DigiSERT Cyber Weekly

Es el incidente de mayor impacto de la semana para el mercado peruano. Las combinaciones de datos que el actor afirma tener (DNI + nombre + celular + correo + placa + póliza, más historial crediticio RCC) permiten campañas de smishing y vishing muy creíbles, suplantación de identidad y fraude contra clientes de seguros y banca, incluso si el atacante no obtuvo acceso transaccional. Las organizaciones con integraciones, canales de venta compartidos (Bancaseguros) o proveedores comunes con Interseguro e Intercorp deben revisar su exposición.

Riesgos clave para el negocio del cliente:

• Fraude y phishing dirigido contra clientes con datos reales de pólizas, vehículos y contacto.
• Exposición regulatoria ante la ANPD (Ley N.° 29733) y la SBS (Reglamento para la Gestión de la Seguridad de la Información y la Ciberseguridad, Res. SBS N.° 504-2021) si datos propios se encuentran en la filtración.
• Riesgo de terceros: credenciales, claves API o accesos compartidos con la aseguradora o sus proveedores de datos.
• Daño reputacional y pérdida de confianza en canales digitales y de Bancaseguros.

Alineación con el portafolio de servicios de DigiSOC:

• Cyber Threat Intelligence (CTI): Monitoreo del sitio de filtraciones de Dire Wolf y de la publicación progresiva de los datos para identificar información de clientes, colaboradores o terceros del cliente.
• Monitoreo de Riesgo Digital y Marca: Detección de dominios, perfiles y campañas de phishing que suplanten a aseguradoras o bancos usando datos de la filtración.
• Monitoreo SOC / SIEM 24/7: Alertas sobre exportaciones masivas de bases de datos, uso anómalo de cuentas de servicio cloud y comandos de destrucción de respaldos.
• Gestión de Riesgo de Terceros (TPRM): Evaluación de integraciones, cuentas compartidas y proveedores comunes con Interseguro e Intercorp.
• Equipo de Respuesta a Incidentes (IR Retainer): Contención y análisis forense si se identifican indicadores de Dire Wolf en el entorno del cliente.

• Inmediatas: Cargar los IOC de Dire Wolf en EDR y SIEM y crear alertas para vssadmin, wbadmin, bcdedit, wevtutil cl y taskkill sobre servicios de seguridad o de registro. Si existe relación con Interseguro o Intercorp: revisar integraciones, cuentas compartidas, claves API y accesos VPN; rotar secretos y solicitar por canales oficiales información sobre el alcance. Alertar a colaboradores y clientes sobre mensajes que usen pólizas, renovaciones de SOAT, reembolsos o siniestros para solicitar datos personales, códigos OTP o pagos.
• Corto plazo: Aplicar MFA resistente a phishing en consolas cloud, bases de datos administradas, VPN y correo; revisar credenciales expuestas por infostealers y deshabilitar cuentas inactivas o de terceros. Revisar los permisos de cuentas de servicio sobre plataformas de datos (MongoDB Atlas, AlloyDB, BigQuery, almacenamiento de objetos) y aplicar mínimo privilegio. Mantener respaldos inmutables o fuera de línea, fuera del alcance de las cuentas del dominio, y probar su restauración.
• Monitoreo continuo: Supervisar descargas masivas, exportaciones de bases de datos y transferencias hacia servicios de alojamiento de archivos (Gofile, MEGA, etc.) con SIEM, DLP y proxy. Seguir la publicación de datos en el sitio de filtraciones de Dire Wolf y los comunicados de Interseguro y la SBS.

La protección MotW y SmartScreen es la barrera que previene que los colaboradores ejecuten archivos maliciosos recibidos por phishing. Su neutralización deja expuesta a la organización ante cualquier ataque de ingeniería social básica, comprometiendo estaciones de analistas bancarios, operadores de salud y funcionarios de gobierno.

Riesgos clave para el negocio del cliente:

• Infección de estaciones de trabajo sin que se activen las advertencias de seguridad del sistema.
• Elusión de Windows Defender Application Control mediante CVE-2026-108398 (divulgada públicamente).
• Mayor exposición a campañas de phishing con adjuntos maliciosos mientras no se aplique el parche.

Alineación con el portafolio de servicios de DigiSOC:

• Gestión Continua de Vulnerabilidades (VMaaS): Auditoría urgente del inventario de servidores y estaciones Windows para calendarizar y auditar el despliegue del paquete acumulativo de octubre de 2026.
• Managed Detection and Response (MDR / EDR): Monitoreo de telemetría de procesos para detectar la ejecución de binarios sospechosos iniciados desde carpetas de descargas o temporales, independientemente del estado de MotW.
• Simulación de Phishing y Concientización: Módulos de refuerzo para colaboradores recordando la verificación de archivos adjuntos antes de su apertura.

• Inmediatas: Desplegar con carácter de máxima prioridad la actualización de seguridad de Windows de octubre de 2026 en estaciones de trabajo y servidores corporativos.
• Corto plazo: Configurar directivas de grupo (GPO) o reducción de superficie de ataque (ASR) para bloquear la ejecución de archivos ejecutables procedentes de correos electrónicos.
• Monitoreo continuo: Supervisar en el SIEM eventos de ejecución de procesos anómalos derivados de carpetas temporales de usuarios.

El gateway de correo debe permanecer accesible desde internet para recibir correspondencia. Un ataque que otorgue privilegios root a través de un adjunto compromete la confianza en las comunicaciones de la empresa y podría permitir a los atacantes leer o manipular correos, o usar la pasarela para enviar mensajes maliciosos a clientes y socios.

Riesgos clave para el negocio del cliente:

• Control total con privilegios root sobre el gateway perimetral de correo.
• Exposición de las llaves SSH entre miembros del clúster y compromiso de otros gateways.
• Eliminación u ocultamiento de evidencia forense por parte del atacante.

Alineación con el portafolio de servicios de DigiSOC:

• Gestión Continua de Vulnerabilidades (VMaaS): Verificación inmediata de la versión del paquete Content Scanner Tools (contentscannerstatus) en todos los gateways gestionados.
• Monitoreo SOC / SIEM 24/7: Ingesta y alerta en tiempo real de registros de system_logs que contengan mensajes de alerta de seguridad del sistema.
• Equipo de Respuesta a Incidentes (IR Retainer): Asistencia forense según la guía de Cisco: preservar evidencia antes de actualizar y, en appliances virtuales comprometidos, desplegar una instancia nueva con versión corregida, reconstruir la configuración sin importar archivos previos y renovar credenciales y material criptográfico.

• Inmediatas: Actualizar de inmediato el paquete Content Scanner Tools a la versión 25.3.0.5525 o superior (se instala sin reinicio de software), o actualizar Cisco AsyncOS a las versiones corregidas. Ejecutar el comando de diagnóstico en cada gateway: grep "System Security" system_logs.
• Corto plazo: Si se detecta compromiso, aislar el gateway, contactar al TAC de Cisco, preservar la evidencia forense y rotar inmediatamente todas las llaves criptográficas y contraseñas del clúster.
• Monitoreo continuo: Supervisar en el SIEM transferencias de red anómalas o descargas iniciadas directamente desde la dirección IP del gateway hacia internet.

Los cortafuegos de Palo Alto Networks protegen el perímetro y la segmentación interna de las organizaciones más exigentes del sector financiero, energético y estatal. Un ataque que conceda permisos root en el firewall permite al atacante modificar políticas de seguridad para dejar pasar tráfico malicioso sin ser detectado y apagar las funciones de inspección de amenazas.

Riesgos clave para el negocio del cliente:

• Pérdida total de la confianza en la segmentación perimetral de la red corporativa.
• Obtención de privilegios root en el dispositivo de seguridad central de la empresa.
• Robo de certificados SSL/TLS privados utilizados para la inspección y descifrado de tráfico.

Alineación con el portafolio de servicios de DigiSOC:

• Gestión Continua de Vulnerabilidades (VMaaS): Inventario urgente de appliances PA-Series, VM-Series y Panorama para verificar que la interfaz de gestión no esté expuesta a internet y aplicar los parches.
• Ciberinteligencia de Amenazas (CTI Feeds): Bloqueo en firewalls perimetrales de las direcciones IP reportadas por Palo Alto Networks (66.42.72[.]14, 208.83.239[.]114 y 149.248.47[.]234).
• Monitoreo SOC / SIEM 24/7: Búsqueda activa en los registros de acceso de gestión de PAN-OS de las direcciones IP reportadas y auditoría de sesiones administrativas.

• Inmediatas: Actualizar de inmediato PAN-OS a las versiones corregidas correspondientes a cada rama de soporte antes del 17 de octubre. Restringir de forma estricta el acceso a la interfaz de gestión del firewall, asegurando que solo sea alcanzable desde una subred de gestión privada o un servidor de salto (jump box).
• Corto plazo: Auditar las bitácoras de acceso administrativo de PAN-OS en busca de las tres direcciones IP reportadas por el fabricante.
• Monitoreo continuo: Supervisar en el SIEM los registros de auditoría de configuración ante cambios en las políticas de seguridad o adición de usuarios locales.

El secuestro de la pasarela VPN corporativa elimina la necesidad de que los atacantes utilicen correos de phishing para penetrar en la empresa. Para un hospital o una planta de manufactura, una intrusión a través de GlobalProtect permite a los operadores de ransomware posicionarse en el núcleo de la red en minutos, paralizando la facturación y la atención médica.

Riesgos clave para el negocio del cliente:

• Cifrado transversal de servidores de producción y máquinas virtuales con paralización total del negocio.
• Extorsión doble mediante la amenaza de divulgación de datos confidenciales en sitios de filtración.
• Explotación de la confianza depositada en las conexiones VPN de teletrabajo.

Alineación con el portafolio de servicios de DigiSOC:

• Monitoreo SOC / SIEM 24/7: Correlación de registros de acceso de GlobalProtect con las bitácoras de autenticación del proveedor de identidad (IdP) para detectar túneles que no registraron validación previa.
• Managed Detection and Response (MDR / EDR): Detección temprana de herramientas de reconocimiento y volcados de memoria en los endpoints internos antes de la detonación del ransomware.
• Equipo de Respuesta a Incidentes (IR Retainer): Despliegue inmediato de especialistas para aislar la pasarela perimetral y ejecutar contramedidas de contención.

• Inmediatas: Confirmar que todos los firewalls con GlobalProtect y Prisma Access tienen las correcciones de mayo de 2026. Deshabilitar las authentication override cookies donde no sean necesarias y usar un certificado dedicado para su cifrado.
• Corto plazo: Revisar sesiones VPN desde mayo de 2026 en busca de conexiones sin MFA o desde ubicaciones atípicas; rotar credenciales de usuarios remotos si hay indicios.
• Monitoreo continuo: Correlacionar en el SIEM los registros de GlobalProtect con el proveedor de identidad y alertar sobre herramientas de acceso remoto no autorizadas.

Las soluciones de respaldo centralizado son la última línea de defensa ante un ataque de ransomware. Aunque en estos incidentes la carga fue un criptominero, el acceso como SYSTEM a la consola de respaldos de un MSP permitiría eliminar o cifrar las copias de seguridad de sus clientes antes de un ataque de ransomware.

Riesgos clave para el negocio del cliente:

• Destrucción o secuestro de las copias de seguridad de la organización.
• Compromiso de la cadena de suministro si el MSP que gestiona los respaldos sufre una intrusión centralizada.
• Despliegue de webshells que facilitan el acceso persistente a los servidores anfitriones.

Alineación con el portafolio de servicios de DigiSOC:

• Gestión Continua de Vulnerabilidades (VMaaS): Escaneo perimetral para identificar servidores de respaldo AhsayCBS expuestos a internet y coordinar su parcheo urgente.
• Managed Detection and Response (MDR / EDR): Reglas en servidores de respaldo para alertar o bloquear consolas de comandos iniciadas por el servicio de AhsayCBS.
• Gestión de Riesgo de Terceros (TPRM): Auditoría obligatoria a los proveedores de servicios gestionados que administran copias de seguridad de los clientes.

• Inmediatas: Aplicar el hotfix 10.3.4.45 (v10) o 9.15.2.70 (v7–v9), reiniciar y verificar la versión en ejecución; no considerar suficiente la 10.3.4.0. Restringir el acceso a la consola de administración a IP de confianza o VPN.
• Corto plazo: Buscar los IOC de Huntress; si se encuentran, reconstruir el servidor desde un respaldo confiable y rotar credenciales.
• Monitoreo continuo: Alertar en EDR/SIEM sobre procesos hijos del servicio de AhsayCBS y conexiones hacia pools de minería.

Las aplicaciones construidas sobre SAP BTP con el SDK de Python conectan los sistemas ERP con servicios en la nube. Si un atacante obtiene el client ID y el secret OAuth2 de una aplicación, puede solicitar tokens en su nombre y acceder a los servicios e información que esa aplicación maneja (órdenes, facturación, datos maestros).

Riesgos clave para el negocio del cliente:

• Robo de credenciales OAuth2 de aplicaciones multi-tenant y acceso no autorizado a servicios de SAP BTP.
• Acceso no autorizado a interfaces que procesan órdenes de compra y facturación.
• Riesgo adicional por las fallas críticas en NetWeaver Visual Composer y SAP MII si no se aplican las notas de octubre.

Alineación con el portafolio de servicios de DigiSOC:

• Gestión Continua de Vulnerabilidades (VMaaS): Auditoría de dependencias de software (SCA) en aplicaciones corporativas para identificar el uso de versiones vulnerables del SDK de SAP.
• Monitoreo SOC / SIEM Cloud 24/7: Alertas sobre solicitudes de token OAuth2 hacia dominios ajenos a SAP BTP y sobre el uso de credenciales de aplicaciones desde orígenes inusuales.
• Consultoría en DevSecOps: Asesoramiento para implementar prácticas de control de flujo OAuth2 y validación estricta de URLs de destino en microservicios.

• Inmediatas: Actualizar SAP Cloud SDK for Python a la versión 0.55.1 o superior en todas las aplicaciones en producción. Aplicar las notas de seguridad de octubre para SAP NetWeaver Visual Composer (CVE-2026-89110) y SAP MII (CVE-2026-89108).
• Corto plazo: Rotar el client ID y el secret OAuth2 de las aplicaciones multi-tenant que usaron versiones vulnerables y validar el formato del subdominio del tenant.
• Monitoreo continuo: Supervisar en el SIEM las solicitudes de token y el uso de credenciales de aplicaciones SAP BTP.

Las empresas integran pasarelas como LiteLLM para centralizar el consumo de IA. Con una cuenta de bajo privilegio, un atacante podría robar las API keys de los proveedores de modelos, leer secretos del servidor y ejecutar código en el host del gateway.

Riesgos clave para el negocio del cliente:

• Robo de claves de API de OpenAI y Anthropic con consumo no autorizado de cuotas corporativas y fuga de prompts confidenciales.
• Toma de control administrativo total del gateway de IA de la organización.
• Ejecución remota de código en los servidores donde operan las soluciones de inteligencia artificial de la empresa.

Alineación con el portafolio de servicios de DigiSOC:

• Consultoría en Gobernanza y Seguridad de IA: Asesoramiento para auditar despliegues de gateways de modelos de lenguaje y aplicar privilegios mínimos de red.
• Gestión Continua de Vulnerabilidades (VMaaS): Detección continua de instancias de LiteLLM expuestas para verificar la actualización a la versión 1.83.9 o superior.
• Monitoreo SOC / SIEM 24/7: Configuración de reglas para auditar llamadas al endpoint /config/update y alertar ante solicitudes que utilicen el parámetro user_config.

• Inmediatas: Actualizar de inmediato todas las instancias de LiteLLM a la versión 1.83.9 o superior. Si hubo versiones vulnerables expuestas, revisar el uso de las API keys de proveedores de IA y rotarlas ante cualquier indicio de acceso no autorizado.
• Corto plazo: Auditar las cuentas de usuario registradas en el gateway y restringir el acceso a la interfaz web únicamente a redes corporativas autorizadas.
• Monitoreo continuo: Supervisar en el SIEM los registros de auditoría de la pasarela ante cambios de configuración o llamadas de red salientes hacia direcciones IP no autorizadas.

Muchas organizaciones dependen de proveedores de nube, hosting o SaaS. El caso IDCF muestra que los snapshots del proveedor no son un respaldo independiente: 301 de los 495 clientes afectados dependen de sus propias copias para recuperar sus datos.

Riesgos clave para el negocio del cliente:

• Paralización prolongada de servicios alojados en un proveedor comprometido.
• Pérdida de datos para clientes sin respaldos propios fuera del proveedor.
• Obligaciones de notificación de incidentes de datos personales aunque el incidente ocurra en un tercero.

Alineación con el portafolio de servicios de DigiSOC:

• Gestión de Riesgo de Terceros (TPRM): Identificación de dependencias críticas de nube y hosting, revisión de RTO/RPO, plazos de notificación y derecho de auditoría en contratos.
• Monitoreo SOC / SIEM 24/7: Alertas ante borrado masivo de respaldos, snapshots o recursos en las consolas cloud del cliente.
• Equipo de Respuesta a Incidentes (IR Retainer): Planes de continuidad para el escenario “proveedor de nube caído” y apoyo en la recuperación.

• Inmediatas: Identificar qué procesos del negocio dependen de un único proveedor de nube, hosting o SaaS y qué ocurriría si quedara fuera de línea varios días.
• Corto plazo: Mantener una copia inmutable propia en otra cuenta, otro proveedor o fuera de línea (regla 3-2-1-1-0) y probar la restauración periódicamente. Aplicar MFA resistente a phishing, mínimo privilegio y cuentas de emergencia separadas en las consolas cloud propias. Revisar contratos con proveedores: RTO/RPO, notificación de incidentes, ubicación y forma de los respaldos.
• Monitoreo continuo: Incluir el escenario de caída del proveedor de nube en los planes BCP/DRP y ejercitarlo. Alertar a los colaboradores sobre correos que suplanten a proveedores tecnológicos ofreciendo “soporte” tras el incidente.

Las organizaciones que gestionan sus FortiGate mediante un MSP o un FortiManager centralizado heredan el riesgo de ese punto único: un solo compromiso expuso las credenciales y certificados de más de 500 firewalls. PEERSTITCH, además, permite que sesiones VPN marcadas eludan los controles del firewall sin dejar rastros en disco.

Riesgos clave para el negocio del cliente:

• Exposición de credenciales, certificados y configuraciones de todos los firewalls gestionados desde un FortiManager comprometido.
• Sesiones VPN que eluden los controles de seguridad sin dejar artefactos en disco.
• Ceguera de los equipos de seguridad por la manipulación de los registros del firewall.

Alineación con el portafolio de servicios de DigiSOC:

• Monitoreo SOC / SIEM 24/7: Alertas sobre tráfico FGFM (541/TCP) desde orígenes externos, sesiones VPN anómalas y caídas de los servicios de registro de FortiGate.
• Gestión Continua de Vulnerabilidades (VMaaS): Verificación de que FortiManager y FortiOS tienen las correcciones para CVE-2024-47575 y CVE-2025-61624 y de que FGFM no está expuesto.
• Threat Hunting Proactivo: Auditoría de conexiones de red y revisiones de integridad de memoria en dispositivos de red perimetrales de clientes críticos.

• Inmediatas: Verificar que FortiManager está corregido para CVE-2024-47575 y FortiOS para CVE-2025-61624, y que el puerto 541/TCP no está expuesto a internet. Si el FortiManager estuvo expuesto, tratar como comprometidos el material criptográfico y las credenciales gestionadas y rotarlos.
• Corto plazo: Revisar dispositivos registrados en FortiManager, auto-scripts y cuentas de administrador; aplicar la regla YARA de Unit 42 y la verificación de memoria descrita.
• Monitoreo continuo: Alertar sobre tráfico FGFM externo, caídas de miglogd/iked y conexiones a la infraestructura listada.

La convergencia entre las redes corporativas (TI) y las redes de planta (OT) expone a los controladores industriales a ataques cibernéticos originados en el perímetro informático. Una vulnerabilidad en los módulos de E/S que controlan válvulas, cintas transportadoras o disyuntores eléctricos puede paralizar la producción de una fábrica durante días o provocar incidentes de seguridad física para el personal de planta.

Riesgos clave para el negocio del cliente:

• Toma de control de módulos de E/S y cambios de configuración no autorizados en planta.
• Interrupción de líneas de producción por denegación de servicio en dispositivos de campo.
• Mayor superficie de ataque en CPU Simatic S7-1500 y equipos Industrial Edge hasta aplicar parches o mitigaciones.

Alineación con el portafolio de servicios de DigiSOC:

• Monitoreo SOC / SIEM de Redes Industriales (OT 24/7): Inspección profunda de protocolos industriales (EtherNet/IP, Profinet, Modbus) para alertar sobre comandos de configuración no autorizados dirigidos a módulos de campo.
• Gestión Continua de Vulnerabilidades (VMaaS OT): Escaneos pasivos no intrusivos para inventariar y catalogar el firmware de dispositivos industriales Siemens y Rockwell.
• Consultoría en Segmentación Industrial: Asesoramiento para aplicar el modelo de Purdue y aislar de forma estricta las redes de control de planta respecto a las redes corporativas mediante zonas desmilitarizadas industriales (IDMZ).

• Inmediatas: Revisar los avisos de Siemens y Rockwell Automation (SD1801) para identificar los dispositivos desplegados y calendarizar ventanas de actualización de firmware. Asegurar que los módulos ArmorBlock y controladores SIMATIC no sean alcanzables bajo ninguna circunstancia desde la red corporativa de TI o internet.
• Corto plazo: Implementar reglas de cortafuegos industriales que bloqueen el tráfico de configuración hacia los módulos de E/S desde cualquier origen que no sea la estación de ingeniería autorizada.
• Monitoreo continuo: Supervisar en el SIEM anomalías de tráfico en los switches industriales y alertar sobre cambios de estado imprevistos en los dispositivos de campo.

La ciberseguridad corporativa no puede desligarse de la seguridad física de las instalaciones. Para entidades financieras, laboratorios farmacéuticos y empresas tecnológicas, una reunión directiva donde se discuten fusiones, balances financieros o patentes puede ser interceptada mediante un dispositivo de bajo costo si un empleado desleal aprovecha su tarjeta de acceso para ingresar a las salas de crisis.

Riesgos clave para el negocio del cliente:

• Fuga de información estratégica discutida en reuniones de alta dirección.
• Daño reputacional y pérdida de confianza de socios e inversionistas.
• Consecuencias legales derivadas de la grabación no autorizada de conversaciones.

Alineación con el portafolio de servicios de DigiSOC:

• Consultoría en Gestión de Amenazas Internas (Insider Threat Program): Asesoramiento para diseñar programas integrales que combinen telemetría física (control de accesos) y lógica para detectar comportamientos anómalos de empleados.
• Monitoreo SOC / SIEM 24/7 de Identidades y Accesos: Correlación entre registros de tarjetas de acceso físico a edificios y actividad en la red corporativa para alertar ingresos a zonas restringidas fuera de horario.
• Consultoría en Protección de Salas de Crisis: Recomendaciones para la implementación de protocolos de barrido técnico de contramedidas (TSCM) y políticas de salas seguras para reuniones de alta dirección.

• Inmediatas: Realizar una inspección física exhaustiva en las salas de conferencias ejecutivas, áreas de juntas y despachos directivos de la organización para descartar dispositivos no autorizados. Auditar los permisos de acceso físico en los sistemas de tarjetas para restringir el ingreso a salas ejecutivas exclusivamente al personal autorizado.
• Corto plazo: Implementar políticas de control estricto de accesos que requieran registro y doble validación para el ingreso a áreas de alta confidencialidad fuera del horario laboral.
• Monitoreo continuo: Supervisar en el SIEM los registros de control de acceso físico cruzándolos con la actividad de red para alertar patrones de presencia física inusuales.