Energía, electricidad y utilities (infraestructura crítica) — Octubre 2026

Amenazas y campañas activas

El mes mostró tres familias de amenaza con perfiles muy distintos, pero conectadas por un mismo rasgo, la búsqueda de impacto económico y operacional en infraestructura esencial. La extorsión reaparece con fuerza, el phishing se vuelve más industrial y los actores orientados a OT siguen explotando software y configuraciones con exposición internacional.

Ransomware y extorsión

En octubre hubo 9 casos con ransomware o extorsión como eje primario, frente a 1 en el mes anterior. De esos 9, el material permite distinguir solo un caso de exfiltración sin cifrado con claridad, mientras que en 8 la tipificación no fue determinable con lo disponible. Esa distinción importa porque una mención en un leak site, una filtración de datos y un cifrado que interrumpe activos tienen consecuencias distintas para la continuidad del negocio y para la respuesta legal.

El caso de Petrosul, en Brasil, ilustra la zona gris. Securelyn Intel y DeXpose registraron una reclamación de DragonForce contra la empresa, clasificada como del sector de combustibles, y hablaron de una amenaza de publicación de datos. Sin embargo, las fuentes no verifican intrusión, acceso a datos ni impacto operativo. En términos estrictos, la fuente no permite afirmar que hubo cifrado, y por eso el hecho debe quedar en la categoría de reclamación atribuida pero no confirmada en su impacto.

Más interesante todavía fue el cuadro agregado de Entel Digital citado por Diario Financiero. Allí se informó que entre enero de 2025 y septiembre de 2026 se contabilizaron 1.080 víctimas de ransomware en América Latina, de las cuales 338 correspondieron a infraestructura crítica. Para el subconjunto 2026, la región vio un aumento de 28% frente al mismo período de 2025, de 125 a 160 casos. El dato no es específico de octubre, pero ayuda a contextualizar por qué el mes incorporó más cobertura de extorsión sobre sectores esenciales.

Fraude y phishing

El fraude digital tuvo un perfil claro en Colombia y estuvo muy atado a servicios públicos. Una cobertura sobre la Empresa de Acueducto y Alcantarillado de Bogotá explicó el Search Engine Phishing como una modalidad que usa resultados o anuncios de buscadores para llevar a sitios fraudulentos que imitan páginas oficiales. Otra nota señaló que la entidad había recibido más de 8.200 reportes durante 2026 sobre enlaces fraudulentos para pagar facturas encontrados en motores de búsqueda.

La campaña Shadow Parasite refuerza esa misma línea. El objetivo no es necesariamente entrar a un sistema, sino capturar al usuario en el momento de pago o consulta. Eso tiene relevancia para utilities porque la relación comercial con el cliente es parte del negocio y también parte de la superficie de ataque. Si el usuario no distingue la URL falsa, el impacto se traslada a soporte, recuperación de cuenta, devoluciones y pérdida de confianza.

También hubo telemetría de volumen, no incidentes, que conviene poner en su lugar. Infobip informó que bloqueó 56% más mensajes maliciosos en América Latina que el año anterior y que el phishing representó la mitad de esos bloqueos regionales. Eso describe intentos y bloqueos automatizados, no intrusiones confirmadas. El dato sirve para contextualizar presión sobre canales de mensajería, pero no debe contarse como evento operativo del mes.

APT, hacktivismo y OT

No aparecieron en el material actores APT o hacktivistas con atribución sólida sobre el vertical, pero sí hubo señales de exposición técnica que interesan a operadores OT. Los avisos de CISA sobre Hitachi Energy y Siemens mostraron vulnerabilidades en productos usados en el sector energético, con riesgo de ejecución de comandos, lectura de archivos, bypass de autenticación, escalamiento de privilegios y denegación de servicio. En paralelo, el caso Huatacondo mostró cómo una interrupción puede mantener efectos durante semanas cuando la recuperación no queda resuelta de inmediato.

La lectura de octubre es que el riesgo OT no depende solo de la aparición de un actor sofisticado. También se alimenta de software expuesto, firmware de fin de vida y productos que tienen presencia global en entornos críticos. La superficie está ahí, y el material del mes lo confirma con varios advisories a la vez. El desafío para la región no es únicamente detectar un actor avanzado, sino administrar el inventario, el ciclo de vida y la exposición de plataformas industriales que todavía sostienen operación real.

Vulnerabilidades críticas

El mes dejó 11 CVEs críticos mencionados en material verificable, una suba fuerte frente al período anterior. Eso no implica que todos estuvieran explotados en la región, ni que todos correspondan a incidentes observados. Sí indica que el ecosistema OT del vertical quedó expuesto a un conjunto más amplio de debilidades conocidas, varias de ellas vinculadas a fabricantes presentes en energía y utilities.

El patrón de vulnerabilidades importa tanto como la lista. Hitachi Energy aparece en dos advisories distintos, uno sobre Asset Suite y otro sobre TRO600, lo que refuerza la necesidad de revisar inventario, versiones y exposición de componentes de operación y soporte. Siemens, por su parte, concentra un paquete amplio de fallas en RUGGEDCOM CROSSBOW y otro aviso sobre el Station Access Controller. Eso significa que el riesgo no se limita a un solo producto, sino a familias enteras que viven dentro de entornos energéticos y de transporte.

Regulación y cumplimiento

El frente regulatorio no fue tan voluminoso como el técnico, pero sí dejó dos señales útiles para cumplimiento y gobierno. Una proviene de Perú y otra del debate sectorial latinoamericano sobre reconocimiento normativo y tarifario de la ciberseguridad eléctrica.

En Perú, el Centro Nacional de Seguridad Digital publicó la Alerta integrada de seguridad digital N.° 213-2026-CNSD, con informe y análisis técnico sobre ataques a entidades públicas y empresas privadas durante el 30 de octubre. El material disponible no describe en detalle un régimen sancionatorio nuevo para energía, pero sí confirma actividad oficial de análisis y respuesta. En paralelo, un estudio difundido por pv magazine Latinoamérica, basado en información de ADELAT y 25 distribuidoras de diez países, señaló que Perú tiene disposiciones técnicas parciales y obligaciones de notificación de incidentes, pero no un marco integral de ciberseguridad eléctrica.

Ese contraste es relevante. Tener capacidad de alerta no equivale a tener un marco robusto para el sector. El material sugiere que la región todavía combina obligaciones dispersas, marcos parciales y distintos niveles de madurez entre países. También muestra que la ciberseguridad eléctrica ya aparece en discusiones normativas concretas, no solo en incidentes. Eso obliga a los equipos legales, de compliance y de tecnología a trabajar juntos, especialmente donde haya exigencias de notificación o consulta pública.

Países y subsegmentos más afectados

Los países más visibles del mes fueron Chile, Brasil y Colombia. No porque sean los únicos con hechos documentados, sino porque allí apareció el material más denso, más concreto o más sensible para el vertical. También hubo señales relevantes en Perú y referencias comparativas que ayudan a ubicar la región en su conjunto.

Chile

Chile concentró la mayor severidad operativa del período. Huatacondo siguió desconectado dos meses después del ciberataque atribuido por el Coordinador Eléctrico Nacional, y las coberturas lo vincularon además con pérdida de supervisión, telecontrol y desconexión de activos complementarios. A eso se sumó el reporte de Entel Digital sobre víctimas de ransomware en infraestructura crítica chilena durante 2026, que ubicó a energía, combustibles, agua y saneamiento con una porción significativa dentro del universo de servicios esenciales.

El subsegmento más expuesto fue el de generación renovable con almacenamiento. Eso no significa que sea el único vulnerable, pero sí que el caso visible del mes pertenece a ese ecosistema. La continuidad del incidente, más que su punto inicial, es lo que marca el riesgo para Chile: dos meses fuera de servicio, registros oficiales, y ausencia de una fecha pública de reconexión en el material analizado.

Brasil

Brasil apareció en dos planos distintos. Por un lado, Conab reportó ataques cibernéticos a sistemas y servicios digitales. Por otro, el país fue sede del ejercicio Guardião Cibernético, con escenarios orientados a infraestructura crítica en energía, agua, transporte y comunicaciones. Además, el registro atribuido por fuentes no confirmadas a Petrosul, una empresa del sector de combustibles, muestra que el ecosistema brasileño también está en la mira de grupos de extorsión.

El subsegmento energético que asoma aquí es el de combustibles y logística asociada, más que el de red eléctrica pura. La combinación de ataque, simulacro y posible reclamación de ransomware ofrece una imagen útil para los equipos locales: hay presión sobre activos digitales, pero también existe una capacidad institucional de entrenamiento que debería traducirse en respuesta más rápida y coordinación entre actores públicos y privados.

Colombia

Colombia fue el país más visible en fraude digital. Shadow Parasite, los portales de pago falsos y las campañas de búsqueda y suplantación colocaron a servicios públicos en el centro del engaño. El daño aquí no es un apagón ni una interrupción OT, sino la erosión del canal de relación con el usuario, la absorción de soporte y la exposición de datos personales y financieros.

El subsegmento afectado es el de servicios públicos de facturación y trámites. La señal de octubre es que el fraude sobre utilities ya funciona como una industria con dominios, IP, marcas suplantadas y pasarelas de pago asociadas. Para Colombia, eso implica una agenda de vigilancia de marca, takedown de dominios y coordinación con usuarios finales además de la protección técnica de sistemas internos.

Perú

Perú no aportó un incidente de gran impacto comparable al de Chile, pero sí un conjunto de señales de cumplimiento y respuesta institucional. La alerta del CNSD confirma actividad de análisis sobre ataques a entidades públicas y privadas, mientras el estudio de ADELAT citado en el material plantea carencias estructurales en el marco de ciberseguridad eléctrica, con supervisión limitada y protección insuficiente en muchos casos.

En subsegmentos, el mensaje es de gobernanza más que de crisis operativa. La discusión sobre reconocimiento tarifario y obligaciones sectoriales indica que la ciberseguridad eléctrica está entrando en terreno regulatorio más específico. Eso importa porque, cuando la norma no reconoce el costo ni el mandato, la inversión suele quedar fragmentada y dependiente de iniciativas aisladas.

Tendencias y señales a monitorear

La tendencia principal de octubre es una bifurcación entre menor volumen agregado y mayor intensidad técnica. El mes tuvo 55 hechos verificados frente a 66 del anterior, pero el riesgo no bajó en la misma proporción. Al contrario, subió la presencia de ransomware o extorsión como eje primario, crecieron los CVEs críticos mencionados y se consolidaron dos narrativas muy concretas, una de impacto operativo prolongado y otra de fraude digital más industrializado.

La comparación con el mes anterior también deja una señal útil sobre clasificación. En septiembre predominaba lo sin clasificar, con 33 de 66 hechos. En octubre, la categoría líder pasó a ser incidentes, con 19 de 55 hechos. Eso sugiere una mejora en la nitidez del material y, quizás, una cobertura más cercana a impacto verificable. No hay que leerlo como mejora de seguridad, sino como mejora de la trazabilidad de los eventos que salieron a la superficie.

Otra señal a monitorear es el crecimiento de la presión sobre producto OT. Hitachi Energy y Siemens aparecieron repetidamente en advisories de CISA y en avisos de fabricantes. Cuando eso ocurre, el riesgo no se agota en la vulnerabilidad individual. Se amplifica por inventario instalado, dependencia de versiones viejas y dificultad para parchear en ventanas de operación reducidas. En utilities, cada semana de demora puede ser operativamente costosa.

También conviene seguir la evolución del fraude sobre servicios públicos, porque es más probable que crezca antes que el ransomware visible. Las campañas de suplantación no requieren comprometer un PLC ni alterar una subestación. Les basta con copiar una interfaz, comprar tráfico, posicionarse en buscadores y esperar clics. Es una amenaza de alto rendimiento y bajo costo que desgasta a las empresas y a los usuarios.

Recomendaciones para equipos de seguridad

La primera prioridad es revisar la exposición de activos OT y los productos citados en advisories de octubre. Si una organización usa Hitachi Energy o Siemens en operaciones, no alcanza con archivar el aviso. Hay que verificar versiones, dependencias, compensating controls y exposición remota. El objetivo no es solo parchear, sino saber qué activos quedan alcanzados, cuáles pueden aislarse y cuáles requieren mitigación temporal.

La segunda prioridad es reforzar la continuidad operativa en torno a desconexiones prolongadas. El caso Huatacondo demuestra que un evento puede seguir afectando durante semanas si no hay trazabilidad clara de reconexión, validación de telecontrol y recuperación coordinada con el operador de red. Los equipos deberían tener procedimientos específicos para pérdida de supervisión, pérdida de telecontrol y retorno seguro a servicio.

La tercera prioridad es cerrar la brecha entre seguridad técnica y canal de cliente. En utilities, el fraude de búsqueda y la suplantación de portales no son un problema periférico. Requieren monitoreo de dominios similares, campañas de comunicación, validación de enlaces oficiales y mecanismos de denuncia o takedown. Si el usuario llega al sitio falso primero, el daño ya comenzó.

La cuarta prioridad es afinar la clasificación interna de incidentes. Octubre mostró que extorsión, filtración y mención en leak site no son equivalentes. Un equipo que agrupa todo bajo ransomware pierde capacidad de respuesta y de reporte. Conviene separar cifrado confirmado, exfiltración sin cifrado y sola mención atribuida, porque cada una activa decisiones distintas de negocio, legal y operaciones.

La quinta prioridad es integrar cumplimiento y ciberseguridad. Donde existan consultas públicas, alertas integradas o marcos parciales, como en Perú, el área técnica debe conversar temprano con legal y asuntos regulatorios. La regulación no resuelve el incidente, pero sí puede imponer plazos, evidencias y responsabilidades que afectan la respuesta.

Preguntas frecuentes

¿Qué explica que octubre haya tenido menos hechos totales pero más presión de riesgo técnico?

Octubre cerró con 55 hechos verificados, menos que en septiembre, pero subió la densidad de señales técnicas: 9 casos con ransomware o extorsión como eje primario y 11 CVEs críticos mencionados. El riesgo se concentró en menos frentes, pero con mayor severidad y más cercanía a la continuidad operativa.

¿Qué caso dejó la señal operativa más seria para el vertical?

El más serio fue Huatacondo en Chile, porque el parque solar y su BESS siguieron fuera de servicio con disponibilidad cero durante octubre. La cobertura también citó desconexión forzada del transformador TR1 de Santa Rita y pérdida de supervisión y telecontrol, lo que amplía el impacto más allá de un solo activo.

¿Cómo debe interpretarse el salto de ransomware respecto del mes anterior?

Debe leerse como una suba de visibilidad y relevancia, no como una suma mecánica de todos los tipos de extorsión. El indicador pasó de 1 a 9 casos, pero el material distingue entre exfiltración sin cifrado, tipificación no determinable y solo reclamación atribuida. Esa distinción cambia la lectura operativa y legal.

¿Qué países aportaron la señal más útil para equipos de energía y utilities?

Chile aportó el impacto operativo más claro, Brasil combinó incidente digital y ejercicio de preparación, y Colombia concentró fraude y phishing sobre servicios públicos. Perú añadió contexto regulatorio y de cumplimiento. Juntos muestran que el riesgo del vertical no es homogéneo y que cada país empuja un ángulo distinto.

¿Qué conviene hacer con los CVEs mencionados en octubre?

Conviene tratarlos como una lista de exposición prioritaria y no como un total abstracto. Los avisos de CISA y Siemens apuntan a Hitachi Energy y Siemens RUGGEDCOM, productos ligados a entornos energéticos. La acción inmediata es inventariar versiones, revisar exposición y definir mitigaciones si no se puede parchear enseguida.

¿La telemetría de bloqueos de phishing cuenta como incidente del mes?

No. La cifra de Infobip describe intentos o bloqueos automatizados, no intrusiones confirmadas. Sirve para contextualizar presión sobre canales digitales, pero no debe sumarse al conteo de incidentes ni usarse como prueba de impacto operativo en energía o utilities.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para octubre de 2026 y con dos hechos de meses anteriores usados solo como marco comparativo explícito, no como volumen del período. También hubo un hecho sin fecha confirmada, excluido de los indicadores. El alcance geográfico y sectorial es América Latina, con foco en energía, electricidad y utilities de infraestructura crítica.

Un indicador en cero o en ausencia de desglose, en particular los CVEs o la tipificación de ransomware, significa que no se registró en el material analizado, no que no exista en la región. Lo mismo vale para la falta de confirmación de actor, vector o filtración en varios incidentes. La ausencia de dato no equivale a ausencia de hecho.

La ventana temporal declarada para los indicadores incluye 56 hechos con fecha en octubre de 2026, 2 hechos de meses anteriores como marco comparativo y 1 sin fecha confirmada excluido del cómputo. Los indicadores de este informe se basan solo en los hechos fechados dentro del período y en su tipificación verificable.

Se excluyeron del volumen las cifras de telemetría agregada, como intentos o bloqueos automatizados de phishing, porque no son incidentes con impacto confirmado. También se excluyeron fuentes no permitidas por las reglas editoriales, y no se usaron redes sociales ni publicaciones no incluidas en la lista de fuentes disponibles para citar.