🇺🇸 Read this article in English

Esta semana el FBI y CISA, la agencia federal de ciberseguridad, publicaron una advertencia conjunta sobre una banda de ransomware llamada SafePay. En poco más de dos años ha atacado al menos a 600 organizaciones en Estados Unidos y Europa. Las agencias la describen como uno de los grupos de ransomware más activos de 2026.

La mayoría de las noticias se centran en los nombres grandes. Yo quiero enfocarme en algo más útil para un dueño de negocio en Tucson o Nogales: lo que estos atacantes hacen realmente una vez que están dentro. Porque ahí es donde se les puede detener.

Etapa 1: Cómo entran

No hay hackeo de película. Según el reporte de The Record sobre el aviso, SafePay entra adivinando contraseñas, aprovechando fallas de software ya conocidas y con phishing. Además, programas automáticos revisan internet en busca de sistemas expuestos, como un ladrón que prueba todas las puertas de una calle.

Las puertas aburridas son las peligrosas

Las contraseñas débiles y los firewalls o VPN viejos sin parchear son la entrada habitual. Si leíste nuestro artículo anterior sobre parchear tu router y tu firewall, esto te va a sonar familiar.

Etapa 2: Cómo se afianzan

Una vez dentro, la banda no se apura. El aviso describe cómo crean cuentas nuevas o toman el control de cuentas existentes. Usan herramientas normales de administración que ya están en tu red para explorar y encontrar archivos valiosos. Después apagan tus protecciones de seguridad. A veces hasta cambian las contraseñas de los usuarios para que no puedan entrar.

Por qué te importa

Piensa en un ladrón que copia tus llaves, apaga la alarma y luego se toma su tiempo. Cada uno de esos pasos deja huella: una cuenta de administrador que nadie creó, un antivirus que de repente se detuvo, una herramienta de acceso remoto como AnyDesk o TeamViewer que nadie instaló. El aviso indica que esas herramientas remotas se usan para mover el ransomware. Si alguien está vigilando, esas huellas son tu alerta temprana.

Etapa 3: Primero roban, después bloquean

Esta es la parte que sorprende a la gente. Antes de cifrar los archivos, los atacantes los copian. Luego bloquean todo y exigen un pago en criptomonedas, y un representante de la banda incluso puede llamar a la víctima por teléfono para presionar. A esto se le llama doble extorsión.

Los respaldos arreglan el bloqueo, no la filtración

Los buenos respaldos siguen siendo importantes, y son la razón por la que puedes decir que no al bloqueo. Pero si tu lista de clientes, la nómina o tus contratos fueron copiados primero, restaurar un respaldo no los “des-roba”. Por eso el verdadero objetivo es detener al intruso temprano, antes de que copie nada. También por eso los respaldos de datos seguros y probados y la protección de equipos que alguien realmente monitorea funcionan mejor en pareja.

Otro dato real: según se reportó, el grupo exige una parte de los ingresos de la víctima, y ataques como estos han interrumpido servicios públicos para personas que no hicieron nada malo. No es solo un problema de empresas grandes.

Qué puedes hacer esta semana

1. Activa la autenticación de varios factores en el correo, el acceso remoto y todas las cuentas de administrador. Una contraseña robada sola no debería bastar.
2. Haz una lista de quién tiene derechos de administrador. Menos administradores significa menos cuentas que secuestrar. Quita el acceso a quien no lo necesite.
3. Averigua quién recibe la alerta cuando se crea una cuenta de administrador nueva o se apaga el antivirus. Si la respuesta es “nadie”, ahí está tu hueco.
4. Revisa tus herramientas remotas. Sabe qué programas de acceso remoto están aprobados en tus computadoras y marca cualquiera que no hayas instalado.
5. Parchea tu firewall y tu VPN y retira lo que el fabricante ya no soporta.
6. Guarda un respaldo fuera de línea o inmutable y prueba una restauración. Un respaldo que nunca has restaurado es una esperanza, no un plan.
7. Capacita a tu equipo sobre phishing. Una capacitación corta y frecuente rinde más que una sola sesión grande al año.

Lo esencial

El ransomware no es un solo momento. Es un proceso que ocurre durante horas o días, y cada etapa es una oportunidad para detectarlo. No necesitas ser experto en seguridad. Necesitas cerraduras básicas, alguien vigilando la alarma y un respaldo en el que confíes. Nuestras soluciones de ciberseguridad para pequeñas empresas están pensadas justo para eso, y un filtro como el filtrado de spam y virus cierra la puerta del phishing antes de que tu personal lo vea.

Fuentes: The Record, 20 de oct. de 2026; Tech Insider sobre el aviso FBI/CISA AA26-293A. Más artículos en nuestro blog.

Envíanos un mensaje

— Nemuel Cruz, Incognito Cyber Security

🇲🇽 Leer en Español →

This week the FBI and CISA, the federal cybersecurity agency, put out a joint warning about a ransomware gang called SafePay. In a little over two years, it has hit at least 600 organizations across the U.S. and Europe. The agencies call it one of the most active ransomware groups of 2026.

Most coverage focuses on the big names. I want to focus on something more useful for a business owner in Tucson or Nogales: what these attackers actually do once they’re inside. Because that’s where you can stop them.

Stage 1: How they get in

There is no movie-style hacking here. According to The Record’s report on the advisory, SafePay gets in by guessing passwords, exploiting known software holes, and phishing. Automated scripts also scan the internet for exposed systems, the same way a burglar tries every door on a street.

The boring doors are the dangerous ones

Weak logins and old, unpatched firewalls or VPNs are the usual way in. If you read our earlier post on patching your router and firewall, this will sound familiar.

Stage 2: How they dig in

Once inside, the gang doesn’t rush. The advisory describes them creating new accounts or taking over existing ones. They use normal admin tools already on your network to look around and find valuable files. Then they switch off your security protections. Sometimes they even change user passwords so you can’t log in.

Why this matters to you

Think of a burglar who copies your keys, turns off the alarm, and then takes his time. Every one of those steps leaves a footprint: a new admin account nobody created, antivirus that suddenly stopped, a remote-access tool like AnyDesk or TeamViewer that nobody installed. The advisory notes those remote tools are used to move the ransomware around. If someone is watching, those footprints are your early warning.

Stage 3: They steal first, then lock

This is the part that surprises people. Before the files are encrypted, the attackers copy them out. Then they lock everything and demand payment in cryptocurrency, and a gang representative may even phone the victim to add pressure. This is called double extortion.

Backups fix the lock, not the leak

Good backups still matter, and they are the reason you can say no to the lock. But if your customer lists, payroll files, or contracts were copied first, restoring from backup doesn’t un-steal them. That’s why stopping the intruder early, before the copying, is the real goal. It’s also why secure, tested data backups and endpoint protection that someone is actually monitoring work best as a pair.

One more reality check: the group reportedly demands a share of the victim’s revenue, and attacks like these have disrupted public services for people who never did anything wrong. It is not only a big-company problem.

What you can do this week

1. Turn on multi-factor authentication for email, remote access, and every admin account. Stolen passwords alone should not be enough.
2. List who has admin rights. Fewer admins means fewer accounts to hijack. Remove anyone who doesn’t need it.
3. Find out who gets alerted when a new admin account is created or antivirus is turned off. If the answer is “nobody,” that’s your gap.
4. Check your remote tools. Know which remote-access programs are approved on your computers, and flag any you didn’t install.
5. Patch your firewall and VPN and retire anything the manufacturer no longer supports.
6. Keep one backup offline or immutable and test a restore. A backup you’ve never restored is a hope, not a plan.
7. Train your team on phishing. Short, regular awareness training beats one big annual session.

The bottom line

Ransomware isn’t a single moment. It’s a process that takes place over hours or days, and each stage is a chance to catch it. You don’t need to be a security expert. You need basic locks, someone watching the alarm, and a backup you trust. Our small business cybersecurity solutions are built around exactly that, and a filter like spam and virus filtering closes the phishing door before your staff ever sees it.

Source: The Record, Oct. 20, 2026; Tech Insider on FBI/CISA advisory AA26-293A. More articles on our blog.

Send us a message

— Nemuel Cruz, Incognito Cyber Security

🇺🇸 Read this article in English

El miércoles, el equipo que mantiene PHP anunció dos fallas de seguridad críticas. Si esto suena como algo que solo preocupa a los programadores, aquí está por qué no es así: PHP es el motor detrás de una gran parte de internet, incluido WordPress. Si el sitio web de tu negocio, tu tienda en línea o tu página de citas funciona con WordPress, es muy probable que PHP lo esté ejecutando ahora mismo.

Quiero explicarte esto en lenguaje sencillo, decirte qué se sabe y qué no, y darte una lista corta de cosas por hacer esta semana. No hay que entrar en pánico, pero este caso merece una llamada hoy mismo.

Qué pasó exactamente

Dos fallas, un gran problema

Las fallas se identifican como CVE-2026-109618 y CVE-2026-109619, y los investigadores llamaron al par “PHP2Shell”. Ambas son críticas, con 9.2 de 10. En términos simples, son errores en la forma en que PHP maneja la memoria. Un error así puede permitir que un atacante envíe una sola solicitud especialmente diseñada a un servidor web y lo haga ejecutar los comandos del atacante, sin necesitar una contraseña ni ayuda tuya.

Imagínalo como una puerta de entrada con una cerradura que se abre con un clip doblado. La puerta parece cerrada. No lo está.

¿Ya lo están usando?

Esto es lo que dicen los reportes hasta hoy. Existe un exploit de prueba de concepto que funciona. El Centro Cibernético de Canadá dice que no ha confirmado ataques activos, pero advierte que eso podría cambiar rápido. Help Net Security informa que el equipo de seguridad de Amazon detectó un intento de explotación cuatro días antes de que las fallas se hicieran públicas. Cuando ya circula un exploit que funciona, los criminales actúan rápido, y los sitios pequeños que nadie vigila son los blancos más fáciles.

¿Me afecta a mi negocio?

Tu sitio web

Probablemente, si funciona con WordPress u otra plataforma basada en PHP. La corrección se aplica en el servidor, es decir, la hace tu proveedor de hosting o quien administra tu sitio. Actualizar un plugin no lo arregla. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si tu sitio usa PHP 8.1 o anterior, el proyecto PHP ya no da soporte a esas versiones. Algunos proveedores aplican correcciones por su cuenta, así que pregúntales directamente.

Otros equipos de tu oficina

Algunos firewalls y equipos de oficina traen PHP integrado. Según las actualizaciones de Help Net Security, Palo Alto Networks indica que el software de sus firewalls está afectado y aún no hay corrección, y otros fabricantes siguen revisando. Si administras tus propios equipos, lee los avisos de seguridad de tus proveedores esta semana.

Qué hará un buen proveedor de hosting o de TI

Actualizará PHP a una versión corregida, confirmará que la nueva versión realmente está en uso, revisará los registros del servidor en busca de actividad extraña y activará protecciones de firewall donde existan. Si trabajas con nosotros, eso es exactamente lo que hacemos. Si no, pídele a tu proveedor pruebas, no solo un “ya está resuelto”.

Una cosa más. Los criminales se aprovechan de las noticias. Espera correos y llamadas falsas de “actualización urgente de seguridad de PHP” en las próximas semanas. Un buen filtro de spam y virus detiene muchos de ellos, y la capacitación en ciberseguridad enseña a tu equipo a pensar antes de hacer clic. Y si algo sale mal, lee nuestro artículo sobre la estafa de las empresas de recuperación antes de llamar a cualquiera.

Qué puedes hacer esta semana

1. Escribe hoy a tu proveedor de hosting o a tu desarrollador web. Pregunta: “¿Su servidor ya se actualizó por CVE-2026-109618 y CVE-2026-109619, y qué versión de PHP usamos?” Pide la respuesta por escrito.
2. Revisa el respaldo de tu sitio web. Asegúrate de que exista y de que alguien haya probado restaurarlo. Nuestros respaldos seguros de datos están hechos para esto.
3. Actualiza WordPress, temas y plugins. Los plugins viejos siguen siendo la puerta de entrada más común.
4. Avisa a tu personal sobre correos, mensajes y llamadas falsas de actualizaciones de seguridad.
5. Averigua quién es responsable de tu sitio web. Si la respuesta honesta es “nadie”, dínoslo y le echamos un vistazo.

La conclusión

No es motivo de pánico. Es motivo para hacer una llamada hoy. Los negocios que salen perjudicados por fallas como esta rara vez eran el objetivo. Son los que nadie vigilaba cuando salió el parche. Conoce más de nuestras soluciones de ciberseguridad para pequeñas empresas y cómo protegemos a los dueños.

Más lecturas en lenguaje sencillo en nuestro blog.

Envíanos un mensaje

Fuentes: Centro Canadiense de Ciberseguridad, Alerta AL26-026 (21 oct. 2026) y Help Net Security, PHP2Shell (21 oct. 2026).

— Nemuel Cruz, Incognito Cyber Security

🇲🇽 Leer en Español →

On Wednesday, the team that maintains PHP announced two critical security flaws. If that sounds like something only programmers should worry about, here is why it is not: PHP is the engine behind a huge share of the internet, including WordPress. If your business website, online store, or booking page runs on WordPress, there is a good chance PHP is running it right now.

I want to walk you through this in plain English, tell you what is known and what is not, and give you a short list of things to do this week. No panic needed, but this one deserves a phone call today.

What actually happened

Two flaws, one big problem

The flaws are tracked as CVE-2026-109618 and CVE-2026-109619, and researchers have nicknamed the pair “PHP2Shell.” Both are rated critical, 9.2 out of 10. In simple terms, they are bugs in how PHP handles memory. A bug like that can let an attacker send one specially crafted request to a web server and make it run the attacker’s commands, without needing a password or any help from you.

Think of it like a front door with a lock that can be opened with a bent paperclip. The door looks closed. It is not.

Is anyone using it yet?

Here is what the reports say as of today. A working proof-of-concept exploit exists. Canada’s Cyber Centre says it has not confirmed active attacks, but warns that could change quickly. Help Net Security reports that Amazon’s security team saw an exploitation attempt four days before the flaws went public. Once a working exploit is out there, criminals move fast, and small sites that nobody is watching are the easiest targets.

Does this affect my business?

Your website

Probably, if it runs on WordPress or another PHP-based platform. The fix has to be applied on the server, which means your web host or whoever manages your site. Updating a plugin will not fix it. The patched versions are PHP 8.5.12, 8.4.27, 8.3.36, and 8.2.35. If your site runs PHP 8.1 or older, the PHP project no longer supports those versions. Some hosts and vendors backport fixes, so ask them directly.

Other equipment in your office

Some business firewalls and appliances ship with PHP inside. According to Help Net Security’s updates, Palo Alto Networks says its firewall software is affected with no fix yet, and other vendors are still checking. If you manage your own equipment, read your vendors’ security notices this week.

What a good host or IT provider will do

They will update PHP to a fixed version, confirm the new version is actually running, look through server logs for strange activity, and turn on firewall protections where they are available. If you work with us, that is exactly what we do. If you do not, ask your provider to show you proof, not just say it is handled.

One more thing. Criminals ride the headlines. Expect fake “urgent PHP security update” emails and calls in the coming weeks. A good spam and virus filter stops many of them, and regular cybersecurity awareness training teaches your team to pause before clicking. And if something does go wrong, read our post on the recovery company scam before you call anyone for help.

What you can do this week

1. Email your web host or web developer today. Ask: “Has our server been updated for CVE-2026-109618 and CVE-2026-109619, and what PHP version are we running?” Get the answer in writing.
2. Check your website backup. Make sure one exists and that someone has tested restoring it. Our secure data backups are built for this.
3. Update WordPress, themes, and plugins. Old plugins are still the most common way in.
4. Warn your staff about fake security-update emails, texts, and phone calls.
5. Find out who owns your website. If the honest answer is “nobody,” tell us and we will take a look.

The bottom line

This is not a reason to panic. It is a reason to make one phone call today. The businesses that get hurt by flaws like this are rarely the ones that were targeted. They are the ones nobody was watching when the patch came out. For more of our small business cyber security solutions, see how we keep owners covered.

More plain-English security reads are on our blog.

Send us a message

Sources: Canadian Centre for Cyber Security, Alert AL26-026 (Oct. 21, 2026) and Help Net Security, PHP2Shell (Oct. 21, 2026).

— Nemuel Cruz, Incognito Cyber Security

🇺🇸 Read this article in English

Este número debería hacer pensar a cualquier dueño: se estima que solo entre el 10% y el 20% de las pequeñas empresas tiene seguro cibernético. Mientras tanto, el FBI reportó casi $21 mil millones de dólares en pérdidas por delitos cibernéticos en EE. UU. durante 2025, con más de un millón de incidentes.

Un informe de esta semana del Insurance Information Institute (publicado por Claims Journal el 19 de octubre) agrega algo importante: las tarifas del seguro cibernético han bajado cuatro años seguidos, cerca de 5% en lo que va de 2026 después de una caída de 13% en 2025. La cobertura es más barata. El riesgo no. Y las pequeñas empresas siguen siendo las que no la compran.

Cada semana hablo con dueños que piensan: “Somos muy pequeños para ser un blanco”. Los atacantes no revisan tus ventas primero. Van por quien sea más fácil de alcanzar. Así que hablemos de lo que el seguro cibernético realmente hace, lo que no hace, y cómo prepararte si lo compras.

Qué cubre realmente el seguro cibernético

Piensa en él como un seguro contra incendios para tu edificio digital. No apaga el fuego. Ayuda a pagar la limpieza y la reconstrucción.

Los costos con los que puede ayudar

Según la póliza, puede incluir investigadores forenses, ayuda legal, avisar a los clientes, monitoreo de crédito, ingresos perdidos mientras estás detenido y, a veces, la negociación o el pago de un ransomware. Para un negocio pequeño, un solo incidente puede costar decenas de miles de dólares. Esa es la factura que cierra negocios.

Lo que normalmente no arregla

No restaura tu reputación, no recupera a un cliente que perdió la confianza y no deshace el ataque. Además, las pólizas tienen letra pequeña. Algunas excluyen ciertos eventos, limitan los pagos por fraude con transferencias, o niegan reclamos si dijiste que tenías protecciones que en realidad no tenías.

El seguro es el cinturón, no los frenos

Aquí no estoy de acuerdo con la idea de que una póliza es un plan de seguridad. El seguro paga después de que algo sale mal. La prevención evita que salga mal. El mismo informe señala que el mejor enfoque combina prevención, preparación y seguro.

También importa porque las aseguradoras no son caridad. Al solicitar, la mayoría preguntará si usas autenticación multifactor (MFA), si tienes respaldos probados, protección en tus equipos y capacitación para tu personal. Si tus respuestas son débiles, puedes pagar más, recibir menos cobertura o que te rechacen. Y si marcas una casilla que luego resulta falsa, te pueden negar un reclamo justo cuando más lo necesitas.

En cierto modo es buena noticia. Los mismos pasos que te hacen asegurable también te hacen mucho más difícil de atacar. Nuestras soluciones de ciberseguridad para pequeñas empresas están construidas justo sobre esas bases.

Qué debes tener listo antes de solicitar

Respaldos que realmente hayas probado

El ransomware estuvo presente en el 48% de las brechas del informe 2026 de Verizon. Un respaldo limpio y probado suele ser la diferencia entre una mala semana y un negocio cerrado. Conoce nuestros respaldos seguros de datos.

Protección en cada equipo

Las laptops y computadoras son donde cae la mayoría de los ataques. La protección de endpoints moderna suele ser lo primero que pregunta una aseguradora.

Un equipo capacitado

Un solo clic equivocado basta, como vimos en nuestro artículo sobre qué hacer cuando te ataca un ransomware. La capacitación en ciberseguridad cuesta poco comparada con cualquier reclamo, y un filtro de spam y virus detiene muchos correos peligrosos antes de que tu personal los vea.

Qué puedes hacer esta semana

1. Averigua si ya tienes cobertura. Revisa la póliza de tu negocio. Muchas incluyen poca o ninguna protección cibernética.
2. Activa MFA en tu correo, banco y software de contabilidad.
3. Prueba una restauración de tus respaldos. Elige un archivo y recúperalo.
4. Haz una lista de tus equipos y quién los usa. Las aseguradoras lo preguntarán.
5. Lee las exclusiones de cualquier cotización, sobre todo las de fraude con transferencias y ransomware.
6. Anota a quién llamar primero si pasa algo, incluyendo a tu proveedor de TI y la línea de reclamos de tu aseguradora.

La conclusión

Las primas más bajas son una buena razón para volver a mirar la cobertura. Pero no dejes que una póliza se convierta en tu plan. Primero arregla lo básico y después asegura lo que quede. Ese orden ahorra dinero y consigue mejores condiciones.

Más lecturas en lenguaje sencillo en nuestro blog.

Envíanos un mensaje

Fuentes: Claims Journal, “Cyber Rates Are Down, Risks Are Up but Small Businesses Slow to Adopt” (19 oct. 2026), con datos del Insurance Information Institute, Swiss Re, el FBI y Verizon.

— Nemuel Cruz, Incognito Cyber Security

🇲🇽 Leer en Español →

Here is a number that should make every owner pause: an estimated 10% to 20% of small businesses carry cyber insurance. Meanwhile, the FBI reported nearly $21 billion in cyber-related losses across the U.S. in 2025, and more than a million incidents.

A report out this week from the Insurance Information Institute (covered by Claims Journal on October 19) adds a twist: cyber insurance rates have now fallen four years in a row, about 5% so far in 2026 after a 13% drop in 2025. Coverage is getting cheaper. Risk is not. And small businesses are still the ones skipping it.

I talk to owners every week who assume, “We’re too small to be a target.” Attackers do not check your revenue first. They go after whoever is easiest to reach. So let’s talk about what cyber insurance actually does, what it doesn’t, and how to be ready if you buy it.

What cyber insurance actually covers

Think of it like fire insurance for your digital building. It does not stop the fire. It helps pay for the cleanup and the rebuild.

The costs it can help with

Depending on the policy, that can include forensic investigators, legal help, notifying customers, credit monitoring, lost income while you are down, and sometimes ransomware negotiation or payment. For a small shop, a single incident can run into tens of thousands of dollars. That is the kind of bill that closes doors.

What it usually does not fix

It will not restore your reputation, bring back a customer who lost trust, or make the attack unhappen. And policies have fine print. Some exclude certain events, cap payouts for things like wire fraud, or deny claims if you said you had protections you did not.

Insurance is the seatbelt, not the brakes

This is where I push back on the idea that a policy is a security plan. Insurance pays after something goes wrong. Prevention is what keeps it from going wrong at all. The same report points out that the strongest approach pairs prevention, preparedness, and insurance together.

It also matters because insurers are not charity. When you apply, most will ask whether you use multi-factor authentication, keep tested backups, run endpoint protection, and train your staff. If your answers are shaky, you may pay more, get less coverage, or get turned down. If you check the box and it later turns out to be untrue, a claim can be denied right when you need it.

That is good news in a way. The same steps that make you insurable also make you much harder to hit. Our small business cyber security solutions are built around exactly those basics.

What to get in place before you apply

Backups you have actually tested

Ransomware was involved in 48% of breaches in Verizon’s 2026 report. A clean, tested backup is often the difference between a bad week and a closed business. See our secure data backups.

Protection on every device

Laptops and desktops are where most attacks land. Modern endpoint protection is usually the first thing an underwriter asks about.

A trained team

One bad click is all it takes, as we covered in our post on what to do when ransomware hits. Regular cybersecurity awareness training is cheap compared to any claim, and a spam and virus filter stops many bad emails before your staff ever see them.

What you can do this week

1. Find out if you already have coverage. Check your business owner’s policy. Many include little or no cyber protection.
2. Turn on MFA for email, banking, and your accounting software.
3. Test a restore of your backups. Pick one file and bring it back.
4. List your devices and who uses them. Insurers will ask.
5. Read the exclusions on any quote, especially for wire fraud and ransomware.
6. Write down who to call first if something happens, including your IT provider and your insurer’s claims line.

The bottom line

Cheaper premiums are a good reason to look at coverage again. But do not let a policy become your plan. Get the basics right first, then insure what is left. That order saves money and gets you better terms.

More plain-English security reads are on our blog.

Send us a message

Sources: Claims Journal, “Cyber Rates Are Down, Risks Are Up but Small Businesses Slow to Adopt” (Oct. 19, 2026), citing the Insurance Information Institute, Swiss Re, FBI, and Verizon data.

— Nemuel Cruz, Incognito Cyber Security

🇺🇸 Read this article in English

Puedes tener el mejor firewall del mercado y aun así perder tus datos ante un desconocido con un teléfono. Eso les pasó a millones de personas este año, y vale la pena que le dediques cinco minutos.

La llamada que costó los datos de millones de personas

El periodista de seguridad Zack Whittaker repasó recientemente una serie de brechas que empezaron igual: con una llamada telefónica. En el caso de la empresa de telecomunicaciones holandesa Odido, un hacker supuestamente llamó a un agente de atención al cliente y usó una página de inicio de sesión falsa para robar las credenciales de ese agente. El resultado fue el robo de datos personales de más de seis millones de personas, algo que las autoridades holandesas describen como uno de los mayores robos de datos en la historia del país. La policía holandesa incluso publicó una reconstrucción de la llamada y pide ayuda al público para identificar a quien llamó.

No fue un caso aislado. El mismo reportaje menciona a un empleado de Google engañado para dar acceso a una base de datos con información de contacto de clientes, y brechas similares por teléfono en Cisco, Charter y RingCentral. Son empresas grandes con grandes presupuestos de seguridad, y una llamada se saltó todo eso.

Los expertos lo llaman “vishing”, de voice phishing (phishing por voz). Es como el phishing, pero con una voz humana. Y esto es lo que debe llamar tu atención: los principales grupos de vishing ni siquiera usan inteligencia artificial sofisticada. Usan un tono seguro, un poco de investigación y una historia creíble.

Por qué las pequeñas empresas son un blanco fácil

Todos contestan el teléfono

Los atacantes no necesitan ser ingeniosos con tus sistemas si pueden serlo con tu gente. Una recepcionista, un administrador o un empleado nuevo contesta una llamada que suena urgente y oficial. Nadie quiere ser quien hizo esperar al “técnico de sistemas”.

Los equipos pequeños funcionan con confianza

En una empresa de diez personas, todos se conocen. Eso es una fortaleza, hasta que alguien llama y dice “Hola, soy Miguel del banco, le llamo por la transferencia” y nadie tiene forma de comprobarlo. Sin un hábito sencillo de verificación, gana quien llama.

Una contraseña abre muchas puertas

En el caso de Odido, el acceso de un solo agente fue la llave. En tu oficina, una contraseña de correo robada puede llegar a tus archivos, tus facturas y tu lista de clientes. Nuestro artículo sobre cómo un solo clic expuso a 1.3 millones de arizonenses muestra qué tan rápido se propaga un error.

Cómo suena una llamada de vishing

Las historias cambian, pero el patrón no. Desconfía de quien crea urgencia (“esto tiene que hacerse en diez minutos”), dice ser de sistemas, de tu banco, de tu proveedor de software o un compañero, te pide restablecer una contraseña, leer un código, aprobar un aviso de inicio de sesión o abrir un enlace que te manda por mensaje, y se molesta cuando quieres verificar. Esa última es la señal de alerta más grande. Los proveedores y bancos de verdad esperan que los verifiques.

Qué puedes hacer esta semana

1. Adopta la regla de colgar y devolver la llamada. Si alguien llama pidiendo acceso, dinero o una contraseña, cuelga y llama a un número que ya sepas que es real, no al que te den.
2. Haz más difícil falsificar un cambio de contraseña. Acuerden que nadie restablece una contraseña ni cambia datos bancarios por teléfono sin una segunda revisión, como la aprobación de un gerente o una llamada a un número conocido.
3. Nunca leas un código en voz alta. Los códigos de verificación y las aprobaciones de inicio de sesión son solo para ti. Nadie legítimo los necesita por teléfono.
4. Activa una protección de acceso sólida. La autenticación de varios factores ayuda incluso si se filtra una contraseña. Vemos lo básico en nuestras soluciones de ciberseguridad para pequeñas empresas.
5. Capacita a tu equipo diez minutos. Cuenten esta historia en su próxima reunión. Nuestra capacitación de concientización en ciberseguridad incluye escenarios por teléfono, porque la gente recuerda mejor las historias que las reglas.
6. Respalda tus datos y protege tus equipos. Si una llamada sale mal, conviene tener ya respaldos de datos seguros y protección de endpoints. Un buen filtro de spam y virus también reduce los correos de phishing que suelen llegar justo antes de la llamada.

Lo más importante

La brecha de Odido no fue una historia de hackeo avanzado. Fue la historia de una llamada que funcionó. Tu mejor defensa no es otro aparato, sino un equipo que sabe que está bien decir “déjame devolverte la llamada”. Si quieres ayuda para establecer reglas sencillas de verificación en tu oficina, es justo lo que hacemos. También puedes ver más consejos en lenguaje sencillo en nuestro blog.

Fuente: This Week in Security, “How a phone call allowed a hacker to steal millions of people’s personal data” (30 de septiembre de 2026).

Envíanos un mensaje

— Nemuel Cruz, Incognito Cyber Security

🇲🇽 Leer en Español →

You can have the best firewall money can buy and still lose your data to a stranger with a phone. That is what happened to millions of people this year, and it is worth five minutes of your attention.

The call that cost millions of people their data

Security reporter Zack Whittaker recently walked through a string of breaches that started the same way: a phone call. In the Dutch telecom Odido case, a hacker reportedly called a customer support agent and used a fake login page to grab that agent’s credentials. The result was the theft of personal data on more than six million people, which Dutch authorities describe as one of the biggest data thefts in the country’s history. Dutch police have even released a reconstruction of the call and are asking the public to help identify the caller.

It was not a one-off. The same reporting points to a Google employee who was tricked into giving access to a database of customer contact information, and to similar phone-based breaches at Cisco, Charter, and RingCentral. These are big companies with big security budgets. A phone call got around all of it.

Security people call this “vishing,” short for voice phishing. Think of it as phishing with a human voice. And here is the part that should get your attention: the top vishing groups are not even using fancy AI. They are using a confident tone, a little research, and a believable story.

Why small businesses are an easy target

You answer the phone, and so does everyone else

Attackers do not need to be clever with your systems if they can be clever with your people. A receptionist, an office manager, or a new hire answers a call that sounds urgent and official. Nobody wants to be the person who made the “IT guy” wait.

Small teams run on trust

In a ten-person company, everyone knows everyone. That is a strength, until a caller says “Hi, it’s Mike from the bank, I’m calling about the wire” and nobody has a way to check. Without a simple verification habit, the caller wins by default.

One password opens a lot of doors

In the Odido case, one support agent’s login was the key. In your office, one stolen email password can reach your files, your invoices, and your customer list. Our post on how one click exposed 1.3 million Arizonans shows how fast a single mistake spreads.

What a vishing call sounds like

The stories change, but the pattern does not. Watch for a caller who creates urgency (“this has to happen in the next ten minutes”), claims to be IT, your bank, your software vendor, or a coworker, asks you to reset a password, read out a code, approve a login prompt, or click a link they are texting you, and gets irritated when you want to double-check. That last one is the biggest red flag. Real vendors and real banks expect you to verify them.

What you can do this week

1. Adopt the hang-up-and-call-back rule. If anyone calls asking for access, money, or a password, hang up and call back on a number you already know is real, not the one they give you.
2. Make password resets harder to fake. Decide that nobody resets a password or changes bank details over the phone without a second check, such as a manager’s approval or a known callback number.
3. Never read out a code. Verification codes and login approval prompts are for you only. No legitimate person needs them from you over the phone.
4. Turn on strong sign-in protection. Multi-factor authentication helps even when a password leaks. We cover the basics in our small business cyber security solutions.
5. Train your team for ten minutes. Tell this story at your next huddle. Our cybersecurity awareness training includes phone scenarios, because people remember stories better than rules.
6. Back up your data and protect your devices. If a call does go wrong, you want secure data backups and endpoint protection already in place. A good spam and virus filter also cuts down the phishing emails that often come right before the call.

The bottom line

The Odido breach was not a story about advanced hacking. It was a story about a phone call that worked. Your best defense is not another gadget. It is a team that knows it is okay to say, “Let me call you back.” If you want help setting up simple verification rules for your office, that is exactly the kind of thing we do. You can also browse more plain-English tips on our blog.

Source: This Week in Security, “How a phone call allowed a hacker to steal millions of people’s personal data” (Sept. 30, 2026).

Send us a message

— Nemuel Cruz, Incognito Cyber Security

🇺🇸 Read this article in English

Hace unos años vi a un dueño de negocio hacer clic en “Guardar contraseña” en el acceso de su banco sin pensarlo dos veces. Era cómodo. También era un regalo para cualquiera que llegara a tener esa computadora en sus manos.

Este mes, investigadores de K7 Labs describieron un nuevo ladrón de contraseñas para Windows que deja el problema muy claro. Va tras los accesos guardados en al menos 17 navegadores, además de Firefox. También se lleva las tarjetas de pago guardadas, las cookies de sesión e incluso las contraseñas de Wi-Fi almacenadas en el equipo. Después lo envía todo, en silencio, al atacante. Este tipo de malware se llama infostealer (ladrón de información) y se vende como un kit listo para usar, así que los delincuentes no necesitan ser expertos.

Por qué le importa a una pequeña empresa

Piensa en tu navegador como la recepción de un hotel que guarda una copia de cada llave de habitación. Es cómodo para los huéspedes, hasta que alguien se lleva todo el cajón. Cuando un infostealer llega a una PC, no se lleva una llave. Se lleva el cajón completo.

No son solo contraseñas

Lo que más sorprende a los dueños son las cookies. Una cookie de sesión es la pequeña señal que le dice a un sitio web: “esta persona ya inició sesión”. Si un ladrón la tiene, a veces puede entrar directo a tu correo o a tu software de contabilidad sin escribir contraseña y sin el código de tu teléfono. Por eso una contraseña fuerte no basta, y se relaciona con lo que escribí sobre accesos robados que se pasan a otro hacker en segundos.

Una PC personal puede exponer a toda la empresa

Tu contadora revisa el banco de la empresa en su laptop de casa. Tu técnico entra a tus herramientas remotas desde una computadora que también usan los niños. Si esa sola máquina se infecta, todos los accesos guardados quedan expuestos. El atacante prueba esos accesos en todos lados, el mismo patrón detrás de los problemas de contraseñas débiles que vimos hace poco.

¿Cómo llega a la computadora?

Normalmente por una descarga mala: un programa pirata, una herramienta “gratis” falsa, un mod de videojuego o un archivo adjunto en un mensaje que parece normal. Los investigadores encontraron este escondido dentro de archivos comprimidos anidados con nombres inocentes. Además se configura para reiniciarse cada vez que se enciende la computadora y se hace llamar “WindowsUpdate” para pasar desapercibido.

Qué puedes hacer esta semana

1. Deja de guardar contraseñas del negocio en el navegador. Pásalas a un gestor de contraseñas para empresas, protegido con su propio acceso fuerte. En el navegador son demasiado fáciles de alcanzar.
2. Activa el MFA en todo lo que lo ofrezca, empezando por correo, banco y contabilidad. Usa códigos de una app o llaves de seguridad en lugar de mensajes de texto cuando puedas.
3. Instala protección real para equipos en cada computadora que toque datos de la empresa, incluso las que no están en la oficina. El antivirus gratis que venía con la PC no es lo mismo.
4. Limita quién puede instalar programas. Si el personal no puede instalar cualquier cosa, la mayoría de los infostealers no tienen dónde aterrizar.
5. Capacita a tu equipo sobre las descargas peligrosas. Una breve sesión de concientización sobre programas piratas y archivos inesperados se paga sola.
6. Filtra la basura antes de que llegue. Un buen filtro de spam y virus detiene muchos de esos archivos riesgosos antes de que alguien haga clic.
7. Ten un respaldo limpio y probado, y conoce el plan para cambiar todas las contraseñas si una máquina se infecta.

Si crees que una computadora está infectada

No te limites a correr un escaneo y seguir. Asume que los accesos de esa máquina fueron robados. Desde otro dispositivo limpio, cambia las contraseñas importantes (primero el correo), cierra todas las sesiones activas para que las cookies robadas dejen de funcionar, y después pide que limpien o reconstruyan la computadora. El orden importa: primero el dispositivo limpio, luego las contraseñas.

¿Quieres ayuda para ver cómo está tu negocio? Nuestras soluciones de ciberseguridad para pequeñas empresas comienzan con una conversación, y tienes más guías en lenguaje sencillo en nuestro blog.

Envíanos un mensaje

— Nemuel Cruz, Incognito Cyber Security

Fuentes: GBHackers, 2 de oct. de 2026; Cyber Press, 2 de oct. de 2026.

🇲🇽 Leer en Español →

A few years ago, I watched a business owner click “Save password” on a banking login without a second thought. It was convenient. It was also a gift to anyone who ever got their hands on that computer.

This month, security researchers at K7 Labs described a new Windows password stealer that makes the problem plain. It goes after the logins saved in at least 17 browsers, plus Firefox. It also grabs saved payment cards, session cookies, and even the Wi-Fi passwords stored on the machine. Then it quietly sends everything to the attacker. This type of malware is called an infostealer, and it is sold as a ready-made kit, so criminals do not need to be skilled to use it.

Why this matters for a small business

Think of your browser like a hotel front desk that keeps a copy of every room key. Convenient for guests, until someone walks off with the whole drawer. When an infostealer lands on one PC, it does not take one key. It takes the drawer.

It is not just passwords

The part that surprises owners is cookies. A session cookie is the small token that tells a website, “this person already logged in.” If a thief has it, they can sometimes walk right into your email or accounting software without typing a password, and without a code from your phone. That is why a strong password alone is not enough, and it connects to what I wrote about stolen logins being handed off in seconds.

One personal PC can expose the whole company

Your bookkeeper checks the company bank on her home laptop. Your technician logs in to your remote tools from a computer the kids also use. If that one machine is infected, every login saved there is exposed. The attacker then tries those logins everywhere else, which is the same pattern behind the weak-password problems we covered recently.

How does it get on the computer?

Usually through a bad download: a cracked program, a fake “free” tool, a game mod, or a file attached to a message that looks routine. The researchers found this one hidden inside nested archive files with innocent-sounding names. It also sets itself up to restart every time the computer starts, and it names itself “WindowsUpdate” so it blends in.

What you can do this week

1. Stop saving business passwords in the browser. Move them into a business password manager that locks behind its own strong login. Browsers keep them too easy to reach.
2. Turn on MFA everywhere it is offered, starting with email, banking, and accounting. Use app codes or security keys instead of text messages when you can.
3. Put real endpoint protection on every computer that touches company data, including the ones that are not in the office. Free antivirus that came with the PC is not the same thing.
4. Limit who can install software. If staff cannot install random programs, most infostealers have nowhere to land.
5. Train your team on the bad-download habit. A short awareness session about cracked software and unexpected attachments pays for itself.
6. Filter the junk before it arrives. Good spam and virus filtering stops many of those risky files before anyone can click.
7. Have a clean, tested backup, and know the plan for resetting every password if a machine is infected.

If you think a computer is infected

Do not just run a scan and move on. Assume the logins on that machine are stolen. From a different, clean device, change the important passwords (email first), sign out of all active sessions so stolen cookies stop working, and then have someone clean or rebuild the computer. Order matters: clean device first, then the passwords.

Want help seeing where your business stands? Our small business cybersecurity solutions start with a conversation, and you can find more plain-English guides on our blog.

Send us a message

— Nemuel Cruz, Incognito Cyber Security

Sources: GBHackers, Oct. 2, 2026; Cyber Press, Oct. 2, 2026.