Hay decisiones que tomamos para mejorar la seguridad de un sistema y que, sobre el papel, parecen difíciles de cuestionar. Una de ellas consiste en impedir que determinadas cuentas acepten contraseñas, de manera que solo puedan utilizarse otros métodos de autenticación. Es una práctica que tiene sentido en entornos donde el acceso debe estar especialmente controlado. El problema aparece cuando esa restricción, diseñada para impedir una entrada no autorizada, permite lo contrario. Entonces podemos encontrarnos con una situación desconcertante: una cuenta protegida frente al uso de contraseñas que termina aceptando un acceso que debería rechazar.

La paradoja tiene ya un nombre: *sshole. Así se ha bautizado una vulnerabilidad, identificada como CVE-2026-123158, que permite entrar a distancia en determinadas cuentas de sistemas Linux sin conocer una contraseña válida. El problema se ha confirmado en configuraciones de Alpine Linux que combinan OpenSSH con musl, una biblioteca básica del sistema, y prescinden de PAM, un mecanismo utilizado para gestionar la autenticación. Otras plataformas podrían verse afectadas si reúnen las mismas condiciones. El investigador Özgün Kültekin, de Wakefield, descubrió el fallo y, el 5 de noviembre, tanto OpenSSH como Alpine publicaron correcciones para impedir ese acceso.

Para entender cómo es posible algo así, primero debemos conocer una herramienta muy utilizada para administrar equipos a distancia: SSH. Este protocolo permite conectarse de forma segura a un ordenador a través de la red, por ejemplo, para gestionar un servidor sin estar físicamente delante de él. OpenSSH es una de sus implementaciones y permite identificarse mediante contraseñas o claves criptográficas, que acreditan la identidad del usuario de otra manera. En Linux, el archivo /etc/shadow almacena información utilizada para verificar las contraseñas de las cuentas. Cuando el campo correspondiente contiene un asterisco (*), la autenticación ordinaria por contraseña debería quedar bloqueada, aunque puedan seguir utilizándose otros métodos.

El problema de una contraseña que nunca debería funcionar

Como explica Kültekin en su investigación, el fallo aparece cuando OpenSSH comprueba una contraseña para una cuenta que no debería aceptarlas. Al no encontrar en ella los datos necesarios, utiliza información de otra cuenta para efectuar la verificación. Si la contraseña introducida tiene entre 257 y 1.024 bytes, la función encargada de procesarla en musl devuelve un asterisco para indicar un error. El problema es que ese mismo símbolo figura en la cuenta protegida: el servidor interpreta ambos valores como coincidentes y permite el acceso.

La historia de este problema se remonta bastante más atrás de lo que parece. Según reconstruye el investigador, en 2012 musl modificó la forma de comunicar determinados errores y estableció un límite de longitud al procesar contraseñas para evitar ataques de denegación de servicio. Cuatro años después, OpenSSH introdujo cambios para impedir que alguien pudiera averiguar qué usuarios existían en un sistema midiendo sus tiempos de respuesta. En 2022, Alpine también ajustó la configuración de su cuenta de administrador para permitir el acceso mediante claves SSH. Eran soluciones a problemas diferentes que terminaron interactuando de una forma imprevista.

La pregunta inevitable es qué equipos pueden estar afectados. En primer lugar,  utilizar Alpine Linux no significa necesariamente ser vulnerable. Como explica la firma de ciberseguridad Check Point, el fallo exige que se cumplan varias condiciones simultáneamente, entre ellas que OpenSSH funcione sin PAM, admita contraseñas y encuentre una cuenta con el asterisco mencionado anteriormente. También debe existir otra cuenta local activa con un hash de contraseña generado mediante SHA-256 o SHA-512. Los sistemas que desactivan la autenticación por contraseña quedan fuera de este escenario, igual que aquellos que utilizan PAM para gestionarla.

En Xataka

La llegada de las IA con "automejora recursiva": qué significa que Astra haya ayudado a modificar otro modelo de IA

Las consecuencias pueden ser especialmente graves cuando la cuenta comprometida dispone de permisos elevados. Alpine pone como ejemplo determinadas imágenes oficiales utilizadas en la nube, donde el usuario alpine puede ejecutar comandos de administrador mediante doas sin introducir una contraseña. Aunque estas imágenes son seguras en su primer arranque, pueden volverse vulnerables si posteriormente se configura una cuenta con un hash de contraseña compatible. En ese escenario, un atacante podría llegar a controlar el sistema. Y ya existen indicios de explotación: la firma Previdian asegura haber detectado ocho intentos desde una misma dirección IP y confirmado un acceso con privilegios de administrador en uno de sus servidores señuelo utilizados para detectar ataques.

La respuesta al descubrimiento no se ha hecho esperar. OpenSSH publicó el 5 de noviembre la versión 10.6p2 para corregir el fallo, mientras que Alpine distribuyó actualizaciones para distintas ramas de su sistema, incluidas algunas antiguas. Sus responsables advierten de que instalar los parches no basta: también es necesario reiniciar el servicio SSH para que utilice el código corregido. Si todavía no es posible actualizar, recomiendan desactivar la autenticación mediante contraseña y reiniciar también el servicio para aplicar el cambio, comprobando antes que el acceso mediante claves funciona.

Imágenes | Lukas

En Xataka | Groenlandia se convierte en la pieza clave del internet europeo: Bruselas planea un cable submarino que esquive a EEUU

Cuando hablamos de ciberataques a bancos, es fácil imaginar cuentas vaciadas o clientes que no pueden acceder a su dinero. Sin embargo, la seguridad de una entidad financiera abarca mucho más que la aplicación que utilizamos para consultar el saldo. También depende de cómo se autorizan las operaciones, de quién puede ejecutarlas y de qué controles entran en funcionamiento cuando algo no encaja. Es ahí donde el problema adquiere otra dimensión: una intrusión puede comprometer determinados procesos sin que eso signifique necesariamente que todos los ahorros de los clientes estén en peligro.

El último caso que hemos conocido nos lleva hasta Francia, donde uno de sus grupos bancarios ha tenido que reconocer un incidente de seguridad de considerable alcance. Hablamos de Crédit Mutuel Arkéa, una entidad con más de 5,8 millones de socios y clientes que confirmó hoy 4 de noviembre haber sufrido un ciberataque que permitió realizar operaciones fraudulentas. La magnitud potencial es notable: el investigador de blockchain ZachXBT estima que se sustrajeron más de 133 millones de dólares, unos 118 millones de euros. Sin embargo, el banco aseguró a Reuters que sus pérdidas serían inferiores y todavía no ha comunicado una cifra definitiva.

Para entender cómo salió a la luz este caso, tenemos que retroceder hasta el 2 de noviembre. Ese día, ZachXBT alertó de movimientos sospechosos relacionados con una entidad europea cuya identidad todavía no había revelado. El investigador amplió sus estimaciones durante los días siguientes hasta señalar a Crédit Mutuel Arkéa el 4 de noviembre. En una aclaración oficial posterior, el grupo explicó que los atacantes habían accedido a través de la plataforma de uno de sus proveedores, sin pasar por Fortuneo, su banco digital. Desde una cuenta propia de Arkéa ejecutaron transferencias hacia otras entidades bancarias, que posteriormente pudieron facilitar la conversión del dinero a criptomonedas.

Qué sabemos del ataque y del dinero comprometido

Una de las particularidades de este caso es que podemos seguir parte del recorrido del dinero sin conocer todavía el alcance completo del ataque. En un primer momento, ZachXBT identificó retiradas superiores a 106 millones de dólares y posteriormente localizó otros 27 millones. La investigación de Bitquery aporta una segunda perspectiva: sus analistas rastrearon movimientos por 108,8 millones de dólares en USDC, distribuidos entre 15 direcciones de criptomonedas durante unas 21 horas. Sin embargo, la propia firma reconoció que no había podido identificar al titular de las cuentas ni verificar el importe total denunciado. 

El seguimiento de estas operaciones también permite comprender una dificultad añadida: rastrear los fondos no significa necesariamente poder recuperarlos. Según Bitquery, las retiradas se realizaron desde cuentas de Kraken, Crypto.com y OKX en USDC, una criptomoneda diseñada para mantener su valor próximo al dólar. Buena parte acabó convertida en ether, un activo que no puede ser bloqueado directamente por una entidad emisora. No obstante, la investigación también ha identificado medidas de contención: Tether congeló aproximadamente 1,14 millones de dólares en USDT y Crypto.com confirmó a CoinDesk que había impedido nuevos movimientos de fondos relacionados con el incidente. Por ahora, se desconoce cuánto dinero podrá recuperarse.

Mientras los investigadores intentan reconstruir lo sucedido, hay otra cuestión que afecta directamente a los clientes: qué ha pasado con sus cuentas. Según Crédit Mutuel Arkéa, sus fondos permanecen protegidos porque los atacantes utilizaron una cuenta del propio grupo y no las de sus clientes. Las consecuencias operativas reconocidas se limitaron a retrasos en determinadas transferencias, y la entidad asegura que prácticamente todas las operaciones habían recuperado su funcionamiento durante la mañana del 4 de noviembre. También ha advertido de posibles intentos de phishing, una práctica mediante la que los delincuentes buscan obtener información confidencial haciéndose pasar por entidades de confianza. 

En Xataka

La llegada de las IA con "automejora recursiva": qué significa que Astra haya ayudado a modificar otro modelo de IA

Este episodio llega en una semana en la que otras empresas europeas también han sufrido ataques informáticos. Varios supermercados de Bélgica, Suecia e Irlanda vieron alterados sus sistemas de refrigeración, lo que obligó a retirar alimentos de la venta. Son incidentes distintos, sin una relación demostrada, pero reflejan hasta qué punto las operaciones cotidianas dependen de la tecnología. En el sector financiero, la Unión Europea aplica desde enero de 2025 el reglamento DORA, que establece obligaciones para gestionar los riesgos tecnológicos, incluidos los relacionados con proveedores externos, y reforzar la capacidad de las entidades para responder ante incidentes digitales.

Imágenes | Crédit Mutuel Arkéa

En Xataka | Groenlandia se convierte en la pieza clave del internet europeo: Bruselas planea un cable submarino que esquive a EEUU

Bruselas quiere tender un cable submarino de internet que conecte Groenlandia directamente con la Unión Europea. Y la cosa no acaba solo ahí, sino que también hay planes para ampliarlo a través de Canadá hasta Japón y Corea del Sur. El proyecto, llamado Cable Panártico y publicado por la Comisión Europea, es una de las ambiciones estratégicas de la UE en el Ártico, y una vía del continente para fortificarse en materia de seguridad.

Por qué importa. Por los cables submarinos básicamente viaja más del 99 % del tráfico de internet en todo el mundo, desde transacciones financieras a servicios en la nube, comunicaciones y mucho más. Y ahora que la exposición de Europa está creciendo en varios frentes, la UE quiere tomar medidas.

La mayor parte del tráfico entre Europa y Asia pasa por el mar Rojo, donde los ataques de los hutíes a la navegación han aumentado el riesgo de mantener los cables allí. El mar Báltico ha visto cómo los barcos arrastraban anclas y cortaban cables. Y la relación con Washington se ha vuelto más tensa, lo que hace que la dependencia de la infraestructura controlada por EEUU sea menos cómoda.

En detalle. La estrategia respalda “una conexión de cable submarino soberana, segura y resiliente que enlace Groenlandia directamente con la UE”, según el documento de la Comisión. La UE ya ha destinado 107 millones de euros a la conectividad de Groenlandia, afirma el propio organismo. El proyecto surgió de un acuerdo de 2025 entre empresas europeas, organismos de investigación y un operador de telecomunicaciones de Groenlandia, y ahora se espera que reciba apoyo además través del programa “Conectar Europa”.

El plan también incluye un centro de cables del Ártico, que estaría abierto a los miembros de la UE, Noruega e Islandia, y que supervisaría y protegería los cables en el Atlántico Norte y el Ártico, ayudando a repararlos. Bruselas también afirma que financiará cables con “tecnologías inteligentes” que funcionen como sistemas de alerta temprana.

En Xataka

Una nueva oeada de ciberataques hace que las neveras suban hasta 50 grados. Está pasando en Bélgica y Suecia

Geopolítica más que comercial. Elisabeth Braw, investigadora del Atlantic Council, declaraba al medio Ars Technica que la geopolítica “no desempeñó prácticamente ningún papel” en décadas pasadas, y que deberíamos esperar más cables que conecten a países amigos evitando al mismo tiempo las aguas de los no amigos. También añade que hace cinco años el proyecto de Groenlandia no habría resultado comercialmente atractivo.

El papel de Groenlandia también es político. La estrategia de la UE llega semanas después de que EEUU, Dinamarca y Groenlandia firmaran un acuerdo de seguridad para mantener la autonomía de Groenlandia dentro de Dinamarca, a la vez que se amplía el acceso militar de Estados Unidos. Jo Inge Bekkevold, del Instituto Noruego de Estudios de Defensa, declaraba a Nikkei Asia que la estrategia parece centrarse más en construir lazos con Groenlandia, en respuesta a la política estadounidense, que en contrarrestar a China. El medio declara que China solo aparece una vez en el documento.

Los obstáculos. Según Euronews, el texto no fija ninguna ruta definitiva, presupuesto o calendario de construcción, y no dice quién pagará, poseerá u operará el cable. Trabajar en aguas árticas también requiere barcos especializados. Desde el medio se informa además que la propuesta menciona incluso la energía nuclear como forma de propulsar la iniciativa ante las condiciones extremas de la región.

El enlace a Asia. Juha Saunavaara, de la Universidad de Hokkaido, cuenta a Nikkei Asia que Tokio trata la construcción de cables como un asunto del sector privado, y que conseguir la participación pública allí ha sido difícil. También señala que las inversiones de Japón en proyectos de hidrocarburos rusos podrían complicar la cooperación.

El medio informa además de que Polar Connect, liderado por instituciones de investigación nórdicas, pretende conectar el norte de Europa con Japón y Corea del Sur para 2031, y que el proyecto comercial Far North Fiber también está estudiando rutas. Por otro lado, Bloomberg cuenta que la noruega Bulk Infrastructure ya está buscando socios para un cable entre Europa y Canadá llamado Leif Erikson.

Imagen de portada | Submarine Cable Map

En Xataka | Shein, Temu y AliExpress tienen un nuevo problema en Europa: cada categoría de producto importado paga dos euros de tasa aduanera

El pasado 12 de septiembre Dario Amodei, el director general de Anthropic, publicó uno de sus ensayos más controvertidos. Lo tituló 'Debemos marcar el ritmo de la frontera' (We Must Pace the Frontier), y en su texto defiende la necesidad de ralentizar el desarrollo de los modelos de inteligencia artificial (IA) de frontera con el propósito de asegurar su correcta alineación con los intereses del ser humano y de minimizar en la medida de lo posible los riesgos derivados de la puesta a punto de las IA más avanzadas.

Este párrafo de su artículo es especialmente clarificador: "Desde este verano, la IA está avanzando mucho más deprisa impulsada principalmente por su creciente capacidad de desarrollar la siguiente generación de modelos. Esta dinámica se denomina automejora recursiva y está empezando a producirse en toda la industria, incluida Anthropic". Podemos entender la automejora recursiva como la capacidad de un modelo de lenguaje de desarrollar de forma autónoma nuevos modelos más avanzados que él mismo.

De las palabras de Amodei se desprende que los modelos más avanzados de Anthropic y otros laboratorios ya están participando en el desarrollo de nuevos modelos de lenguaje más capaces, aunque por el momento ninguna de estas empresas ha demostrado públicamente que uno de sus modelos haya alcanzado la automejora recursiva en sentido estricto. Sin embargo, acaba de producirse un giro inesperado: un grupo de investigadores del MIT (Instituto Tecnológico de Massachusetts) ha demostrado que GPT-6 Astra ha conseguido modificar directamente el funcionamiento de otra IA.

Qué ha conseguido realmente hacer Astra y qué significa

Varios investigadores del Laboratorio de Inteligencia Artificial e Informática del MIT han comprobado que GPT-6 Astra, el modelo de IA de OpenAI, es capaz de modificar directamente los parámetros internos de otra red neuronal para mejorar su comportamiento. Curiosamente, estos científicos han realizado su experimento sobre Qwen3.5-0.8B, un modelo de lenguaje de 800 millones de parámetros desarrollado por la compañía china Alibaba. Lo que ha conseguido hacer Astra es mejorar mucho su rendimiento en operaciones matemáticas manipulando tan solo el 0,016% de sus parámetros.

En Xataka

Explicando el mayor "hackeo" de criptomonedas de la historia: cómo se ha hecho posible lo que parecía imposible

Como explican los investigadores del MIT en su artículo, es impactante que Astra haya logrado mejorar tanto el rendimiento en matemáticas de Qwen3.5-0.8B llevando a cabo una modificación tan modesta. No obstante, también es sorprendente que esta mejora haya sido posible sin recurrir a un nuevo proceso de entrenamiento del modelo. Lo que ha hecho Astra es, sencillamente, modificar el valor de los pesos de Qwen. Para entender por qué esto es importante nos interesa repasar qué son los pesos de un modelo de IA.

A los grandes modelos de lenguaje se les da de maravilla reconocer patrones. De hecho, esta capacidad reside en el corazón de su funcionamiento y se consigue gracias a miles de millones de parámetros numéricos, entre ellos los pesos, que el modelo va ajustando durante el entrenamiento. Una IA es una gigantesca red de miles de millones de pequeñas conexiones. Durante el proceso de entrenamiento, la IA analiza una cantidad ingente de información y va ajustando esas conexiones para aprender a reconocer patrones.

El valor numérico de cada una de esas conexiones determina cuánto influye cada una de ellas en el comportamiento del modelo. Estos valores son los pesos. En vez de reentrenar a Qwen, Astra ha identificado un problema en su funcionamiento y ha manipulado directamente los valores numéricos que lo desencadenaban. Es una estrategia inédita hasta ahora en manos de una IA que abre un nuevo camino a la hora de acelerar el desarrollo de nuevos modelos, aunque no estamos ante la automejora recursiva de la que hemos hablado unas líneas más arriba. No en sentido estricto.

Que los investigadores de los laboratorios de IA tengan una herramienta más en su arsenal a la hora de refinar sus modelos de frontera es una buena noticia. La posibilidad de que un modelo de IA intervenga directamente sobre otras redes neuronales tiene la capacidad de acelerar la investigación científica, de corregir problemas que hasta ahora requerían larguísimos procesos de entrenamiento y de facilitar el desarrollo de modelos más eficientes. Sin embargo, este escenario también plantea riesgos.

Si los modelos de lenguaje más avanzados comienzan a intervenir de una forma más autónoma sobre sus propios componentes o sobre otros modelos, los laboratorios de IA tendrán que encontrar la forma de garantizar que esas modificaciones no desencadenen errores, vulnerabilidades difíciles de localizar o comportamientos anómalos. Además, si las mejoras se acumulan en sucesivas generaciones de modelos de IA, corremos el riesgo de que resulte mucho más complicado evaluar y controlar la evolución de los modelos de frontera.

Imagen | Ruth Gledhill

Más información | Rikiya Takehi (MIT) | Anthropic

En Xataka | China tiene un plan para ganar a EEUU la guerra de la IA. Y DeepSeek es su campeón

La noche del 11 al 12 de octubre, unos ciberdelincuentes tomaron el control de los sistemas de refrigeración de cientos de supermercados en Francia. Las temperaturas en las neveras y congeladores ascendieron hasta los 50 °C, lo que estropeó alimentos y provocó hasta incendios en varios establecimientos. Tres semanas después, el lunes 2 de noviembre, varios supermercados de Suecia, Bélgica, Luxemburgo y Estonia también informaron de fallos en los congeladores y frigoríficos que parecían provenir de ciberataques. También hubo casos en tiendas de Irlanda, Países Bajos y Finlandia.

Ante todo esto solo se me ocurren varias preguntas: ¿Qué narices está pasando? ¿Quién está detrás de todo? ¿En serio necesitábamos frigoríficos conectados en supermercados?

Tiendas afectadas. Varias tiendas minoristas declararon en varios medios que al menos 350 supermercados se vieron envueltos en un ciberataque. Según TIME, entre Intermarché y Netto la cifra ya ascendía a las 180 tiendas, Coopérative U al menos 100 y Carrefour 80. Thierry Cotillard, CEO de Intermarché, contaba al medio local BFM-TV que las pérdidas ascendían a decenas de millones de euros en todo el país en un solo día. La fiscalía de París abrió una investigación y el primer ministro Sébastien Lecornu pidió a la agencia nacional de ciberseguridad de Francia que lo investigara.

Desde ese punto nos vamos a este mismo lunes 2 de noviembre, en una oleada que ha atacado supermercados de más países. En este caso, las cadenas de Ahold Delhaize y Colruyt informaron de frigoríficos y congeladores afectados en decenas de tiendas en Bélgica y Luxemburgo, al igual que en las cadenas suecas ICA y Coop. Carrefour Bélgica también afirma que 15 de sus más de 700 tiendas se vieron afectadas, y Coop en Suecia cifraba en 7 sus tiendas afectadas. Informes posteriores también apuntaban a sus tiendas en Alemania, Portugal, Rumanía e Italia.

En Xataka

Corea del Norte se ha convertido en una superpotencia del ciberataque y lo está utilizando para autofinanciarse

Descongelación. Según BFM-TV, los atacantes obligaron a los sistemas de refrigeración a entrar en un ciclo de descongelación continuo. Le Monde informa de que también ampliaron el tiempo de descongelación en algunas unidades de una hora a ocho, lo que retrasó las alarmas. En Bélgica, el director ejecutivo de la empresa instaladora Sabcobel declaraba que los evaporadores de las unidades se habían cambiado al modo de descongelación.

El punto débil. El hilo conductor es el software que gestiona las unidades de refrigeración, pues la agencia de ciberseguridad de Francia, ANSSI, afirmaba que el ataque en el país afectó a AK-SC y AK-SM, dos sistemas de gestión de refrigeración de la empresa danesa Danfoss. La compañía indicó que las unidades afectadas ejecutaban un firmware desactualizado. TIME también señalaba que en agosto la empresa de seguridad Claroty había publicado una investigación que mostraba fallos en un controlador de Danfoss que podían permitir a un intruso saltarse el inicio de sesión.

La empresa actualizó el firmware de su sistema de gestión, pero desde Reuters apuntan a que las unidades de Danfoss también estuvieron implicadas el 2 de noviembre.

Patrick Lamplmair, director de tecnología de la empresa de ciberseguridad Tributech, contaba al medio Gizmodo que miles de estos controladores seguían siendo accesibles desde Internet tras el ataque en Francia. “ningún dato que robar y ningún rescate que negociar”, expresaba al medio, solo unos pocos comandos capaces de vaciar el stock de una tienda de la noche a la mañana.

Dónde entra la IA. Nada de lo publicado hasta el momento demuestra que se utilizara IA en estos ataques. El Centro de Ciberseguridad de Bélgica afirma que no sabe quién está detrás de ellos y que es posible que nunca se conozca al culpable. Su portavoz, Katrien Eggers, declaraba a Reuters que le preocupaba la IA pues, a su juicio, facilita que ciberatacantes puedan explotar debilidades en los sistemas.

El Centro Nacional de Ciberseguridad del Reino Unido espera que se utilicen programas maliciosos impulsados por IA en un ataque de ransomware contra la infraestructura crítica del país para 2028. Su director, Richard Horne, menciona precisamente la calefacción y refrigeración entre los sistemas que ejecutan procesos físicos de los que depende la sociedad, y señala que los ataques en Francia demostraron lo fácil que es explotarlos.

En Xataka

Explicando el mayor "hackeo" de criptomonedas de la historia: cómo se ha hecho posible lo que parecía imposible

No solo los supermercados. Desde la división de investigación de la empresa Forescout encontraron 12.976 servicios de refrigeración expuestos a Internet en 6.017 direcciones IP públicas en 99 países. La empresa advierte de que el riesgo se extiende a los equipos de refrigeración de hospitales y centros agrícolas, así como en sistemas de almacenamiento farmacéutico, plantas de procesamiento de alimentos o almacenes, por lo que si alguien tuviese acceso a estos sistemas expuestos, causaría un buen daño a infraestructura crítica.

Frigoríficos conectados. Los supermercados conectan sus unidades para que el mantenimiento y la supervisión se puedan realizar de forma remota. TIME describe paneles de control centrales, a menudo conectados a Internet para que las empresas de mantenimiento puedan acceder a ellos. El tema está en que si alguien ajeno a la empresa accede de forma ilícita a esos controles, pasa precisamente lo que ha ocurrido estas últimas semanas en los supermercados mencionados.

Lo de exponer una interfaz de gestión directamente a Internet es algo que igual no debería pasar. Incluso la ANSSI ha sido especialmente crítica con este punto, pues en caso de que se necesite acceso remoto, la agencia recomendaba limitarlo a direcciones IP de confianza. Y el tema es que tampoco es nuevo pues, hace unos años, el medio TechCrunch informaba de que el investigador Noam Rotem había encontrado miles de refrigeradores industriales expuestos en línea, y que con las contraseñas predeterminadas de la propia documentación del fabricante se podían desbloquear. Vaya, que quien quiera hacer daño, lo va a poder hacer, sobre todo teniendo en cuenta la pobre infraestructura de seguridad con la que se cimentan muchos sistemas críticos para la sociedad.

Imagen de portada | Sandra Tan

En Xataka | OpenAI ha descubierto que sus agentes de IA han encontrado la forma de hablar entre ellos a escondidas

Tener los dispositivos conectados permite su gestión centralizada y a distancia. Esto supone una enorme ventaja para las empresas con miles de estos dispositivos desperdigados, por eso las grandes cadenas de supermercados centralizan controles como el de la refrigeración de sus productos. El problema llega cuando el acceso al sistema no está suficientemente bien protegido: un ciberataque arruinó toneladas de productos en Francia.

Calor en las neveras del norte. Tras el grave problema que se desencadenó en Francia, donde los supermercados se vieron perjudicados, Suecia y Bélgica están viviendo un episodio similar: los frigoríficos de algunas grandes cadenas de alimentación vieron elevada su temperatura hasta llegar a límites de 50 ºC.

El incidente comenzó a afectar el pasado domingo por la noche en las tiendas de los países mencionados. La mecánica ha sido similar a la de Francia: repentinamente, los frigoríficos variaron su temperatura de frío sin que los operarios alterasen dicha temperatura. Aunque en un principio se hablaba de un fallo informático, actualmente son varios los medios que lo denominan ciberataque.

Dispositivos expuestos. Si en Francia se descubrió que el acceso a determinadas neveras Danfoss utilizaban "admin" como usuario de administración y el día como código de contraseña para acceder al sistema, aún no se sabe cuál ha sido el vector de intrusión en este nuevo ataque. Todo apunta a equipos antiguos, desactualizados, con acceso innecesario a Internet y protegidos por contraseñas no demasiado seguras.

En Xataka

Japón ya está viviendo en sus carnes las consecuencias de la IA utilizada como herramienta de ciberataques

Algunos de los supermercados afectados son Delhaize, Carrefour, Spar, Ica o Coop. Según las primeras averiguaciones, los atacantes activaron remotamente los evaporadores en modo descongelación (defrost), lo que hizo subir la temperatura de la cámara hasta poner en riesgo el producto refrigerado. Aún no se conoce el número total de tiendas afectadas ni hay una estimación de las pérdidas.

Desconectar, la primera defensa. Delhaize ha optado por lo más rápido: cortar el cable de acceso a Internet. Esto es lo fácil, lo difícil es solucionar el problema de fondo: según el CEO de Sabcobel, una instaladora que gestiona cientos de estos equipos en Bélgica, con una actualización de software no es suficiente.

Muchos frigoríficos necesitan modificaciones físicas, algo que no es precisamente rentable. Con Francia, Bélgica y Suecia en la lista de ciberataques en apenas tres semanas, cuesta pensar que las de hoy vayan a ser las últimas neveras hackeadas.

Imagen de portada | Iván Linares

En Xataka | Corea del Norte se ha convertido en una superpotencia del ciberataque y lo está utilizando para autofinanciarse

Es uno de los países más aislados y herméticos del planeta. Su comercio exterior se limita a unos pocos países afines, arrastra sanciones desde hace años y casi nadie sabe qué ocurre realmente más allá de las fronteras. Aun así, Corea del Norte se ha revelado como una auténtica superpotencia en el cibercrimen.

Aunque todavía no se puede confirmar de forma oficial, algunos indicios y coincidencias apuntan Pyongyang podría estar tras el incidente de ciberseguridad que esta madrugada ha hecho desaparecer unos 6.360 millones de dólares de las carteras de Binance. No es el primer ataque de este estilo que se atribuye a grupos de ciberdelincuentes altamente especializados que actúan a las órdenes de Corea del Norte.

Binance, un robo récord con firma conocida. El impacto total del golpe a Binance se calcula cercano a los 6.300 millones de dólares, y podría haber sido mayor si no fuera porque la mitad quedó congelada. Tether bloqueó unos 1.600 millones y Circle más de 800 millones en USDC. Esta cifra cuadruplica la del anterior récord en el robo de criptomonedas: el de Bybit de 2025 en el que se esfumaron unos 1.500 millones de dólares en criptodivisas.

En Xataka

La IA está rompiendo todas las barreras de la ciberseguridad. Ha conseguido hackear a los hackers

La firma de ciberseguridad TRM Labs tiene "alta confianza" en que el autor del robo es TraderTraitor, un grupo vinculado a la red de ciberdelincuentes Lazarus. Según TRM LAbs, "varias características de este ataque coinciden con robos anteriores vinculados a Corea del Norte". Otros investigadores apuntan en la misma dirección. Conviene ir con cautela ya que la atribución es todavía preliminar y el FBI no se ha pronunciado oficialmente al respecto.

Bybit y un régimen que cobra en cripto. Sin embargo, el precedente más reciente es Bybit. En febrero de 2025 se esfumaron 1.500 millones de dólares en Ether, y el FBI lo atribuyó a Corea del Norte días después. Los ladrones repartieron parte del botín obtenido entre miles de direcciones de varias cadenas de bloques para blanquearlo. Los investigadores han vinculado el ataque de Bybit con el de Binance porque algunas de las direcciones que se han utilizado en este último golpe, también se usaron en el de 2025.

Chainalysis calculó que los hackers vinculados al régimen habían robado unos 2.020 millones de dólares en criptodivisas solo en 2025, un 51% más que el año anterior y el mayor total registrado. El acumulado histórico llegaba a los 6.750 millones de dólares. Washington ya acusó en 2021 a tres programadores militares de robar 1.300 millones.

Cifrado poscuántico para esconder su rastro. Kaspersky documentó en una investigación la Operación FlashHole, activa desde al menos julio de 2025 y dirigida a empresas surcoreanas de software, construcción y telecomunicaciones. Los atacantes usaron un currículum falso con una foto probablemente creada con IA. Una artimaña bastante sencilla que sirve como señuelo para ataques Phishing. Sin embargo, la novedad es una herramienta de Lazarus que protege la descarga de nuevos programas con ML-KEM-1024, un algoritmo poscuántico.

Sojun Ryu, investigador de Kaspersky, dijo a El País que esta tecnología "se considera la criptografía del futuro, está diseñada para seguir siendo segura contra computadoras cuánticas". ML-KEM es uno de los tres estándares que NIST finalizó en agosto de 2024. Ningún ordenador cuántico conocido rompe aún el cifrado actual, así que Lazarus se cubre de un riesgo futuro. Para Ryu, eso revela que los ciberdelincuentes en nómina de Pyongyang tienen un nivel de conocimientos y especialización muy avanzado, y utilizan las tecnologías más vanguardistas para "que sus cargas maliciosas no queden expuestas ante defensores o investigadores".

EEUU construyó el ejército más poderoso del mundo. Ahora hay quienes señalan su talón de Aquiles: la ciberguerra

El dinero tiene destino. La directora de Inteligencia Nacional de EE UU, Tulsi Gabbard, dijo ante el Congreso que esos robos ayudan a financiar al régimen de Kim Jong-un y a su programa de armas estratégicas. Un informe de la ONU de 2024 calculó que el robo de criptomonedas podía aportar hasta la mitad de las divisas que recibe el país.

Sin embargo, Corea del Norte cuenta con otra fuente de ingresos de divisas mucho más discreta: el teletrabajo. Informáticos norcoreanos consiguen empleo remoto con identidades robadas y usan portátiles de la empresa alojados en casas de cómplices en EEUU, las llamadas "granjas de portátiles". El Departamento de Justicia detalló un esquema que afectó a más de 70 empresas y generó unos 3 millones de dólares. En Texas, el FBI registró más de 40 viviendas y se incautó de unos 187 dispositivos.

En Xataka | Pasan los años y el FBI sigue tumbando redes de norcoreanos presentándose y obteniendo trabajos en remoto dentro de EEUU

Imagen | Flickr (Prachatai)

Lo que ha sucedido hace apenas unas horas es inaudito. Un grupo de hackers ha logrado robar aproximadamente 6.360 millones de dólares en criptomonedas de los monederos de Binance. TRM Labs, un laboratorio que se dedica a la inteligencia blockchain, está analizando minuciosamente lo que ha sucedido, y ha identificado transferencias desde varios monederos asociados a Binance hacia direcciones controladas por los atacantes en diez redes blockchain.

Este suceso es asombroso por varios motivos. El más evidente es el valor de las criptodivisas que han sido sustraídas. Y es posible que durante las próximas horas la cifra que he mencionado en el párrafo anterior se incremente. Además, resulta impactante que alguien haya conseguido robar varios miles de millones de dólares de una de las plataformas de criptomonedas más sofisticadas del planeta. Y, para más inri, casi todo el dinero salió en aproximadamente 20 minutos.

Este incidente no ha afectado solo a Bitcoin; también a Ethereum, Tron, Solana y XRP Ledger, entre otras criptos. Y, según TRM Labs, ha sido perpetrado por TraderTraitor, un grupo de hackers de Corea del Norte. Parece que nos hemos sumergido de lleno en la trama de un thriller, pero no. Todo esto es muy real. Y ha sido posible gracias al ingenio. De hecho, los atacantes no han necesitado romper la criptografía que protege los monederos. Con la tecnología actual, romper estos algoritmos mediante fuerza bruta resulta computacionalmente inviable. Lo que han hecho es si cabe más inquietante.

El auténtico protagonista del mayor robo de la historia es un ordenador portátil

Los algoritmos criptográficos de Bitcoin, Ethereum y las demás redes afectadas no han sido vulnerados. Según TRM Labs y Elliptic, la explicación más sólida de este suceso es que los hackers norcoreanos a los que se les atribuye la autoría del robo consiguieron comprometer los sistemas de Binance que permiten autorizar y firmar transacciones. Esta tesis tiene sentido debido a que las transferencias que llevaron a cabo los atacantes eran válidas desde un punto de vista criptográfico, pero no fueron autorizadas por Binance.

En Xataka

Construir máquinas capaces de estudiar el universo cuesta miles de millones. El CERN ha calculado cuánto dinero nos devuelven

Esto significa que los hackers no han roto la seguridad de la tecnología blockchain; lo que han hecho ha sido transgredir la infraestructura que permite operar sobre ellas. Y para llevarlo a cabo han atacado los hot wallets de Binance, que son monederos conectados a internet que se emplean para administrar las operaciones y atender las retiradas de las criptomonedas. Lo que los diferencia de los cold wallets es que estos últimos mantienen sus claves desconectadas o especialmente protegidas.

La investigación todavía está en marcha, pero los técnicos de Binance sospechan que este robo ha sido posible debido a que los atacantes han conseguido comprometer el ordenador portátil de un ingeniero del área encargada de gestionar y automatizar la infraestructura que permite ejecutar aplicaciones y servicios, conocida como DevOps. Por el momento es solo una hipótesis, pero parece la más plausible en este escenario.

Esto no implica que los hackers se hayan visto obligados a robar físicamente el portátil. La investigación de Binance parece indicar que consiguieron acceder remotamente a este ordenador usando malware o robando credenciales. Después posiblemente lo usaron para acceder a los sistemas internos de Binance, lo que probablemente les permitió alcanzar un contenedor de servicio y enviar órdenes de retirada no autorizadas.

Además, parece que usaron un mecanismo de Ethereum conocido como EIP-7702 para lograr que uno de los monederos de Binance delegase su comportamiento a un contrato inteligente controlado por los atacantes. Todavía hay muchos flecos sueltos, por lo que posiblemente no conoceremos con detalle todo lo que ha sucedido hasta que Binance termine su análisis forense y todas las hipótesis estén respaldadas por evidencias sólidas.

Imagen | Shutter Speed

Más información | TRM Labs | Elliptic

En Xataka | Tiró a la basura 8.000 bitcoin y pasó 12 años intentando recuperarlos. Ahora ha decidido rendirse

Confiar nuestras criptomonedas a una plataforma de intercambio implica asumir que alguien será capaz de protegerlas las 24 horas del día. Es una responsabilidad enorme, especialmente cuando hablamos de empresas que custodian activos valorados en miles de millones de dólares. Por eso, cuando aparecen movimientos extraordinarios desde sus carteras surgen preguntas y la necesidad de encontrar respuestas en un breve periodo de tiempo.

Es precisamente la situación que rodea ahora a Binance, la mayor plataforma de intercambio de criptomonedas del mundo. Según The Information este 29 de octubre, un análisis de transacciones en blockchain detectó la salida de distintos criptoactivos valorados en más de 2.000 millones de dólares desde carteras asociadas a la compañía. Los movimientos han despertado sospechas de un posible ataque, y la empresa ha reconocido públicamente que sus equipos investigan los avisos sobre un problema de seguridad. Por el momento, no ha confirmado que haya sufrido un hackeo ni ha explicado el origen de esas transferencias.

El comunicado de Binance sobre el posible problema de seguridad, traducido automáticamente al español por el navegador | Captura: X

Las estimaciones sobre el alcance del posible incidente difieren considerablemente. CoinDesk, citando datos de Arkham Intelligence, situó en más de 5.700 millones de dólares el valor de los activos atribuidos al presunto atacante, entre ellos bitcoin, ether y stablecoins. Por su parte, The Block documentó unos 3.550 millones de dólares recibidos por una cartera sin identificar, mientras que Conor Grogan, directivo de Coinbase, estimó que la cantidad potencialmente implicada podría alcanzar los 5.800 millones de dólares.

Changpeng Zhao, cofundador de Binance, se pronuncia sobre el posible ataque informático a la plataforma | Captura de X, traducida automáticamente al español por el navegador

Binance ha trasladado un mensaje de tranquilidad mientras investiga: asegura que los fondos de sus usuarios están completamente seguros, aunque todavía no ha explicado qué originó los movimientos sospechosos. Changpeng Zhao, cofundador y antiguo CEO, fue algo más lejos al señalar que todo apunta a un hackeo, pero aclaró que ya no dirige la plataforma y que, como accionista, espera que los clientes queden completamente cubiertos. La compañía dispone además de SAFU, un fondo de emergencia valorado en unos 1.000 millones de dólares en febrero de 2026, cuya utilización no ha anunciado para este episodio y que tampoco garantiza automáticamente una compensación.

Una noche complicada para Binance y las criptomonedas

La reacción no se ha limitado al propio exchange. Paolo Ardoino, CEO de Tether, afirmó que la compañía había congelado más de 1.570 millones de dólares en USDT relacionados con el posible incidente, mientras que Jeremy Allaire, de Circle, comunicó el bloqueo de más de 800 millones en USDC, según explicó, en coordinación con las autoridades. Ambas empresas emiten stablecoins, criptomonedas diseñadas para mantener un valor estable, y pueden impedir que determinadas direcciones transfieran esos activos. 

El panel de Arkham Intelligence agrupa las direcciones etiquetadas como “binance-hacker-1029” y detalla sus criptomonedas | Captura: Arkham Intelligence

El rastro técnico ofrece indicios, pero todavía no una explicación definitiva. Un análisis de Odysseas, fundador de Phylax System, relaciona las operaciones de una cartera identificada como Binance 14 con EIP-7702, una funcionalidad de Ethereum que permite delegar la ejecución de código a un contrato inteligente mediante una autorización firmada. En determinadas condiciones, una autorización obtenida indebidamente podría permitir que un tercero ejecutara movimientos de fondos sin requerir nuevas firmas del propietario para cada operación. Lo que sigue sin aclararse es si alguien consiguió una clave privada, obtuvo una firma mediante engaño o utilizó otro procedimiento.

El rojo domina las cotizaciones de las principales criptomonedas en la aplicación de Binance | Captura: Binance

La incertidumbre sobre lo sucedido coincidió con nuevas caídas de las principales criptomonedas. CoinDesk situó el bitcoin alrededor de los 78.800 dólares y registró retrocesos en ether y BNB, aunque el mercado ya atravesaba una jornada negativa antes de que aparecieran las primeras informaciones sobre el posible ataque. Más allá de los precios, el episodio ha puesto el foco en otras empresas que mantienen relaciones financieras con la plataforma. Una de ellas es Ethena, que según The Information declaró una exposición no realizada de 8,8 millones de dólares a Binance y aseguró que los activos utilizados como garantía están custodiados por terceros fuera del exchange. 

En Xataka

Dinamarca tiene un plan contra los deepfakes: blindar la voz y el rostro de su ciudadanía contra la IA

Para entender por qué se habla de un posible récord, conviene mirar los antecedentes. En febrero de 2025, Bybit sufrió el robo de aproximadamente 1.500 millones de dólares, un ataque que el FBI atribuyó a hackers norcoreanos. Pero hay otro caso que obliga a matizar la comparación: según Arkham Intelligence, en 2020 habrían sido sustraídos 127.426 bitcoins de carteras vinculadas al grupo minero LuBian, valorados entonces en unos 3.500 millones de dólares, un episodio que no fue reconocido públicamente por sus protagonistas. De confirmarse el incidente de Binance, su lugar en esa lista dependerá del importe finalmente acreditado y del criterio utilizado para comparar los distintos robos.

Imagen destacada | Bastian Riccardi

En Xataka | OpenAI ha descubierto que sus agentes de IA han encontrado la forma de hablar entre ellos a escondidas

Mientras continúan los trabajos para identificar a las víctimas del accidente ferroviario de Urda, en Toledo, algunos familiares de posibles víctimas mortales han recibido SMS falsos en los que alguien se hace pasar por la Guardia Civil. Los mensajes informan de supuestas identificaciones, pero el instituto armado ha desmentido que los envíe y ha aclarado que estas comunicaciones se realizan siempre en persona.

La aclaración va más allá de los SMS denunciados por las familias. En un vídeo publicado en sus canales oficiales, uno de sus portavoces explica que las identificaciones se comunican "de forma presencial y personal, nunca vía mensajes de texto, WhatsApp o llamada telefónica". Es decir, tampoco una llamada o un WhatsApp constituyen vías válidas para recibir esta información. 

La Guardia Civil ha advertido de los SMS falsos enviados a familiares de las víctimas de Urda | Imagen: Guardia Civil

La advertencia no procede únicamente de la Guardia Civil. El Centro de Integración de Datos (CID), formado por especialistas forenses y miembros de los cuerpos de seguridad, también ha alertado de esta suplantación. En un comunicado difundido por el Tribunal Superior de Justicia de Castilla-La Mancha, el organismo pide a los posibles afectados que no den credibilidad a estas comunicaciones. 

El comunicado oficial que advierte de la suplantación de la Guardia Civil tras el accidente de Urda | Imagen: CID / TSJCLM

Para facilitar este proceso, la Guardia Civil ha solicitado la colaboración de los familiares de primer grado de las personas desaparecidas. En las oficinas habilitadas pueden aportar información y muestras de ADN que ayuden a establecer la identidad de las víctimas. La institución ha pedido que acudan lo antes posible para agilizar los trabajos y ha precisado que, si ya han facilitado sus datos en estas dependencias, serán los agentes quienes se pondrán en contacto con ellos cuando tengan noticias.

La suplantación de una institución mediante mensajes de texto recuerda a una práctica conocida en ciberseguridad como smishing. El Instituto Nacional de Ciberseguridad (INCIBE) explica que esta modalidad de fraude busca obtener información o comprometer dispositivos. En el caso de Urda, sin embargo, lo confirmado es la suplantación de la Guardia Civil para comunicar supuestas identificaciones. No han trascendido demasiados detalles sobre el contenido de los mensajes ni se conoce quién está detrás de estas comunicaciones o cómo ha conseguido los números de teléfono de los familiares.

En Xataka

Raquel Ayllón, controladora ferroviaria y portavoz de SCF: "El CRC de Atocha tiene una cantidad de trabajo inhumana. No se podía ni ir al baño"

Los familiares que necesiten información pueden acudir directamente a las dependencias habilitadas por la Guardia Civil en cuatro ciudades: Madrid, en Batalla del Salado, 32; Sevilla, en avenida de la Borbolla, 8; Córdoba, con entrada por avenida de los Mozárabes; y Toledo, en avenida Barber, 42. Además, existen cuatro teléfonos de asistencia: el 062 de la Guardia Civil, el 900 122 112 del Servicio de Emergencias de Castilla-La Mancha, el 900 10 10 20 de Renfe y el 900 001 403 de Iryo. Todos ellos son canales de información y ayuda, no vías para notificar identificaciones.

Imágenes | Captura de pantalla Guardia Civil | CID

En Xataka | Maquinistas y controladores coinciden: "El LZB es seguro pero está obsoleto. Los fallos de transmisión son habituales"