No haga clic ya no alcanza

El 1 de octubre la National Cybersecurity Alliance abrió el mes veintitrés de la concientización. El lema cabe en un cartel: Don’t Make It Easy for Them. No se lo ponga fácil. Lisa Plaggemier, su directora, lo dijo sin teatro. El delito cuenta con que usted esté ocupado.

Lo que pide el cartel

Cuatro hábitos. Contraseña larga, guardada en un gestor. Doble factor. Mirar el mensaje que apura. Actualizar. Nada de eso sobra. El phishing no se jubiló en septiembre.

Lo que septiembre ya había hecho

Entre el 28 de agosto y el 8 de septiembre, Proofpoint describió un kit. Lo llamaron BlueMoon. Encadena dos fallas del motor de Chrome, CVE-2026-85046 y CVE-2026-87491, con una de Windows, CVE-2026-85880, que sube privilegios. Google cerró las del navegador el 3 y el 8 de septiembre. La de Windows salió en el martes de parches.

Ars Technica recogió la frase que una junta debería subrayar. Esas fallas del navegador ya estaban corregidas en el código público de Chromium. Todavía no en el Chrome estable que la gente tiene abierto. Proofpoint lo llama un día cero de patch gap: el parche existe, su empresa no lo tiene.

No es cero clics

Conviene no convertir esto en película. Al menos un uso reportado fue correo dirigido. El kit no demuestra que nadie haya tenido que abrir nada. Demuestra otra cosa: una página, o un correo, contra un navegador que va detrás del arreglo que ya se publicó.

Si el único mensaje de la empresa este octubre es el cartel, usted está entrenando el clic y no está midiendo el atraso.

Qué preguntar el lunes

1. ¿En qué versión está el Chrome de la dirección, y quién lo mide en días?
2. ¿El plan del mes dice algo de lo que pasa cuando la persona no es la puerta?
3. ¿Quién puede sacar de la red un portátil de junta antes de que el parche llegue?
4. ¿El doble factor es la respuesta que damos también cuando la falla no pide contraseña?