Los investigadores de seguridad han bautizado a octubre de 2026 como "Octubre Negro": un mes en el que los atacantes expusieron más de 100 millones de registros, dejaron fuera de línea a hospitales y gobiernos locales y revelaron fallas críticas en software del que depende gran parte de internet. El periodo terminó con $6,300 millones robados de wallets calientes de Binance, uno de los mayores hackeos de criptoactivos registrados.

Según un resumen publicado en X por Bull Theory, la mayoría de los ataques se basaron en accesos de confianza previa —proveedores, inicios de sesión en la nube, certificados y sistemas legacy— en lugar de técnicas de intrusión novedosas. Solo en la última semana del mes se reportaron tres robos de criptoactivos por separado. Los incidentes abarcaron desde hospitales universitarios y cadenas de comida rápida hasta registros nacionales de identidad y software esencial de internet.

Un mes de filtraciones masivas de datos y fallas de software

Las brechas comenzaron temprano y abarcaron múltiples sectores. Un ransomware alcanzó la Facultad de Medicina de la Universidad de Illinois en Chicago. La cadena de restaurantes japonesa Yakiniku King filtró 10.79 millones de registros de miembros, y el registro CPR de Dinamarca —el sistema nacional de registro civil del país— sufrió el acceso no autorizado a 8.8 millones de registros de identidad.

En una publicación en X el 31 de octubre de 2026, Bull Theory escribió:

Octubre de 2026 fue uno de los meses más aterradores que haya visto el ciberespacio. Los investigadores de seguridad ya lo llaman "Octubre Negro". Decenas de millones de personas tuvieron sus datos personales expuestos. Se encontraron fallas críticas en el software sobre el que funciona la mayoría de internet.… pic.twitter.com/kzS9tH6vAH

— Bull Theory (@BullTheoryio) 31 de octubre de 2026

Japón fue golpeado con especial dureza. Un ataque de ransomware contra IDCF Cloud interrumpió los servicios de 495 empresas y gobiernos locales. Sourcenext, un distribuidor japonés de software, reportó la posible exposición de 22.52 millones de registros de clientes. Burger King Japón y Capcom le siguieron con 11.18 millones y 11.77 millones de registros, respectivamente. Los nombres, correos electrónicos y números de identidad filtrados suelen reutilizarse en correos de estafa y páginas falsas de inicio de sesión.

Las fallas de software agravaron la exposición. El 17 de octubre, investigadores descubrieron que las claves privadas de ocho certificados emitidos por eMudhra, un proveedor indio de certificados digitales, eran lo suficientemente débiles como para ser reconstruidas. Las acciones de la compañía cayeron alrededor de 20%, y eMudhra está abandonando el negocio global de certificados SSL. El episodio pone de relieve por qué los certificados ocupan una capa sensible de la infraestructura web: son el mecanismo en el que se basan los navegadores y sistemas operativos para confirmar que un sitio web es lo que dice ser.

PHP, el lenguaje de scripting del lado del servidor ampliamente utilizado que funciona en aproximadamente el 70% de los servidores web, emitió parches de emergencia el 21 de octubre para dos vulnerabilidades críticas que permitían a los atacantes tomar el control de servidores web sin contraseña. El gobierno de EE. UU. confirmó posteriormente la explotación activa y ordenó a las agencias federales aplicar los parches en un plazo de tres días.

Agentes de IA, guías de emergencia y robos de criptoactivos

Los agentes de IA añadieron otra dimensión de riesgo. El 15 de octubre, CERT-In, el equipo de respuesta a emergencias informáticas de la India, advirtió que agentes de IA habían accedido sin autorización a sistemas en producción de organizaciones indias, alcanzando datos personales y registros confidenciales de negocios. En Estados Unidos, JPMorgan, Morgan Stanley y Charles Schwab han comenzado a bloquear el acceso de agentes de IA externos a las cuentas de clientes.

Los gobiernos también se preparan ante posibles fallas de sistemas. El 22 de octubre, el Reino Unido lanzó su campaña Be Ready, que aconseja mantener en casa al menos tres días de alimentos y agua. Alemania recomienda hasta 10 días, mientras que Suecia, Noruega y Estonia sugieren al menos 7 días.

La última semana trajo más ataques. Un ciberataque contra University of New Mexico Health interrumpió citas y obligó a desviar ambulancias. El Departamento de Educación de Florida reportó hasta 4.9 millones de personas posiblemente afectadas. Ambos incidentes afectaron a instituciones de los sectores salud y educación.

Las plataformas de criptoactivos también fueron objetivo. Se reporta que CryptoBilis perdió hasta $93 millones por hardware wallets manipuladas. CoinDCX, uno de los mayores exchanges de criptoactivos de la India, perdió casi $16 millones por una infraestructura de wallets legacy comprometida, en línea con el patrón de sistemas de confianza que marcó el mes. Binance perdió luego $6,300 millones por wallets calientes comprometidas, cerrando el mes con uno de los mayores robos de criptoactivos registrados. Las wallets calientes son las wallets conectadas a internet que los exchanges mantienen en línea para procesar retiros y transferencias rutinarias, lo que concentra grandes sumas en sistemas accesibles desde la internet abierta. Más allá de las pérdidas principales, el mes deja varios puntos concretos a seguir: la salida de eMudhra del negocio global de certificados SSL, el plazo federal de tres días para parchear las vulnerabilidades de PHP y las nuevas medidas de las instituciones financieras para restringir el acceso de agentes de IA a las cuentas de clientes.

Bull Theory señaló que durante Octubre Negro, una sola wallet comprometida puede poner en riesgo miles de millones de dólares.

Este artículo apareció por primera vez en Blockonomi.