Fco Javier

Vulnerabilidad en routers Movistar, O2, MásMóvil, Jazztel... Se ha descubierto una vulnerabilidad en routers WiFi con chips Broadcom, concretamente en el componente "wps_monitor". Este fallo permite a un atacante obtener control remoto del router desde una conexión externa y, potencialmente, ejecutar código. Broadcom conoce el problema desde 2018, pero no lo ha corregido. La investigación fue presentada en el evento Hexacon 2026 por Quentin Kaiser, que empleó técnicas de análisis asistido por IA. La vulnerabilidad afecta a routers "clásicos" (no hablamos de los que vienen con WiFi 6 o WiFi 7) utilizados por varias operadoras: Movistar y O2: Askey HGU RTF3505VW (hasta firmware 203_n43), MitraStar HGU GPT-2541GNAC (hasta firmware 100VNJ0b38) y Comtrend VG8050. MásMóvil y Jazztel (Orange): ZTE F680 v4 y Sagemcom Fast 5656. Estos equipos son identificables y siguen en uso en muchas casas, aunque se trata de modelos antiguos. El problema también afecta a routers con chips Broadcom en otros países (se estima que solo en Bélgica hay unos 1,5 millones de dispositivos potencialmente afectados). El monitor WPS permanece activo aunque el usuario desactive la función WPS en el router. Esto deja expuesto el dispositivo a ataques externos que pueden permitir el control total del equipo y la ejecución de código. No se ha informado de explotaciones activas masivas, pero el impacto potencial incluye el compromiso de la red doméstica y de los dispositivos conectados. La solución definitiva requiere una actualización de firmware que elimine el componente vulnerable (responsabilidad de Broadcom y de las operadoras). Se recomienda mantener la calma, estar atentos a comunicados oficiales de las operadoras y aplicar las actualizaciones de firmware cuando estén disponibles.

Quienes atacaron Revolut, van más allá. "ImNotAVillain" se hacen llamar. Ya hay un nombre. El grupo que se hace llamar IAmNotAVillain pasó de la reivindicación a la extorsión pública y a filtrar expedientes nominativos. Han empezado a publicar en Telegram (y en un sitio propio, iamnotavillain.xyz) copias de pasaportes y selfies KYC de personas concretas, entre ellas el tenista Alexander Shevchenko y Felix Römer, de Gamdom. Afirman que seguirán soltando material cada día si Revolut no paga. Varios medios cifran la exigencia en 10.000 bitcoin y sería bastante irónico, porque si llegan a pagar, dudo que verifiquen el ID de la otra persona en esa transacción hehe. La parte más grave (y aún no verificada por las autoridades) es que el actor sostiene que no se limitó a suplantar un dominio oficial: que durante unos seis meses habría tenido acceso a sistemas de varias unidades de las fuerzas del orden italianas (incluido el canal PEC) y que desde ahí envió las peticiones a Revolut. Reivindica unos 147 GB del lado italiano (documentos internos, calendarios y material personal, según su propio relato). Viminale, ACN y Polizia di Stato no han confirmado esa intrusión. Las capturas que circulan no bastan para darla por cierta parece ser. Sobre el perímetro de clientes: Revolut mantiene que es un número “muy limitado” y ha notificado a unas 680 personas. El grupo habla de algo más de 700, con concentración en Suiza y Francia y presencia en una treintena de países. El patrón de los nombres que han salido encaja con un foco en perfiles de alto patrimonio y actividad cripto, no con un volcado masivo de la base. Revolut sigue insistiendo en que no hubo compromiso de sus sistemas ni de fondos y el ICO británico ya está estudiando el caso.

Revolut la lia tras entregar información de ciertos usuarios de interés para atacantes tras responder un falso requerimiento legal Revolut confirmó ayer 12 de septiembre de 2026 que entregó datos sensibles de un número “limitado” de clientes a un tercero no autorizado, después de atender solicitudes fraudulentas enviadas desde un correo alojado en el dominio legítimo de un organismo gubernamental. No se trata de una intrusión en sus servidores ni nada por el estilo, sino de un error garrafal. Lo que falló, como casi siempre, fue el factor humano al pensar que estos requerimientos se responderían por un simple email. Según el aviso enviado a los afectados y las declaraciones de la compañía a Reuters, TechCrunch y Bloomberg, un tercero creó o usó un buzón dentro de la infraestructura de correo de una autoridad pública. El mensaje llevaba credenciales de autenticación de dominio válidas (pasó controles del tipo SPF, DKIM y DMARC). Revolut lo trató como un requerimiento auténtico y remitió la información. Más tarde (tarde) contactó con el organismo por otra vía, constató que la solicitud no era suya y bloqueó la dirección. La empresa describe el caso como una “estafa sofisticada de suplantación externa”. No ha identificado el organismo, ni el país, ni cuántos clientes están afectados. Tampoco ha precisado si el buzón fue secuestrado o si alguien con acceso interno al dominio lo utilizó. La cronología de los hechos son los siguientes: Los avisos a clientes comenzaron a llegar el viernes 11 de septiembre de 2026. Mark Karpelès, exconsejero delegado de Mt. Gox (Empresa de criptomonedas muy conocidas por ser de las primeras) y uno de los afectados, recibió un correo con el asunto de actualización urgente de seguridad sobre las 21:59 UTC de ese día y publicó extractos el sábado 12. El famoso investigador de estafas con criptomonedas ZachXBT difundió el caso el mismo sábado. Revolut confirmó los hechos ese día a varios medios, a primera hora del día 12 aún no había comunicado oficial en su cuenta principal. El aviso a clientes, reproducido por varios medios, indica que la información remitida pudo incluir: · Nombre completo, fecha de nacimiento y ocupación · Dirección postal, correo electrónico y teléfono · Copias de pasaporte o permiso de conducir · Selfie de verificación de identidad · IBAN, estado de la cuenta, fecha de apertura y referencias de monedero · Extractos, registros de retiradas e historial completo de transacciones, incluido Bitcoin Una situación cuanto menos preocupante. Revolut sostiene que no se compartió la telemetría biométrica facial (la plantilla que el sistema extrae de la foto), ni contraseñas, PIN, claves privadas, números de tarjeta ni fondos pero vaya, sí pudo salir la propia fotografía de verificación. La combinación de documentos KYC con el historial de Bitcoin permite, en la práctica, vincular una identidad real con actividad on-chain. La compañía habla de un grupo “limitado” o “muy limitado” de clientes y afirma haberles escrito de forma directa. ZachXBT apunta a que el envío parece selectivo y orientado a perfiles de alto patrimonio aunque esa hipótesis no está confirmada por Revolut. Pero sería algo aún más serio, pues hablamos de posible compromiso físico de personas por su patrimonio. Tras detectarlo, bloqueó la dirección y avisó al organismo afectado, a las fuerzas de seguridad, a las autoridades de protección de datos y a los reguladores financieros. Declara que sus sistemas y el dinero de los clientes no se han visto comprometidos, y que aplicó medidas de protección precautorias a las cuentas afectadas. No es un simple "hack" o "phishig" es un fallo del procedimiento con el que los bancos atienden requerimientos legales: si el correo nace en un dominio oficial y autentica bien, el control técnico no basta. Para identificarte como cliente, debes pasar un proceso de identificación (KYC), sin embargo, la veracidad de quien está detrás de la pantalla para la solicitud de esos mismos datos, parece algo más suave... Recuerda, te dirán siempre que el KYC es por tu bien.