Brechas de datos y ciberataques de febrero de 2026: resumen

Febrero de 2026 se definió menos por el malware novedoso que por las vulnerabilidades explotadas activamente y las identidades robadas. Microsoft publicó seis zero-days que ya se estaban atacando, los appliances de acceso remoto y de gestión de dispositivos móviles de BeyondTrust e Ivanti se volvieron contra las organizaciones que los usaban, un grupo de ransomware cerró en todo el estado las clínicas de un sistema sanitario estadounidense entero y el grupo de extorsión ShinyHunters siguió entrando en grandes conjuntos de datos de consumidores a base de phishing por voz. Es un resumen independiente y con fuentes: cada cifra está referenciada, cada caso se marca como confirmado, informado o reivindicado y lleva una lección defensiva. PlayCISO es independiente y no está afiliado a ninguna de las organizaciones mencionadas; esto es información general, no un comentario sobre la conducta de ninguna parte concreta.

Método, y una nota sobre las puntuaciones de gravedad

Contrastamos cada caso con la información primaria, los avisos de los fabricantes y el catálogo Known Exploited Vulnerabilities de CISA, corregimos las cifras cuando las fuentes no coincidían y etiquetamos todo lo que no pudimos sostener del todo. Cuando un caso solo aparecía en un agregador, lo marcamos como Informado en lugar de confirmado; cuando una cifra se basa solo en la declaración del propio actor de amenazas, lo marcamos como Reivindicado.

La gravedad editorial que acompaña a cada entrada es una lectura subjetiva de PlayCISO sobre diez: cuánto creemos que debería importarle a un responsable de seguridad, según la escala, la sensibilidad y lo accionable que sea la solución. No es CVSS, ni EPSS, ni ningún estándar reconocido; úsala solo como una señal relativa rápida. Varias de las cifras más repetidas este mes son reivindicaciones no verificadas, no hechos confirmados, y lo indicamos donde corresponde.

Confirmado: vulnerabilidades explotadas activamente

• Patch Tuesday de febrero de Microsoft: seis zero-days bajo ataque activo. La actualización de Microsoft del 10 de febrero corrigió 58 CVE, seis de ellos ya explotados: una omisión de una función de seguridad de Windows Shell (CVE-2026-21510), una omisión de un control de MSHTML / Internet Explorer (CVE-2026-21513), una omisión de la mitigación OLE de Microsoft Word (CVE-2026-21514), una escalada de privilegios en Desktop Window Manager (CVE-2026-21519), una denegación de servicio en Remote Access Connection Manager (CVE-2026-21525) y una escalada de privilegios a SYSTEM en Remote Desktop Services (CVE-2026-21533). Tres se habían divulgado públicamente antes del parche. Estado: Confirmado. Gravedad editorial: 7/10. Lección: prioriza por «explotado activamente» y parchea primero esos seis; las omisiones de Office y de Shell encajan de forma natural con el phishing.
• BeyondTrust Remote Support / Privileged Remote Access (CVE-2026-1731). Un fallo de ejecución remota de código sin autenticación (una inyección de comandos del sistema operativo provocada por peticiones de cliente manipuladas) en Remote Support 25.3.1 y anteriores y en Privileged Remote Access 24.3.4 y anteriores. BeyondTrust lo divulgó el 6 de febrero y más tarde dijo que se había detectado explotación ya el 31 de enero, lo que lo convierte en un auténtico zero-day; CISA lo añadió al catálogo KEV el 13 de febrero con un plazo federal de parcheo de tres días, y después activó el indicador de «usado en ransomware». Los investigadores contaron unas 11.000 instancias expuestas, la mayoría locales. Estado: Confirmado. Gravedad editorial: 8/10. Lección: parchea o retira ya los appliances de Remote Support expuestos y busca herramientas de post-explotación: un parche no expulsa a un atacante que ya está dentro.
• Zero-days de Ivanti Endpoint Manager Mobile (CVE-2026-1281 / CVE-2026-1340). Dos fallos de inyección de código, ambos con CVSS 9,8, explotados antes de que Ivanti los parcheara hacia el 29 de enero. Se usaron para atacar la infraestructura de gestión de dispositivos móviles de la Comisión Europea (la Comisión dijo que detectó indicios el 30 de enero y contuvo el incidente en unas nueve horas) y organismos públicos neerlandeses, entre ellos la Autoridad Neerlandesa de Protección de Datos y el Consejo del Poder Judicial, exponiendo datos de contacto laborales de empleados. CISA añadió uno de los fallos al KEV, y Canadá y Singapur emitieron alertas. Estado: Confirmado. Gravedad editorial: 8/10. Lección: la gestión de dispositivos móviles es un objetivo de primer orden, porque guarda la confianza de los dispositivos de toda tu flota. Parchea EPMM y revisa si hay compromiso desde finales de enero.
• Escape del sandbox de VMware ESXi (CVE-2025-22225), ya usado en ransomware. CISA actualizó la entrada del KEV el 4 de febrero para marcar este fallo de escritura arbitraria / escape del sandbox VMX (que Broadcom parcheó en marzo de 2025) como usado en campañas de ransomware. La explotación requiere privilegios previos en una máquina virtual invitada, algo que los operadores de ransomware encadenan tras el acceso inicial para llegar al anfitrión del hipervisor. Estado: Confirmado. Gravedad editorial: 7/10. Lección: si tus anfitriones ESXi siguen sin parchear un año después, cierra esa brecha: el acceso al anfitrión convierte una máquina virtual comprometida en todas.

Confirmado: espionaje y actores estatales

Las cuatro operadoras de Singapur, atacadas por UNC3886. El 9 de febrero, la Cyber Security Agency de Singapur atribuyó una campaña de espionaje de meses contra los cuatro grandes operadores (Singtel, StarHub, M1 y SIMBA) al grupo vinculado a China UNC3886. Los atacantes usaron herramientas avanzadas, entre ellas al menos un zero-day para eludir un firewall, y rootkits para la persistencia, y exfiltraron pequeñas cantidades de datos técnicos de configuración de red. Las autoridades dijeron que los servicios no se interrumpieron y que no se sustrajeron datos de clientes ni datos personales, y describieron la «Operation Cyber Guardian» como la mayor respuesta coordinada del país, con más de 100 defensores de seis agencias que dedicaron más de once meses a expulsar a los intrusos. Estado: Confirmado. Gravedad editorial: 7/10. Lección: los equipos perimetrales y de virtualización son la puerta de entrada característica de UNC3886. Parchéalos, monitorízalos y da por hecho que los actores de espionaje tienen la paciencia de quedarse quietos un año.

Confirmado: grandes brechas y ransomware

• University of Mississippi Medical Center: cierre de clínicas en todo el estado. UMMC confirmó el 19 de febrero un ataque de ransomware que paralizó su red informática y su historia clínica electrónica EPIC, y obligó a cerrar sus unas 35 clínicas en todo el estado y a cancelar procedimientos programados, incluidos algunos tratamientos oncológicos; los hospitales y las urgencias siguieron abiertos. Trabajó con el FBI y reabrió las clínicas el 2 de marzo tras más de una semana sin servicio. Aún se estaba evaluando si se sustrajeron datos de pacientes. Estado: Confirmado. Gravedad editorial: 8/10. Lección: el ransomware en sanidad es un problema de seguridad del paciente, no solo de TI. Ensaya las operaciones prolongadas sin historia clínica electrónica antes de necesitarlas.
• El registro nacional de cuentas bancarias de Francia (FICOBA): unos 1,2 millones de registros. El Ministerio de Economía y Finanzas de Francia comunicó el 19 de febrero que un intruso usó las credenciales robadas de un funcionario autorizado para acceder a FICOBA a finales de enero y mantuvo el acceso varios días, exponiendo datos vinculados a unas 1,2 millones de cuentas: IBAN, nombres de los titulares, direcciones y, en algunos casos, identificadores fiscales (el registro no contiene saldos ni movimientos). Estado: Confirmado. Gravedad editorial: 7/10. Lección: una sola credencial válida contra un registro central es un incidente a escala nacional. La MFA resistente al phishing y una monitorización estrecha del acceso privilegiado a las bases de datos no son negociables.
• CarGurus: unos 12,4 millones de usuarios (ShinyHunters). Tras un compromiso inicial hacia el 13 de febrero, el grupo ShinyHunters filtró el 21 de febrero un archivo de 6,1 GB con unos 12,4 millones de registros (nombres, correos electrónicos, teléfonos, direcciones y resultados de solicitudes de financiación de vehículos), publicado tras fracasar un intento de extorsión. La información vincula la intrusión al phishing por voz de códigos de inicio de sesión único. CarGurus dijo que contuvo el entorno y que no vio indicios de que se comprometieran sus feeds para concesionarios, sus API públicas ni sus productos principales. Estado: Confirmado (brecha); atribución a ShinyHunters. Gravedad editorial: 7/10. Lección: el vishing contra el SSO hace inútil la fortaleza de las contraseñas. Forma al personal y blinda los procesos del servicio de asistencia y del restablecimiento de la MFA.
• Figure Technology Solutions: unos 967.000 clientes (ShinyHunters). La entidad de préstamos fintech confirmó que un empleado fue víctima de ingeniería social (los atacantes se hicieron pasar por el soporte de TI para obtener credenciales de SSO y códigos de MFA), lo que les permitió llevarse un conjunto limitado de archivos. Have I Been Pwned contó unos 967.200 correos electrónicos únicos; los datos expuestos incluían nombres, fechas de nacimiento, direcciones y teléfonos, y Figure afirmó que no se accedió a números de la seguridad social, detalles de préstamos ni fondos. ShinyHunters filtró unos 2,5 GB después de que Figure se negara a pagar, y lo presentó como parte de una campaña más amplia contra el SSO de Okta. Se detectó hacia el 28 de enero y se comunicó a finales de febrero. Estado: Confirmado (brecha); atribución a ShinyHunters. Gravedad editorial: 6/10. Lección: el mismo manual de vishing que en CarGurus: un empleado engañado, una sesión de SSO, un millón de registros.
• Advantest: intrusión de ransomware comunicada. La japonesa fabricante de equipos de prueba de chips semiconductores anunció el 19 de febrero que estaba respondiendo a un incidente de ransomware que podía haber afectado a determinados sistemas, y los aisló durante la investigación; en el momento de la comunicación no se había confirmado robo de datos. (Una notificación posterior, del 6 de octubre de 2026, confirmó que sí se robaron datos personales: un recordatorio de que el alcance completo de un incidente de febrero puede tardar meses en salir a la luz.) Estado: Confirmado. Gravedad editorial: 6/10. Lección: el «todavía no hay robo de datos confirmado» de la comunicación inicial suele convertirse meses después en «se robaron datos». Planifica la comunicación para un recorrido largo.

Informado: una sola fuente, aún por consolidar

• Odido (Países Bajos): 6,2 millones de clientes. Se informó de que el operador móvil neerlandés sufrió un acceso no autorizado a un sistema de contacto con clientes hacia el 12 de febrero, que expuso información personal de unos 6,2 millones de clientes, sin afectar, según se dijo, a los servicios principales. Lo vimos sobre todo en resúmenes de otros medios, así que lo marcamos como informado y no como confirmado de forma independiente. Estado: Informado. Gravedad editorial: 6/10. Lección: las bases de datos de contacto de las operadoras son combustible de primera para el phishing: avisa a los clientes de forma proactiva.
• Coinbase: abuso interno de las herramientas de soporte. La información describió a empleados manipulados o sobornados para hacer un mal uso de las herramientas internas de atención al cliente, exponiendo una cantidad limitada de datos de cuentas: un problema de ingeniería social y de riesgo interno, no un hackeo del sistema. Estado: Informado. Gravedad editorial: 5/10. Lección: las consolas de soporte privilegiadas necesitan la misma monitorización, el mismo mínimo privilegio y el mismo doble control que das a los sistemas de producción.

Reivindicado: trátalo como marketing del actor de amenazas

• Iron Mountain / Everest (reivindicación de 1,4 TB). El grupo de extorsión Everest incluyó a Iron Mountain en su lista a principios de febrero reivindicando unos 1,4 TB de datos robados; Iron Mountain describió el incidente como contenido y limitado, y no se publicaron muestras que respaldaran el volumen. Estado: Reivindicado (volumen sin verificar). Gravedad editorial: 5/10. Lección: aparecer en un sitio de filtraciones es una táctica de presión, no una prueba: verifica antes de repetir una cifra.
• Panera Bread (ShinyHunters, unos 5,1 millones). Se informó de que se publicó información de contacto tras un intento de extorsión fallido, con una cifra de unas 5,1 millones de cuentas, notablemente inferior a una reivindicación anterior de 14 millones, lo que ya es en sí una advertencia sobre fiarse de la primera cifra que ves. Estado: Reivindicado / informado en parte. Gravedad editorial: 5/10. Lección: los primeros recuentos de una brecha suelen encogerse o crecer: espera a la cifra corroborada.

¿Está la IA haciendo ya el hackeo?

La pregunta suena más fuerte cada mes, así que conviene mantener la disciplina. El hito claramente documentado sigue siendo el informe de Anthropic de noviembre de 2025 según el cual un grupo vinculado a China usó su herramienta Claude Code para dirigir una campaña de espionaje en gran parte automatizada, en la que el modelo realizó entre un 80 y un 90 % estimado de las operaciones tácticas, aunque también se inventó datos y exageró sus éxitos, de modo que las personas tuvieron que seguir validando. Para febrero de 2026, algunos resúmenes recogieron afirmaciones de automatización asistida por IA generativa en una campaña contra las interfaces de gestión de FortiGate, y otra más vaga de que se abusó de un modelo para orquestar una intrusión en sistemas del Gobierno de México; nos parecieron de una sola fuente y no corroboradas por información primaria, así que las marcamos como no verificadas en lugar de presentarlas como hechos. Lo que este mes no deja lugar a dudas es la mezcla de personas y automatización que causó de verdad el daño: el phishing por voz a escala de ShinyHunters contra los proveedores de inicio de sesión único es la historia de febrero y, sea un script o un modelo quien impulse la próxima oleada, la respuesta defensiva es la misma: MFA resistente al phishing, mínimo privilegio en las identidades y un control estricto de los procesos de restablecimiento del servicio de asistencia.

Qué hacer esta semana

• Parchea primero los fallos explotados (los seis zero-days de febrero de Microsoft, BeyondTrust CVE-2026-1731, Ivanti EPMM CVE-2026-1281 / CVE-2026-1340 y VMware ESXi CVE-2025-22225), con prioridad para todo lo expuesto a internet, y busca explotación previa en los appliances de acceso remoto y de gestión de dispositivos móviles.
• Refuerza la identidad. Las mayores brechas del mes empezaron con una credencial robada o conseguida con phishing; impón MFA resistente al phishing y entrena tus procesos del servicio de asistencia y de restablecimiento del SSO contra el phishing por voz.
• Blinda las identidades privilegiadas y de aplicación con mínimo privilegio y monitorización: los incidentes de FICOBA y Coinbase giraron en torno al mal uso de un acceso legítimo.
• Trata el acceso de proveedores y de SaaS como riesgo dentro del alcance. Inventaría a qué puede llegar cada tercero y puntúalos con nuestro Vendor Risk Scorecard.
• Construye por capas para que una credencial comprometida no lo sea todo (consulta defensa en profundidad), entiende cómo los datos de contacto expuestos se convierten en el siguiente ataque en qué es de verdad la fuga de datos y pon una cifra defendible a la exposición con la calculadora del coste de una brecha. Ensaya los escenarios de caída sanitaria y de extorsión en la Cyber War Room antes de que sean un martes real.

Siguiente de la serie: nuestro resumen de octubre de 2026 cubre los fallos de PHP2Shell, el envenenamiento de LiteLLM y el compromiso de ConnectWise Cloud Backup con la misma disciplina de confirmado frente a reivindicado.

Preguntas frecuentes

¿Los mayores ataques de febrero de 2026? Los seis zero-days de Microsoft explotados activamente, los fallos de BeyondTrust (CVE-2026-1731) e Ivanti EPMM (CVE-2026-1281 / CVE-2026-1340) y el aviso de ransomware sobre VMware ESXi; además de las brechas en el University of Mississippi Medical Center, el registro FICOBA de Francia, CarGurus, Figure y Advantest, y la campaña de espionaje de UNC3886 contra las operadoras de Singapur.

¿Cómo se decidieron las puntuaciones de gravedad? Son una lectura subjetiva de PlayCISO sobre diez, no un CVSS ni ningún estándar. Úsalas solo como señal relativa.

¿Vulnerabilidades o brechas? Ambas, y unidas por la identidad: la mayoría de las grandes intrusiones empezaron con una credencial válida o con un appliance perimetral o de gestión explotado, no con malware en una bandeja de entrada.

¿Eran reales las cifras de los grupos? Trátalas como marketing sin verificar hasta que se corroboren: la cifra de 1,4 TB de Everest sobre Iron Mountain no se sostuvo, mientras que los recuentos de ShinyHunters sobre CarGurus y Figure estaban respaldados por los archivos filtrados y por Have I Been Pwned.

¿Qué hacer primero? Parchea los fallos explotados, refuerza la MFA y el SSO contra el phishing por voz, blinda las identidades privilegiadas y trata el acceso de los proveedores como riesgo dentro del alcance.