviando información privada y sensible a los ciberdelincuentes. Esto toma especial relevancia si se tiene en cuenta que muchos niños juegan Roblox en la computadora familiar (que puede ser la misma que usan sus padres para trabajo).

ESET recopiló distintos casos en los cuales ejecutores o hacks de Roblox venían acompañados de malware para evidenciar el riesgo real de utilizar este tipo de programas:

Synapse X, por ejemplo, fue un executor de Roblox muy conocido que en 2022 los cibercriminales lograron comprometer para incluir un archivo troyano. La consecuencia de la infección fue desde obtener datos sensibles del disco duro hasta afectar a ciertas aplicaciones y archivos. Este caso demuestra cómo incluso las herramientas de trampas populares pueden ser aprovechadas para distribuir malware. Por otro lado, si bien Wave Executor fue promocionado como un nuevo executor con integración de Inteligencia Artificial, resultó ser un troyano disfrazado de cheat. Al ejecutarlo, podía robar información personal de la víctima e incluso conectar el equipo a una botnet para uso malicioso.

Durante este año, también se generaron diversas alertas sobre supuestos hacks para Roblox y otros juegos a través de videos de YouTube y repositorios de GitHub. Allí, los actores maliciosos subían tutoriales falsos con enlaces de descarga que parecían legítimos, con descripciones detalladas y profesionales e instrucciones muy específicas. Uno de los pasos sugeridos a la víctima era desactivar su solución de seguridad, con el fin de que el malware se instalara en el equipo, y robara contraseñas y datos sensibles sin oposición.

“Estos casos reales y recientes muestran como un simple intento de obtener una ventaja en Roblox puede derivar en un incidente de ciberseguridad grave, y refuerza la necesidad de estar educados al respecto.”, agrega Gutiérrez Amaya.

Tanto a padres, madres o tutores de niños que juegan en Roblox, o también a gamers; ESET les recomienda algunas indicaciones para disfrutar del juego de forma segura y evitar caer en trampas

1. Apostar a la educación: Un buen primer paso es explicarle a tu hijo/hija que, por más tentador que suene, ningún hack o truco milagroso es realmente gratuito. Y que, si encuentran algo que promete poderes ilimitados a cambio de descargar un programa extraño, seguramente se trate de una estafa.
2. No desactivar la solución de seguridad: Ningún programa legítimo debería solicitar desactivar nada. En caso de que esto suceda, es una enorme señal de alarma. Es clave mantener siempre actualizadas y activas las soluciones de seguridad en todas las computadoras, ya que son fundamentales para detectar y bloquear el malware. Existen soluciones ideales para gamers, que son livianas y potentes, y ofrecen seguridad sin generar LAG y con mínimo impacto en el equipo. Así, se puede disfrutar de cada partida sin interrupciones y libre de amenazas.
3. Acompañar y supervisar: Para madres y padres, es importante saber qué instala el menor en el equipo. Y allí es muy útil establecer ciertas reglas, como no descargar software de páginas dudosas, y que consulten siempre antes de instalar algo. También se pueden configurar controles parentales o cuentas limitadas en la PC para evitar instalaciones no autorizadas.
4. Conversar sobre riesgos y consecuencias: Otro punto fundamental es que los jóvenes entiendan los riesgos que conlleva la utilización de executors, que pueden ir desde la infección con malware y la pérdida de datos, al robo de cuentas o el baneo en Roblox.
5. Utilizar los recursos que brinda Roblox: Otro puntal clave es el propio Roblox, que ofrece controles parentales (para restringir el chat, contenido e interacciones) y guías de seguridad. También es muy útil estar al tanto de las noticias sobre nuevas estafas como valerse de la sección de soporte de Roblox para evacuar cualquier duda.

“Más allá de estas herramientas y buenas prácticas, es prioritario que los jugadores jóvenes tengan presente que hacer trampa es algo que va contra las reglas del juego, y que también puede exponer su cuenta, datos personales (y de toda la familia), entre tantas otras consecuencias indeseadas.”, concluye el investigador de ESET.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener más datos preventivos y protegerse se encuentra disponible en Venezuela: https://www.eset.com/ve/ y en sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Puro Vinotinto

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

“Una vez que tus datos personales fueron robados, ya sea en una brecha masiva o a través de uno de los distintos métodos existentes, es probable que estos datos sean vendidos o cedidos a otros para su uso en diversos esquemas de fraude. Esto podría ir desde compras ilegales hasta la toma de control de cuentas (ATO), fraude de cuentas nuevas o esquemas de phishing diseñados para obtener información aún más sensible. En algunos casos, se mezclan datos reales con otros generados por máquinas para crear identidades sintéticas más difíciles de bloquear por los filtros antifraude”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de Seguridad Informática de ESET Latinoamérica.

¿Qué datos están en juego o en riesgo?

• Nombres y direcciones
• Números de tarjetas de crédito/pago (débito)
• Números de documentos de identidad oficiales
• Números de cuentas bancarias
• Datos de credenciales de servicios de salud
• Pasaporte o carnet (licencia) de conducir
• Datos de acceso a cuentas personales y de empresa en Internet

El fraude de identidad se reduce a los datos, por lo que es importante comprender cómo los ciberdelincuentes consiguen la información. Si no están robando grandes cantidades de datos de terceras organizaciones, los principales vectores de ataques dirigidos contra individuos son:

• Phishing/smishing/vishing: los ataques clásicos de ingeniería social pueden producirse a través de varios canales, desde el tradicional phishing por correo electrónico hasta mensajes de texto (smishing) e incluso llamadas telefónicas (vishing). El autor de la amenaza suele utilizar técnicas conocidas y probadas para engañar y conseguir que se cumplan sus órdenes, que suelen ser hacer clic en un enlace malicioso, rellenar datos personales o abrir un archivo adjunto malicioso. Entre ellas se incluyen el uso de marcas oficiales para hacerse pasar por una empresa o institución conocida, y trucos como la suplantación del identificador de llamadas o del dominio.
• Robo digital: Para hacerse con los datos de su tarjeta, los autores de la amenaza pueden insertar un código malicioso de skimming en las páginas web de un sitio popular de comercio electrónico o similar. Todo el proceso es completamente invisible para la víctima.
• Wi-Fi públicas: las redes Wi-Fi públicas no seguras pueden facilitar los ataques man-in-the-middle en los que se intercepta información personal. Los hackers también pueden instalar puntos de acceso fraudulentos para recopilar datos y redirigir a las víctimas a sitios maliciosos.
• Malware: el malware Infostealer es un problema creciente tanto para usuarios corporativos como para consumidores. Puede instalarse involuntariamente a través de diversos mecanismos, como mensajes de phishing, descargas no solicitadas de sitios web infectados, juegos pirateados, anuncios de Google o incluso aplicaciones de aspecto legítimo, como falsos programas de reuniones. La mayoría de los infostealers cosechan archivos, flujos de datos, detalles de tarjetas, criptoactivos, contraseñas y pulsaciones de teclas.
• Publicidad maliciosa: Los anuncios maliciosos pueden programarse para robar información, a veces incluso sin exigir la interacción del usuario.
• Sitios web maliciosos: Los sitios de phishing pueden falsificarse para que parezcan auténticos, hasta el dominio. En el caso de los drive-by-downloads, basta con que el usuario visite una página maliciosa para que se inicie la instalación encubierta del malware. A menudo, los sitios web maliciosos se colocan en las primeras posiciones de los rankings de búsqueda para tener una mayor exposición, gracias a técnicas de SEO.
• Aplicaciones maliciosas: Los programas maliciosos, incluidos los troyanos bancarios y los ladrones de información, pueden camuflarse como aplicaciones legítimas, con un riesgo especialmente alto fuera de las tiendas de aplicaciones oficiales como Google Play.
• Pérdida o robo de dispositivos: Si pierdes tu dispositivo y no cuentas con la protección adecuada, los cibercriminales podrían asaltarlo en busca de datos personales y financieros.

Desde ESET se comparten algunas buenas prácticas para aplicar en conjunto y evitar así que los delincuentes accedan a la información personal y financiera

• Contraseñas fuertes y únicas: Elegir una contraseña distinta para cada sitio, aplicación o cuenta, y guardarlas en un gestor de contraseñas. Activar la autenticación de doble factor (2FA) en las cuentas, de esta forma, aunque alguien obtenga la contraseña, no podrá utilizarla. La mejor opción es una aplicación de autenticación o una llave de seguridad.
• Instalar software de seguridad: Esto escaneará y bloqueará aplicaciones y descargas maliciosas, detectará y bloqueará sitios web de phishing y alertará sobre actividades sospechosas, entre otras.
• Ser escépticos/as: Prestar atención a las señales de advertencia del phishing: un mensaje no solicitado que insta a actuar con rapidez y que contiene enlaces o archivos adjuntos. Algunas excusas que usan para engañar son supuestos sorteos de premios con límite de tiempo o advertencias de multas si no se responde cuanto antes.
• Utilizar únicamente aplicaciones de sitios legítimos: App Store de Apple y a Google Play, por ejemplo, para disminuir la probabilidad de descargar aplicaciones maliciosas. Comprobar las reseñas y los permisos antes de descargarlas.
• Desconfiar de las redes Wi-Fi públicas: Mantenerse alejado de las redes Wi-Fi públicas o, si se debe usar una no ingresar a cuentas sensibles mientras se esté conectado. En cualquier caso, utilizar una VPN.

Frente una filtración de información hay algunas medidas importantes a tomar de forma rápida. Como primer paso hay que comunicarlo al banco, para bloquear las tarjetas (se puede hacer a través de la mayoría de las aplicaciones bancarias), denunciar el fraude y solicitar tarjetas de sustitución. También, hacer la denuncia frente a las autoridades, principalmente la policía, y las autoridades o entidades que sean pertinentes: por ejemplo si robaron la licencia de conducir la denuncia se realiza frente al organismo que la emitió. Además, cambiar las claves de acceso y, en caso de no haberlo hecho antes, activar el doble factor de autenticación (2FA).

“El fraude de identidad sigue siendo una amenaza porque es relativamente fácil obtener beneficios en el ambiente o mundo cibercriminal. Al reducir las vías que pueden utilizar para extraer la información personal, podemos incomodar a nuestros adversarios y mantener nuestras propias vidas digitales a salvo y seguras”, concluye Gutiérrez Amaya de ESET.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Puro Vinotinto

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

“Se recomienda a los usuarios de WinRAR que instalen la última versión lo antes posible para mitigar el riesgo. Además, es importante tener en cuenta que las soluciones de software que dependen de versiones de Windows disponibles públicamente de UnRAR.dll o su código fuente correspondiente también están afectadas, especialmente aquellas que no han actualizado sus dependencias”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Puntos clave de este hallazgo de ESET

• Si se utiliza WinRAR u otros componentes afectados, como las versiones para Windows de sus utilidades de línea de comandos, UnRAR.dll o el código fuente portable de UnRAR, es importante actualizarlos inmediatamente a la última versión.
• El 18 de julio de 2025, el equipo de ESET descubrió una vulnerabilidad de día cero, desconocida hasta entonces, que estaba siendo explotada en WinRAR.
• El análisis del exploit llevó al descubrimiento de una vulnerabilidad de path traversal, posible gracias al uso de flujos de datos alternativos.
• Tras una notificación inmediata, WinRAR publicó una versión parcheada el 30 de julio de 2025.
• La vulnerabilidad permite ocultar archivos maliciosos en un archivo comprimido, que se despliegan silenciosamente al extraerlo.
• Esta campaña se dirigió a empresas financieras, de fabricación, defensa y logística de Europa y Canadá.

Así, el equipo de investigación de ESET identificó tal vulnerabilidad en WinRAR que está siendo explotada por el grupo RomCom. Este grupo (también conocido como Storm-0978, Tropical Scorpius o UNC2596) está alineado con Rusia y lleva a cabo tanto campañas oportunistas contra determinados sectores empresariales como operaciones de espionaje selectivo. El enfoque del grupo ha cambiado para incluir operaciones de espionaje que recopilan inteligencia, en paralelo con sus operaciones de ciberdelincuencia más convencionales.

El backdoor utilizado habitualmente por el grupo es capaz de ejecutar comandos y descargar módulos adicionales en la máquina de la víctima. Esta es al menos la tercera vez que RomCom ha sido descubierto explotando alguna vulnerabilidad importante de zero-day. Los ejemplos anteriores incluyen una de Microsoft Word en junio de 2023, y las dirigidas a versiones de Firefox, Thunderbird y el navegador Tor, en octubre de 2024.

El equipo de ESET identificó el archivo RAR que contenía rutas inusuales que llamaron su atención. Tras un análisis más detallado, descubrió que los atacantes estaban explotando una vulnerabilidad desconocida hasta entonces que afectaba a WinRAR. Al confirmarlo, se pusieron en contacto con el desarrollador de WinRAR y, ese mismo día, se corrigió la vulnerabilidad, publicándose la actualización WinRAR 7.13 beta 1. WinRAR 7.13, el 30 de julio de 2025.

Los atacantes crearon especialmente el archivo que adjuntaban a los correos para que en apariencia sólo contuviera un archivo benigno, mientras que contenía muchos ADS maliciosos (aunque no hay indicación de ellos desde el punto de vista del usuario).

Una vez que la víctima abría este archivo aparentemente benigno, WinRAR lo desempaquetaba junto con todos sus ADS. Por ejemplo, para Eli_Rosenfeld_CV2 – Copy (10).rar, se despliega una DLL maliciosa en %TEMP%. Del mismo modo, se despliega un archivo LNK malicioso en el directorio de inicio de Windows, con lo que se consigue la persistencia mediante la ejecución en el inicio de sesión del usuario.

Según la telemetría de ESET, estos archivos se utilizaron en campañas de spearphishing (tipo de ataque de phishing dirigido a puntos específicos, con el objetivo de obtener información confidencial o acceso a sistemas) del 18 al 21 de julio de 2025, dirigidas a empresas financieras, de fabricación, defensa y logística de Europa y Canadá. En todos los casos, los atacantes enviaron un CV con la esperanza de que un objetivo curioso lo abriera. Según la telemetría de ESET, ninguno de los objetivos se vio comprometido.

“Al explotar una vulnerabilidad de zero-day previamente desconocida en WinRAR, el grupo RomCom ha demostrado que está dispuesto a invertir grandes esfuerzos y recursos en sus ciberoperaciones. Esta es al menos la tercera vez que RomCom utiliza una vulnerabilidad de zero-day in the wild, lo que pone de manifiesto su constante interés en adquirir y utilizar exploits para ataques selectivos. La campaña descubierta se dirigió a sectores que coinciden con los intereses típicos de los grupos APT alineados con Rusia, lo que sugiere una motivación geopolítica detrás de la operación. Queremos agradecer al equipo de WinRAR su cooperación y rápida respuesta”, comentó Anton Cherepanov, Senior Malware Researcher de ESET y parte del equipo que llevó adelante la investigación.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Puro Vinotinto

Con información e imágenes complementarias suministradas por ESET y Comstat Rowland

Fuente de imagen principal: Moritz Kindler en Unsplash

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

“Cuando se está frente a un CAPTCHA solemos seguir las instrucciones y hacer clic sin pensar demasiado. Al fin y al cabo, se supone que mantiene alejados a los bots, pero no siempre es así. En algunos casos, la propia página es falsa y puede meterte en problemas”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Las amenazas que utilizan CAPTCHA ocultan sus acciones maliciosas, tanto a quien los utiliza, como al software de seguridad, empleando herramientas legítimas de Windows para pasar desapercibidos. Esta estrategia de verificadores falsos funciona por varias razones:

• La familiaridad con el proceso y la confianza que se tiene en los CAPTCHA como forma legítima de mantener la seguridad en Internet.
• Cierta impaciencia que se puede tener al navegar, ya que a menudo solo se quiere acceder al contenido que se desea y el CAPTCHA se ve como un obstáculo, lo que provoca seguir las instrucciones sin cuestionarlas.
• La costumbre a realizar múltiples pasos de verificación online, como ocurre, por ejemplo, al realizar pagos por Internet.

Hay varias formas de exponerse a un CAPTCHA malicioso. Puede ser un engaño para que haga clic en un enlace malicioso recibido a través de un correo electrónico de phishing, un SMS o un mensaje de redes sociales.

Con el avance de la inteligencia artificial (IA), este tipo de amenaza está creciendo rápidamente. Las herramientas de IA generativa han ayudado a los ciberdelincuentes a escalar los ataques de ingeniería social produciendo mensajes con un lenguaje casi perfecto y en varios idiomas al mismo tiempo. Otra posibilidad es acceder a un sitio web legítimo comprometido por ciberdelincuentes, que han insertado anuncios maliciosos o contenido falso en la página. Estos casos son especialmente peligrosos porque no requieren ninguna interacción del usuario para que el malware se descargue. Y a menudo la víctima solo se da cuenta cuando ya es demasiado tarde.

Cuando aparece el cuadro CAPTCHA, puede parecer perfectamente legítimo. Sin embargo, lo que pide debería hacer saltar las alarmas. En lugar de presentarle las típicas tareas CAPTCHA, como identificar imágenes similares o escribir un texto distorsionado, puede solicitar que se ejecuten comandos específicos, como:

• Hacer clic para «verificar que eres humano»;
• Pulsar la tecla de Windows + R para abrir el comando «Ejecutar»;
• Pulsar CTRL + V para pegar un comando que el malware ha copiado secretamente en el portapapeles;
• Pulsar ENTER para ejecutar el comando anterior.

Este comando suele activar herramientas legítimas de Windows, como PowerShell o mshta.exe, para descargar archivos maliciosos adicionales desde un servidor externo. El objetivo final suele ser instalar un infostealer, un tipo de malware diseñado para robar información confidencial de su dispositivo.

“Uno de los principales riesgos detrás de los CAPTCHA falsos son los infostealers. Se trata de programas maliciosos diseñados para rastrear ordenadores y teléfonos móviles en busca de nombres de usuario, fotos, contactos y otros datos confidenciales que puedan venderse en la web oscura o utilizarse para suplantar la identidad. Para ello, atacan navegadores, clientes de correo electrónico, monederos de criptomonedas, aplicaciones e incluso el propio sistema operativo. Sus técnicas incluyen la captura de pantallas, el keylogging y diversas formas de recopilación de datos”, advierte Gutiérrez Amaya de ESET.

Según un estudio, en 2024 hubo al menos 23 millones de víctimas de los infostealers, la mayoría de ellas en sistemas Windows. En total, los delincuentes consiguieron robar más de 2.000 millones de credenciales. Una de las piezas de malware más populares en esta categoría, Lumma Stealer, comprometió alrededor de 10 millones de dispositivos antes de ser detenida por una operación internacional en la que también participó ESET, que desmanteló esta amenaza basada en el modelo de malware como servicio (MaaS).

Además de los infostealers, un CAPTCHA falso también puede instalar un troyano de acceso remoto (RAT), un tipo de malware que le da a un atacante acceso remoto a su dispositivo. Según otro estudio, AsyncRAT estuvo presente en el 4% de los incidentes registrados en 2024. Activo desde 2019, este troyano permite el robo de datos, el espionaje mediante keylogging y otras actividades maliciosas realizadas de forma remota.

Para evitar infostealers, troyanos de acceso remoto (RAT) y otras amenazas asociadas a CAPTCHAs maliciosos, desde ESET se comparten las siguientes recomendaciones

• Tener cuidado con las solicitudes CAPTCHA inusuales, como las que piden ejecutar comandos;
• Desconfiar de los CAPTCHA que aparecen de la nada, especialmente en sitios web que normalmente no requieren este tipo de verificación;
• Mantener siempre actualizados el sistema operativo y el navegador, para reducir el riesgo de que los programas maliciosos se aprovechen de antiguos fallos;
• Instalar software de seguridad de un proveedor fiable y mantenerlo actualizado en todo momento: es una de las formas más eficaces de bloquear actividades maliciosas;
• Evitar descargar software pirata, ya que a menudo se utiliza como vector para distribuir programas maliciosos, incluidos los que utilizan CAPTCHA falsos;
• Considerar la posibilidad de utilizar un bloqueador de anuncios para evitar que se cargue contenido potencialmente malicioso a través de anuncios en línea.

Además, Camilo Gutiérrez Amaya de ESET Latinoamérica, aconseja: “Caer en la trampa de un CAPTCHA falso no es el fin del mundo. Pero si ocurre, es esencial actuar con rapidez para minimizar los daños y los problemas. Mantenerse alerta y navegar con seguridad. Adoptar distintas precauciones ayuda a garantizar una navegación más segura y reduce significativamente los riesgos de ser engañado por falsos escáneres disfrazados de CAPTCHAs legítimos.”

En caso de haber desprevenidamente ejecutado los comandos ocultos, desde ESET se propone y sugiere seguir estos pasos

• Ejecutar un análisis completo con un software de seguridad fiable para identificar y, con suerte, eliminar cualquier malware que se haya instalado silenciosamente;
• Desconectar el dispositivo de Internet y hacer una copia de seguridad de los archivos y fotos importantes;
• Restaurar el ordenador o teléfono móvil a los valores de fábrica, eliminando cualquier posible amenaza persistente;
• Cambiar todas las contraseñas, creando credenciales fuertes y únicas para cada cuenta, preferiblemente almacenadas en un gestor de contraseñas;
• Activar la autenticación de doble factor (MFA) en todos los servicios posibles, garantizando una capa adicional de seguridad en caso de que las contraseñas se hayan visto comprometidas.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Puro Vinotinto

Con información e imágenes referenciales suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos