El presidente de Estados Unidos, Donald Trump, ha seleccionado a Shyam Sankar, director de tecnología de Palantir Technologies, como principal candidato para dirigir la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), según fuentes anónimas citadas por Recorded Future News. La designación pondría fin a un largo periodo sin director permanente en el organismo, encargado de proteger las infraestructuras críticas del país.

Un perfil polémico para un cargo clave

Sankar, ejecutivo de una empresa conocida por sus contratos de análisis de datos con agencias de inteligencia y defensa, representa la creciente influencia del sector privado en la seguridad nacional estadounidense. La Casa Blanca no ha confirmado oficialmente el nombramiento, pero las fuentes señalaron que la decisión está próxima.

La posible llegada de un cargo vinculado a Palantir —empresa cofundada por Peter Thiel, estrechamente alineada con el trumpismo— podría cambiar la orientación de CISA hacia enfoques comerciales y tecnológicos específicos, según analistas consultados. La agencia ha operado con directores interinos desde la salida de Jen Easterly en 2024.

La elección de un ejecutivo de Palantir refleja la apuesta de Trump por estrechar lazos entre el sector tecnológico y la seguridad nacional, en línea con su agenda de desregulación y privatización de servicios públicos.

El Senado deberá confirmar el nombramiento, donde se espera un debate sobre posibles conflictos de interés. Palantir ha sido criticada por su papel en programas de vigilancia masiva y por sus vínculos con agencias federales como el Pentágono y la CIA.

El Programa Mundial de Alimentos (WFP) de la ONU ha abierto una investigación tras detectar un acceso no autorizado a los datos de los receptores de ayuda humanitaria en Gaza. El incidente, que afecta a información sensible almacenada en su aplicación de autorregistro, fue comunicado a los damnificados a través de Telegram durante el pasado fin de semana, según confirmó la agencia.

Riesgos para la seguridad de los afectados

En el mensaje remitido a los beneficiarios, el WFP advirtió de que «partes no autorizadas» habían accedido a los datos alojados en la plataforma de registro. Aunque la organización no ha precisado el número de afectados ni el volumen de información expuesta, la filtración en una zona de conflicto activo como Gaza podría tener consecuencias graves para la seguridad de los damnificados, expuestos a posibles represalias o estigmatización.

El organismo de la ONU ha indicado que colabora con las autoridades competentes para esclarecer el alcance de la brecha y reforzar las medidas de ciberseguridad. La investigación se centra en determinar cómo se produjo el acceso indebido y si los datos filtrados han sido utilizados de forma malintencionada.

Contexto de vulnerabilidad

El suceso se enmarca en el contexto del conflicto entre Israel y Hamás, que ha agravado la crisis humanitaria en la Franja. La ONU canaliza a través del WFP una parte significativa de la asistencia alimentaria a la población gazatí, que depende en gran medida de la ayuda internacional. La exposición de datos personales de los receptores —que pueden incluir nombres, ubicaciones y detalles de contacto— añade un factor de riesgo adicional en un entorno ya de por sí vulnerable.

La agencia de la ONU no ha facilitado un plazo para la conclusión de las pesquisas, pero asegura que tomará «todas las medidas necesarias» para evitar que incidentes similares se repitan y para proteger la privacidad de las personas asistidas.

El investigador de seguridad Ammar Askar publicó el pasado 4 de junio un exploit de prueba de concepto capaz de robar tokens de acceso de GitHub, en un movimiento que ha generado controversia en la comunidad de ciberseguridad. Askar justificó la publicación alegando deficiencias en el proceso de divulgación de vulnerabilidades de Microsoft, propietaria de la plataforma de desarrollo.

El exploit fue divulgado en el blog personal de Askar y en el sistema público de seguimiento de incidencias de Visual Studio Code. Según el investigador, apenas notificó al equipo de seguridad de GitHub con una hora de antelación antes de hacer público el código, un plazo que consideró insuficiente para que la compañía pudiera reaccionar.

Críticas al proceso de Microsoft

En su publicación, Askar señaló que la empresa no habría gestionado adecuadamente las comunicaciones previas sobre la vulnerabilidad, lo que motivó la decisión de liberar el código de forma unilateral. Este tipo de acciones, conocidas como divulgación completa (full disclosure), son habituales en el ámbito de la seguridad cuando un investigador considera que el fabricante no actúa con la debida celeridad.

El exploit, aunque de prueba de concepto, es funcional y podría ser utilizado por terceros con fines maliciosos. La filtración de tokens de GitHub permite a un atacante acceder a repositorios privados, modificar código o incluso suplantar la identidad del desarrollador en integraciones continuas.

Por el momento, Microsoft no ha emitido un comunicado oficial sobre la publicación del exploit ni sobre las acusaciones de Askar. La empresa mantiene un programa de recompensas por errores (bug bounty) que, según detractores, a menudo prioriza plazos largos de parcheado frente a la urgencia de la divulgación.

La Agencia de Seguridad de Infraestructuras y Ciberseguridad de Estados Unidos (CISA) publicará a lo largo de esta semana una directiva operativa vinculante en el marco de la orden ejecutiva sobre inteligencia artificial firmada por la Casa Blanca. Así lo ha anunciado un funcionario de la agencia durante un evento público celebrado este jueves.

Eric Andersen, alto cargo de CISA, declaró en la conferencia TechNet Cyber celebrada en Baltimore que la directiva se centrará en el alivio y la gestión de vulnerabilidades en sistemas de inteligencia artificial aplicados a infraestructuras críticas. “La directiva abordará tanto el alivio de vulnerabilidades como la gestión de vulnerabilidades”, afirmó Andersen, sin precisar la fecha exacta de publicación dentro de la semana.

La directiva operativa vinculante forma parte de la implementación de la orden ejecutiva sobre inteligencia artificial que la administración Biden promulgó a finales de 2023. Esta orden establece requisitos de seguridad, transparencia y rendición de cuentas para los sistemas de IA utilizados en sectores sensibles. CISA, dirigida por Jen Easterly, tiene la responsabilidad de desarrollar normas específicas para garantizar que los sistemas de IA desplegados en infraestructuras críticas —como redes eléctricas, sistemas de agua o servicios financieros— cumplan con los estándares de ciberseguridad.

La noticia se produce en un contexto de creciente atención regulatoria hacia la inteligencia artificial. Varias agencias federales estadounidenses están desarrollando normativas sectoriales para mitigar los riesgos asociados a esta tecnología, especialmente en lo relativo a ciberseguridad y protección de datos.

El jefe del Departamento de Seguridad Nacional de Estados Unidos (DHS), Todd Mullin, ha señalado que la Agencia de Ciberseguridad e Infraestructuras (CISA) necesita «alrededor de» 2.800 empleados, una cifra inferior al límite actual de contratación de 3.400. La declaración se produjo el 3 de junio de 2026 durante su primera comparecencia ante el comité parlamentario desde que fue confirmado en el cargo en marzo.

Un giro en la misión de CISA

Mullin explicó que el DHS está trabajando para redimensionar y reorientar la misión de la agencia, alineándola con las prioridades políticas de la administración. Aunque no detalló los recortes exactos respecto a la plantilla actual, la cifra de 2.800 sugiere una reducción significativa respecto a la capacidad máxima autorizada por el Congreso.

La reestructuración de CISA ha sido un tema recurrente en el debate político en Washington. Algunos legisladores republicanos han criticado a la agencia por su enfoque en la lucha contra la desinformación, que consideran una extralimitación de su mandato original centrado en la ciberseguridad de infraestructuras críticas.

Implicaciones para la seguridad nacional

La posible reducción de personal ha suscitado preocupación entre los expertos en ciberseguridad, que advierten de que EE.UU. se enfrenta a amenazas crecientes por parte de actores estatales como China y Rusia. La CISA, creada en 2018, ha desempeñado un papel clave en la protección de redes gubernamentales y en la coordinación con el sector privado.

Según declaró Mullin ante el panel, los cambios buscan «modernizar y agilizar» la agencia, aunque no ofreció un calendario concreto para la reestructuración. El DHS deberá ahora presentar un plan detallado al Congreso, que tiene la última palabra sobre la financiación y el tamaño de la plantilla de CISA.

El Gobierno de Estados Unidos ha publicado este martes una orden ejecutiva sobre inteligencia artificial que, aunque más limitada que los borradores previos, establece condiciones de ciberseguridad, confidencialidad y riesgo de insider para el acceso federal a los modelos de IA. La medida, firmada por el presidente Donald Trump, busca reforzar la protección de las infraestructuras críticas frente a posibles amenazas vinculadas al uso de estas tecnologías.

Condiciones para el acceso federal

La orden señala que el acceso de las agencias federales a los modelos de IA debe estar sujeto a “apropiada confidencialidad, ciberseguridad, riesgo de insider y protección de la propiedad intelectual”, según el texto difundido por la Casa Blanca. Aunque la orden no especifica sanciones ni plazos concretos, establece un marco regulatorio que afecta a todos los departamentos y agencias que contraten o utilicen sistemas de inteligencia artificial.

El acceso federal a los modelos debe estar sujeto a “apropiada confidencialidad, ciberseguridad, riesgo de insider y propiedad intelectual”.

La medida se enmarca en la estrategia del Ejecutivo estadounidense por equilibrar el impulso a la innovación en inteligencia artificial con la salvaguarda de la seguridad nacional. A diferencia de órdenes anteriores, esta versión ha sido descrita por fuentes oficiales como “más acotada”, centrada exclusivamente en los riesgos asociados al uso gubernamental de estas herramientas, sin abordar aspectos más amplios como la regulación del sector privado.

Reacciones y contexto

La orden ejecutiva llega en un momento de creciente debate en Washington sobre los riesgos de la inteligencia artificial, especialmente tras incidentes de filtración de datos y uso indebido de modelos generativos. El Gobierno ha insistido en que la iniciativa busca “proteger la información sensible” sin frenar el desarrollo tecnológico. Organizaciones de ciberseguridad han valorado positivamente el enfoque en el riesgo de insider, aunque advierten que la aplicación efectiva dependerá de los recursos asignados a las agencias para implementar los controles.

Google ha comenzado a desplegar una nueva funcionalidad antiscam integrada en su aplicación Google Dialer que permite verificar la identidad del llamante mediante una señal de confirmación silenciosa. La función, disponible desde el 2 de junio de 2026, se activa sin intervención del usuario cuando recibe una llamada sospechosa.

La herramienta está orientada a combatir el creciente número de estafas telefónicas, especialmente aquellas en las que los ciberdelincuentes suplantan la identidad de entidades bancarias, organismos públicos o empresas conocidas. Según ha informado la compañía, la señal de confirmación se envía en segundo plano durante la comunicación, permitiendo al sistema validar que el número que llama corresponde realmente a la entidad que dice ser.

La función está disponible para todos los dispositivos con Android 12 y versiones posteriores, lo que cubre a la inmensa mayoría de los teléfonos Android actuales. No requiere configuración adicional ni activación manual: Google Dialer detecta automáticamente las llamadas entrantes y aplica el protocolo de verificación cuando es necesario.

La compañía no ha detallado el sistema criptográfico concreto que utiliza la señal de confirmación, pero fuentes de la división de seguridad de Google han confirmado que la verificación se realiza en tiempo real y que la información no se almacena en los servidores de la empresa, un gesto que busca apaciguar las preocupaciones sobre la privacidad de los usuarios.

La medida llega en un momento en que las estafas telefónicas se han convertido en un problema de seguridad cotidiano en todo el mundo, con pérdidas estimadas en miles de millones de dólares anuales. Con esta actualización, Google pretende ofrecer una capa adicional de protección sin sacrificar la experiencia del usuario.

La inteligencia artificial de Meta que atiende las solicitudes de soporte al cliente ha sido utilizada por ciberdelincuentes para secuestrar cuentas de Instagram. En un video difundido en Telegram, un hacker muestra cómo lograba cambiar la dirección de correo electrónico asociada a un perfil ajeno —y, posteriormente, restablecer la contraseña— simplemente dialogando con el chatbot de la compañía.

El ataque explota una vulnerabilidad en la integración de la IA en los servicios de asistencia de Meta. Al solicitar a la máquina el cambio del email de un usuario, los atacantes eludían los mecanismos de verificación tradicionales. Una vez modificado el correo, el restablecimiento de la contraseña quedaba en manos del delincuente, que podía tomar el control total de la cuenta.

Meta ha confirmado que ya ha corregido la brecha, aunque no ha precisado cuántas cuentas se vieron afectadas. La compañía atribuyó el incidente a un error de configuración que permitía al chatbot procesar peticiones que deberían haber requerido una validación adicional. En un comunicado, la empresa aseguró que ha implementado medidas para evitar que la situación se repita.

El caso pone de relieve los riesgos de delegar funciones críticas de seguridad en sistemas automatizados. La explotación de la IA de Meta para secuestrar cuentas ilustra la fragilidad de la ciberinfraestructura en plataformas masivas y abre interrogantes sobre la gobernanza de la inteligencia artificial en entornos comerciales. Según fuentes cercanas a la investigación, los atacantes actuaron durante varias semanas antes de que la vulnerabilidad fuera detectada.

El inspector general del Departamento de Comercio de Estados Unidos ha determinado que errores de gestión en el Instituto Nacional de Estándares y Tecnología (NIST) han dejado ineficaz la Base de Datos Nacional de Vulnerabilidades (NVD), un repositorio global clave para la ciberseguridad. El informe, publicado en junio de 2026, revela que el backlog de vulnerabilidades sin procesar se ha duplicado, pasando de 13.000 a más de 27.000 entre febrero de 2024 y finales de 2025.

La NVD, gestionada por el NIST, es la fuente primaria para que empresas, gobiernos y organismos de todo el mundo prioricen los parches de seguridad informática. Su retraso en la catalogación de vulnerabilidades conocidas como CVE (Common Vulnerabilities and Exposures) amplía la ventana de exposición a ataques, según advierte el informe de la oficina del inspector general.

El organismo califica la situación como una «undermining of public trust» (pérdida de confianza pública), ya que la acumulación de 27.000 vulnerabilidades sin procesar deja sin cobertura a miles de sistemas críticos que dependen de los datos actualizados de la NVD para aplicar parches de forma eficaz. El colapso, atribuido a fallos de gestión internos del NIST, comenzó a gestarse en febrero de 2024 y se ha acelerado desde entonces, según el informe.

El documento no ofrece detalles sobre posibles sanciones o planes de recuperación, pero subraya que la falta de resolución del backlog ha convertido a la NVD en un repositorio cada vez menos fiable. La situación afecta a la ciberseguridad global, ya que la base de datos es utilizada por defensores y atacantes por igual para identificar vulnerabilidades explotables.

Un investigador de seguridad no identificado ha publicado múltiples vulnerabilidades zero-day de Microsoft en la plataforma GitHub, propiedad de la propia compañía, acompañadas de código de prueba de concepto (PoC) funcional. La filtración, ocurrida el 29 de mayo, expone los fallos a atacantes y profesionales de la seguridad por igual, lo que ha provocado una dura reacción de Microsoft.

Según confirmó la empresa en un comunicado, el investigador ha amenazado con divulgar más vulnerabilidades sin parche. Microsoft calificó las publicaciones como «nunca justificables», argumentando que ponen en riesgo a los usuarios al facilitar ataques antes de que exista una solución oficial.

La acción del investigador se enmarca en el debate sobre las políticas de divulgación de vulnerabilidades. Al publicar el código en GitHub, el autor busca forzar a Microsoft a acelerar la publicación de parches, pero la compañía sostiene que este tipo de prácticas solo incrementan la ventana de exposición para los ciberdelincuentes.

Por el momento, Microsoft no ha detallado el número exacto de vulnerabilidades publicadas ni los productos afectados, aunque fuentes internas citadas por la prensa especializada señalan que podrían afectar a múltiples versiones del sistema operativo Windows y de la suite Office. Se recomienda a los administradores de sistemas revisar las alertas de seguridad y aplicar las mitigaciones disponibles hasta que se liberen los parches oficiales.

Este incidente reabre el debate sobre si la publicación de exploits sin parche es una herramienta legítima de presión o una irresponsabilidad que pone en peligro a millones de usuarios. Mientras tanto, la comunidad de ciberseguridad sigue de cerca la evolución del caso.