Hackers atacan a usuarios de señales para robar copias de seguridad en una nueva ola de ataques

Microsoft ha aclarado su postura, reduciendo las amenazas legales percibidas y reafirmando su compromiso con la divulgación coordinada de vulnerabilidades, tras una importante reacción de la comunidad de investigación de seguridad. En una declaración cuidadosamente redactada publicada a finales de mayo de 2026, el Centro de Respuesta de Seguridad (MSRC) de Microsoft señaló que “no tiene intención de emprender acciones contra personas que realicen o publiquen investigaciones de seguridad”.

La declaración se produjo días después de la publicación del blog del MSRC del 28 de mayo, en la que Microsoft condenó a un investigador conocido como Nightmare Eclipse por revelar seis vulnerabilidades de día cero en Windows sin coordinación previa, lo que fue ampliamente interpretado como una advertencia legal general contra los investigadores que eluden los canales oficiales. Microsoft protege a los investigadores de buena fe. La controversia se centra en Nightmare Eclipse, también conocido como Chaotic Eclipse, quien publicó código de prueba de concepto funcional para seis vulnerabilidades de Windows entre abril y mediados de mayo de 2026. Las fallas, denominadas BlueHammer (CVE-2026-33825), RedSun (CVE-2026-41091), UnDefend (CVE-2026-45498), YellowKey (CVE-2026-45585), GreenPlasma y MiniPlasma, afectaban componentes centrales de Windows, incluyendo Microsoft Defender y el cifrado BitLocker. La Unidad de Delitos Digitales de Microsoft deshabilitó las cuentas de Nightmare Eclipse en GitHub, GitLab y el portal de investigadores MSRC tras la divulgación pública de múltiples vulnerabilidades de día cero.

Microsoft reafirmó que la divulgación coordinada de vulnerabilidades (CVD) sigue siendo la base para proteger a los clientes y mejorar sus productos, y reiteró que recibe con agrado el envío de vulnerabilidades de todos los investigadores a través de su portal público, independientemente de interacciones pasadas. Esto refuerza el mensaje de que disputas como la del caso Nightmare Eclipse no deberían desalentar la notificación responsable de fallos de seguridad. Seminario web gratuito sobre OWASP API Top 10 y guía para cerrar brechas de visibilidad con WAAP. La publicación "Microsoft aclara que no demandará a investigadores de seguridad en medio de la controversia Nightmare-Eclipse" apareció por primera vez en Cyber Security News.

Consultar publicación original ↗