Energía, electricidad y utilities (infraestructura crítica) — Julio 2026

Amenazas y campañas activas

Ransomware y extorsión

El mes mostró un peso dominante de ransomware, pero con una distribución interna que obliga a separar tipologías. Solo cuatro casos del período permiten hablar de cifrado de activos confirmado. Hay un caso de exfiltración sin cifrado, uno de sola mención en leak site y dieciocho situaciones donde la fuente no permite determinar con precisión si hubo cifrado, robo de datos o solo reivindicación pública. Esa mezcla es típica del ecosistema actual de extorsión, donde el valor para el atacante reside tanto en la presión como en la ambigüedad. En utilities, esa ambigüedad es peligrosa porque puede retrasar decisiones de contención, notificación y negociación con terceros.

Ecopetrol encaja en la categoría de exfiltración con controles que evitaron el cifrado. Reuters habló de un intento de ransomware bloqueado por los controles de la empresa y de acceso no autorizado a datos. ITWareLatam reforzó la lectura de continuidad operativa y señaló que no hubo cifrado de sistemas. Este es el tipo de caso que hoy domina muchas campañas contra sectores críticos: los atacantes obtienen datos, extraen valor extorsivo y dejan la capa de operación intacta para maximizar la presión. El daño, por tanto, no se mide solo en sistemas caídos, sino en cuentas comprometidas, documentación copiada y riesgos derivados para compañías del grupo.

Oldelval representa otra forma de exposición. La reivindicación de TheGentlemen, el tono extorsivo en leak site y la respuesta de la empresa sugieren un incidente alineado con tácticas de doble presión, pero el material no permite clasificarlo con precisión dentro de la taxonomía operativa. No hay confirmación de cifrado ni de exfiltración validada por la compañía. Esa falta de precisión no es un defecto del reporte, es parte de la realidad del mes: muchos incidentes llegan al ojo público antes de que se conozca su arquitectura técnica real. Para un equipo de seguridad, esto significa que la primera hora de respuesta debe asumir el peor escenario razonable sin dar por sentado que la mención pública ya agotó el caso.

Sinop Energia se ubica en una zona parecida, aunque con mayor peso de la narrativa de filtración. Los trackers la siguieron como víctima y repitieron la cifra de 300 GB, pero el material no incluye un comunicado propio que permita separar de forma tajante extorsión simple, leak site o cifrado. En el lenguaje de amenazas, eso sigue siendo importante porque el modelo de negocio criminal se alimenta de la rápida publicación de víctimas y de la especulación sobre el alcance de la fuga. En operaciones de energía, una atribución apresurada puede afectar contratos, seguros y relaciones de confianza con clientes e inversionistas.

Fraude y phishing

El material del mes solo documenta un caso de fraude o phishing, y no aparece concentrado en el vertical energético como una campaña dominante. Esto no significa que el vector no exista, sino que no fue el centro de los hechos verificados para julio. Aun así, el dato es útil porque recuerda que, en empresas de energía y utilities, el punto de entrada muchas veces es el correo, la identidad o la interacción con terceros. Cuando el mes está dominado por ransomware y filtraciones, el phishing actúa como un mecanismo de acceso y persistencia más que como una amenaza independiente con narrativa propia.

APT y hacktivismo

Paraguay aportó el caso más visible de actividad atribuida a actores relacionados con el Gobierno chino contra sistemas estatales. Aunque no se trata de un incidente del vertical energía y utilities, sí ofrece contexto sobre el clima regional de intrusión y sobre la atención institucional a ciberoperaciones sostenidas. El MITIC informó al Senado que se detectó vulneración de información en 120 instituciones del Estado, y luego se mencionó una investigación penal abierta por la Fiscalía. Para el sector energético, la lectura no es que exista una campaña dirigida específicamente a utilities paraguayas, sino que la región convive con actores persistentes capaces de moverse entre objetivos estatales, corporativos y de infraestructura.

Vulnerabilidades críticas

Las alertas de Hitachi Energy son las únicas vulnerabilidades del mes con impacto claro sobre el eje energético. El material no registra un gran volumen de explotación confirmada en América Latina para estos CVEs, pero sí deja ver que los equipos de seguridad del sector deben tratarlos como prioridad. La cadena de riesgo es directa: acceso inseguro, credenciales, sesión, exposición de paneles, y potencial tránsito hacia componentes más sensibles si la segmentación es débil. En entornos OT, el problema rara vez empieza dentro del PLC. Suele comenzar en el plano que administra, supervisa o conecta.

Regulación y cumplimiento

Julio no mostró movimientos regulatorios nuevos documentados dentro del material del período, al menos en el sentido de una norma, resolución o cambio formal de cumplimiento específico para energía y utilities en América Latina. Ese valor cero no debe leerse como ausencia de presión regulatoria, sino como ausencia de un movimiento normativo capturado por el corpus analizado. Sí hubo, en cambio, señales de cumplimiento reactivo y de reporte corporativo que son relevantes para el vertical. Ecopetrol comunicó el incidente a la SEC mediante un Formulario 6-K, y además reportó acciones ante Fiscalía y MinTIC. En la práctica, esto marca un umbral alto de formalización del evento.

La relación entre ciberincidente y disclosure regulatorio se volvió más visible en la región. Cuando una empresa de energía con operaciones relevantes y filiales afectadas necesita reportar al mercado estadounidense, el incidente deja de ser solo técnico. Aparece el problema de materialidad, de gobierno corporativo y de cronología de notificación. Para otras utilities de la región, el caso de Ecopetrol sirve como referencia concreta de que el manejo jurídico y de comunicación debe integrarse desde la primera fase de respuesta. En un evento de exfiltración, la ventana entre detección, validación, clasificación y reporte puede ser tan sensible como la de contención técnica.

Países y subsegmentos más afectados

Colombia

Colombia fue el país con el caso más pesado del mes por la centralidad de Ecopetrol. La compañía confirmó la publicación ilegal de información de 15 empresas del grupo, informó sobre el acceso a unas 3.300 cuentas y se movió en paralelo por canales corporativos, judiciales y regulatorios. La Fiscalía abrió investigación y la prensa local siguió el caso con detalle. A eso se suma el contexto de mayor presión regional sobre empresas colombianas, aunque esas cifras agregadas no forman parte del volumen del mes en este informe. El subsegmento más expuesto aquí no es solo energía en sentido clásico, sino el ecosistema de holding, filiales, nube y proveedores que soporta la operación.

Brasil

Brasil tuvo presencia por Sinop Energia y por el contexto regional de ransomware. El caso de la empresa eléctrica quedó asociado a Global Secret Group y a una supuesta exfiltración de 300 GB. Aunque el material no da confirmación corporativa independiente, sí muestra que el país sigue siendo un objetivo prioritario en el ecosistema de extorsión latinoamericano. Para utilities brasileñas, el aprendizaje es claro: la combinación de reputación de marca, superficie digital amplia y dependencia de proveedores hace que una publicación en un sitio de filtración pueda escalar rápido a crisis de comunicación.

Argentina

Argentina apareció por Oldelval, con una diferencia fundamental respecto de otros casos del mes: la operación de transporte de petróleo no se interrumpió. El incidente tocó sistemas administrativos y fue contenido, según la empresa. Para el subsegmento de oleoductos y midstream, esto deja una lectura útil. La continuidad física no exime de revisar la exposición de sistemas de soporte, el acceso a plataformas administrativas, los privilegios de usuario y los procesos de recuperación. Un incidente que no mueve el crudo hoy puede abrir una puerta para el siguiente.

Paraguay

Paraguay no aportó un incidente confirmado del sector energético durante el mes, pero sí un entorno de alerta sobre compromisos en sistemas estatales. Copaco desactivó preventivamente su sitio web tras detectar un incidente de seguridad, sin afectación confirmada a sistemas críticos, y el MITIC reportó vulneración de información en 120 instituciones públicas atribuida a grupos relacionados con China. Para utilities y energía, esto funciona como contexto de ciberhigiene regional y de exposición de infraestructura digital, especialmente en organizaciones que comparten dependencias o proveedores con el sector público.

Subsegmentos con mayor presión

En el vertical, el subsegmento más sensible fue el de energía integrada con fuerte dependencia administrativa y de gestión de datos, como ocurre en holdings y grandes operadores. Después aparece la capa de transporte y logística de hidrocarburos, ejemplificada por Oldelval. Finalmente, la generación y distribución eléctrica quedó expuesta por la visibilidad de Sinop Energia y por la necesidad de tratar seriamente las alertas de software industrial de Hitachi Energy. En todos los casos, la superficie más delicada no fue el activo físico aislado, sino el ecosistema digital que lo rodea.

Tendencias y señales a monitorear

No hay baseline comparativo con el mes anterior, porque este es el primer período archivado con este formato de indicadores para América Latina. Aun así, el material sí permite identificar señales que deberían quedar bajo observación en los próximos meses. La primera es la consolidación del ransomware como mecanismo de extorsión mixto, con casos donde la exfiltración pesa más que el cifrado. La segunda es el peso creciente de las comunicaciones formales a reguladores y mercados, algo visible en Ecopetrol. La tercera es la exposición de software industrial y plataformas energéticas a vulnerabilidades altas que pueden usarse como puente para acceso remoto o denegación de servicio.

La zona más sensible está en la combinación entre leak sites y continuidad operativa. Si un actor criminal publica datos pero no tumba la operación, muchas organizaciones tienden a subestimar el evento. En utilities eso es un error. La operación puede seguir, pero el daño reputacional, contractual y legal ya está en curso. Ese patrón aparece en Ecopetrol y, de manera menos concluyente, en Oldelval y Sinop Energia. El foco para agosto debería ser si estas campañas siguen privilegiando la fuga de datos sobre la interrupción física, porque esa modalidad suele ser más difícil de detectar a tiempo y más lenta de erradicar.

La otra señal es la relevancia de los avisos sobre Hitachi Energy. No se trata solo de un vendor, sino de una clase de sistemas usados para supervisión y operación energética. Cuando CISA, WaterISAC, INCIBE y otros organismos coinciden en alertar sobre productos de ese tipo, el mensaje para la región es que el riesgo no es teórico ni periférico. La prioridad no debería ser únicamente aplicar parches, sino verificar exposición externa, segmentación, cuentas de acceso, logging y capacidad de respuesta ante explotación remota.

Recomendaciones para equipos de seguridad

Primero, separar la respuesta a ransomware en tres carriles operativos: cifrado confirmado, exfiltración con operación intacta, y mención en leak site sin validación independiente. Tratar todo como si fuera lo mismo produce errores de contención y de comunicación. En energía y utilities, la diferencia entre pérdida de disponibilidad y pérdida de confidencialidad cambia la cadena de decisión. El equipo técnico, legal y de comunicaciones debe trabajar con la misma taxonomía desde el minuto uno.

Segundo, reforzar la higiene de identidades y accesos privilegiados en entornos administrativos, nube y soporte. Ecopetrol mostró que una intrusión puede afectar miles de cuentas y varias subsidiarias sin tocar el núcleo operativo. Eso obliga a revisar MFA, segregación de cuentas, revisiones de privilegios, expiración de sesiones, registro de actividad y rotación de credenciales en toda la cadena corporativa, no solo en el bastión OT.

Tercero, auditar los entornos con software de Hitachi Energy y cualquier plataforma análoga de gestión industrial o energética. Verificar versiones, exposición remota, segmentación, listas de acceso, parcheo y contingencias para caída de aplicaciones. Las vulnerabilidades reportadas en julio no son solo un asunto de TI: pueden convertirse en una vía de pivote hacia activos sensibles si hay integración laxa entre gestión, telemetría y operación.

Cuarto, revisar la capacidad de restauración y la calidad de los respaldos con foco en escenarios de exfiltración. Un backup sano no resuelve la filtración ni la exposición de secretos, pero sí limita la presión operativa si el atacante escala a cifrado. En un operador crítico, la disponibilidad de restauración debe probarse en frío y en caliente, con tiempos medidos y con una separación real entre copias administrativas y operativas.

Quinto, endurecer la gestión de terceros. El material de Ecopetrol menciona datos de múltiples filiales y la hipótesis de acceso a través de recursos corporativos distribuidos. Ese patrón exige inventario de proveedores, revisión de accesos temporales, controles sobre cuentas de administrador, monitoreo de credenciales de servicio y pruebas de rescisión de accesos cuando termina la relación contractual.

Sexto, preparar guiones de comunicación regulatoria y pública antes del incidente. El caso Ecopetrol muestra que el reporte a la SEC, la Fiscalía, MinTIC y la prensa pueden ocurrir casi al mismo tiempo. Si la organización no tiene definidos umbrales de materialidad, responsables de reporte y mensajes por tipo de evento, el atacante gana velocidad narrativa. La coordinación entre seguridad, jurídico, relaciones institucionales y negocio debe ensayarse con ejercicios que incluyan fuga de datos y sitio de filtración.

Séptimo, monitorear leak sites y trackers, pero sin tomar sus afirmaciones como verdad final. Sinop Energia y Oldelval aparecen en plataformas de terceros con detalles sobre volumen y grupo atribuido, pero el informe de julio deja claro que esos elementos deben ser tratados como indicios, no como validación. La vigilancia de estas fuentes sirve para detección temprana, no para cerrar el análisis.

Limitaciones del material

Este informe cubre exclusivamente los hechos del bloque de julio 2026 provisto como material de research. Los hechos de meses anteriores, aunque pueden aparecer en el corpus como contexto comparativo, no se contaron en los indicadores del período. La ventana temporal declarada por los indicadores es la siguiente: 83 hechos con fecha en julio 2026, 1 sin fecha confirmada excluido de los indicadores. Los valores reproducidos en la tabla corresponden exactamente a esa base.

Un punto importante para la lectura ejecutiva es que un indicador en 0 no significa ausencia real en la región, sino ausencia de registro en el material analizado. Esto aplica en particular a los movimientos regulatorios documentados, que figuran en 0. El dato no implica que no haya habido actividad normativa o de cumplimiento en América Latina, solo que no apareció en el corpus utilizado para este informe. Lo mismo vale para cualquier otra categoría donde el material no haya mostrado hechos verificables.

También conviene remarcar que los 9 CVEs críticos mencionados no describen la totalidad de vulnerabilidades relevantes del mes, sino solo las que quedaron reflejadas en las fuentes disponibles para este informe. En consecuencia, el hecho de que un indicador sea bajo o nulo no autoriza a concluir que no existieron otras vulnerabilidades explotadas en la región. Aquí se resume únicamente lo que el material confirmó o documentó con trazabilidad suficiente.

En materia de fuentes, este análisis excluyó redes sociales de consumo, publicaciones patrocinadas, press releases y contenidos comerciales que no cumplen el estándar editorial pedido para respaldar tendencias. Por eso algunos hechos aparecen con una gradación de certeza distinta según la fuente, especialmente los que provienen de trackers, sitios de filtración o agregadores de incidentes. Cuando el material no permite determinar si hubo cifrado, exfiltración o solo mención en leak site, el informe lo explicita y evita forzar una tipificación artificial.