El boletín de Security Affairs destaca las amenazas más sofisticadas del primer trimestre de 2026, desde un nuevo infostealer para macOS hasta un grave ataque a la cadena de suministro mediante el paquete npm Axios.
Analizamos las campañas de malware más significativas de las últimas semanas, desde el infostealer Infiniti para macOS hasta el grave compromiso del paquete Axios en npm y las sofisticadas técnicas de evasión empleadas por actores norcoreanos.
El radio de impacto de los ataques de cadena de suministro del grupo TeamPCP crece mientras ShinyHunters y Lapsus$ se disputan el crédito, generando un escenario confuso y de alto riesgo para las organizaciones afectadas.
Un sofisticado ataque de ingeniería social vinculado a actores norcoreanos comprometió la cuenta de un mantenedor de Axios, publicando versiones maliciosas en npm. Analizamos la cadena de ataque completa.
Los actores de amenazas están refinando sus técnicas de ingeniería social para comprometer a los mantenedores de proyectos de software de código abierto, buscando introducir código malicioso en bibliotecas críticas.
CERT-EU ha confirmado una importante brecha de datos en el entorno cloud de la Comisión Europea, atribuida al grupo de amenazas TeamPCP. El incidente, que se originó a través de un compromiso en la cadena de suministro de Trivy, resultó en la exposición de información sensible perteneciente a 42 clientes internos y al menos otras 29 entidades de la Unión.
El gobierno estadounidense ha implementado una prohibición integral sobre la importación y venta de nuevos routers de consumo fabricados fuera de EE.UU., citando graves riesgos para la ciberseguridad nacional y la cadena de suministro crítica.
El incidente de Anthropic que expuso accidentalmente 500.000 líneas de código de Claude Code revela vulnerabilidades críticas en los procesos de desarrollo modernos y plantea serios riesgos para la cadena de suministro de software global.