Blog · Gallo Security
Perspectivas técnicas sobre pentesting, threat intelligence y OSINT desde Perú para LATAM.
Más de 100 cuentas de alto valor comprometidas en Instagram, incluyendo cuentas con millones de seguidores y valores de mercado en seis y siete cifras. El vector: prompt injection contra el bot de soporte de Instagram. La IA hacía exactamente lo que le pedían — sin verificar identidad.
Leer artículo →Deface Perú comprometió infraestructura de la Dirección Nacional de Inteligencia del Perú vinculada a sistemas de monitoreo migratorio: 1,537,442 registros con identificación completa, domicilios, coordenadas GPS, estado migratorio y metadatos ArcGIS de ciudadanos venezolanos. Es la segunda intrusión documentada a la DINI en menos de un año.
Leer artículo →Chronus Leaks publicó una base de datos del portal de convocatorias del Ministerio del Interior del Perú: más de 40,000 registros con nombre, DNI, RUC, domicilio, correo y celular de personas que aplicaron a trabajos en el Estado. No es una filtración de contraseñas — es una filtración de identidades con contexto laboral.
Leer artículo →Un empleado descargó un script de trampa para Roblox en su laptop corporativa. Instaló Lumma Stealer. En semanas, los atacantes tenían acceso al GitHub de Vercel, tokens de NPM de Next.js y variables de entorno de miles de clientes. Análisis completo del incidente.
Leer artículo →CVE-2026-33825, CVSS 7.8. BlueHammer explota una race condition TOCTOU en el motor de remediación de Windows Defender para obtener NT AUTHORITY\\SYSTEM desde una cuenta sin privilegios. PoC público desde el 7 de abril. Parcheado el 14 de abril. En el KEV de CISA el 22 de abril. Ransomware activo desde junio. Todo en Windows 10, 11 y Server.
Leer artículo →El 30 de marzo de 2026, Chronus Mafia cumplió su amenaza: más de 17 instituciones del Estado argentino comprometidas y publicadas al mismo tiempo — Ministerio de Salud, IOMA, SAFESA, OSEP, Suprema Corte, Banco Central y el sistema SIMES de personas privadas de libertad. No fue un ataque de oportunidad. Fue una operación planificada.
Leer artículo →Dos portales oficiales del Gobierno Regional de Áncash comprometidos y con defacement activo, atribuidos al actor NulledPeru (@DeadManOF). Ninguno mostraba respuesta ni mitigación horas después de la detección. Si nadie notó lo que es visible, la pregunta es qué más no se está viendo.
Leer artículo →DefacePeru liberó la base completa del REDAM — el registro judicial de personas que incumplen la pensión alimentaria. 22,242 expedientes con fotos biométricas del RENIEC, montos adeudados, juzgado de origen y datos personales completos. El vector: un sistema público sin controles contra extracción automatizada.
Leer artículo →Un defacement activo en una plataforma Odoo del MINSA permaneció sin respuesta durante horas. El vector: credenciales administrativas comprometidas reutilizadas directamente. El atacante no explotó ninguna vulnerabilidad técnica — usó las llaves que ya tenía.
Leer artículo →Detectamos una campaña activa de envenenamiento SEO en dos subdominios de leyendas.gob.pe. Más de 30 URLs con contenido de apuestas y casinos generadas dentro del CMS oficial, explotando la autoridad del dominio .gob.pe para posicionar en buscadores.
Leer artículo →Confirmé un acceso no autorizado activo en Noticias Perú — plataforma de inteligencia de medios corporativa. Los atacantes instalaron una webshell PHP tras bypass de controles de carga, realizaron pivoting interno y encontraron credenciales de base de datos en texto plano. Volumen total: 8 GB+. Cuando intenté notificarles, me bloquearon.
Leer artículo →Identifiqué más de 200 credenciales comprometidas en stealer logs recientes con acceso activo a un sistema institucional del Poder Judicial del Perú. Con ese acceso se pueden registrar denuncias reales, cargar documentos y generar constancias válidas. El servicio ya se vende en Telegram desde S/90 por denuncia.
Leer artículo →Un subdominio de la Municipalidad Provincial de Tacna fue comprometido mediante una webshell PHP en el servidor de Mesa de Partes. Lo que encontraron los atacantes dentro: tokens de autenticación activos hacia el API ConsultaPIDE del RENIEC, más de 10,000 fotos biométricas descargadas y 2,872 credenciales del sistema SISTRAM en texto plano.
Leer artículo →Durante una investigación sobre Sentinel Perú (Experian), detecté un esquema activo de explotación: cuentas administrativas comprometidas usadas para automatizar millones de consultas y vender datos crediticios de peruanos en bots de Telegram — entre S/250 y S/450 por cuenta según volumen disponible.
Leer artículo →