Paraguay reporta 7,4 millones de datos expuestos

Actualización 9 de septiembre de 2026: la cobertura sobre Paraguay ahora incorpora un ataque atribuido al grupo Brigada Cyber PMC, con 7,4 millones de registros expuestos, y precisiones más recientes de CERT-PY sobre reportes e incidentes atendidos desde 2023.

Coberturas sobre Paraguay ampliaron el alcance de un ataque de ransomware y lo ubicaron en 7,4 millones de registros expuestos, mientras otras publicaciones citaron a CERT-PY para afirmar que en el país hubo más de 9 millones de datos expuestos en la web. Además, la nota original sobre cooperativas y el boletín militar siguen como parte del contexto de una seguidilla de señales de presión sobre sistemas y datos en el país.

¿Qué dijo la cobertura local sobre las cooperativas?

La nota de Caaguazú Noticias Digital sostuvo que un referente del sector dijo que las cooperativas paraguayas están saliendo de un ataque de ransomware. En ese mismo pasaje, la referencia quedó asociada a Incoop, la entidad reguladora mencionada por la cobertura.

El material no precisa víctimas, alcance técnico ni si el impacto afectó a una sola cooperativa o a varias. Tampoco identifica el vector inicial ni describe la recuperación, pero sí deja planteado un episodio sensible para el ecosistema cooperativo y financiero del país.

¿Qué otros datos de exposición se mencionaron?

La misma cobertura afirmó que en Paraguay hubo el mayor vector de ataques en mucho tiempo y que hasta hoy hay más de 9 millones de datos expuestos en la web. Esos dos datos aparecen como parte de la entrevista publicada por Caaguazú Noticias Digital, sin desglose adicional sobre origen, tipos de registros o responsables.

La nota también enmarca el comentario en una conversación sobre ciberataques y uso de inteligencia artificial. Según esa publicación, el sector local está viendo señales de presión sostenida sobre activos expuestos, aunque el texto no separa qué parte corresponde a filtraciones previas y cuál a incidentes recientes.

¿Qué se agregó sobre el ataque de junio de 2025?

Coberturas secundarias sobre el caso afirmaron que se filtraron datos de 7,4 millones de personas y que la publicación ocurrió después de que el temporizador del grupo atacante llegara a cero el 13 de junio de 2025. Otra lectura sobre el incidente lo atribuyó al grupo de ransomware Brigada Cyber PMC.

Esa misma cobertura describió que el grupo cifró bases de datos del gobierno paraguayo, exigió un rescate millonario y dejó a las instituciones afectadas sin acceso a sus sistemas de gestión durante días. También señaló que al menos 7,4 millones de registros de ciudadanos quedaron expuestos.

¿Qué cambios aparecen en las cifras oficiales y regulatorias?

Las publicaciones más recientes citan estadísticas del CERT-PY y precisan que entre enero de 2023 y julio de 2026 hubo 8.309 reportes y 4.109 incidentes atendidos, con cerca de la mitad dirigidos al sector privado. Otras notas publicadas el 17 de julio de 2026 repiten que el año pasado se observó el mayor vector de ataques en mucho tiempo y que hasta entonces había más de 9 millones de datos expuestos en la web.

También se sumó un marco legal nuevo. La Ley Nº 7593/2025 de Protección de Datos Personales establece que los responsables deben notificar incidentes de seguridad a la Autoridad de Control y, si corresponde, al titular del dato, en un plazo que no puede exceder de 72 horas desde que tuvieron conocimiento del hecho.

Durante el trámite legislativo, el Senado ratificó su versión del proyecto e introdujo de forma expresa ese plazo de 72 horas. Análisis posteriores agregan que la ley fue promulgada el 27 de noviembre de 2025, prevé una vacatio legis de dos años y contempla la creación de la Agencia Nacional de Protección de Datos Personales en 2026.

¿Qué obligaciones concretas quedaron para las empresas?

Resúmenes regulatorios y firmas legales locales coinciden en que, bajo la Ley Nº 7593/2025, los responsables del tratamiento deben notificar a la autoridad y a los individuos afectados cualquier incidente de seguridad en un máximo de 72 horas. En paralelo, un análisis técnico sobre una ley de ciberseguridad aprobada en 2025 añade un informe completo en hasta 15 días hábiles y la figura de un responsable de seguridad.

Ese análisis también dice que el régimen alcanza a proveedores de telecomunicaciones, entidades financieras, operadores de infraestructura crítica y empresas que procesen datos personales de ciudadanos paraguayos, mientras exime a ciertas pymes con menos de 50 empleados que no manejen datos sensibles. Otro estudio jurídico-tecnológico suma como obligaciones la designación de un delegado de protección de datos en determinados supuestos y la realización de evaluaciones de impacto para tratamientos de alto riesgo.

¿Qué pasó con las Fuerzas Armadas?

MercoPress reportó, con carácter no confirmado oficialmente en el material disponible, que la Dirección General de TIC de las Fuerzas Armadas de Paraguay emitió un boletín para alertar a todas las unidades sobre una infección de ransomware que supuestamente afectó sus sistemas informáticos.

El aviso citado por esa fuente no aporta detalles técnicos ni permite saber qué sistemas fueron comprometidos, si hubo afectación operativa o si el incidente sigue activo. Con los elementos disponibles, solo puede decirse que la comunicación interna mencionada por MercoPress apunta a una posible intrusión en el entorno militar paraguayo.

¿Qué relación tiene Brigada Cyber PMC con el ransomware en Paraguay?

Brigada Cyber PMC aparece en las coberturas más recientes como el grupo atribuido al ataque de ransomware que dejó 7,4 millones de registros expuestos en Paraguay. La nota también vincula ese caso con reportes posteriores sobre incidentes atendidos por CERT-PY y con el contexto de presión sobre sistemas y datos en el país.

En el cuerpo ya figura que otras publicaciones atribuyeron el ataque a Brigada Cyber PMC y que esa referencia se suma a las cifras de 7,4 millones de registros expuestos. También se menciona que el episodio forma parte de una seguidilla de señales sobre exposición de datos y actividad de ransomware en Paraguay, sin agregar detalles técnicos nuevos sobre el grupo.