Security Art Work

IDOR (Insecure Direct Object Reference) llevan años formando parte del Top 10 de problemas de seguridad en aplicaciones web y APIs. En su denominación moderna aplicada a APIs se las conoce también como BOLA (Broken Object Level Authorization), y constituyen la categoría API1:2023 del OWASP API Security Top 10; en la nomenclatura de MITRE están catalogadas como CWE-639: Authorization Bypass Through User-Controlled Key.

Artículo invitado de Iliya Garakh. Cuarta y última entrega de la serie iniciada en Comprobación privada de credenciales comprometidas (1/4). Cierre de la serie. Hasta aquí hemos construido un esquema elegante y eficiente.

Artículo invitado de Iliya Garakh. Tercera entrega de la serie iniciada en Comprobación privada de credenciales comprometidas (1/4). Toca situar el esquema en el mapa.

Artículo invitado de liya Garakh. Segunda entrega de la serie iniciada en Comprobación privada de credenciales comprometidas (1/4). En esta entrega construimos el protocolo de filtros de Bloom para contraseñas filtradas con ruido de ofuscación, paso a paso.

Artículo invitado de Iliya Garakh, Process Improvement & Agile Methodologies en Passwork. Primera entrega de una serie de cuatro sobre cómo comprobar contraseñas filtradas sin revelarlas al servicio que responde. En esta entrega planteamos el problema, fijamos el modelo de amenaza y vemos por qué los enfoques basados solo en el hash —incluso con sal o con bcrypt— no resuelven la cuestión.

Hoy me he dado cuenta de que tengo compañeros que han nacido este siglo. No el pasado, no: este. Así que, tras el disgusto, toca ponerse tecnológicamente melancólicos. Por dos motivos: porque cualquier tiempo pasado fue anterior y, sobre todo, porque éramos más jóvenes. Antes no había internet. O al menos no teníamos internet en casa, ni mucho menos en el móvil… porque no había móviles. Sólo teníamos internet en la universidad, con suerte.

En un contexto de creciente competencia entre Estados dentro del ciberespacio, EU Cyber Direct ha publicado en 2026 el Handbook for the Practice of Cyber Diplomacy, una guía práctica para diplomáticos y profesionales del ámbito de la política internacional relacionada con el ciberespacio. [1] El documento, compuesto por más de veinte ensayos, se enmarca dentro de las iniciativas de la Unión Europea orientadas a la comprensión e integración del derecho internacional en el ciberespacio.

This article focuses on analyzing the most active threat actors in the context of the conflict involving Iran, United States, and Israel, as well as the U.S. operation known as Operation Epic Fury. The goal is to gain a deeper understanding of their operations, modus operandi, victimology, and other key aspects of their activity. In this installment, the focus is on cyber operations linked to the Islamic Revolutionary Guard Corps (IRGC) and the Ministry of Intelligence and Security of Iran (MOIS).

Los ilegales son oficiales de inteligencia que operan bajo identidades y nacionalidades falsas, sin inmunidad diplomática. Haciéndose pasar por ciudadanos corrientes de otros países, mantienen identidades ficticias y pasan años construyendo vidas normales mientras realizan actividades de espionaje. Frente a otros espías, estos agentes no tienen protección diplomática: si los descubren, van a prisión.

Como analistas de malware en LAB52, la división de ciberinteligencia de S2Grupo, habitualmente centramos mucho nuestra atención en grupos APT. Sin embargo, desde hace un tiempo, la evolución del ecosistema de Malware-as-a-Service (MaaS) hace que inevitablemente capte nuestra atención por diversos motivos. Este artículo aborda la problemática actual que suponen modelos de ciberdelincuencia como el conocido MaaS desde el punto de vista del análisis de malware.