Luciano Lagger

Microsoft Edge carga todas las contraseñas guardadas en la memoria en texto plano blog.segu-info.com.ar/2026/05/micros…

Chronus Team, actor activo en América Latina y Argentina [Informe de actividad] blog.segu-info.com.ar/2026/03/chronu…

Más allá del "Exploit": Por qué el verdadero poder del Pentesting reside en un documento Markdown 1. El mito del hacker solitario frente a la realidad del consultor estratégico La cultura popular ha canonizado la imagen del hacker como una figura solitaria que, tras una ráfaga de tecleo frenético, exclama "estoy dentro" y da por terminada su misión. En el Pentesting profesional, esa escena es apenas el prólogo. El verdadero valor de un auditor de seguridad no reside en su capacidad de vulnerar un sistema, sino en su destreza para comunicar el riesgo de manera que el negocio pueda actuar. Descubrir una vulnerabilidad crítica es un esfuerzo estéril si el cliente no comprende su gravedad o si no recibe una guía clara para neutralizarla. Como expertos, nuestro trabajo no termina con el compromiso del sistema; concluye cuando el riesgo se traduce en una narrativa técnica y estratégica impecable. 2. Resiliencia operativa: El plan que nunca sobrevive al "primer contacto" Un ejercicio de seguridad es, por naturaleza, un territorio impredecible. A diferencia de otros servicios de TI, es imposible guionizar un Pentesting con exactitud quirúrgica porque el entorno real siempre desafía las hipótesis de las reuniones de preventa. "Ningún plan sobrevive al primer contacto con el enemigo". Esta máxima justifica por qué los formularios precargados y los informes automatizados son insuficientes. El auditor debe enfrentarse a comportamientos inesperados de los sistemas, y aquí es donde la toma de notas en tiempo real se convierte en una herramienta de transparencia y protección de responsabilidad (Liability Protection). Un registro detallado de cada comando y clic no solo garantiza que un hallazgo sea reproducible para su posterior remediación, sino que permite determinar con precisión si una caída del sistema fue causada por la prueba o por un factor externo ajeno al auditor. Documentar cada paso es la única defensa del consultor ante lo inesperado. 3. El entregable real: Una Hoja de Ruta Estratégica de Remediación Es un error conceptual frecuente creer que el cliente paga por el "hackeo". En la práctica, el informe es el único entregable que aporta valor comercial tangible y justifica la inversión. Mientras que el acto técnico de atacar es el medio, el propósito fundamental del servicio es entregar una Hoja de Ruta Estratégica de Remediación. Un informe que se limita a listar fallos sin recomendaciones claras es dinero desperdiciado para la empresa. El objetivo final es que la organización reciba un mapa que no solo señale las grietas, sino que proponga objetivos estratégicos para impedir que esas vulnerabilidades resurjan. El Pentesting, por tanto, se define menos como una exhibición de habilidades técnicas y más como una consultoría de alta dirección en gestión de riesgos. 4. El contexto lo es todo: Por qué un hospital no es un banco La gravedad de una vulnerabilidad no es una métrica universal; es una variable dependiente del contexto operativo y regulatorio del cliente. Una misma falla técnica exige respuestas estratégicas opuestas según el sector: Cliente A (Hospital): Aquí, la prioridad absoluta es la disponibilidad. Los dispositivos médicos críticos suelen operar sobre software obsoleto que no admite parches inmediatos sin riesgo de interrupción. En este escenario, la recomendación estratégica se inclina hacia el aislamiento en subredes lógicas para proteger la vida del paciente, cumpliendo con normativas como HIPAA. Cliente B (Banco): La prioridad es la integridad y el control de acceso. Bajo el estándar PCI, un parche de seguridad no es una sugerencia técnica, es un mandato regulatorio. Un servidor desactualizado es un punto de entrada inaceptable, y la falta de remediación inmediata puede acarrear sanciones catastróficas. 5. La anatomía de la captura de pantalla perfecta Una evidencia visual mal construida puede ofuscar el problema en lugar de aclararlo. Para que una captura de pantalla sea profesional y efectiva, debe cumplir con estos cinco criterios de precisión: Legibilidad inmediata: La imagen debe ser clara sin necesidad de zoom; si el lector debe esforzarse por ver, el flujo de comunicación se rompe. Contexto corporativo: Debe incluir la URL en la barra del navegador y logotipos de la empresa en el formulario afectado para vincular la falla directamente con la identidad del cliente. Enmarcado y enfoque: El impacto (como una ventana emergente de XSS) debe estar centrado. Evite información irrelevante que distraiga del hallazgo. Soporte textual complementario: La imagen nunca debe ser el único recurso; debe ser acompañada por párrafos que expliquen la causa raíz. Precisión en el pie de foto: El título o pie de foto debe tener un máximo de 8 a 10 palabras, limitándose a describir la imagen sin repetir el contexto ya explicado en el cuerpo del texto. 6. Obsidian y Markdown: Portabilidad y Continuidad Colaborativa La documentación moderna ha abandonado los editores propietarios en favor de la simplicidad y potencia de Markdown y herramientas como Obsidian. Esta transición no es una moda, sino una decisión estratégica basada en: Eliminación del "Vendor Lock-in": Al usar archivos de texto plano (.md), las notas son universales. No dependen de un software costoso o cerrado, permitiendo su apertura en cualquier sistema operativo (Linux, Windows, macOS). Continuidad Colaborativa: Esta portabilidad es vital para la resiliencia del equipo. Si un auditor debe abandonar el proyecto por enfermedad o imprevistos, cualquier otro miembro puede retomar el trabajo de inmediato, garantizando que el cliente reciba su informe sin retrasos. Eficiencia técnica: Markdown permite integrar bloques de código con resaltado de sintaxis y previsualización en vivo de imágenes, facilitando que las notas técnicas se conviertan casi instantáneamente en secciones de un informe final profesional. 7. Conclusión: Hacia una cultura de transparencia y remediación La excelencia en la documentación no es un proceso administrativo secundario; es el pilar que eleva la postura de seguridad de una organización. Un Pentesting bien documentado transforma una serie de ataques aislados en una lección estratégica de defensa. Al final del día, el auditor de seguridad debe actuar como un aliado estratégico: alguien que no solo señala dónde están las grietas, sino que entrega los planos para reconstruir el muro de forma más sólida y resiliente. En tu próxima evaluación, ¿preferirías encontrar diez fallos críticos o recibir un solo plan estratégico que impida que esos fallos vuelvan a existir?

Preguntas guía basadas en la Taxonomía de Bloom del Pensamiento Crítico #Diagramatica-MM

Brutus: Open-source credential testing tool for offensive security reddit.com/r/netsec/comme…

El lado del mal - Cómo asegurar con WARP & One Agent tu conexión a Internet usando Post Quantum Cryptography para evitar ataques o bloqueos de webs elladodelmal.com/2026/02/como-a… #Cloudflare #PostQuantumCryptography #PQC #Conectividad #BloqueosIP #OneAgent

Trisquel - Espirales en movimiento #DiagramaticaMM

Creado (de nuevo) el CENTRO NACIONAL DE CIBERSEGURIDAD🇦🇷 Depende de la Secretaría de Innovación, Ciencia y Tecnología de la Jefatura de Gabinete de Ministros. boletinoficial.gob.ar/detalleAviso/p… Suerte a todos los involucrados! Por favor que esta sea la vencida y haya políticas de Estado!🙏

Fortinet se está transformando en una broma de seguridad. Encontraron un SQLi en FortiClientEMS 7.4.4 que permite que un usuario NO autenticado ejecute código. fortiguard.com/psirt/FG-IR-25… (CVSS 9.1)

🔥ATENCIÓN🔥 LA CLAVE DE #BITCOIN POST CAÍDA. La MEDIA MÓVIL de 100 semanas fue una GUÍA CLAVE para COMPRAS de LARGO PLAZO en $BTC 👀Anteriormente vimos que cuando BTC pierde la media móvil de 100 semanas, los rendimientos a corto plazo suelen ser negativos y muy volátiles. 💥Pero cuando la recupera con fuerza, históricamente ha sido el inicio de grandes rallies. 🔸Esto pasó cada vez que BTC recuperó la media móvil de 100 semanas ▪️2015: +4.978% en 742 días ▪️2019: +959% en 917 días ▪️2022: +342% en 721 días 🔸Además, Bitcoin JAMÁS ha caído por debajo del nivel de la SMA de 100 semanas del ciclo anterior. 📍El patrón es claro: acumular en la debilidad bajo la SMA de 100 semanas y mantener tras su recuperación generó GRANDES RENDIMIENTOS a los inversores

Microsoft Office Zero-Day (CVE-2026-21509): parche de emergencia emitido por explotación activa blog.segu-info.com.ar/2026/01/micros…

Weaponizing IA para crear malware blog.segu-info.com.ar/2026/01/weapon…

🚨 New Attack Alert: #ConsentFix 🚫🔑 A new technique discovered by Push Security bypasses MFA & Passkeys by tricking users into manually handing over OAuth tokens. The Attack Flow: 1️⃣ Phish site asks for "verification" 2️⃣ User logs into legit Microsoft Azure CLI 3️⃣ User COPIES "localhost" URL w/ auth code 4️⃣ User PASTES it back to attacker 🎣 Result: Full session hijack. 🔓 ⚠️ Tip: Never copy-paste address bar URLs for "verification"! #CloudBreach #InfoSec #AzureSecurity #Phishing #Microsoft365 #CyberSecurity #RedTeam #BlueTeam #EntraID #MFA #IdentitySecurity #SocialEngineering #ThreatHunting #SecOps #OauthAbuse #TokenTheft #CISO

Strategic Thinking.

Vulnerabilidad crítica en 🔀n8n (CVSS 9.9) permite la ejecución de código arbitrario en miles de instancias CVE-2025-68613, CVSS de 9,9 sobre un máximo de 10,0 El paquete tiene alrededor de 57 000 descargas semanales, según las estadísticas de npm github.com/n8n-io/n8n/sec…

Vibe hacking: desarticulada la primera campaña de ciberespionaje orquestada por IA blog.segu-info.com.ar/2025/11/vibe-h…

👾 #Latrodectus C2 domains (active): alfryudabikuta[.]com faryshopkleyskipi[.]com dorevilokpadjghs[.]com fadoklismokley[.]com gasrobariokley[.]com jojikloertoys[.]com sistoronykastadro[.]com adsqwiolkuerkom[.]com doskaevriakjoilo[.]com ganstopliomalifas[.]com laghuirtinosdek[.]com lounfaslkijsdf[.]com sisadfriolkdle[.]com darklousdirupas[.]com dlinofinopasster[.]com basokilometrsdo[.]com kutakdokliurio[.]com blaksdioklery[.]com sigdalokanolkas[.]com lilikutliputsdf[.]com hdflksgreklams[.]com kwjfalvalkloun[.]com fikysandroisder[.]com kasldericoname[.]com lalasisifuryglap[.]com dasrilkosdirosado[.]com kwestgidokudiojek[.]com asakusubinitohas[.]com signamoykloysd[.]com djkloyfarelbister[.]com