Malware bancario, RCE en PBX y secuestro de asistentes de IA—¿entramos en un nuevo ciclo de escalada cibernética?

Una operación de malware bancario activa desde mediados de 2025 está usando un toolkit llamado KREMLIN para eludir las comprobaciones del navegador y forzar la instalación de extensiones maliciosas en Chrome y Edge. La campaña apunta al robo de credenciales al extraer datos sensibles, tokens de sesión y otra información que puede habilitar el secuestro de cuentas y transacciones fraudulentas. El reporte subraya que el enfoque basado en extensiones reduce la fricción para el usuario y aumenta la persistencia en navegadores de consumo comunes. El mismo día, investigadores dieron a conocer una falla crítica en Issabel Framework, CVE-2026-89026, con una puntuación CVSS v3.1 de 9.8 y CVSS v4.0 de 9.3, que permite la ejecución remota de comandos del sistema operativo sin autenticación. En paralelo, Forever Security demostró que una sola extensión “normal” del navegador podría secuestrar asistentes de IA en múltiples productos basados en Chromium, incluyendo Gemini Live en Chrome, Perplexity Comet, Microsoft Edge, Opera Neon y el complemento de Claude. En conjunto, este clúster apunta a un cambio desde incidentes de malware aislados hacia cadenas de compromiso que abarcan plataformas y que convierten la confianza en navegadores, extensiones y comunicaciones web en un arma. Los grupos de crimen bancario se benefician porque la instalación forzada de extensiones y el robo de tokens de sesión pueden saltarse la fricción típica de autenticación, transformando el navegador en un punto de exfiltración de credenciales. El problema de RCE en Issabel tiene relevancia geopolítica porque los sistemas PBX/UC suelen integrarse en comunicaciones empresariales y pueden aprovecharse para espionaje, interrupción o acceso posterior a redes más amplias. Mientras tanto, la prueba de concepto de secuestro de asistentes de IA sugiere que los atacantes podrían apuntar cada vez más a interfaces “asistivas” que los usuarios consideran seguras, escalando así el phishing social y la recolección de datos. Esta combinación favorece a actores con buena seguridad operativa y rutas de monetización, mientras que los defensores enfrentan una superficie de ataque en expansión en pilas de software tanto de consumo como empresariales. Las implicaciones de mercado y económicas se observan con mayor claridad en el gasto en ciberseguridad, en herramientas de gestión de identidad y acceso (IAM) y en proveedores de seguridad para navegador y endpoint. Si la instalación forzada de extensiones y el robo de tokens de sesión se vuelven más frecuentes, es probable que aumente la demanda de endurecimiento del navegador, de mayor escrutinio de extensiones y de protección de tokens, impulsando sectores como EDR (endpoint detection and response), SIEM y acceso con enfoque zero-trust. La falla de RCE en Issabel también puede acelerar costos urgentes de parcheo y respuesta a incidentes para organizaciones que ejecutan despliegues PBX de comunicaciones unificadas de código abierto, elevando potencialmente el gasto en servicios de seguridad gestionados y en gestión de vulnerabilidades. Aunque los artículos no mencionan tickers específicos, la dirección probable es un ensanchamiento del “risk premium” para empresas expuestas a ciberataques y una mayor volatilidad de corto plazo en acciones de ciberseguridad y en riesgo crediticio para firmas con disciplina de parcheo débil. Para materias primas y FX, el vínculo directo es limitado, pero un riesgo cibernético elevado puede afectar indirectamente el precio del seguro cibernético y aumentar costos por disrupción operativa. A partir de ahora, los defensores deberían priorizar el parcheo rápido y la reducción de exposición para los sistemas de Issabel Framework afectados por CVE-2026-89026, especialmente donde existan despliegues accesibles desde internet. Para la campaña impulsada por KREMLIN, la monitorización debe enfocarse en instalaciones anómalas de extensiones, IDs sospechosos de extensiones en Chrome/Edge y patrones inesperados de acceso a tokens o credenciales vinculados a sesiones del navegador. La demostración de secuestro de asistentes de IA introduce un nuevo punto de activación: cualquier evidencia de que los permisos de extensiones puedan abusarse para controlar salidas del asistente o interceptar interacciones del usuario en entornos basados en Chromium. Esté atento a indicadores como nuevas listados de extensiones maliciosas, actualizaciones del toolkit de malware que mejoren las técnicas de bypass y avisos de grandes proveedores de navegadores sobre confianza en extensiones y límites de permisos. El riesgo de escalada es mayor si los atacantes encadenan estos vectores—usando acceso a PBX para apuntar a organizaciones, luego mecanismos de extensiones para robar credenciales y tokens, y finalmente secuestros de asistentes de IA para acelerar la ingeniería social—por lo que las próximas 2 a 6 semanas de cumplimiento de parches y actualizaciones de actores de amenaza serán decisivas.

Implicaciones Geopolíticas

• 01

  Cybercrime and exploitation campaigns are converging on platform trust (browsers, extensions, AI assistants), enabling faster monetization and broader targeting.

• 02

  Compromise of PBX/UC infrastructure can translate into strategic access for espionage or disruption, increasing the geopolitical sensitivity of “ordinary” enterprise vulnerabilities.

• 03

  Cross-platform extension abuse suggests regulators and browser vendors may face pressure to tighten extension permission models and vetting, affecting global tech governance.

Señales Clave

• —New malicious extension campaigns that bypass browser checks and increase forced-install success rates
• —Rapid growth in observed exploitation of CVE-2026-89026 against internet-facing Issabel Framework instances
• —Browser vendor advisories or policy changes related to extension permissions and AI assistant integrations
• —Telemetry showing session-token theft patterns correlated with extension activity