Oldelval y Hospital Clínico bajo ransomware

Resumen ejecutivo

El informe Estado de la Infraestructura Crítica 2026, citado por Diario Financiero, registró 1.080 víctimas de ransomware en América Latina entre enero de 2025 y septiembre de 2026, y 338 de esos casos, equivalentes al 31,3%, afectaron infraestructura crítica. La misma cobertura reportó que las víctimas regionales de infraestructura crítica subieron 28% entre enero y septiembre de 2026 frente al mismo período de 2025, de 125 a 160 casos, con Brasil, México y Argentina a la cabeza del recuento agregado.

La foto agregada, sin embargo, no debe confundirse con un listado de incidentes confirmados caso por caso. En el material revisado, los hechos con verificación directa de la víctima o de una autoridad son mucho menos numerosos que los reclamos publicados en sitios de filtración o las menciones en informes de inteligencia. Esa diferencia importa porque el universo de 338 víctimas regionales incluye tanto eventos reconocidos públicamente como casos deducidos por cobertura periodística o inteligencia de amenazas, sin que el research permita auditar cada registro de forma independiente.

Los dos casos latinoamericanos mejor documentados en este set son el Hospital Clínico de la Universidad de Chile y Oleoductos del Valle, Oldelval, en Argentina. En el hospital chileno, la Agencia Nacional de Ciberseguridad notificó a la Universidad de Chile sobre el incidente, la institución confirmó un ciberataque que afectó al Servicio de Imagenología y a la plataforma RIS PACS, y luego reconoció acceso no autorizado a órdenes y resultados de exámenes médicos. La información expuesta incluía RUT, nombre completo, sexo, edad, fecha de nacimiento, fechas y horas de exámenes, tipo de examen, médico solicitante y resultados. El hospital inhabilitó la cuenta comprometida, suspendió preventivamente la plataforma externa de consulta y presentó una querella criminal.

En Oldelval, BlackFog informó que un ciberataque afectó sistemas administrativos de la operadora de oleoductos, pero la empresa activó sus protocolos de ciberseguridad, restauró los sistemas afectados y mantuvo el transporte de petróleo sin interrupciones. BlackFog atribuyó de forma no confirmada el incidente a The Gentlemen, aunque aclaró que Oldelval no reconoció la amenaza específica ni el vector de ataque. A la vez, análisis técnicos posteriores sobre The Gentlemen, publicados por Acronis, Cohesity REDLab y SOCRadar, describen una operación de ransomware como servicio con infraestructura expuesta, abuso de paneles Ghost C2 y RevSocks, builds personalizados de INC y tácticas de doble extorsión. Esos hallazgos ayudan a entender la amenaza, pero no prueban que hayan sido usados contra Oldelval.

La lectura operativa que deja este material es doble. Primero, la región sigue acumulando presión sobre infraestructuras críticas, con concentración visible en transporte y logística, energía, agua, saneamiento, salud y gobierno. Segundo, la brecha entre reclamos de extorsión y hechos confirmados sigue siendo amplia. En salud, el caso chileno demuestra que el acceso a plataformas clínicas y la posterior publicación de datos sensibles puede quedar confirmado con bastante rapidez. En energía y transporte, el caso Oldelval muestra que un incidente puede afectar sistemas administrativos sin paralizar la operación principal. Entre ambos extremos, la mayor parte de los registros regionales todavía depende de inteligencia de terceros y no de evidencia forense públicamente verificable.

Contexto y antecedentes

El punto de partida del período es el informe Estado de la Infraestructura Crítica 2026, del Centro de Ciberinteligencia de Entel Digital, tal como lo resumió Diario Financiero. Ese trabajo contabilizó 1.080 víctimas de ransomware en América Latina entre enero de 2025 y septiembre de 2026, con 338 casos de infraestructura crítica. La cobertura también indicó que las víctimas regionales de infraestructura crítica pasaron de 125 entre enero y septiembre de 2025 a 160 en el mismo lapso de 2026. En términos relativos, el avance fue de 28%, por encima del promedio mundial informado por la nota, que fue de 26,1%.

La fuente periodística también entregó una lectura sectorial. Transporte y logística concentraron el 27,8% de las víctimas, seguidos por energía, combustibles, agua y saneamiento con 22,2%, y salud y gobierno con 16,7% cada uno. El dato es relevante porque ordena el riesgo en torno a servicios de alta dependencia operativa y alta exposición pública. No se trata de un ranking de impacto económico, sino de distribución de víctimas dentro de la muestra observada por Entel Digital.

El mismo informe, siempre según Diario Financiero, ubicó a Brasil con 80 ataques acumulados, México con 60 y Argentina con 45 durante el período analizado. Chile sumó 55 víctimas de ransomware, de las cuales 18 fueron clasificadas como infraestructura crítica. En el desagregado para el país, hubo 11 víctimas de infraestructura crítica entre enero y septiembre de 2026, contra siete en todo 2025. Esa diferencia temporal sugiere aceleración en la segunda parte del período cubierto por el informe, aunque el material disponible no permite atribuir el cambio a una sola familia de ransomware ni a un vector dominante.

Fuera del agregado, los casos documentados muestran comportamientos distintos. El Hospital Clínico de la Universidad de Chile terminó con una querella criminal, una filtración de datos médicos en internet y medidas de contención visibles. Oldelval, en cambio, reportó recuperación operativa y continuidad del transporte de petróleo. En Colombia, BlackFog mencionó un ataque al Ministerio de Justicia que cifró archivos y alteró servicios públicos, pero la investigación oficial no halló evidencia de robo de información y ningún grupo lo reivindicó públicamente. En México, COMAPA Victoria dijo haber sufrido un intento de secuestro de datos, restableció su operación con respaldos y negó exposición de datos bancarios o personales; la reclamación de Qilin permaneció sin verificar según Yazoul Security.

Ese contraste entre registros confirmados y reclamaciones no verificadas es clave para leer el escenario regional. El crecimiento agregado de las cifras no elimina la necesidad de distinguir entre una intrusión con acceso confirmado, una publicación en un sitio de filtración y una simple mención en inteligencia abierta. Sin esa separación, el universo de 338 víctimas de infraestructura crítica termina mezclando niveles de evidencia que no son equivalentes.

Tabla de hechos clave

Timeline de la operación

Cadena de ataque y TTPs

La evidencia disponible permite reconstruir dos planos distintos. El primero es el de los incidentes confirmados. En el Hospital Clínico de la Universidad de Chile hubo acceso no autorizado a la plataforma RIS PACS, extracción de órdenes y resultados médicos, publicación posterior en internet y contención mediante la inhabilitación de la cuenta comprometida. En Oldelval, en cambio, el hecho confirmado es un ciberataque que afectó sistemas administrativos, seguido por restauración de servicios y continuidad del transporte de petróleo. En ninguno de los dos casos el material disponible permite fijar con certeza el vector inicial, el grupo atacante o la cadena completa de intrusión.

El segundo plano es el del ecosistema técnico asociado a The Gentlemen, que aparece vinculado de forma no confirmada al caso Oldelval en BlackFog. Acronis describe a The Gentlemen como una operación de ransomware como servicio cuya infraestructura interna quedó expuesta en una brecha de mayo de 2026. Ese material permitió observar estructura organizativa, afiliados, infraestructura y vínculos con el ecosistema Qilin. Cohesity REDLab añadió que el malware asociado exhibe ataque directo a respaldo, intento de eliminar Volume Shadow Copies, uso de controladores vulnerables para deshabilitar productos de seguridad y doble extorsión con cifrado y amenaza de publicación.

SOCRadar aportó la capa más técnica. La empresa describió siete servidores controlados por adversarios, entre ellos nodos de conocimiento y desarrollo, un panel Ghost C2, un host de RevSocks y un nodo de staging. También reportó tres paquetes por víctima preparados para una ola prevista el 1 de octubre de 2026, 46 builds personalizados de cifradores INC destinados a seis víctimas y una captura de pantalla con un cifrador ejecutándose en un equipo víctima dentro de la infraestructura analizada. Esos elementos describen una operación en preparación o en curso, pero no prueban su empleo contra Oldelval ni contra los casos de salud confirmados.

TTPs observadas o atribuidas en la infraestructura analizada por SOCRadar

De la intrusión al ruido de extorsión

El valor analítico de separar estos planos es alto. Un sitio de filtración puede anunciar una víctima, pero eso no equivale a un ataque confirmado, ni a una exfiltración validada, ni a una interrupción operativa. El material de SOCRadar muestra que The Gentlemen manejaba infraestructura, builds de ransomware y mecanismos de acceso que encajan con un esquema de intrusión y extorsión. Pero lo que hay contra Oldelval, en el material disponible, es una referencia periodística a un ciberataque y una eventual atribución no confirmada.

En salud, la cadena sí aparece más nítida. El Hospital Clínico fue alertado por la Agencia Nacional de Ciberseguridad, la institución corroboró acceso a RIS PACS, identificó publicación en internet y detalló los tipos de datos expuestos. Eso permite diferenciar acceso, exfiltración o al menos sustracción de información, y divulgación posterior. La parte que no queda cerrada es la magnitud total de lo extraído y la atribución técnica del actor.

En infraestructura crítica de transporte y energía, el problema no es solo el cifrado. Oldelval mantuvo el flujo del negocio principal, lo que reduce el impacto visible, pero no elimina el incidente. El patrón es consistente con campañas que apuntan a administrativos, gestión documental o sistemas periféricos para forzar pago o crear presión, sin necesariamente interrumpir la operación física central. Esa hipótesis es plausible a partir del material sobre The Gentlemen, pero sigue siendo una hipótesis.

Impacto regional

Panorama regional

La lectura regional combinada deja dos capas: un agregado amplio y una base confirmada mucho más acotada. Entel Digital, citado por Diario Financiero, registró 1.080 víctimas de ransomware en América Latina entre enero de 2025 y septiembre de 2026, de las cuales 338 fueron infraestructura crítica. En paralelo, las víctimas de infraestructura crítica crecieron de 125 a 160 entre enero y septiembre de 2025 y 2026, respectivamente. Eso sitúa al sector crítico como un tercio de las víctimas regionales medidas por el informe.

El desglose sectorial concentró los casos en transporte y logística, energía, combustibles, agua y saneamiento, salud y gobierno. Esa distribución encaja con la selección de objetivos observada en los hechos confirmados. El Hospital Clínico de la Universidad de Chile representa salud, Oldelval representa energía y transporte, y COMAPA Victoria representa agua y saneamiento. El Ministerio de Justicia de Colombia agrega gobierno, aunque en ese caso la evidencia pública habla de cifrado y disrupción, no de robo confirmado de datos.

Brasil, México y Argentina concentraron los mayores volúmenes absolutos del período agregado. Brasil quedó primero con 80 casos, México con 60 y Argentina con 45. Pero esas cifras no deben leerse como una auditoría forense de todos los incidentes. La propia cobertura advierte que no existe una lista individual de víctimas que permita verificar uno por uno los totales reportados.

Argentina

Argentina ofrece dos lecturas que conviene no mezclar. La primera es el agregado regional del informe de Entel Digital, que ubica al país con 45 casos acumulados entre enero de 2025 y septiembre de 2026. La segunda es el caso Oldelval, que sí cuenta con un reporte directo de BlackFog y una atribución no confirmada a The Gentlemen.

Oldelval, operador de la principal red de oleoductos del país, sufrió un ciberataque que afectó sistemas administrativos. La empresa activó sus protocolos, restauró los sistemas y mantuvo el transporte de petróleo sin interrupciones. Ese punto es importante, porque reduce la posibilidad de sobredimensionar el hecho como una interrupción de infraestructura crítica en sentido físico. El incidente existió, pero el impacto operativo principal fue contenido.

La atribución al grupo The Gentlemen aparece como reclamo no confirmado por la propia fuente de inteligencia. BlackFog señaló que Oldelval no confirmó la amenaza específica ni el vector de ataque y que continuaba evaluando el alcance total del incidente. Más tarde, Acronis describió a The Gentlemen como una operación RaaS con vínculos al ecosistema Qilin, mientras Cohesity REDLab y SOCRadar detallaron su arsenal técnico y su infraestructura expuesta. Todo eso fortalece el entendimiento de la amenaza, pero no resuelve la atribución del caso argentino.

La otra lectura argentina proviene de Clarín, que citó una investigación de CrowdStrike sobre una campaña desarrollada entre mayo y agosto de 2026 que comprometió al menos 15 entidades de salud. CrowdStrike documentó extracción de credenciales e historias clínicas de al menos una organización, pero no identificó víctimas ni habló de interrupciones, rescates o notificaciones a pacientes. Ese caso no está vinculado al incidente de Oldelval, pero sí sugiere actividad intensa en el sector salud argentino.

Chile

Chile es el caso con mejor documentación pública en todo el conjunto. Diario Financiero informó 55 víctimas de ransomware en el país entre enero de 2025 y septiembre de 2026, de las cuales 18 fueron infraestructura crítica. También indicó 11 víctimas de infraestructura crítica entre enero y septiembre de 2026, frente a siete en todo 2025. En el desglose sectorial, transporte y logística concentró 27,8%, energía, combustibles, agua y saneamiento 22,2%, y salud y gobierno 16,7% cada uno.

El incidente del Hospital Clínico de la Universidad de Chile ofrece una ventana concreta a ese componente de salud. La Agencia Nacional de Ciberseguridad notificó a la universidad sobre el incidente, el hospital confirmó el ataque al Servicio de Imagenología y a la plataforma RIS PACS, y la querella detalló acceso a órdenes y resultados de exámenes. La información comprometida incluía RUT, nombre completo, sexo, edad, fecha de nacimiento, horarios, tipo de examen, médico solicitante y resultados. Esa granularidad convierte el caso en un ejemplo de exposición de datos clínicos con impacto directo sobre privacidad y potencial reutilización indebida.

Las medidas adoptadas también quedaron registradas. El hospital inhabilitó la cuenta comprometida y suspendió preventivamente la plataforma externa de consulta para implementar mejoras de seguridad. NIVEL4 Labs añadió que la institución no detectó inicialmente la intrusión por sí misma, sino que fue alertada por la autoridad, y que la querella reconoce que todavía no se conocía la magnitud total de la sustracción ni si los datos habían sido usados para otros fines ilícitos. Ese detalle deja abierta una parte del expediente, pero no altera la confirmación central del acceso no autorizado y la filtración.

ADN Radio agregó un dato estructural útil para interpretar el caso. Más del 70% del sector público y 85% del sector privado chileno usa registros clínicos electrónicos, según cifras atribuidas a CENS y ANCI. Eso no prueba vulnerabilidad por sí solo, pero sí amplía la superficie de exposición cuando una plataforma clínica queda comprometida. El episodio del Hospital Clínico se inserta justamente en ese tipo de dependencia.

Brasil

Brasil aparece como el país con más casos acumulados en el informe de Entel Digital, con 80 ataques. La cobertura de Diario Financiero no ofreció desglose por víctima, sector, vector de acceso, cifrado o exfiltración. Por eso, el número debe leerse como un agregado de monitoreo y no como una base para reconstrucción forense local.

Sí hay un incidente confirmado a nivel operativo en el frente de salud, a través de la Operação Insidioso de la Policía Federal. La investigación se abrió para casos vinculados con invasión de sistemas, extracción de datos y extorsión posterior, con allanamiento y detención temporal en Joinville, Santa Catarina. La operación fue anunciada el 7 de octubre de 2026 y el ataque investigado ocurrió en julio de 2026.

CNN Brasil, citando a la Policía Federal, añadió que el incidente investigado afectó al Hospital Einstein en São Paulo y fue tratado como un ataque de ransomware. La publicación habló de acceso no autorizado a datos de pacientes, incluyendo nombres, CPF o fechas de nacimiento, recetas y resultados de exámenes. Con esa información, el caso brasileño sí encaja en una combinación de intrusión, acceso a información médica y respuesta policial formal.

La cobertura brasileña sobre ThreatVectr y Ransomware.live agrega una precaución metodológica. Los registros en páginas de extorsión representan reivindicaciones publicadas por grupos criminales, no necesariamente confirmaciones de las organizaciones mencionadas. Esa advertencia es relevante para no sobreinterpretar el volumen de reclamos como evidencia consolidada de víctimas confirmadas.

México

México figura con 60 casos acumulados en el informe de Entel Digital y con uno de los incidentes mejor articulados en fuentes locales, el de COMAPA Victoria en Tamaulipas. El organismo informó que sufrió un intento de secuestro de datos, con bloqueo de archivos para exigir rescate. Su gerente general dijo luego que todos los datos fueron restablecidos mediante respaldos, que no se pagó rescate y que la operación institucional no sufrió afectación.

COMAPA Victoria también sostuvo que sus oficinas y servicios al público siguieron operando con regularidad una vez restablecidas progresivamente las herramientas web pausadas durante la respuesta. Afirmó además que no se expusieron datos personales ni bancarios de los usuarios, porque las transacciones y pagos en línea no se procesan en sus servidores sino en plataformas bancarias y empresas especializadas. Ese detalle refuerza la idea de continuidad operativa sin pérdida confirmada de datos sensibles por el lado del organismo.

La parte aún no verificada llegó desde Yazoul Security, que reportó un reclamo de Qilin en su sitio de filtración, pero señaló que no había muestras, capturas, árboles de archivos ni otra prueba de compromiso. En otras palabras, hubo afirmación de exfiltración, pero no validación pública de esa afirmación. Ese patrón coincide con la advertencia metodológica del resto del informe: un leak-site no reemplaza evidencia técnica ni confirmación institucional.

Colombia

Colombia aparece en el material con dos referencias distintas. Una es el ataque al Ministerio de Justicia reportado por BlackFog, que cifró archivos y perturbó partes de su infraestructura tecnológica, con impacto sobre procesos judiciales, gestión documental y monitoreo de cultivos ilícitos. Las autoridades aislaron sistemas comprometidos e iniciaron una recuperación coordinada. La investigación oficial no halló evidencia de robo de información y ningún grupo de ransomware reivindicó públicamente el ataque.

La otra referencia es el reclamo no verificado de ThreeAM contra Coosalud EPS. Yazoul Security lo clasificó como una reclamación sin prueba pública de exfiltración, sin muestras de datos ni validación de terceros. Coosalud no había confirmado ni negado públicamente la acusación. Ese es otro ejemplo de por qué el agregado regional no puede tratarse como un conteo homogéneo de incidentes confirmados.

Uruguay

Uruguay no suma un caso de ransomware confirmable en el material disponible. El Observador informó que Antel atribuyó sus interrupciones de fibra óptica a cortes físicos provocados por terceros y no a un ataque cibernético. Por eso, ese evento debe excluirse del universo de ransomware contra infraestructura crítica.

Países sin hechos verificables adicionales

Paraguay, Bolivia, Perú y Estados Unidos no aportan hechos verificables adicionales en el research disponible para esta investigación.

Indicadores técnicos

La investigación de SOCRadar sobre la infraestructura de The Gentlemen sí publicó indicadores concretos, pero corresponden a la operación analizada por esa fuente y no deben mezclarse con IOCs confirmados del caso Oldelval. El material disponible no publica IOCs de los incidentes del Hospital Clínico ni de Oldelval como conjunto forense final.

Análisis para equipos de seguridad

La prioridad operativa no debería ser solo seguir el conteo agregado de víctimas, sino separar rápidamente tres estados distintos. Primero, el incidente con acceso confirmado, como el del Hospital Clínico, donde ya hay evidencia de sustracción de datos y publicación. Segundo, el incidente con disrupción o cifrado sin evidencia pública de exfiltración, como el Ministerio de Justicia de Colombia. Tercero, el reclamo no verificado en leak-sites, como COMAPA Victoria o Coosalud, que puede anticipar riesgo pero no debe tratarse como hecho consumado.

Para equipos de salud, el caso chileno deja tres controles urgentes. Trazabilidad de accesos en plataformas clínicas, monitoreo de cuentas privilegiadas y capacidad de detección temprana sobre sistemas como RIS PACS o equivalentes. La notificación por parte de la Agencia Nacional de Ciberseguridad fue clave para descubrir el incidente, lo que sugiere que la detección interna puede fallar si no hay correlación entre logs, alertas de acceso y monitoreo de actividad anómala.

Para operadores de infraestructura crítica en energía, transporte y agua, el caso Oldelval muestra que la continuidad física puede sobrevivir a un ciberincidente si hay restauración rápida y segmentación entre sistemas administrativos y operación principal. Pero esa misma separación no debe inducir complacencia. Un sistema administrativo comprometido puede servir como punto de presión, fuga de información o pivote hacia otras superficies. Los controles de respaldo, aislamiento y deshabilitación de cuentas comprometidas siguen siendo el núcleo mínimo.

La capa de amenaza expuesta por SOCRadar sobre The Gentlemen agrega un conjunto de indicadores de conducta que conviene observar en hunting. Ghost C2, túneles por RevSocks, uso de QuickLine/Mythic, abuso de controladores para desactivar herramientas de seguridad y preferencia por archivos financieros, legales, de RR. HH. y ejecutivos. Si una organización detecta esos patrones junto con intentos de exfiltración a almacenamiento cloud o uso de cuentas válidas, el umbral de sospecha sube rápido.

En el frente regional, el mayor error sería interpretar las cifras de Entel Digital como un mapa exacto de víctimas confirmadas. No lo son. Son un buen termómetro de presión, pero el valor táctico está en cruzarlas con reportes de autoridades, querellas, respuesta institucional y validación independiente. Sin esa depuración, un SOC o un CSIRT corre el riesgo de priorizar ruido de extorsión por encima de incidentes con impacto real y verificable.