Hackean cuentas de Instagram: Meta explica cómo robaron más de 20 mil perfiles
Además: ShinyHunters hackea PeopleSoft de Oracle, WhatsApp bloquea una campaña de spyware, Apple va a cambiar passwords por su cuenta y Google puede ser responsable de respuestas falsas en Overviews.
Dark News es un resumen semanal de noticias de ciberseguridad, privacidad y hacking. Los temas están producidos y seleccionados por Juan Brodersen según estos criterios de edición.
🌄 Dark News entra en un receso por vacaciones y vuelve el 10 de julio
5~12
jun
⚡TL;DR
Malware, robo de cuentas y una nueva víctima de ShinyHunters que impacta en un supply chain de al menos 100 organizaciones. No tenemos (casi) temas relacionados con IA en la selección de temas. Hace mucho no pasaba, así que volvemos un poco a las raíces.
Durante la semana pasada, un hackeo de cuentas de Instagram (muchas de alto perfil) llamó la atención porque se había logrado hacer sin intervención del usuario, abusando el chatbot de soporte. Ahora, Meta contó qué pasó.
El hackeo atribuido a ShinyHunters (cuyo DLS tiene un captcha horrible que hace que entrar sea muy difícil) fue a un producto de Oracle muy usado. Y Microsoft tuvo que retirar paquetes infectados con malware para robar credenciales.
En el mundo de las regulaciones, un tribunal regional alemán decretó que Google puede ser responsable de producir respuestas falsas en los resúmenes de IA que salen arriba de los resultados (Overviews). Puede ser un precedente fuerte. Y Meta eliminó de su app Meta AI el código de un sistema de reconocimiento facial para sus anteojos inteligentes, un día después de que WIRED revelara que ya estaba integrado en una app instalada en más de 50 millones de teléfonos.
Si dejé de lado darle desarrollo a los temas IA-related es en parte por el marketing que está rondando a los anuncios del tipo “Anthropic lanzó Fable 5, la versión pública de Mythos, y ya hay preocupaciones por la seguridad”. Hay una narrativa de “es tan poderoso que asusta” que está empezando a cansar.
Me gustó este take de este newsletter: “Fable 5 se presenta como un modelo capaz de ejecutar trabajo intelectual durante varios días, no sólo de hacerlo más rápido. Para agencias y medios construidos sobre horas facturables, la pregunta incómoda ya no es qué puede hacer el modelo, sino qué le hace al modelo de negocio”.
Me gustó mucho esta nota que me compartió un amigo de Axios, las Confesiones de una rata de laboratorio IA.
La perlita de la semana fue un usuario que reverseó una pulsera de seguimiento biométrico para ver qué compañero le generaba más stress, midiendo las pulsaciones por minuto.
No es mala idea tener antipatías laborales justificadas con datos.
📅 Importante: agenda del newsletter
Dark News entra en un receso de tres semanas. Hacia fin de mes viajo a DC para el AWS Summit, una conferencia de sector público a la que voy desde hace algunos años y de la cual siempre me llevo alguna nota o fuente (ver).
El newsletter vuelve a su programación habitual el viernes 10 de julio. Para cerrar un poco el gap, es probable que, si llego, publique una entrega fuera de agenda el domingo 5 de julio.
Viene siendo un año intenso y necesito unas vacaciones para cargar energías para la segunda parte, que va a ser como siempre con el viaje a DEF CON / Black Hat, la cobertura de Ekoparty y más.
Hasta entonces, gracias por leer. Si te dan ganas de ver algo fuera de agenda y sos de los últimos suscriptores que se sumaron, acá está la sección Entrevistas del newsletter. Te puede interesar.
En esta edición:
🔓 Meta confirma cómo robaron más de 20 mil cuentas de Instagram
🏢 ShinyHunters hackea PeopleSoft de Oracle y afecta a 100 organizaciones
🔑 Apple va a cambiar contraseñas comprometidas sin intervención del usuario
⚖️ Google puede ser “responsable directo” por respuestas falsas de AI Overviews
📦 Otra vez: paquetes de Microsoft, infectados con malware para robar credenciales
⏰ Substack dice que leer este correo completo lleva 13 minutos
Dark News #208
Espacio publicitario
Meta confirma cómo robaron más de 20 mil cuentas de Instagram
Meta reveló que 20.225 cuentas de Instagram fueron robadas en un incidente que explotó una falla en su sistema de soporte asistido por IA (un chatbot, básicamente) para recuperación de cuentas.
Qué pasó. High Touch Support, una herramienta de Meta para ayudar a usuarios que perdieron acceso a sus cuentas, permitía pedir un link de reseteo de contraseña, pero no verificaba correctamente si el email ingresado pertenecía a la cuenta apuntada.
Cómo funcionaba. Los atacantes podían cargar una dirección de correo propia y recibir el enlace para cambiar la contraseña de una cuenta ajena. Después del reseteo, lograban entrar si la víctima no tenía activada la autenticación en dos pasos.
El alcance. Meta dijo que identificó 20.225 usuarios afectados. En una presentación ante la fiscalía de Maine (EE.UU.), la empresa informó que 30 usuarios de esa jurisdicción fueron potencialmente comprometidos. El breach habría ocurrido el 17 de abril y Meta detectó la vulnerabilidad el 31 de mayo.
Qué datos pudieron quedar expuestos. Meta dijo que no sabe con precisión qué información fue vista o robada. Pero advirtió que los atacantes podrían haber accedido a emails, teléfonos, fechas de nacimiento, publicaciones, fotos, videos, historias, mensajes directos, actividad de la cuenta, datos del perfil y servicios vinculados.
Qué hizo Meta. La empresa deshabilitó el sistema HTS y todos los enlaces de reseteo generados. También obligó a las cuentas afectadas a pasar por un control de seguridad, cambiar la contraseña y volver a autenticarse.
Qué sigue. Meta dijo que corregirá el chequeo de autenticación antes de volver a lanzar la herramienta y que revisará procesos similares de recuperación de cuentas en sus otras plataformas.
ShinyHunters hackea PeopleSoft de Oracle y afecta a 100 organizaciones
ShinyHunters asegura haber robado datos de más de 100 organizaciones tras atacar servidores Oracle PeopleSoft, una suite de aplicaciones para gestionar funciones críticas que usan grandes empresas, universidades y organismos.
Qué pasó. Según BleepingComputer, clientes de Oracle PeopleSoft empezaron a recibir demandas de extorsión firmadas por ShinyHunters. El grupo dijo haber comprometido unas 300 instancias en más de 100 organizaciones, con mayoría de víctimas en el sector educativo.
Cómo entraron. Los atacantes afirman haber usado una cadena de vulnerabilidades viejas y zero days. El éxito del ataque, según el propio grupo, dependería de la configuración de cada instancia. Oracle no había respondido ni publicado información al momento del reporte.
El contexto. PeopleSoft suele manejar datos sensibles de empleados, estudiantes, proveedores y operaciones internas. Eso lo vuelve un blanco atractivo para extorsión: no hace falta cifrar sistemas si el atacante logra robar información suficiente para presionar a la víctima.
Qué se sabe. La Universidad de Nottingham fue señalada como víctima y reconoció un incidente de ciberseguridad. Un investigador también encontró directorios expuestos con herramientas asociadas a la campaña, incluidos agentes MeshCentral, scripts de credential spraying y archivos para dejar notas de rescate en servidores PeopleSoft comprometidos.
Todavía no se conoce del todo el alcance del ataque.
WhatsApp bloquea una nueva campaña de spyware
WhatsApp dijo que bloqueó una nueva campaña de spyware vinculada a NSO Group, la empresa israelí detrás de Pegasus, y le pidió a una corte federal de Estados Unidos que declare a la compañía en desacato por violar una orden judicial permanente.
Qué pasó. La presentación llega después de una victoria legal clave de WhatsApp y Meta contra NSO. La corte ya había prohibido a NSO volver a apuntar contra WhatsApp o sus usuarios, tras determinar que la empresa violó leyes federales y estatales contra el hacking en un ataque de 2019 que afectó a unas 1.400 cuentas.
El nuevo caso. WhatsApp dijo que esta vez la actividad no explotó una vulnerabilidad desconocida de la app. Según la compañía, la campaña usó spear phishing: intentos dirigidos para llevar a usuarios a sitios maliciosos externos, mediante links enviados por WhatsApp u otros canales.
Es una técnica similar a campañas One Click asociadas antes con NSO.
Por qué importa. La disputa ahora gira en torno a si un proveedor de spyware puede seguir probando vectores contra un servicio que una corte ya le ordenó no tocar. WhatsApp quiere que el juez trate la nueva actividad como una violación de la medida judicial, no como un incidente separado que debe discutirse desde cero.
El contexto. NSO está bajo restricciones comerciales de Estados Unidos desde 2021, cuando el Departamento de Comercio la agregó a la Entity List por vender spyware a gobiernos extranjeros. Según autoridades estadounidenses, esas herramientas fueron usadas para apuntar contra periodistas, funcionarios, activistas, académicos, empresarios y trabajadores de embajadas.
Apple va a cambiar contraseñas comprometidas sin intervención del usuario
Qué pasó. Apple anunció en WWDC una nueva función para la app Passwords de iOS 27: podrá cambiar contraseñas automáticamente cuando detecte que fueron filtradas, reutilizadas o consideradas inseguras.
Por qué importa. Hasta ahora, la app avisaba el problema, pero el usuario tenía que entrar a cada servicio y resolverlo a mano. Con esta función, Apple intenta convertir esa alerta en una acción automática: detectar el login comprometido, generar una clave fuerte y actualizarla con mínima intervención.
El contexto. La función encaja en la nueva ola de IA “agéntica”: sistemas que ya no solo recomiendan, sino que ejecutan tareas en nombre del usuario. En seguridad, eso puede reducir fricción y mejorar hábitos básicos, aunque también abre una pregunta obvia: qué pasa cuando delegamos a un agente el control operativo de nuestras credenciales.
Varios analistas se expresaron en contra de la medida.
Qué se sabe. La función llegará con iOS 27, cuya beta para desarrolladores sale ahora, beta pública el mes que viene y lanzamiento general previsto para septiembre.
Google puede ser “responsable directo” por respuestas falsas de AI Overviews
Un tribunal regional de Múnich resolvió que Google puede ser responsable directo por respuestas falsas generadas por sus AI Overviews (los resúmenes de IA que aparecen arriba de los resultados).
Qué pasó. La Justicia alemana dictó una medida cautelar contra Google por vincular erróneamente a dos editoriales de Múnich con estafas, trampas de suscripción y prácticas comerciales dudosas. Según el fallo, esos señalamientos no aparecían en las fuentes citadas por el buscador.
La clave. El tribunal consideró que los AI Overviews son contenido propio de Google. La razón es que el sistema no se limita a listar resultados, sino que reescribe, combina y ordena información en una respuesta nueva, con afirmaciones entendibles por sí solas.
La defensa. Google sostuvo que los usuarios podían revisar los enlaces y verificar la información. El tribunal rechazó ese argumento: la posibilidad de chequear después una afirmación falsa no elimina la responsabilidad por haberla publicado.
Qué dice Google. La empresa dijo que sus resúmenes están diseñados para reflejar información existente en la web y que “la enorme mayoría” de las respuestas son correctas. También señaló que revisa el fallo, que todavía no está firme.
Por qué importa. La decisión marca una línea jurídica relevante para la búsqueda con IA. Si una respuesta generada atribuye hechos falsos a una empresa o a un usuario, el responsable podría ser el proveedor del sistema, aunque la información haya sido producida automáticamente.
El contexto. El fallo también apunta al problema de escala. Un análisis citado por la nota señala que los AI Overviews de Google responden bien el 91% de las veces.
En un producto usado por millones de usuarios, ese margen de error puede traducirse en una gran cantidad de respuestas falsas. El criterio alemán, si se consolida, podría impactar también sobre otros servicios que generan respuestas a partir de contenido web, como ChatGPT, Claude o Perplexity.
Otra vez: paquetes de Microsoft, infectados con malware para robar credenciales
Decenas de paquetes open source de Microsoft fueron comprometidos con malware diseñado para robar credenciales cuando los desarrolladores los abrían desde agentes de programación con IA.
Qué pasó. Investigadores detectaron 73 paquetes maliciosos en GitHub. Los sistemas automáticos de la plataforma los bloquearon, pero GitHub informó que habían sido deshabilitados por una “violación de los términos de servicio”, sin advertir de entrada que eran maliciosos ni recomendar a los desarrolladores asumir que sus sistemas podían estar comprometidos.
El giro. Microsoft recién el lunes admitió la posibilidad de contenido malicioso. En un correo dijo que había removido temporalmente algunos repositorios mientras investigaba.
Por qué importa. Es el segundo ataque de supply chain en dos meses contra una cuenta oficial de repositorios de Microsoft. En mayo, StepSecurity documentó el compromiso del SDK Python Durable Task en PyPI, un paquete con unas 400.000 descargas mensuales.
Qué robaba. El payload, de 28 KB, buscaba credenciales de AWS, Azure, GCP, Kubernetes, administradores de contraseñas y más de 90 configuraciones de herramientas de desarrollo. También podía moverse lateralmente por infraestructuras cloud e infectar otras máquinas de desarrolladores.
La novedad. En esta campaña, el robo de credenciales se activaba cuando un desarrollador abría los paquetes desde agentes como Claude Code, Gemini CLI, Cursor o VS Code.
🔓 Breaches y hacks
Dashlane dio detalles del breach
Hackean la blockchain de TesseraDAO por 2,5 millones de dólares
Hackean a la Universidad de Oxford
🔒 Ransomware
Check Point conecta un zero day en una VPN a campañas de Qilin
Suspenden clases en una escuela de Illinois por un ransomware
ShinyHunters publica 234 GB de datos de DentaQuest
💣 Exploits y malware
Microsoft da de baja 73 repositorios de GitHub infectados
NFCShare Android se propaga a través de apps falsas de home banking alojadas en GitHub
Un bug en Linux permite que usuarios locales obtengan permisos de administrador
🔍 Threat intel y vulnerabilidades
Google parchea el quinto zero day de 2026
Vulnerabilidad crítica en un servicio de WordPress
🛠️ Tools y updates
Chrome, Microsoft y TP-Link lanzan actualizaciones de seguridad
Una nueva función de Apple cambia automáticamente contraseñas comprometidas
NVIDIA publica una lista de updates
📋 Privacidad y regulaciones
Massachusetts intenta regular la venta de datos personales
Gran Bretaña quiere que empresas tech prohíban fotos de desnudos de menores
Buscan regular el uso de los smart glasses para que sea claro cuando estén grabando
Este newsletter fue escrito por un humano. Se usó inteligencia artificial generativa para resumir textos, detectar errores de redacción, concordancia y typos. Aun así, puede contener imprecisiones.
Para cualquier comentario, corrección o sugerencia, podés responder este mail. Si tenés información sobre un hackeo, me podés contactar por acá o por mis redes.
Si te sirvió, compartilo: tu recomendación orgánica es mucho más valiosa que cualquier campaña publicitaria.
