Brechas de datos y ciberataques de junio de 2026: resumen

Junio de 2026 fue un mes de robo de datos basado en la identidad y de compromisos de la cadena de suministro de software mucho más que de ransomware clásico. Un zero-day crítico de Oracle PeopleSoft provocó una brecha masiva en universidades, Microsoft publicó el mayor Patch Tuesday de su historia con un fallo de Defender explotado activamente dentro, un gusano ladrón de credenciales envenenó decenas de versiones de npm de Red Hat, y hubo grandes brechas en iRhythm, Novo Nordisk, Tata Electronics y Kodak. Este es un resumen independiente y atribuido: cada cifra tiene fuente y cada caso está marcado como confirmado, afirmado o reportado, con una conclusión defensiva. PlayCISO es independiente y no tiene relación con ninguna de las organizaciones citadas; esto es información general, no un comentario sobre la conducta de ninguna parte concreta.

Método, y una nota sobre las puntuaciones de severidad

Comprobamos cada caso con las fuentes primarias, las declaraciones de los fabricantes y los avisos de CISA, corregimos las atribuciones cuando las fuentes discrepaban y señalamos todo lo que se basaba solo en la palabra de un atacante. Dos correcciones que merece la pena destacar: algunos rastreadores atribuyeron las intrusiones en Novo Nordisk y Tata Electronics a «Hunters International», pero las fuentes primarias nombran respectivamente a FulcrumSec y a World Leaks; y las interrupciones de los bancos iraníes de mediados de junio se achacaron ampliamente a Predatory Sparrow, lo que en realidad corresponde al ataque de ese grupo contra Bank Sepah de junio de 2025, no a una reivindicación confirmada de 2026.

La severidad editorial junto a cada entrada es una lectura subjetiva de PlayCISO sobre diez: cuánto creemos que debería importarle a un responsable de seguridad, según la escala, la sensibilidad y lo accionable que es la corrección. No es CVSS, ni EPSS, ni ningún estándar reconocido; úsala solo como una señal relativa rápida. Varias de las cifras más llamativas de este mes son afirmaciones no verificadas de actores de amenazas, no hechos confirmados.

Confirmado: vulnerabilidades explotadas activamente y parches

Zero-day de Oracle PeopleSoft (CVE-2026-35273). Estado: confirmado. Severidad editorial: 9/10. Un fallo de falta de autenticación en PeopleSoft PeopleTools (el componente Environment Management que hay detrás del hub PSEMHUB, que afecta a las versiones 8.61 y 8.62), con una puntuación CVSS de 9,8 y explotable por red sin credenciales. Mandiant, de Google, atribuye la explotación, aproximadamente entre el 27 de mayo y el 9 de junio, al grupo de extorsión ShinyHunters (seguido como UNC6240), y los informes cifran el impacto en más de 300 instancias en más de 100 organizaciones, con las universidades como las más afectadas; la University of Nottingham fue de las primeras en confirmarlo. Oracle publicó un aviso fuera de ciclo el 10 de junio, cuando la explotación ya había empezado. Conclusión: inventaría todas las instancias de PeopleSoft accesibles desde internet, aplica las mitigaciones y los parches de Oracle y busca indicios de explotación previa: un aviso fuera de ciclo significa que los atacantes ya estaban dentro.

Patch Tuesday de junio de Microsoft: una cosecha récord con un fallo de Defender explotado. Estado: confirmado. Severidad editorial: 7/10. La actualización del 9 de junio de Microsoft fue la mayor de su historia, cifrada en unas 206 CVE, aunque Tenable contó 198, así que las fuentes discrepan sobre el total, e incluía CVE-2026-41091, un fallo de elevación de privilegios de Microsoft Defender explotado en la práctica y corregido a través de las actualizaciones automáticas de Defender. (Otro fallo, muy publicitado y apodado «RoguePlanet», CVE-2026-50656, se divulgó más adelante en el mes en medio de una disputa con un investigador y se parcheó en julio: no formaba parte de esta publicación.) Conclusión: no intentes tragarte más de 200 correcciones de golpe; ordena por «explotado activamente / prueba de concepto pública», confirma que el motor de Defender se actualizó y parchea primero el fallo explotado.

• SimpleHelp (CVE-2026-48558). Un fallo de omisión de autenticación con CVSS 10.0 en la herramienta de soporte remoto SimpleHelp, añadido al catálogo KEV de CISA y vinculado al uso activo por parte del malware seguido como TaskWeaver y Djinn Stealer. Estado: confirmado. Severidad editorial: 8/10. Conclusión: las herramientas de acceso remoto y RMM son uno de los principales puntos de entrada del ransomware; parchéalas y restríngelas a redes de gestión conocidas.
• Ivanti Sentry (CVE-2026-10520) y Check Point Security Gateway (CVE-2026-50751). Ambos entraron en el KEV de CISA en junio: un fallo de inyección de comandos del sistema operativo en Ivanti Sentry con CVSS 10.0 y un fallo de autenticación en la pasarela de Check Point (CVSS 9.3) vinculado a la explotación por parte de la operación de ransomware Qilin. Por otra parte, se informó de que el servicio de seguridad del Estado de Bélgica sufrió una brecha a través de un fallo de Ivanti, con sospechas sobre actores vinculados a China. Estado: confirmado (KEV). Severidad editorial: 8/10. Conclusión: los dispositivos perimetrales y de VPN siguen siendo el perímetro que más codician los atacantes; parchea el primer día y vigila la actividad posterior a la explotación.
• 23 vulnerabilidades añadidas al KEV de CISA en junio. Además de las anteriores, las incorporaciones con explotación confirmada abarcaron Splunk Enterprise, tres fallos de Ubiquiti UniFi OS con CVSS 10.0, Cisco SD-WAN Manager, el motor V8 de Google Chrome y PTC Windchill. Estado: confirmado. Severidad editorial: 7/10. Conclusión: el catálogo KEV es tu cola de parcheo gratuita y basada en evidencias.

Confirmado: compromisos de la cadena de suministro

• Paquetes npm de Red Hat: un gusano al estilo Shai-Hulud. El 1 de junio, Wiz encontró decenas de versiones de paquetes bajo el espacio de nombres npm @redhat-cloud-services infectadas con un ladrón de credenciales autopropagable (una variante «Mini Shai-Hulud» cuyo código fuente se había publicado abiertamente). Wiz contó al menos 32 versiones (Socket dio una cifra mayor), descargadas unas 80.000 veces por semana; la carga se ejecutaba mediante hooks preinstall de npm y recolectaba secretos de GitHub, AWS, GCP, Azure, Kubernetes y Vault. La intrusión se remontó a una cuenta de GitHub comprometida de un empleado. Red Hat retiró los paquetes y dijo que eran herramientas internas nunca destinadas a clientes, sin impacto conocido en producción. Estado: confirmado. Severidad editorial: 7/10. Conclusión: instalar es ejecutar código; fija las dependencias y verifica sus hashes, descarga desde un registro interno revisado y acota estrictamente los tokens de CI.
• Inyección de comandos en LiteLLM (CVE-2026-42271). Un fallo de inyección de comandos en la muy usada pasarela LiteLLM se añadió al KEV de CISA como explotado activamente: un recordatorio de que la propia cadena de herramientas de IA es ahora un objetivo, no solo una herramienta. Estado: confirmado (KEV). Severidad editorial: 6/10. Conclusión: trata las pasarelas y los proxies de IA como infraestructura sensible, cercana a las credenciales, y mantenlos parcheados y con la salida de red restringida.

Confirmado: grandes brechas de datos

iRhythm Technologies: unos 8,18 millones de personas. Estado: confirmado (recuento según los documentos presentados ante fiscales generales estatales; la empresa no ha confirmado el total). Severidad editorial: 8/10. El fabricante de monitores cardíacos detectó el 8 de junio un acceso no autorizado a aplicaciones de negocio en una plataforma de un tercero, un extorsionador se puso en contacto con él el 9 de junio y reveló un incidente material en un 8-K ante la SEC el 18 de junio; empezó a notificar a las personas en octubre. El fiscal general de Oregón cifra los afectados en 8.179.772; los datos robados incluyen nombres, datos de contacto, fechas de nacimiento, números de seguro, números de serie de dispositivos y fechas de servicio. Conclusión: los datos de salud y de dispositivos conllevan un riesgo de identidad a largo plazo; aplica MFA en cualquier plataforma de transferencia de datos y trata el alojamiento de aplicaciones de terceros como parte del alcance.

Novo Nordisk: intrusión confirmada, afirmación de un terabyte. Estado: intrusión confirmada; volumen de datos afirmado. Severidad editorial: 7/10. La farmacéutica reveló el 11 de junio que los atacantes llegaron a un número limitado de sistemas internos que contenían algunos datos personales. Un grupo que se hace llamar FulcrumSec afirmó haberse llevado más de un terabyte y exigió 25 millones de dólares; un segundo grupo, TheUSERS007, habría exigido 50 millones. Novo no pagó y dijo que los datos de ensayos clínicos implicados estaban seudonimizados, por lo que no considera identificables a los participantes. Conclusión: no confirmes en tus propias comunicaciones las cifras de alcance de un atacante hasta haberlas verificado; la seudonimización de los datos de investigación limita de forma demostrable el radio de impacto.

• Tata Electronics: ~630 GB afirmados (archivos de Apple y Tesla). El proveedor de Apple y Tesla confirmó un incidente de ciberseguridad después de que World Leaks publicara, el 12 de junio, más de 200.000 supuestos archivos que suman unos 630 GB, que incluirían detalles de ingeniería del iPhone 18 Pro y documentos de componentes de Tesla. Los revisores de Reuters no pudieron autenticar de inmediato los archivos; Apple dijo que lo estaba investigando; Tata dijo que las operaciones no se vieron afectadas. Estado: intrusión confirmada; afirmaciones sobre los datos sin verificar. Severidad editorial: 7/10. Conclusión: las brechas de tus proveedores se convierten en filtraciones de tu propiedad intelectual; extiende la monitorización y los requisitos contractuales de seguridad a lo largo de la cadena de fabricación.
• Eastman Kodak: 2,2 millones de registros afirmados. Kodak confirmó que un tercero no autorizado accedió temporalmente a una cantidad limitada de datos de la empresa; ShinyHunters afirmó tener 2,2 millones de registros con PII de clientes y fijó un plazo de filtración para el 18 de junio, pero no publicó ninguna muestra que respaldara la cifra. Estado: intrusión (limitada) confirmada; 2,2 M afirmados (sin verificar). Severidad editorial: 5/10. Conclusión: una brecha confirmada pero limitada y una afirmación de siete cifras de un atacante son dos hechos distintos; mantén la separación entre ellos en tus comunicaciones.
• GrayRobinson (bufete de abogados de EE. UU.): más de 65.000 personas. Se informó de que al bufete le robaron información personal y de salud que afecta a más de 65.000 personas. Estado: reportado. Severidad editorial: 5/10. Conclusión: las empresas de servicios profesionales concentran datos sensibles de clientes; trátalas como objetivos y proveedores de alto valor.

Afirmado, en desarrollo y actores estatales

• Bancos iraníes: interrupción de tarjetas y banca a mediados de junio. Varias entidades iraníes, entre ellas Bank Melli, Bank Saderat, Bank Tejarat y el Export Development Bank of Iran, sufrieron interrupciones en los pagos con tarjeta, la banca en línea y los cajeros automáticos durante una misma semana a partir del 14 de junio aproximadamente; las autoridades dijeron que no se comprometieron datos de clientes. La atribución no está resuelta: se nombró ampliamente al grupo proisraelí Predatory Sparrow, pero un académico de ciberseguridad dijo que el ataque no encajaba con el patrón de ese grupo, y un grupo antigubernamental llamado Black Wolves reivindicó la autoría. Estado: interrupción confirmada; atribución disputada. Severidad editorial: 6/10. Conclusión: resiste la tentación de asignar un actor conocido solo por el patrón; las atribuciones tempranas suelen equivocarse.
• Framework de IA Mastra: vínculo reportado con Corea del Norte. Varias informaciones vincularon un compromiso de la cadena de suministro del framework de agentes de IA Mastra con actores alineados con Corea del Norte. Estado: reportado (fuentes secundarias; trata la atribución con cautela). Severidad editorial: 5/10. Conclusión: los frameworks de IA están ahora en el mismo modelo de amenazas que cualquier otra dependencia.
• Recopilación de «24.000 millones de credenciales». Circuló el aviso de un investigador sobre un conjunto recopilado de decenas de miles de millones de credenciales. Estas recopilaciones casi siempre son recicladas de brechas anteriores y de listas de credential stuffing, no prueba de una nueva brecha masiva. Estado: reportado / reciclado. Severidad editorial: 4/10. Conclusión: la defensa no cambia: la MFA resistente al phishing y no reutilizar contraseñas neutralizan las credenciales recicladas.

Qué hacer esta semana

• Parchea primero el software empresarial expuesto a internet. Mitiga y parchea Oracle PeopleSoft (CVE-2026-35273), aplica las actualizaciones de junio de Microsoft, incluida la corrección de Defender explotada, y trabaja las incorporaciones al KEV de CISA (SimpleHelp, Ivanti Sentry, Check Point, Splunk, Cisco, Ubiquiti) según tu propia exposición.
• Endurece la cadena de suministro de software. Fija las dependencias de npm y PyPI y verifica sus hashes, descarga desde un registro interno revisado, acota los tokens de CI/CD y busca rastros del gusano de los paquetes de Red Hat y del fallo de LiteLLM.
• Cierra las identidades y los tokens OAuth (el punto de entrada recurrente este mes) con mínimo privilegio, caducidad corta y un nuevo consentimiento periódico.
• Trata el SaaS y los proveedores como riesgo de terceros dentro del alcance. Inventaría lo que guarda cada plataforma y puntúalo con nuestro Vendor Risk Scorecard, y entiende cómo se propaga una filtración con nuestra introducción a la fuga de datos.
• Construye por capas para que una credencial comprometida no sea el fin de la partida (consulta la defensa en profundidad) y pon una cifra defendible a la exposición con la calculadora del coste de una brecha y nuestra explicación de lo que cuesta de verdad una brecha de datos.

Preguntas frecuentes

¿Los mayores ataques de junio de 2026? El zero-day de Oracle PeopleSoft (CVE-2026-35273) que ShinyHunters usó contra más de 100 organizaciones, el Patch Tuesday récord de Microsoft con ~206 CVE y un fallo de Defender explotado, y el gusano de la cadena de suministro de npm de Red Hat; además de las brechas de iRhythm, Novo Nordisk, Tata Electronics y Kodak.

¿Cómo se decidieron las puntuaciones de severidad? Una lectura subjetiva de PlayCISO sobre diez, no CVSS ni ningún estándar. Úsala solo como señal relativa.

¿Eran reales las cifras de los actores de amenazas? Trátalas como marketing no verificado: la cifra de 2,2 M de Kodak de ShinyHunters, la de 630 GB de Tata de World Leaks y la afirmación de un terabyte de Novo Nordisk de FulcrumSec no las confirmaron las empresas.

¿Hubo IA de por medio? La cadena de herramientas de IA fue sobre todo un objetivo (un fallo de inyección de comandos de LiteLLM explotado y un compromiso reportado del framework Mastra), no un atacante autónomo. Trata con cautela el enfoque de «la IA hizo el hackeo».

¿Qué hacer primero? Parchear PeopleSoft y los elementos de Microsoft y del KEV de junio, endurecer las dependencias de npm/PyPI, cerrar las identidades de aplicaciones OAuth y tratar el SaaS y los proveedores como riesgo de terceros dentro del alcance. Para la siguiente entrega de esta serie, consulta nuestro resumen de octubre de 2026.