{"id":26678,"date":"2026-10-09T19:25:28","date_gmt":"2026-10-09T19:25:28","guid":{"rendered":"https:\/\/www.securitytoday.de\/?p=26678"},"modified":"2026-11-13T16:06:27","modified_gmt":"2026-11-13T16:06:27","slug":"knowbe4-un-enlace-inicia-tres-campanas-de-phishing","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/es\/2026\/10\/09\/knowbe4-un-enlace-inicia-tres-campanas-de-phishing\/","title":{"rendered":"KnowBe4: un enlace inicia tres v\u00edas de phishing"},"content":{"rendered":"<style id=\"premium3-layout\">.evm-premium-table table{width:100%;border-collapse:collapse;table-layout:fixed;}.evm-premium-table th,.evm-premium-table td{padding:16px;text-align:left;vertical-align:top;overflow-wrap:anywhere;border:1px solid #43524d;color:#e6e3da;font-size:.95em;line-height:1.6;}.evm-premium-table th{background:#003340;font-weight:700;color:#69d8ed;}.evm-premium-table td{background:#23261f;}[data-element=\"premium_reading\"] a{border:1px solid #e2dcd2!important;}@media(max-width:600px){.evm-premium-table table,.evm-premium-table tbody,.evm-premium-table tr,.evm-premium-table td{display:block;width:100%;box-sizing:border-box;}.evm-premium-table thead{display:none;}.evm-premium-table tr{margin-bottom:14px;}.evm-premium-table td::before{content:attr(data-label);display:block;color:#69d8ed;font-size:.78em;font-weight:700;text-transform:uppercase;letter-spacing:.04em;margin-bottom:6px;}[data-element=\"premium_tldr\"]{padding:24px!important;}.evm-premium-reading{gap:12px!important;}.evm-premium-reading img{width:86px!important;height:58px!important;}}<\/style>\n<p><strong>Una alerta falsa de inicio de sesi\u00f3n de iCloud muestra un acceso desde Windows y una direcci\u00f3n de Apple. Detr\u00e1s hay un kit que divide el mismo clic seg\u00fan el User-Agent en tres operaciones. Windows recibe ScreenConnect. Apple acaba en un dominio ajeno. El resto funciona como relay en vivo por Telegram.<\/strong><\/p>\n<aside data-element=\"premium_tldr\" style=\"background:#003340;color:#fff;padding:32px 36px;margin:32px 0;border-radius:8px;\">\n<p style=\"font-family:ui-monospace,monospace;font-size:0.76em;font-weight:700;letter-spacing:0.08em;text-transform:uppercase;margin:0 0 14px;color:#69d8ed;\">Lo esencial en breve<\/p>\n<ul style=\"margin:0;padding-left:20px;line-height:1.7;\">\n<li style=\"margin:0 0 12px;color:#fff;\"><strong style=\"color:#69d8ed;\">Un cebo de iCloud conduce a tres rutas de ataque.<\/strong> El User-Agent decide: Windows recibe ScreenConnect, los dispositivos Apple se env\u00edan a una p\u00e1gina de inicio de sesi\u00f3n externa y el resto acaba en el relay de inicio de sesi\u00f3n controlado por Telegram.<\/li>\n<li style=\"margin:0 0 12px;color:#fff;\"><strong style=\"color:#69d8ed;\">La tercera ruta intercepta c\u00f3digos MFA v\u00e1lidos.<\/strong> Un operador controla las p\u00e1ginas de inicio de sesi\u00f3n falsas en tiempo real. Las solicitudes de autenticaci\u00f3n push y los c\u00f3digos de un solo uso pueden retransmitirse; FIDO2 es resistente al phishing de este relay.<\/li>\n<li style=\"margin:0;color:#fff;\"><strong style=\"color:#69d8ed;\">El an\u00e1lisis documenta m\u00e1s de 250 clics humanos.<\/strong> Los accesos registrados proceden del 5 y el 6 de mayo de 2026. La reconstrucci\u00f3n del KnowBe4 Threat Lab del 30 de julio se basa en un directorio del atacante de acceso p\u00fablico; no se menciona ninguna CVE.<\/li>\n<\/ul>\n<\/aside>\n<p style=\"border-top:1px solid rgba(230,227,218,0.14);border-bottom:1px solid rgba(230,227,218,0.14);padding:14px 0;margin:28px 0;font-size:0.92em;color:#b8c5ce;\"><strong style=\"color:#69d8ed;\">Relacionado:<\/strong> <a href=\"https:\/\/www.securitytoday.de\/es\/2026\/02\/21\/mfa-bypass-2026-por-que-su-segundo-factor-ya-no-lo-protege\/\">Bypass de MFA 2026: por qu\u00e9 su segundo factor ya no lo protege<\/a>  \u00b7  <a href=\"https:\/\/www.securitytoday.de\/es\/2026\/03\/10\/herramientas-rmm-como-puerta-de-entrada-lista-de-verificacion-de-seguridad-para-connectwise-kaseya-y-similares\/\">Herramientas RMM como puerta de entrada: checklist de seguridad para ConnectWise, Kaseya y otros<\/a><\/p>\n<h2 style=\"margin-top:48px;margin-bottom:18px;\">El cebo muestra un inicio de sesi\u00f3n de Windows<\/h2>\n<p>El correo se presenta como una alerta de seguridad de iCloud. Un equipo Windows desconocido se habr\u00eda conectado. El texto incluye marca de tiempo y una IP. La direcci\u00f3n visible es account[.]apple[.]com. El clic lleva a otro sitio.<\/p>\n<p>Un n\u00famero de expediente, 03483526-WQAD, y un extenso aviso de exenci\u00f3n de responsabilidad al pie del mensaje deben dar a la alerta el aire de un caso en curso. El flujo lo analizaron Prabhakaran Ravichandhiran y Jeewan Singh Jalal del KnowBe4 Threat Lab. All-about-security.de recogi\u00f3 la noticia el 13 de agosto de 2026.<\/p>\n<div data-element=\"definition_box\" style=\"background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;padding:20px 24px;margin:32px 0;box-shadow:inset 0 1px 0 rgba(230,227,218,0.06),0 2px 10px rgba(0,0,0,0.22);\">\n<p style=\"margin:0 0 8px;font-family:'IBM Plex Mono',ui-monospace,SFMono-Regular,monospace;font-size:0.72em;letter-spacing:0.12em;text-transform:uppercase;color:#69d8ed;\">Definici\u00f3n \u00b7 Kit de phishing que se adapta al sistema operativo<\/p>\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\"><strong>\u00bfQu\u00e9 es un kit de phishing que se adapta al sistema operativo?<\/strong> Un cebo com\u00fan y, despu\u00e9s, un router. El User-Agent decide qu\u00e9 operaci\u00f3n recibe el clic. Windows, Apple y el resto funcionan por separado. El Threat Lab reconstruye el kit a partir de un directorio abierto en el servidor de payload.<\/p>\n<\/div>\n<h2 style=\"margin-top:48px;margin-bottom:18px;\">Tres redirecciones llevan al ataque<\/h2>\n<p>El enlace incrustado no abre ninguna p\u00e1gina de phishing. Pasa por tres saltos de redirecci\u00f3n. El hop 1 abusa de una redirecci\u00f3n abierta en track[.]rbfcu[.]org, el dominio de una cooperativa de cr\u00e9dito de EE. UU. Los esc\u00e1neres de gateway ven primero una direcci\u00f3n de una entidad financiera.<\/p>\n<p>El hop 2 est\u00e1 en globalema[.]com. El destino va codificado en base64 dentro del par\u00e1metro. El hop 3 es el servidor de payload cherylbirch[.]com. Antes de cada p\u00e1gina, antibot.php filtra Defender, SafeLinks, IPs de sandbox y navegadores headless. Quien falla recibe un 404 limpio.<\/p>\n<h2 style=\"margin-top:48px;margin-bottom:18px;\">El sistema operativo determina la ruta de ataque<\/h2>\n<p>Tras el filtro, un script PHP lee el User-Agent. Windows pasa internamente a la ruta de ScreenConnect. Apple, es decir iPhone, iPad y Mac, se redirige a https:\/\/andersonsin[.]com\/gg\/g. Linux sin Android y todos los dem\u00e1s caen en una ruta gen\u00e9rica de captura de credenciales de la misma m\u00e1quina.<\/p>\n<p>El tr\u00e1fico de los dispositivos Apple se dirige deliberadamente a un segundo dominio. Quien solo encuentra cherylbirch[.]com no ve autom\u00e1ticamente la operaci\u00f3n de Apple. El mismo cebo da lugar a tres operaciones independientes. Una CVE no forma parte de ello.<\/p>\n<aside aria-label=\"Derselbe Klick, drei Folgen\" data-element=\"os_attack_paths\" style=\"clear:both;margin:32px 0;padding:24px;border:1px solid rgba(105,216,237,.3);border-radius:8px;background:#23261f;color:#e6e3da;\">\n<p style=\"font-family:ui-monospace,monospace;font-size:0.76em;font-weight:700;letter-spacing:0.08em;text-transform:uppercase;margin:0 0 14px;color:#69d8ed;\">Mismo clic, tres consecuencias<\/p>\n<div style=\"display:grid;grid-template-columns:repeat(auto-fit,minmax(min(100%,190px),1fr));gap:14px;\">\n<div style=\"padding:18px;background:#18241f;border-radius:6px;min-width:0;\">\n<p style=\"margin:0 0 10px;color:#69d8ed;font-weight:700;line-height:1.45;\">Windows<\/p>\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\">Portal de DocSend falso \u2192 instalaci\u00f3n de ScreenConnect \u2192 acceso remoto.<\/p>\n<\/div>\n<div style=\"padding:18px;background:#18241f;border-radius:6px;min-width:0;\">\n<p style=\"margin:0 0 10px;color:#69d8ed;font-weight:700;line-height:1.45;\">Apple<\/p>\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\">Dominio separado \u2192 inicio de sesi\u00f3n falso \u2192 robo de credenciales.<\/p>\n<\/div>\n<div style=\"padding:18px;background:#18241f;border-radius:6px;min-width:0;\">\n<p style=\"margin:0 0 10px;color:#69d8ed;font-weight:700;line-height:1.45;\">Android, Linux y otros<\/p>\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\">Inicio de sesi\u00f3n de Microsoft falso \u2192 operador de Telegram \u2192 reenv\u00edo de c\u00f3digos MFA.<\/p>\n<\/div>\n<\/div>\n<\/aside>\n<h2 style=\"margin-top:48px;margin-bottom:18px;\">En Windows, ScreenConnect se disfraza de visor de documentos<\/h2>\n<p>Los usuarios de Windows ven un portal al estilo de DocSend. Se asegura que hace falta un visor para abrir un documento seguro. Cuenta atr\u00e1s, barra de progreso y sello de verificaci\u00f3n aparecen en la p\u00e1gina. El archivo se llama ScreenConnect.ClientSetup.exe.<\/p>\n<p style=\"overflow-wrap:anywhere;\">ScreenConnect es una herramienta comercial de administraci\u00f3n remota con firma v\u00e1lida. Tras la instalaci\u00f3n, el operador controla pantalla, archivos y consola. El valor SHA-256 del archivo entregado es f9a67b861d56beffa0c880ecc90ec8c1fe6b540aec6438783bb60ea094c0aef9. Un EDR que solo busca c\u00f3digo malicioso ve aqu\u00ed una herramienta de TI.<\/p>\n<p>Los usuarios de Apple son redirigidos sin advertirlo a andersonsin[.]com, a las rutas \/cc\/ y \/gg\/g. La p\u00e1gina imita un inicio de sesi\u00f3n. Los objetivos all\u00ed son iCloud y Microsoft 365. La barra de direcciones es el \u00fanico elemento que delata de forma evidente el enga\u00f1o. login1[.]indomesinq[.]click aparece como tercer dominio externo de captura de credenciales.<\/p>\n<h2 style=\"margin-top:48px;margin-bottom:18px;\">Telegram transmite credenciales y c\u00f3digos MFA<\/h2>\n<p>Android, Linux y el resto pasan por varias p\u00e1ginas de inicio de sesi\u00f3n en el servidor principal. Tras el env\u00edo, la entrada va a parar a un bot de Telegram. Un operador lee en vivo y manda la siguiente p\u00e1gina. El navegador se queda en una pantalla de espera y consulta cada tres segundos.<\/p>\n<p>Esto es Adversary-in-the-Middle. El operador utiliza c\u00f3digos MFA reales para acceder a la cuenta leg\u00edtima mientras siguen siendo v\u00e1lidos. La coincidencia de n\u00fameros en las notificaciones push y los c\u00f3digos de un solo uso no ayudan aqu\u00ed. La autenticaci\u00f3n con llaves de seguridad FIDO2 queda vinculada al servicio leg\u00edtimo: el relay no puede retransmitirla.<\/p>\n<p>Una segunda p\u00e1gina de Microsoft 365 asegura que la contrase\u00f1a es incorrecta. La primera introducci\u00f3n de la contrase\u00f1a permite robarla; la segunda permite confirmarla. La misma infraestructura aloja p\u00e1ginas de captura para Microsoft 365, Microsoft Authenticator, iCloud, Google, SSO corporativo y la plataforma de RR. HH. Awardco (iex.html). La alerta de iCloud es uno de varios usos del mismo kit.<\/p>\n<p>Dos bots aparecen en los artefactos: @smokeiT_bot para producci\u00f3n y @dswagofficebot como consola de pruebas. El bot\u00edn va a parar al grupo de Telegram G-MLOGS, de cinco miembros. Como creador figura JH Lee (@jhlee111). Como operador en mayo de 2026 el laboratorio cita a @dswag10. Tres tokens de bot y registros de errores de PHP se remontan a septiembre de 2025. Es un equipo peque\u00f1o con al menos ocho meses de operaci\u00f3n.<\/p>\n<p>El registro de redirecciones del atacante cuenta m\u00e1s de 250 clics humanos confirmados el 5 y el 6 de mayo de 2026. De 157 v\u00edctimas geolocalizadas, 150 estaban en EE. UU. Entre los principales pa\u00edses siguen Canad\u00e1 y Pakist\u00e1n con dos v\u00edctimas cada uno y el Reino Unido con una: juntos, 155 de las 157. Seg\u00fan KnowBe4, la campa\u00f1a estuvo activa en junio y julio y ahora ya no opera. Europa no fue un objetivo en s\u00ed mismo. KnowBe4 no puede confirmar si hubo clics desde Europa porque el conjunto de datos procede sobre todo de correos reportados, que no registran clics en enlaces. Dispositivos: Apple en torno al 65 por ciento, Windows en torno al 28 y Android y el resto en torno al 7.<\/p>\n<div data-element=\"key_number\" style=\"background:#003340;border:1px solid rgba(105,216,237,0.28);border-radius:10px;padding:28px 24px;margin:32px 0;text-align:center;\">\n<div style=\"font-size:1.6em;font-weight:800;color:#69d8ed;line-height:1.05;word-break:keep-all;\">150 de 157<\/div>\n<p style=\"margin:10px 0 0;font-size:0.92em;color:#e6e3da;\">v\u00edctimas geolocalizadas estaban en EE. UU.<\/p>\n<p style=\"margin:6px 0 0;font-size:0.78em;color:#8fa3ab;\">Fuente: KnowBe4 Threat Lab, registro de redirecciones del 5 y el 6 de mayo de 2026<\/p>\n<\/div>\n<h2>El cebo de DocuSign tambi\u00e9n trae acceso remoto al Mac<\/h2>\n<p>El KnowBe4 Threat Lab report\u00f3 el 14 de agosto de 2026 otro caso con un servicio de firma DocuSign falso. El kit entreg\u00f3 ScreenConnect tanto a dispositivos Windows como a equipos macOS. El reporte documenta una campa\u00f1a adicional. Con ello no queda acreditada una conexi\u00f3n entre los autores de ambos casos.<\/p>\n<p>Para la defensa, la comparaci\u00f3n significa: el caso iCloud lleva los dispositivos Apple a un inicio de sesi\u00f3n falso, mientras la variante DocuSign apunta tambi\u00e9n a su acceso remoto. La revisi\u00f3n de instalaciones sospechosas de administraci\u00f3n remota debe cubrir por eso los dispositivos realmente afectados. Un cambio de contrase\u00f1a por s\u00ed solo no elimina una herramienta remota ya instalada.<\/p>\n<h2 style=\"margin-top:48px;margin-bottom:18px;\">Qu\u00e9 deber\u00edan revisar los equipos de seguridad tras el clic<\/h2>\n<p>Gateway, proxy y filtros DNS reciben primero los dominios track[.]rbfcu[.]org, globalema[.]com, cherylbirch[.]com, andersonsin[.]com y login1[.]indomesinq[.]click. El EDR busca el hash del archivo de ScreenConnect. Toda instalaci\u00f3n desconocida de ScreenConnect o ConnectWise tras este clic se considera comprometida hasta que se demuestre lo contrario.<\/p>\n<p>Quien haya introducido credenciales en una p\u00e1gina de esta cadena debe renovar las credenciales de su Apple ID y de sus cuentas de Microsoft 365 y Google. El tr\u00e1fico saliente hacia la API de bots de Telegram va a la lista de vigilancia. FIDO2 sustituye, donde act\u00faa la tercera ruta, al push y al TOTP. El cebo concreto (alerta de iCloud m\u00e1s equipo Windows m\u00e1s URL visible de Apple) sirve como simulaci\u00f3n antes de que el pr\u00f3ximo despliegue use otro gancho sobre la misma infraestructura.<\/p>\n<aside aria-label=\"Was nach einem verd\u00e4chtigen Klick zu pr\u00fcfen ist\" data-element=\"response_actions\" style=\"clear:both;margin:32px 0;padding:24px;border:1px solid rgba(105,216,237,.3);border-radius:8px;background:#23261f;color:#e6e3da;\">\n<p style=\"font-family:ui-monospace,monospace;font-size:0.76em;font-weight:700;letter-spacing:0.08em;text-transform:uppercase;margin:0 0 14px;color:#69d8ed;\">Qu\u00e9 revisar tras un clic sospechoso<\/p>\n<div style=\"display:grid;grid-template-columns:repeat(auto-fit,minmax(min(100%,190px),1fr));gap:14px;\">\n<div style=\"padding:18px;background:#18241f;border-radius:6px;min-width:0;\">\n<p style=\"margin:0 0 10px;color:#69d8ed;font-weight:700;line-height:1.45;\">Revisar instalaciones<\/p>\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\">Buscar instalaciones desconocidas de ScreenConnect o ConnectWise en los dispositivos afectados.<\/p>\n<\/div>\n<div style=\"padding:18px;background:#18241f;border-radius:6px;min-width:0;\">\n<p style=\"margin:0 0 10px;color:#69d8ed;font-weight:700;line-height:1.45;\">Asegurar cuentas<\/p>\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\">Restablecer las credenciales afectadas si se introdujeron datos de acceso.<\/p>\n<\/div>\n<div style=\"padding:18px;background:#18241f;border-radius:6px;min-width:0;\">\n<p style=\"margin:0 0 10px;color:#69d8ed;font-weight:700;line-height:1.45;\">Vigilar la infraestructura<\/p>\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\">Comprobar los dominios mencionados y el hash del archivo; supervisar el tr\u00e1fico hacia la API de bots de Telegram.<\/p>\n<\/div>\n<\/div>\n<\/aside>\n<p>Los reportes van a reportphishing@apple.com y al equipo de seguridad propio. La reconstrucci\u00f3n est\u00e1 en el art\u00edculo del KnowBe4 Threat Lab del 30 de julio de 2026. All-about-security.de retom\u00f3 la historia el 13 de agosto. El an\u00e1lisis no menciona ning\u00fan n\u00famero de CVE.<\/p>\n<h2 style=\"padding-top:64px;margin-bottom:20px;\">Preguntas frecuentes<\/h2>\n<p class=\"st-faq-hint\">Cada pregunta est\u00e1 cerrada. Al tocarla, se desbloquea la respuesta.<\/p>\n<details>\n<summary><strong>\u00bfHay una CVE para este kit?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">No. El Threat Lab describe ingenier\u00eda social, redirecciones, un directorio abierto y administraci\u00f3n remota comercial. El an\u00e1lisis del 30 de julio de 2026 no incluye ning\u00fan n\u00famero de CVE.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfEl cebo afecta solo a cuentas de Apple?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">No. La alerta habla de iCloud. Windows recibe ScreenConnect. Apple acaba en andersonsin[.]com. El resto funciona como inicio de sesi\u00f3n de Microsoft con operador en vivo. La misma m\u00e1quina aloja m\u00e1s p\u00e1ginas de captura de credenciales.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfLa MFA detiene la tercera ruta?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">El push y el TOTP son c\u00f3digos reales. El operador los utiliza para acceder a la cuenta leg\u00edtima. FIDO2 vincula la verificaci\u00f3n al servicio real. El laboratorio menciona FIDO2 como un m\u00e9todo cuya autenticaci\u00f3n este relay no puede retransmitir.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfQu\u00e9 dominios deben entrar en el filtro?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">track[.]rbfcu[.]org, globalema[.]com, cherylbirch[.]com, andersonsin[.]com y login1[.]indomesinq[.]click. Adem\u00e1s del hash del archivo de ScreenConnect. Las direcciones se han neutralizado: quite los corchetes antes de incorporarlas al SIEM.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfBasta un correo de concienciaci\u00f3n a la plantilla?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Un correo por s\u00ed solo no cierra ScreenConnect. Primero filtros y hash, luego instalaciones de RMM desconocidas, despu\u00e9s el cambio de contrase\u00f1a y, al final, FIDO2. La simulaci\u00f3n de este cebo es el \u00faltimo paso, no el primero.<\/p>\n<\/details>\n<p><!--ST-LOWER-CARDS lang=es--><\/p>\n<h3 style=\"margin:48px 0 18px;font-size:1.05em;font-weight:800;color:#e6e3da;line-height:1.2;\">M\u00e1s de la red MBF Media<\/h3>\n<p><a href=\"https:\/\/www.digital-chiefs.de\/es\/cra-obliga-fabricantes-notificar-24-horas\/\" style=\"display:flex;align-items:center;gap:14px;padding:12px 14px;margin:0 0 10px;background:#23261f;border:1px solid rgba(105,216,237,0.18);border-radius:12px;box-shadow:0 6px 18px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;box-sizing:border-box;width:100%;\"><span style=\"flex:0 0 116px;aspect-ratio:16\/9;overflow:hidden;border-radius:8px;background:#111210;border:1px solid rgba(230,227,218,0.08);display:block;\"><img decoding=\"async\" src=\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/11\/net-cra-forces-manufacturers-to-report-withi-39561944-250x141.jpg\" alt=\"\" loading=\"lazy\" width=\"116\" height=\"65\" style=\"width:100%;height:100%;object-fit:cover;display:block;\"><\/span><span style=\"display:block;min-width:0;\"><span style=\"display:block;font-size:0.68em;font-weight:700;letter-spacing:0.1em;text-transform:uppercase;color:#e8828d;margin-bottom:5px;\">Digital Chiefs<\/span><span style=\"display:block;font-size:1.0em;font-weight:650;line-height:1.35;color:#e6e3da;overflow-wrap:anywhere;\">La CRA obliga a los fabricantes a notificar en 24 horas<\/span><\/span><\/a><!--\/ST-LOWER-CARDS--><\/p>\n<p style=\"font-style:italic;text-align:right;font-size:0.85em;margin-top:8px;\">Fuente de la imagen: generado por IA (agosto 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"El Threat Lab de KnowBe4 describe un kit tras alertas falsas de iCloud. Un clic, tres operaciones. M\u00e1s de 250 accesos confirmados el 5 y 6 de mayo.","protected":false},"author":10,"featured_media":23306,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"kit de phishing KnowBe4","_yoast_wpseo_title":"KnowBe4: un clic abre tres ataques de phishing","_yoast_wpseo_metadesc":"KnowBe4 Threat Lab: kit de phishing adaptado al sistema tras alertas de iCloud. Un enlace, tres v\u00edas. M\u00e1s de 250 clics el 5 y el 6 de mayo de 2026.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"es","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[257],"tags":[],"class_list":["post-26678","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es"],"evm_reading_time_minutes":10,"wpml_language":"es","wpml_translation_of":23299,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/26678","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=26678"}],"version-history":[{"count":13,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/26678\/revisions"}],"predecessor-version":[{"id":27255,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/26678\/revisions\/27255"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/23306"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=26678"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=26678"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=26678"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}