Qué es realmente el fraude de CEO con IA

Este es el siguiente paso después del correo falso. Los atacantes ahora usan IA generativa para clonar la voz real de una persona a partir de audio público, un informe de resultados, un seminario web, un video en LinkedIn, y para falsificar una videollamada en vivo lo suficientemente bien como para engañar a quien está del otro lado. Súmele correos de phishing redactados por IA que se leen como los de un colega real y no como el mal español de hace diez años, y el viejo consejo de “busque errores de ortografía” deja de funcionar. Esto no es una computadora hackeada. Es una relación de confianza hackeada.

Por qué las pequeñas empresas son el objetivo

Las pequeñas empresas sufrieron aproximadamente siete de cada diez filtraciones de datos el año pasado, y el costo promedio de una filtración ronda los $254,000 dólares, dinero real del que la mayoría de las pymes nunca se recupera del todo. Los empleados de empresas pequeñas también enfrentan intentos de ingeniería social varias veces más seguido que sus contrapartes en grandes corporaciones, porque los atacantes ya saben algo que muchos dueños no quieren admitir: una empresa de 20 personas rara vez tiene un paso formal para verificar una solicitud de transferencia antes de mover el dinero. Los bancos y las grandes empresas ya blindaron ese paso hace años. La mayoría de las pequeñas empresas, no.

Las empresas que más atraen a los atacantes son las que mueven dinero y manejan datos sensibles sin las defensas escalonadas de un banco: las áreas de finanzas, las firmas contables y los despachos legales están arriba en la lista. Pero cualquier negocio que transfiera dinero a proveedores, nómina o contratistas es un blanco posible.

El único hábito que lo detiene

La defensa más eficaz no cuesta nada y no requiere software nuevo: nunca apruebe una transferencia, un cambio de pago o los nuevos datos bancarios de un proveedor a partir de un correo, una llamada o un video, sin más. Verifíquelo por un segundo canal. Llame a la persona a un número que ya tenga guardado, no al que viene en el correo ni al que marca el identificador de llamadas, y confirme en voz alta antes de mover un solo dólar. Para cualquiera que pueda autorizar una transferencia, acuerden una palabra clave verbal de antemano y cámbienla cada cierto tiempo. Si la solicitud se siente apurada o urgente, no es casualidad, la urgencia es justamente el objetivo del ataque. Deténgase y haga la llamada.

Cómo lo blindamos en Incognito

Este es el trabajo que hacemos todos los días para negocios en todo el sur de Arizona. Añadimos filtrado de spam y virus y cifrado de correo sobre su bandeja de entrada para que el correo de phishing que prepara la llamada con deepfake nunca llegue, y damos capacitación breve y constante en concientización de seguridad para que su equipo reconozca la jugada; la voz o el video pueden ser convincentes, pero el patrón de la solicitud casi nunca cambia.

Si no está seguro de que su equipo tenga un paso de verificación en su lugar, averigüémoslo juntos. Agende una visita de cortesía y revisaremos por dónde podría colarse un engaño convincente, o llámenos al 520.257.2648. Si cree que ya fue blanco de un ataque, repórtelo aquí y le ayudaremos a contenerlo rápido.

What AI-powered CEO fraud actually is

This is the next step past the fake email. Attackers now use generative AI to clone a real person’s voice from public audio, an earnings call, a webinar, a LinkedIn video, and to fake a live video call well enough to fool the person on the other end. Pair that with AI-written phishing emails that read like a real colleague instead of the broken English of ten years ago, and the old advice, “look for typos,” stops working. This isn’t a hacked computer. It’s a hacked trust relationship.

Why small businesses are the target

Small businesses took roughly seven in ten data breaches last year, and the average breach now costs a small business somewhere around $254,000, real money most SMBs never fully recover. Employees at small companies also get hit with social-engineering attempts at several times the rate their counterparts at large enterprises see, because attackers already know something owners don’t like to admit: a 20-person company rarely has a formal step in place to verify a wire request before the money moves. Big banks and enterprises built that step in years ago. Most small businesses never did.

The businesses attackers favor most are the ones that move money and hold sensitive data without a bank’s layered defenses: finance offices, CPA firms, and legal practices all sit high on the list. But any business that wires money to vendors, payroll, or contractors is fair game.

The one habit that stops it cold

The single most effective defense doesn’t cost anything and doesn’t require new software: never approve a wire, a payment change, or a vendor’s new bank details from an email, phone call, or video alone. Verify it on a second channel first. Call the person back on a number you already have on file, not one from the email or the caller ID, and confirm out loud before you move a dollar. For anyone who can authorize a wire, agree on a verbal codeword ahead of time and change it periodically. If a request feels rushed or urgent, that’s not a coincidence, urgency is the whole point of the attack. Slow down and make the call.

How Incognito locks it down

This is the work we do every day for businesses across Southern Arizona. We layer spam and virus filtering and email encryption on top of your inbox so the phishing email that sets up the deepfake call never lands, and we run short, regular security-awareness training so your team recognizes the play; the voice or the video might be convincing, but the request pattern rarely changes.

If you are not sure your team has a verification step in place, let’s find out together. Book a complimentary visit and we’ll walk through where a convincing fake could slip past you, or call us at 520.257.2648. If you think you’ve already been targeted, report it here and we will help you contain it fast.

Incognito CyberSecurity™ is a local Tucson, Arizona MSP company offering 24/7 services to small businesses across Southern Arizona. Here is a plain-English roundup of the cybersecurity events that unfolded over the weekend, and what each one means for the businesses we protect.

1. Critical Progress LoadMaster flaw hits CISA’s must-patch list

CISA added a critical command-injection flaw in Progress Kemp LoadMaster (CVE-2026-8037, CVSS 9.6) to its Known Exploited Vulnerabilities catalog after roughly 792 exploitation attempts were tracked from dozens of IP addresses worldwide. An unauthenticated attacker can run arbitrary commands on the appliance, and federal agencies were ordered to patch by August 10.

What to do: If your office runs a Kemp/Progress LoadMaster load balancer, apply the vendor patch now and restrict its management interface to trusted internal addresses only. Not sure whether one sits on your network? Our network solutions team can inventory your edge devices and confirm they are patched.

2. N-able N-central under active attack — an MSP-tool wake-up call

N-able warned that attackers are exploiting an authentication-bypass vulnerability (CVE-2026-18577) in its N-central remote monitoring and management platform. Hosted deployments were auto-patched, but on-premises customers must apply the emergency hotfix themselves. RMM tools are high-value targets because they reach into every managed machine at once.

What to do: Ask any IT provider that touches your systems whether their remote-management tools are patched and protected with multi-factor authentication. This is exactly the kind of exposure our server and workstation management service is built to close.

3. Helix ransomware gang claims a real-estate victim

The Helix ransomware group announced an attack on Morguard, a large Canadian real-estate firm, and threatened to leak stolen data after negotiations stalled. It is another reminder that ransomware crews now steal data first and encrypt second, so paying rarely makes the problem disappear.

What to do: Assume a breach will happen and prepare to recover without paying. Keep offline, secure data backups that are tested regularly, and make sure at least one copy is isolated from your everyday network.

4. Phishing campaign hijacks Microsoft 365 accounts

Researchers flagged a widespread email phishing campaign using adversary-in-the-middle techniques to steal login sessions and take over Microsoft 365 accounts. Because it captures the live session token, this method can slip past basic password protection.

What to do: Turn on phishing-resistant multi-factor authentication for every Microsoft 365 user and train staff to log in only from your real sign-in page. Layered spam and virus filtering stops most of these lures before they ever reach an inbox.

5. “ClickFix” fake-fix pages spread a credential-stealing malware

Attackers are using ClickFix-style prompts — fake error messages that tell you to paste a command to “fix” a problem — to deliver a Go-based infostealer that grabs cryptocurrency, browser-saved passwords, and cached credentials. One click by one employee can hand over the keys to your accounts.

What to do: Teach your team to never paste commands they did not write into a terminal or Run box, no matter how convincing the pop-up looks. Modern endpoint protection can catch and block this malware before it steals anything.

6. Voice-phishing crews target professional-services firms

An extortion group tracked as UNC6671 is running voice-phishing (vishing) calls against law firms, hedge funds, and private-equity firms, talking employees into granting access to corporate systems. Small professional offices are attractive because they hold sensitive client data but often lack a dedicated security team.

What to do: Set a simple rule: no one grants remote access or resets credentials based on a phone call alone — verify through a known internal channel first. Our small business cybersecurity solutions include the staff training and verification policies that shut these scams down.

The bottom line

Incognito CyberSecurity™ is a local Tucson, Arizona MSP company offering 24/7 services to businesses across Southern Arizona. Weekends are when attackers count on nobody watching — we watch so you do not have to. Contact Incognito Cyber Security to get these protections in place before the next headline lands.

Esta semana ocurrieron tres cosas que importan a las pequeñas y medianas empresas del sur de Arizona, y ninguna es exótica. Un equipo de administración de firewalls que salió de fábrica con una contraseña incluida. Un servidor de compilación que permite a cualquiera en internet ejecutar comandos. Y controladores industriales completamente expuestos en internet en plantas de agua. El hilo común es aburrido a propósito: credenciales por defecto y equipos expuestos a internet que nunca debieron estarlo. Como empresa MSP en Tucson, pasamos la semana revisando los entornos de nuestros clientes buscando exactamente estas tres condiciones. Esto es lo que pasó y qué hacer al respecto.

1. Cisco parchó un zero-day activamente explotado en Secure Firewall Management Center (CVE-2026-20316)

El miércoles 29 de julio de 2026, Cisco publicó parches para CVE-2026-20316, una falla en Cisco Secure Firewall Management Center (FMC) que los atacantes ya estaban explotando. El problema son las credenciales estáticas: una cuenta de bajos privilegios embebida en el código de la interfaz web de FMC. Un atacante sin autenticar dentro de la red simplemente inicia sesión con esas credenciales y lee datos sensibles. El puntaje CVSS es apenas 5.3, pero Cisco lo calificó como de severidad Alta porque ese punto de apoyo se puede encadenar con otras vulnerabilidades de FMC para escalar privilegios. Cisco confirmó que detectó explotación en julio y publicó indicadores de compromiso, entre ellos revisar /var/log/messages en busca de entradas relacionadas con licencias que hagan referencia a /var/tmp/license.tmp. La falla fue reportada por Jimi Sebree de Horizon3.ai. FMC en la nube y Firewall Device Manager no están afectados. La recomendación de Cisco es directa: si sospechas explotación, parchar no es suficiente. Hay que rotar todas las credenciales de usuario, llaves criptográficas y certificados almacenados en el equipo, porque puede que ya se los hayan llevado.

Que hacer: Si tienes Cisco Secure FMC en sitio, párchalo esta semana y luego confirma que la interfaz de administración no sea accesible desde internet. Si no puedes saber si lo está, ese es el verdadero hallazgo. Después de parchar, rota credenciales y certificados del equipo: asume que todo lo guardado ahí fue legible. La mayoría de las pequeñas empresas no operan FMC directamente, pero si un proveedor administra tu firewall, pregúntale hoy mismo si aplicó esta corrección y si la interfaz de administración está expuesta. Nuestro trabajo de soluciones de red siempre arranca con esa pregunta de inventario, porque no puedes parchar equipos que olvidaste que tienes.

2. JetBrains TeamCity con una falla de ejecución remota de código sin autenticación y CVSS 9.8 (CVE-2026-63077)

JetBrains publicó un aviso el 27 de julio de 2026 sobre CVE-2026-63077, una vulnerabilidad crítica que afecta a todas las versiones de TeamCity On-Premises anteriores a 2026.1.3 y 2025.11.7. Tiene un puntaje de 9.8 sobre 10. La causa raíz es la deserialización insegura de datos no confiables en el protocolo de sondeo de agentes, el canal que usan los agentes de compilación para reportarse con el servidor. Cualquiera con acceso HTTP o HTTPS al servidor puede enviar una petición manipulada, omitir la autenticación por completo y ejecutar comandos del sistema operativo con los privilegios del proceso del servidor TeamCity. Sin credenciales y sin interacción del usuario. JetBrains señaló que un atacante exitoso puede leer credenciales almacenadas y comprometer la integridad del pipeline CI/CD, lo que significa artefactos de compilación envenenados que fluyen hacia todo lo que ese pipeline despliega. La falla fue reportada de forma privada por el investigador Antoni Tremblay. Las versiones corregidas son 2026.1.3 o 2025.11.7, y hay un plugin de parche de seguridad disponible para instalaciones más antiguas desde la v2017.1 en adelante.

Que hacer: Si tu equipo de desarrollo o un contratista corre TeamCity en tu red, actualiza o aplica el plugin de parche ahora, y saca ese servidor de internet. Después rota los secretos que guardaba: llaves de API, credenciales de despliegue, llaves de firma, porque parchar no deshace el robo de una contraseña. También es un recordatorio de que los servidores de compilación, los jump boxes y las herramientas internas “temporales” son justo los activos que nunca llegan a una lista formal. Una prueba de penetración de red es la manera más económica de descubrir qué de lo tuyo está realmente respondiendo desde internet, en lugar de lo que crees que responde.

3. CISA advierte a las plantas de agua que saquen de internet los PLC expuestos tras la interrupción de más de 30 sistemas en Minnesota

CISA emitió una alerta urgente esta semana advirtiendo de un aumento significativo de ataques contra controladores lógicos programables expuestos a internet en el sector de agua y aguas residuales. Ocurre después de una campaña coordinada que afectó a más de 30 sistemas comunitarios de agua en todo Minnesota, iniciando el domingo 26 de julio y continuando hasta el lunes 27 de julio de 2026. Entre las comunidades afectadas están Braham, Plymouth, South St. Paul y Maple Plain. Los atacantes cambiaron las contraseñas de los PLC para dejar a los operadores fuera de sus propios equipos y modificaron direcciones IP para tumbar dispositivos, obligando a las plantas a operar de forma manual. Braham reportó que los controles computarizados de operación quedaron deshabilitados, afectando temporalmente el tratamiento del agua. Minnesota IT Services lo calificó como un ciberataque coordinado y activó una respuesta estatal. La atribución no está resuelta: el Minnesota Fusion Center dijo que la actividad está “alineada” con una campaña que CISA describió en abril, con actores vinculados a Irán apuntando a PLC conectados a internet, documentada en el aviso AA26-097A y actualizada el 22 de julio de 2026, pero no se ha presentado públicamente un vínculo directo con Irán. La instrucción de CISA a dueños y operadores de todos los tamaños: retirar de internet los PLC y otra tecnología operativa expuesta públicamente lo antes posible, reemplazar contraseñas por defecto y restringir el acceso remoto solo a dispositivos confiables.

Que hacer: Puede que no operes una planta de agua, pero si tienes controles de HVAC del edificio, cámaras, lectores de credenciales, bombas de pozo, temporizadores de riego, monitoreo de refrigeración o equipo de planta accesible desde afuera, tienes la misma exposición, muchas veces instalada por un proveedor con una contraseña por defecto y un port forward que nadie documentó. Pídele a cada proveedor con equipo en tu red una lista escrita de lo que expuso y cómo llega a ello, y luego pon ese acceso detrás de una VPN con credenciales únicas y autenticación multifactor. Y decide desde ahora a quién llamas a las 2 de la mañana cuando estés bloqueado de tus propios sistemas; nuestra página de servicios de TI de emergencia 24/7 explica cómo se ve esa respuesta en la práctica.

En resumen

Nada de lo de esta semana requirió el presupuesto de un estado-nación. Una contraseña embebida en el código, un endpoint sin autenticación y controladores mirando hacia el internet abierto: esa es toda la historia. La defensa no tiene glamour y es la misma cada vez: saber qué tienes, saber qué es accesible desde afuera, eliminar credenciales por defecto, parchar primero lo que está expuesto y rotar secretos después de un compromiso en lugar de asumir que un parche limpió el desastre. Lo básico en capas carga con casi todo el peso aquí, y por eso nuestras soluciones de ciberseguridad para pequeñas empresas empiezan con visibilidad y endurecimiento antes que cualquier otra cosa. Agrega protección de endpoints que realmente reporte, filtrado de spam y virus para cortar la vía de entrega más fácil, y respaldos de datos seguros ya probados para que una mala semana siga siendo solo una mala semana y no el cierre del negocio.

Si no tienes certeza de qué cosas tuyas son accesibles hoy desde internet, esa es la pregunta que vale la pena responder antes de que lleguen los avisos de la próxima semana. Contáctanos y recorremos tu entorno contigo: sin discurso de venta, solo una respuesta clara de dónde estás parado.

Three things landed this week that matter to small and mid-sized businesses in Southern Arizona, and none of them are exotic. A firewall management appliance shipped with a built-in password. A build server that lets anyone on the internet run commands. And industrial controllers sitting wide open on the public internet at water utilities. The common thread is boring on purpose: default credentials and things exposed to the internet that never should have been. As a Tucson MSP company, we spent this week checking client environments for exactly these three conditions. Here’s what happened and what to do about it.

1. Cisco Patched an Actively Exploited Zero-Day in Secure Firewall Management Center (CVE-2026-20316)

On Wednesday, July 29, 2026, Cisco released patches for CVE-2026-20316, a flaw in Cisco Secure Firewall Management Center (FMC) that attackers were already exploiting. The problem is static credentials — a hardcoded, low-privilege account baked into the FMC web interface. An unauthenticated attacker on the network can simply log in with those credentials and read sensitive data. The CVSS score is only 5.3, but Cisco rated it High severity because that foothold can be chained with other FMC vulnerabilities to escalate privileges. Cisco confirmed it detected exploitation in July and published indicators of compromise, including checking /var/log/messages for license-related entries referencing /var/tmp/license.tmp. The flaw was reported by Jimi Sebree of Horizon3.ai. Cloud-delivered FMC and Firewall Device Manager are not affected. Cisco’s guidance is blunt: if you suspect exploitation, patching alone isn’t enough — rotate every user credential, cryptographic key, and certificate stored on the appliance, because they may already be gone.

What to do: If you run on-premises Cisco Secure FMC, patch it this week, then confirm the management interface is not reachable from the public internet. If you can’t tell whether it is, that’s the real finding. After patching, rotate credentials and certificates on the box — assume anything stored there was readable. Most small businesses don’t run FMC directly, but if a vendor manages your firewall, ask them today whether they’ve applied this fix and whether the management interface is exposed. Our network solutions work always starts with that inventory question, because you cannot patch equipment you’ve forgotten you own.

2. JetBrains TeamCity Hit With a CVSS 9.8 Unauthenticated Remote Code Execution Flaw (CVE-2026-63077)

JetBrains published an advisory on July 27, 2026 for CVE-2026-63077, a critical vulnerability affecting every version of TeamCity On-Premises before 2026.1.3 and 2025.11.7. It scores 9.8 out of 10. The root cause is insecure deserialization of untrusted data in the agent polling protocol — the channel build agents use to check in with the server. Anyone with HTTP or HTTPS access to the server can send a crafted request, bypass authentication entirely, and run operating system commands with the privileges of the TeamCity server process. No credentials, no user interaction. JetBrains noted that a successful attacker can read stored credentials and compromise the integrity of the CI/CD pipeline, which means poisoned build artifacts flowing downstream to whatever that pipeline deploys. The flaw was reported privately by researcher Antoni Tremblay. Fix versions are 2026.1.3 or 2025.11.7, with a security patch plugin available for older installs from v2017.1 forward.

What to do: If your dev shop or a contractor runs TeamCity on your network, upgrade or apply the patch plugin now, and get that server off the public internet. Then rotate the secrets it held — API keys, deploy credentials, signing keys — because patching doesn’t un-steal a password. This is also a reminder that build servers, jump boxes, and “temporary” internal tools are exactly the assets that never make it onto a formal asset list. A network penetration test is the cheapest way to find out what of yours is actually answering from the internet, rather than what you believe is answering.

3. CISA Warns Water Utilities to Pull Internet-Exposed PLCs Offline After More Than 30 Minnesota Systems Were Disrupted

CISA issued an urgent alert this week warning of a significant increase in attacks against internet-exposed programmable logic controllers in the water and wastewater sector. It follows a coordinated campaign that hit more than 30 community water systems across Minnesota beginning Sunday, July 26 and continuing through Monday, July 27, 2026. Affected communities included Braham, Plymouth, South St. Paul, and Maple Plain. Attackers changed PLC passwords to lock operators out of their own equipment and modified IP addresses to knock devices offline, forcing utilities into manual operations. Braham reported that computerized operating controls were disabled, temporarily affecting water treatment. Minnesota IT Services called it a coordinated cyberattack and activated a statewide response. Attribution is unsettled — the Minnesota Fusion Center said the activity is “aligned” with a campaign CISA described in April involving Iran-linked actors targeting internet-connected PLCs, documented in advisory AA26-097A and updated July 22, 2026, but no direct link to Iran has been presented publicly. CISA’s instruction to owners and operators of all sizes: remove publicly exposed PLCs and other operational technology from the internet as soon as possible, replace default passwords, and restrict remote access to trusted devices only.

What to do: You may not run a water plant, but if you have building HVAC controls, cameras, badge readers, well pumps, irrigation timers, refrigeration monitoring, or shop-floor equipment reachable from outside, you have the same exposure — often installed by a vendor with a default password and a port forward nobody documented. Ask every vendor with equipment on your network for a written list of what they’ve exposed and how they reach it, then put that access behind a VPN with unique credentials and multifactor. And decide now who you call at 2 a.m. when you’re locked out of your own systems; our 24/7 emergency IT services page walks through what that response actually looks like.

The bottom line

Nothing this week required a nation-state budget. A hardcoded password, an unauthenticated endpoint, and controllers left facing the open internet — that’s the whole story. The defense is unglamorous and it’s the same every time: know what you own, know what’s reachable from outside, kill default credentials, patch the things that are exposed first, and rotate secrets after a compromise instead of assuming a patch cleaned up the mess. Layered basics carry most of the weight here, which is why our small business cybersecurity solutions lead with visibility and hardening before anything else. Add endpoint protection that actually reports back, spam and virus filtering to cut off the easiest delivery route, and tested secure data backups so a bad week stays a bad week instead of becoming a closed business.

If you’re not certain what of yours is currently reachable from the internet, that’s the one question worth answering before next week’s advisories land. Contact us and we’ll walk your environment with you — no pitch, just a straight answer about where you stand.

Incognito CyberSecurity™ es una empresa MSP local en Tucson, Arizona que ofrece servicios 24/7 a pequeñas empresas en todo el sur de Arizona. Estas son las noticias de ciberseguridad que importaron esta semana — del 27 al 31 de julio de 2026 — explicadas en español claro, con la acción concreta que un dueño de negocio debe tomar en cada caso.

1. CISA marca dos fallas en dispositivos de borde explotadas activamente

El 27 de julio, CISA agregó dos vulnerabilidades a su catálogo de Vulnerabilidades Explotadas Conocidas tras confirmar que los atacantes las están usando en el mundo real. Una es una falla de inyección de comandos de severidad máxima (CVSS 10) en VeloCloud Orchestrator de Arista (CVE-2026-16812) que permite a un atacante no autenticado tomar el control de la infraestructura de red. La otra es una falla en FortiOS de Fortinet (CVE-2025-68686) que permite a los atacantes evadir un parche diseñado para impedir que dejen puertas traseras ocultas en un firewall comprometido. Se ordenó a las agencias federales corregirlas antes del 30 de julio y el 10 de agosto.

Qué hacer: Si tu firewall o equipo SD-WAN es Fortinet o VeloCloud, aplica el parche esta semana — los dispositivos expuestos a internet son lo primero que prueban los atacantes. Si no sabes exactamente qué hay en el borde de tu red, ese es el verdadero problema. Un proveedor administrado de soluciones de red inventaría cada dispositivo expuesto a internet y mantiene su firmware al día para que no seas el blanco fácil.

2. Un ciberataque obliga a más de 30 sistemas de agua de Minnesota a operar de forma manual

Un ataque coordinado interrumpió la tecnología operativa de más de 30 sistemas comunitarios de agua en Minnesota los días 26 y 27 de julio, obligando a las cuadrillas en pueblos como Braham, South St. Paul y Plymouth a operar sus plantas a mano mientras el estado activaba su plan de respuesta a incidentes junto con CISA, la EPA y el FBI. Las pequeñas empresas de servicios municipales rara vez tienen personal de seguridad dedicado — que es precisamente por lo que fueron atacadas.

Qué hacer: La lección aquí no es sobre el agua. Es que los atacantes apuntan a las operaciones que no pueden permitirse tiempo de inactividad y no tienen un equipo de seguridad vigilando. Separa los sistemas que hacen funcionar tu negocio de los que el personal usa para el correo y la navegación web, y mantén respaldos de datos seguros probados y fuera de línea para que una sola intrusión no pueda derribarlo todo a la vez.

3. Se publica un exploit público para una falla crítica del foro vBulletin

El 27 de julio, investigadores publicaron código de explotación funcional para CVE-2026-61511, un error de ejecución remota de código sin autenticación en la plataforma de foros vBulletin. La falla permite que cualquiera envíe una solicitud web manipulada que llega a la función eval() de PHP y ejecuta código en un servidor sin parchar — sin necesidad de iniciar sesión. vBulletin lanzó correcciones a fines de junio (la versión 6.2.2 llegó el 1 de julio), pero muchos foros siguen ejecutando versiones vulnerables 5.x y 6.x.

Qué hacer: Si ejecutas cualquier aplicación web — un foro, un CMS, un portal de clientes — en el momento en que se publica un exploit público, tu ventana para parchar se reduce de semanas a horas. Confirma hoy que tu software web esté en la última versión. Si no estás seguro de qué se ejecuta en tu sitio o si ya lo han sondeado, una prueba de penetración de red encontrará los agujeros antes que un atacante.

4. Amazon vincula un importante secuestro de la cadena de suministro de npm con Corea del Norte

El 30 de julio, los investigadores de amenazas de Amazon vincularon el secuestro de los populares paquetes npm “debug” y “chalk” con operadores norcoreanos. Un mantenedor de paquetes fue engañado mediante phishing a través de un dominio npm falso, y los atacantes insertaron un script para vaciar billeteras en al menos 18 paquetes que juntos tienen más de 2 mil millones de descargas por semana. Es un recordatorio contundente de que el código del que depende tu software puede ser envenenado desde el origen.

Qué hacer: Puede que no escribas software, pero las aplicaciones y herramientas que compras sí — y una actualización comprometida puede entrar directo por la puerta principal. Mantén protección de endpoints en cada estación de trabajo para que una carga maliciosa sea detectada incluso cuando llega dentro de software confiable, y capacita al personal para detectar los correos de phishing que inician estos ataques.

5. Una nueva oleada de phishing “fantasma” está evadiendo la seguridad del correo

Los equipos de seguridad reportaron un aumento esta semana de phishing que evade los filtros de correo tradicionales, impulsado en gran medida por el abuso del flujo de inicio de sesión OAuth “device-code” de Microsoft y kits de adversario-en-el-medio creados para robar credenciales de Microsoft 365. Los investigadores rastrearon más de 7,000 cargas de phishing en una sola semana. Estos ataques no dependen de un archivo adjunto sospechoso — engañan a los usuarios para que aprueben un aviso de inicio de sesión genuino, que pasa directo por los filtros de spam.

Qué hacer: Los filtros por sí solos no detendrán esto. Activa la autenticación multifactor resistente al phishing para Microsoft 365, revisa qué aplicaciones tienen permiso para conectarse a tu tenant, y añade un fuerte filtrado de spam y virus frente a tu bandeja de entrada. Para cualquier pequeña empresa que funcione con Microsoft 365, este es el control de mayor valor que puedes añadir este mes.

6. 7,600 repositorios falsos de GitHub están distribuyendo malware — y engañando a las herramientas de IA

Una campaña apodada “FakeGit” ha estado usando alrededor de 7,600 repositorios maliciosos de GitHub para propagar un cargador de malware llamado SmartLoader, que luego descarga ladrones de información. Más de 800 de los repositorios falsos se hacen pasar por herramientas o complementos de IA, y están diseñados para engañar tanto a desarrolladores como a asistentes de codificación con IA para que los recomienden e instalen. Algunos han registrado millones de descargas.

Qué hacer: Cualquiera en tu equipo que descargue herramientas, scripts o “ayudantes de IA” de internet es un blanco. Establece una regla de que el software solo se instale desde fuentes verificadas, y respáldala con soluciones de ciberseguridad para pequeñas empresas que bloqueen programas no confiables antes de que se ejecuten. Una descarga por conveniencia es exactamente cómo un ladrón termina en la máquina que usas para la nómina y la banca.

En resumen

El hilo conductor de esta semana: los atacantes siguen golpeando dispositivos de borde, aplicaciones web sin parchar e inicios de sesión de Microsoft 365 — justo los puntos que las pequeñas empresas tienden a dejar sin vigilar. Parcha rápido, respalda fuera de línea y blinda tus identidades. Incognito CyberSecurity™ es una empresa MSP local en Tucson, Arizona que ofrece servicios 24/7 a negocios en todo el sur de Arizona. ¿Quieres un segundo par de ojos en tus defensas? Contacta a Incognito Cyber Security y te ayudaremos a cerrar las brechas antes de que se conviertan en titulares.

Incognito CyberSecurity™ is a local Tucson, Arizona MSP company offering 24/7 services to small businesses across Southern Arizona. Here is the cybersecurity news that mattered this week — July 27 through July 31, 2026 — translated into plain English, with the specific action a business owner should take on each one.

1. CISA flags two edge-device flaws being actively exploited

On July 27, CISA added two vulnerabilities to its Known Exploited Vulnerabilities catalog after confirming attackers are using them in the wild. One is a maximum-severity (CVSS 10) command-injection flaw in Arista’s VeloCloud Orchestrator (CVE-2026-16812) that lets an unauthenticated attacker take over networking infrastructure. The other is a Fortinet FortiOS flaw (CVE-2025-68686) that lets attackers bypass a patch meant to stop them from leaving hidden backdoors on a compromised firewall. Federal agencies were ordered to fix these by July 30 and August 10.

What to do: If your firewall or SD-WAN gear is Fortinet or VeloCloud, patch it this week — internet-facing devices are the first thing attackers probe. If you don’t know exactly what sits on the edge of your network, that is the real problem. A managed network solutions provider inventories every internet-facing device and keeps its firmware current so you are not the easy target.

2. Cyberattack forces 30-plus Minnesota water systems onto manual controls

A coordinated attack disrupted the operational technology at more than 30 Minnesota community water systems on July 26 and 27, forcing crews in towns such as Braham, South St. Paul, and Plymouth to run their plants by hand while the state activated its incident-response plan alongside CISA, the EPA, and the FBI. Small municipal utilities rarely have dedicated security staff — which is exactly why they were hit.

What to do: The lesson here is not about water. It is that attackers target the operations that cannot afford downtime and do not have a security team watching. Separate the systems that run your business from the ones staff use for email and web browsing, and keep tested, offline secure data backups so a single break-in cannot take everything down at once.

3. Public exploit lands for a critical vBulletin forum flaw

On July 27, researchers published working exploit code for CVE-2026-61511, an unauthenticated remote-code-execution bug in the vBulletin forum platform. The flaw lets anyone send a crafted web request that reaches PHP’s eval() function and runs code on an unpatched server — no login required. vBulletin shipped fixes in late June (version 6.2.2 arrived July 1), but many forums are still running vulnerable 5.x and 6.x builds.

What to do: If you run any web application — a forum, a CMS, a customer portal — the moment a public exploit drops, your patch window shrinks from weeks to hours. Confirm your web software is on the latest version today. If you are not sure what is running on your site or whether it has already been probed, a network penetration test will find the holes before an attacker does.

4. Amazon ties a major npm supply-chain hijack to North Korea

On July 30, Amazon’s threat researchers linked the hijack of the widely used npm packages “debug” and “chalk” to North Korean operators. A package maintainer was phished through a lookalike npm domain, and attackers slipped a wallet-draining script into at least 18 packages that together see more than 2 billion downloads a week. It is a sharp reminder that the code your software depends on can be poisoned upstream.

What to do: You may not write software, but the apps and tools you buy do — and a compromised update can walk straight through the front door. Keep endpoint protection on every workstation so a malicious payload is caught even when it arrives inside trusted software, and train staff to spot the phishing emails that kick these attacks off.

5. A new “ghost” phishing wave is slipping past email security

Security teams reported a surge this week in phishing that bypasses traditional email filters, driven heavily by abuse of Microsoft’s OAuth “device-code” login flow and adversary-in-the-middle kits built to steal Microsoft 365 credentials. Researchers tracked more than 7,000 phishing uploads in a single week. These attacks do not rely on a suspicious attachment — they trick users into approving a genuine login prompt, which sails right past spam filters.

What to do: Filters alone will not stop this. Turn on phishing-resistant multi-factor authentication for Microsoft 365, review which apps are allowed to connect to your tenant, and layer strong spam and virus filtering in front of your inbox. For any small business running on Microsoft 365, this is the highest-value control you can add this month.

6. 7,600 fake GitHub repositories are pushing malware — and fooling AI tools

A campaign dubbed “FakeGit” has been using roughly 7,600 malicious GitHub repositories to spread a malware loader called SmartLoader, which then pulls down information-stealers. More than 800 of the fake repos pose as AI tools or plug-ins, and they are crafted to trick both developers and AI coding assistants into recommending and installing them. Some have logged millions of downloads.

What to do: Anyone on your team downloading tools, scripts, or “AI helpers” off the internet is a target. Set a rule that software gets installed from vetted sources only, and back it with small business cybersecurity solutions that block untrusted programs before they run. A convenience download is exactly how a stealer ends up on the machine you use for payroll and banking.

The bottom line

The through-line this week: attackers keep hitting edge devices, unpatched web apps, and Microsoft 365 logins — the exact spots small businesses tend to leave unwatched. Patch fast, back up offline, and lock down your identities. Incognito CyberSecurity™ is a local Tucson, Arizona MSP company offering 24/7 services to businesses across Southern Arizona. Want a second set of eyes on your defenses? Contact Incognito Cyber Security and we will help you close the gaps before they become headlines.

Incognito CyberSecurity™ es una empresa MSP local en Tucson, Arizona que ofrece servicios 24/7 a pequeñas empresas en todo el sur de Arizona. Estas son las noticias de ciberseguridad que importaron esta semana (20 al 24 de julio de 2026) y lo que cada historia significa para un dueño que no tiene un equipo de seguridad de tiempo completo. Si algo de esto lo deja inseguro de dónde está parado, nuestros servicios de ciberseguridad existen para cerrar exactamente esas brechas.

1. CISA advierte de una falla de acceso administrativo en Check Point que ya está siendo explotada

El 22 de julio, CISA agregó CVE-2026-16232, una falla de autenticación indebida en Check Point SmartConsole, a su catálogo de Vulnerabilidades Explotadas Conocidas. El error tiene una puntuación CVSS de 9.3 y permite que un atacante sin autenticar obtenga control administrativo total de la consola de gestión, la herramienta exacta que se usa para operar los firewalls de una empresa. CISA ordenó a las agencias federales aplicar el parche antes del 25 de julio, lo que le dice qué tan urgente lo considera el gobierno.

Qué hacer: Si usted o su proveedor de TI usan Check Point en el borde de su red, apliquen la actualización del fabricante esta semana, no el próximo mes. Luego confirmen que la gestión del firewall no sea accesible desde el internet abierto. Un firewall bien blindado es la puerta principal de su red; si está abierta de par en par, todo lo que está detrás también lo está.

2. Los servidores locales de Microsoft SharePoint están bajo ataque activo

La misma actualización de CISA del 22 de julio agregó CVE-2026-50522, una falla crítica de ejecución remota de código en SharePoint (CVSS 9.8) que no requiere inicio de sesión ni interacción del usuario. Es parte de una ola más amplia de explotación contra servidores SharePoint autoalojados este mes. Los atacantes escanean el internet buscando páginas de inicio de sesión de SharePoint y encadenan estos errores para tomar el control del servidor. Un detalle importante para los dueños: esto afecta solo a SharePoint local; SharePoint Online dentro de Microsoft 365 no está afectado.

Qué hacer: Si aloja su propio servidor SharePoint, instale los parches de Microsoft de inmediato y asuma que ya pudo haber sido sondeado; revise si hay archivos y cuentas inesperadas. Si no sabe si tiene uno, esa incertidumbre es el problema; una gestión disciplinada de servidores y estaciones de trabajo significa que alguien rastrea y parcha estos sistemas por usted antes de que aparezcan titulares como este.

3. El ransomware Qilin está entrando por las VPN de Palo Alto

Investigadores de Arctic Wolf reportaron esta semana que la banda de ransomware Qilin está explotando CVE-2026-0257, una falla de omisión de autenticación en la VPN GlobalProtect de Palo Alto Networks, para entrar a las redes corporativas sin credenciales válidas. La parte incómoda: Palo Alto lanzó una corrección el 13 de mayo y CISA la señaló en mayo, y aun así las bandas de ransomware seguían entrando a redes sin parchar en junio. Una vez adentro, robaron credenciales y se propagaron por los recursos compartidos de Windows antes de desplegar el ransomware.

Qué hacer: Parche sus dispositivos VPN con la misma urgencia con que arreglaría una cerradura rota en su puerta, y active la autenticación de múltiples factores para el acceso remoto. Igual de importante, asegúrese de tener respaldos de datos seguros probados y sin conexión; un respaldo limpio es la diferencia entre una mala semana y pagar un rescate.

4. Anuncios falsos de la app “Claude” distribuyen malware que roba contraseñas

Entre el 21 y el 22 de julio, una campaña de publicidad maliciosa apodada “FakeAgent” engañó al menos a 29 organizaciones para que instalaran malware. Los atacantes compraron anuncios de búsqueda para la popular app de escritorio Claude AI, y luego usaron una página maliciosa alojada en un dominio legítimo para servir un instalador falso llamado ClaudeDesktop.exe. La descarga, obtenida cerca de 7,100 veces antes de ser retirada, entregaba SectopRAT, un troyano de acceso remoto que roba contraseñas, datos de tarjetas de crédito y archivos directamente de la máquina.

Qué hacer: Enseñe a su equipo a nunca descargar software desde un anuncio de búsqueda; vaya directo al sitio oficial del fabricante. Combine ese hábito con una protección de endpoints moderna que pueda atrapar un troyano en el momento en que intenta ejecutarse, porque un empleado instalando la “app” equivocada puede entregarle a un atacante las llaves de todo.

5. Los kits de phishing que vencen el MFA siguen apuntando a Microsoft 365

Un servidor de atacantes mal configurado y expuesto este mes reveló tres operaciones de phishing separadas construidas sobre el kit “Evilginx”, todas dirigidas a los inicios de sesión de Microsoft 365. Estos kits se colocan entre la víctima y la página real de inicio de sesión de Microsoft, capturando no solo la contraseña sino el token de sesión, lo que permite a los atacantes saltarse la autenticación de múltiples factores por completo. Una campaña relacionada de phishing por código de dispositivo ha acumulado más de 200 víctimas, muchas de ellas pequeñas empresas que usan correo corporativo.

Qué hacer: El MFA sigue siendo esencial, pero trátelo como una capa, no como un campo de fuerza. Agregue inicio de sesión resistente al phishing donde pueda, vigile inicios de sesión desde ubicaciones extrañas, y filtre la carnada antes de que llegue a las bandejas de entrada. Un buen filtrado de spam y virus detiene la mayoría de estos correos en la puerta, para que su personal nunca tenga que tomar la decisión.

6. Una campaña de espionaje silenciosa y bien financiada muestra qué tan profesionales se han vuelto los atacantes

El 23 de julio, Group-IB detalló una operación con nexo en China que rastrea como “JadeProx”, descubierta después de que los atacantes dejaran un servidor en la nube expuesto. El grupo usó un cargador de Windows no documentado previamente para infiltrarse silenciosamente en objetivos de gobierno, salud y educación en Asia y América Latina. Las pequeñas empresas no son el objetivo directo aquí, pero la historia es un recordatorio útil: los atacantes de hoy son pacientes, organizados, y reutilizan las mismas técnicas (credenciales robadas, malware a la medida, infraestructura oculta) también contra víctimas más pequeñas.

Qué hacer: No puede gastar más que un estado-nación, pero no tiene que hacerlo; los fundamentos detienen la abrumadora mayoría de los ataques. Sepa qué dispositivos y software tiene, párchelos, imponga el MFA, respalde sus datos, y consiga que ojos externos revisen sus defensas. Las soluciones de ciberseguridad para pequeñas empresas hechas a la medida empaquetan todo eso en algo que un dueño ocupado realmente puede mantener.

Lo esencial

El tema de esta semana es consistente: las fallas conocidas se explotan más rápido de lo que las empresas pueden parcharlas, y a los atacantes les da igual entrar por cualquier puerta que usted haya dejado abierta: una consola de firewall, una VPN, un servidor autoalojado, la descarga de un empleado, o un inicio de sesión robado por phishing. Nada de esto requiere un presupuesto enorme para defenderse; requiere atención y seguimiento. Si las noticias de esta semana lo dejan preguntandose si sus propias puertas están cerradas con llave, contacte a Incognito Cyber Security y le ayudaremos a averiguarlo.

Qué es realmente el fraude por correo corporativo

Eso es el fraude por correo corporativo, o BEC por sus siglas en inglés, y es la amenaza cibernética más costosa de la que la mayoría de los negocios pequeños nunca ha oído hablar. No hay virus que atrapar, ni pantalla de rescate. El atacante simplemente finge ser alguien en quien usted confía, su jefe, un proveedor, un cliente, y le pide mover dinero o entregar información. Funciona porque no ataca su computadora. Ataca sus hábitos.

Por qué funciona, y por qué caen las empresas pequeñas

El BEC se alimenta de dos cosas con las que funciona toda oficina ocupada: autoridad y urgencia. Un correo del “director general” marcado como urgente, que pide transferir fondos antes de una fecha límite, se atiende rápido, justamente porque detenerse se siente como el error. Y las empresas pequeñas y medianas son objetivos ideales. Las áreas de finanzas, las firmas contables y los despachos legales mueven dinero real y guardan datos sensibles de sus clientes, pero rara vez tienen las defensas de correo que tendría un banco.

Las estafas se repiten. Un “proveedor” envía una nueva factura con datos bancarios actualizados. El “dueño” le pide a un asistente comprar tarjetas de regalo para un cliente. Recursos Humanos recibe una solicitud para cambiar el depósito directo de un empleado. La nómina, las transferencias y los pagos a proveedores son los objetivos favoritos, porque ahí es donde el dinero de verdad se mueve.

El único hábito que detiene casi todo

La defensa más eficaz no cuesta nada: verifique cualquier solicitud de mover dinero o cambiar datos de pago usando un segundo canal. Si un correo le pide transferir fondos o actualizar la cuenta bancaria de un proveedor, tome el teléfono y llame a la persona a un número que usted ya tenga, no a uno que venga en el correo. Una llamada de treinta segundos ha evitado más pérdidas de seis cifras que cualquier programa.

Alrededor de ese hábito, las capas técnicas importan: autenticación de múltiples factores en cada cuenta de correo para que una contraseña robada no sea suficiente, filtrado de correo que marque remitentes falsificados y mensajes externos, y capacitación breve y constante en concientización de seguridad para que su equipo reconozca la jugada antes de caer.

Cómo lo blindamos en Incognito

Este es el trabajo que hacemos todos los días para negocios en todo el sur de Arizona. Blindamos el correo corporativo con filtrado de spam y virus, agregamos cifrado de correo para los mensajes sensibles que envían sus equipos de finanzas, contabilidad y legal, y damos capacitación en concientización para que un correo convincente no se convierta en una pérdida real. La meta no es que su equipo le tenga miedo a su bandeja de entrada. Es darles un hábito simple y las herramientas que lo respaldan.

Si no está seguro de qué tan expuesto está su correo ahora mismo, averigüémoslo juntos. Agende una visita de cortesía y revisaremos por dónde podría colarse un correo falso, o llámenos al 520.257.2648. Si cree que ya lo atacaron, repórtelo aquí y le ayudaremos a contenerlo rápido.

What business email compromise actually is

That’s business email compromise, or BEC, and it’s the most expensive cyber threat most small businesses have never heard of. There is no virus to catch, no ransom screen. The attacker simply pretends to be someone you trust, your boss, a vendor, a client, and asks you to move money or hand over information. It works because it doesn’t attack your computer. It attacks your habits.

Why it works, and why smaller firms get hit

BEC thrives on two things every busy office runs on: authority and urgency. An email from “the CEO” marked urgent, asking to wire funds before a deadline, gets acted on fast, precisely because slowing down feels like the wrong move. And small and mid-sized firms are prime targets. Finance offices, CPA firms, and law practices move real money and hold sensitive client data, but rarely have the layered email defenses a bank would.

The scams rhyme. A “vendor” sends a new invoice with updated bank details. The “owner” asks an assistant to buy gift cards for a client. HR gets a request to reroute an employee’s direct deposit. Payroll, wire transfers, and vendor payments are the favorite targets, because that is where the money actually moves.

The one habit that stops most of it

The single most effective defense costs nothing: verify any request to move money or change payment details using a second channel. If an email asks you to wire funds or update a vendor’s bank account, pick up the phone and call the person on a number you already have, not one from the email. A thirty-second call has stopped more six-figure losses than any piece of software.

Around that habit, the technical layers matter: multi-factor authentication on every email account so a stolen password isn’t enough, email filtering that flags spoofed senders and outside messages, and short, regular security-awareness training so your team spots the play before they fall for it.

How Incognito locks it down

This is the work we do every day for businesses across Southern Arizona. We lock down business email with spam and virus filtering, add email encryption for the sensitive messages your finance, accounting, and legal teams send, and run security-awareness training so a convincing email doesn’t turn into a real loss. The goal isn’t to make your team afraid of their inbox. It’s to give them one simple habit and the tools that back it up.

If you are not sure how exposed your email is right now, let’s find out together. Book a complimentary visit and we will walk through where a fake email could slip through, or call us at 520.257.2648. If you think you have already been hit, report it here and we will help you contain it fast.