Publicado: 22/10/2025
Se acerca Halloween… y el terror ya empezó. Se cayó AWS y arrastró medio internet, un rootkit se esconde en servidores Linux y WhatsApp convertido en spam.
Pero no todo son sustos: en Hacktubre también tenemos el ajo, la estaca y el reto de la semana para ayudarte a espantar vulnerabilidades y bugs. Ve hasta el final 🎃.
¿A ti también se te cayó la página del banco justo cuando ibas a pagar algo importante? Gracias a los memes sabes que no fuiste el único y que fue una caída global de AWS que dejó fuera de línea a bancos, fintechs y plataformas críticas en toda Latinoamérica, afectando pagos, apps y servicios internos por varias horas.
Amazon confirmó que el fallo en la región US-East-1 ya fue solucionado, pero el impacto fue enorme: miles de empresas comprobaron lo frágil que puede ser depender de un solo proveedor. Diseña planes de contingencia multicloud, replica tus datos en distintas regiones y mantén copias offline de tus servicios esenciales.
La nube no garantiza continuidad, la resiliencia sí.
Y aunque el incidente generó una ola de memes en redes sociales, dejó una pregunta seria para todos... ¿Qué tan preparado está tu negocio si mañana tu proveedor de nube deja de responder?
Tu servidor Linux parece seguro… hasta que recibe un “paquete mágico” y un atacante toma el control. Así opera LinkPro, un nuevo rootkit detectado en infraestructura AWS que usa eBPF para ocultarse y se activa sin dejar rastros visibles.
Si administras entornos en la nube o Kubernetes, restringe accesos, monitorea tráfico inusual y revisa configuraciones de kernel (CONFIG_BPF_KPROBE_OVERRIDE).
Un solo contenedor mal protegido puede exponer toda tu red.
Usas una extensión para automatizar ventas en WhatsApp Web… y terminas enviando spam sin saberlo. Investigadores detectaron 131 clones falsos que inyectan código en la versión web para evadir controles y enviar mensajes masivos, afectando a más de 20.000 usuarios en Brasil.
Si usas WhatsApp Web en el trabajo, evita extensiones no oficiales, usa solo canales verificados de WhatsApp Business y elimina plugins sospechosos de Chrome.
Automatizar sin control también es un riesgo de seguridad.
🥷 Reto de la semana — #Hacktubre
Se acerca Halloween, y nada da más miedo que un bug sin control o una vulnerabilidad que nadie vio venir. Esta semana el reto se divide en dos caminos.
Para los que están aprendiendo desarrollo:
Acepta los desafíos de código de 👉https://www.halloween.dev/es#retos.
Demuestra que tu código puede sobrevivir a la noche más oscura del año.
Paralelos que quieren ser hacker éticos:
Explora y rompe cosas con permiso👉https://portswigger.net/web-security/all-topics.
Práctica vulnerabilidades reales y mejora tus skills antes de que te asusten los exploits.
Objetivo: entrenar mente, código y reflejos porque en Halloween, hay cosas más miedosas que los fantasmas.
¡Recibe todas las semanas las nuevas noticias que te trae Hackmetrix! 🚀
Publicado: 14/10/2025
Llegó el Hacknews y seguimos en el Hacktubre: tu librería de npm roba credenciales, Figma ejecuta código malicioso, y WhatsApp te convierte en zombie digital.
¿Y el phishing? Cada vez se ve más real, más creíble y más efectivo.
Haz el reto de la semana y demuestra si tú (o tu equipo) pueden detectarlo.
Instalas una librería de npm y sin saberlo, también instalas un ladrón de credenciales. Investigadores descubrieron 175 paquetes maliciosos con más de 26 000 descargas, diseñados para robar tokens de GitHub, SSH y claves API.
Si tu empresa desarrolla en JavaScript o Node, usa repositorios verificados, analiza dependencias con herramientas de seguridad (Snyk, npm audit) y bloquea descargas desde fuentes no oficiales.
Un atacante puede enviarte un enlace de archivo de Figma y ejecutar código en tu sistema sin que abras nada más. La vulnerabilidad en Figma MCP (Multi-Connector Plugin) afecta integraciones con VS Code y otras apps conectadas.
Si tu equipo diseña o colabora en Figma, desactiva integraciones no esenciales, aplica el parche de seguridad y evita usar plugins externos sin verificar..
Recibes un mensaje en WhatsApp, lo reenvías, y sin saberlo ayudas a propagar SORVEPOTEL, un malware que se distribuye automáticamente a tus contactos robando datos y archivos.
En entornos corporativos, prohíbe el uso de apps personales en dispositivos de trabajo y aplica políticas MDM que limiten accesos a información sensible. Y a nivel personal, no abras archivos ni enlaces aunque vengan de contactos conocidos, revisa que la app esté actualizada y activa la verificación en dos pasos.
🥷 Reto de la semana — #Hacktubre
¿Tu equipo sabe distinguir un phishing de verdad? 🕵️♂️
Esta semana el reto es sencillo: hacer el test de phishing 👉 https://test-phishing.hackmetrix.com/
Entra al test y responde cada escenario como si te llegara de verdad.
Cada miembro completa el test y toma pantallazo de su resultado.
Comparen resultados en una mini reunión: ¿quién se equivocó más? ¿qué señales no vieron?
Termine la sesión con 2 acciones concretas: activar MFA donde falte y compartir 3 consejos rápidos contra phishing.
🏆 El que obtenga el mejor puntaje gana la insignia “Cazador de Phish” 🎣
Y si te va mal… no te preocupes. Al final del test encontrarás un curso gratuito para mejorar tus habilidades y cada ejercicio de phishing tiene una explicación.
Brief para sobrevivir al mes de la ciberseguridad
Para seguir con el Hacktubre y mantener a tu equipo un paso adelante de los ciberdelincuentes, te dejamos este artículo 👉https://blog.hackmetrix.com/los-5-tipos-de-phishing-mas-comunes-en-latinoamerica/
Ahí aprenderás:
Los 5 tipos de phishing más comunes en Latinoamérica
Cómo identificar correos, mensajes o sitios falsos antes de caer
Qué hacer si alguien de tu equipo fue víctima
¡Recibe todas las semanas las nuevas noticias que te trae Hackmetrix! 🚀
Publicado: 07/10/2025
Llegó el Hacknews, el mes de la ciberseguridad ¡y el Hacktubre!
Por eso te traemos las 3 mejores noticias de la semana, un reto de concientización para tu equipo y una lectura que sí te va a servir (sin PDFs eternos que nadie lee😅).
Usas OpenShift AI para desplegar modelos de IA y un atacante con permisos mínimos puede escalar a administrador del clúster. La vulnerabilidad CVE-2025-10725, con puntaje 9.9, afecta directamente entornos cloud e inteligencia artificial corporativa.
Si en tu empresa usan IA o contenedores, esta es una alerta roja, así que aplica los parches publicados por Red Hat, revisa roles y permisos, y limita accesos en Kubernetes. La seguridad en entornos de IA ya no es opcional, es urgente.
Imagina que tu equipo no puede operar durante casi dos semanas y tiene que rehacer seis meses de trabajo. Eso le pasó al Instituto de Salud Pública de Chile tras un ciberataque que paralizó sus sistemas, no hubo filtración de datos, pero el impacto económico y operativo fue enorme.
Esto demuestra que el daño de un ataque no siempre se mide en datos robados, sino en productividad perdida. Asegúrate de que tu empresa tenga respaldo offline actualizado, plan de recuperación ante desastres y monitoreo continuo.
Usas Gemini para automatizar tareas y, sin darte cuenta, la IA podría haber filtrado información sensible vía inyecciones de prompt. Investigadores encontraron tres fallas que permitían extraer datos; Google ya lanzó parches, pero el aviso queda: ni las herramientas grandes están exentas.
Para reducir el riesgo, audita inmediatamente las integraciones con modelos (qué datos se envían y quién puede solicitarlos), limita el alcance de las APIs y evita pasar información sensible a modelos sin sanitizar. Monitoriza las respuestas en producción por comportamientos atípicos, exige revisiones humanas para salidas críticas y aplica tests de seguridad (red team sobre prompts y agentes).
🥷 Reto de la semana — #Hacktubre
Octubre es el mes de la ciberseguridad y en Hackmetrix te traemos una misión:
4 semanas. 4 retos. 1 objetivo: Hacer que tu equipo piense y actúe en modo seguro.
Iniciemos con un clásico…. ¿Quién del equipo puede decir que nunca ha sido hackeado? 😏
👉 Entra a https://haveibeenpwned.com/ y busca tu correo.
Si aparece en rojo, tus datos se filtraron.
Si está limpio, ¡felicitaciones, sobreviviste a internet!
Modo juego:
Cada quien revisa todos los correos que use (personal, laboral, alternos).
El que identifique más correos comprometidos gana la insignia “Cazador de Brechas” 🏅.
Cierra el reto cambiando contraseñas y activando MFA.
¿Cuántos de tu equipo se ganaron la insignia?
Nos vemos en el próximo reto
Brief para sobrevivir al mes de la ciberseguridad
Para seguir el Hacktubre y aprovechar el Mes de la Ciberseguridad (sin sacar el famoso PDF que nadie lee 😅).
Te dejamos este artículo👉https://blog.hackmetrix.com/como-capacitar-a-mi-equipo-en-ciberseguridad/
Ahí aprenderás:
Cómo evaluar el nivel de conocimiento de tu equipo
Qué temas incluir en una capacitación efectiva
Cómo mantener la seguridad viva día a día (sin que sea aburrido)
Porque formar equipos conscientes es el mejor firewall que puedes tener.
¡Recibe todas las semanas las nuevas noticias que te trae Hackmetrix! 🚀