Se tardan 2 minutos en piratear la aplicación de verificación de la nueva era de la UE

Planificando un gran noche en el Madison Square Garden? Diviértete, pero no digas que no te hemos avisado.

Una investigación por cable esta semana desveló nuevos detalles sobre el estado de vigilancia privada instituido por el propietario de MSG Jim Dolan y su jefe de seguridad, John Eversole. Según los registros judiciales y las fuentes WIRED, los visitantes del Jardín y de otros locales propiedad de Dolan han sido sometidos a reconocimiento facial, seguimiento de las redes sociales, vigilancia en persona y mucho más.

Los poderes de escuchas telefónicas sin mandato del gobierno de Estados Unidos han tenido un obstáculo esta semana. Pese al impulso del presidente Donald Trump por una reautorización a largo plazo del llamado programa de espionaje de la Sección 702, 20 legisladores republicanos en la Cámara de Representantes votaron en contra de una reautorización completa, lo que obligó al presidente Mike Johnson a extender el programa por 10 días adicionales.

Las gafas inteligentes Ray-Ban y Oakley AI de Meta tienen un problema de imagen, por una buena razón. Más de 70 grupos de la sociedad civil, incluidas ACLU y la Organización Nacional de Mujeres, han enviado una carta a la empresa esta semana exigiendo que abandone cualquier plan que pueda tener para equipar sus gafas de IA con funciones de reconocimiento facial. Los grupos argumentan que incluir el reconocimiento facial a los dispositivos portátiles, que ya pueden grabar vídeos de personas de forma subrepticia, erosionaría aún más cualquier apariencia de privacidad y, potencialmente, facilitaría a los acosadores, maltratadores domésticos y agentes federales.

Según un análisis de WIRED e Indicator, los nudos profundos no consensuados son un azote en las escuelas de todo el mundo. Mediante el seguimiento de los incidentes denunciados públicamente de tecnología de "nudificación" falsa utilizada contra chicas de secundaria y secundaria, pudimos identificar a más de 600 víctimas en 28 países de todo el mundo.

Podría pensar que prohibir un mercado negro de 20.000 millones de dólares para los estafadores de su plataforma sería una obviedad. Pero no si eres Telegram. Una investigación de WIRED encontró que la aplicación de mensajería seguía alojando a Xinbi Guarantee pese a que el gobierno del Reino Unido la designó un facilitador del tráfico de personas y sancionó al mayor mercado online de este tipo. La empresa de rastreo criptográfico Elliptic dice que Xinbi llevó a cabo otros 505 millones de dólares en transacciones durante los 19 días posteriores a que el Reino Unido emitió su sanción.

La carrera de IA ha entrado finalmente en la vuelta de la ciberseguridad. Después de que Anthropic revelara su nuevo modelo, Mythos, como riesgo único para el estado de seguridad, OpenAI anunció que también tiene una nueva estrategia de ciberseguridad y un nuevo modelo para acompañarla: GPT-5.4-Cyber.

¡Eso no es todo! Cada semana reunimos las noticias de seguridad y privacidad que no cubrimos en profundidad. Haga clic en los titulares para leer las historias completas. Y esté seguro allí fuera.

La Comisión Europea ha lanzado esta semana su aplicación gratuita y de código abierto para verificar la edad de los visitantes de redes sociales y sitios web de pornografía. En una rueda de prensa este miércoles, la presidenta de la Comisión Europea, Ursula von der Leyen, proclamó que, con el lanzamiento de la aplicación, "no existen más excusas" para las plataformas que no comprueban la edad de los usuarios. Sin embargo, esto fue antes de que los expertos consideraran que la aplicación era un desastre de seguridad.

Según informó Politico, el consultor de seguridad Paul Moore afirmó a X que había encontrado una serie de problemas de seguridad con la aplicación que le permitieron piratearla "en menos de 2 minutos". Los problemas incluyen cómo la aplicación almacena un PIN creado por el usuario que podría permitir a un atacante hacerse cargo fácilmente del perfil de la aplicación de esa persona. (Baptiste Robert, un hacker de sombrero blanco, confirmó la vulnerabilidad de Politico.) Etiquetando von der Leyen en su publicación, Moore concluyó: "Este producto será el catalizador de una brecha enorme en algún momento. Es sólo cuestión de tiempo".

La mayor cadena de gimnasio de Europa, Basic-Fit, confirmó el lunes una importante violación de datos, revelando que los datos bancarios de aproximadamente un millón de clientes estaban comprometidos. Cerca de 200.000 miembros sólo en los Países Bajos se vieron afectados. Los datos robados incluyen datos bancarios junto con los nombres de los clientes, las direcciones de su casa y de correo electrónico, los números de teléfono y las fechas de nacimiento. Un portavoz dijo a The Register que los miembros de Bélgica, Francia, Alemania, Luxemburgo y España también fueron afectados de forma similar a través de un sistema único que registra las visitas de los miembros a los clubs. No hay ninguna contraseña, que Basic-Fit dice no almacenar, se vio comprometida.

El mismo día, el gigante global de viajes y reservas de hoteles Booking.com confirmó que los piratas informáticos podrían haber extraído datos de sus clientes, como nombres, direcciones de correo electrónico, números de teléfono y detalles de la reserva. La compañía informó a TechCrunch que "notó alguna actividad sospechosa" y "tomó medidas para contener el problema". Los avisos de la empresa publicados por presuntos clientes en Reddit parecen revelar un incumplimiento relacionado con "cualquier cosa" que los usuarios "hubieran podido compartir con el alojamiento". TechCrunch informó de que Booking.com se había negado a compartir detalles sobre el alcance del incumplimiento, pero dijo por separado a The Guardian que no se perdió ninguna "información financiera".

El sitio y la aplicación de Bluesky lucharon hasta el jueves después de lo que la compañía confirmó que era un ataque de denegación de servicio distribuido. La directora de operaciones, Rose Wang, dijo que el ataque "sofisticado" comenzó el 15 de abril en torno a las 20:40 ET y provocó errores intermitentes en canales, notificaciones y búsqueda. La empresa dijo que no ha visto ninguna evidencia de acceso no autorizado a los datos de los usuarios.

Las interrupciones afectaron a la propia infraestructura de Bluesky, pero salvaron a comunidades como Blacksky que ejecutan sus propias instancias con el protocolo AT subyacente. Blacksky dijo a TechCrunch que ha visto un aumento significativo de las solicitudes de migración en las últimas 12 horas, ya que los usuarios y los operadores rivales de ATmosphere promueven alternativas. A partir del viernes por la tarde, su página de estado muestra el servicio completamente operativo.

La administración de Trump ha estado en una ira de contratación. Un comunicado de prensa del Departamento de Seguridad Nacional de enero dice que el ICE contrató a más de 12.000 agentes y agentes en menos de un año. Como parte de sus solicitudes de trabajo, se supone que los oficiales de inmigración deben pasar por extensos controles de antecedentes que investigan todo, desde qué detenciones podrían haber tenido, las deudas que han acumulado y los extranjeros con los que han interactuado en los últimos siete años. La Associated Press comprobó sus propios antecedentes a 40 agentes del ICE y encontró a tres que se habían enfrentado a demandas a causa de una presunta mala conducta en sus trabajos anteriores en la aplicación de la ley, y varios que, según informa, se enfrentaban a acciones legales a causa de sus antecedentes de deuda. El DHS no comentó las opciones de contratación específicas, pero reconoció a la AP que había dado a algunos solicitantes "cartas de selección temporal" y se ofrece para empezar a trabajar antes de que se hubiesen completado las comprobaciones completas de los antecedentes.

El intercambio de criptomonedas ruso Grinex, que ha ayudado a la evasión de las sanciones de Rusia, anunció repentinamente el jueves que suspendería sus operaciones tras una violación que, según dice, permitió a un pirata informático robar más de mil millones de rublos de los fondos de sus usuarios, equivalente a más de 13 millones de dólares. En sus anuncios en sus cuentas sociales, Grinex culpó a los "servicios especiales" de un país extranjero, y escribió que "las trazas digitales y la naturaleza del ataque indican un nivel sin precedentes de recursos y tecnologías disponibles exclusivamente para estructuras de estados hostiles" y parecían estar dirigidos a "causar daños directos a la arroz". Grinex, que fue sancionada por las autoridades financieras estadounidenses, había servido como sucesor de Garantex, otra bolsa rusa que había sido sancionada por permitir la evasión de sanciones y otros presuntos delitos financieros. Según la firma de rastreo criptográfico Elliptic, Grinex probablemente fue creado por los propios propietarios y heredó fondos y clientes de Garantex. Grinex no proporcionó ninguna prueba pública para apoyar su afirmación de que el robo de sus fondos fue llevado a cabo por piratas informáticos patrocinados por el estado.