Tecnología
Brecha en Grafana: un token robado expuso el código fuente completo
** Atacantes accedieron a un token de GitHub vinculado a Grafana Labs y descargaron el código fuente completo de la plataforma. El incidente confirma una vez más que el eslabón más débil de la cadena de seguridad sigue siendo el manejo de credenciales en repositorios.
Atacantes obtuvieron un token de GitHub vinculado a Grafana Labs. Con ese token descargaron el código fuente completo de la plataforma. Grafana es uno de los sistemas de observabilidad más utilizados en infraestructura cloud a nivel global. El incidente vuelve a poner el foco sobre el problema persistente: el eslabón más débil de la cadena de seguridad no es la criptografía, es el manejo humano de credenciales.
La brecha de Grafana Labs es lo que los equipos de seguridad llaman un «incidente de credenciales». No fue un fallo en la criptografía de la plataforma, ni un zero-day en GitHub, ni una vulnerabilidad explotada en el código. Fue, simplemente, un token de acceso que llegó a manos equivocadas y permitió descargar el código fuente completo de uno de los sistemas de monitoreo de infraestructura más usados del mundo.
Qué es Grafana y por qué importa
Grafana es una herramienta de visualización y observabilidad open source desarrollada por Grafana Labs. Su uso está extendido en organizaciones de todos los tamaños: desde startups hasta grandes empresas tecnológicas, gobiernos, bancos y operadores de infraestructura crítica. Se usa para construir paneles que muestran en tiempo real métricas de servidores, aplicaciones, bases de datos, sensores industriales y prácticamente cualquier sistema que emita datos.
El que el código fuente completo haya quedado expuesto significa dos cosas. La primera, técnica: actores con intención maliciosa pueden estudiar el código en busca de vulnerabilidades que aún no han sido reportadas públicamente. La segunda, operativa: la confianza en la cadena de suministro de software de Grafana se ve afectada hasta que la empresa publique el análisis forense y certifique que no hubo manipulación de versiones distribuidas a los usuarios.
El problema persistente de los tokens
GitHub usa, como muchas plataformas modernas de desarrollo, un sistema de tokens de acceso personal (Personal Access Tokens, PAT) y tokens de aplicaciones (GitHub Apps). Estos tokens son cadenas alfanuméricas que actúan como credenciales completas. Quien las posee puede realizar las acciones para las que el token fue autorizado: leer un repositorio, modificarlo, publicar paquetes, gestionar usuarios.
El problema, conocido por la industria desde hace al menos una década, es que estos tokens suelen filtrarse por las rutas menos sofisticadas: dejados accidentalmente en commits públicos, expuestos en variables de entorno mal configuradas, copiados en logs que terminan en sistemas con acceso amplio, o robados de máquinas de desarrolladores comprometidas por malware. Las herramientas para detectar tokens expuestos en repositorios existen y funcionan, pero la velocidad de filtración supera con frecuencia la de detección.
Lo que la industria ya sabe
Brechas similares ya han afectado a Microsoft, Slack, Twilio, CircleCI y, en uno de los casos más extensos, a Okta. El patrón es estable: el ataque no se dirige al producto, se dirige al ecosistema de desarrollo. Capturar el token de un ingeniero permite acceder a recursos que la empresa creía protegidos por capas de seguridad operativa.
La respuesta estándar de la industria pasa por tres prácticas que aún no son universales:
1. Rotación frecuente de tokens. Tokens con vida útil limitada (horas o días, no meses). 2. Permisos mínimos. Cada token autorizado solo para las operaciones estrictamente necesarias. 3. Detección automatizada de fugas. Escaneos continuos de repositorios públicos y privados para detectar exposición de credenciales.
Lo que falta saber
Grafana Labs deberá publicar en los próximos días el detalle forense del incidente: cómo se obtuvo el token, qué permisos tenía, cuánto tiempo estuvo activo, qué se descargó, si hubo modificaciones de código, y qué acciones de remediación se ejecutaron. Hasta que ese análisis se publique, los equipos de seguridad que dependen de Grafana operan con incertidumbre sobre el alcance del riesgo.
Para usuarios finales —empresas, gobiernos, instituciones que usan Grafana para monitorear infraestructura crítica—, la recomendación inmediata es estándar: revisar versiones instaladas, mantener actualizadas las dependencias, y prestar atención a las comunicaciones oficiales de Grafana Labs en los próximos días.
La lección estructural, una vez más, es la misma. La seguridad de software moderno no se rompe por fallos matemáticos. Se rompe por humanos manejando credenciales que pesan más que toda la criptografía que las protege.
- —
Fuentes principales
- Cobertura técnica de la brecha en *Moncloa* (19 de mayo de 2026, mención en titular de cierre).
- Documentación oficial de GitHub sobre tokens de acceso personal y mejores prácticas.
- Casos comparables: incidentes históricos de credenciales en Microsoft, Slack, Twilio, CircleCI, Okta (referencia documental industria).
- Aviso pendiente de Grafana Labs (declaración oficial detallada esperada en los próximos días).
Este análisis se publica bajo los criterios editoriales de INCÍSOS. Cómo trabajamos →
Alfredo Yánez
9 libros que te cambian la perspectiva
Finanzas, emprendimiento, migración y más — disponibles en Amazon
VER LIBROS →Tecnología
China propone frenar la exportación de 40 tecnologías clave
Un borrador que apunta a la IA y al polisilicio.
TECNOLOGÍA · COMERCIO
China quiere prohibir o someter a licencia la exportación de 40 tecnologías: 23 de inteligencia artificial, 12 de energía solar y cinco de biomedicina. Es un borrador, no una norma vigente. Si se aprueba, los modelos de IA más grandes y la tecnología del polisilicio necesitarán permiso para salir del país.
Las 6W · INCÍSOS
| Qué | Propuesta para actualizar el catálogo chino de tecnologías prohibidas o restringidas para la exportación. |
|---|---|
| Quién | El Ministerio de Comercio (MOFCOM) y el Ministerio de Ciencia y Tecnología de China. |
| Cuándo | Publicada el viernes 16 de octubre de 2026. |
| Dónde | China, con efectos en las cadenas tecnológicas de todo el mundo. |
| Por qué | El Gobierno chino invoca la seguridad nacional y la necesidad de prevenir el mal uso de la IA. |
| Cómo | Con un borrador sometido a consulta pública: 14 tecnologías quedarían prohibidas y 26 requerirían licencia, según Caixin. |
China dio un paso más en la guerra tecnológica con EE.UU., esta vez desde el lado de la oferta. El viernes 16 de octubre, sus ministerios de Comercio y de Ciencia propusieron prohibir o restringir la exportación de 40 tecnologías. Es un borrador: todavía no está en vigor.
Qué tecnologías
- Inteligencia artificial (23): desde los grandes modelos de lenguaje hasta los agentes, incluido el diseño de chips de IA y de memoria. Quedarían prohibidos los modelos entrenados con datos nacionales sensibles y los agentes para defensa o infraestructura crítica. Los modelos de 2 billones de parámetros o más podrían necesitar licencia.
- Energía solar (12): incluida la producción de polisilicio, donde China domina el mercado mundial.
- Biomedicina (5): incluida la terapia celular y génica.
Por qué
El Ministerio de Comercio dice que las medidas son «necesarias» por seguridad nacional, para prevenir el «mal uso y abuso» de la IA y asegurar que «siga bajo control humano». Lian Jye Su, de la consultora Omdia, lo lee como «una respuesta a los países occidentales que imponen requisitos de soberanía sobre la IA». Gary Ng, de Natixis: «El mundo se fragmenta más en comercio e inversión, pero también en el acceso a la tecnología».
Qué significa para empresas en EE.UU.
- Paneles solares: la mayoría de los fabricantes dependen de polisilicio y equipos chinos. Si la tecnología para producirlo necesita licencia, montar fábricas fuera de China será más lento.
- IA: los modelos chinos de código abierto que usan muchas empresas pequeñas no se ven afectados por ahora: según un análisis de Xenospectrum, el acceso por API o aplicaciones quedaría fuera del control.
- Cadenas de suministro: quien compra componentes con tecnología china debe seguir la consulta pública.
¿Qué falta, exactamente?
- El plazo: cuándo cierra la consulta. Solo una fuente da el 15 de noviembre.
- Washington: no hubo reacción oficial de EE.UU. hasta el sábado.
Para leer más en INCÍSOS
- Columbus suma empleos tecnológicos mientras Intel apunta a 2031: el empleo tecnológico en Columbus.
Fuentes principales: AP vía PBS NewsHour y Fortune (16 de octubre de 2026); Caixin Global (17 de octubre de 2026); Xenospectrum (octubre de 2026).
Tecnología
El Cabildo de Venezuela estrena su versión 2 con voto secreto rediseñado
Una persona, una butaca, un voto. Ahora, sin registro de qué eligió cada una.
TECNOLOGÍA · PARTICIPACIÓN CIUDADANA
La plataforma que da a los venezolanos una butaca digital tras verificar su identidad lanza el lunes 19 de octubre su segunda versión. Llega con 1.131 ciudadanos verificados, 69 votaciones y 14.237 participaciones en dos meses. Los cambios principales: un voto que no deja registro de lo que eligió cada persona, grupos con anfitrión identificado y una antesala para quienes aún no tienen butaca.
Las 6W · INCÍSOS
| Qué | Lanzamiento de la versión 2 de Cabildo de Venezuela, una plataforma de votación y deliberación ciudadana con identidad verificada y voto secreto. |
|---|---|
| Quién | Cabildo de Venezuela, desarrollado por Bowery Global Inc, creadora del sistema CabildoOS. |
| Cuándo | Lunes 19 de octubre de 2026. Las cifras son del 17 de octubre; el registro abrió en agosto. |
| Dónde | En línea, en cabildodevenezuela.com, para venezolanos dentro y fuera del país. |
| Por qué | Según la plataforma, para ofrecer un espacio permanente de deliberación a millones de venezolanos que no pueden votar desde el exterior. |
| Cómo | Cada persona verifica su identidad con su documento, una prueba de vida y una foto sosteniéndolo, y recibe una butaca numerada desde la que vota en secreto. |
Cabildo de Venezuela, la plataforma que funciona como un parlamento ciudadano en línea, lanza este lunes 19 de octubre su versión 2. En dos meses, según sus propios datos al 17 de octubre, reunió 3.789 cuentas registradas, 1.131 ciudadanos con identidad verificada y butaca, 69 votaciones y 14.237 participaciones. Su regla: «una persona, una butaca, un voto».
Las cifras de la primera versión
- Butacas verificadas: 1.131, de 3.789 cuentas registradas.
- Votaciones: 69, con 14.237 participaciones. En promedio votaron 206 butacas por consulta; la más concurrida reunió 380.
- Propuestas ciudadanas: 416.
- Mensajes de debate y comentarios: unos 4.400.
- Temas: el 44 % de las participaciones fue en votaciones sobre política; 23 %, temas generales; 14 %, derechos.
Lo que votaron
En las consultas más concurridas hubo mayorías amplias. El 99 % de las butacas consideró que no fue creíble el discurso de Delcy Rodríguez en la ONU. El 99 % apoyó plantear la derogación de la Ley contra el Odio como garantía de la libertad de expresión, una consulta que cerró el 6 de octubre, antes de que se conociera el proyecto de reforma avalado por el TSJ. Y el 94 % respaldó formar un Frente Unido de la Sociedad Civil para exigirle a la mesa de negociación la lista completa de postulados al comité del TSJ.
La plataforma advierte que esos resultados «no deben leerse como una encuesta representativa de toda la población venezolana». Su valor, dice, está en que «cada voto corresponde a una persona real y verificada, que votó una sola vez y en secreto».
Lo que cambia en la versión 2
- El voto secreto: antes, cada voto se sellaba con una huella criptográfica. Ahora el sistema registra solo que una butaca participó y suma su elección a un contador general. Según el comunicado, «no existe ningún registro que una a una persona con lo que votó».
- Los resultados: al cierre, el hemiciclo enciende del mismo color todas las butacas que votaron, para que nadie deduzca qué eligió cada una. Con menos de tres votos no se publica el desglose.
- Los Bloques: grupos de ciudadanos liderados por un anfitrión que acepta mostrar su nombre real tras una segunda verificación. Los miembros siguen siendo anónimos.
- Las Escalinatas: una antesala con charla por temas, donde ciudadanos verificados ayudan a quienes todavía no consiguen su butaca.
- Aprendé: lecciones cortas sobre cómo votar, proponer y organizarse.
- Seguridad y diseño: permisos de datos más estrictos, moderación con límites en los espacios abiertos y una aplicación adaptada al teléfono, con modo claro y oscuro.
Cómo se verifica y qué tan anónimo es
Para obtener una butaca, cada persona sube su documento, hace una prueba de vida y se toma una foto sosteniéndolo. Un sistema con inteligencia artificial analiza los datos y una persona del equipo da la aprobación final. Como muchos venezolanos en el exterior no pueden renovar sus papeles, el Cabildo acepta cédulas y pasaportes vencidos.
El documento técnico de la primera versión reconocía un límite: la separación entre la identidad y la butaca era organizativa y técnica, y la garantía era «de confianza operacional, no matemática». La versión 2 promete que «nadie, ni siquiera el equipo del Cabildo, puede saber qué votó cada butaca». Esa afirmación no ha sido auditada de forma independiente.
Por qué lo plantean
El comunicado cita las cifras del Observatorio Electoral Venezolano: de los 21,4 millones de electores inscritos para la presidencial de 2024, unos 4,5 millones vivían fuera del país, pero solo alrededor de 69.000 estaban habilitados para votar en el exterior. «El Cabildo no reemplaza a las elecciones ni pretende hacerlo», dice.
¿Qué falta, exactamente?
- Una auditoría externa: del sistema de verificación y del nuevo voto secreto.
- Quiénes votan: la plataforma no publica cuántas butacas están dentro de Venezuela y cuántas fuera.
- El financiamiento: el equipo anuncia un sistema de «financiamiento ciudadano»; todavía no hay detalles.
Para leer más en INCÍSOS
- Un hemiciclo digital para que los venezolanos voten sin dar su nombre: cómo nació el hemiciclo digital.
- El Cabildo rechaza votar por Mendoza y contra Machado: la votación sobre Lorenzo Mendoza y María Corina Machado.
- La ley contra el odio cambia la cárcel por multas: la reforma que el Cabildo ya había pedido derogar.
Fuentes principales: Cabildo de Venezuela, comunicado de prensa y datos agregados al 17 de octubre de 2026; Cabildo de Venezuela, documento técnico, versión 1.0 (agosto de 2026); Observatorio Electoral Venezolano, citado por el comunicado.
Tecnología
Columbus suma empleos tecnológicos mientras Intel apunta a 2031
75 empleos, un campus doble y una fábrica que espera.
TECNOLOGÍA · OHIO
Una consultora británica abrirá en la región de Columbus un centro con 75 empleos, y una empresa que recupera hardware de inteligencia artificial duplicó su campus. Ohio encabeza el ranking de CNBC de mejores estados para hacer negocios. La gran apuesta, la fábrica de chips de Intel en New Albany, sigue para 2031.
Las 6W · INCÍSOS
| Qué | Nuevas inversiones tecnológicas en la región de Columbus y estado del proyecto de Intel. |
|---|---|
| Quién | Neptune North, consultora británica; illumynt, empresa de Massachusetts; Intel; JobsOhio y One Columbus. |
| Cuándo | Anuncios de septiembre de 2026; ranking de CNBC de julio; actualización de Intel de agosto. |
| Dónde | Región de Columbus y New Albany. |
| Por qué | Ohio compite por empleos ligados a la inteligencia artificial, los centros de datos y los semiconductores. |
| Cómo | Con incentivos fiscales del estado y la expansión de empresas ya instaladas. |
La región de Columbus suma piezas a su apuesta tecnológica mientras espera la más grande. Neptune North, una consultora británica de tecnología, eligió la región para abrir su primer centro en Estados Unidos, con 75 empleos para finales de 2029 y US$6 millones de nómina anual, según JobsOhio. La Autoridad de Créditos Fiscales de Ohio le aprobó un crédito por creación de empleo de 1,449 % durante ocho años.
Lo que se mueve
- Neptune North: propiedad de Oliver Wyman y Rokos Capital Management, con sede en Newcastle, Reino Unido. La ubicación exacta del centro no se ha anunciado.
- illumynt: la empresa, que diagnostica, repara y recupera componentes de hardware de inteligencia artificial y centros de datos, amplió su campus del área de Columbus a unos 200.000 pies cuadrados, el doble que en 2024, según Ohio Tech News. No publicó empleos locales.
- El ranking: Ohio quedó primero en el ranking de mejores estados para hacer negocios de CNBC de 2026, por primera vez. En 2025 había sido quinto. Lidera en infraestructura y costo de hacer negocios, según JobsOhio.
Intel, la gran espera
La fábrica de semiconductores de Intel en New Albany sigue en camino de terminar su primera planta en 2031, según WOSU. Es un proyecto de US$28.000 millones; Intel ya gastó más de US$5.000 millones y recibió US$1.500 millones de la Ley CHIPS. La obra avanza lenta y, según un comisionado del condado de Licking, todavía no se ha pedido el equipo de fabricación.
Lo que significa para quien busca trabajo
Los empleos tecnológicos que llegan piden formación, pero alrededor de cada centro de datos, laboratorio o fábrica hay trabajo en construcción, mantenimiento, logística y servicios. Los programas de formación técnica de Columbus State Community College y los centros de empleo de OhioMeansJobs son la puerta de entrada.
¿Qué falta, exactamente?
- Dónde se instala Neptune North, y cuándo empieza a contratar.
- Los empleos de illumynt en Columbus.
- El equipo de Intel: sin pedidos de maquinaria, la fecha de 2031 depende de decisiones que no se han tomado.
Para leer más en INCÍSOS
- TechLife Columbus vuelve con nueva dirección y una fiesta en Westerville: la comunidad tecnológica local se reorganiza.
Fuentes principales: JobsOhio y One Columbus (28 de septiembre de 2026); Area Development (29 de septiembre de 2026); Ohio Tech News (23 de septiembre de 2026); CNBC, vía JobsOhio (9 de julio de 2026); WOSU (26 de agosto de 2026); Intel.
-
Entrevistas5 meses agoZair Mundaray: «Enfrenté al poder con ciencia»
-
Política4 meses agoDelcy Rodríguez enfrenta a la prensa internacional: la rueda de prensa que no cerró la brecha
-
Política5 meses agoEl economista, los bonos y Citgo
-
Política3 meses agoEl semáforo de las estructuras: qué significa cada color tras el terremoto
-
Política5 meses agoRoberto Smith Perera: «La reconstrucción no puede esperar a la elección»
-
Especiales4 meses agoMedia vuelta… mar.
-
Inciso2 meses agoMárquez sabe qué pasó el 28 de julio
-
Inciso6 meses agoLa paciencia de Washington
