Federico Joel Hombre

Ciberseguridad centrada en las personas · Cofundador · Host de Capa8

[Federico Joel Hombre @FedeJoelH]

🇦🇷 Jugamos de local en un país con una comunidad gigante!

[Federico Joel Hombre @FedeJoelH]

@PabloSabbatella Attio + granola + design system + grokbot para vendedores

[Federico Joel Hombre @FedeJoelH]

En MISP hasta la 2.5.45 ya quedaron expuestos por fallas que avisó https://t.co/Ik9DcSOE0v. Y ahí se ve por qué este Pentest AI Harness de @EsGeeks tiene sentido: sesiones y keys quedan en tu máquina, no rebotan por cualquier lado.

Para equipos que laburan engagements largos, eso no es un detalle lindo. Es contexto que no se pierde y menos superficie para meter la pata cuando el entorno ya viene con urgencias arriba. MISP no es un caso menor; WordPress tampoco.

La parte rara es que seguimos armando flujos "inteligentes" sin cerrar lo básico. Después aparece una versión vieja, un complemento flojo, y listo. Todo el teatro se cae por un plugin.

[Federico Joel Hombre @FedeJoelH]

GitLab no es el único frente abierto. @EsGeeks marca un CVSS 10 con explotación activa, y eso ya tendría que alcanzar para mover a cualquiera de una vez.

Mientras CISA acaba de sumar 7 fallos críticos al KEV, con SonicWall SMA 1000, Kestra OSS, LiteLLM y Sangoma Switchvox en la lista, el patrón se repite: hay publicación, hay parche, y ya hay alguien probando el hueco antes de que termine el día.

El caso de GitLab duele más porque un POST sin login alcanza para leer archivos del servidor si hay un proyecto público. Sin credenciales. Sin teatro.

Ese es el tipo de falla que no te deja discutir prioridad. Te la impone.

[Federico Joel Hombre @FedeJoelH]

César, jurado en la sustentación de la Policía Nacional de Colombia. Ahí hay una señal que en LATAM seguimos subestimando: la academia no puede quedar mirando desde la tribuna mientras se discuten contratos, datos y resiliencia operativa.

La SBS de Perú ya avisó que desde julio de 2027 va a exigir normas vigentes de seguridad de la información y ciberseguridad en contratos con usuarios financieros. No es pose. Es regulación empujando al mercado.

Y mientras Brasil, Chile, México, Colombia, Perú y Guatemala mueven proyectos de ley digital, seguir formando talento con criterio técnico es bastante más urgente que repetir slogans. ¿Quién va a leer esos textos, discutirlos y bajarlos a la realidad?

[Federico Joel Hombre @FedeJoelH]

Nutex Health salió a decir ante la SEC que un tercero publicó datos presuntamente robados de su red. Y después aclaró que, por ahora, no vio impacto material ni en el negocio ni en los reportes.

Eso también dice algo: a veces el quilombo no explota en la caja, pero igual te deja la puerta abierta. El dato ya está dando vueltas. Ahora queda ver quién lo usa, cuándo y para qué.

No todo golpe se nota en el balance.

[Federico Joel Hombre @FedeJoelH]

La Clínica Universidad de los Andes quedó bajo la misma lupa que varias señales de salud en la región.

CiberLATAM ya venía marcando un caso parecido en Colombia: NeonBreach dijo tener casi 500.000 resultados de laboratorio de distintas IPS y laboratorios, supuestamente por un servidor con autenticación débil. No lo doy por confirmado.

Cuando aparece una base con registros médicos, referencias a RENAPER y hasta venta en foros, el problema no es solo el posteo. Es cuánto tardan en borrar huellas, avisar a pacientes y entender qué quedó expuesto.

Ese reloj corre.

[Federico Joel Hombre @FedeJoelH]

Revolut ya está en el centro de la discusión, y con razón.

Porque cuando una empresa financiera queda bajo la lupa por una filtración, el problema no es solo qué se llevó el atacante. Es cuánto tarda en detectar, contener y explicar. Ahí se rompe la confianza.

Y mientras tanto, https://t.co/Ik9DcSOE0v tuvo que salir a alertar por fallas en MISP: hasta la 2.5.45 sigue afectado. No es un caso aislado ni un "detalle técnico". Es infraestructura que termina exponiendo a más de uno si se descuida.

@liberatumente lo marcó bien: el caso Revolut importa más de lo que parece. Y no por el ruido. Por el precedente.

[Federico Joel Hombre @FedeJoelH]

Check Point no está para sustos: el NCSC holandés ya habló de explotación inminente en CVE-2026-85102 y CVE-2026-85103, con RCE en gateways.

Y mientras tanto, en LATAM ya venimos viendo el mismo patrón con Cisco FMC y ransomware Qilin: primero bypass de autenticación, después root. CISA las metió en KEV y salieron hotfixes. Acá no hay tiempo para "ver si pega".

Se parchea antes. Después no hay sorpresa.

[Federico Joel Hombre @FedeJoelH]

.py sacó avisos por fallas en MISP y en complementos de WordPress. En MISP, hasta la versión 2.5.45 queda afectada. Eso no es un detalle técnico menor: si ese sistema te ordena inteligencia de amenazas, el agujero pega justo en el lugar donde más confiás.

Y ahí está el problema de siempre. Mucha gente mira MISP como si fuera "infra de seguridad" y ya. Pero si lo tenés mal parcheado, lo que organizaba datos termina siendo parte del problema. Nada glamoroso. Muy real.

Parchear tarde en una plataforma así no compra tiempo. Lo deja pasar.

[Federico Joel Hombre @FedeJoelH]

7.8 millones de registros del SERECI en Bolivia, dice kr1pt0n. Identidad, padrón biométrico y fotos en base64. [dato a verificar]

No es un caso aislado tampoco. En Bolivia ya apareció otro acceso funcional alegado al sistema de la Policía Nacional, y en Colombia están reclamando resultados de laboratorio de salud por autenticación débil. El patrón es bastante claro.

Cuando varios actores distintos apuntan a organismos públicos con el mismo libreto, la discusión ya no es "si filtraron algo". Es cuánto tardan en notar el acceso. Eso pega antes de que salga cualquier comunicado.

[Federico Joel Hombre @FedeJoelH]

La UPB se suma a una seguidilla bastante incómoda para el sector educativo en la región. @victor_ruiz marca esta filtración del SAE en Silao, y en CiberLATAM ya veníamos viendo algo parecido con el CESCTM en México y la UATF en Bolivia.

No es un caso aislado ni "ruido" de semana. Cuando una universidad cae, no se expone solo una base: se abren datos de alumnos, postulantes y, a veces, credenciales. Y eso después circula, se vende o se usa para otras cosas. Rápido.

La pregunta ya no es si el blanco es "importante". Es por qué tantos portales educativos siguen llegando al mismo punto. Y siempre tarde.

[Federico Joel Hombre @FedeJoelH]

Broadcom le cerró la canilla a las imágenes de VMware VDDK para MTV. @SeguInfo lo contó con claridad, pero lo que me queda es otra cosa: el laburo de migrar no se volvió más fácil, se volvió más dependiente de terceros que te cambian las reglas a mitad de camino.

Y eso pega justo cuando CISA acaba de sumar 7 fallos críticos al KEV, con explotación activa en SonicWall SMA 1000, Kestra OSS, LiteLLM y Sangoma Switchvox. El mensaje es bastante incómodo: entre migraciones trabadas y vulnerabilidades en uso real, la operación no te da respiro.

No es teoría. Es dependencia.

[Federico Joel Hombre @FedeJoelH]

Microsoft Learn como fuente de verdad para un agente de Copilot está bien como punto de partida. Pero mientras escribís eso, Microsoft largó un Patch Tuesday de septiembre 2026 con más de 970 CVEs y dos zero-days explotados en Windows ALPC y Windows Update Stack.

Ahí está la trampa que @SCavanna viene marcando: la IA puede consultar docs oficiales y aun así quedar parada si el entorno que la rodea está roto. En LATAM ya lo vemos en serio, con bancos, fintech y el propio Chile reforzando KYC y cooperación contra cibercrimen. La confianza no vive en el prompt. Vive en cómo validás, parchás y gobernás lo que ese agente toca.

Si el agente sabe leer, pero no sabe cuándo desconfiar, te deja la puerta abierta.

[Federico Joel Hombre @FedeJoelH]

La CNBV habilitó SMS, correo y mensajería cifrada para códigos de seguridad en ciertos servicios digitales. Desde el 2 de septiembre.

Y sí, suena cómodo. Pero también mueve una discusión vieja a un lugar nuevo: qué pasa cuando el canal de autenticación se vuelve tan masivo como frágil.

En México, eso no es un detalle técnico. Es una decisión de diseño que baja fricción hoy y puede subir exposición mañana. Porque el SMS no se rompe solo en teoría; se rompe cuando alguien ya tiene tu número, tu línea o un desvío bien armado.

La pregunta no es si el usuario prefiere recibir un código por ahí. La pregunta es cuánto riesgo estamos aceptando para hacer más simple el acceso.

Más cómodo no siempre es más seguro.

[Federico Joel Hombre @FedeJoelH]

Nightspire ya había aparecido en Brasil, con Tuboaços da Amazônia, reclamando robo de dibujos y proyectos personalizados en manufactura.

Ahora le toca a Perimetral Oriental de Bogotá S.A.S. y el patrón es el mismo: diseños de clientes, documentos internos y movimiento lateral sobre varios departamentos. No es "solo ransomware". Es caja, ingeniería y presión comercial mezcladas.

Ahí está la parte incómoda. Cuando un actor te prueba que puede tocar diseño y papeles internos en dos países, el daño deja de ser técnico hace rato.

[Federico Joel Hombre @FedeJoelH]

Fed, FDIC, NCUA y OCC quieren meter más control sobre terceros. Y no es un detalle menor: cuando el riesgo ya no está adentro del banco, igual te puede romper igual desde el proveedor, el MSP o la credencial digital mal gestionada.

En LATAM esto pega de lleno. Todavía hay muchas entidades que tratan al tercero como "tema de compras" y no como superficie de ataque. Después pasa lo obvio: avisos tarde, contratos flojos, credenciales repartidas sin demasiada trazabilidad. Bien cómodo para el atacante.

La guía nueva empuja justamente a ordenar eso. Menos fe en la cadena de confianza. Más control real. Porque el problema nunca fue sólo el banco. Fue todo lo que le dejaron tocar el banco.

[Federico Joel Hombre @FedeJoelH]

La lectura completa está en CiberLATAM, con el detalle técnico, el alcance real de SonicWall SMA 1000 y el resto de los fallos que entraron al KEV.

Si tenés SonicWall, esto no se mira mañana. Se mira hoy.

[Federico Joel Hombre @FedeJoelH]

SonicWall SMA 1000 quedó en el centro de una cadena de fallos que ya está explotándose en serio.

CISA sumó siete vulnerabilidades al KEV y no es un trámite burocrático: hay explotación activa confirmada en SonicWall SMA 1000, Kestra OSS, BerriAI LiteLLM y Sangoma Switchvox.

[Federico Joel Hombre @FedeJoelH]

En paralelo, CISA sumó CVE-2026-67277 a su catálogo y CERT Polska observó ataques reales desde al menos el 2026-09-02.

O sea: el KEV no está marcando teoría. Está marcando cosas que ya están pasando.