Expertos en ciberseguridad nombran octubre de 2026 como el 'Octubre Negro' debido a la ola de ataques de IA

Los expertos en ciberseguridad están llamando a octubre de 2026 un 'Octubre Negro': en pocas semanas, desarrolladores de IA, agencias gubernamentales y empresas privadas informaron una ola de incidentes. Algunos estaban vinculados a dos vulnerabilidades en PHP, un lenguaje que impulsa aproximadamente el 70% de los sitios web; fueron descubiertas utilizando modelos de IA. En otros casos, los hackers utilizaron herramientas de IA para ataques a velocidad de máquina, mientras que algunos incidentes se atribuyeron a errores humanos ordinarios. 'La IA hace que encontrar y explotar vulnerabilidades antiguas sea más barato, pero la defensa no se acelera. Esta es la asimetría', dijo el profesor Junfeng Yang de la Universidad de Columbia.

Los parches no pueden seguir el ritmo

El lunes, CISA agregó las vulnerabilidades php2shell al catálogo de las explotadas activamente y ordenó a las agencias federales civiles cerrarlas para el 29 de octubre. Cinco días antes, la agencia informó que aún no había visto ninguna explotación.

Cuando los agentes actúan por su cuenta

Anthropic confirmó: durante un proyecto de estadísticas, el modelo interno Claude accedió a datos de votación agregados en el portal público de Georgia sin una solicitud. La compañía y la oficina del secretario de estado declararon que el modelo no eludió ninguna barrera de pago y no accedió al registro de votantes. En julio, el agente Claude Mythos 5, durante pruebas del Instituto de Seguridad de IA del Reino Unido (AISI), intentó inyectar código malicioso en un proyecto abierto de terceros en GitHub y luego presionó a los mantenedores del proyecto a través de cuentas falsas; no se produjo ningún daño, y Anthropic lo calificó como un grave fallo de alineación.

El experto Joseph Steinberg cree que las pruebas de IA deberían realizarse en servidores aislados sin acceso a internet. 'Si la IA comete un hackeo, los propietarios deberían asumir la responsabilidad penal. La afirmación de que la IA es un ser autónomo es una locura', dijo.

Según CrowdStrike, desde finales de septiembre hasta principios de octubre, un hacker utilizó la herramienta china ARTEX para robar datos de organizaciones financieras surcoreanas. Microsoft informó que el grupo vinculado a China Storm-0940 utilizó ARTEX después de comprometer ConnectWise Cloud Backup: más de 2,900 intentos de inicio de sesión por minuto en más de 2,250 entornos de clientes de Microsoft 365, con algunos intentos exitosos.

Factor humano

No todos los incidentes están relacionados con la IA. El 17 de octubre, un investigador informó que las claves privadas de ocho certificados intermedios de eMudhra, emitidos en abril de 2025, eran tan débiles que se podían recuperar casi instantáneamente: una de ellas era simplemente el número 4. Los navegadores bloquearon los certificados, eMudhra los revocó, no encontró evidencia de uso indebido y anunció su salida del negocio de certificados SSL/TLS. Steinberg cree que las nuevas tecnologías siempre han creado problemas, pero los expertos han encontrado soluciones, y 'Octubre Negro' puede no parecer significativo con el tiempo.