Connect with us
PublicidadTu lugar es aquí62 millones de hispanos. Empieza por los que deciden.Anúnciate →

Tecnología

Brecha en Grafana: un token robado expuso el código fuente completo

** Atacantes accedieron a un token de GitHub vinculado a Grafana Labs y descargaron el código fuente completo de la plataforma. El incidente confirma una vez más que el eslabón más débil de la cadena de seguridad sigue siendo el manejo de credenciales en repositorios.

Avatar de Desconocido

Published

on

Atacantes obtuvieron un token de GitHub vinculado a Grafana Labs. Con ese token descargaron el código fuente completo de la plataforma. Grafana es uno de los sistemas de observabilidad más utilizados en infraestructura cloud a nivel global. El incidente vuelve a poner el foco sobre el problema persistente: el eslabón más débil de la cadena de seguridad no es la criptografía, es el manejo humano de credenciales.

Ficha 6W · Lo esencial
Qué Un token de acceso a GitHub vinculado a Grafana Labs fue comprometido. Con ese token, atacantes pudieron descargar el código fuente completo de Grafana, una plataforma de observabilidad ampliamente utilizada.
Quién Grafana Labs, empresa desarrolladora de la plataforma open source Grafana, usada por miles de organizaciones globales para monitorear infraestructura, métricas y logs.
Cuándo Incidente reportado públicamente esta semana (18-19 de mayo de 2026).
Dónde El compromiso ocurrió a nivel de la plataforma GitHub, donde Grafana Labs mantiene su código y operaciones de desarrollo.
Por qué Los tokens de acceso personal (PAT) en GitHub funcionan como credenciales completas: quien los tiene puede leer, modificar o descargar repositorios según los permisos asignados. Cuando son comprometidos, el alcance del daño es directamente proporcional a los permisos del token.
Cómo El vector exacto del robo aún no ha sido revelado públicamente por Grafana Labs. Los escenarios habituales: token expuesto en otro repositorio, robo vía malware en máquina de desarrollador, o filtración a través de logs o sistemas de CI/CD.

La brecha de Grafana Labs es lo que los equipos de seguridad llaman un «incidente de credenciales». No fue un fallo en la criptografía de la plataforma, ni un zero-day en GitHub, ni una vulnerabilidad explotada en el código. Fue, simplemente, un token de acceso que llegó a manos equivocadas y permitió descargar el código fuente completo de uno de los sistemas de monitoreo de infraestructura más usados del mundo.

Qué es Grafana y por qué importa

Grafana es una herramienta de visualización y observabilidad open source desarrollada por Grafana Labs. Su uso está extendido en organizaciones de todos los tamaños: desde startups hasta grandes empresas tecnológicas, gobiernos, bancos y operadores de infraestructura crítica. Se usa para construir paneles que muestran en tiempo real métricas de servidores, aplicaciones, bases de datos, sensores industriales y prácticamente cualquier sistema que emita datos.

El que el código fuente completo haya quedado expuesto significa dos cosas. La primera, técnica: actores con intención maliciosa pueden estudiar el código en busca de vulnerabilidades que aún no han sido reportadas públicamente. La segunda, operativa: la confianza en la cadena de suministro de software de Grafana se ve afectada hasta que la empresa publique el análisis forense y certifique que no hubo manipulación de versiones distribuidas a los usuarios.

El problema persistente de los tokens

GitHub usa, como muchas plataformas modernas de desarrollo, un sistema de tokens de acceso personal (Personal Access Tokens, PAT) y tokens de aplicaciones (GitHub Apps). Estos tokens son cadenas alfanuméricas que actúan como credenciales completas. Quien las posee puede realizar las acciones para las que el token fue autorizado: leer un repositorio, modificarlo, publicar paquetes, gestionar usuarios.

El problema, conocido por la industria desde hace al menos una década, es que estos tokens suelen filtrarse por las rutas menos sofisticadas: dejados accidentalmente en commits públicos, expuestos en variables de entorno mal configuradas, copiados en logs que terminan en sistemas con acceso amplio, o robados de máquinas de desarrolladores comprometidas por malware. Las herramientas para detectar tokens expuestos en repositorios existen y funcionan, pero la velocidad de filtración supera con frecuencia la de detección.

Lo que la industria ya sabe

Brechas similares ya han afectado a Microsoft, Slack, Twilio, CircleCI y, en uno de los casos más extensos, a Okta. El patrón es estable: el ataque no se dirige al producto, se dirige al ecosistema de desarrollo. Capturar el token de un ingeniero permite acceder a recursos que la empresa creía protegidos por capas de seguridad operativa.

La respuesta estándar de la industria pasa por tres prácticas que aún no son universales:

1. Rotación frecuente de tokens. Tokens con vida útil limitada (horas o días, no meses). 2. Permisos mínimos. Cada token autorizado solo para las operaciones estrictamente necesarias. 3. Detección automatizada de fugas. Escaneos continuos de repositorios públicos y privados para detectar exposición de credenciales.

Lo que falta saber

Grafana Labs deberá publicar en los próximos días el detalle forense del incidente: cómo se obtuvo el token, qué permisos tenía, cuánto tiempo estuvo activo, qué se descargó, si hubo modificaciones de código, y qué acciones de remediación se ejecutaron. Hasta que ese análisis se publique, los equipos de seguridad que dependen de Grafana operan con incertidumbre sobre el alcance del riesgo.

Para usuarios finales —empresas, gobiernos, instituciones que usan Grafana para monitorear infraestructura crítica—, la recomendación inmediata es estándar: revisar versiones instaladas, mantener actualizadas las dependencias, y prestar atención a las comunicaciones oficiales de Grafana Labs en los próximos días.

La lección estructural, una vez más, es la misma. La seguridad de software moderno no se rompe por fallos matemáticos. Se rompe por humanos manejando credenciales que pesan más que toda la criptografía que las protege.

  • —

Fuentes principales

  • Cobertura técnica de la brecha en *Moncloa* (19 de mayo de 2026, mención en titular de cierre).
  • Documentación oficial de GitHub sobre tokens de acceso personal y mejores prácticas.
  • Casos comparables: incidentes históricos de credenciales en Microsoft, Slack, Twilio, CircleCI, Okta (referencia documental industria).
  • Aviso pendiente de Grafana Labs (declaración oficial detallada esperada en los próximos días).

Este análisis se publica bajo los criterios editoriales de INCÍSOS. Cómo trabajamos →

Continue Reading
Advertisement

Alfredo Yánez

9 libros que te cambian la perspectiva

Finanzas, emprendimiento, migración y más — disponibles en Amazon

VER LIBROS →
Click to comment

Leave a Reply

Tecnología

China propone frenar la exportación de 40 tecnologías clave

Un borrador que apunta a la IA y al polisilicio.

Avatar de Desconocido

Published

on

Pekín pone IA y chips en la mesa de Trump-Xi

TECNOLOGÍA · COMERCIO

China quiere prohibir o someter a licencia la exportación de 40 tecnologías: 23 de inteligencia artificial, 12 de energía solar y cinco de biomedicina. Es un borrador, no una norma vigente. Si se aprueba, los modelos de IA más grandes y la tecnología del polisilicio necesitarán permiso para salir del país.

Las 6W · INCÍSOS

QuéPropuesta para actualizar el catálogo chino de tecnologías prohibidas o restringidas para la exportación.
QuiénEl Ministerio de Comercio (MOFCOM) y el Ministerio de Ciencia y Tecnología de China.
CuándoPublicada el viernes 16 de octubre de 2026.
DóndeChina, con efectos en las cadenas tecnológicas de todo el mundo.
Por quéEl Gobierno chino invoca la seguridad nacional y la necesidad de prevenir el mal uso de la IA.
CómoCon un borrador sometido a consulta pública: 14 tecnologías quedarían prohibidas y 26 requerirían licencia, según Caixin.

China dio un paso más en la guerra tecnológica con EE.UU., esta vez desde el lado de la oferta. El viernes 16 de octubre, sus ministerios de Comercio y de Ciencia propusieron prohibir o restringir la exportación de 40 tecnologías. Es un borrador: todavía no está en vigor.

Qué tecnologías

  1. Inteligencia artificial (23): desde los grandes modelos de lenguaje hasta los agentes, incluido el diseño de chips de IA y de memoria. Quedarían prohibidos los modelos entrenados con datos nacionales sensibles y los agentes para defensa o infraestructura crítica. Los modelos de 2 billones de parámetros o más podrían necesitar licencia.
  2. Energía solar (12): incluida la producción de polisilicio, donde China domina el mercado mundial.
  3. Biomedicina (5): incluida la terapia celular y génica.

Por qué

El Ministerio de Comercio dice que las medidas son «necesarias» por seguridad nacional, para prevenir el «mal uso y abuso» de la IA y asegurar que «siga bajo control humano». Lian Jye Su, de la consultora Omdia, lo lee como «una respuesta a los países occidentales que imponen requisitos de soberanía sobre la IA». Gary Ng, de Natixis: «El mundo se fragmenta más en comercio e inversión, pero también en el acceso a la tecnología».

Qué significa para empresas en EE.UU.

  1. Paneles solares: la mayoría de los fabricantes dependen de polisilicio y equipos chinos. Si la tecnología para producirlo necesita licencia, montar fábricas fuera de China será más lento.
  2. IA: los modelos chinos de código abierto que usan muchas empresas pequeñas no se ven afectados por ahora: según un análisis de Xenospectrum, el acceso por API o aplicaciones quedaría fuera del control.
  3. Cadenas de suministro: quien compra componentes con tecnología china debe seguir la consulta pública.

¿Qué falta, exactamente?

  1. El plazo: cuándo cierra la consulta. Solo una fuente da el 15 de noviembre.
  2. Washington: no hubo reacción oficial de EE.UU. hasta el sábado.

Para leer más en INCÍSOS

  1. Columbus suma empleos tecnológicos mientras Intel apunta a 2031: el empleo tecnológico en Columbus.

Fuentes principales: AP vía PBS NewsHour y Fortune (16 de octubre de 2026); Caixin Global (17 de octubre de 2026); Xenospectrum (octubre de 2026).

Continue Reading

Tecnología

El Cabildo de Venezuela estrena su versión 2 con voto secreto rediseñado

Una persona, una butaca, un voto. Ahora, sin registro de qué eligió cada una.

Avatar de Desconocido

Published

on

Sesión en el hemiciclo del Palacio Federal Legislativo de Venezuela

TECNOLOGÍA · PARTICIPACIÓN CIUDADANA

La plataforma que da a los venezolanos una butaca digital tras verificar su identidad lanza el lunes 19 de octubre su segunda versión. Llega con 1.131 ciudadanos verificados, 69 votaciones y 14.237 participaciones en dos meses. Los cambios principales: un voto que no deja registro de lo que eligió cada persona, grupos con anfitrión identificado y una antesala para quienes aún no tienen butaca.

Las 6W · INCÍSOS

QuéLanzamiento de la versión 2 de Cabildo de Venezuela, una plataforma de votación y deliberación ciudadana con identidad verificada y voto secreto.
QuiénCabildo de Venezuela, desarrollado por Bowery Global Inc, creadora del sistema CabildoOS.
CuándoLunes 19 de octubre de 2026. Las cifras son del 17 de octubre; el registro abrió en agosto.
DóndeEn línea, en cabildodevenezuela.com, para venezolanos dentro y fuera del país.
Por quéSegún la plataforma, para ofrecer un espacio permanente de deliberación a millones de venezolanos que no pueden votar desde el exterior.
CómoCada persona verifica su identidad con su documento, una prueba de vida y una foto sosteniéndolo, y recibe una butaca numerada desde la que vota en secreto.

Cabildo de Venezuela, la plataforma que funciona como un parlamento ciudadano en línea, lanza este lunes 19 de octubre su versión 2. En dos meses, según sus propios datos al 17 de octubre, reunió 3.789 cuentas registradas, 1.131 ciudadanos con identidad verificada y butaca, 69 votaciones y 14.237 participaciones. Su regla: «una persona, una butaca, un voto».

Las cifras de la primera versión

  1. Butacas verificadas: 1.131, de 3.789 cuentas registradas.
  2. Votaciones: 69, con 14.237 participaciones. En promedio votaron 206 butacas por consulta; la más concurrida reunió 380.
  3. Propuestas ciudadanas: 416.
  4. Mensajes de debate y comentarios: unos 4.400.
  5. Temas: el 44 % de las participaciones fue en votaciones sobre política; 23 %, temas generales; 14 %, derechos.

Lo que votaron

En las consultas más concurridas hubo mayorías amplias. El 99 % de las butacas consideró que no fue creíble el discurso de Delcy Rodríguez en la ONU. El 99 % apoyó plantear la derogación de la Ley contra el Odio como garantía de la libertad de expresión, una consulta que cerró el 6 de octubre, antes de que se conociera el proyecto de reforma avalado por el TSJ. Y el 94 % respaldó formar un Frente Unido de la Sociedad Civil para exigirle a la mesa de negociación la lista completa de postulados al comité del TSJ.

La plataforma advierte que esos resultados «no deben leerse como una encuesta representativa de toda la población venezolana». Su valor, dice, está en que «cada voto corresponde a una persona real y verificada, que votó una sola vez y en secreto».

Lo que cambia en la versión 2

  1. El voto secreto: antes, cada voto se sellaba con una huella criptográfica. Ahora el sistema registra solo que una butaca participó y suma su elección a un contador general. Según el comunicado, «no existe ningún registro que una a una persona con lo que votó».
  2. Los resultados: al cierre, el hemiciclo enciende del mismo color todas las butacas que votaron, para que nadie deduzca qué eligió cada una. Con menos de tres votos no se publica el desglose.
  3. Los Bloques: grupos de ciudadanos liderados por un anfitrión que acepta mostrar su nombre real tras una segunda verificación. Los miembros siguen siendo anónimos.
  4. Las Escalinatas: una antesala con charla por temas, donde ciudadanos verificados ayudan a quienes todavía no consiguen su butaca.
  5. Aprendé: lecciones cortas sobre cómo votar, proponer y organizarse.
  6. Seguridad y diseño: permisos de datos más estrictos, moderación con límites en los espacios abiertos y una aplicación adaptada al teléfono, con modo claro y oscuro.

Cómo se verifica y qué tan anónimo es

Para obtener una butaca, cada persona sube su documento, hace una prueba de vida y se toma una foto sosteniéndolo. Un sistema con inteligencia artificial analiza los datos y una persona del equipo da la aprobación final. Como muchos venezolanos en el exterior no pueden renovar sus papeles, el Cabildo acepta cédulas y pasaportes vencidos.

El documento técnico de la primera versión reconocía un límite: la separación entre la identidad y la butaca era organizativa y técnica, y la garantía era «de confianza operacional, no matemática». La versión 2 promete que «nadie, ni siquiera el equipo del Cabildo, puede saber qué votó cada butaca». Esa afirmación no ha sido auditada de forma independiente.

Por qué lo plantean

El comunicado cita las cifras del Observatorio Electoral Venezolano: de los 21,4 millones de electores inscritos para la presidencial de 2024, unos 4,5 millones vivían fuera del país, pero solo alrededor de 69.000 estaban habilitados para votar en el exterior. «El Cabildo no reemplaza a las elecciones ni pretende hacerlo», dice.

¿Qué falta, exactamente?

  1. Una auditoría externa: del sistema de verificación y del nuevo voto secreto.
  2. Quiénes votan: la plataforma no publica cuántas butacas están dentro de Venezuela y cuántas fuera.
  3. El financiamiento: el equipo anuncia un sistema de «financiamiento ciudadano»; todavía no hay detalles.

Para leer más en INCÍSOS

  1. Un hemiciclo digital para que los venezolanos voten sin dar su nombre: cómo nació el hemiciclo digital.
  2. El Cabildo rechaza votar por Mendoza y contra Machado: la votación sobre Lorenzo Mendoza y María Corina Machado.
  3. La ley contra el odio cambia la cárcel por multas: la reforma que el Cabildo ya había pedido derogar.

Fuentes principales: Cabildo de Venezuela, comunicado de prensa y datos agregados al 17 de octubre de 2026; Cabildo de Venezuela, documento técnico, versión 1.0 (agosto de 2026); Observatorio Electoral Venezolano, citado por el comunicado.

Continue Reading

Tecnología

Columbus suma empleos tecnológicos mientras Intel apunta a 2031

75 empleos, un campus doble y una fábrica que espera.

Avatar de Desconocido

Published

on

Área de carga de un almacén sin marcas como recurso editorial para empleo de temporada.

TECNOLOGÍA · OHIO

Una consultora británica abrirá en la región de Columbus un centro con 75 empleos, y una empresa que recupera hardware de inteligencia artificial duplicó su campus. Ohio encabeza el ranking de CNBC de mejores estados para hacer negocios. La gran apuesta, la fábrica de chips de Intel en New Albany, sigue para 2031.

Las 6W · INCÍSOS

QuéNuevas inversiones tecnológicas en la región de Columbus y estado del proyecto de Intel.
QuiénNeptune North, consultora británica; illumynt, empresa de Massachusetts; Intel; JobsOhio y One Columbus.
CuándoAnuncios de septiembre de 2026; ranking de CNBC de julio; actualización de Intel de agosto.
DóndeRegión de Columbus y New Albany.
Por quéOhio compite por empleos ligados a la inteligencia artificial, los centros de datos y los semiconductores.
CómoCon incentivos fiscales del estado y la expansión de empresas ya instaladas.

La región de Columbus suma piezas a su apuesta tecnológica mientras espera la más grande. Neptune North, una consultora británica de tecnología, eligió la región para abrir su primer centro en Estados Unidos, con 75 empleos para finales de 2029 y US$6 millones de nómina anual, según JobsOhio. La Autoridad de Créditos Fiscales de Ohio le aprobó un crédito por creación de empleo de 1,449 % durante ocho años.

Lo que se mueve

  1. Neptune North: propiedad de Oliver Wyman y Rokos Capital Management, con sede en Newcastle, Reino Unido. La ubicación exacta del centro no se ha anunciado.
  2. illumynt: la empresa, que diagnostica, repara y recupera componentes de hardware de inteligencia artificial y centros de datos, amplió su campus del área de Columbus a unos 200.000 pies cuadrados, el doble que en 2024, según Ohio Tech News. No publicó empleos locales.
  3. El ranking: Ohio quedó primero en el ranking de mejores estados para hacer negocios de CNBC de 2026, por primera vez. En 2025 había sido quinto. Lidera en infraestructura y costo de hacer negocios, según JobsOhio.

Intel, la gran espera

La fábrica de semiconductores de Intel en New Albany sigue en camino de terminar su primera planta en 2031, según WOSU. Es un proyecto de US$28.000 millones; Intel ya gastó más de US$5.000 millones y recibió US$1.500 millones de la Ley CHIPS. La obra avanza lenta y, según un comisionado del condado de Licking, todavía no se ha pedido el equipo de fabricación.

Lo que significa para quien busca trabajo

Los empleos tecnológicos que llegan piden formación, pero alrededor de cada centro de datos, laboratorio o fábrica hay trabajo en construcción, mantenimiento, logística y servicios. Los programas de formación técnica de Columbus State Community College y los centros de empleo de OhioMeansJobs son la puerta de entrada.

¿Qué falta, exactamente?

  1. Dónde se instala Neptune North, y cuándo empieza a contratar.
  2. Los empleos de illumynt en Columbus.
  3. El equipo de Intel: sin pedidos de maquinaria, la fecha de 2031 depende de decisiones que no se han tomado.

Para leer más en INCÍSOS

  1. TechLife Columbus vuelve con nueva dirección y una fiesta en Westerville: la comunidad tecnológica local se reorganiza.

Fuentes principales: JobsOhio y One Columbus (28 de septiembre de 2026); Area Development (29 de septiembre de 2026); Ohio Tech News (23 de septiembre de 2026); CNBC, vía JobsOhio (9 de julio de 2026); WOSU (26 de agosto de 2026); Intel.

Continue Reading

Tendencias

Contexto, análisis y criterio para entender lo que pasa

Descubre más desde INCÍSOS

Suscríbete ahora para seguir leyendo y obtener acceso al archivo completo.

Seguir leyendo