Brechas de datos y ciberataques de agosto de 2026: resumen
Agosto de 2026 no dio tregua. Un grupo de espionaje vinculado a China explotaba en silencio un zero-day de BeyondTrust Remote Support desde los últimos días del mes; la ingeniería social al estilo de ShinyHunters impulsó reivindicaciones de extorsión contra McKesson, RingCentral y Carhartt; Manchester Airports Group confirmó una brecha que afecta a millones de personas; y el ransomware alcanzó un volumen mensual récord. Este es nuestro resumen mensual: independiente, con un enfoque defensivo y honesto sobre lo que está confirmado frente a lo que solo se reivindica.
Cómo leer esto (nota de método)
Cada caso lleva un estado: Confirmado (reconocido por la organización, un regulador o un organismo público), Reivindicado (una afirmación de un atacante o de un sitio de filtraciones, todavía sin verificar) o Informado (descrito por medios creíbles pero no confirmado del todo).
La gravedad N/10 es una valoración editorial subjetiva del radio de impacto, la sensibilidad de los datos y el impacto sistémico; no es una puntuación CVSS ni se puede comparar con una.
Algunas cifras, sobre todo los recuentos de víctimas de los sitios de filtraciones, no están verificadas. Lo decimos en lugar de repetirlas como hechos. PlayCISO es independiente y no está afiliado a ninguna de las organizaciones mencionadas; esto es información general, no asesoramiento sobre un incidente concreto. Compruébalo en la fuente primaria antes de actuar.
Estados nación y zero-days explotados activamente
BeyondTrust Remote Support — CVE-2026-102764. Es el caso más trascendente del mes, aunque la divulgación pública llegara después. BeyondTrust y Google Threat Intelligence Group / Mandiant consideran que un presunto actor de espionaje vinculado a China, ARMORY CASTLE, antes rastreado como UNC5221, empezó a explotar un fallo crítico de Remote Support alrededor del 29 de agosto de 2026, contra una instancia alojada por BeyondTrust y un appliance autoalojado. El fallo (un componente interno de mensajería que no valida el origen de los mensajes, lo que permite a un atacante sin autenticar realizar operaciones con archivos) puntúa 9,3 en CVSS 4.0, y Mandiant observó escalada de privilegios a root, malware personalizado, robo de credenciales y saltos hacia sistemas posteriores. El aviso (BT26-05), el parche y la inclusión en el catálogo KEV de CISA llegaron a mediados de octubre de 2026. Estado: Confirmado (explotación y atribución reconocidas por el fabricante y Mandiant; divulgado en octubre, explotado desde finales de agosto). Gravedad 9/10. Lección: las herramientas de acceso remoto privilegiado son un objetivo de primer orden, porque llegan a todo. Minimiza su exposición, vigílalas de cerca y asume que «todavía no hay parche» es un estado real en los appliances perimetrales.
Zero-day de Windows AFD for WinSock — CVE-2026-68820. Informaciones en torno al 12 de agosto vincularon la explotación activa de un fallo del Ancillary Function Driver for WinSock con Lazarus (la veterana actividad Operation Dream Job), que lo usó para obtener privilegios de SYSTEM. Estado: Informado. Gravedad 8/10. Lección: los zero-days de escalada local de privilegios convierten un punto de apoyo inicial en control total; importan tanto la detección en los endpoints como la disciplina de parchear a tiempo cada Patch Tuesday.
Dispositivos perimetrales bajo fuego constante: SonicWall, N-able N-central, Citrix NetScaler, Zimbra. CISA alertó de que bandas de ransomware usaban fallos de SonicWall SMA1000 (CVE-2026-15409 / CVE-2026-15410); una elusión de autenticación en N-central (CVE-2026-10867, con actividad de Storm-1175 informada) se explotó activamente para desplegar ransomware; dos fallos de NetScaler (CVE-2026-19489 / CVE-2026-19490) motivaron llamamientos urgentes a parchear; y Shadowserver contó 274 servidores Zimbra comprometidos y miles más sin parchear. Estado: Confirmado (CISA / Shadowserver). Gravedad 7/10. Lección: el perímetro expuesto a internet sigue siendo donde empiezan las brechas. Mantén un inventario fiable de lo que expones y parchéalo al ritmo del fabricante, no al tuyo. Un ejercicio estructurado de modelado de amenazas te ayuda a encontrar los appliances que habías olvidado que tienes.
Grandes brechas y extorsión
McKesson. El gigante de la distribución sanitaria y farmacéutica comunicó en un Form 8-K ante la SEC el 28 de agosto que había descubierto el 25 de agosto un incidente con acceso no autorizado a aplicaciones de terceros y exfiltración de datos, y dijo que no había determinado que el incidente fuera material. ShinyHunters reivindicó unos 284 millones de registros (el propio grupo dijo que era un recuento bruto de registros, no de personas únicas) y un rescate de varios millones de dólares. McKesson no ha confirmado esas cifras. Estado: incidente Confirmado / escala Reivindicada. Gravedad 8/10.
Manchester Airports Group (MAG). El operador de los aeropuertos de Manchester, Stansted y East Midlands confirmó una brecha de los datos de registro de clientes (aparcamiento, salas VIP, Fast Track, wifi del aeropuerto). Un portavoz de MAG cifró el alcance en unos 8,7 millones de clientes; la empresa subrayó que no había datos bancarios ni de pago implicados y que las operaciones de los aeropuertos funcionaron con normalidad. Estado: Confirmado (los 8,7 M se atribuyen a MAG). Gravedad 7/10.
Apollo Global Management. La ingeniería social dio a los atacantes acceso a un entorno en la nube entre el 6 y el 10 de julio de 2026 (comunicado en agosto), con exposición de nombres, fechas de nacimiento, direcciones y números de la Seguridad Social; la actividad está vinculada a una campaña más amplia. Estado: Confirmado. Gravedad 7/10.
RingCentral. ShinyHunters usó ingeniería social para llegar a datos de unas 1,6 millones de cuentas; la plataforma principal siguió funcionando. Estado: Informado. Gravedad 6/10.
Carhartt. ShinyHunters reivindicó 50 GB de datos tras una exigencia de extorsión de 3,3 millones de dólares, según se informó; un análisis independiente situó la cifra creíble cerca de los 12,9 millones de personas. Estado: Reivindicado. Gravedad 6/10.
Baylor Genetics. Unas 2,8 millones de personas podrían estar afectadas, con una exposición informada de resultados de pruebas genéticas y números de la Seguridad Social, entre las categorías más sensibles que puede tocar una brecha. Estado: Informado. Gravedad 7/10.
El CSDD de Letonia (dirección de seguridad vial). Se robaron registros históricos de pagos, con más de 1,2 millones de personas y 200.000 entidades afectadas; dimitieron algunos responsables, aunque los servicios diarios continuaron. Estado: Confirmado. Gravedad 6/10.
CareCloud y Heights Finance. CareCloud informó del robo de datos de pacientes con un recuento en disputa (una cifra de 345.000 en el titular frente a una de 3,75 millones en el cuerpo que la información publicada no concilió: un recordatorio de leer más allá del titular). Heights Finance informó de 734.828 personas con datos financieros y números de la Seguridad Social expuestos. Estado: Informado (CareCloud) / Confirmado (Heights). Gravedad 6/10.
El hilo conductor de esta sección no es un único proveedor ni un único fallo: es la identidad y el servicio de asistencia. El phishing por voz y la ingeniería social contra el servicio de asistencia, junto con el acceso a través de SaaS de terceros y de socios logísticos, impulsaron la mayoría de estos casos. Si quieres dimensionar lo que te costaría uno de estos sucesos, nuestro estimador del coste de brechas y la explicación de cómo se calcula realmente el coste de una brecha de datos son un punto de partida con base, y la tarjeta de puntuación de riesgo de proveedores te ayuda a ordenar a los terceros que no dejan de aparecer como punto de entrada.
Ransomware en volumen récord
Un mes récord en número. Comparitech contó 997 reivindicaciones de ransomware en agosto de 2026, el mayor total mensual que ha registrado, con una fuerte subida respecto a julio. Lo crucial es que solo 77 las confirmaron las organizaciones afectadas en ese momento; el resto eran reivindicaciones en sitios de filtraciones. Qilin y The Gentlemen fueron los más prolíficos, y la sanidad y los servicios públicos registraron aumentos notables. Estado: Informado (estadística agregada; la mayoría de las reivindicaciones subyacentes sin verificar). Gravedad 7/10 como tendencia. La distancia entre 997 reivindicaciones y 77 confirmaciones es justo la razón de ser de una etiqueta de estado: el volumen en un sitio de filtraciones es marketing, no una prueba.
La racha de extorsión de Cl0p. Alrededor del 17 de agosto, Cl0p reivindicó datos de Shell (unos 89 GB), GE y Philips. Philips dijo que se había contenido un intento de compromiso de un servidor interno; Shell y GE lo estaban evaluando. Estado: Reivindicado (Philips informa de contención). Gravedad 5/10 pendiente de confirmación.
La ATF de EE. UU. Qilin incluyó a la Oficina de Alcohol, Tabaco, Armas de Fuego y Explosivos en su sitio de filtraciones; la agencia confirmó un sistema independiente comprometido y lo clasificó como incidente grave. Estado: Confirmado. Gravedad 6/10.
Tecnología operativa e infraestructuras críticas
Central polaca de cogeneración. Alrededor del 10 de agosto, un actor vinculado a Rusia rastreado como Electrum habría pasado de la red de un parque eólico a una central de cogeneración, puesto PLC de Siemens en modo STOP y provocado un breve corte. Estado: Informado. Gravedad 7/10.
Agua y puertos de EE. UU. Columbus Water Works (Georgia) pasó a funcionar en manual tras un ataque, sin que se vieran afectados el suministro ni la calidad del agua; North Carolina Ports tuvo que llevar sus tres instalaciones a funcionamiento manual. Estado: Confirmado / Informado. Gravedad 6/10. Lección: la resiliencia de la OT consiste en poder funcionar en manual y recuperarse; la segmentación entre los sistemas de TI, de OT y de seguridad es el control que impide que un robo de datos se convierta en un suceso del proceso físico. Es la defensa en profundidad en su forma más literal.
El ángulo de la IA
Merece la pena nombrar dos casos de agosto porque tienen fuentes razonables, no porque el bombo de los ataques con IA lo merezca. La información publicada describió una intrusión híbrida de personas y agentes de IA en organismos públicos de Taiwán (alrededor del 13 de agosto) que habría comprometido al menos 85 cuentas y extraído más de 2.500 registros de personal, y un presunto grupo con base en China rastreado como SilkParasite (alrededor del 20 de agosto) que usaba spearphishing y malware asistido por IA contra organismos públicos de Asia Central. Estado: Informado (ambos). Gravedad 6/10. La lectura defensiva es deliberadamente poco glamurosa: la IA cambia mucho más la velocidad y la escala de técnicas conocidas (phishing, compromiso de cuentas, iteración del malware) de lo que inventa técnicas nuevas. Los controles que funcionaban el año pasado siguen funcionando; solo necesitas que aguanten más intentos.
Qué conviene quedarse
Quita los logotipos y agosto repite tres lecciones. Los appliances perimetrales y de acceso remoto son la primera línea: BeyondTrust, SonicWall, N-central, NetScaler y Zimbra fueron explotados, varios antes de su divulgación; inventárialos y parchéalos al ritmo del fabricante. El servicio de asistencia es una superficie de ataque: el phishing por voz y la ingeniería social contra el servicio de asistencia impulsaron los casos de McKesson, Apollo y RingCentral, así que añade la verificación mediante devolución de llamada y endurece los controles de sesión del SaaS y del proveedor de identidad. Y tus terceros son tu superficie de brecha: una gran parte de las exposiciones de agosto llegó a través de un proveedor, un socio logístico o una plataforma en la nube, y no de los sistemas centrales de la empresa nombrada. Los almacenes de datos mal configurados y expuestos públicamente (la exposición de UKGI, una base de datos sanitaria brasileña abierta) completan el panorama; entender cómo se produce una fuga de datos es una lección más barata que vivirla. Si creas o expones servicios de forma programática, nuestras API de seguridad pueden integrar algunas de estas comprobaciones en tus propias canalizaciones.
Publicamos este resumen cada mes. Como siempre: son resúmenes de información pública con una valoración subjetiva de la gravedad, no asesoramiento legal ni sobre un incidente concreto, y las reivindicaciones de los atacantes son solo reivindicaciones hasta que la víctima o un investigador las confirman. Comprueba la fuente primaria antes de actuar.
Preguntas frecuentes
Preguntas frecuentes
¿Cuáles fueron los mayores ciberataques de agosto de 2026?
Los casos más destacados del mes fueron el zero-day de BeyondTrust Remote Support (CVE-2026-102764), explotado por un presunto actor vinculado a China desde alrededor del 29 de agosto y divulgado y parcheado a mediados de octubre; el incidente de McKesson comunicado el 28 de agosto, en el que ShinyHunters reivindicó unos 284 millones de registros (la empresa confirmó un acceso no autorizado a aplicaciones de terceros, pero no esa cifra); y la brecha de Manchester Airports Group, que afecta a unos 8,7 millones de clientes de los aeropuertos de Manchester, Stansted y East Midlands. El ransomware alcanzó un volumen mensual récord, y las campañas de ingeniería social provocaron brechas en Apollo Global Management, RingCentral y Carhartt. Las cifras atribuidas a grupos criminales son reivindicaciones hasta que la víctima o los investigadores las confirman.
¿El zero-day de BeyondTrust (CVE-2026-102764) fue realmente un suceso de agosto?
La explotación sí. BeyondTrust y Google Threat Intelligence Group / Mandiant consideran que un presunto actor de espionaje vinculado a China (ARMORY CASTLE, antes rastreado como UNC5221) empezó a explotar el fallo de Remote Support alrededor del 29 de agosto de 2026 contra una instancia alojada y un appliance autoalojado. La divulgación pública, el aviso BT26-05, el parche y la inclusión en el catálogo de vulnerabilidades explotadas conocidas de CISA llegaron todos a mediados de octubre de 2026. Así que la vulnerabilidad es una historia de explotación de finales de agosto con una divulgación en octubre, que es justo por lo que «parcheado» y «seguro» no son lo mismo en los appliances perimetrales.
¿Cuántas personas se vieron afectadas por la brecha de McKesson?
No está confirmado. McKesson comunicó en un Form 8-K ante la SEC el 28 de agosto de 2026 que había descubierto el 25 de agosto un incidente con acceso no autorizado a aplicaciones de terceros y exfiltración de datos, y dijo que no había determinado que el incidente fuera material. El grupo ShinyHunters reivindicó por su parte unos 284 millones de registros, pero ha dicho que es un recuento bruto de registros, no de personas únicas, y McKesson no ha confirmado la reivindicación ni ninguna cifra de rescate. Trata la cifra de 284 millones como una reivindicación del atacante sin verificar.
¿Qué deberían hacer de verdad los responsables de seguridad tras un mes así?
Destacan tres cosas. Primero, trata los appliances perimetrales y de acceso remoto (BeyondTrust, SonicWall, N-central, Citrix NetScaler, Zimbra) como objetivos prioritarios de parcheo y monitoreo: varios zero-days de agosto se explotaron antes de su divulgación. Segundo, refuérzate contra la ingeniería social al servicio de asistencia y el phishing por voz, que provocaron los incidentes de McKesson, Apollo y RingCentral; añade la verificación mediante devolución de llamada y endurece los controles de sesión del proveedor de identidad y del SaaS. Tercero, inventaría tus terceros y tus almacenes de datos SaaS: una gran parte de las exposiciones de agosto llegó a través de un proveedor, un socio logístico o una plataforma en la nube, no de los sistemas centrales de la empresa del titular.
¿Cómo decidisteis qué incidentes incluir y su gravedad?
Dimos prioridad a los incidentes fechados en agosto de 2026 sobre los que había información de la organización afectada, de un organismo público o de varios medios independientes, y etiquetamos cada uno como Confirmado, Reivindicado (una afirmación de un atacante) o Informado (descrito por medios pero no confirmado del todo). La cifra de gravedad de 1 a 10 es una valoración editorial y subjetiva del radio de impacto, la sensibilidad de los datos y el impacto sistémico; no es una puntuación CVSS y no debe compararse con una. Algunas cifras, sobre todo los recuentos de víctimas de los sitios de filtraciones, siguen sin verificar; lo señalamos en lugar de repetirlas como hechos. Comprueba siempre la fuente primaria antes de actuar.