Octubre 2026: Qilin, Interseguro

Cadena de ataque y TTPs

El material no permite reconstruir una sola cadena de ataque única, porque en realidad reúne incidentes distintos, con niveles de evidencia muy diferentes. Lo que sí puede afirmarse es que el patrón dominante en la región durante el período fue la publicación de reclamos en sitios de extorsión, seguida en algunos casos por confirmaciones parciales de las víctimas o por reportes de impacto operativo. En el extremo más sólido del espectro, el Ministerio de Justicia de Colombia sufrió cifrado y perturbación tecnológica. En el extremo menos sólido, buena parte de las menciones a Qilin, Direwolf, Panzer, SafePay, Nightspire o DragonForce solo acreditan la existencia de un reclamo público.

La inteligencia disponible sugiere varias técnicas recurrentes, aunque no siempre explícitas. Hay referencias a acceso no autorizado a sistemas, extracción de datos sensibles, publicación de datos en leak sites y amenazas de divulgar información si no se establecía contacto o negociación. En Interseguro, la propia empresa habló de acceso no autorizado y bloqueo de accesos comprometidos. En Brasil, la Polícia Federal describió un caso con extracción de datos sensibles y posterior exigencia de pago. En Colombia, BlackFog sí mencionó cifrado de archivos. Más allá de eso, no hay en el material IOCs, hashes, infraestructura C2, vectores iniciales ni TTPs detalladas.

Impacto regional

La región muestra una mezcla de presión operativa real, reclamos criminales no verificados y campañas de publicación en sitios de extorsión. El patrón más repetido no es el cifrado visible, sino la publicación de nombres de víctimas en portales de leak sites y la indexación por trackers de inteligencia. Solo en pocos casos aparece una confirmación directa de la víctima o una descripción clara del impacto funcional. Eso obliga a separar, país por país, lo que está acreditado de lo que solo fue reclamado.

Panorama regional

En conjunto, el material exhibe un uso intensivo de leak sites como vector de presión pública. Qilin concentra varias menciones, pero no todas equivalen a incidentes verificados. Direwolf, DragonForce, Emperador, Panzer, SafePay y Nightspire completan el mapa de reclamos en países distintos, mientras que la confirmación más clara de un incidente técnico serio sigue siendo la del Ministerio de Justicia de Colombia.

Argentina

Oldelval sufrió un ciberataque que afectó sus sistemas administrativos y obligó a activar protocolos de ciberseguridad y restauración, pero el transporte de petróleo siguió sin interrupciones. La fuente de referencia atribuyó el hecho al grupo The Gentlemen, aunque dejó expresamente claro que la víctima no confirmó esa amenaza ni el vector del ataque. El caso queda, por ahora, en una zona intermedia entre impacto real y atribución no verificada.

Chile

Chile concentra varios reclamos de leak site con distintos niveles de consistencia, pero sin confirmación pública de las víctimas. Cotesma aparece asociada a Qilin en registros de inteligencia, con un archivo de seguimiento que la ubica como organización chilena presuntamente afectada. LD Constructora también fue publicada por Qilin según reportes de terceros. En paralelo, Anwo S.A. figura en un reclamo de SafePay, con supuesta amenaza de publicación de datos. Ninguno de esos casos viene acompañado de evidencia independiente de cifrado o exfiltración.

Bolivia

Solutend fue listada por Panzer con una supuesta exfiltración de 35 GB, pero las fuentes consultadas aclaran que se trata de información indexada del leak site y no verificada forensemente. Breach House, Recent Breaches y SecurityIncident.net coinciden en tratar el caso como un reclamo no confirmado. Por ahora no hay notificación pública de la empresa ni confirmación independiente de la autenticidad de los datos alegados.

Perú

Perú combina un caso confirmado por la propia víctima con varios reclamos no corroborados. Interseguro notificó acceso no autorizado, delimitó el alcance a sus propios sistemas y dijo que sus pólizas y operaciones seguían funcionando. Además, identificó que la información potencialmente involucrada correspondía principalmente a datos de identificación, contacto y números de póliza. En el mismo país aparecen TQC S.A., Hospital Hermilio Valdizán, Segres Systec y el reclamo contra el Gobierno del Perú y Gob.pe, pero todos ellos permanecen en el terreno de la inteligencia o del reclamo público sin validación independiente.

Colombia

Colombia es el país con el incidente técnicamente más sólido del periodo. El Ministerio de Justicia fue afectado por ransomware con cifrado de archivos y perturbación de su infraestructura tecnológica. La investigación oficial no halló evidencia de robo de información y ningún grupo reclamó públicamente la responsabilidad. Eso convierte al caso en un punto de comparación útil: el impacto fue real, aunque la atribución criminal no esté resuelta.

Brasil

Brasil reúne una operación policial formal y dos señales adicionales de interés. La Polícia Federal anunció la Operação Insidioso, basada en un ataque previo con extracción de datos sensibles y exigencias de pago. Albert Einstein, por su parte, informó un acceso a datos de pacientes, pero dijo no haber encontrado evidencia de divulgación o uso indebido y sostuvo que los sistemas asistenciales siguieron funcionando. Más tarde, Brame Telecom apareció vinculada a Qilin en registros de inteligencia, nuevamente sin confirmación independiente.

México

MCM Telecom figura en una serie de registros asociados a Qilin. Darkfield y Ransomware.live reproducen el reclamo del grupo, pero no hay detalles suficientes para confirmar cifrado, sistemas afectados o exfiltración. Tampoco aparece un comunicado de la empresa que confirme el incidente. El caso, por ahora, es una mención de leak site, no un evento acreditado.

Uruguay

La Asociación de Escribanos del Uruguay fue reclamada por Nightspire el 8 de octubre. DeXpose, Kalir Brief, Ransomware.live, FalconFeeds, BreachSense, PrivTools y Rosetta Intel registran la inclusión, pero ninguna de esas fuentes aporta verificación independiente de intrusión, cifrado o exfiltración. El caso ilustra bien la saturación informativa que producen los portales de filtraciones cuando todavía no existe confirmación pública de la víctima.

Estados Unidos

La ciudad de Vicksburg, Mississippi, reportó un incidente de ransomware que apagó temporalmente sistemas municipales, aunque los servicios esenciales siguieron operativos y la recuperación se hizo por etapas. En paralelo, los trackers de actividad de octubre registran a Estados Unidos como el país con gran volumen de víctimas reclamadas, pero esas cifras reúnen reclamos de operadores y no incidentes verificados. La diferencia entre volumen observado y volumen confirmado sigue siendo decisiva.

Paraguay

No se identificaron hechos verificables adicionales para Paraguay en el material provisto.

Indicadores técnicos

No se publicaron IOCs verificables en el material de investigación. Las fuentes citadas describen víctimas, reclamos, fechas de descubrimiento y, en algunos casos, volúmenes alegados de datos, pero no aportan hashes, dominios maliciosos, IPs de infraestructura, rutas de exfiltración ni artefactos técnicos que permitan construir un listado de indicadores confiables.

Análisis para equipos de seguridad

La prioridad operativa no pasa por perseguir cada reclamo criminal, sino por discriminar entre exposición confirmada y ruido de leak sites. Los equipos deberían tratar como casos de mayor urgencia los incidentes con confirmación de la víctima o con impacto operativo probado, como Interseguro, el Ministerio de Justicia de Colombia, Oldelval y Vicksburg. Allí hay una base real para revisar contención, cambios de credenciales, segmentación y continuidad del negocio.

En Interseguro, la secuencia sugiere un patrón de acceso no autorizado contenido a tiempo, con bloqueo de accesos, rotación de llaves y monitoreo continuo. Eso obliga a revisar cuentas privilegiadas, accesos remotos, trazabilidad de autenticación, registros de actividad administrativa y posibles rutas laterales. También conviene aislar cualquier dependencia de terceros que consuma esos sistemas. El valor de un caso así no está en la cifra reclamada por el actor, sino en la disciplina de contención aplicada por la víctima.

Para el Ministerio de Justicia de Colombia, la lectura es distinta. El problema no fue solo el acceso inicial, sino el cifrado y la perturbación de servicios públicos sensibles. Ahí la atención debe concentrarse en recuperación coordinada, restauración de servicios, validación de integridad y revisión del alcance de la afectación. El hecho de que no exista atribución pública no reduce la necesidad de monitorear persistencia, reinfección y estados de recuperación incompleta.

Los reclamos no confirmados, como MCM Telecom, Cotesma, LD Constructora, Brame Telecom, Solutend, TQC S.A. o la Asociación de Escribanos del Uruguay, requieren otro tratamiento. No conviene ignorarlos, porque pueden anticipar exposición real, pero tampoco conviene asumir que el dato publicado es íntegro o auténtico. En esos casos, el trabajo útil es de inteligencia interna: revisar si hay correlatos de acceso anómalo, cambios en cuentas, fugas de credenciales, tráfico inusual o indicios de exfiltración que permitan pasar del reclamo a la evidencia.

La lectura de fondo para seguridad es que los leak sites funcionan como amplificadores de presión. Publican nombres, cantidades supuestas y amenazas de difusión, pero el valor analítico real depende de si la organización afectada confirmó el incidente, si existe impacto funcional y si hay pruebas técnicas de compromiso. Separar esas capas evita tanto el subregistro como el alarmismo inútil.

Preguntas frecuentes

¿Qué casos del informe están confirmados por la víctima y cuáles siguen siendo solo reclamos de leak site?

Interseguro, Oldelval, Vicksburg y Albert Einstein tienen comunicación directa de la víctima o de la entidad afectada. En cambio, MCM Telecom, Cotesma, LD Constructora, Brame Telecom, Solutend, TQC S.A., la Asociación de Escribanos del Uruguay y otros aparecen solo como reclamos o registros de inteligencia. El cuerpo del informe separa ambos planos.

¿Qué incidente tiene la evidencia técnica más sólida y por qué?

El Ministerio de Justicia de Colombia es el caso más sólido porque BlackFog documentó cifrado de archivos y alteración de infraestructura tecnológica, con afectación a servicios públicos. A diferencia de muchos reclamos indexados en leak sites, aquí hay descripción operativa del daño. No obstante, la fuente también aclara que no hubo grupo público adjudicado.

¿Qué diferencia a Interseguro de los demás casos peruanos del reporte?

Interseguro confirmó acceso no autorizado, limitó el alcance a sus propios sistemas, notificó a clientes y dijo que las pólizas y operaciones seguían activas. Los otros casos peruanos, como TQC S.A., Hospital Hermilio Valdizán, Segres Systec y el reclamo contra Gob.pe, permanecen en el terreno de la inteligencia o del reclamo no corroborado. Esa diferencia cambia la prioridad operativa.

¿Cómo debe leerse la atribución a Qilin en México, Chile y Brasil?

Debe leerse como una asociación de inteligencia, no como una confirmación forense. MCM Telecom, Cotesma, LD Constructora y Brame Telecom aparecen vinculadas a Qilin en registros de terceros, pero el material no aporta evidencia independiente de cifrado, exfiltración o impacto operativo. El informe trata esos casos como reclamos, no como hechos cerrados.

¿Qué países concentran incidentes confirmados y cuáles muestran mayor densidad de reclamos?

Colombia y Perú concentran los eventos más claros, con ransomware confirmado en el Ministerio de Justicia y acceso no autorizado confirmado en Interseguro. México, Chile, Uruguay, Brasil y Bolivia muestran más densidad de reclamos de leak sites que incidentes plenamente verificados. Estados Unidos aporta un caso confirmado en Vicksburg, además de volumen alto de reclamaciones en trackers.

Limitaciones del material

El material no permite construir IOCs verificables ni una línea técnica completa de intrusión para la mayoría de los casos. Tampoco aporta hashes, IPs, dominios de infraestructura, muestras, artefactos de malware o trazas de exfiltración. En varios incidentes, la única evidencia disponible es la publicación en un leak site o el registro de un agregador de inteligencia.

La atribución criminal es especialmente débil en varios bloques. MCM Telecom, Cotesma, LD Constructora, Brame Telecom, Solutend, TQC S.A., Anwo S.A. y la Asociación de Escribanos del Uruguay aparecen en reclamos públicos que no fueron corroborados de manera independiente. El informe conserva esa incertidumbre porque el material lo exige.

Tampoco se dispone de una identificación clara de grupo en el caso del Ministerio de Justicia de Colombia. El daño está documentado, pero no la autoría. En Oldelval ocurre algo similar, aunque el impacto reportado es menor y la víctima no confirmó la amenaza específica ni el vector.

Los países sin cobertura verificable en el material se listan en una sola frase final: no hay hechos adicionales para Paraguay fuera de la ausencia de material verificable, y el resto de las menciones se concentran en los países desarrollados en el cuerpo.

Gráficos