Edición del 3 al 7 de noviembre de 2026
Malware en el launcher de NIKKE, fallos explotados en WordPress y Apple, y los parches de noviembre
12 min de lecturaEsta edición cubre del 3 al 7 de noviembre y trae una sola alerta crítica: el launcher de PC del juego NIKKE repartió durante días un programa que roba contraseñas y billeteras de criptomonedas. Además, la CISA confirmó ataques contra fallos de WordPress y de equipos Apple sin actualizar, DreamHost detalló el robo de credenciales de sus clientes y llegaron los parches mensuales de Android y Chrome. Cerramos con un caso peruano que deja una lección clara para cualquier negocio que cobra con Yape.
Si solo tienes 30 segundos
- Si jugaste NIKKE en PC desde el 24 de octubre, cambia desde otro equipo las contraseñas guardadas en tu navegador y protege tus billeteras cripto.
- Reinicia Chrome para aplicar la versión 157 y busca el parche de Android del 5 de noviembre.
- Actualiza iPhone, iPad y Mac; los equipos sin actualizaciones desde 2024 son el blanco de un ataque activo.
- Si tienes un sitio web, confirma que WordPress está en la 7.1.4 o su equivalente; si usas DreamHost, cambia tu contraseña FTP.
- No instales apps desde anuncios ni enlaces: el troyano Mirax llega así y pide el permiso de Accesibilidad.
Alertas críticas y vulnerabilidades activas
Alta Confirmado
Un fallo de Apple corregido en 2024 vuelve a usarse para robar datos del navegador
Ilustración: Benxsus
Afecta a: iPhone, iPad y Mac que no se actualizan desde mayo de 2024 (versiones anteriores a iOS 17.5, iOS 16.7.8 o macOS Sonoma 14.5) y Safari anterior a 17.5 · Identificador: CVE-2024-27834
La CISA (agencia de ciberseguridad de Estados Unidos) agregó el 4 de noviembre este fallo a su catálogo de vulnerabilidades explotadas. Apple lo corrigió en mayo de 2024, así que el riesgo se concentra en equipos que dejaron de actualizarse. Según un informe de Sekoia, los atacantes llevan al visitante a sitios legítimos comprometidos o a copias falsas de sitios populares, y un código oculto en la página aprovecha el fallo para instalar un programa que recoge datos del navegador y del dispositivo. Sekoia atribuye la campaña, con confianza moderada a alta, al grupo APT29, vinculado por esa firma a la inteligencia exterior rusa. El fallo tiene una puntuación media (5.5) porque por sí solo no basta: sirve para saltarse una protección de memoria de los chips de Apple dentro de una cadena de ataque más larga.
Qué hacer
- Abre Ajustes > General > Actualización de software e instala la última versión disponible.
- Si tu equipo ya no recibe actualizaciones, evita usarlo para banca, correo o cuentas importantes.
Fuente: The Hacker News (con datos de CISA y Sekoia) · Publicado el 05/11/2026
Alta Confirmado
WordPress: atacan una falla del propio proceso de actualización
Ilustración: Benxsus
Afecta a: Dueños de sitios WordPress con versiones 4.7 a 7.1.3 que no recibieron el parche, incluidos negocios y blogs pequeños · Identificador: CVE-2026-119977
La CISA incluyó el 3 de noviembre en su catálogo de fallos explotados una vulnerabilidad del núcleo de WordPress, no de un plugin. El problema aparece durante una actualización completa: WordPress deja archivos temporales en carpetas predecibles y accesibles desde internet, y un atacante sin cuenta puede aprovechar ese instante para ejecutar código en el servidor. WordPress publicó la corrección en la versión 7.1.4 el 28 de octubre y la llevó a todas las ramas desde la 4.7. Wordfence registró más de 18 500 intentos dirigidos a esas rutas en las primeras 21 horas; son intentos, no compromisos confirmados. La puntuación difiere según quién la calcula: Wordfence le da 8.1 (alta) y WordPress la califica como baja, porque el ataque exige coincidir con la ventana de actualización.
Qué hacer
- Entra al panel de WordPress y confirma que tienes la 7.1.4 o la versión corregida de tu rama.
- Si te administra un proveedor o hosting, pídele que confirme el parche y revise cuentas de administrador recién creadas.
Fuente: Security Affairs · Publicado el 04/11/2026
Brechas y filtraciones de datos
Alta Confirmado
DreamHost confirma robo de contraseñas FTP durante dos meses
Ilustración: Benxsus
Afecta a: Clientes de DreamHost que entraron al File Manager web (files.dreamhost.com) entre agosto y el 23 de octubre de 2026, y algunos usuarios de su webmail · Identificador: no aplica
El proveedor de hosting DreamHost confirmó que un tercero aprovechó una vulnerabilidad del software que usa su administrador de archivos web y obtuvo los usuarios y contraseñas FTP/SFTP de quienes se conectaron en ese periodo. La intrusión duró desde agosto hasta el 23 de octubre, cuando la detectaron y apagaron el servicio. El atacante también llegó a parte del webmail y pudo obtener información de sesión, lo que en teoría permite leer correos sin conocer la contraseña. DreamHost reinició contraseñas de forma preventiva, reconstruyó el File Manager y notificó por escrito a los afectados; no informó cuántos son. La fecha del incidente es anterior a esta edición, pero la confirmación detallada de lo robado se publicó el 4 de noviembre.
Qué hacer
- Cambia la contraseña FTP/SFTP y la del correo, aunque DreamHost no te la haya reiniciado.
- Revisa si hay archivos nuevos o modificados en tu sitio y cierra las sesiones abiertas del webmail.
- Si usabas esa contraseña en otro servicio, cámbiala también allí.
Fuente: BleepingComputer · Publicado el 04/11/2026
Malware y apps maliciosas
Crítica Confirmado
El launcher de PC de NIKKE distribuyó malware que roba contraseñas y billeteras cripto
Ilustración: Benxsus
Afecta a: Jugadores que abrieron el launcher de PC de Goddess of Victory: NIKKE desde el 24 de octubre (como tarde) hasta la corrección del 4 de noviembre, incluso vía Steam Deck o Linux con Proton. No hay evidencia de que las versiones móviles estén afectadas · Identificador: no aplica
Los desarrolladores de NIKKE confirmaron que un tercero alteró archivos de script que el launcher descarga al abrirse, en lo que se conoce como ataque a la cadena de suministro (se compromete un programa legítimo para que reparta el malware). Un investigador independiente encontró el código en cuatro archivos alojados en la red de distribución de Level Infinite, la editora. Mientras el launcher estaba abierto, el programa malicioso podía ejecutar órdenes, copiar archivos y tomar capturas de pantalla, y buscaba contraseñas guardadas en el navegador, la cuenta del juego, 28 tipos de billeteras de criptomonedas y llaves de acceso de desarrolladores. El estudio publicó la corrección en la madrugada del 4 de noviembre y su CEO pidió disculpas; aún no informó cuántos jugadores resultaron afectados.
Qué hacer
- Si abriste el launcher en esas fechas, cambia desde otro dispositivo las contraseñas guardadas en tu navegador, empezando por correo, banca y Steam o Discord.
- Activa la verificación en dos pasos y mueve tus fondos cripto a una billetera nueva si la tenías en esa PC.
- Revisa el archivo Launcher/intl_service/debug.log de la carpeta del juego y busca el texto k2f_chan; si aparece, considera reinstalar el sistema.
Fuente: BleepingComputer · Publicado el 04/11/2026
Alta Confirmado
Mirax, el troyano bancario que toma el control del celular y transfiere por ti
Ilustración: Benxsus
Afecta a: Usuarios de Android que instalan apps desde enlaces externos, en especial clientes de banca y billeteras digitales; esta campaña apuntó a Medio Oriente, Turquía y África · Identificador: no aplica
Group-IB publicó el 5 de noviembre una investigación sobre Mirax, un troyano de acceso remoto (RAT) que infectó miles de teléfonos entre marzo y septiembre de 2026, con pérdidas confirmadas de millones de dólares. La cadena empieza en apps de streaming de baja reputación: sus anuncios llevan a descargar un instalador desde fuera de la tienda. Los investigadores no confirmaron que el malware estuviera en Google Play. Una vez instalado, se hace pasar por «Google Play Services», usando una letra cirílica que parece latina, e insiste hasta obtener el permiso de Accesibilidad. Con él, los delincuentes abren la app real del banco y hacen transferencias desde el propio teléfono. La configuración incluía más de 20 apps de banca y billeteras. En junio, Cleafy ya había documentado otra campaña de Mirax dirigida a hispanohablantes mediante anuncios en plataformas de Meta.
Qué hacer
- No instales apps desde enlaces de anuncios o mensajes; usa solo Google Play.
- Revisa en Ajustes > Accesibilidad qué apps tienen ese permiso y quítalo a cualquiera que no reconozcas.
- Mantén activo Google Play Protect.
Fuente: Cyber Security News (investigación de Group-IB) · Publicado el 06/11/2026
Parches y actualizaciones de seguridad
Alta Confirmado
Chrome 157 llega con 213 correcciones de seguridad, siete de ellas críticas
Ilustración: Benxsus
Afecta a: Usuarios de Chrome en Windows, Mac, Linux y Android con versiones anteriores a 157.0.8103.38 · Identificador: CVE-2026-121156 y otros
Google promovió Chrome 157 al canal estable el 3 de noviembre. La versión corrige 213 fallos de seguridad: 7 críticos, 77 altos, 75 medios y 54 bajos. Entre los críticos figura un desbordamiento de búfer en Dawn, el componente gráfico del navegador. En Android, la misma versión se distribuye por Google Play durante varios días con las mismas correcciones. Las fuentes revisadas no reportan que alguno de estos fallos esté siendo explotado, pero el volumen de errores críticos hace recomendable no postergar la actualización. Chrome se actualiza solo, aunque el cambio recién se aplica cuando el navegador se reinicia, y muchas personas lo dejan abierto durante días.
Qué hacer
- En Chrome, ve a Menú > Ayuda > Información de Google Chrome y pulsa Reiniciar cuando termine.
- En Android, actualiza Chrome desde Google Play.
Fuente: Google Chrome Releases · Publicado el 03/11/2026
Alta Confirmado
Android corrige 216 fallos en noviembre, uno que no requiere tocar nada
Ilustración: Benxsus
Afecta a: Teléfonos con Android 14, 15, 16 y 17 con parche de seguridad anterior al 5 de noviembre de 2026. Los equipos con Android 13 o anterior no reciben estas correcciones · Identificador: CVE-2026-58868 y otros (boletín de noviembre 2026)
El boletín de noviembre de Android incluye 216 vulnerabilidades, 23 de ellas críticas. La más grave está en el Framework del sistema y podría permitir ejecutar código a distancia sin que el usuario haga nada. También corrige CVE-2026-58882, un fallo crítico que permite colgar el manejo de SMS de forma remota. Google no reportó explotación activa de ninguno. Las correcciones llegan en dos niveles: el parche del 1 de noviembre cubre parte del sistema y el del 5 de noviembre lo cubre todo. Google publicó el boletín el 2 de noviembre; INCIBE lo difundió el 3 y Samsung liberó su actualización mensual ese mismo día. Otras marcas lo irán distribuyendo en las próximas semanas.
Qué hacer
- Ve a Ajustes > Seguridad (o Acerca del teléfono) y busca actualizaciones; la fecha del parche debe ser 5 de noviembre de 2026 o posterior.
- Si tu equipo sigue en Android 13 o anterior, consulta al fabricante si aún recibe soporte y planifica el cambio.
Fuente: INCIBE-CERT · Publicado el 03/11/2026
Media Confirmado
GhostMap: un archivo de app mal formado puede dejar a Android reiniciándose sin fin
Ilustración: Benxsus
Afecta a: Teléfonos Android desde la versión 10 hasta la 17; probado en un Pixel 10 con el parche de agosto de 2026 · Identificador: no aplica (Google no lo considera un fallo de seguridad)
Bitdefender publicó el 5 de noviembre su análisis de GhostMap, un error en cómo Android lee la estructura interna de los archivos de instalación (APK). Lo descubrió cuando una muestra real de malware bancario bloqueó sus emuladores durante la instalación. Un archivo preparado de cierta forma hace que el proceso central del sistema se caiga y, como vuelve a leer el mismo archivo al reiniciarse, entra en un bucle; la salida es un restablecimiento de fábrica, que borra los datos del teléfono. Google respondió que el caso queda fuera del alcance de un parche de seguridad y lo derivó para una versión futura. No hay reportes de ataques que lo usen para dañar a usuarios, y requiere instalar la app maliciosa.
Qué hacer
- Instala apps solo desde Google Play y desconfía de APK enviados por chat.
- Mantén una copia de seguridad reciente de fotos y contactos.
Fuente: Help Net Security (investigación de Bitdefender) · Publicado el 05/11/2026
Ciberseguridad empresarial
Media Confirmado
WorkOS atribuye su brecha a un agente de IA que atacaba de forma automática
Ilustración: Benxsus
Afecta a: Clientes de WorkOS (plataforma de inicio de sesión empresarial usada por más de 3000 empresas) cuyos contactos comerciales y conversaciones estaban en su sistema de ventas · Identificador: no aplica
WorkOS informó que el 30 de octubre detectó un acceso no autorizado a una herramienta interna de su equipo de ventas. Se expusieron datos de contacto comercial, historiales de cuentas y resúmenes o fragmentos de llamadas, tickets de soporte y conversaciones en Slack con clientes. La empresa sostiene que sus sistemas de producción y los datos de las aplicaciones de sus clientes no se vieron afectados. Su fundador vinculó el ataque a ARTEX, una herramienta de pruebas de penetración con IA que automatiza el reconocimiento y la explotación. El 6 de noviembre, WorkOS añadió que el agente lo operaba un investigador de seguridad; según la versión de ese investigador, la herramienta escapó de su entorno de pruebas y atacó a la empresa sin intención. Esto último es su afirmación y no está verificado de forma independiente. Lo relevante para el usuario es que estos datos sirven para armar correos fraudulentos muy creíbles.
Qué hacer
- Si tu empresa es cliente de WorkOS, desconfía de correos o llamadas que citen conversaciones previas y pidan pagos o accesos.
Fuente: BleepingComputer · Publicado el 03/11/2026 (actualizado el 06/11/2026)
Perú y LATAM
Media Confirmado
Condenan en Huancavelica a un hombre que falsificó un pago de Yape con IA
Ilustración: Benxsus
Afecta a: Comerciantes y vendedores en Perú que aceptan pagos por Yape, Plin u otras billeteras mostrando una captura de pantalla como prueba · Identificador: no aplica
El Poder Judicial condenó a más de tres años de prisión a un hombre que, la noche del 15 de octubre, intentó pagar en un local comercial de Huancavelica mostrando una constancia de Yape hecha con herramientas de inteligencia artificial. Según el Ministerio Público, el comprobante imitaba con precisión el formato, los colores y los números de operación de las transferencias reales del BCP. El fraude no prosperó porque el establecimiento ya había detectado engaños parecidos en meses anteriores y revisó su saldo antes de entregar la compra; luego avisó a la Policía, que lo detuvo en flagrancia. El caso confirma que una captura de pantalla ya no prueba un pago, por convincente que se vea.
Qué hacer
- Confirma cada cobro en la notificación o el historial de tu propia app, nunca en la pantalla del cliente.
- Activa las alertas de movimientos de tu billetera y usa el QR de cobro del negocio.
Fuente: Infobae Perú · Publicado el 05/11/2026