AGUNSA (Agencias Universales S.A.) es una empresa multinacional Chilena dedicada en servicios de agenciamiento portuario, logística integral y transporte de carga marítimo, aéreo y terrestre.

El 16 de agosto, el grupo de ransomware Qilin listó a esta entidad en su sitio de filtraciones en la dark web, sin mostrar archivos de muestra ni indicar el volumen total de datos robados. Hace unos pocos días, el grupo publicó los datos en su sitio denominado Qilin Data.

Qilin Filtró los datos

Al verificar el contenido en la dark web, identificamos dos categorias principales de documentos expuestos:

Postulaciones de trabajadores

Cuando postulas a un trabajo, suele exigirse una gran cantidad de documentos antes de comenzar. Tras el incidente de ciberseguridad de esta entidad, esa información quedó expuesta. Por ejemplo, cada postulante tiene una carpeta con su nombre completo y, dentro de ella, archivos como licencias de conducir, cédulas de identidad, currículums y exámenes médicos.

En otra sección aparecen documentos PDF de narcotest y alcotest aplicados a trabajadores. En esos archivos se exponen el Nombre, el RUT y el Cargo de cada persona, junto con la imagen del examen. Todos los resultados visibles eran negativos, pero igual quedaron expuestos.

Esta exposición representa un riesgo significativo para las personas afectadas, quienes podrían ser víctimas de estafas, extorsiones o suplantación de identidad.

Archivos internos expuestos

En los archivos internos expuestos aparece de forma constante Codelco, socio estratégico de AGUNSA S.A. Entre el material se observan planillas Excel, imágenes de inventarios, organigramas y grabaciones en formato MP4 de reuniones internas de AGUNSA, incluidas sesiones en las que se muestra el uso de Unigis, la plataforma de gestión de transporte (TMS) que la empresa utiliza para el monitoreo en tiempo real y la trazabilidad de sus operaciones logísticas.

Es recomendable que, ante la exposición de archivos internos en los que aparece un socio estratégico, se le informe de inmediato. Así puede evaluar si hay datos propios comprometidos, revisar accesos compartidos y reforzar controles. La notificación oportuna a clientes, proveedores y socios forma parte de una respuesta responsable a un incidente.

Falta de comunicación oficial

Hasta esta fecha, AGUNSA no ha emitido ningún comunicado oficial sobre algún incidente de ciberseguridad, ni a través de su sitio web ni de sus redes sociales. Por ello, quisimos contactarlos sobre esta situación. El 25 de agosto envié un correo en el que les pregunté lo siguiente:

• Si habían sufrido un incidente de ciberseguridad

• Si habían notificado a sus trabajadores para prevenir riesgos posteriores

• Si habían implementado mejoras en su plan de ciberseguridad

Hasta el momento, ninguna de estas consultas ha recibido respuesta.

Un ataque de ransomware afecta a la empresa, a sus trabajadores, clientes y proveedores. Al mismo tiempo, permite identificar cómo se están exponiendo datos internos y de qué forma un tercero podría reconstruir parte de la infraestructura sin pertenecer a la organización.

El objetivo de este análisis no es señalar culpables, sino corregir a tiempo las debilidades detectadas y comunicar los riesgos al equipo para reducir la probabilidad de nuevos incidentes.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar o seguir por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

suscriptores tampoco olviden visitar mi blog:

https://www.security-chu.com

☕si puedes ayudarme con algún café: https://buymeacoffee.com/chum1ng0

El 18 de junio de 2026, el grupo de ransomware Qilin publicó a la empresa de outsourcing ATCOM en su sitio de filtraciones (data leak site). En ese momento, los actores de amenazas solo mostraron el logo de la compañía junto con algunas pruebas de la información robada, principalmente archivos Excel que contenían presupuestos, listados de clientes y contratos. No se indicó el volumen total de los datos sustraídos.

Qilin Filtró los datos

Posteriormente, Qilin actualizó la publicación y filtró la totalidad de la información extraída de los sistemas de ATCOM. Al verificar el contenido disponible en la dark web, se identificaron dos categorías principales de documentos expuestos:

Contratos y finiquitos de trabajadores

Se encontró una gran cantidad de contratos y finiquitos de personas contratadas por ATCOM para prestar servicios a otras empresas.

Estos documentos contienen datos personales sensibles, entre ellos:

• Nombres completos

• RUT

• Correo electrónico

• Fecha de nacimiento

• Domicilio

Además, se observaron fotocopias de cédulas de identidad, certificados y currículums que incluyen consultas de antecedentes penales. Todos estos archivos están disponibles en formato PDF para su descarga libre en la dark web.

Esta exposición representa un riesgo significativo para las personas afectadas, quienes podrían ser víctimas de estafas, extorsiones o suplantación de identidad.

Datos de clientes empresariales

Dado que ATCOM gestiona personal para otras compañías, la filtración también incluyó una gran cantidad de correos electrónicos de contacto de sus clientes. Entre las empresas identificadas se encuentran Banco Estado, Hites, Ripley y Concha y Toro, entre otras.

La disponibilidad de estos datos en la dark web genera un peligro concreto para dichas instituciones, ya que terceros o los mismos actores de amenazas podrían utilizarlos para ejecutar campañas de phishing dirigidas.

Falta de comunicación oficial

Hasta la fecha, ATCOM no ha emitido ningún comunicado oficial sobre el incidente de ciberseguridad, ni a través de sus redes sociales ni en su página web.

El 28 de julio de 2026 se envió un correo electrónico a la empresa consultando específicamente sobre:

• Si habían sufrido un incidente de ciberseguridad

• Si habían notificado a sus clientes para prevenir riesgos posteriores

• Si habían implementado mejoras en su plan de ciberseguridad

Hasta el momento, ninguna de estas consultas ha recibido respuesta.

Este incidente evidencia los graves riesgos que enfrentan las empresas de outsourcing y reclutamiento cuando almacenan datos personales de trabajadores y datos de contacto de clientes. La filtración no solo compromete la privacidad de las personas, sino que también expone a grandes organizaciones a posibles ataques posteriores.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar o seguir por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

suscriptores tampoco olviden visitar mi blog:

https://www.security-chu.com

☕si puedes ayudarme con algún café: https://buymeacoffee.com/chum1ng0

El 26 de marzo de 2026, el grupo de ransomware Qilin publicó a NOI Hotels en su sitio de filtraciones (data leak site). NOI Hotels es una reconocida cadena hotelera chilena con propiedades en varios puntos del país, entre ellas: Noi Vitacura, NOI Blend Colchagua, NOI Casa Atacama, NOI Puma Lodge y NOI Indigo Patagonia. En ese momento, los actores de la amenaza afirmaron tener en su poder 539 GB de información de la cadena, además de más de un millón de archivos. Como prueba, publicaron muestras que incluían nombres de proveedores, facturas, pasaportes y presupuestos.

Qilin filtró los datos:

En una nueva actualización de esta noticia, verificamos que el grupo de ciberdelincuentes publicó en su sitio de la dark web todos los archivos robados. Entre los documentos expuestos encontramos:

Reservas de huéspedes

Quedó expuesta una gran cantidad de archivos de huéspedes de distintas localidades de la cadena hotelera. En estos documentos PDF se encuentran reservas que incluyen decenas de nombres y apellidos completos, itinerarios de vuelos, consumos en el hotel y, especialmente preocupante, las cédulas de identidad de los clientes. Esta información representa un riesgo elevado para los huéspedes, ya que podrían ser víctimas de extorsión, estafas o suplantación de identidad.

Sistema

Lo más preocupante es que, además de los datos filtrados, se evidenciaron graves malas prácticas de seguridad en los sistemas internos del hotel: archivos de texto plano con contraseñas, licencias de Office expuestas, sistemas Windows 7 (sin actualizaciones desde 2020), claves SSH sin protección, planos del hotel y listados completos de empleados en Excel con información sensible (RUT, nombre completo, cargo, correo electrónico, teléfono y domicilio).

Proveedores

Se detectó una lista de proveedores con nombres completos, correos electrónicos y números de teléfono. Esta información podría facilitar ataques de phishing, smishing y vishing contra dichas organizaciones. Sería esperable que NOI Hotels haya notificado a sus proveedores sobre el incidente de ransomware; de lo contrario, es muy probable que se estén enterando en este momento.

Falta de comunicación oficial

Hasta la fecha, la cadena hotelera no ha emitido ningún comunicado oficial sobre el incidente, ni en su página web ni en sus redes sociales. El 28 de marzo de 2026 enviamos un correo electrónico solicitando información sobre el ataque. El 1 de julio volvimos a escribirles para preguntar si estaban al tanto de la filtración en la dark web, si publicarían un comunicado y qué medidas de seguridad habían implementado. Hasta el momento no hemos recibido respuesta de la cadena hotelera. Si obtenemos contestación, actualizaremos este post.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar o seguir por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

suscriptores tampoco olviden visitar mi blog:

https://www.security-chu.com

☕si puedes ayudarme con algún café: https://buymeacoffee.com/chum1ng0

Facturas y Pólizas expuestas en un foro de hacking

El grupo Cortex y exiliados publicaron los datos de esta entidad financiera en un foro de hacking el 28 de junio. Según ellos, se trata de una segunda filtración que contiene pólizas de los asegurados. El archivo tiene un tamaño total de 5,26 GB y está compuesto por 4.442 archivos. Anteriormente, el mismo grupo había filtrado información de esta entidad el 18 de junio. Esa primera filtración contenía facturas y pólizas, con un tamaño total de 5,23 GB y 51.095 archivos.

Afectados y riesgos

Algunas pólizas contienen el nombre completo del asegurado y su RUT, lo que permite identificar directamente a una persona. Otros archivos corresponden a datos de empresas, incluyendo también su RUT. Por esta razón, Renta Nacional Seguros debería informar de inmediato a la CMF (Comisión para el Mercado Financiero) sobre esta filtración de datos personales. Además, los afectados corren un alto riesgo de ser víctimas de estafas, extorsiones o suplantación de identidad. Como se puede ver en el ejemplo que se adjunta a continuación, una póliza expone no solo los datos personales del asegurado, sino también información sensible del vehículo asegurado, como número de chasis, patente, marca, modelo y otros detalles técnicos.

El resto del contenido filtrado corresponde a facturas de Renta Nacional, como se muestra a continuación:

Hasta el momento, Renta Nacional no ha publicado ningún comunicado oficial en sus redes sociales ni en su página web sobre este incidente de ciberseguridad ni sobre la filtración de datos. Este post se actualizará si la compañía emite alguna declaración al respecto.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar o seguir por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

suscriptores tampoco olviden visitar mi blog:

https://www.security-chu.com

☕si puedes ayudarme con algún café: https://buymeacoffee.com/chum1ng0

Xorcat un actor de amenazas que opera en los foros hacking, opera como un filtrador de base de datos (leaker) y vendedor de datos, A menudo utiliza plataformas de almacenamiento de archivos y canales de Telegram para distribuir enlaces a bases de datos exfiltradas. En sus publicaciones, suele incluir muestras (samples) para demostrar la autenticidad de los datos.

Coincidencias de filtraciones de datos

El grupo Everest ha nombrado en su página de la dark web a varias entidades que Xorcat ha expuesto en el foro de hacking. Su perfil fue creado en marzo de 2026. Además, ha realizado más de 120 publicaciones, pero cuenta con una reputación de -1197, lo que indica que no es una fuente muy confiable en sus reportes. Algunas de las víctimas que ha nombrado son: Ksubsea-Group, Brantas-Abipraya, Tokoparts, Umiles Group, Nutrabio, Complete Aircraft Group, Super AI y Parque Eólico Toabré.

Medios de anuncios

Xorcat tiene varios canales en Telegram el que revisamos primero seria el principal y decia lo siguiente:

Comienza una nueva era. Contamos con más de 1,5 TB de datos. Si le interesa, contáctenos en xorcat. Ofrecemos datos, análisis completos y todo lo que el cliente solicite.

Xorcat fue quien generó noticia con el supuesto hackeo de PolyMarket. Sin embargo, esto fue descartado tanto por la propia entidad como por investigadores, quienes señalaron que los datos fueron armados con fuentes públicas y presentados como un hackeo para llamar la atención.

Ahora, Xorcat —quien ha perdido gran parte de su reputación— publica en su canal de Telegram que no le importa mucho el foro, pero sigue posteando en el mismo foro datos que ya habían sido filtrados anteriormente.

En su otro canal de Telegram muestra vouchers de más de 1.237 clientes que supuestamente le han comprado datos. Entre ellos, revisamos los sitios chilenos que aparecen en el listado como víctimas:

capacitacion.qa.santotomas.cl

fastour.cl

maskelibros.cl

newsunspa.cl

Evaluación de Credibilidad

Xorcat muestra un patrón claro de inflar incidentes y vender datos de baja calidad o ya públicos. Su reputación extremadamente negativa en foros y las desmentidas públicas (como el caso PolyMarket) indican que muchas de sus filtraciones podrían no ser brechas reales, sino:

• Datos scrapeados públicamente.

• Bases de datos antiguas o ya filtradas.

• Información exagerada para marketing.

¿Alguna vez estas entidades sufrieron una brecha real de datos, o Xorcat está inflando su popularidad?

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar o seguir por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

suscriptores tampoco olviden visitar mi blog:

https://www.security-chu.com

☕si puedes ayudarme con algún café: https://buymeacoffee.com/chum1ng0

El grupo de ransomware conocido como LockBit 5.0 publicó a la entidad Clínica Dávila el 20 de febrero en su página de filtraciones en la dark web. Sin embargo, como ya sabemos, el grupo Devman ransomware se había adjudicado este mismo ciberataque contra la clínica en el mes de diciembre. También sabemos que Devman nunca expuso los datos completos en su propio sitio de filtraciones; solo mostró archivos de muestra en un foro en la dark web, donde exaltaba su ataque a la clínica y explicaba cómo se produjo, pero nunca llevó a cabo la exfiltración pública masiva de los datos que afirmaba tener. Todo apunta a que Devman vendió los datos (o una copia de ellos) a LockBit 5.0 por algún porcentaje de la ganancia.

Los datos filtrados por LockBit

De acuerdo con lo publicado en su página de filtraciones, los datos exfiltrados por LockBit 5.0 ascienden a aproximadamente 180 GB de información de la Clínica Dávila, comprimidos en archivos RAR. Al revisar los archivos filtrados, pudimos constatar que se trata de los mismos que Devman había mostrado previamente en su lista de archivos en el foro de la dark web.

Otros archivos, como historiales médicos de pacientes, están expuestos en el sitio de LockBit.

**Si eres paciente o tienes datos en la clínica: monitorea posibles notificaciones oficiales de brecha de datos.

Ahora la pregunta que surge: ¿La Clínica Dávila ha notificado individualmente a cada paciente sobre el ataque que sufrió por parte de Devman en diciembre pasado? Si eres paciente de esa clínica y crees que tus datos pudieron haber quedado expuestos en esta brecha, puedes contactarme directamente en mis redes sociales.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar o seguir por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

suscriptores tampoco olviden visitar mi blog:

https://www.security-chu.com

☕si puedes ayudarme con algún café: https://buymeacoffee.com/chum1ng0

El grupo de ransomware Anubis ha publicado a Empresas Copec S.A. en su sitio de fugas (data leak site). En la descripción del ataque, afirman haber exfiltrado aproximadamente 6 TB de información corporativa sensible.

Según ellos, inicialmente negociaron con Copec un pago de cientos de miles de dólares (alrededor de $400.000 según algunas fuentes), pero la empresa finalmente decidió no pagar.

Además, el grupo muestra los archivos robados, entre los que se incluyen memorándums internos, presupuestos, contratos de suministro de petróleo, comunicaciones internas, información financiera y datos de colaboradores y socios, entre otros.

Empleados/ Ex empleados expuestos en la DarkWeb:

En una segunda página .onion, el grupo Anubis ha publicado todas las carpetas y una lista detallada de archivos que, según afirman, contienen los 6 TB de datos exfiltrados de Copec. Al revisar la lista de archivos, se observa una carpeta dedicada a “Colaboradores“, dentro de la cual hay subcarpetas con nombres de empresas y socios como ADES, ADG, AMPERE, CHIPER, CMPD S.A., COPEC S.A., FINIQUITADOS, Gestión Humana, Via Limpia, VIVA LEER y Voltex.

En un solo perfil encontramos estos archivos:

2022 09 - Informe.pdf , AUTORIZACION DE CONTRATACION.xlsx BIENVENIDO A COPEC.docx CEDULA DE IDENTIDAD 1.jpg CEDULA DE IDENTIDAD 2 .jpg CERTIFICADO AFILIACION AFP MODELO.pdf CERTIFICADO AFILIACION ISAPRE CONSALUD.pdf CERTIFICADO DE ESTUDIOS.pdf CERTIFICADO DE MATRIMONIO.pdf CERTIFICADO DE NACIMIENTO HIJOS.pdf CERTIFICADO DE NACIMIENTO.pdf CERTIFICADO DE VACACIONES PROGRESIVAS.pdf CERTIFICADO RESIDENCIA DEFINITIVA.pdf CERTIFICADO VALOR PLAN ISAPRE CONSALUD.pdf COMPROBANTE REGISTRO DT.pdf CONTRATO DE TRABAJO.pdf CUENTA CORRIENTE BANCO BCI.pdf CURRICULUM.pdf DECLARACION JURADA ANTECEDENTES PREVISIONALES.pdf DECLARACION VINCULO TRABAJADOR.pdf EVALUACION PSICOLOGICA.pdf EVALUACIO PSICOSENSOTECNICA.pdf Exámenes Básicos.pdf FOTOGRAFIA.jpeg HOJA DE VIDA CONDUCTOR.pdf Informe Evaluación Psicológica.pdf Informe Evaluación Psicosensotécnica.pdf ODIS.pdf PROPUESTA DE RENTA.pdf REGLAMENTO INTERNO.pdf SEGURO COVID ( NO).pdf

Otros documentos

En el buscador que ofrece esta página se puede encontrar un archivo Excel llamado “consolidado-usuarios”, donde se muestran 1.969 registros con información de usuarios que incluye: nombres y apellidos, RUT, empresa, cargo, jefatura directa, unidad de negocio, ubicación y correos electrónicos con dominio copec.cl y fiales.

Silencio de COPEC

Hasta el momento, Copec no ha publicado ningún comunicado oficial, ya sea en su sitio web o en sus redes sociales, acerca de este incidente de ciberseguridad ni de los datos que han sido filtrados en la darkweb. [ pueder ver el comunicado de COPEC más abajo]

COMUNICADO DE COPEC

Copec ha detectado un incidente de seguridad asociado a un acceso no autorizado a un sistema de almacenamiento de información de uso interno. Los sistemas que administran datos personales de clientes, claves o información que permita operar plataformas digitales no se vieron comprometidos, por lo tanto, todos los sistemas y servicios de la compañía continúan funcionando con normalidad y pueden seguir siendo utilizados de manera habitual por nuestros clientes.

La Compañía activó de inmediato sus protocolos de seguridad, bloqueó el acceso comprometido y reforzó sus medidas de protección, adoptando todas las medidas para contener, mitigar y evitar que la situación se repita en el futuro.

La operación de Copec y sus filiales no se vio afectada, Copec ha notificado a las autoridades competentes y se encuentra en permanente monitoreo de sus sistemas.

Habla Anubis

En una entrevista exclusiva con el medio suspectfile.com, el grupo Anubis afirmó haber comprometido inicialmente la VPN corporativa de Copec. A su vez, señaló que si bien la defensa de Copec logró mitigar el ataque de ransomware en su extensa red, no pudo evitar la exfiltración de datos.

Solo por aclarar dudas le pregunte al operador de anubis una sola pregunta:

Para robar 6 TB, ¿cuántos días u horas dedicaron a copiar estos datos sin que Copec se diera cuenta?

Hola. Según Anubis, descargaron datos durante casi una semana. Instalaron puertas traseras a través de las cuales continuaron subiendo datos a baja velocidad.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar o seguir por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

suscriptores tampoco olviden visitar mi blog:

https://www.security-chu.com

☕si puedes ayudarme con algún café: https://buymeacoffee.com/chum1ng0

-Noticias-

Municipalidad de La Serena Advierte sobre correo falso

10 de noviembre, “Informamos que está circulando un correo falso a nombre de nuestra 𝐒𝐞𝐜𝐜𝐢ó𝐧 𝐝𝐞 𝐏𝐚𝐭𝐞𝐧𝐭𝐞𝐬 𝐂𝐨𝐦𝐞𝐫𝐜𝐢𝐚𝐥𝐞𝐬, solicitando completar un formulario con información personal o comercial.” Ver nota

La Comisión para el Mercado Financiero (CMF) alerta a usuarios

11 de noviembre, “La CMF denunció al Ministerio Público a siete entidades que, aparentando ser reguladas, solicitan pagos previos para acceder a préstamos que posteriormente no son entregados”. Ver comunicado

PDI advierte sobre correo falso “Orden de Procedimiento Judicial”

13 de noviembre, Se encuentra circulando un correo electrónico que simula una Orden de Procedimiento Judicial, es importante saber, que:
1. Es un correo falso.
2. No debes responder al remitente.
3. Si respondiste y eres víctima de algún delito, haz la denuncia en la unidad policial. Ver nota

Municipalidad de Olmué advierte sobre estafa

14 de noviembre, Se informa a la comunidad que hemos recibido alertas de vecinas que fueron contactadas supuestamente desde el Departamento Social Municipal para comunicarles que han sido beneficiadas con un apoyo social, esto con el objetivo de recolectar datos personales. Ver más

Curanilahue Noticias informa ataque cibernético

15 de noviembre, Informamos a nuestra comunidad que nuestro sitio web http://redsomosnoticias.cl se encuentra temporalmente fuera de servicio debido a un ataque cibernético que comprometió nuestro medio. ver nota
Update: 18 de noviembre el sitio estaba operativo.

-Investigaciones-

Municipalidad de Viña del Mar, expuso un servidor sin seguridad que contenia datos sql del formulario contactos

Desde mayo de este año estaba expuesto este servidor, en forma de divulgación responsable notifiqué a la municipalidad sin embargo, nadie contesto ni bloqueo el acceso hasta que me puse en contacto con el CSIRT, usted puede ver más detalles aquí. Tambien puede mirar la nota que me hizo el medio SoyChile sobre esta falla.

-Ransomwares Attacks-

Incidentes de ransomware monitoreados por nuestro equipo en latinoamérica

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar o seguir por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

suscriptores tampoco olviden visitar mi blog:

https://www.security-chu.com

☕si puedes ayudarme con algún café: https://buymeacoffee.com/chum1ng0

Fuerza Area de Chile y Universidad Católica firmaron una colaboración

La #FACH y @ucatolica firmaron un convenio de colaboración para impulsar la investigación científica, el desarrollo tecnológico y la formación de capital humano en áreas como Inteligencia Artificial, ciberseguridad e Ingeniería Aeroespacial. ver nota

ClaveÚnica incorpora 2FA en correo

La Clave Única en Chile te permite acceder a 1600 servicios digitales, para una mayor rapidez en tus trámites, como el Servicio de Registro Civil e Identificación, donde puedes realizar hasta 6 trámites digitales.

Sin embargo, hubo hechos como fraudes digitales denunciados por el Banco BCI hacia clientes con Clave Única (en esta nota), Walmart Chile denuncia fraude informático (ver nota), y Grupo Bupa presenta querella por millonario cobro de facturas falsas (ver nota). Es por ello que se tomaron algunas medidas de seguridad, como el 2FA en correo. Ver Nota

SAG advierte sobre estafas digitales

El Servicio Agrícola y Ganadero, (SAG), advierte a sus usuarios y usuarias que realizan trámites ante la institución sobre la detección de correos electrónicos maliciosos que suplantan fraudulentamente la identidad del Servicio. Estos mensajes informan sobre supuestos depósitos de excedentes históricos para lo cual solicitan añadir entidad bancaria mediante un link malicioso. El SAG recomienda no abrir enlaces, no descargar archivos adjuntos y verificar siempre la autenticidad de las comunicaciones a través de los canales oficiales de la institución. Ver nota

Fonasa advierte sobre sitio falso

#Fonasa advierte que este tipo de estafa está diseñada para robar información personal y datos bancarios. La institución no ofrece trabajos por redes sociales, solo por la página de Empleos Públicos http://empleospublicos.cl. Ver nota

Investigaciones

Este es un nuevo capítulo de mis revelaciones responsables a entidades que accidentalmente han dejado datos desprotegidos expuestos en la nube por “error”.

Descubierto un servidor que exponia respaldos de archivos de la Estrategia Nacional de Integridad Publica (ENIP), que pertenece al Ministerio Secretaría General de la Presidencia. Estos tenían un tamaño de 3,94 GB, como se ve arriba en la muestra.

El contenido de archivos eran correos de reuniones y talleres por ejemplo este de aqui:

nombres y correos expuestos

Otro archivo contenia un archivo de respaldo sql muy pequeño, pero contenia correo y passwords del Minsegpres expuestos.

Notificando

El ANCI Respondio mi correo

Como Agencia Nacional de Ciberseguridad, agradecemos su colaboración y la información proporcionada. Tomaremos las acciones correspondientes y notificaremos a los administradores de la institución afectada. (Automatizado)

Agradecemos nuevamente su tiempo y disposición.

Ransomwares attacks

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar o seguir por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

suscriptores tampoco olviden visitar mi blog:

https://www.security-chu.com

☕Puedes donar algún café: https://buymeacoffee.com/chum1ng0

A principios de octubre encontre un servidor sin seguridad que exponia datos de esta plataforma AIS Remesas Cuba, esto era un servicio para enviar transferencias en dinero a familias en Cuba a traves de la financiera Cubana FinCimex. esta plataforma AIS fue suspendida el 2021 por la financiera estatal reemplazandola por Tocopay.

¿Qué exponia el servidor sin seguridad?

El servidor exponía un total de 145 GB. Tras verificar el ejemplo que indicaba que se trataba de un archivo PDF, se activaron las alarmas por el contenido expuesto .

Contenido:

Cada carpeta contenía el nombre del cliente o su correo electrónico. Al revisar cada carpeta, se podían encontrar pasaportes del cliente que enviaba la remesa a Cuba, una declaración jurada y hasta tarjetas de débito. Todo este contenido estaba expuesto en un servidor sin seguridad.

Cantidad de clientes expuestos en este servidor: 63,564

Aquí puede ver cómo una cliente llamada Zenaida tenía una declaración jurada de AIS Remesas Cuba. Esta declaración contenía información del cliente, como: nombre, móvil, teléfono, correo, dirección, país, provincia, ciudad, localidad, código postal, fecha de nacimiento, país de nacimiento, número de pasaporte, país de emisión y fecha de expiración. A continuación, puede ver la declaración jurada.

También puede observar que había un apartado llamado “Beneficiarios”, el cual exponía el nombre del beneficiario, su número de identidad y el motivo del envío, que en todos los casos era “ayuda familiar”.

Otros documentos, como tarjetas de identidad, pasaportes y tarjetas de débito, también estaban expuestos en este servidor. Puede verificar aquí abajo.

Tras descubrir esto, me puse en contacto con la empresa para proteger los datos de estas personas.

Notificación:

El primer correo que envié fue el 7 de octubre al correo de aisremesascuba.com; sin embargo, el correo no estaba disponible, ya que rebotó varias veces. En él, les describía esta situación, alertándolos sobre la exposición de datos. Tras ello, el 12 de octubre, me puse en contacto con CIMEX S.A. a través de su atención al cliente por correo para que pudieran contactar al administrador de la página y bloquear el acceso.

Al pasar 10 días, el acceso dejó de estar disponible. No puedo afirmar que mi notificación fue la que bloqueó el acceso, ya que nadie respondió a mi correo. No tuve la necesidad de enviar un correo al Centro de Respuesta a Incidentes (CUCERT). Me informé de que este pertenece a la Oficina de Seguridad para las Redes Informáticas (OSRI), adscrita al Ministerio de Comunicación de Cuba.

Finalmente:

Puedo asegurar que los 63,564 clientes afectados de AIS Remesas pueden estar tranquilos, ya que sus datos han sido protegidos. Sin embargo, es posible que terceros hayan descargado estos archivos, por lo que se recomienda que estén atentos a posibles estafas. Lo digo porque el servidor expuesto estuvo activo desde marzo de 2025.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar o seguir por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

suscriptores tampoco olviden visitar mi blog:

https://www.security-chu.com

☕Puedes donar algún café: https://buymeacoffee.com/chum1ng0

Hace unos días, vi que este servidor estaba expuesto sin seguridad. Por ello, lo investigué y, para mi sorpresa, contenía solo 121.981 archivos, incluyendo imágenes, archivos DOCX y PDF. La mayoría de estos archivos contenían datos de salud confidenciales.

Se identificaron las siguientes empresas:

ACQUA: El Instituto Acqua es una Organización Social (OS) sin fines de lucro con sede en Santo André, São Paulo, Brasil. Fundado en 1999, se dedica a la gestión de proyectos en áreas como salud, educación, medio ambiente, cultura, deporte y desarrollo social. Gestiona unidades de salud públicas y privadas, como hospitales y centros especializados, con certificaciones de calidad (ONA). 

Los archivos contenían, como dije, datos sanitarios sensibles de los hospitales: Hospital Regional Da Costa Leste Magid Thomé, gestionado por la institución ACQUA, según su sitio web.

Por eso contacté primero con el Instituto Acqua enviándoles un correo electrónico informándoles sobre su servidor expuesto, el 15 de julio. A las pocas horas, lo bloquearon. Sin embargo, insistí, ya que algunas rutas no estaban totalmente bloqueadas el 16 de julio, y al final lo conseguí, ya que ahora no están disponibles. Estos correos electrónicos también se enviaron al centro de incidentes de seguridad brasileño adjunto. Ni el instituto ni el centro me dieron respuesta.

>Pero me quedo con el aspecto positivo de que pude ayudar y proteger los datos.<

Intenté comunicarme con la ANPD (Autoridad Nacional de Protección de Datos) vía correo electrónico para ver cómo manejan estos casos, y una de mis preguntas fue la siguiente:

En Brasil, ¿la protección de datos exige que un informe sea presentado únicamente por los propietarios del servidor o por cualquier persona, pero tiene que ser un ciudadano brasileño? Sin embargo, me quedé sin respuesta, ya que mis dudas persisten porque no recibí respuesta.

Así que decidí buscar un experto en protección de datos, hasta que encontré a Maria Trevisani Vespa, quien pudo guiarme, asesorarme y responder a mis preguntas sobre protección de datos en Brasil:

La experta nos explicó que, con base en la descripción de los hechos, esto se consideraría un incidente de seguridad que, por las características y los datos involucrados, el responsable del tratamiento de datos debe notificarlo a la ANPD (Agencia Nacional de Protección de Datos), de acuerdo con la legislación brasileña.

El responsable del tratamiento de datos habrá informado a la ANPD no lo sabemos…..

¿QUÉ DATOS FUERON EXPUESTOS?

Este índex of ha estado abierto desde enero de este año, ya sea por una actualización o simplemente por una configuración deficiente de las copias de seguridad, pero sabemos que estos archivos no deberían estar expuestos públicamente.

Algunos de los archivos eran correos electrónicos del Instituto ACQUA. Como puede ver a continuación, un paciente recibió el alta hospitalaria por una herida de bala y fue derivado con citas y un médico. Este archivo de correo electrónico no debería haberse expuesto públicamente, pero lo fue.

Un archivo PDF muestra los datos del paciente: nombre, madre, fecha de nacimiento, identificación del sistema SUS, médico tratante, edad, acuerdo, orden, entrada, salida y, en este caso, su examen de orina.

Había imágenes que parecían tomadas con teléfonos porque estaban un poco torcidas. Si observa la imagen, muestra una lista de pacientes transferidos a otro hospital. Solo aparece el nombre del paciente transferido al Hospital Santa Casa Campo Grande.

Estos son solo algunos de los archivos expuestos que este servidor expuso sin la seguridad del instituto, y muy sensibles ya que expusieron datos de salud de los pacientes y sus datos, que no se podían hacer públicos.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar o seguir por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

suscriptores tampoco olviden visitar mi blog: https://www.security-chu.com

☕Puedes donar algún café: https://buymeacoffee.com/chum1ng0

Actualización N°1: La universidad fue publicada por Dire Wolf en la DarkWeb

El grupo de ransomware Dire Wolf ha publicado en su sitio de filtraciones de la dark web a una nueva víctima: la Universidad Mayor, una institución privada con sedes en Santiago y Temuco, Chile, que cuenta con nueve campus. Según la descripción de los atacantes, habrían robado 50 GB de información de la universidad.

Por su parte, la universidad no ha emitido ningún comunicado sobre un incidente de ciberseguridad, ni en su página web ni en sus redes sociales. Por ello, hemos enviado un correo electrónico para que confirmen este incidente. Hasta el cierre de esta nota, no hemos recibido respuesta de la universidad. De haberla, este artículo se actualizará.

Actualización N°2: Universidad comunica el ataque de ransomware

Estimada Comunidad Universitaria:

Hace algunos días nuestra institución sufrió un ataque de ransomware que afectó nuestros servidores, es decir, un código malicioso que cifró información alojada en los mismos. 

Desde el momento del incidente, y como es usual en este tipo de situaciones, se anticipó la posibilidad de que hayan accedido a datos personales. 

Por lo mismo, la Universidad Mayor reforzó los sistemas y protocolos de seguridad para proteger la información de sus usuarios, contener el incidente, cuidar los sistemas y restaurar los servidores que lo requieran.

Asimismo, y como medida adicional, dentro de las próximas horas se procederá al cambio de contraseñas obligatorio de la comunidad universitaria, lo que se suma a la ya vigente política de doble factor de autenticación. 

Cabe destacar que la actividad académica no se vio alterada por este incidente y los diferentes servicios han recuperado un alto nivel de operatividad.

Si bien existen numerosas medidas de prevención, ningún entorno digital está completamente exento de sufrir este tipo de amenazas y comprendernos la preocupación que este hecho pueda generar. 

Como comunidad universitaria, nuestro compromiso es clave para proteger la información personal, académica e institucional. 

En este sentido, se han desarrollado campañas de concienciación en ciberseguridad y se continúa trabajando en la implementación de estándares internacionales en seguridad de la información.

Cada acción cuenta: al seguir buenas prácticas digitales, al estar alerta frente a posibles amenazas y al reportar oportunamente cualquier incidente, fortalecemos la seguridad de todos y contribuimos a un entorno digital más confiable y resiliente.

Universidad Mayor

Actualización N°3: Dire wolf publica los datos robados de la Universidad Mayor

Los archivos nos indican que los cibercriminales pudieron robar algunos respaldos de la universidad. Sin embargo, debido a que son muy pesados, no indagamos más allá y no podemos confirmar si contienen datos personales de alumnos o empleados. La universidad en su comunicado indicaba que procederán a cambios de contraseñas.

Exclusivo Charla Dire wolf:

Nos comunicamos vía Tox Chat con el soporte de Dire wolf para preguntar sobre este incidente. Nos indicaron que estaban en proceso de negociaciones, por lo que no podían referirse a este incidente. Además, agregaron que publicarían todo el material de la universidad. Hoy, tras la publicación de los datos, hemos enviado nuevas preguntas.

Yo: Ahora que han publicado todo lo relacionado con la universidad, ¿puedes confirmar si alguien negoció contigo un rescate?

DireWolf: Alguien que decía ser su representante intentó negociar con nosotros, pero las negociaciones fracasaron.

Yo: ¿Cuánto pediste de rescate?

DireWolf: No llegamos a la etapa sustantiva de las negociaciones sobre el precio.

Yo: ¿Puede confirmar que aquí se exponen datos personales?

DireWolf: Por supuesto, los documentos publicados incluyen la base de datos de información estudiantil, la cual hemos restaurado y verificado; la información estudiantil se encuentra en ella.

¿Qué sabemos de Dire Wolf?

Opera desde principios de mayo de 2025. Los archivos cifrados por este ransomware adoptan la extensión .direwolf. La nota de rescate, llamada HowToRecoveryFiles.txt, incluye amenazas de chantaje a las víctimas. Utilizan identificadores únicos para cada víctima. Esta sería la tercera víctima en América Latina afectada por estos ciberdelincuentes.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar o seguir por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

suscriptores tampoco olviden visitar mi blog: https://www.security-chu.com

☕Puedes donar algún café: https://buymeacoffee.com/chum1ng0

Gunra filtra los datos en la Dark Web de la licorera

12 de junio, en una nueva actualización, nos percatamos de que el grupo Gunra filtró todos los datos de la licorera en su sitio de filtraciones en la dark web. No sabiamos con exactitud cuántos archivos fueron robados por el grupo.

Por ello, contactamos al soporte o 'manager' del grupo a través de Tox Chat.

Nos informó que la empresa licorera se comunicó con ellos, pero se negó a pagar el rescate exigido de 7 millones de dólares. Además, nos reveló que habían robado 20 TB de información de esta entidad panameña.

¿Qué archivos se filtraron de la licorera y están circulando por la dark web?

Entre los archivos destacados se encuentran documentos financieros, análisis de libros contables, correos electrónicos, respaldos de bases de datos y proyectos. Al revisar estas carpetas, nos enfocamos en los correos en formato .eml, donde se encontraron mensajes que detallan el ataque de ransomware perpetrado por el grupo Gunra.

Esto confirma que Varela Hermanos sufrió un incidente de ransomware perpetrado por el grupo Gunra. Sin embargo, la empresa no ha emitido un comunicado oficial sobre este incidente en su página web ni en sus redes sociales, y, dado que los datos ya han sido filtrados, es probable que no lo haga.

Al revisar las carpetas filtradas, no se han encontrado datos personales de empleados, clientes o ex empleados.

Además, ningún medio de comunicación en Panamá ha informado sobre este incidente de ciberseguridad que afecta a esta prestigiosa licorera. Por su parte, el Equipo Nacional de Respuesta a Incidentes de Seguridad de la Información de Panamá (CSIRT Panamá) no ha publicado información sobre avistamientos del grupo Gunra en su página web ni en sus redes sociales.

Siempre que enfrentamos un ataque de ransomware, debemos ser conscientes de que el grupo que ha comprometido nuestro sistema podría estar monitoreando nuestros movimientos. al parecer este fue el caso.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar o seguir por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

suscriptores tampoco olviden visitar mi blog: https://www.security-chu.com

☕Puedes donar algún café: https://buymeacoffee.com/chum1ng0

La Compañía Minera Kolpa S.A. apareció por primera vez en la página de filtraciones del grupo de ransomware SafePay. Según el sitio de servicios de inteligencia sobre amenazas y riesgos ecrime.sh, el 24 de abril SafePay afirmó haber robado 108 GB de información de la compañía minera, incluyendo un archivo de muestra en formato TXT.

Los archivos filtrados en la dark web evidencian que fueron sustraídos por este grupo cibercriminal.

En su página web ni en sus redes sociales, la compañía minera ha notificado sobre ningún incidente de ciberseguridad, ni ha mencionado que sus datos hayan sido publicados en la dark web por parte de un grupo cibercriminal.

Sin embargo, la compañía ha publicado en Facebook reiteradas ocasiones avisos sobre precauciones contra estafas, aunque estos mensajes no suelen indicar una conexión con el incidente.

108GB de información robada en la Dark Web de la Compañia Minera Kolpa

El grupo SafePay filtró información en una página donde recopila toda la documentación perteneciente a esta compañía. Nos enfocamos únicamente en las carpetas de RRHH Lima, ya que estos documentos comprometen a ex empleados y empleados actuales de la compañía. Si alguna vez trabajaste para esta empresa, es posible que tus datos estén filtrados en la dark web.

Los documentos expuestos:

Existen varios documentos de contratos de profesionales de la compañía, incluidos aquellos que están, estuvieron o fueron practicantes. Algunos de estos documentos, denominados "Constancia de Alta del Personal en Formación" (Formulario 1604-1), contienen datos de identificación del empleado, como DNI, fecha de nacimiento, nacionalidad, apellidos y nombres, sexo, estado civil, teléfono, correo electrónico y dirección.

Otro archivo en formato XLS contiene una base de datos de la compañía, titulada "Data Entrega de Tarjetas Hijos". En este archivo se exponen datos personales de los trabajadores, como DNI, nombres, cargo y área, así como información de sus familiares, incluyendo nombres y apellidos de los hijos, DNI, fechas de nacimiento, edad y género.

Otros archivos internos, como los registros de asistencia a capacitaciones, contienen datos de los trabajadores, incluyendo nombres, DNI, firmas y área de trabajo. Otro archivo, denominado "Manifiesto de Pasajeros", presenta una nómina de pasajeros con información como nombres, DNI, firmas, origen, destino y empresa.

Ambos archivos incluyen el membrete de la compañía minera Kolpa.

Recomendaciones para ex- empleados y empleados:

• En Perú, la Ley de Protección de Datos Personales (Ley N.° 29733) obliga a las empresas a proteger los datos personales y notificar a los afectados en caso de filtraciones.

• Puede verificar si sus datos están comprometidos usando herramientas como Have I Been Pwned (haveibeenpwned.com).

• Cambiar contraseñas de cuentas asociadas a correos filtrados y activar autenticación de dos factores (2FA).

• Monitorear actividades sospechosas en cuentas bancarias o relacionadas con su DNI.

• Contactar a Minera Kolpa para confirmar la filtración y conocer las medidas de la empresa.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

☕Puedes donar algún café: https://buymeacoffee.com/chum1ng0

Algunas entidades afectadas por ciberataques optan por negociar con actores de amenazas, como el grupo de ransomware Akira, una práctica que no es recomendable en absoluto. Negociar con estos ciberdelincuentes rara vez garantiza la recuperación de los datos o la no publicación de la información robada.

Cómo opera Akira: el archivo akira_readme.txt

Cuando una entidad es víctima de Akira, recibe un archivo de texto llamado akira_readme.txt. Este archivo contiene instrucciones detalladas para contactar a los ciberdelincuentes.

Habitualmente, incluye un ID único que permite a las víctimas iniciar sesión en una página de negociación en la Dark Web, diseñada por Akira para interactuar con sus objetivos. A través de esta plataforma, los atacantes gestionan las demandas de rescate y, en muchos casos, presionan a las víctimas para que paguen.

Seguimiento de los intentos de negociación

Tras un análisis detallado, identificamos cuatro chats de distintas empresas que intentaron dialogar con Akira tras ser atacadas. Algunas de estas empresas aún figuraban como víctimas en el sitio web del grupo.

Días después de las negociaciones fallidas, en las que no se logró un acuerdo económico, los datos de estas compañías fueron publicados en el sitio de filtraciones de Akira, alojado en la Dark Web —una parte de internet no indexada, accesible solo mediante navegadores especializados como Tor, donde los ciberdelincuentes suelen compartir información robada.

De los cuatro casos analizados, tres entidades se negaron a negociar, mientras que solo una realizó un pago en Bitcoin. A continuación, presento algunos fragmentos de las conversaciones entre Akira y los negociadores de las entidades.

Primer caso: Las increibles "ofertas" que hace akira pero la entidad se negó a pagar.

Entidad: Nos gustaría saber qué datos nos robaste.

Akira: Hola. Has contactado con el chat de soporte de Akira. Estamos preparando la lista de datos que obtuvimos de tu red. Por ahora, debes saber que contactarnos es la mejor manera de resolver esto de forma rápida y económica. Mantente en contacto y ten paciencia. Nos pondremos en contacto contigo pronto. ¿Tienes permiso para negociar en nombre de tu organización? Una vez que recibamos una respuesta, te proporcionaremos todos los detalles.

Entidad: Sí

Akira: list().txt, Estos archivos se obtuvieron de tu red antes del cifrado. Puedes elegir de 2 a 3 archivos aleatorios de hasta 10 MB cada uno de la lista y los subiremos a este chat como prueba de posesión. Para demostrar que podemos descifrar tus datos correctamente, puedes subir de 2 a 3 archivos cifrados de hasta 10 MB cada uno a nuestro chat y te enviaremos copias descifradas.

A esta empresa le exigían 450,000 dólares. Después de algunos días, le ofrecieron una "oferta" de 400,000 dólares. La empresa dejó de responder, mientras el soporte intentaba apresurar el trato, hasta que los datos fueron publicados.

Los grupos de ransomware afirman que esta vía es más rápida y económica. Además, insisten en que demostrar su descifrador puede hacer que las víctimas caigan en esta charla tan cordial con el soporte de Akira.

Segundo Caso: víctima de Estados Unidos paga en Bitcoin

Akira: Nosotros obtuvimos sus datos. Podemos descifrarlos correctamente y restaurar su infraestructura en poco tiempo.

Entidad:Lo máximo que tenemos son entre 10 y 15 mil dólares, y podríamos pedir prestado un poco más. Pero como dije, somos una pequeña empresa que lleva más de medio año en una fase de baja actividad. Apenas estamos empezando nuestra temporada alta para ganar lo suficiente para el resto del año.

Entidad: Saben que tenemos sistemas muy antiguos y no podemos permitirnos actualizarlos. No tenemos copias de seguridad y no podemos trabajar en absoluto.

Al final de esta conversación, el soporte de Akira aceptó la oferta de la empresa. Inicialmente, exigía 75,000 dólares, pero redujo la cifra a 25,000 dólares.

En una nueva dirección de Bitcoin, se transfirieron algunos bitcoins de prueba y, posteriormente, el resto de los bitcoins prometidos. Finalmente, la empresa desapareció del sitio de Akira ransomware, el chat entre Akira y la entidad fue eliminado.

La víctima siguió preguntando sobre cómo restaurar sus sistemas encriptados. El soporte de Akira envió un desencriptador llamado unlocker.exe con instrucciones para proceder con la desencriptación de los sistemas.

Además, la entidad preguntó cómo habían sido atacados. El soporte proporcionó un informe inicial que decía lo siguiente:

El acceso inicial a su red se compró en la dark web. Posteriormente, se realizó un kerberoasting y obtuvimos los hashes de las contraseñas. Después, los extrajimos y obtuvimos la contraseña de administrador del dominio.

Tras semanas de análisis de su red, hemos detectado algunos fallos que recomendamos encarecidamente eliminar.

Tercer caso: entidad ignora pagar

La tercera entidad se puso en contacto con el soporte de Akira, preguntándoles directamente que encontró la nota de rescate y que estaba dispuesta a trabajar en una solución. Akira insistió en que la empresa debía mejorar su seguridad y le entregó una lista de los archivos comprometidos.

Además, preguntó a la empresa si trabajaría con ellos, adjuntando un precio de 550,000 dólares. El soporte volvió a preguntar si estaba lista para pagar. La empresa respondió que intentaba organizar sus archivos para poder proceder con el pago. Akira presionó nuevamente, advirtiendo que esperaba su decisión ese mismo día o, de lo contrario, los datos serían publicados. Verificamos que la entidad aún no está listada ni filtrada en la página de Akira.

Cuarto caso: Entidad solo negocia el costo

La cuarta entidad se puso en contacto con el chat de Akira, solicitando únicamente el costo del pago para evaluar si era más conveniente que restaurar sus sistemas. Akira exigió un pago de 1,000,000 de dólares y especificó que, si los fondos se retiraban de una cuenta bancaria, la empresa debía informar al banco que el dinero era únicamente para una inversión.La empresa respondió que era demasiado dinero y añadió que reconstruir todos los datos en un nuevo sistema le tomaría solo dos semanas, por lo que no pagaría más de 50,000 dólares.

El chantaje continuó por parte de Akira, quien amenazó con publicar 22.5 GB de información en su blog. Al verificar, constatamos que la entidad aún no ha sido publicada en el blog.

Advertencia: Por qué no negociar y qué hacer en su lugar

Los intentos de negociación con Akira, como los documentados, demuestran que esta estrategia es arriesgada e ineficaz. Pagar un rescate no asegura que los datos sean recuperados ni que se evite su filtración. Además, financiar a estos grupos fortalece sus operaciones y aumenta la probabilidad de futuros ataques.

En lugar de negociar, las entidades deben priorizar:

Respuesta inmediata: Aislar los sistemas comprometidos y notificar a las autoridades de ciberseguridad.

Recuperación de datos: Utilizar copias de seguridad protegidas para restaurar la información.

Prevención: Implementar autenticación multifactor, aplicar parches de seguridad y capacitar al personal contra tácticas como el phishing.

Fortalecer la ciberseguridad es la mejor defensa contra grupos como Akira. Evitar el contacto con estos actores y adoptar medidas proactivas protegerá mejor a las organizaciones frente a estas amenazas.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

Si quieres me puedes colaborar con un café:

☕https://buymeacoffee.com/chum1ng0

Capítulo 11:

Un servidor mal configurado, expuesto sin contraseña, ha sido detectado nuevamente durante mis investigaciones. Para realizar una divulgación responsable, identifiqué que esta entidad es de América Latina, ubicada geográficamente en Guatemala.

Tras revisar y explorar el contenido del servidor, me contacté con la empresa enviando un correo electrónico para informar responsablemente sobre lo encontrado. Envié el mensaje a las direcciones de correo del administrador, soporte, info y de algunos empleados. En algunos casos, los correos fueron devueltos, indicando que ciertas direcciones no estaban disponibles.

Sin embargo, no todos los correos rebotaron, por lo que asumí que al menos a alguien le llegó mi mensaje.

El 14 de abril, envié un correo indicando que un servidor estaba expuesto públicamente sin protección. Advertí sobre el peligro de que terceros pudieran haber descargado este material y mencioné que sus archivos, denominados 'Documentos', 'Gestiones', 'Uploads' y 'Recibos', estaban expuestos.

Además, proporcioné enlaces que evidenciaban el problema y recomendé que su administrador o persona encargada bloqueara el acceso para evitar accesos no autorizados. Aunque el correo nunca recibió respuesta, el servidor fue cerrado hace unos días.

¿Qué es Miscorp?

Miscorp, S.A., en su página web y redes sociales, se define como una empresa del sector de recursos humanos, especializada en reclutamiento y selección, outsourcing, gestión de empleo, entre otros servicios.

¿Qué datos exponía este servidor?

Contaba con varios documentos desprotegidos, por ejemplo, documentos denominados 'Recibos'. Estos documentos mostraban el nombre del empleado, puesto, concepto, entidad emisora, días laborados y otros detalles.

Otro documento denominado 'Actualización de datos' revela información de una empleada o ex empleada llamada Stephany, incluyendo su DPI, número de celular, dirección, fecha de nacimiento, nacionalidad, estado civil, información sobre vivienda propia y un contacto de emergencia con su respectivo número de celular.

Estos archivos estaban disponibles en el servidor de Miscorp sin medidas de seguridad.

Otros Archivos tenían nombre de Registro Electronico de Contrato Individual de Trabajo, se exponia nombre del trabajador , DPI, nombre del empleador, DPI del empleador, firmas del empleador y trabajador.

Otros documentos como cédulas de identidad, constancias transitorias de inexistencia de reclamación de cargos, diplomas, currículums vitae, informes de antecedentes penales y tarjetas de salud, todos estos archivos expuestos debido a una mala configuración.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

Si quieres me puedes colaborar con un café:

☕https://buymeacoffee.com/chum1ng0

En el monitoreo realizado este 1 de abril, se observó que en el sitio del grupo de ransomware RansomHub en la dark web, estos ciberdelincuentes han publicado la información robada a esta entidad. Recordemos que anteriormente habían exigido un rescate, lo cual puedes verificar aquí.

RansomHub publica los datos en su sitio en la Dark Web

Entre los miles de archivos, observamos documentación de empleados, como correos electrónicos, documentos en formato PDF y archivos en formato DOCX. Dentro de estos, encontramos diversos documentos pertenecientes al Instituto Salvadoreño del Seguro Social (ISSS).

Los estos archivos se encuentran en la dark web en el sitio del grupo ransomhub. Si usted es empleado, exempleado o cliente de Solventa, sus datos personales, como nombres, direcciones o números de teléfono, están expuestos en la dark web y podrían ser utilizados por estafadores para contactarlo con fines fraudulentos.

Esto podría resultar en robo de identidad, fraudes financieros o intentos de phishing. Se recomienda estar alerta ante comunicaciones sospechosas y considerar medidas como monitorear sus cuentas o cambiar contraseñas para protegerse.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

Si quieres me puedes colaborar con un café:

☕https://buymeacoffee.com/chum1ng0

El 26 de marzo, Hunters International, el grupo de ransomware que atacó a Megacentro, publicó 208,508 documentos robados durante su ataque a esta entidad chilena. Para más detalles, puedes consultar una nota previa.

Hunters international publica los datos en su sitio dark Web

Entre los miles de archivos publicados por estos cibercriminales, se encuentran cartas, certificados y amonestaciones dentro de una carpeta etiquetada como 'RRHH'.

Además, una base de datos en formato .xlsx revela una nómina de empleados con información personal sensible (PII), como RUT, nombres, apellidos, fechas de nacimiento, direcciones y teléfonos. Aunque estos datos corresponden al año 2016 y podrían parecer obsoletos, no lo son, ya que se trata de información personal que ahora está expuesta en la dark web como parte del contenido robado a Megacentro por estos cibercriminales.

Si eres empleado o cliente de Megacentro, tus datos personales podrían estar circulando en la dark web. Te recomendamos revisar tus cuentas, actualizar tus contraseñas de inmediato y estar atento a cualquier intento de estafa telefónica.

Si tienes una mala configuración que haz reportado pero no ha sido corregida, me puedes contactar por mis redes sociales: chum1ng0 o mi correo:📧 chum1ng0@tutanota.com.

Si quieres me puedes colaborar con un café:

☕https://buymeacoffee.com/chum1ng0

El 17 de marzo, Hunters International, el grupo de ransomware que atacó a Edesur Dominicana, publicó los 37,044 datos que habían robado durante su ataque de ransomware a esta entidad de infraestructura crítica ubicada en la República Dominicana. Puedes consultar una nota previa para más detalles.

Edesur Dominicana comunicado 13 de marzo

Hunters international publica los datos en su sitio dark Web

Entre los miles de archivos expuestos por este grupo criminal, encontramos el siguiente, que detallamos a continuación:

En la carpeta llamada 'Clientes Buro', hay archivos en texto plano denominados 'Datacred_', que abarcan los años 2014-2017. Usted podría pensar que estos datos son de hace muchos años, pero muestran información detallada como nombres, cédulas de identidad, números de calle, apellidos, deudas, números de puerta y situaciones de corte por impago. Estos archivos contienen datos personales (PII) y están publicados en la dark web como parte del contenido relacionado con Edesur Dominicana.

Si eres cliente de Edesur, protege tus datos personales. Revisa tus cuentas, actualiza contraseñas y mantente atento a cualquier actividad sospechosa.

12 de marzo, el grupo de ransomware Safepay publicó en su página de filtraciones en la dark web información sobre tres entidades pertenecientes a la zona de Latinoamérica.

Una red funeraria Colombiana publicada en la Dark Web

Los losolivos.co es una red funeraria ubicada geográficamente en Bogotá, Colombia. Una de las sedes, cali.losolivos.co, ha sido víctima de ciberdelincuentes conocidos como Safepay ransomware.

En su descripción, afirman haber robado 117 GB de información de esta funeraria. En sus muestras, podemos apreciar que han sido publicados archivos pertenecientes a la funeraria.

Este es un ejemplo de la multitud de archivos que hay en ese directorio que exponen en la dark web el ransomware Safepay. En la página de Los Olivos ni en cali.losolivos han dado a conocer un incidente de ciberseguridad, tampoco en sus redes sociales. Se evidencian datos personales, lo cual debería intervenir la Superintendencia de Industria y Comercio de Colombia (sic.gov.co).

Centro Médico Peruano JockeySalud expuesto en la DarkWeb

El centro médico ubicado geográficamente en Lima, Perú, llamado JockeySalud, ha sido publicado por el grupo Safepay. Estos actores afirman haber robado 120 GB de información de este centro médico. En las muestras que exponen estos ciberdelincuentes, hay archivos de imágenes de informes de endoscopias de sus pacientes.

Este es uno de una multitud de archivos. También se han visto contratos de trabajo, reclamaciones de pacientes, etc. Por lo visto, este centro médico en su página web no ha dado ningún aviso de algún incidente de ciberseguridad, ni tampoco que sus datos fueron expuestos en la dark web, tampoco en sus redes sociales. En Perú, la Autoridad Nacional de Protección de Datos Personales (ANPD) podría intervenir ya que se observan PHI (Protected Health Information).

Moto Mecánica Argentina S.A(MMA) expuesta en la DarkWeb por Safepay

Moto Mecánica Argentina S.A. (MMA) es una empresa dedicada al diseño, fabricación y servicio de equipos para la industria del petróleo y gas. Fue publicada por el grupo Safepay en su sitio de filtraciones en la dark web. Según los actores de amenazas, habrían robado 171 GB de información de esta entidad. Por lo visto, en su página web no hay ningún anuncio de algún incidente de ciberseguridad, ni tampoco en sus redes sociales.