Security

Una aplicación maliciosa consiguió acceso root en un teléfono OnePlus sin modificar sin solicitar ni un solo permiso. OnePlus afirma que las vulnerabilidades también afectan a los dispositivos Oppo, pero no ha especificado todos los modelos. Cuando el investigador informó del problema, tuvo que esperar meses para recibir información sobre las correcciones y recibió una advertencia legal por publicar sus hallazgos.

Anker ha abierto el plazo de reserva para la eufy SoloCam E50, una cámara de seguridad con giro e inclinación alimentada por energía solar que cuesta 229,99 dólares y cuenta con dos lentes 4K, zoom híbrido de 12x, detección por radar y una batería de 10 000 mAh, cuyo envío está previsto para finales de octubre de 2026. Esta cámara es la sucesora de la SoloCam E40, de 129,99 dólares, que grababa vídeo en 2K con una única lente fija y almacenaba los clips en una memoria integrada de 8 GB.

Desde el miércoles, el modo de voz de ChatGPT puede extraer datos de aplicaciones conectadas, como Gmail, Google Calendar y Slack, incluso en el plan gratuito. OpenAI no acepta la aprobación verbal, por lo que cualquier acción que requiera un «sí» debe confirmarse en la pantalla. Hay un ajuste que determina qué puede leer ChatGPT sin preguntar, y la desconexión de una aplicación es un paso independiente.

Las autoridades alemanas y austriacas han asestado un duro golpe a las redes de fraude en línea. En la «Operación Heracles», de gran envergadura, los investigadores desactivaron cerca de 14 000 números de teléfono utilizados de forma generalizada para estafas financieras. No obstante, la amenaza para los consumidores persiste.

Google ha añadido 14 aplicaciones conectadas a Gemini, entre las que se incluyen Adobe, Peloton, Experian y Airtable. Según la propia tabla de disponibilidad de Google, 10 de ellas solo funcionan en EE. UU. Fuera de EE. UU., solo están disponibles Adobe, monday.com y Wispr AI, y únicamente en inglés. Desconectar una aplicación posteriormente no elimina lo que Gemini ya haya guardado.

Más allá de la información personal, ShinyHunters afirmó que su ataque al FBI reveló detalles cruciales sobre el funcionamiento de la unidad cibernética de la agencia. Aunque esto podría suponer un duro golpe para la agencia, aún no se conoce el alcance total del ataque.

Una nueva encuesta encargada por Exabeam revela que el 48 % de los responsables de seguridad consideran que los agentes de IA autónomos con acceso excesivo constituyen su principal amenaza, por delante de los piratas informáticos y de los empleados malintencionados.

Microsoft confirma que las actualizaciones KB5124012 y KB5124008 de septiembre interrumpieron las conexiones VPN Always On que utilizaban la conmutación automática al protocolo IKEv2/SSTP. A continuación se indica la solución provisional.

El acceso anticipado a «Control Resonant» no está disponible para los jugadores de Xbox ni de PC. Aun así, los piratas informáticos han distribuido una versión funcional para Steam un día antes de su fecha de lanzamiento, el 24 de septiembre. Cada vez son más los juegos AAA con costosas versiones de pre-venta que han sido víctimas de la piratería.

La actualización KB5124010 de Windows 11 incorpora la reasignación de teclas de Copilot, Emoji 17.0 y correcciones en el Explorador de archivos, pero presenta dos errores importantes. A continuación se detallan las novedades y cómo solucionar todos los errores.

Durante 30 años, una norma ha impedido que un sitio web de su navegador pudiera leer otro. En el modo agente, esa garantía se convierte en una cuestión sobre la calidad del modelo. Dos grupos de investigación lo demostraron de forma independiente, una empresa de seguridad lo puso de manifiesto y el navegador con el hallazgo más claro ha desaparecido.

Microsoft confirma que las copias de seguridad de «Historial de archivos» están fallando de forma silenciosa tras las actualizaciones de Windows de septiembre de 2026. A continuación se indica qué se ve afectado y cómo comprobar si su sistema presenta errores.

ChatGPT ha añadido esta semana un centro de privacidad al menú de la cuenta. Está disponible para las cuentas Free, Go, Plus, Pro y Business, recoge siete temas que van desde la memoria hasta la publicidad y le redirige a «Configuración» para cada cambio. Merece la pena detenerse en tres frases que contiene, ya que OpenAI explica detalladamente qué funciones siguen activas con los ajustes habituales.

Desde principios de septiembre, las gafas dejan de grabar en cuanto alguien tapa la luz. Ocho días después, la autoridad de protección de datos de Hamburgo publicó su informe final, en el que se pone de manifiesto en qué aspectos la luz sigue sin funcionar correctamente. En el caso de una de las funciones, no se enciende en absoluto.

Google Fotos lleva desde marzo respondiendo en Alemania a preguntas como «¿Dónde acampé el verano pasado?». Para que la función se active, es necesario que dos ajustes estén activados, y Google incluye una nota destacada sobre uno de ellos en otra sección. La frase tranquilizadora sobre el entrenamiento de la IA gira en torno a una sola palabra.

OpenAI establece una cookie denominada __obi en ChatGPT, la conserva durante un año y la vincula a su cuenta. Si visita un sitio web que compra anuncios de ChatGPT, su navegador envía ese identificador a OpenAI junto con la información sobre lo que estaba viendo. La propia política de cookies de OpenAI la clasifica como «análisis». A continuación se detalla qué datos se transmiten con ella y qué opciones puede desactivar.

Perfiles falsos en Instagram y Facebook anuncian inversiones que no existen, utilizando la imagen de un conocido formador alemán especializado en finanzas. Un tribunal de Fráncfort ha declarado a Meta directamente responsable, ya que su sistema de subasta publicitaria decide qué usuario ve cada anuncio. Las personas que han perdido dinero obtienen menos beneficios de la sentencia de lo que sugiere el titular.

Apple ha incorporado en iOS 27 una función que detecta el momento en que alguien le está presionando para que realice un pago. Esta función cubre la laguna que la autenticación de dos factores no puede subsanar. La función viene desactivada de fábrica, los cambios tardan hasta 24 horas en surtir efecto y solo funciona en aplicaciones que Apple no ha especificado.

La Smart Camera 5 Pro de Xiaomi combina dos sensores, visión nocturna a todo color en 4K y detección mediante IA integrada en el dispositivo, con una amplia cobertura de giro e inclinación. Los usuarios también disponen de opciones de almacenamiento flexibles, con la posibilidad de guardar los datos en la nube si es necesario.

Compartir un archivo mediante un enlace no implica que dicho enlace deje de estar activo una vez que haya terminado. Sigue funcionando, muestra su dirección de correo electrónico a cualquiera que lo abra, y Google clasifica a esos lectores como usuarios anónimos. La fecha de caducidad que todo el mundo recomienda es una función de pago tanto en Google como en Microsoft y Dropbox.

Google lanzó la actualización de septiembre para los Pixel el 15 de septiembre, destinada a los modelos desde el Pixel 6 hasta el Pixel 10. Esta actualización corrige 110 vulnerabilidades y, según Google, una de ellas es objeto de un ataque limitado y selectivo. La serie Pixel 11 no figura en dicha lista. Ya ha recibido dos actualizaciones de septiembre, ambas con el nivel de parche del 1 de septiembre. Google afirma que la corrección requiere la versión del 5 de septiembre.

La actualización fuera de ciclo KB5129195 de Microsoft corrige errores relacionados con el Escritorio remoto, el uso compartido de carpetas en Hyper-V y el audio USB que se produjeron en el «Patch Tuesday» de septiembre, además de una vulnerabilidad de privilegios de sistema.

La actualización de seguridad de septiembre de Microsoft impide pegar contenido en Excel. El comando falla sin emitir ningún pitido ni mostrar ningún mensaje de error, y la celda de destino permanece vacía. Microsoft incluyó este error en la descripción de su propia actualización el 10 de septiembre y afirma que sigue investigando la causa. Las versiones afectadas son Excel 2016, 2019, 2021 y 2024.

Google recomienda a los administradores que faciliten la dirección de correo electrónico de un empleado que abandona la empresa a un compañero actual como alias. Microsoft sugiere el reenvío o un buzón compartido. El responsable de protección de datos de Sajonia-Anhalt considera que esto es inadmisible. Cualquiera que lea la dirección puede restablecer cuentas privadas.

Con un solo toque en «Iniciar sesión con Google» se entrega un token a un tercero. Este permanece en sus servidores, sobrevive a la eliminación de la aplicación y solo caduca tras seis meses sin uso. Una nueva contraseña revoca los tokens de Google que tienen ámbito de correo y nada más. Todo lo demás permanece hasta que usted mismo lo elimine.

La empresa de seguridad de Múnich nebty ha documentado 119 012 tiendas falsas prácticamente idénticas. Copian las fotos, el texto y los precios de los minoristas reales e incluso vuelven a publicar la propia dirección de atención al cliente de la marca. Entre ellas se encuentran FRITZ!, Dreame, EcoFlow y Roborock. El proceso de pago envía los datos de la tarjeta campo por campo a medida que se teclean.

Unos 347 000 suscriptores del boletín informativo de Trezor recibieron una advertencia sobre un supuesto defecto de hardware, enviada desde la dirección auténtica [email protected]. Superó todos los controles de autenticación porque el proveedor del boletín, Brevo, había sufrido una filtración. BitBox y CoinTracking también se vieron afectados. A continuación le indicamos qué es lo que realmente le protege.

Un código QR que aparezca en la pantalla de una Switch podría exponer la consola a una brecha de seguridad y a la pérdida de datos. El método de emparejamiento se utiliza para compartir álbumes con teléfonos inteligentes o con los vehículos piloto en Mario Kart Live: Home Circuit. Nintendo ha lanzado el firmware 23.0.0 para contrarrestar el hackeo.

La actualización del «Patch Tuesday» de septiembre de 2026 de Microsoft corrige importantes vulnerabilidades de día cero de Windows que estaban siendo explotadas e introduce una nueva barra de tareas, un nuevo menú Inicio y nuevas opciones de búsqueda para Windows 11.

Andreas Thom, especialista en teoría de grupos de la Universidad Técnica de Dresde, afirma que OpenAI le dio una respuesta engañosa sobre si sus sesiones privadas de ChatGPT alimentaron los datos de entrenamiento subyacentes a la demostración de Astra, que construyó el primer grupo no sofico. OpenAI no se ha pronunciado públicamente sobre sus publicaciones.

Chrome 153 incluye 230 correcciones de seguridad. Google afirma que ya está circulando un exploit para una de ellas. El parche se instala en los equipos por fases y no surte efecto hasta que se cierre y se vuelva a abrir el navegador.

Se alega que más de 216 millones de televisores inteligentes de LG espían a los usuarios a través de sus micrófonos e incluso recopilan datos privados sobre el comportamiento de uso y otros dispositivos conectados a la misma red Wi-Fi, enviándolos a LG. El gigante tecnológico surcoreano niega ahora estas acusaciones.

La actualización de septiembre de Samsung corrige dos fallos críticos en el decodificador de imágenes que utilizan todos los teléfonos Galaxy. Google Project Zero informó de ambos. En 2025, los atacantes se valieron de esa misma biblioteca para distribuir el software espía Landfall.

Denuvo está perdiendo importancia, ya que su sistema DRM sobrevive en cada vez menos juegos. En la última ronda de cracks, seis títulos, entre ellos Mortal Kombat 1 y Persona 3 Reload, quedaron comprometidos en un solo día. Otra persona, además de voices38, se enfrentó a Far Cry 5, emergiendo como una nueva amenaza para la protección.

GMX y WEB.DE están autorizados a vaciar un buzón gratuito no utilizado tras 6 meses y a ceder la dirección a otro usuario tras 12. Así lo establece el apartado 5.3 de las condiciones de ambos proveedores. Cualquier persona que siga utilizando esa dirección en una tienda, una aseguradora o una cuenta antigua estará enviando sus restablecimientos de contraseña a un desconocido.

Al activar la autenticación de dos factores, se le proporcionan 10 códigos de respaldo y las instrucciones para guardarlos en un lugar seguro. Casi nadie indica dónde. Microsoft recomienda no almacenarlos en el dispositivo con el que inicia sesión, Instagram sugiere realizar una captura de pantalla y la propia página de ayuda de Google indica el nombre del archivo en el que se guardan los códigos. El malware de robo de información busca precisamente eso.

Una investigación realizada por Gamers Nexus reveló que los televisores inteligentes de LG escanean las redes locales para localizar teléfonos y dispositivos cercanos. Las pruebas también demostraron que estos aparatos pueden captar el audio del micrófono con la pantalla apagada; posteriormente, suben los datos una vez que se vuelven a conectar a Internet.

Muchos propietarios de consolas se han visto de repente imposibilitados para utilizar las funciones en línea de Nintendo. Las restricciones impiden a los usuarios acceder a las compras realizadas en la eShop o instalar juegos de Switch 2 a partir de tarjetas Game-Key. Los usuarios de Reddit niegan cualquier implicación en actos de piratería, lo que podría haber dado lugar a dicha restricción.

WhatsApp elevará su requisito mínimo a Android 6 el 8 de septiembre de 2026. Los teléfonos afectados no podrán actualizarse, por lo que sus propietarios necesitarán un nuevo dispositivo. En la información sobre la fecha límite para Android ha faltado una segunda fecha que figura en la misma página de ayuda. A partir del 30 de noviembre, los iPhone necesitarán iOS 15.5, y en ese caso bastará con una actualización.

Google comenzó a eliminar el Asistente de los teléfonos Android el 4 de septiembre, y Gemini toma el relevo. En la aplicación Gemini, la función «Keep Activity» está activada de forma predeterminada para los adultos. Una parte de todos los chats se envía a revisores humanos, y esas copias no se eliminan al borrar el historial. Google las conserva durante un máximo de tres años.

OpenAI ha lanzado GPT-6 Astra, la IA más potente de la empresa hasta la fecha. Astra es tan capaz de desarrollar exploits de día cero y piratear objetivos que se le ha otorgado una calificación de amenaza crítica para la ciberseguridad, lo que ha requerido la aplicación de medidas de seguridad adicionales antes de su lanzamiento.

Una nueva contraseña no cierra la sesión en cada sesión, y la mayoría de los proveedores nunca explican qué es lo que realmente hace. Google sigue mostrando los dispositivos que ha restablecido a los valores de fábrica, Amazon mantiene los Kindles conectados, Netflix oculta cualquier cuenta inactiva durante 90 días. Dónde se encuentran las listas de dispositivos de Google, Microsoft, Apple, WhatsApp, Netflix, Instagram y Amazon, y cómo borrarlas en 10 minutos.

La OMVI 2i Ultra de Reolink combina el seguimiento con doble cámara, la detección mediante IA personalizable y la alimentación por batería asistida por energía solar para ofrecer seguridad exterior sin necesidad de suscripción. Se lanzará a finales de octubre y se complementará con el Home Hub 2, que ofrece almacenamiento local e integración con el hogar inteligente.

ChatGPT, Claude y Grok dejaron de funcionar el miércoles con unas horas de diferencia entre uno y otro. La frecuencia con la que ocurre esto es de dominio público: OpenAI informa de un tiempo de actividad del 99,64 % para ChatGPT en un periodo de 90 días, mientras que Anthropic indica un 99,4 % para claude.ai. Esto supone aproximadamente ocho y trece horas, respectivamente. A continuación se detallan las cifras y se indica qué hacer la próxima vez.

OpenAI ha calificado su próximo modelo Astra como «crítico» para la ciberseguridad, siendo el primer modelo en alcanzar ese nivel. Es capaz de detectar fallos desconocidos y crear exploits funcionales sin que una persona supervise cada paso. Las medidas de seguridad que lo acompañan también señalarán las tareas habituales, por lo que las operaciones en ChatGPT y Codex podrían ralentizarse, pausarse o detenerse.

Tras un susto, la mayoría de las personas cambian su contraseña de Google y vuelven a sentirse seguras. La propia documentación de Google muestra que esto solo bloquea las aplicaciones vinculadas a su bandeja de entrada. Las fotos, el calendario y los contactos permanecen conectados. Desde el 12 de agosto ha ido creciendo una segunda lista, y esta hace algo más que leer.

Robe el número de teléfono y obtendrá los códigos SMS que lo acompañan. La mayoría de las personas se imaginan un documento de identidad falsificado en el mostrador de una tienda. La vía sobre la que advierten los investigadores alemanes pasa por su cuenta en línea con el operador, una eSIM solicitada por usted mismo y una llamada telefónica. Qué ofrecen Telekom, Vodafone y O2 para combatirlo, y por qué una de esas medidas apunta en la dirección equivocada.

Anthropic ha estado cerrando la sesión a los usuarios de Claude y eliminando el método de pago guardado en sus cuentas. En un correo electrónico dirigido a los clientes afectados, la empresa explica el motivo. Un malware de robo de información copió sus sesiones de inicio de sesión en Claude desde sus ordenadores, y un malhechor las utilizó para agotar el crédito de uso de pago. No se necesitó ninguna contraseña ni código de autenticación de dos factores.

GrapheneOS afirma que no será compatible con el Pixel 11 de Google debido a que el chip Tensor G6 carece de la Memory Tagging Extension (MTE), una función de seguridad de hardware fundamental para este sistema operativo centrado en la privacidad. El análisis del gestor de arranque y los documentos filtrados de Google sugieren que la MTE se eliminó deliberadamente, lo que ha llevado a GrapheneOS a recomendar modelos Pixel más antiguos, al tiempo que estudia la posibilidad de ofrecer compatibilidad con un próximo modelo insignia de Motorola.