← Volver al blog

Informe de seguridad, 23 de abril de 2026: fallo de notificaciones de Apple, gusano npm y puerta trasera GoGra con Graph API

La situación de amenazas de esta mañana no gira alrededor de un gran zero-day. Gira alrededor de límites de confianza que fallan en lugares conocidos: teléfonos, pipelines de desarrollo e identidad cloud empresarial.

---

---

1. Apple publica un arreglo de emergencia para datos de notificaciones borradas que no desaparecían de verdad

Apple lanzó actualizaciones fuera de ciclo para iPhone y iPad para corregir CVE-2026-28950, un fallo por el que las notificaciones marcadas para borrado podían seguir almacenadas en el dispositivo. Eso importa porque las vistas previas de notificaciones pueden contener contenido de mensajes incluso cuando el usuario cree que los datos de la app ya no existen.

• La configuración de privacidad no basta si el almacenamiento de notificaciones del sistema sigue guardando contenido sensible en silencio.
• Los equipos de seguridad que protegen a directivos, periodistas o personal regulado deberían desplegar la actualización rápido y reducir la exposición de notificaciones en la pantalla bloqueada.
• Para los usuarios de Signal en iOS, ajustar el contenido de las notificaciones a “Solo nombre” o “Sin nombre ni contenido” sigue siendo una medida inteligente de endurecimiento.

---

2. El nuevo ataque contra npm no solo roba secretos, también intenta propagarse como un gusano

Investigadores de Socket y StepSecurity dicen que paquetes npm comprometidos de Namastex Labs estaban robando tokens de publicación, claves API, claves SSH, credenciales cloud y datos de wallets del navegador, y luego intentaban volver a publicar paquetes infectados desde cualquier cuenta a la que podían llegar. Eso es una escalada seria frente a un compromiso normal de paquetes porque convierte cada token de mantenedor expuesto en un nuevo punto de lanzamiento.

• Si los paquetes afectados tocaron tu CI o estaciones de trabajo de desarrollo, asume exposición de secretos y rota credenciales, no solo dependencias.
• Audita ~/.npmrc, variables de entorno, logs de build y espejos de paquetes para detectar tokens de publicación expuestos.
• El ángulo multi-ecosistema importa, porque según los investigadores la carga también puede pivotar hacia PyPI cuando encuentra credenciales de Python.

---

3. GoGra muestra cómo el malware para Linux puede esconder el mando en tráfico aparentemente normal

Symantec afirma que la variante Linux de la puerta trasera GoGra usa credenciales Azure AD codificadas, Microsoft Graph API y una carpeta de Outlook para recibir comandos cifrados y devolver resultados cifrados. Eso significa que el malware no se comunica con un dominio obviamente sospechoso, sino que mezcla su command-and-control con un servicio cloud en el que los defensores suelen confiar por defecto.

• El malware para Linux que usa APIs SaaS empresariales ya debe tratarse como un patrón de amenaza principal, no como un caso raro.
• Los defensores deberían revisar uso sospechoso de Graph API, anomalías en buzones y comportamientos extraños de OAuth junto con la telemetría clásica del endpoint.
• El patrón “buzón de Outlook como C2” recuerda que “servicio legítimo” no significa “tráfico benigno”.

---

Qué deben hacer hoy los equipos de seguridad

1. Actualizar rápido los dispositivos Apple y endurecer la vista previa de notificaciones en iPhones y iPads de mayor riesgo.
2. Buscar las versiones npm maliciosas listadas, eliminarlas y rotar todos los secretos potencialmente expuestos en CI, cloud, registros y portátiles de desarrollo.
3. Revisar la telemetría de Microsoft Graph, OAuth y correo en busca de comportamientos operativamente raros, no solo de señales evidentemente maliciosas.
4. Tratar las tres historias como una sola lección: la confianza se acumula en sistemas de fondo y los atacantes ganan cuando los defensores lo olvidan.

---

---

Bottom line: Conclusión: el hilo común hoy es la retención oculta y la confianza oculta. Los datos que creías borrados pueden seguir ahí, los paquetes que parecían rutinarios pueden propagar la intrusión y el tráfico cloud que parecía normal puede llevar comandos de atacantes.