Google quiere que las apps que creas con IA vivan en la Play Store, aunque solo las uses tú

Google permite ahora que cualquier usuario de 18 años o más suba aplicaciones de Android creadas con AI Studio directamente a una biblioteca privada en Google Play, sin necesidad de cuenta de desarrollador ni revisión de seguridad. Las apps permanecen invisibles en búsquedas y recomendaciones, aunque Google planea permitir compartirlas con un pequeño grupo de amigos y familiares en el futuro.

Cyberattack on Connected Fridges in France

Ciberdelincuentes tomaron control de unidades frigoríficas conectadas de una cadena de supermercados francesa, forzando que alcanzaran temperaturas de 50 °C durante la noche. Danfoss, el fabricante, confirmó que los equipos afectados eran modelos antiguos cuyo software de seguridad no podía actualizarse para mitigar una vulnerabilidad identificada.

Harmonic Security Raises $50 Million for Workforce AI Protection

Harmonic Security ha recaudado 50 millones de dólares para expandir su oferta de protección de la inteligencia artificial en el entorno laboral. La startup planea ampliar sus equipos de ingeniería y comercialización en Estados Unidos y Reino Unido.

The Blind Spots of Agentic Pentesting and How to Close Them

Un ingeniero de Picus Security analiza las limitaciones del pentesting agentic, donde agentes de IA realizan pruebas de penetración de forma autónoma. Aunque estos agentes encuentran cadenas de exploit más rápido que los humanos, solo pueden probar el 32% de la superficie de ataque promedio: los sistemas críticos están fuera de alcance por seguridad, y muchas vulnerabilidades carecen de exploit público para ejecutar. La solución propuesta es complementar las pruebas agentic con validación de explotabilidad basada en controles de seguridad en vivo.

Virtual Event Today: Zero Trust Strategies Summit

SecurityWeek organiza hoy una cumbre virtual sobre estrategias Zero Trust, enfocada en verificación explícita de usuarios, dispositivos y cargas de trabajo.

Epic’s new games launcher is ‘vibe coded’

Epic Games ha anunciado una actualización de su launcher de juegos para PC que fue desarrollada con ayuda de IA generativa, denominada «vibe coded». La herramienta es más rápida y responsiva que la versión anterior, además de incluir compatibilidad con Linux. El desarrollo de este launcher refleja el giro estratégico de Epic hacia el desarrollo asistido por IA, con la empresa replanteándose cómo utilizar agentes de IA para acelerar la creación de software.

Instinct y Muse prometían acceder a las tiendas y comprar por nosotros. El problema es que las tiendas los están bloqueando

Los agentes de IA como Muse de Meta e Instinct prometían automatizar las compras online, pero las tiendas están bloqueando su acceso. Amazon, eBay, Kohl's y otros minoristas rechaza estos agentes argumentando que no se identifican correctamente, gestionan mal los datos o amenazan su modelo de negocio publicitario. Este patrón replica el conflicto previo entre editores y rastreadores de IA para entrenar modelos.

Microsoft takes down 3 major phishing platforms used by Chinese cybercriminals

Microsoft ha actuado legalmente contra tres plataformas de phishing (YAM Store, CoGUI e Iron Man) utilizadas por ciberdelincuentes chinos para enviar más de 750 millones de mensajes maliciosos. Las plataformas permitían suplantar más de 75.000 organizaciones en más de 150 países, robando credenciales y datos bancarios por decenas de millones de dólares. Microsoft trabajó con la Policía Nacional de Japón y organismos de ciberseguridad para obtener una orden judicial que permitió incautar dominios, desactivar 20.000 cuentas y bloquear 100.000 dominios adicionales.

CVE-2026-16741 · CVSS 9.8 · Improper neutralization of special elements used in an OS command ('OS command injection') vulnerability in TR7 Cyber ​​Defense Inc. TR7 …

Se ha descubierto una vulnerabilidad de inyección de comandos OS con CVSS 9.8 en TR7 ASP de TR7 Cyber Defense Inc., tanto en versiones virtuales como físicas del dispositivo. La falla permite inyectar comandos del sistema operativo en versiones anteriores a 1.0.1554.2331 y 1.6.1554.2331.

CVE-2026-16740 · CVSS 9.8 · Missing authentication for critical function vulnerability in TR7 Cyber ​​Defense Inc. TR7 ASP on virtual appliance and TR7 Cyber ​​Defense …

Una vulnerabilidad de autenticación faltante en TR7 ASP (aplicación de defensa de TR7 Cyber Defense Inc.) permite inyección de comandos del sistema operativo en las versiones 1.0.40.236 a 1.0.1554.2330 y 1.6.42.239 a 1.6.1554.2330. El fallo tiene una puntuación CVSS de 9.8 pero sin evidencia de explotación activa ni PoC público.

Global takedown hits network behind 1 billion phishing messages

Las autoridades mundiales han desmantelado una infraestructura criminal que facilitaba más de mil millones de mensajes de phishing dirigidos a más de 75.000 organizaciones en 150 países. El operativo representa una victoria significativa contra el cibercrimen organizado a escala global.

Russian travel booking platform suspends reservations after cyberattack

La agencia de viajes en línea rusa Anywayanyday ha suspendido temporalmente las nuevas reservas tras un ciberataque contra su infraestructura informática. La plataforma, que opera desde 2008 y cuenta con asociaciones con aproximadamente 800 aerolíneas y 330.000 hoteles, ha dejado de estar disponible mientras restaura sus sistemas, aunque las reservas confirmadas anteriormente permanecen válidas. La empresa no ha identificado a los atacantes ni ha revelado cómo fueron vulnerados sus sistemas, aunque afirma no haber encontrado evidencia de comprometer datos personales de clientes.

Todas las empresas de IA quieren crear sus propios chips, así que Nvidia quiere ahora tener su propia IA

Nvidia negocia la adquisición de Reflection AI, una empresa que desarrolla modelos de inteligencia artificial con pesos abiertos, valorada en alrededor de 25.000 millones de dólares. La compra respondería a la estrategia de Nvidia de no depender únicamente de la venta de chips, mientras que las grandes empresas de IA buscan crear sus propias alternativas. Reflection AI trabaja con departamentos gubernamentales estadounidenses y ha desarrollado el modelo Beam, que según la empresa rivaliza con los mejores modelos chinos.

Russian Influence Operation Widely Targeting Latin America

Una operación de influencia rusa aprovecha la IA para dirigirse a instituciones educativas en Perú, Ecuador y otras regiones de Latinoamérica mediante correos suplantados, documentos gubernamentales falsos y la creación de organizaciones locales ficticias.

Microsoft Disrupts Chinese-Language Phishing Market Behind 1B+ Messages

Microsoft, con respaldo de orden judicial federal, ha desmantelado YAM Store, CoGUI e Iron Man, dominios que alimentaban un mercado de phishing en idioma chino responsable de más de mil millones de mensajes. La operación contó con la colaboración de Health-ISAC y tuvo como objetivo interrumpir la infraestructura de una de las campañas de phishing más grandes.

Congressional probe faults Match Group for failing to rein in dating app scams

El Congreso de EE. UU. ha publicado una investigación que acusa a Match Group de no controlar adecuadamente las estafas románticas en sus aplicaciones de citas Tinder e Hinge. Durante los primeros nueve meses de 2025, cerca de 1,5 millones de estafadores se emparejaron con usuarios legítimos, y los investigadores descubrieron que Tinder mostraba deliberadamente más perfiles de actores maliciosos. Las estafas románticas, organizadas por criminales chinos en el sudeste asiático y África Occidental, han defraudado a 1,5 mil millones de dólares a estadounidenses el año pasado.

curl Patches HTTP/2 Upload Flaw After PoC Demonstrates Client-Side Code Execution

curl y libcurl lanzan la versión 8.23.0 para parchear CVE-2026-92392, un fallo use-after-free en la gestión de cargas HTTP/2 que permite a un servidor malicioso corromper la memoria del cliente y lograr ejecución de código. El investigador que lo reportó demostró ejecución de código, aunque la probabilidad de éxito en ataques reales es baja debido a los requisitos precisos de conocimiento del sistema objetivo.

→ Actualiza curl y libcurl a 8.23.0 o a las versiones de ramas antiguas indicadas (8.14.3, 8.16.2, 8.20.2); en alternativa, utiliza --http1.1 o desactiva HTTP/2 en la compilación.

SentinelOne cuts malware analysis from weeks to hours

SentinelOne ha integrado OpenAI Daybreak para reducir el tiempo de análisis de malware de semanas a horas, aumentando la capacidad de investigar más amenazas.

Amp puts AI agents to work beyond code with OpenAI models

Amp presenta una plataforma que utiliza modelos de OpenAI como GPT-6 Astra, Ultrafast y GPT-Live-1 para desplegar agentes de IA más allá de tareas de código. El anuncio muestra cómo estos agentes se integran con autenticación mediante ChatGPT.

How to Run a Deepfake Readiness Drill Before a Cloned Voice Calls Your Team

Las llamadas de voz clonadas y deepfakes de video se utilizan cada vez más en fraudes de pagos, resets de MFA y solicitudes de acceso. Un 62% de los líderes de ciberseguridad encuestados por Gartner en 2025 informaron de al menos un ataque de deepfake en los doce meses anteriores. Un ejercicio de preparación estructurado permite a los equipos de seguridad identificar dónde fallan los procesos de verificación sin riesgos reales.

Hirudo Android malware replaces banking apps to evade security checks

Hirudo es un nuevo malware para Android que reemplaza aplicaciones bancarias legítimas con versiones modificadas que desactivan verificaciones de seguridad, incluidas comprobaciones de firma, integridad y Play Integrity. El malware, que se distribuye a través de aplicaciones de compras, contenido adulto o series cortas que actúan como cargadores, ha sido identificado atacando bancos en Indonesia, China, India, México, Marruecos y Tailandia, permitiendo a los atacantes robar credenciales, controlar remotamente dispositivos y recopilar datos sensibles.

Researchers Used a Public OpenAI Model to Build a $250,000 Chrome Full-Chain Exploit in Six Days

Un equipo de XBOW encadenó tres vulnerabilidades desconocidas en Google Chrome en solo seis días utilizando agentes de IA con el modelo GPT-5.6 Sol de OpenAI. El exploit de cadena completa ejecuta código arbitrario en Windows al cargar una página web, atravesando ambas capas de sandboxing del navegador. Google confirmó los tres bugs, los parcheó en las versiones 152.0.7977.65 (25 de agosto) y 152.0.7977.82 (3 de septiembre), y otorgó a XBOW el premio máximo de $250,000. El hallazgo demuestra que la IA reduce drásticamente el tiempo y coste de descubrimiento de exploits de seguridad críticos, bajando significativamente la barrera de entrada para atacantes.

Hirudo Android Trojan Uses Patched Banking Apps to Bypass Their Built-In Security Checks

Se ha descubierto Hirudo, un troyano bancario para Android que reemplaza aplicaciones de banca legítima con versiones modificadas para eludir sus propias comprobaciones de seguridad desde dentro de la aplicación. El malware afecta a ocho aplicaciones bancarias indonesias y roba credenciales en Indonesia, China, India, México, Marruecos y Tailandia, distribuyéndose a través de aplicaciones falsas de compras, vídeo para adultos y entretenimiento que actúan como dropper.

Scimplify raises $25M to challenge China’s grip on critical materials with AI

Scimplify, una startup india fundada en 2023, ha recaudado 25 millones de dólares para expandir su plataforma de inteligencia artificial dirigida a la producción de materiales críticos y químicos especializados, reduciendo la dependencia de proveedores chinos. La plataforma propietaria Scinode utiliza agentes de IA especializados para optimizar procesos químicos, instalaciones de fabricación y cumplimiento regulatorio, logrando entregar productos terminados en dos meses en lugar de 12-18 meses típicamente.

Package managers have an integrity problem

Trail of Bits evaluó 25 gestores de paquetes populares para detectar si pueden identificar repositorios comprometidos que inyecten código malicioso en paquetes legítimos. El análisis reveló un problema crítico de integridad: menos de la mitad utilizan lockfiles que verifiquen manipulaciones por defecto, y solo dos verifican la integridad de todos los paquetes descargados. Este es un eslabón débil importante de la cadena de suministro si los ataques contra desarrolladores se mitigan exitosamente.

An AI Agent Found a Critical OTP Bypass in Production. The Attack Was the Easy Part.

Un agente de pentesting impulsado por IA descubrió de forma autónoma un fallo crítico de autenticación en el sitio web de producción de una aseguradora importante: un bypass de OTP que permitía al atacante elegir dónde se enviaba el código de un solo uso. El desafío real no fue explotar el fallo, sino validarlo en un sitio activo con el contexto web necesario que solo se obtiene tras una década de escaneo de aplicaciones.

US Arrests Two in Crackdown on North Korean IT Worker Laptop Farms

Las autoridades estadounidenses allanaron 40 ubicaciones en Texas y confiscaron 187 ordenadores portátiles utilizados por trabajadores de TI norcoreanos para ocultar su ubicación. Se realizaron dos arrestos en el marco de esta operación contra granjas de máquinas que facilitaban actividades de amenazas patrocinadas por el Estado.

Microsoft: Recent Windows updates may trigger Remote Desktop failures

Microsoft ha confirmado que los usuarios sin privilegios de administrador pueden perder la conexión a dispositivos remotos vía Remote Desktop después de instalar actualizaciones recientes de Windows 11 si la característica de protección de administrador está habilitada. El problema afecta a sistemas 24H2/25H2/26H1/26H2 tras instalar la actualización KB5124010 de septiembre de 2026 o posteriores, y la empresa ofrece como solución temporal desactivar la protección de administrador mediante políticas de grupo o Microsoft Intune.

Un ciberataque apaga vitrinas frigoríficas en supermercados franceses

Un ciberataque permitió manipular remotamente controladores de refrigeración Danfoss en supermercados franceses, elevando temperaturas y obligando a retirar producto alimentario. El incidente afectó a entre 250 y 350 tiendas de cadenas como Intermarché, Carrefour Market y Leclerc. Los atacantes explotaron interfaces web de gestión expuestas a Internet en equipos que ejecutaban versiones antiguas del software, una vulnerabilidad conocida en la gestión de sistemas OT.

→ Actualiza controladores Danfoss AK-SM 8xxA a versión 4.3.1 o superior e impide inmediatamente el acceso a las interfaces web de gestión desde Internet.

“Tu lavadora está sujeta a más reglas de seguridad que la IA”: Brad Smith, presidente de Microsoft, pide frenar el Salvaje Oeste de la IA

Brad Smith, presidente de Microsoft, ha pedido una regulación global más estricta de la IA, argumentando que sistemas de IA potentes están sujetos a menos protocolos de seguridad que un cartón de leche o una lavadora. Smith propone tres medidas: un freno de emergencia para pausar sistemas descontrolados, informes obligatorios de incidentes y aprobación independiente antes del lanzamiento de modelos de frontera, posición que contrasta con la preferencia del presidente Trump por la autorregulación del sector.