Energía, electricidad y utilities (infraestructura crítica) — Septiembre 2026

Amenazas y campañas activas

Ransomware, extorsión y mención en leak site

El mes dejó un solo caso con ransomware o extorsión como eje primario, pero la fuente no permite determinar si el impacto fue cifrado de activos, exfiltración sin cifrado o solo mención de la víctima en un sitio de filtración. Esa precisión importa porque cambia por completo la lectura operativa. Un leak site sin impacto verificado no equivale a indisponibilidad de sistemas, y una exfiltración no equivale necesariamente a cifrado.

El material relacionado con Ecopetrol cae justamente en esa zona de ambigüedad. VECERTRadar, Kalir, Tornews y Ransomware.live reflejan distintas formas de atribución o exposición, pero todas quedan en el terreno de la alegación o del registro de terceros, no de una confirmación forense pública por parte de la empresa. BNamericas sí confirmó en julio de 2026 que Ecopetrol activó su protocolo de ciberseguridad tras detectar que un actor externo había sustraído información corporativa, pero ese hecho pertenece al marco comparativo de meses anteriores y no al volumen de septiembre.

Esa diferencia temporal también importa. En septiembre la señal del ransomware en utilities latinoamericanas fue mucho más débil que en julio, lo cual no significa que el riesgo haya desaparecido. Significa que el mes se cubrió más por actividad preventiva, casos de interrupción y alegaciones de filtración que por campañas de cifrado confirmadas dentro del período.

Fraude y phishing

La modalidad de fraude más clara del mes fue la suplantación de funcionarios de UTE para capturar códigos de WhatsApp. Es una técnica clásica de ingeniería social, pero adaptada al contexto de una utility, con un guion creíble para la víctima y un objetivo secundario que va más allá de la empresa: tomar el canal de mensajería para pedir dinero a los contactos. En términos de impacto, esto combina reputación, ingeniería social y secuestro de cuenta, aunque no compromete directamente la operación eléctrica.

El valor de esta campaña para el sector está en que muestra cómo una marca de confianza pública puede ser usada para abrir una brecha humana sin necesidad de explotar vulnerabilidades técnicas. La respuesta, por lo tanto, no es solo tecnológica. Requiere mensajería al cliente, procedimientos de verificación, entrenamiento del personal de atención y coordinación con fuerzas de seguridad. El material aporta además una recomendación operativa concreta, usar el sistema oficial "Verificá", que conviene reforzar en campañas públicas de prevención.

APT y hacktivismo

No hubo en el material un caso firme de APT o hacktivismo adjudicado al vertical energía, electricidad y utilities en septiembre. Sí hubo, en cambio, una discusión pública sobre sabotaje, vandalismo y daños intencionales alrededor del apagón del sureste mexicano, pero la información disponible no permitió confirmar un componente cibernético ni una campaña persistente. En Cuba y Venezuela tampoco hubo atribución a actores específicos, y los hechos quedaron en el terreno de crisis de red y estabilidad del suministro.

La ausencia de una atribución cerrada no debe leerse como ausencia de amenaza. Más bien muestra que, en el mes, la evidencia pública disponible fue insuficiente para catalogar campañas persistentes o hacktivistas en este vertical. Por eso la lectura operativa debe concentrarse en disponibilidad, coordinación interinstitucional y prevención de fraude, antes que en la búsqueda forzada de una etiqueta de actor donde el material no la sostiene.

Vulnerabilidades críticas

No se registraron CVEs críticos en el material analizado con suficiente detalle técnico para este informe, aunque el indicador del período menciona 2 CVEs críticos. Esa cifra indica que aparecieron referencias a vulnerabilidades críticas en la cobertura, pero el material disponible no permite desarrollar aquí su explotación, alcance ni relación con un incidente concreto del vertical. Eso no implica ausencia de vulnerabilidades críticas explotadas en la región.

Regulación y cumplimiento

La agenda regulatoria del mes fue más activa en Brasil, pero con efectos que pueden extrapolarse a otros mercados de la región. La consulta pública de la ANSN sobre requisitos de seguridad cibernética para instalaciones nucleares y radiativas fija una señal clara: el sector ya no discute solo perímetros técnicos, sino principios, obligaciones y mecanismos de respuesta alineados con la gestión de riesgo crítico. La fecha de inicio, el 10 de septiembre, y la publicación del edital en el Diário Oficial da União muestran que el proceso tiene respaldo formal y no es una mera declaración programática.

La incorporación de ANEEL al Sisbin tiene otro matiz. No se trata de una exigencia de cumplimiento para operadores privados, sino de una decisión institucional que fortalece intercambio de datos y cooperación con inteligencia. Para el sector eléctrico, eso puede traducirse en mejor capacidad de anticipación, pero también en mayores exigencias de gobernanza sobre la información compartida, los canales de coordinación y la trazabilidad de decisiones sensibles.

El ejercicio Guardião Cibernético 8.0 opera en esa misma lógica de cumplimiento práctico. La ANSN informó que probó prevención, respuesta y actuación coordinada ante incidentes cibernéticos, y la CNEN dijo que el objetivo fue fortalecer recuperación frente a incidentes que puedan afectar infraestructuras críticas. Ese tipo de simulación deja una lección directa para utilities y operadores de infraestructura crítica: la preparación ya no se valida solo con planes en papel, sino con ejercicios multiactor donde el fallo de coordinación es casi tan relevante como el fallo técnico.

En Uruguay, la dimensión regulatoria aparece más del lado de prevención ciudadana y respuesta policial frente al fraude. El caso UTE fue acompañado por recomendaciones concretas de verificación de identidad y por una herramienta oficial del Ministerio del Interior para validar comunicaciones. Aunque no sea una regulación sectorial de ciberseguridad en sentido estricto, sí muestra una respuesta institucional orientada a reducir la superficie de ingeniería social alrededor de una utility.

Países y subsegmentos más afectados

México

México fue el país con el incidente de mayor impacto visible en usuarios dentro del período. La interrupción que afectó al sureste concentró la atención por la cantidad de clientes, la amplitud geográfica y la discusión pública sobre vandalismo o sabotaje. La cobertura disponible no permite trasladar ese caso al campo de la ciberseguridad confirmada, pero sí lo ubica como una crisis operativa de alto impacto para el sector eléctrico.

Para el lector de utilities, el dato clave no es solo la magnitud del corte. También lo es la manera en que la causa quedó en disputa pública. Cuando una interrupción afecta a cuatro estados, la narrativa sobre origen y responsabilidades importa casi tanto como la restitución del servicio, porque define qué tipo de controles, monitoreo y comunicación se activan a continuación.

Brasil

Brasil fue el país con mayor densidad de hechos preventivos y regulatorios. Guardião Cibernético 8.0 reunió organismos de energía, agua, telecomunicaciones y defensa, y el sector nuclear apareció explícitamente como un actor central del entrenamiento. ANEEL se integró al Sisbin y la ANSN abrió una consulta pública sobre ciberseguridad nuclear. Esa combinación de ejercicio, coordinación e ինտeligencia sugiere una madurez institucional superior a la de otros mercados latinoamericanos en este vertical.

El subsegmento nuclear merece una lectura aparte. No solo por la participación de ANSN y CNEN, sino porque el ejercicio incluyó escenarios con planta terrestre, hospital, laboratorio y embarcación con material nuclear. Eso coloca la ciberseguridad en un plano híbrido con seguridad física, logística y continuidad de servicios. Para cualquier operador de infraestructura crítica, la señal es que la planificación ya debe contemplar dependencias cruzadas y no solo activos aislados.

Cuba

Cuba concentró el evento más grave para continuidad del servicio, con el colapso total de la red eléctrica nacional. La recuperación fue parcial y lenta, con priorización de hospitales e instalaciones esenciales y persistencia de apagones por déficit de generación. El material no atribuye el hecho a ciberataque, pero sí lo presenta como una falla de transmisión con impacto nacional.

Desde la perspectiva del vertical, Cuba representa el extremo donde la frontera entre crisis energética y resiliencia de infraestructura crítica se vuelve difusa. Un sistema eléctrico que colapsa total o parcialmente obliga a replantear las dependencias de comunicación, monitoreo y respuesta. Aunque no haya atribución digital, la lectura de riesgo para la región sigue siendo alta porque expone la fragilidad operativa de la red.

Argentina

Argentina aportó un caso urbano de gran volumen con la interrupción en Buenos Aires y unos 600.000 clientes afectados. La fuente citada indicó una falla en un sistema externo a la distribuidora, lo que desplaza el análisis hacia la dependencia de infraestructura compartida y la necesidad de continuidad coordinada entre actores. No hay evidencia en el material de una intrusión o componente cibernético.

Para el subsegmento de distribución, el hecho subraya que los sistemas externos y la interconexión operativa pueden amplificar impactos aun sin una causa maliciosa. Eso vuelve a poner en el centro los ejercicios de failover, los planes de contingencia y la observabilidad sobre proveedores y componentes que no siempre quedan visibles para el equipo de seguridad corporativa.

Venezuela

Venezuela tuvo una fluctuación severa del Sistema Eléctrico Nacional con bajas de tensión en Caracas y varios estados. El material no da una atribución técnica cerrada, pero sí muestra un patrón de inestabilidad que afecta la continuidad y complica cualquier análisis de causalidad. En este tipo de contexto, la seguridad y la operación quedan fuertemente entrelazadas.

La lectura más prudente es tratar el caso como un indicador de fragilidad del sistema y de exposición continuada, no como un incidente cibernético. Aun así, desde la perspectiva de un CISO o de un director de infraestructura, la lección es clara: en entornos de suministro volátil, la capacidad de mantener visibilidad, redundancia y priorización de cargas críticas es parte del riesgo de seguridad.

Uruguay

Uruguay mostró el patrón más claro de fraude orientado a una utility. La suplantación de UTE para capturar códigos de WhatsApp impacta sobre el subsegmento de relación con clientes y atención al público, más que sobre la red eléctrica. Sin embargo, por la forma en que explota la identidad corporativa, la empresa entra en el centro del problema aunque el ataque sea social y no técnico.

El país también aportó una conversación más madura sobre ciberdelito en su conjunto, con cifras de denuncias crecientes y con el V Simposio CIER de Redes y Ciudades Inteligentes incluyendo ciberseguridad en redes eléctricas digitales y protección de infraestructura crítica. Eso sugiere que el ecosistema local está tratando de conectar el fraude cotidiano con la agenda más amplia de resiliencia sectorial.

Tendencias y señales a monitorear

El cambio más visible frente al mes anterior fue la caída abrupta del ransomware como eje dominante, de 21 de 52 hechos en el mes previo a solo 1 de 66 en septiembre. No conviene sobredimensionar esa variación como mejora estructural. Más bien sugiere un cambio de foco del material disponible, donde pesan más la continuidad operativa, la coordinación institucional y los eventos de interrupción que las campañas de cifrado confirmadas.

En paralelo, subió la cantidad de incidentes sin tipificar, de 15 a 23. Esa expansión no es menor. Indica que hay más hechos que afectan al sector pero no llegan a una clasificación forense cerrada, o bien porque la fuente no aporta evidencia suficiente o porque el evento no se encuadra limpiamente en las categorías habituales. Para la inteligencia sectorial, eso obliga a trabajar con más cautela y a no equiparar visibilidad con ausencia de riesgo.

También aumentaron los casos de fraude o phishing documentados, de 1 a 2. Aunque el número absoluto sigue siendo bajo, el tipo de caso es muy sensible porque aprovecha marcas de utilities y canales de mensajería muy usados por clientes. Este vector merece atención porque puede escalar rápido sin requerir explotación técnica compleja. Si una suplantación logra credibilidad, la dimensión reputacional puede crecer antes que cualquier alarma interna.

Los movimientos regulatorios bajaron levemente de 3 a 2, pero el contenido de esos movimientos fue más sustantivo que una mera formalidad. La consulta pública de la ANSN y la incorporación de ANEEL al Sisbin apuntan a un modelo de gobernanza más integrado. En otras palabras, hay menos anuncios pero más profundidad institucional, especialmente en Brasil.

La otra señal a vigilar es la persistencia de eventos de continuidad eléctrica de gran escala. México, Cuba, Argentina y Venezuela muestran que el vertical sigue expuesto a interrupciones que pueden tener causas diferentes, pero impactos parecidos sobre servicios esenciales. Para equipos de seguridad, eso significa que la conversación ya no puede limitarse al perímetro digital.

Recomendaciones para equipos de seguridad

Primero, separar en los playbooks tres clases de eventos: interrupciones de servicio, exfiltración confirmada y mención en leak site o atribución de terceros. El material de septiembre mostró varias zonas grises, sobre todo en Ecopetrol y en los cortes del sureste mexicano. Si el equipo no clasifica bien desde el inicio, corre el riesgo de sobrerreaccionar ante ruido o de subestimar una intrusión real.

Segundo, reforzar la coordinación entre seguridad, operación y comunicación cuando una interrupción pueda confundirse con sabotaje o con un incidente cibernético. En México, la discusión pública sobre vandalismo y sabotaje creció casi al mismo ritmo que el apagón. Eso exige mensajes consistentes, protocolos de vocería y trazabilidad de la hipótesis técnica para evitar que una causa provisional se convierta en narrativa oficial sin respaldo.

Tercero, revisar los mecanismos de verificación de identidad en atención al cliente y canales de soporte. El fraude que usó la marca UTE demuestra que una utility puede ser explotada como punto de confianza aun cuando no haya compromiso técnico de sus sistemas. Conviene entrenar al personal para no pedir ni validar códigos por canales no autorizados y publicar procedimientos simples de verificación para usuarios.

Cuarto, tratar los ejercicios interinstitucionales como insumo operativo real y no como ceremonia. Guardião Cibernético 8.0 dejó señales muy útiles sobre coordinación entre energía, agua, telecomunicaciones, defensa y reguladores. Los equipos de la región pueden tomar esa referencia para probar dependencias cruzadas, escalamiento, recuperación y comunicación en escenarios que mezclen TI, OT y continuidad de negocio.

Quinto, mantener monitoreo de vulnerabilidades OT y avisos ICS aunque el mes no haya traído una cadena extensa de explotación pública. El material sí menciona CVEs y un aviso sobre mySCADA myPRO Manager, y en infraestructura crítica los entornos con autenticación débil o funciones privilegiadas mal protegidas merecen revisión rápida. La prioridad es evaluar exposición local, no esperar a que la vulnerabilidad aparezca asociada a un incidente de prensa.

Sexto, incorporar escenarios de suministro inestable en la planificación de seguridad. Cuba y Venezuela muestran que una caída de red o una fluctuación severa puede afectar monitoreo, respaldos, comunicaciones y recuperación. Para utilities y operadores críticos, eso implica verificar autonomía energética, rutas de contingencia, respaldo de telecomunicaciones y priorización de activos esenciales.

Preguntas frecuentes

¿Qué cambió entre septiembre y el mes anterior en la señal de riesgo del vertical?

Cambió sobre todo el tipo de hecho visible. En septiembre bajó fuerte el peso del ransomware como eje primario y subieron los incidentes sin tipificar, mientras crecieron los eventos de continuidad operativa y los ejercicios de resiliencia, especialmente en Brasil. El contraste con el mes anterior se desarrolla en la sección Tendencias y señales a monitorear.

¿Hubo un ataque cibernético confirmado detrás de los apagones más grandes del mes?

No en el material analizado. El corte del sureste mexicano quedó asociado a vandalismo o daños intencionales, pero sin confirmación cibernética, y el colapso cubano se atribuyó a una falla de transmisión. El detalle por país está en Incidentes relevantes y la lectura comparada en Países y subsegmentos más afectados.

¿Cuál fue la señal más sólida de fraude para utilities?

La suplantación de funcionarios de UTE en Uruguay. La policía y medios locales describieron un esquema para capturar códigos de WhatsApp y luego pedir dinero a los contactos de la víctima. Ese caso cruza la sección de Amenazas y campañas activas con Países y subsegmentos más afectados y con Recomendaciones para equipos de seguridad.

¿Qué aporta Brasil que no aportaron otros países del mes?

Aporta el mayor nivel de coordinación institucional. ANSN, CNEN, ANEEL, ANA y Defensa convergieron en Guardião Cibernético 8.0, mientras ANEEL ingresó al Sisbin y la ANSN abrió una consulta pública sobre ciberseguridad nuclear. La combinación de ejercicios, regulación e inteligencia se analiza en Regulación y cumplimiento y en Incidentes relevantes.

¿La mención de dos CVEs críticos significa que hubo una ola de explotación en la región?

No necesariamente. El indicador dice que aparecieron dos CVEs críticos mencionados en el material, pero no alcanza para afirmar una ola regional de explotación ni para vincularlos a un incidente concreto. Además, el material disponible no permite desarrollar ambos casos con detalle técnico. Eso se explica en Vulnerabilidades críticas y en Limitaciones del material.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para septiembre de 2026 y con los dos hechos de meses anteriores que llegaron al archivo solo como marco comparativo. La ventana temporal de los indicadores se limita a 66 hechos con fecha en septiembre 2026, más 2 hechos de meses anteriores usados únicamente para contraste mes contra mes. No se incorporó ninguna fuente externa.

Un indicador en cero, o una ausencia de detalle técnico, no significa que el hecho no exista en la región. En particular, si un indicador de CVEs fuera cero, eso indicaría solo que no se registraron en el material analizado, no que no haya vulnerabilidades críticas explotadas en América Latina. En este mes el indicador de CVEs críticos fue distinto de cero, pero el material no permitió desarrollar el detalle completo de explotación.

La cobertura excluyó telemetría agregada como señal de fondo, y no se usaron intentos, bloqueos o escaneos automatizados como si fueran incidentes confirmados. También quedaron fuera las redes sociales de consumo y el contenido patrocinado o comercial que no figura entre las fuentes disponibles para citar. Cuando hubo alegaciones de leak site, venta de datos o atribuciones de terceros sin confirmación corporativa o forense, se trataron como tales y no como brechas cerradas.

Por último, varias notas del período mezclan continuidad operativa, crisis energética, sabotaje alegado, fraude y ciberseguridad sin ofrecer una línea causal única. En esos casos, el informe priorizó la categoría que el material sí permitía sostener. Si la fuente no confirmaba un componente cibernético, el hecho no se elevó artificialmente a incidente de ciberseguridad.