TheWatcher

España última señal

Lo que está pasando en ciberseguridad en España

En los últimos 7 días hemos registrado 36 incidentes contra organizaciones en España: 18 de ransomware, 12 filtraciones y 6 otros ataques, 33 % más que la semana anterior. El grupo de ransomware más activo en 90 días es Qilin. Además, INCIBE-CERT ha publicado 14 avisos de vulnerabilidad.

Últimos incidentes en España

Desde el 24 de septiembre de 2026

94 incidentes

Hoy · viernes 23 de octubre 5

  1. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra GENCAT revela credenciales de Microsoft 365

    El ataque de ransomware contra GENCAT ha expuesto credenciales de Microsoft 365 y ha comprometido un portal gubernamental. El grupo de amenaza 'runy' ha reivindicado el ataque, según un mensaje publicado en un foro oscuro. La exposición afecta a múltiples proveedores locales, incluyendo la Fundacio Politecnica de Catalunya y la DIRECCION GENERAL DE ADUANAS.

    Grupo: Fuente: Telegram Monitor

  2. Crítica
    Ransomware Reivindicado por el atacante

    Ca ka: aparece en un sitio de extorsión de ransomware (atribuido a Auditteam)

    Se ha anunciado un nuevo incidente de ciberataque atribuido al grupo audit_team, con la víctima identificada como Ca***ka. El mensaje invita a suscribirse para obtener más información sobre eventos de ciberseguridad recientes.

    Grupo: Fuente: Telegram Monitor

  3. Media
    Aviso de seguridad Aviso oficial

    Múltiples actualizaciones en productos de Fortinet

    Fortinet ha anunciado múltiples actualizaciones para corregir vulnerabilidades críticas y altas identificadas mediante pruebas asistidas por inteligencia artificial. Las versiones afectadas incluyen FortiOS, FortiManager, FortiMail y FortiAuthenticator. Se recomienda priorizar los dispositivos expuestos a Internet. El impacto es medio, ya que las vulnerabilidades han sido detectadas y se han emitido parches disponibles.

    Fuente: INCIBE-CERT

  4. Media
    Ransomware Reivindicado por el atacante

    Airtificial Intelligence Structures SA: aparece en un sitio de extorsión de ransomware

    Se ha alertado sobre una posible compromisión de Airtificial Intelligence Structures SA por parte del grupo Qilin el 22 de octubre de 2026. La víctima se encuentra en España y pertenece al sector tecnológico. El anuncio incluye un enlace a un hilo de discusión sobre una supuesta fuga de datos, aunque no se proporciona evidencia directa de la exposición.

    Fuente: Telegram Monitor

  5. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra Toyota Canarias atribuido a Qilin

    Varias fuentes, incluyendo canales de Telegram y ransomware.live, reportan que el grupo Qilin ha reivindicado un ataque de ransomware contra Toyota Canarias. Algunos mensajes mencionan la exposición de datos sensibles en un sitio web de extorsión en la dark web, aunque no se especifican los detalles técnicos del ataque ni el tipo de malware utilizado. El incidente se detectó entre el 19 y el 21 de octubre de 2026, con múltiples publicaciones en canales de noticias cibernéticas.

    Grupo: Fuente: Telegram Monitor +1 señal relacionada

Ayer · jueves 22 de octubre 1

  1. Media
    Robo de datos Publicado en foro o canal

    Real Federación de Fútbol de Madrid RFFM: supuesto robo de datos

    Un actor amenazante que se identifica como LAPSUS$ afirma haber obtenido una base de datos de la Real Federación de Fútbol de Madrid (RFFM), incluyendo más de 100,000 registros internos, 30,000 escaneos de documentos de identidad y certificados médicos. La noticia no confirma que la RFFM haya sido realmente comprometida, ya que el actor no ha proporcionado evidencia verificable.

    Fuente: Telegram Monitor +1 señal relacionada

Miércoles 21 de octubre 5

  1. Alta
    Ransomware Reivindicado por el atacante

    Londji: aparece en un sitio de extorsión de ransomware

    Se ha anunciado un supuesto robo de datos de Londji, una marca de juguetes en España, atribuido al grupo de ciberdelincuentes DominoSatanus. El mensaje incluye un enlace a un sitio de fuga de datos y menciona un porcentaje de exposición de 0.244, junto con coincidencias de proveedores como Landi y Mondi.

    Fuente: Telegram Monitor +1 señal relacionada

  2. Media
    Robo de datos Publicado en foro o canal

    Spain Casino User Database: supuesto robo de datos

    Se ha revelado una base de datos de usuarios de un casino en España, alojada en darknetarmy.st, atribuida al grupo de amenazas WSdatabase. El incidente incluye información expuesta de 0.087 de los usuarios, aunque no se especifica el impacto total ni se muestran datos concretos.

    Fuente: Telegram Monitor

  3. Media
    Robo de datos Publicado en foro o canal

    Alambique: supuesto robo de datos

    Se ha reportado un supuesto robo de datos en alambique.com, una tienda en línea española. El incidente se atribuye al actor de amenaza MrData, y se menciona un enlace a un foro oscuro donde se discute el supuesto robo. La exposición afecta principalmente al sector de retail en España.

    Fuente: Telegram Monitor

  4. Media
    Robo de datos Publicado en foro o canal

    Megacursos: supuesto robo de datos

    Se ha reportado un supuesto robo de datos en Megacursos.com, exponiendo 100,000 registros. La organización afectada es Megacursos, ubicada en España, dentro del sector educativo. El incidente se menciona en un foro oscuro, sin evidencia clara de los datos filtrados.

    Fuente: Telegram Monitor

  5. Media
    Phishing Aviso oficial

    Suplantan a la Policía Nacional, a la Guardia Civil y a INCIBE a través de notificaciones falsas por consumir contenido pornográfico

    Se han identificado campañas de phishing que suplantan a la Policía Nacional, la Guardia Civil e INCIBE, mediante correos electrónicos falsos que acusan a los usuarios de consumir contenido pornográfico y los amenazan con arresto si no responden en un plazo de 48 horas. Los afectados son aquellos usuarios que hayan recibido el correo y hayan respondido. Se recomienda no responder a estos correos y reportarlos inmediatamente.

    Fuente: INCIBE-CERT

Martes 20 de octubre 2

  1. Media
    Ransomware Reivindicado por el atacante

    sol naciente automoción sl dba toyota canarias: aparece en un sitio de extorsión de ransomware

    Se ha alertado sobre una posible compromisión de Sol Naciente Automoción SL, operando como Toyota Canarias, atribuida al grupo Qilin. La víctima se encuentra en España, dentro del sector automotriz, y se ha publicado un enlace relacionado con un posible robo de datos.

    Fuente: Telegram Monitor

  2. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra Segres Systec atribuido a Qilin

    Según múltiples fuentes, el grupo Qilin ha reivindicado un ataque de ransomware contra Segres Systec, con evidencia de filtración de datos en un sitio web en la red Tor. Se han publicado enlaces a sitios de extorsión, incluyendo uno accesible públicamente. Aunque no se proporciona evidencia directa del ataque, se menciona un hash asociado al incidente. La actividad se detectó en múltiples canales de Telegram y en ransomware.live, con fechas que van desde el 15 hasta el 17 de octubre de 2026.

    Grupo: Fuente: Telegram Monitor +1 señal relacionada

Lunes 19 de octubre 11

  1. Media
    Robo de datos Publicado en foro o canal

    Partido Socialista Obrero Espanol PSOE: supuesto robo de datos

    Se ha anunciado un supuesto filtrado de código fuente del Partido Socialista Obrero Espanol (PSOE), según un mensaje publicado en un foro oscuro. El grupo de amenaza Venretis afirma haber obtenido el material, aunque no se proporciona evidencia directa del robo. La filtración se atribuye a un posible ataque cibernético contra una organización gubernamental en España.

    Fuente: Telegram Monitor +1 señal relacionada

  2. Media
    Ransomware Reivindicado por el atacante

    Club de Natación de Montjuic: aparece en un sitio de extorsión de ransomware

    Se ha reportado un supuesto robo de datos en el Club de Natación de Montjuic, en España. El grupo de amenaza Keishell afirma haber obtenido información sensible, aunque no se han proporcionado pruebas concretas. El incidente se menciona en un foro oscuro y se mencionan coincidencias con otros clubes.

    Fuente: Telegram Monitor

  3. Media
    Ransomware Reivindicado por el atacante

    Aire de Fiesta: aparece en un sitio de extorsión de ransomware

    Se ha reportado un supuesto robo de datos en Aire de Fiesta, una empresa de retail en España. El grupo Galqatul afirma haber obtenido información sensible, aunque no se han proporcionado pruebas concretas. El incidente incluye posibles conexiones con proveedores locales.

    Fuente: Telegram Monitor +1 señal relacionada

  4. Media
    Ransomware Reivindicado por el atacante

    luzco dm sl: aparece en un sitio de extorsión de ransomware

    Se ha alertado sobre una posible compromisión de luzco dm sl por parte del grupo Emperador el 18 de octubre de 2026. La empresa, ubicada en España, pertenece al sector de productos y servicios industriales. El anuncio incluye un enlace a un hilo de fuga de datos en intel471, aunque no se proporciona evidencia directa de la exposición de datos.

    Fuente: Telegram Monitor

  5. Media
    Robo de datos Publicado en foro o canal

    CNT: supuesto robo de datos

    Se ha reportado una supuesta fuga de bases de datos de usuarios de WordPress de cnt.es y yerbal.es en España. La organización afectada es CNT, y el posible atacante es Sophia01. El mensaje incluye un enlace a un foro oscuro donde se afirma la existencia de los datos filtrados.

    Fuente: Telegram Monitor

  6. Media
    Ransomware Reivindicado por el atacante

    Spain DB Free: aparece en un sitio de extorsión de ransomware

    Se ha producido un ataque de ransomware contra 'Spain DB Free', reivindicado por el grupo 'Sophia'. El ataque incluye un defacement y se ha publicado una página en un sitio onion. La exposición afecta a varios proveedores, aunque no se han revelado datos concretos ni pruebas visibles de la brecha.

    Fuente: Telegram Monitor

  7. Media
    Ransomware Reivindicado por el atacante

    310 K: aparece en un sitio de extorsión de ransomware

    Se ha publicado un anuncio de una posible víctima de ransomware, atribuido al grupo CobraEgy, relacionado con la organización '310 K++' en España. El mensaje incluye un enlace a un sitio web donde se afirma que se han filtrado correos electrónicos y contraseñas. No se proporciona evidencia directa de la brecha de datos.

    Fuente: Telegram Monitor +1 señal relacionada

  8. Alta
    Ransomware Reivindicado por el atacante

    La Reserva Club Sotogrande: aparece en un sitio de extorsión de ransomware

    Se ha anunciado un supuesto robo de datos en La Reserva Club Sotogrande, revelando registros de clientes acaudalados. El grupo de amenaza Galvivik afirma tener acceso a una base de datos con 3.5 millones de registros, incluyendo coincidencias con proveedores como Cesar A C Storani y Garden State Cold Storage. El incidente se atribuye a España y se encuentra en curso con evidencia disponible en un foro oscuro.

    Fuente: Telegram Monitor

  9. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra SBI Audiovisual Medinbox en España

    Según múltiples fuentes de Telegram y ransomware.live, el grupo thegentlemen ha afirmado haber atacado a SBI Audiovisual Medinbox, con evidencia de un código hash específico y la mención del dominio objetivo sbiav.com. Aunque se menciona la publicación de información filtrada, no se proporciona evidencia directa de la explotación o el impacto del ataque.

    Grupo: Fuente: Telegram Monitor

  10. Media
    Ransomware Reivindicado por el atacante

    Se ha publicado un mensaje en un canal de Telegram relacionado con ransomware, dirigido a España, con un enlace corto qu

    Se ha publicado un mensaje en un canal de Telegram relacionado con ransomware, dirigido a España, con un enlace corto que podría contener información relevante sobre el ataque.

    Fuente: Telegram Monitor

  11. Media
    Ransomware Reivindicado por el atacante

    Santander Bank: aparece en un sitio de extorsión de ransomware

    Se ha anunciado un supuesto ataque de ransomware atribuido al grupo Rey, que incluye múltiples víctimas como Santander Bank, Salesforce, Cisco y el FBI. El mensaje menciona una supuesta venta de datos de estas organizaciones, aunque no se proporciona evidencia directa del robo.

    Fuente: Telegram Monitor

Sábado 17 de octubre 6

  1. Crítica
    Campaña o ataque Señal en fuentes abiertas

    Ciberataque Z-Alliance compromete sistema SCADA de Quesos Lominchar S.L.

    El sistema SCADA de la estación de tratamiento de aguas residuales de Quesos Lominchar S.L. fue comprometido por un ciberataque atribuido a Z-Alliance. La evidencia indica que los atacantes lograron el control completo de las bombas y equipos de la planta, lo que sugiere una posible explotación de vulnerabilidades en el sistema industrial o una intrusión mediante técnicas de ataque avanzadas.

    Grupo: Fuente: Telegram Monitor

  2. Media
    Robo de datos Publicado en foro o canal

    EscapadaRural: supuesto robo de datos

    Se ha reportado un supuesto robo de datos de la base de usuarios de EscapadaRural.com, atribuido al grupo de amenaza Terxekar. El incidente se publicó en un foro oscuro y menciona exposición de información relacionada con el sector de viajes y turismo en España.

    Fuente: Telegram Monitor

  3. Media
    Ransomware Reivindicado por el atacante

    Amazon: aparece en un sitio de extorsión de ransomware

    Se ha publicado un aviso sobre un posible acceso a la webmail de Amazon.es, atribuido al grupo X Forum Bot. El mensaje incluye información sobre la exposición de proveedores y un enlace a un hilo en X Forums que contiene más detalles.

    Fuente: Telegram Monitor

  4. Media
    Venta de accesos Publicado en foro o canal

    Santander Sabadell: se ofrece acceso a sus sistemas

    Se pregunta en un canal de mercado negro si hay disponibles credenciales de acceso a Santander Sabadell en España, lo que sugiere una posible venta de información sensible relacionada con esta institución financiera.

    Fuente: Telegram Monitor

  5. Media
    Robo de datos Publicado en foro o canal

    Efisco: supuesto robo de datos

    Se ha reportado un supuesto robo de datos de Efisco, una empresa en España, con posibles conexiones a otras organizaciones como Eficeo, Fesco y Cisco. El incidente se menciona en un foro de la darknet, aunque no se proporciona evidencia directa del robo.

    Fuente: Telegram Monitor

  6. Media
    Campaña o ataque Señal en fuentes abiertas

    Se ha publicado un mensaje en Telegram relacionado con un ciberataque, etiquetado con #ciberataque y #ia, y dirigido a E

    Se ha publicado un mensaje en Telegram relacionado con un ciberataque, etiquetado con #ciberataque y #ia, y dirigido a España, aunque no se especifica la víctima ni el tipo de ataque concretamente.

    Fuente: Telegram Monitor

Viernes 16 de octubre 2

  1. Media
    Ransomware Reivindicado por el atacante

    Colegio Oficial de Médicos de Tenerife COMTF: aparece en un sitio de extorsión de ransomware

    Se ha reportado un posible ciberataque contra el Colegio Oficial de Médicos de Tenerife (COMTF), con un enlace a un artículo que analiza el incidente y la posible pérdida de datos. El evento se menciona en un contexto de amenaza de prensa.

    Fuente: Telegram Monitor

  2. Alta
    Cadena de suministro Señal en fuentes abiertas

    El grupo Candiru está utilizando tecnología publicitaria weaponizada para instalar espionaje de cero clic y vaciar masiv

    El grupo Candiru está utilizando tecnología publicitaria weaponizada para instalar espionaje de cero clic y vaciar masivamente identidades, afectando a medios digitales, plataformas publicitarias, redes gubernamentales y otros sectores en España y otros países.

    Fuente: Telegram Monitor

Jueves 15 de octubre 4

  1. Media
    Robo de datos Publicado en foro o canal

    Matferline: supuesto robo de datos

    Se ha reportado un supuesto robo de datos de Matferline, una empresa española. El incidente fue reivindicado por el grupo de ciberdelincuencia skyling, y se ha publicado un enlace a un hilo en un foro. Se menciona una exposición parcial de datos, aunque no se proporciona evidencia directa del robo.

    Fuente: Telegram Monitor

  2. Media
    Campaña o ataque Aviso oficial

    Los ciberdelincuentes están utilizando cuentas de WhatsApp en iPhone sin actualizar para pedir dinero a sus contactos

    Los ciberdelincuentes están utilizando cuentas de WhatsApp en dispositivos iPhone con iOS 16 o versiones anteriores, que no han sido actualizados, para enviar mensajes fraudulentos solicitando dinero a los contactos de los usuarios. Los afectados son usuarios de iPhone con WhatsApp no actualizados, así como sus contactos que reciben y envían dinero. El impacto es moderado, ya que los usuarios afectados aún pueden acceder a WhatsApp y no ven los mensajes en su historial.

    Fuente: INCIBE-CERT

  3. Media
    Robo de datos Publicado en foro o canal

    Plus Ultra Lineas Aereas: supuesto robo de datos

    Se ha reportado un supuesto robo de datos de Plus Ultra Lineas Aereas, una aerolínea española. El incidente se atribuye al grupo de amenaza Mirzodar, y se menciona un enlace a un foro oscuro donde se supone que se comparten los datos. La exposición afecta principalmente a la aerolínea y sus proveedores locales.

    Fuente: Telegram Monitor

  4. Media
    Robo de datos Publicado en foro o canal

    AvaTrade: supuesto robo de datos

    Se ha reportado un supuesto robo de datos en AvaTrade, una empresa de finanzas en España. El atacante, Nolcovin, afirma haber obtenido información sensible, aunque no se han proporcionado pruebas concretas. El incidente afecta principalmente a sectores de comercio y bienes de consumo.

    Fuente: Telegram Monitor

Miércoles 14 de octubre 3

  1. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra Estrategias BigMat S.L.U. por grupo Aurora

    El grupo de amenaza Aurora ha reivindicado un ataque de ransomware contra Estrategias BigMat S.L.U., una empresa española del sector retail y e-commerce. Según los informes, se han expuesto 624 archivos SEPA de nómina entre 2022 y 2025, junto con información de seguridad social y tarjetas de fidelidad. Los atacantes han publicado los datos en un sitio de leak en la dark web y han incluido enlaces a su sitio web en Tor.

    Grupo: Fuente: Telegram Monitor +1 señal relacionada

  2. Media
    Aviso de seguridad Aviso oficial

    Boletín mensual de seguridad de Microsoft de octubre de 2026

    Microsoft ha publicado un boletín mensual de seguridad en octubre de 2026, que incluye actualizaciones para múltiples productos y componentes, como Windows, Office, SharePoint, SQL Server, Exchange Server, Edge, Defender, Azure y Developer Tools. Estas actualizaciones son críticas para corregir vulnerabilidades y mejorar la seguridad. Se recomienda aplicar las actualizaciones de inmediato para mitigar posibles riesgos.

    Fuente: INCIBE-CERT

  3. Media
    Robo de datos Publicado en foro o canal

    Air Miles España S.A: supuesto robo de datos

    Se ha reportado un supuesto robo de datos de Air Miles España S.A, una empresa de retail en España. El atacante, Rexjewyn, afirma haber obtenido información sensible, aunque no se proporciona evidencia directa del robo. El incidente incluye posibles conexiones con otras empresas en España.

    Fuente: Telegram Monitor

Lunes 12 de octubre 6

  1. Media
    Ransomware Reivindicado por el atacante

    Bodegas San Isidro: aparece en un sitio de extorsión de ransomware

    Se ha reportado un posible acceso remoto a los sistemas SCADA de tratamiento de aguas residuales de Bodegas San Isidro, una bodega en España. El incidente se atribuye al grupo de amenaza NoName057(16), aunque no se han proporcionado pruebas visibles del ataque.

    Fuente: Telegram Monitor +1 señal relacionada

  2. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra Prodiel atribuido a Qilin

    Según múltiples fuentes, incluyendo telegram y ransomware.live, el grupo Qilin ha reivindicado un ataque de ransomware contra Prodiel, una empresa del sector de energía y utilities en España. Se han publicado enlaces a un sitio web en la red Tor y a un leak site donde se encuentra accesible públicamente una filtración relacionada con la empresa. Aunque no se proporciona evidencia directa del ataque, se menciona un hash de identificación y el sitio web objetivo como www.prodiel.com.

    Grupo: Fuente: Telegram Monitor

  3. Media
    Campaña o ataque Señal en fuentes abiertas

    Se ha producido un ataque de defacement contra el sitio web olen.es atribuido al grupo CYBER TEAM INDONESIA. El mensaje

    Se ha producido un ataque de defacement contra el sitio web olen.es atribuido al grupo CYBER TEAM INDONESIA. El mensaje incluye información sobre la exposición empresarial y coincidencias con proveedores, junto con un enlace a un espejo del contenido del ataque.

    Fuente: Telegram Monitor

  4. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra TTI Algeciras container terminal operations

    Dos fuentes independientes reportan un ataque de ransomware contra TTI Algeciras container terminal operations en España. El grupo dAn0n reivindicó el ataque a través de un canal de Telegram, incluyendo un enlace a un sitio de leak. Por otro lado, ransomware.live revela que el grupo N0n ha filtrado archivos EDI operativos y documentación interna del terminal, expuestos públicamente. Ambos eventos coinciden en tiempo y entidad afectada, lo que sugiere una confirmación del incidente.

    Grupo: Fuente: Ransomware.live +1 señal relacionada

  5. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra idi pharma atribuido a Deadlock

    Según múltiples fuentes de Telegram y ransomware.live, el grupo Deadlock ha afirmado haber atacado a idi pharma, incluyendo la publicación de un hash de ataque y enlaces a una página web vinculada al incidente. La evidencia varía en su ubicación geográfica, mencionando tanto Italia como España, y algunos mensajes no ofrecen pruebas directas del ataque.

    Grupo: Fuente: Telegram Monitor

  6. Media
    Robo de datos Publicado en foro o canal

    Phone House: supuesto robo de datos

    Se ha reportado un supuesto robo de datos de Phone House, una empresa de retail en España, con un posible impacto en 0.244 de sus grupos empresariales. El incidente se atribuye al grupo de amenaza 'updap', y se menciona un enlace a un hilo en su sitio web que podría contener información relacionada.

    Fuente: Telegram Monitor

Domingo 11 de octubre 4

  1. Media
    Phishing Detección técnica

    Se solicita un 'caller' en España, lo que podría indicar un intento de phishing o fraude telefónico con fines maliciosos

    Se solicita un 'caller' en España, lo que podría indicar un intento de phishing o fraude telefónico con fines maliciosos.

    Fuente: Telegram Monitor

  2. Media
    Campaña o ataque Señal en fuentes abiertas

    Un ataque de defacement fue reivindicado contra 'Manuales de Mecanica', un sitio web de publicación técnica en España, a

    Un ataque de defacement fue reivindicado contra 'Manuales de Mecanica', un sitio web de publicación técnica en España, atribuido al hacker Nobita14 de Blackhat Hacker Indonesia. El incidente incluye un enlace a un espejo del sitio afectado y un análisis de exposición de proveedores.

    Fuente: Telegram Monitor

  3. Media
    Robo de datos Publicado en foro o canal

    335 K: supuesto robo de datos

    Se ha publicado un posible filtrado de datos que incluye correos electrónicos y contraseñas, atribuido a la organización [ 335 K++ ] en España. El leak se encuentra disponible en el sitio nulledbb.com, y se menciona un actor de amenaza llamado Thaigo.

    Fuente: Telegram Monitor

  4. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra TERRACOM & MONTCAU en España

    Según múltiples fuentes, incluyendo el canal de Telegram breachdetect y el portal ransomware.live, el grupo de ransomware Majinahanashi ha publicado una filtración de TERRACOM & MONTCAU, una empresa tecnológica en España. El incidente incluye 6341 archivos accesibles públicamente, lo que sugiere una exposición de datos crítica.

    Grupo: Fuente: Telegram Monitor

Sábado 10 de octubre 2

  1. Media
    Venta de accesos Publicado en foro o canal

    Peninsula: se ofrece acceso a sus sistemas

    Se ofrece el acceso administrativo y un conjunto de datos de 200 GB supuestamente pertenecientes a Peninsula, una consultoría corporativa, junto con más de 51 millones de registros en 751 tablas, incluyendo información de adquisiciones gubernamentales y datos personales, por un precio de $500. El anuncio se encuentra en el darkweb y aún no ha sido verificado.

    Fuente: Telegram Monitor +1 señal relacionada

  2. Alta
    Ransomware Reivindicado por el atacante

    Fiction Express: aparece en un sitio de extorsión de ransomware

    Se ha anunciado un supuesto robo de datos en Fiction Express, una plataforma educativa en España, con una demanda de rescate. El grupo de amenaza Kazu afirma haber publicado 725 GB de datos en la web oscura, y se mencionan coincidencias con proveedores como FIT EXPRESS y TNT EXPRESS.

    Fuente: Telegram Monitor +1 señal relacionada

Viernes 9 de octubre 2

  1. Media
    Robo de datos Publicado en foro o canal

    CoRegistros: supuesto robo de datos

    Se ha ofrecido en venta un conjunto de datos que supuestamente expone más de 8,2 millones de registros en España, incluyendo información personal y de contacto, atribuido a la empresa de marketing digital CoRegistros.

    Fuente: Telegram Monitor

  2. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra Matadero Frigorífico Avinyó atribuido a Qilin

    Varios canales de Telegram y ransomware.live han reportado un ataque de ransomware contra Matadero Frigorífico Avinyó, atribuido al grupo Qilin. Se han publicado enlaces a páginas en la dark web que supuestamente contienen datos filtrados. Aunque no se han proporcionado hashes de malware ni evidencia directa de explotación, se ha confirmado la exposición pública de datos sensibles. El grupo Qilin-Securotrop ha sido mencionado como responsable con motivación financiera.

    Grupo: Fuente: Telegram Monitor

Jueves 8 de octubre 1

  1. Media
    Robo de datos Publicado en foro o canal

    Fedetepa: supuesto robo de datos

    Se ha revelado una supuesta filtración de una base de datos de Fedetepa, una organización española del sector deportivo, que expone 25,000 registros de clientes. El incidente se publica en un foro oscuro y menciona coincidencias con proveedores como Meditea, FedEx y Emeltec, aunque no se confirma la veracidad del leak ni se ofrecen pruebas concretas.

    Fuente: Telegram Monitor

Miércoles 7 de octubre 5

  1. Media
    Campaña o ataque Señal en fuentes abiertas

    Se ha producido un ataque de defacement contra el sitio web de Mirat Fertilizantes, una empresa de fertilizantes en Espa

    Se ha producido un ataque de defacement contra el sitio web de Mirat Fertilizantes, una empresa de fertilizantes en España. El ataque fue atribuido al grupo de amenaza Antonkill (también conocido como syshack). El incidente fue anunciado en un enlace proporcionado por el atacante, y se incluyen detalles sobre la exposición de proveedores potenciales.

    Fuente: Telegram Monitor

  2. Media
    Robo de datos Publicado en foro o canal

    Vespa Rubiella: supuesto robo de datos

    Se ha reportado un supuesto robo de datos de Vespa Rubiella, una empresa de retail en España. El incidente incluye una copia de seguridad de su sitio web, según un anuncio en un foro de amenazas. El grupo de amenaza 'updap' afirma haber obtenido acceso a una base de datos SQL, aunque no se han proporcionado pruebas visibles del robo.

    Fuente: Telegram Monitor

  3. Media
    Robo de datos Publicado en foro o canal

    Cromakit: supuesto robo de datos

    Se ha reportado un supuesto filtrado de datos de clientes de Cromakit, una empresa de retail en España. El grupo de amenaza 'updap' afirma tener acceso a una base de datos relacionada con la empresa, aunque no se han proporcionado pruebas concretas ni muestras de los datos filtrados.

    Fuente: Telegram Monitor

  4. Media
    Campaña o ataque Señal en fuentes abiertas

    El grupo de ciberdelincuentes 'The Gentlemen' afirma haber comprometido a AnyTech365, una empresa española del sector de

    El grupo de ciberdelincuentes 'The Gentlemen' afirma haber comprometido a AnyTech365, una empresa española del sector de la tecnología de la información. El incidente se reportó el 6 de octubre de 2026, aunque aún se encuentra en fase de verificación. La empresa no ha especificado el tipo ni la cantidad de datos expuestos.

    Fuente: Telegram Monitor

  5. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware atribuido a Qilin contra EPTISA

    Varios informes de fuentes en Telegram y ransomware.live indican que el grupo Qilin ha reivindicado un ataque de ransomware contra EPTISA. Se han compartido enlaces a sitios web asociados al ataque, incluyendo un leak site en la dark web donde se publicó información relacionada con la empresa. Aunque no se proporciona evidencia directa de la explotación, se menciona un hash asociado al ataque y la exposición de datos sensibles.

    Grupo: Fuente: Telegram Monitor

Martes 6 de octubre 6

  1. Media
    Campaña o ataque Señal en fuentes abiertas

    Se ha producido un ataque de defacement contra el sitio web de Esports Olleric, ubicado en España. El grupo de amenaza c

    Se ha producido un ataque de defacement contra el sitio web de Esports Olleric, ubicado en España. El grupo de amenaza chinafans (0xteam) ha reivindicado el ataque, según se informa en el enlace proporcionado. El incidente afecta a una organización del sector deportivo y de esports.

    Fuente: Telegram Monitor

  2. Media
    Campaña o ataque Señal en fuentes abiertas

    Se ha producido un ataque de defacement contra el sitio web 'elrincondejulia.es', atribuido a los grupos chinafans y 0xt

    Se ha producido un ataque de defacement contra el sitio web 'elrincondejulia.es', atribuido a los grupos chinafans y 0xteam. La víctima es 'El Rincón de Julia', ubicada en España. El ataque fue reivindicado y se ha publicado una captura en el enlace proporcionado.

    Fuente: Telegram Monitor

  3. Media
    Campaña o ataque Señal en fuentes abiertas

    Se ha producido un ataque de defacement contra el sitio web de Laura Pediatra, una organización de salud en España, atri

    Se ha producido un ataque de defacement contra el sitio web de Laura Pediatra, una organización de salud en España, atribuido a los grupos chinafans y 0xteam. El ataque fue reivindicado y se ha publicado una captura del sitio afectado en un enlace proporcionado.

    Fuente: Telegram Monitor

  4. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra TRANS LOGROÑO SOCIEDAD ANONIMA atribuido a Lamashtu

    Varias fuentes de Telegram y ransomware.live reportan que el grupo Lamashtu ha reivindicado un ataque de ransomware contra TRANS LOGROÑO SOCIEDAD ANONIMA. En algunos casos se menciona un código hash asociado y el sitio web objetivo translo.es. Aunque no se proporciona evidencia directa de la explotación, se incluyen enlaces a reclamaciones del ataque.

    Grupo: Fuente: Telegram Monitor +1 señal relacionada

  5. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra Fluge Audiovisuales atribuido a Lamashtu

    El grupo Lamashtu ha reivindicado un ataque de ransomware contra Fluge Audiovisuales, según múltiples fuentes en Telegram y ransomware.live. Se han compartido enlaces a un sitio de leak, aunque no se han proporcionado evidencias directas del ataque. El incidente fue detectado el 5 de octubre de 2026, con menciones a un código hash asociado al ataque y al dominio fluge.es como objetivo.

    Grupo: Fuente: Telegram Monitor +2 señales relacionadas

  6. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra Emser atribuido al grupo Qilin

    Varias fuentes, principalmente de Telegram y ransomware.live, reportan que el grupo Qilin ha atacado a Emser, una empresa en el sector de manufactura ubicada en España. Se menciona la publicación de una filtración en un sitio de extorsión accesible en la Deep Web, junto con la emisión de una alerta de rescate. Aunque no se reporta explícitamente la explotación de vulnerabilidades ni el acceso a datos sensibles, se observa una actividad coordinada por parte del grupo Qilin.

    Grupo: Fuente: Telegram Monitor

Lunes 5 de octubre 3

  1. Media
    Ransomware Reivindicado por el atacante

    enginyeria emser sl: aparece en un sitio de extorsión de ransomware

    Se ha alertado sobre una posible compromisión de Enginyeria Emser SL por parte del grupo Qilin el 4 de octubre de 2026. La información se publica en un hilo de Intel471, donde se menciona una exposición de 0.087 en el sector de telecomunicaciones e ingeniería.

    Fuente: Telegram Monitor

  2. Media
    Campaña o ataque Señal en fuentes abiertas

    Se ha producido un ataque de defacement contra el sitio web de Clinica Veterinaria Zarey en España, atribuido al grupo d

    Se ha producido un ataque de defacement contra el sitio web de Clinica Veterinaria Zarey en España, atribuido al grupo de amenaza Antonkill (syshack). El incidente fue reportado en un canal de ransomware, y se incluye un enlace a una supuesta captura del ataque.

    Fuente: Telegram Monitor

  3. Media
    Credenciales expuestas Publicado en foro o canal

    SPAIN: credenciales expuestas

    Se ha filtrado un combo de 300,000 registros de España, que incluye correos electrónicos y contraseñas, según un mensaje publicado en el canal de filtraciones breachdetect.

    Fuente: Telegram Monitor

Sábado 3 de octubre 2

  1. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra el Hospital de la Santa Creu i Sant Pau

    Varios canales de Telegram y el sitio ransomware.live reportan un ataque de ransomware contra el Hospital de la Santa Creu i Sant Pau, atribuido al grupo 'The Gentlemen'. Se menciona la publicación de información en la web oscura, la exposición de datos sensibles y la inclusión del hospital en listas de víctimas. Aunque no se proporciona evidencia directa del ataque en algunos informes, se confirma el incidente en al menos un canal.

    Grupo: Fuente: Telegram Monitor +1 señal relacionada

  2. Media
    Ransomware Reivindicado por el atacante

    colegio de arquitectos de león aka coal: aparece en un sitio de extorsión de ransomware

    Se ha alertado sobre una posible compromisión del Colegio de Arquitectos de León (COAL) por parte del grupo de ciberdelincuencia Akira el 2 de octubre de 2026. El incidente se reporta a través de un enlace en la plataforma Intel471, aunque no se proporciona evidencia directa del ataque.

    Fuente: Telegram Monitor

Jueves 1 de octubre 1

  1. Crítica
    Ransomware Reivindicado por el atacante

    Actividad de ransomware Warlock en España

    Según un informe compartido en Telegram, el ransomware Warlock ha impactado a grandes organizaciones en España y Portugal. Aunque no se especifican detalles técnicos como métodos de entrada o variantes del malware, se confirma la presencia del ransomware en la región. Se recomienda revisar los sistemas para detectar signos de infección, como archivos encriptados con extensiones no reconocidas o mensajes de rescate.

    Fuente: Telegram Monitor

Miércoles 30 de septiembre 2

  1. Media
    Ransomware Reivindicado por el atacante

    Auren Internacional Servicios Profesionales Avanzados SL: aparece en un sitio de extorsión de ransomware

    Se ha alertado sobre una posible compromisión de Auren Internacional Servicios Profesionales Avanzados SL por parte del grupo The Gentlemen. La información se publica en un hilo de Intel471, aunque no se proporciona evidencia directa de la exposición de datos.

    Fuente: Telegram Monitor

  2. Media
    Ransomware Reivindicado por el atacante

    don hierro sl: aparece en un sitio de extorsión de ransomware

    Se ha alertado sobre una posible compromisión de Don Hierro SL por parte del grupo The Gentlemen. La información se encuentra disponible en un enlace proporcionado, y se menciona una exposición de 0.172 en el sector industrial. El país afectado es España.

    Fuente: Telegram Monitor

Martes 29 de septiembre 4

  1. Media
    Ransomware Reivindicado por el atacante

    Andalusia: aparece en un sitio de extorsión de ransomware

    Se ha reportado que Andalusia, España, podría haber sido comprometida por el grupo de ciberdelincuentes Bavacai el 28 de septiembre de 2026. El anuncio incluye una posible exposición de datos y un enlace a un hilo de discusión en un sitio web de filtraciones.

    Fuente: Telegram Monitor

  2. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra Cromados en España atribuido a Safepay

    Se han detectado múltiples eventos relacionados con un ataque de ransomware contra la entidad 'Cromados' en España, atribuido al grupo Safepay. Los eventos incluyen reivindicaciones publicadas en canales de Telegram y en el sitio de filtraciones ransomware.live. En uno de los eventos, se menciona que la información filtrada está disponible en el leak site del grupo, lo que indica un nivel de severidad elevado.

    Grupo: Fuente: Telegram Monitor +1 señal relacionada

  3. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware contra Premiumfruits atribuido a Medusalocker

    Según múltiples fuentes en Telegram y ransomware.live, el grupo Medusalocker ha reivindicado un ataque de ransomware contra Premiumfruits, una empresa española del sector de agricultura y producción de alimentos. Se han publicado enlaces a un sitio web en la red Tor, lo que sugiere la exigencia de un rescate. Además, se han filtrado 3292 correos electrónicos de la organización.

    Grupo: Fuente: Telegram Monitor

  4. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware atribuido a Medusalocker contra la Junta de Andalucía

    Según múltiples fuentes en Telegram y ransomware.live, el grupo Medusalocker ha reivindicado un ataque contra la Junta de Andalucía. Se han reportado enlaces a sitios web de ransomware y se menciona la filtración de 198 correos electrónicos de la organización. Aunque no se proporciona evidencia directa de la explotación o pérdida de datos, se ha identificado el dominio objetivo como juntadeandalucia.es.

    Grupo: Fuente: Telegram Monitor +2 señales relacionadas

Lunes 28 de septiembre 6

  1. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware atribuido a Qilin contra Revenga Smart Solutions

    Varias fuentes, incluyendo canales de Telegram y el sitio de leak de Qilin en la web oscura, reportan un ataque de ransomware contra Revenga Smart Solutions. El grupo Qilin ha publicado información relacionada con la empresa, incluyendo posibles coincidencias con proveedores como Everlast Solutions y RIGHTUNE SMART SOLUTIONS. Aunque no se proporciona evidencia directa del ataque en todos los casos, se menciona un código hash asociado al incidente.

    Grupo: Fuente: Telegram Monitor +1 señal relacionada

  2. Alta
    Campaña o ataque Señal en fuentes abiertas

    Se ha reportado un ciberataque más extenso de lo inicialmente anunciado contra Adif y Renfe en España, afectando su infr

    Se ha reportado un ciberataque más extenso de lo inicialmente anunciado contra Adif y Renfe en España, afectando su infraestructura de transporte.

    Fuente: Telegram Monitor

  3. Media
    Robo de datos Publicado en foro o canal

    Policia Local Valdemoro: supuesto robo de datos

    Se ha reportado un supuesto robo de datos de la Policia Local Valdemoro en Madrid, España, con un enlace a un sitio web de leak. El incidente se atribuye al grupo de amenaza IntelShadow, aunque no se proporciona evidencia directa del robo.

    Fuente: Telegram Monitor

  4. Alta
    Campaña o ataque Señal en fuentes abiertas

    Un ciberataque afectó a Renfe, exponiendo datos de clientes en la red ferroviaria de España, mientras se investiga el po

    Un ciberataque afectó a Renfe, exponiendo datos de clientes en la red ferroviaria de España, mientras se investiga el posible rol de la inteligencia artificial en el incidente.

    Fuente: Telegram Monitor +2 señales relacionadas

  5. Media
    Robo de datos Publicado en foro o canal

    Etestify: supuesto robo de datos

    Se ha reportado un supuesto robo de datos en etestify.com, una base de datos en España con 84,000 miembros. El atacante, identificado como Sophia, ofrece la venta de la base de datos en un foro. Aunque no se proporciona evidencia directa del robo, se menciona un enlace al sitio donde se vende la información.

    Fuente: Telegram Monitor

  6. Media
    Venta de accesos Publicado en foro o canal

    Santander: se ofrece acceso a sus sistemas

    Se solicita un 'config' para realizar accesos no autorizados contra Santander en España, indicando un enfoque empresarial.

    Fuente: Telegram Monitor

Sábado 26 de septiembre 4

  1. Media
    Campaña o ataque Señal en fuentes abiertas

    Se ha reportado un supuesto ataque cibernético contra el Centro Criptológico Nacional (CCN-CERT/CNI) de España, atribuid

    Se ha reportado un supuesto ataque cibernético contra el Centro Criptológico Nacional (CCN-CERT/CNI) de España, atribuido al grupo de amenaza cutzinger. El incidente se menciona en un foro oscuro, aunque no se proporciona evidencia directa del robo de datos. El ataque se clasifica como espionaje digital y afecta a una organización gubernamental en España.

    Fuente: Telegram Monitor

  2. Alta
    Campaña o ataque Señal en fuentes abiertas

    Hackers realizaron un ciberataque contra Adif y Renfe en España, supuestamente robando 500 GB de datos. Se usó IA para i

    Hackers realizaron un ciberataque contra Adif y Renfe en España, supuestamente robando 500 GB de datos. Se usó IA para identificar vulnerabilidades en el sitio web de Adif, accediendo a su entorno en la nube y luego al sitio web de Renfe. La mayor parte del robo de datos ocurrió el 24 de septiembre de 2026, aunque se desconoce si incluye información de viajeros.

    Fuente: Telegram Monitor

  3. Media
    Campaña o ataque Señal en fuentes abiertas

    Un ciberataque afectó a los datos de usuarios de una operadora de trenes en España, según un informe publicado en Inside

    Un ciberataque afectó a los datos de usuarios de una operadora de trenes en España, según un informe publicado en InsiderPaper.com.

    Fuente: Telegram Monitor

  4. Crítica
    Ransomware Reivindicado por el atacante

    Ataque de ransomware atribuido a Qilin contra Iberia Compositech Manufacturing

    Varios eventos reportados en Telegram y ransomware.live indican que el grupo Qilin ha reivindicado un ataque de ransomware contra Iberia Compositech Manufacturing. Se menciona un sitio web objetivo (www.iberiacompositech.com) y un hash de identificación, aunque no se proporciona evidencia directa del ataque. La información filtrada aparece accesible en un sitio web de leak en la dark web, lo que sugiere una posible exposición de datos sensibles.

    Grupo: Fuente: Telegram Monitor +1 señal relacionada

Viernes 25 de septiembre 3

  1. Media
    Filtración Publicado en foro o canal

    Valdemoro Police: posible filtración de datos

    Se afirma que los registros de la policía de Valdemoro han sido filtrados desde EUROCOP, según un nuevo informe del Dark Web Informer Blog.

    Fuente: Telegram Monitor

  2. Media
    Malware Señal en fuentes abiertas

    Se comparte un enlace relacionado con un troyano o malware, etiquetado con #troyano y #malware, en un canal de Telegram

    Se comparte un enlace relacionado con un troyano o malware, etiquetado con #troyano y #malware, en un canal de Telegram con enfoque en filtraciones y ciberseguridad.

    Fuente: Telegram Monitor

  3. Media
    Phishing Detección técnica

    Se ha compartido una alerta de phishing y vishing con un enlace corto, dirigida a España, sin especificar la organizació

    Se ha compartido una alerta de phishing y vishing con un enlace corto, dirigida a España, sin especificar la organización afectada ni detalles adicionales del ataque.

    Fuente: Telegram Monitor

Jueves 24 de septiembre 4

  1. Media
    Filtración Publicado en foro o canal

    Spain s State Digital Administration Agency: posible filtración de datos

    Un actor en la dark web ofrece 11,4 millones de documentos de identidad españoles a la venta, afirmando haber obtenido los datos al brechar la Agencia Estatal de Administración Digital de España en junio de 2026. Los datos incluyen números de DNI, nombres completos, fotografías, firmas, detalles de nacimiento, direcciones y otros elementos sensibles.

    Fuente: Telegram Monitor

  2. Media
    Robo de datos Publicado en foro o canal

    eh24 Global Consulting Ernesto Baselga: supuesto robo de datos

    Se ha reportado un supuesto robo de datos en una agencia española de servicios IT y marketing digital, eh24.es, con posibles conexiones a empresas de consultoría en Brasil y otros países. El incidente incluye información de clientes en sectores como belleza, cuidado personal y alimentos, aunque el impacto total es limitado.

    Fuente: Telegram Monitor

  3. Media
    Campaña o ataque Señal en fuentes abiertas

    La Real Federación Española de Fútbol sufrió una interrupción temporal en su plataforma de venta de entradas debido a un

    La Real Federación Española de Fútbol sufrió una interrupción temporal en su plataforma de venta de entradas debido a un ataque DDoS, lo que obligó a suspender temporalmente las ventas mientras se activaban procedimientos de continuidad empresarial con sus proveedores tecnológicos.

    Fuente: Telegram Monitor

  4. Alta
    Ransomware Reivindicado por el atacante

    State Digital Administration Agency: aparece en un sitio de extorsión de ransomware

    Un grupo de ciberdelincuentes llamado Harley afirma haber filtrado 11.4 millones de documentos identificativos de la Agencia de Administración Digital del Estado español, exponiendo información sensible. El anuncio incluye un enlace a una página en la red.onion, lo que sugiere que los datos están disponibles para su venta.

    Fuente: Telegram Monitor

Ningún incidente coincide con estos filtros.

Vulnerabilidades a parchear

Avisos publicados por INCIBE-CERT en los últimos 14 días, ordenados por gravedad. Si usas alguno de estos productos, aplica la actualización del fabricante.

Cómo leer este feed

Reunimos a diario señales públicas sobre ciberataques en España: sitios de extorsión de ransomware, foros y canales de filtraciones y avisos oficiales de INCIBE-CERT. Cada incidente indica qué tipo de evidencia lo respalda, porque no es lo mismo un aviso oficial que lo que publica un atacante.

Aviso oficial
Publicado por un organismo oficial o por el fabricante. Es información confirmada.
Reivindicado por el atacante
Un grupo criminal afirma haber atacado a la organización. La víctima no lo ha confirmado necesariamente.
Publicado en foro o canal
Alguien lo difunde en un foro o canal de filtraciones. Puede ser real, antiguo, reciclado o exagerado.
Señal en fuentes abiertas
Recogida de fuentes abiertas sin confirmación independiente. Sirve para priorizar, no para concluir.

Filtraciones de datos y credenciales expuestas

Las filtraciones pueden incluir bases de datos expuestas, emails corporativos, accesos comprometidos o menciones públicas de dominios empresariales. Para profundizar, revisa la detección de credenciales filtradas y la monitorización de filtraciones de datos en empresas.

Ransomware y grupos de extorsión

Las víctimas publicadas por grupos de ransomware y los sectores afectados ayudan a entender el riesgo para pymes y medianas empresas. Consulta también la vigilancia de ransomware en España.

Gravedad

Crítica: incidente grave o brecha relevante. Alta: actividad de riesgo activo. Media: exposición o reconocimiento. Es una estimación automática, no un dictamen.

Limitaciones de las fuentes abiertas

Las fuentes abiertas pueden contener duplicados, retrasos, errores o reivindicaciones falsas. Agrupamos las señales repetidas de una misma organización y citamos siempre la fuente, pero cualquier decisión crítica debe contrastarse con evidencias propias. ¿Eres una organización mencionada y algo no es correcto? Solicita una rectificación.

Monitorización dark web Ciberinteligencia para pymes Mapa de señales Blog de ciberinteligencia