Brechas de datos y ciberataques de abril de 2026: resumen

Abril de 2026 fue un mes de extorsión basada en la identidad mucho más que de malware clásico. Un único guion de ingeniería social (llamar a un servicio de soporte o a un empleado, convencerlo para que entregue un inicio de sesión en la nube y después exportar discretamente el CRM) pasó por una gran organización tras otra. A su lado hubo un dañino ataque de ransomware contra software sanitario, una brecha en una agencia nacional de identidad, un robo de criptomonedas de nueve cifras y un zero-day de SharePoint explotado activamente. Este es un resumen independiente y con fuentes: cada cifra tiene su fuente, cada punto se marca como confirmado, reivindicado o informado y lleva una lección defensiva. PlayCISO es independiente y no está afiliado a ninguna organización mencionada; esto es información general, no un comentario sobre la conducta de ninguna parte concreta.

Método y una nota sobre las puntuaciones de gravedad

Contrastamos cada punto con las comunicaciones primarias, los documentos presentados ante reguladores y la información de medios de seguridad consolidados, corregimos o eliminamos las cifras cuando las fuentes discrepaban y dejamos fuera varios puntos muy difundidos que no pudimos sostener. Cuando solo el atacante ha dado una cifra, lo decimos y la tratamos como una reivindicación, no como un hecho.

La gravedad editorial junto a cada entrada es una lectura subjetiva de PlayCISO sobre diez: cuánto creemos que debería preocuparle a un responsable de seguridad, dados la escala, la sensibilidad y lo aplicable que sea la corrección. No es CVSS, ni EPSS, ni ningún estándar reconocido; úsala solo como una señal relativa rápida.

La historia del mes: la ola de extorsión de ShinyHunters en Salesforce

El hilo conductor de abril fue una campaña atribuida a la marca de extorsión ShinyHunters contra los entornos Salesforce de distintas organizaciones. El patrón era constante: una llamada de phishing telefónico (vishing) engañaba a un empleado para que cediera el acceso a una identidad en la nube (inicio de sesión único de Microsoft Entra u Okta), tras lo cual los atacantes exportaban los datos de relación con los clientes y exigían un pago para no publicarlos en su sitio de filtraciones. Lección: el control que habría detenido la mayoría de estos ataques es una MFA resistente al phishing más unos permisos estrictos y bien acotados en las plataformas SaaS y de identidad que una y otra vez resultan ser la puerta de entrada.

• Charter Communications (Spectrum). ShinyHunters dice que usó una llamada de vishing el 1 de abril para obtener las credenciales de Entra de un empleado y llegar a los datos de Salesforce de Charter, y después incluyó a la empresa en su sitio con un plazo a finales de mayo. Charter confirmó una brecha en herramientas de ventas de clientes empresariales actuales, pasados y potenciales, y dijo que no se publicaron datos personales sensibles ni de cuentas de telecomunicaciones. Have I Been Pwned verificó unos 4,9 millones de cuentas; la cifra del grupo, de 40 a 42 millones, es una reivindicación sin verificar. Estado: confirmado (intrusión); volumen reivindicado. Gravedad editorial: 7/10.
• ADT. ADT confirmó que sufrió una brecha y una extorsión por parte de ShinyHunters, con un acceso que, según la información publicada, se produjo a través de una cuenta de inicio de sesión único comprometida mediante una llamada de vishing a su instancia de Salesforce; el grupo publicó un archivo después de que ADT se negara a pagar. Estado: confirmado; las cifras exactas varían según la fuente. Gravedad editorial: 6/10.
• Pitney Bowes. La empresa de correo y envíos confirmó un acceso no autorizado a datos de clientes en su entorno Salesforce. ShinyHunters reivindicó más de 25 millones de registros; Have I Been Pwned cifró el conjunto de datos filtrado en unos 8,2 millones de direcciones de correo únicas con nombres, números de teléfono y direcciones postales. Estado: confirmado; volumen de 25 M reivindicado. Gravedad editorial: 6/10.
• Vimeo. Vimeo confirmó una brecha producida a través de un proveedor externo de analítica (Anodot), que expuso correos electrónicos, datos técnicos y metadatos de vídeos, y explícitamente no credenciales de inicio de sesión ni datos de pago. Estado: confirmado (a través de un proveedor). Gravedad editorial: 4/10. Lección: la brecha de tu proveedor es tu brecha; consulta nuestra introducción a la fuga de datos.
• Medtronic. El fabricante de dispositivos médicos confirmó que un tercero no autorizado accedió a ciertos sistemas de TI corporativos aproximadamente entre el 13 y el 19 de abril (sin afectar a los productos ni a la fabricación), y después notificó a 3.834.294 personas según el documento presentado ante la fiscalía general de Indiana; los datos podían incluir nombres, fechas de nacimiento, números de la Seguridad Social e información de salud. ShinyHunters reivindicó más de 9 millones de registros, cifra que Medtronic no ha validado. Estado: confirmado (intrusión y 3,83 M notificados); 9 M reivindicados. Gravedad editorial: 7/10.

Confirmado: ransomware y disrupción operativa

• ChipSoft (Países Bajos). El proveedor neerlandés de TI sanitaria sufrió un ataque de ransomware hacia el 7 de abril, confirmado por el equipo sectorial de respuesta Z-CERT; ChipSoft desactivó las conexiones a sus plataformas principales (incluido su muy usado sistema hospitalario HiX), y alrededor de una docena de hospitales neerlandeses desconectaron el software, con efectos en los portales que se informaron también en Bélgica. Z-CERT dijo que los procesos de atención crítica no se habían detenido. Estado: confirmado. Gravedad editorial: 8/10. Lección: un proveedor de software sanitario compartido es un riesgo sistémico de concentración; traza tu dependencia de él y tu alternativa manual antes de necesitarla.
• Jones Day (despacho de abogados internacional). Jones Day confirmó un incidente originado por phishing en el que un tercero no autorizado accedió a un número limitado de archivos antiguos relacionados con unos 10 clientes; notificó a los afectados. El Silent Ransom Group (también rastreado como Luna Moth) reivindicó el ataque y, según una captura de la negociación sin verificar, habría exigido unos 13 millones de dólares. Estado: confirmado (brecha); cifra del rescate reivindicada. Gravedad editorial: 6/10. Lección: los despachos de abogados guardan datos concentrados y muy sensibles en nombre de otros; trata la resistencia al phishing y la minimización de datos como obligaciones con los clientes, no solo como higiene interna.
• Condado de Winona (Minnesota). El condado detectó un ataque de ransomware hacia el 6-7 de abril (el segundo del año, de un grupo distinto) y desconectó sistemas como los del registro civil y las oficinas de tráfico (DMV); el gobernador de Minnesota dictó una orden ejecutiva para movilizar al Cyber Protection Team de la Guardia Nacional, y se esperaba que las oficinas volvieran a funcionar casi con normalidad hacia el 24 de abril. Los servicios de emergencia no se vieron afectados. Estado: confirmado. Gravedad editorial: 6/10. Lección: el segundo ataque muestra que recuperarse sin reforzar solo compra tiempo.

Confirmado: brechas en el sector público y a escala nacional

France Titres / ANTS, la agencia nacional de documentos de identidad. Francia confirmó una brecha en la agencia que gestiona los documentos de identidad de los ciudadanos, detectada hacia el 15 de abril y causada, según la información publicada, por un fallo de referencia directa insegura a objetos (IDOR) en su API. Los campos expuestos podían incluir identificadores de inicio de sesión, nombres, correos electrónicos, fechas de nacimiento y, en algunos casos, direcciones y números de teléfono; se dijo que los documentos de identidad subidos no se vieron comprometidos. La información publicada cita una cifra declarada por el Gobierno de unos 11,7 millones de cuentas, mientras que un actor con el alias «breach3d» anunció la venta de 19 millones de registros. Estado: confirmado (brecha); cifra discutida (11,7 M declarados frente a 19 M reivindicados). Gravedad editorial: 8/10. Lección: los fallos de control de acceso como el IDOR no necesitan malware para derramar los datos de un país; prueba la autorización en cada referencia a un objeto, no solo la autenticación en la puerta de entrada.

Confirmado: un robo de criptomonedas de nueve cifras

Kelp DAO / LayerZero, unos 290 millones de dólares. El 18 de abril se sustrajeron unos 290 millones de dólares en rsETH del protocolo de restaking Kelp DAO. LayerZero describió el ataque como el compromiso de los nodos RPC que usaba su verificador, seguido de un DDoS para forzar una conmutación por error y colar un mensaje entre cadenas falsificado, y calificó la atribución de preliminar, apuntando a un «actor estatal muy sofisticado, probablemente el grupo Lazarus de la RPDC». Las dos empresas discrepan sobre la causa raíz. Estado: confirmado (robo); atribución sospechada. Gravedad editorial: 7/10. Lección: los puntos únicos de confianza (un solo verificador, un solo proveedor de nodos) son donde se originan las pérdidas de nueve cifras; modela los modos de fallo, no solo el camino ideal, con nuestra herramienta de modelado de amenazas.

Confirmado: fallos explotados activamente y parches

• Patch Tuesday de abril de Microsoft: un zero-day de SharePoint atacado activamente. Microsoft publicó unas 160 correcciones o más (las fuentes citan cifras de entre 163 y 167), incluida CVE-2026-32201, un fallo de suplantación en SharePoint Server explotado activamente; un fallo aparte de elevación de privilegios en Microsoft Defender (CVE-2026-33825, conocido públicamente como «BlueHammer») se divulgó antes del parche. Estado: confirmado. Gravedad editorial: 7/10. Lección: no intentes tragarte más de 160 correcciones de golpe; ordénalas por «explotada activamente / prueba de concepto pública» y parchea primero el zero-day de SharePoint.
• Altas en el KEV de CISA (20 de abril), incluido Cisco Catalyst SD-WAN Manager. CISA añadió ocho vulnerabilidades explotadas activamente a su catálogo Known Exploited Vulnerabilities, tres de ellas en Cisco Catalyst SD-WAN Manager (CVE-2026-20122, CVE-2026-20128 y CVE-2026-20133), con un plazo federal de corrección corto para los fallos de Cisco. Estado: confirmado. Gravedad editorial: 7/10. Lección: el catálogo KEV es una cola de parches gratuita y respaldada por la explotación real; replícalo en tu propia priorización aunque no seas una agencia federal.

La cadena de suministro y el ángulo de las herramientas de IA

Compromiso del paquete npm axios (finales de marzo, con efectos en abril). El 31 de marzo se publicaron brevemente en npm dos versiones maliciosas del popularísimo cliente HTTP axios (más de 100 millones de descargas semanales) mediante la cuenta secuestrada de un mantenedor; el único cambio fue una dependencia cuyo hook de postinstalación desplegaba un troyano de acceso remoto multiplataforma. La ventana duró unas tres horas antes de que npm retirara los paquetes, y el grupo de inteligencia de amenazas de Google atribuyó la campaña a un actor vinculado a Corea del Norte. Estado: confirmado (suceso del mes anterior, dominante en la respuesta de principios de abril). Gravedad editorial: 8/10. Lección: audita tu árbol de dependencias en busca de las versiones maliciosas de axios, aísla todo lo que las haya descargado y rota los secretos a los que pudieran llegar.

Sobre el tan repetido «ahora la IA es la que hackea»: no hubo ningún caso de abril bien documentado de un sistema de IA que ejecutara una intrusión de forma autónoma. Lo que sí es claramente real es que los atacantes apuntan cada vez más a las propias herramientas de desarrollo y de IA, y el compromiso de axios es el ejemplo más nítido. Da más peso a las comunicaciones confirmadas que a las reivindicaciones de los actores de amenazas y a las afirmaciones de segunda mano sobre la IA.

Qué hacer esta semana

• Blinda el SaaS y la identidad. Exige MFA resistente al phishing y mínimo privilegio en Salesforce, Entra y Okta, y prepara a los servicios de soporte frente al vishing: la credencial entregada por teléfono fue la vía de entrada recurrente de abril.
• Trata a los proveedores como parte del alcance. Inventaría lo que guarda cada proveedor de SaaS y de software y ensaya un incidente de terceros; las peores brechas de abril llegaron a las víctimas a través de un proveedor. Puntúalos con nuestra evaluación de riesgos de proveedores.
• Audita la exposición a axios y rota todo lo que pudieran haber alcanzado las versiones maliciosas.
• Parchea lo que se está explotando (el zero-day de SharePoint, CVE-2026-32201, y los fallos de Cisco Catalyst SD-WAN Manager que señaló CISA) antes que el resto.
• Construye por capas para que una sola credencial comprometida no sea el fin de la partida (consulta la defensa en profundidad) y pon una cifra defendible a la exposición con la calculadora del coste de una brecha. Para la evolución del año, consulta nuestro resumen de octubre de 2026.

Preguntas frecuentes

¿Los mayores ataques de abril de 2026? La ola de extorsión de ShinyHunters en Salesforce (Charter/Spectrum, ADT, Pitney Bowes, Vimeo, Medtronic), el ataque de ransomware a ChipSoft contra el software sanitario neerlandés, la brecha del despacho Jones Day, el ataque de ransomware al condado de Winona, la brecha de la agencia de identidad France Titres (ANTS), el robo de unos 290 M$ en criptomonedas a Kelp DAO, un zero-day de SharePoint explotado activamente (CVE-2026-32201) y el compromiso de la cadena de suministro del paquete npm axios.

¿Cómo se decidieron las puntuaciones de gravedad? Son una lectura subjetiva de PlayCISO sobre diez, no CVSS ni ningún estándar. Úsalas solo como señal relativa.

¿Eran reales las cifras de las brechas? Trata las cifras de los atacantes como no verificadas: los 40 a 42 millones de Charter (unos 4,9 millones verificados por Have I Been Pwned), los 9 millones de Medtronic (3.834.294 según su propio documento) y los 19 millones de France Titres (unos 11,7 millones declarados por el Gobierno) son reivindicaciones que las organizaciones no confirmaron.

¿Llevó a cabo la IA algún ataque? Ningún caso de abril bien documentado muestra a una IA ejecutando una intrusión por su cuenta; el tema real son los atacantes que apuntan a las herramientas de desarrollo y de IA, como muestra el compromiso de axios vinculado a Corea del Norte.

¿Qué hacer primero? Blinda el SaaS y la identidad frente al vishing, trata a los proveedores como parte del riesgo, audita la exposición a axios y parchea los fallos de SharePoint y de Cisco que se están explotando.