Si recibiste el aviso de seguridad de Supercut de noviembre de 2026: qué significa y una alternativa local

Los fundadores de Supercut, David Okuniev y Neil Kinnish, enviaron a sus clientes un correo sobre un problema de seguridad que, según ellos, ya está resuelto. El aviso es concreto sobre lo que se expuso, lo que la clave podía y no podía hacer, y lo que la empresa ya ha cambiado. Ese tipo de información directa merece reconocimiento.

A 11 de noviembre de 2026, el mismo texto no aparece en el blog, el registro de cambios ni el centro de ayuda público de Supercut, así que los detalles de Supercut que siguen salen del aviso enviado por correo a los clientes de Supercut, noviembre de 2026. Blacksmith, la herramienta de compilación de CI nombrada en ese aviso, sí publicó una actualización de estado pública el 6 de noviembre de 2026.

Si quieres que la próxima grabación se quede en tu ordenador y compartirla a través de tu propio Google Drive, ScreenKite es la opción que recomendamos.

Qué ocurrió

El 5 de noviembre de 2026, Blacksmith indica que una parte no autorizada accedió al sistema que almacena la salida de consola (registros de trabajo) de los trabajos de CI ejecutados en sus runners. En su aviso de estado, Blacksmith dice que el acceso se revocó el mismo día, que un intento posterior de esa misma parte para volver a entrar fue bloqueado, que la ejecución de CI no se vio afectada y que, en ese momento, no había indicios de que la exposición de los clientes fuera más allá del almacén de registros de trabajo. El incidente afectó a datos de registros de trabajo de aproximadamente el 2,6% de las cuentas de clientes de Blacksmith, y Blacksmith dice que contactó con cada uno de esos clientes. Su investigación seguía en curso cuando se publicó el aviso.

El aviso enviado por correo a los clientes de Supercut, noviembre de 2026, firmado por David Okuniev y Neil Kinnish, fundadores de FloatLabs / Supercut, concreta lo que aquel incidente significó para Supercut. Dice que una brecha en Blacksmith.sh, una herramienta que usan para construir su software, expuso una de sus claves privadas para acceder a las grabaciones. El 8 de noviembre, Blacksmith les informó de que la clave de firma se había impreso en cinco de sus ejecuciones de implementación entre el 29 de octubre y el 4 de noviembre, y de que al menos tres de esas líneas de registro fueron devueltas. Supercut dice que sustituyó la clave la mañana en que se enteró, a las 08:22 UTC del 8 de noviembre, y que no ha encontrado indicios de que se usara.

Qué significa para ti

Estos límites salen del aviso de Supercut, no de una inferencia:

• La clave podría haberse usado para crear enlaces que leyeran archivos de grabación.
• No podía cambiar ni eliminar esos archivos.
• Abrir cualquier grabación también habría exigido los identificadores de esa grabación.
• La clave no ofrece forma de listar archivos.

Supercut dice que no ha encontrado señal de que la clave se usara. El tráfico y los niveles de solicitudes fallidas en el servicio que entrega las grabaciones "se mantuvieron dentro del rango normal de las cuatro semanas anteriores, sin un patrón de rastreo, enumeración o descarga masiva." Desde el 8 de noviembre, la empresa dice que ha registrado cada solicitud. Toda solicitud que llevaba la clave antigua ha sido rechazada, y todas procedían de enlaces que su propia aplicación había creado antes.

El aviso también marca un límite a esa conclusión: los registros de acceso a nivel de solicitud no estaban activados en el servicio que entrega las grabaciones antes del 8 de noviembre, "así que no podemos descartar del todo un número reducido de solicitudes dirigidas antes de esa fecha." Eso es un hueco en el historial de registros, no una prueba de que esas solicitudes ocurrieran.

Qué ha hecho Supercut

Según el mismo aviso, Supercut ha:

• Sustituido la clave de firma y eliminado la antigua
• Corregido el paso de implementación para que ya no imprima la clave
• Rotado de forma preventiva las demás credenciales usadas por su canal de implementación
• Activado el registro a nivel de solicitud en el servicio que entrega las grabaciones (desde el 8 de noviembre)
• Añadido alertas ante cambios en las claves de firma y en su configuración
• Activado la detección automática y las alertas de salida similar a un secreto en sus registros de CI
• Trasladado su CI fuera de Blacksmith

Si tienes preguntas, el aviso te pide que contactes a través del chat de tu espacio de trabajo de Supercut. Okuniev y Kinnish dicen que ellos y el equipo están disponibles para responderte directamente. La página del equipo de Supercut los presenta a ambos como fundadores de FloatLabs.

Qué puedes hacer si usas Supercut

El aviso no pide a los clientes una acción obligatoria, y los pasos siguientes son sugerencias generales, no instrucciones de Supercut.

• Lee el aviso completo, incluida la parte sobre los registros anteriores al 8 de noviembre.
• Plantea cualquier duda pendiente a través del chat de tu espacio de trabajo de Supercut, como piden los fundadores.
• Revisa los enlaces de compartir que ya hayas enviado, sobre todo de grabaciones con información interna o de clientes.
• Si tu espacio de trabajo te permite sustituir o volver a compartir una grabación, plantéatelo para los vídeos más sensibles y retira después los enlaces antiguos.
• Conserva una exportación local de aquello que quieras tener al margen de un reproductor alojado.

Nada de esto afirma que alguien que no debía ver una grabación la abriera. Supercut dice que no ha encontrado indicios de que la clave se usara.

Una alternativa local: ScreenKite

Si prefieres que la próxima grabación se quede en tu ordenador, ScreenKite graba en tu máquina, edita en una línea de tiempo real de varios clips y exporta un MP4 que controlas tú. Compartes a través de tu propio Google Drive. El archivo no tiene que estar en el servicio de entrega de grabaciones de un proveedor para que alguien lo vea.

ScreenKite es una grabadora de pantalla nativa para macOS (macOS 15 o posterior, Apple Silicon e Intel) y Windows, de uso gratis con una marca de agua en las exportaciones, y una compra única de Pro que la quita. ScreenKite Pro es un único pago de $99.99 para 3 dispositivos y no se renueva nunca. Se necesita una cuenta. La tarifa de IA es $0.

Personas de Apple, Reddit, HubSpot y GitHub usan ScreenKite. Consulta screenkite.com.

Cómo está hecho

En aquel entonces no podía hacer en una grabadora de pantalla los cortes que necesitaba, así que el clip iba a Final Cut, se corregían los cortes, se rompían las animaciones y había que volver a exportar. Dos herramientas, dos pagos, una tarde perdida. ScreenKite es la herramienta que quise aquel día.

• Graba y edita en una sola app. Incluye una línea de tiempo real de varios clips, así que el vídeo se termina en un solo sitio. En macOS, ScreenKite guarda las grabaciones como MP4 de forma predeterminada.
• Todas las funciones de edición son gratis. Las exportaciones gratis llevan una marca de agua y un cierre. Pro las quita.
• Paga una vez. Un único pago de $99.99 cubre 3 dispositivos y no se renueva nunca. No hay suscripción.
• Lleva tu propio agente de IA. Claude Code, ChatGPT Codex, Antigravity, Grok Build o Kimi controlan el editor por MCP o la CLI. La tarifa de IA de ScreenKite es $0; tu proveedor del agente puede cobrar por su propio plan.
• 83 herramientas de edición hechas a propósito, formadas por decenas de miles de horas de práctica de edición de vídeo.
• Comparte desde tu propio Google Drive.
• macOS nativo y Windows nativo.

¿Algún inconveniente? El único inconveniente es que casi no tiene inconvenientes, porque nosotros mismos creamos vídeos y sabemos lo que necesitan los usuarios.

ScreenKite funciona de forma nativa en macOS y en Windows. Es rápido como un rayo, en nuestras pruebas y según los usuarios, y editas en la línea de tiempo con el agente de IA que ya usas: Claude Code, ChatGPT Codex, Antigravity, Grok Build o Kimi. Describe el corte y el agente hace los recortes.

Supercut frente a ScreenKite

Hechos

• Producto: ScreenKite
• Plataforma: macOS nativo (macOS 15 o posterior, Apple Silicon e Intel) y Windows nativo
• Precio: Uso gratis, con marca de agua y cierre en las exportaciones. Un único pago de $99.99 las quita, cubre 3 dispositivos y no se renueva nunca. Se necesita una cuenta.
• IA: lleva tu propio agente: Claude Code, ChatGPT Codex, Antigravity, Grok Build, Kimi. Tarifa de IA $0.
• Comprobado: 2026-11-11

Preguntas frecuentes

¿Se ha demostrado que una grabación de Supercut se abriera con la clave antigua?

No. El aviso enviado por correo a los clientes de Supercut, noviembre de 2026, dice que la empresa no ha encontrado indicios de que la clave se usara, y que el tráfico y los niveles de solicitudes fallidas se mantuvieron dentro del rango normal de las cuatro semanas anteriores. También dice que los registros de acceso a nivel de solicitud no estaban activados antes del 8 de noviembre, así que no se puede descartar del todo un número reducido de solicitudes dirigidas antes de esa fecha.

¿Qué podía hacer la clave expuesta?

Según el aviso, podría haberse usado para crear enlaces que leyeran archivos de grabación. No podía cambiar ni eliminar esos archivos, no podía listar archivos, y abrir cualquier grabación también habría exigido los identificadores de esa grabación.

¿Qué debo hacer si soy cliente de Supercut?

Empieza por la vía oficial del aviso: usa el chat de tu espacio de trabajo de Supercut. Como sugerencia general, revisa los enlaces de compartir existentes, plantéate volver a compartir las grabaciones sensibles si tu espacio de trabajo lo permite, y guarda una exportación local de los vídeos que quieras conservar tú.

¿Publicó Blacksmith algo sobre esto?

Sí. Blacksmith publicó un aviso de estado público el 6 de noviembre de 2026, y su cuenta oficial compartió los mismos hechos iniciales en X. Ese aviso cubre el almacén de registros de trabajo. No nombra a Supercut.

¿Por qué usar ScreenKite después de leer este aviso?

Si quieres que la grabación se quede en tu ordenador y compartir un enlace desde tu propio Google Drive, ScreenKite está hecho así. Todas las funciones de edición son gratis, y un único pago de $99.99 para 3 dispositivos quita la marca de agua de exportación y no se renueva nunca.

En resumen

Los fundadores de Supercut dijeron a sus clientes qué se expuso, qué no podía hacer la clave, qué ya han corregido y dónde el historial de registros es incompleto. Es un aviso claro. Si prefieres grabar y editar en local, y compartir a través de tu propio Google Drive, prueba ScreenKite.