Los ciberdelincuentes dejan al descubierto un imperio de backdoors en WordPress—y nuevas estafas con passkeys de Entra golpean Microsoft 365

Un conjunto de informes de ciberseguridad pone de relieve cómo los atacantes están escalando el robo de identidad y el robo de carteras, al mismo tiempo que dejan rastros operativos. Según se informa, un grupo de ciberdelincuencia dejó durante aproximadamente tres semanas un servidor expuesto a internet, revelando herramientas internas, registros de actividad y listas de objetivos que mencionaban más de 1,4 millones de sitios WordPress, aunque en realidad se habrían comprometido muchos menos. Por separado, un actor de amenazas rastreado por Okta como O-UNC-066 utilizó solicitudes de seguridad falsas por voz para engañar a usuarios de Microsoft 365 y hacerles inscribir una nueva passkey de Microsoft Entra, con el objetivo de habilitar extorsión de datos. En paralelo, Coinspect dio a conocer una vulnerabilidad en carteras cripto denominada “Ill Bloom”, donde la aleatoriedad débil en la generación de la frase de recuperación puede permitir reconstruirla y drenar fondos, con robos reportados de alrededor de 3,1 millones de dólares. A nivel estratégico, el hilo común es que el crimen cibernético combina cada vez más la manipulación de identidades, la ingeniería social y el “targeting” tipo cadena de suministro contra plataformas ampliamente desplegadas como WordPress y los sistemas de identidad empresariales. La exposición de WordPress sugiere reutilización oportunista de infraestructura y una disposición a operar a gran escala, lo que incrementa la probabilidad de compromisos posteriores en sitios que funcionan como anclas de confianza para marcas y comercio local. El esquema de passkeys de Entra evidencia un cambio desde el phishing de contraseñas hacia el abuso del ciclo de vida de la autenticación, explotando la capa humana y de flujo de trabajo en lugar de limitarse al robo de credenciales. La falla en carteras cripto demuestra que incluso la seguridad de “autocustodia” puede colapsar cuando detalles de implementación—como la calidad de la aleatoriedad—socavan el mecanismo central de recuperación, beneficiando a atacantes capaces de automatizar intentos de descifrado. Las implicaciones de mercado y económicas son indirectas, pero pueden ser relevantes vía primas de riesgo impulsadas por incidentes y costos operativos. Microsoft 365 y las herramientas de seguridad de identidad son el foco operativo inmediato, y los ataques sostenidos pueden elevar el gasto empresarial en endurecimiento de IAM, respuesta a incidentes y gobernanza de passkeys, presionando presupuestos en áreas de TI y seguridad. En el lado cripto, un drenaje demostrado de 3,1 millones de dólares desde carteras vinculadas a una vulnerabilidad específica puede aumentar la sensibilidad de los inversores a la calidad del software de carteras y a las prácticas de generación de frases de recuperación, elevando probablemente la demanda de implementaciones auditadas y de parches más rápidos. Para las instituciones financieras, el reporte separado de que VTB advirtió sobre esquemas de fraude de inversión en evolución—pasando de ofertas clásicas tipo pirámide hacia servicios modernos de inversión y operaciones con cripto—señala que los embudos de fraude habilitados por ciberataques podrían cruzarse cada vez más con las finanzas reguladas, elevando el riesgo de cumplimiento y reputacional. De cara al futuro, los defensores deberían tratar estos informes como una advertencia coordinada sobre flujos de autenticación y recuperación, y no como vulnerabilidades aisladas. En entornos Microsoft, conviene vigilar inscripciones anómalas de passkeys en Entra, especialmente las iniciadas mediante ingeniería social por voz o “solicitudes de seguridad”, y reforzar la verificación para eventos de inscripción. En WordPress, priorizar el escaneo de webshells y artefactos de backdoor en los segmentos de mayor riesgo de la lista de objetivos expuesta, y luego validar que la integridad de archivos del lado del servidor se mantiene. En carteras cripto, identificar con rapidez si las versiones afectadas generan frases de recuperación con aleatoriedad débil, rotar cualquier material de recuperación comprometido y considerar mover fondos a carteras con fuentes de entropía verificadas. Los disparadores de escalada incluyen evidencia de acceso sin credenciales vía inscripción de passkeys a escala, campañas repetidas de extorsión usando los mismos señuelos de voz, o confirmación pública de que “Ill Bloom” afecta a familias adicionales de carteras más allá del alcance inicialmente divulgado.

Implicaciones Geopolíticas

• 01

  Cybercrime scaling against widely used platforms (WordPress and Microsoft identity) can create cross-sector disruption that indirectly affects national economic resilience.

• 02

  Authentication lifecycle abuse (passkeys) increases the difficulty of attribution and response, complicating government and corporate coordination during incidents.

• 03

  Crypto-enabled theft and fraud funnels can undermine trust in both digital assets and regulated financial channels, raising regulatory pressure.

Señales Clave

• —Spike in anomalous Entra passkey enrollments and related MFA/SSO events tied to voice or social-engineering lures
• —Indicators of WP webshell/backdoor artifacts appearing across high-value domains and CMS plugin ecosystems
• —Public advisories confirming affected wallet software versions and entropy/recovery-phrase generation weaknesses
• —Regulatory or bank communications expanding on crypto-linked investment fraud typologies