Brechas de datos y ciberataques de mayo de 2026: resumen

Mayo de 2026 fue un mes de extorsión basada en la identidad y compromiso de la cadena de suministro de software mucho más que de intrusiones de red clásicas. El grupo ShinyHunters dominó los titulares, desde la extorsión a la plataforma educativa Canvas/Instructure hasta las revelaciones de robo de datos en Carnival y Charter/Spectrum, mientras un gusano de cadena de suministro de npm de rápida propagación llegaba a OpenAI, se abusaba de certificados de firma de código de DigiCert para firmar malware y CNN informaba de una presunta intrusión iraní en los medidores de tanques de gasolineras de EE. UU. Es un resumen independiente y atribuido: cada cifra tiene fuente, cada caso está marcado como confirmado, afirmado o informado y lleva una lección defensiva. PlayCISO es independiente y no está afiliado a ninguna de las organizaciones mencionadas; esto es información general, no un comentario sobre la conducta de ninguna parte concreta.

Método, y una nota sobre las puntuaciones de gravedad

Contrastamos cada caso con la información primaria y las declaraciones de los fabricantes, corregimos las cifras cuando las fuentes no coincidían y señalamos todo lo que no pudimos sostener. Cuando una cifra procede de la publicación de un atacante en su sitio de filtraciones y no de la organización afectada (como el número de usuarios de Canvas o el volumen de datos de Foxconn), lo decimos explícitamente y la tratamos como una afirmación. Algunos incidentes de este mes empezaron con una intrusión en abril y se hicieron públicos, o se agravaron, en mayo; los incluimos e indicamos la cronología.

La gravedad editorial junto a cada caso es una lectura subjetiva de PlayCISO sobre diez: cuánto creemos que debería importarle a un responsable de seguridad, según la escala, la sensibilidad y lo aplicable que sea la solución. No es CVSS, ni EPSS, ni ningún estándar reconocido; úsala solo como una señal relativa rápida. Varias de las cifras más llamativas de este mes son afirmaciones no verificadas de actores de amenazas, no hechos confirmados.

Confirmado: compromisos de la cadena de suministro y de la firma de código

• DigiCert: ingeniería social en el portal de soporte y abuso de certificados de firma de código. Un atacante que se hacía pasar por cliente usó el chat de soporte de DigiCert para entregar un archivo malicioso (según se informa, un salvapantallas .scr dentro de un ZIP), comprometiendo las sesiones de analistas de soporte. DigiCert dijo que tramitó y después revocó 60 pedidos de certificados EV, 27 de ellos vinculados explícitamente al actor de amenazas; según se informa, los certificados emitidos indebidamente se usaron para firmar malware. La revelación llegó a principios de mayo. Estado: Confirmado. Gravedad editorial: 8/10. Lección: el servicio de ayuda de tu autoridad de certificación forma parte de tu cadena de confianza; busca software firmado con cualquiera de los certificados revocados y trata los portales de soporte como un objetivo de ingeniería social, no como una comodidad.
• Gusano de cadena de suministro de npm de TanStack, con OpenAI entre las víctimas posteriores. El 11 de mayo, un grupo que se hace llamar TeamPCP aprovechó el proceso de publicación de paquetes de TanStack para publicar decenas de artefactos maliciosos; TanStack dijo que el atacante diseñó una ruta en la que su propio pipeline de CI filtró su token de publicación, así que no se hizo phishing directamente a ningún mantenedor. OpenAI confirmó el 14 de mayo que se vieron afectados dos dispositivos de empleados, que solo un subconjunto limitado de repositorios internos y parte del material de credenciales fueron alcanzables y que no se vieron afectados datos de clientes, sistemas de producción ni propiedad intelectual; rotó sus certificados de firma de código como precaución. Según se informa, la campaña también tocó paquetes vinculados a Mistral AI, Guardrails AI, UiPath y OpenSearch, y GitHub reveló una brecha relacionada en su entorno interno hacia el 20 de mayo. Estado: Confirmado. Gravedad editorial: 7/10. Lección: los tokens de publicación de CI/CD son una superficie de ataque de cadena de suministro real; limita su alcance, haz que caduquen rápido y audita a qué repositorios internos puede llegar el dispositivo de un solo desarrollador. Ensaya el radio de impacto con nuestra herramienta de modelado de amenazas.
• Grafana Labs: robo de su código interno y rescate rechazado. Grafana reveló que unos atacantes robaron partes de su código interno en una brecha relacionada con la cadena de suministro hacia el 17–18 de mayo e intentaron inyectar código en repositorios de clientes con un token comprometido; la empresa dijo que rechazó la demanda de rescate. Estado: Confirmado. Gravedad editorial: 6/10. Lección: el robo de código fuente es una pérdida de inteligencia, no el fin de la partida; pero rota cualquier token al que pudiera haber llegado el atacante y vigila posibles manipulaciones en los sistemas posteriores.
• Microsoft Exchange Server (CVE-2026-42897), añadido al KEV de CISA. El 15 de mayo, CISA añadió un fallo de cross-site scripting de Microsoft Exchange Server a su catálogo de Known Exploited Vulnerabilities por pruebas de explotación activa, fijando un plazo de remediación para las agencias federales. Estado: Confirmado (explotado activamente). Gravedad editorial: 7/10. Lección: Exchange local sigue siendo un objetivo predilecto; si todavía lo usas, actualiza a la última actualización acumulativa y prioriza lo que esté en el catálogo KEV por encima del CVSS en bruto.

Confirmado: grandes brechas de datos y extorsión

Instructure / Canvas (ShinyHunters): la extorsión emblemática del mes. Estado: intrusión confirmada; cifras principales afirmadas. Gravedad editorial: 9/10. Los atacantes accedieron a los sistemas de Canvas hacia el 25 de abril; Instructure detectó y contuvo el incidente, y el 7 de mayo la página de inicio de sesión de Canvas fue sustituida por un mensaje de rescate y se produjo una caída. El 11 de mayo, la empresa dijo que había llegado a un acuerdo con el atacante y que los datos robados se habían destruido, y el 13 de mayo se presentó una propuesta de demanda colectiva. Instructure confirmó que se sustrajeron nombres, direcciones de correo electrónico, números de identificación de estudiantes y mensajes, y dijo que no encontró pruebas de que se vieran afectadas contraseñas, fechas de nacimiento, documentos oficiales de identidad ni datos financieros. Las afirmaciones de ShinyHunters de unos 275 millones de usuarios, 3,65 TB y ~9.000 instituciones (y un pago de rescate del que se ha informado, con una demanda que se rumorea de 10 millones de dólares) siguen sin verificar. Lección: las plataformas educativas son ya objetivos de primer nivel por la enorme amplitud de registros de jóvenes que guardan; verifica las cifras de alcance de un atacante antes de repetirlas en tus propias comunicaciones.

• Carnival Corporation (ShinyHunters). Carnival confirmó una brecha que afecta a unos 5,99 millones de personas (su notificación en Maine indica 5.995.277), después de que un atacante usara la ingeniería social para obtener el acceso de un empleado el 14 de abril y copiar datos personales; las notificaciones empezaron el 27 de mayo. Los datos expuestos incluyen nombres, direcciones, correos electrónicos, números de teléfono, fechas de nacimiento y números de documentos oficiales de identidad; según se informa, no se incluyeron datos de tarjetas ni contraseñas. Una cifra anterior de 8,7 millones era una afirmación no verificada del atacante. Estado: Confirmado (unos 5,99 M). Gravedad editorial: 7/10. Lección: espera phishing y smishing contra los clientes afectados e informa a tus equipos de soporte.
• Charter / Spectrum (extorsión de ShinyHunters). Charter Communications reveló que se robó información de clientes bajo amenazas de extorsión, y la información publicada sitúa el impacto potencial en casi 5 millones de clientes tras un ataque de phishing por voz (vishing) contra el acceso a la identidad en la nube. Estado: Confirmado (brecha); el alcance aún se está precisando. Gravedad editorial: 6/10. Lección: el vishing contra los servicios de ayuda sigue funcionando; añade verificación mediante devolución de llamada y comprobaciones por otro canal antes de cualquier cambio de acceso.
• West Pharmaceutical Services (ransomware). El fabricante de componentes farmacéuticos detectó una intrusión hacia el 4 de mayo, presentó un 8-K ante la SEC y confirmó que se exfiltraron datos y se cifraron sistemas, lo que dejó fuera de servicio partes de su red global y perturbó la fabricación y los envíos; contrató a Unit 42 y, en el momento de escribir esto, ningún grupo había reivindicado públicamente el ataque. Estado: Confirmado. Gravedad editorial: 7/10. Lección: que un proveedor de componentes se quede a oscuras es un golpe a la cadena de suministro de sus clientes; mapea tus proveedores críticos y tus alternativas antes de que cifren a uno de ellos.
• Mediaworks (Hungría) / World Leaks. La empresa de medios húngara confirmó que unos atacantes robaron y filtraron unos 8,5 TB de datos internos (nóminas, contratos, archivos financieros y comunicaciones internas) en un incidente reivindicado por el grupo World Leaks hacia el 4 de mayo. Estado: Confirmado. Gravedad editorial: 6/10. Lección: una vez que los datos están en un sitio de filtraciones, da por hecho que es permanente; céntrate en la notificación, la exposición legal y la próxima intrusión.

Ataque confirmado, datos afirmados; además, actividad de Estados y contra infraestructuras críticas

• Foxconn / Nitrogen. Foxconn reconoció un ciberataque después de que el grupo de ransomware Nitrogen afirmara haber robado unos 8 TB de datos, incluidos archivos que, según dijo, estaban relacionados con proyectos de Apple y NVIDIA. Estado: Ataque reconocido; robo de 8 TB afirmado (sin verificar). Gravedad editorial: 6/10. Lección: la brecha de un socio de fabricación puede exponer tus propias hojas de ruta de producto; exige por contrato a tus proveedores la notificación de brechas.
• Medidores de tanques de gasolineras de EE. UU.: presunto Irán. CNN informó el 15 de mayo de que unos intrusos llegaron a sistemas de medición automática de tanques (ATG) en gasolineras de varios estados de EE. UU. (dispositivos conectados a internet sin protección por contraseña) y en algunos casos alteraron las lecturas mostradas sin cambiar los niveles reales de combustible. Las autoridades señalaron a Irán como principal sospechoso por su historial de ataques a este tipo de sistemas, aunque advirtieron de que la atribución podría no poder demostrarse; CISA no hizo comentarios públicos y el FBI declinó comentar. No se informó de daños físicos. Estado: Informado (intrusión creíble; atribución a Irán sospechada, no confirmada). Gravedad editorial: 6/10. Lección: la tecnología operativa sin autenticación en internet sigue siendo un problema real una década después de los primeros avisos; inventaría y protege con un firewall cada dispositivo expuesto a internet.
• Ingeniería social de MuddyWater (vinculado a Irán). La información publicada este mes relacionó al grupo MuddyWater, vinculado a Irán, con intrusiones mediante ingeniería social en Microsoft Teams que robaron credenciales y datos usando el ransomware Chaos como señuelo, además de una intrusión más larga en un fabricante de electrónica surcoreano. Estado: Informado. Gravedad editorial: 5/10. Lección: las herramientas de colaboración como Teams ya son un canal de phishing por derecho propio; extiende tus controles antiphishing y la formación de los usuarios más allá del correo.

Afirmado y sin verificar: trátalo como marketing de actores de amenazas

• Liberty Mutual / Everest (afirmación de 108 GB). El grupo Everest afirmó haber robado más de 108 GB de datos de asegurados; Liberty Mutual dijo que su investigación inicial no encontró pruebas de un compromiso de sus propios sistemas e indicó que el incidente podría estar relacionado con un proveedor externo. Estado: Afirmado (la empresa niega el compromiso de sus sistemas). Gravedad editorial: 5/10. Lección: aparecer en un sitio de filtraciones es una acusación, no una brecha confirmada, pero aun así merece la pena investigar la vía del tercero.

¿Está la IA haciendo ya el hackeo?

La historia de mayo más relevante para la IA no es un chatbot escribiendo exploits: son los atacantes atacando la propia cadena de herramientas de IA. El gusano de cadena de suministro de TanStack llegó a OpenAI y, según se informa, tocó paquetes vinculados a Mistral AI y Guardrails AI, lo que indica que el ecosistema de desarrollo de IA, en rápido crecimiento, hereda todas las debilidades de la fontanería de npm y CI/CD que tiene debajo. Una información aparte, de una sola fuente, describió a un grupo llamado GreyVibe que usaba asistentes de uso general para automatizar el phishing y el desarrollo de malware; lo señalamos como informado y sin verificar. La lectura honesta: la IA está acelerando y escalando claramente partes de los ataques (reconocimiento, phishing, triaje para el envenenamiento de paquetes), mientras que los titulares grandilocuentes de «la IA hizo todo el hackeo» siguen yendo por delante de las pruebas. Da más peso a las revelaciones confirmadas de los fabricantes que a las afirmaciones de los actores de amenazas, y trata tus dependencias de IA como una cadena de suministro de software corriente.

Qué hacer esta semana

• Refuerza los servicios de ayuda y los portales de soporte frente a la ingeniería social: los casos de DigiCert, Carnival y Charter giraron todos en torno a una persona a la que convencieron para conceder acceso. Añade verificación mediante devolución de llamada y comprobaciones por otro canal antes de cualquier cambio de credenciales o de acceso.
• Trata los certificados de firma de código y los tokens de publicación como joyas de la corona. Vidas cortas, un alcance de CI/CD ajustado y alertas ante firmas nuevas; audita tus dependencias en busca de los paquetes maliciosos vinculados a TanStack y rota todo lo que un pipeline pudiera haber expuesto.
• Parchea el fallo de Exchange explotado activamente (CVE-2026-42897) y prioriza el catálogo KEV de CISA por encima del CVSS en bruto.
• Inventaría la tecnología operativa expuesta a internet. Los medidores de tanques de las gasolineras recuerdan que todavía se encuentran y se abusan dispositivos sin autenticación conectados a internet: protégelos con un firewall o desconéctalos.
• Trata el SaaS y a los terceros como riesgo de proveedores dentro del alcance. Puntúalos con nuestro Vendor Risk Scorecard, construye por capas para que una identidad comprometida no sea el fin de la partida (defensa en profundidad), vigila cómo salen los datos a través de terceros (qué es la fuga de datos) y pon una cifra defendible a la exposición con la calculadora del coste de una brecha (cómo se calcula). Para automatizar las comprobaciones, consulta nuestras APIs de seguridad.

Preguntas frecuentes

¿Los mayores ataques de mayo de 2026? La extorsión de ShinyHunters a Canvas/Instructure, el gusano de cadena de suministro de TanStack que llegó a OpenAI y el abuso de firma de código de DigiCert; además de brechas confirmadas en Carnival (unos 5,99 millones de personas), Charter/Spectrum (casi 5 millones), West Pharmaceutical y Mediaworks, y una presunta intrusión iraní en los medidores de tanques de gasolineras de EE. UU.

¿Cómo se decidieron las puntuaciones de gravedad? Una lectura subjetiva de PlayCISO sobre diez, no CVSS ni ningún estándar. Úsala solo como una señal relativa.

¿Fue la brecha de Canvas tan grande como se dijo? La intrusión está confirmada, pero las cifras de 275 millones de usuarios y 3,65 terabytes son afirmaciones no verificadas de ShinyHunters, y el pago de rescate del que se informó no se confirmó oficialmente.

¿Hackeó Irán gasolineras de EE. UU.? CNN informó el 15 de mayo de una intrusión creíble en sistemas de medición automática de tanques sin protección en varios estados; la atribución a Irán es una sospecha, no está demostrada, y CISA y el FBI no la confirmaron.

¿Qué hacer primero? Refuerza los servicios de ayuda frente a la ingeniería social, protege los certificados de firma de código y los tokens de publicación de CI/CD, parchea CVE-2026-42897, inventaría la tecnología operativa expuesta a internet y trata el SaaS y a los terceros como riesgo de proveedores dentro del alcance. Antes en esta serie: el resumen de octubre de 2026.