1. ¿Tu sitio está hecho en WordPress? Esto te toca
Empiezo con una corrección mía. Hace diez días te conté que las vulnerabilidades de PHP eran graves pero que nadie había documentado una víctima. Esa frase estaba mal. Revisé los avisos de PHP, de la agencia europea de ciberseguridad, de Cloudflare y de quienes las encontraron, y ninguno documentaba explotación. Lo que no revisé fue el catálogo de la agencia de ciberseguridad de Estados Unidos, que es público y gratuito: ahí ya estaban las dos, desde el 26 de octubre, un día antes de que te escribiera.
Ese catálogo recoge vulnerabilidades con explotación conocida. Y las autoridades estadounidenses le dieron a sus agencias federales hasta el 29 de octubre para corregirlas: tres días. Revisé el catálogo completo y un plazo tan corto aparece en 161 de 1,768 registros. Uno de cada diez.
Y aquí está la parte que te toca. WordPress es el sistema más usado del mundo para hacer sitios web, y está construido sobre PHP. Si tu sitio lo hicieron en WordPress —o en Joomla, o en Drupal, o a la medida por una agencia— casi con certeza corre sobre PHP.
La falla no está en tu sitio. Está en el motor que lo ejecuta. Eso significa que actualizar WordPress, cambiar la plantilla o actualizar los plugins no la corrige.
¿Por qué debe de interesarte?
La acción es la misma que te pedí la vez pasada y ahora corre prisa. Un correo de un renglón a quien administra tu sitio: ¿qué versión de PHP corre y cuándo se actualizó? Si la respuesta es anterior al 21 de octubre, hay trabajo pendiente hoy. Y si quien te lo administra no sabe contestarlo, ésa también es una respuesta.
Fuente: Qué hacer si tu sitio está hecho en WordPress, con el correo listo para copiar
2. Nueve de cada diez negocios turísticos no pueden impedir que alguien escriba en su nombre
Es el estudio que publiqué el 31 de octubre. Medimos los registros públicos de 118 empresas turísticas salvadoreñas con dominio propio —hoteles, operadores de tours y transporte turístico— para responder una sola pregunta: si alguien manda un correo haciéndose pasar por ese negocio, ¿hay algo que lo detenga?
En el 90.7% de los casos, no.
Medimos con la misma vara a 16 cadenas globales presentes en El Salvador: ahí los expuestos son el 25%. Sesenta y seis puntos de diferencia, y no es presupuesto: las tres piezas que cierran el problema no cuestan dinero.
El segundo hallazgo incomoda más. El problema no es solo el 60.2% que no tiene nada puesto. Es el 30.5% que sí publicó la protección pero en modo observación, donde no bloquea absolutamente nada. En cualquier revisión rápida aparece como resuelto. En la práctica está tan abierto como quien nunca hizo nada.
Medición propia sobre 118 empresas salvadoreñas con dominio propio y 16 cadenas globales, octubre de 2026.
¿Por qué debe de interesarte?
Ya lo medimos dos veces en dos países y dio lo mismo: en México, 88.5% de los hoteles independientes contra 37.1% de las cadenas. No es un problema salvadoreño ni de hoteles. Es de cualquier negocio que le mande correos a sus clientes. Si alguien puede escribir en nombre de tu empresa, puede mandarle a tu cliente una factura que parece tuya con otros datos bancarios, y el servidor de tu cliente la va a entregar.
3. Entra la temporada más alta de ventas del año
El Buen Fin va del viernes 13 al martes 17 de noviembre. Según Concanaco Servytur participan más de 200 mil establecimientos y esperan una derrama de 235 mil millones de pesos. Doce días después llega el Black Friday, y detrás el Cyber Monday y la temporada navideña.
Son las semanas del año en que más correos comerciales salen, en que más gente compra de prisa, y en que una promoción rara se ve perfectamente normal.
No voy a darte una cifra de cuánto crece el fraude en estas fechas, porque las que circulan son de consultoras y no las pude verificar. Lo que sí es verificable es esto: la Condusef publicó cuatro alertas de suplantación en las últimas dos semanas, todas por el mismo patrón, gente usando sin autorización el nombre comercial y el logotipo de una institución real para engañar a sus clientes.
¿Por qué debe de interesarte?
Suplantar un negocio no requiere entrar a sus sistemas. Se hace desde afuera, con su nombre y su logotipo, y la víctima que paga es su cliente, mientras el daño de reputación se lo queda el negocio. De todo lo de este número, esto es lo único que depende de una fecha, y la fecha es el viernes 13.
Una cosa que puedes hacer esta semana
Antes del viernes 13, pregúntale a quien lleva tu dominio una sola cosa: «¿nuestro DMARC está en reject?»
Si contesta que sí, estás protegido. Si contesta que está en «none», estás en ese 30.5% que parece resuelto y no lo está. Y si no sabe qué le preguntas, ya sabes dónde estás.
Son tres renglones de texto en el DNS, no cuestan nada, y es lo único de esta lista que puedes dejar listo antes de que empiece la temporada.
Marcela Mexía
Transformation Trends