Argentina: situación de ciberseguridad, agosto 2026

Amenazas y campañas activas en Argentina

Ransomware y extorsión, Oldelval como caso confirmado y múltiples reclamaciones

En agosto hubo 34 casos con ransomware o extorsión como eje primario, y el material separa con suficiente claridad tres niveles de impacto. Solo tres hechos muestran cifrado de activos confirmado, otros tres describen exfiltración sin cifrado, tres más se limitan a la mención en leak site y 25 no permiten determinar la tipificación exacta.

Oldelval queda en el primer grupo por su confirmación de ciberataque con recuperación de sistemas, aunque sin confirmación pública de cifrado ni de exfiltración. El resto del mes quedó dominado por campañas publicadas en leak sites sobre salud, transporte y tecnología. Ese conjunto no debe leerse como 34 casos de daño confirmado, sino como 34 hechos donde el ransomware o la extorsión fue el eje narrativo o operativo.

Fraude y phishing, menos volumen que en julio pero mismo vector operativo

Solo 2 casos de fraude o phishing quedaron documentados como hechos del período, frente a 9 en julio. La baja no implica alivio estructural, porque el fraude digital siguió muy presente en el ecosistema argentino y en las señales regulatorias y judiciales que rodean banca, billeteras y medios de pago.

El material del mes vuelve a mostrar el mismo patrón operativo, suplantación de identidad, mensajes por WhatsApp, llamadas falsas, sitios apócrifos y engaños con imagen institucional. Lo nuevo no es el método, sino la persistencia de su efectividad y la carga que empieza a dejar en reclamos, litigios y mecanismos de autenticación más estrictos.

APT y explotación de vulnerabilidades, Argentina como objetivo secundario de campañas externas

No hubo en el período una campaña APT local claramente delimitada por fuente primaria argentina, pero sí apareció una señal técnica relevante. SCWorld informó que grupos APT vinculados a Rusia explotan CVE-2026-73570 contra agencias gubernamentales, universidades e instituciones estatales en Brasil y Argentina.

Esa mención no convierte el caso en un incidente argentino confirmado, pero sí lo pone en el radar de amenazas con posible relevancia para sector público, educación e infraestructura estatal. El contexto general del mes sugiere que Argentina sigue siendo objetivo de explotación oportunista y de campañas con alcance regional, más que de una única operación sofisticada aislada.

Vulnerabilidades críticas con impacto en Argentina

La lista no agota la superficie vulnerable del país ni de la región. Solo recoge las vulnerabilidades críticas mencionadas en el material del mes, y varias de ellas aparecen en contexto regional o global, no necesariamente con explotación confirmada dentro de Argentina.

Regulación y cumplimiento en Argentina

Argentina tuvo un mes especialmente movido en materia regulatoria, con avances concretos en ciberseguridad, datos personales, telecomunicaciones y fraude financiero. El denominador común fue la intención de ordenar sectores críticos con normas más específicas, aunque en varios casos el marco aún está en transición o no llega a convertirse en ley integral nacional.

El caso más avanzado a nivel subnacional fue Mendoza. La provincia dio despacho y luego media sanción a su proyecto de ley de ciberseguridad, que crea un Sistema Provincial, un SOC, un CSIRT y un esquema de sanciones, auditoría y notificación de incidentes. La iniciativa también incorpora una Estrategia Provincial de Ciberseguridad y obligaciones para proveedores tecnológicos del Estado.

A nivel nacional, el BCRA siguió ampliando su andamiaje normativo. Entró en vigor el mecanismo de Cobro con Transferencia para cuotas de préstamos, con condiciones explícitas de consentimiento, aviso previo y topes de intentos de débito. Además, el propio Banco Central publicó una nueva regulación sobre gestión del riesgo de fraude en medios de pago, con implementación escalonada y vigencia plena prevista para septiembre de 2027.

ENACOM, por su parte, prorrogó la implementación del nuevo RAMATEL hasta el 1 de diciembre de 2026 y mantuvo un régimen transitorio para homologación de equipos de telecomunicaciones. Ese cambio no es menor: afecta infraestructura, proveedores y tiempos de adecuación, y se suma al debate sobre qué sistemas o redes deben considerarse infraestructura crítica de información.

El frente de datos personales también siguió en movimiento. Marval analizó un nuevo proyecto de ley que extiende el alcance extraterritorial, mientras el Congreso recibió iniciativas sobre violencia digital, ciberacoso y protección de niñas, niños y adolescentes. El mensaje de fondo es que el país está sumando capas normativas, pero todavía lo hace en piezas dispersas, no en un marco unificado.

Sectores más afectados en Argentina

El sector más expuesto en agosto fue el energético, no por cantidad de casos sino por la relevancia sistémica de Oldelval. La operadora del principal oleoducto del país convirtió un incidente administrativo en una señal de riesgo nacional, y por eso el episodio pesó más que cualquier otro hecho individual del mes. La capacidad de contención fue buena, pero la exposición quedó visible.

Salud fue el otro gran foco. Sanatorios, centros de neurología y hospitales privados aparecieron en reclamaciones de ransomware o extorsión, muchas veces con información todavía no verificada de forma independiente. Eso sugiere que el sector sigue siendo atractivo para grupos que monetizan la urgencia operativa y la sensibilidad de los datos clínicos.

Transporte y logística también quedaron dentro del radar. Flecha Bus y otros casos, además de la propia visibilidad de Oldelval como red logística de hidrocarburos, muestran que el mes tuvo una geometría sectorial más amplia que la del simple fraude financiero. El valor de los activos operativos, el costo de una interrupción y la posibilidad de extorsión siguen siendo factores decisivos.

Tecnología y servicios profesionales completan el cuadro, con Criba, Tecno Accion y otras referencias que aparecen en leak sites o en plataformas de inteligencia. En paralelo, el consumo financiero y la banca mantuvieron el ruido de fondo por fraude, reclamos y nuevos mecanismos de cobranza. El sector público, aunque menos visible en incidentes confirmados, sí estuvo presente en la discusión regulatoria y en la exposición a filtraciones y phishing.

Tendencias y señales a monitorear en Argentina

La comparativa con julio muestra menos hechos verificados totales, 84 contra 87, pero más peso relativo de ransomware, que subió de 33 a 34 casos. La señal más clara no es un salto cuantitativo sino una persistencia del mismo patrón, extorsión sobre sectores críticos y nombres concretos en portales de filtración.

En sentido contrario, cayó fuerte el fraude o phishing documentado, de 9 a 2 casos. Eso no debe leerse como desaparición del problema. El mes estuvo lleno de contexto sobre fraude digital, fallos judiciales, reclamos a bancos y nuevas reglas de autenticación, así que la caída refleja más la composición del archivo que un alivio estructural en el frente financiero.

Los CVEs críticos mencionados bajaron de 13 a 10. Tampoco aquí hay que sobrerreaccionar. El material de agosto siguió mostrando explotación activa de vulnerabilidades de alto perfil, solo que en menor cantidad de menciones verificadas dentro del corpus analizado. La tendencia útil es otra, la superficie técnica sigue siendo amplia y los grupos de ransomware la aprovechan con rapidez.

La variable que más merece seguimiento en septiembre es la consolidación de campañas con presión pública sobre salud, transporte e infraestructura energética. Oldelval mostró que el país puede contener el impacto operativo, pero no que el riesgo haya bajado. Si a eso se suma la proliferación de leak sites con víctimas argentinas y la continuidad de la agenda regulatoria, el mes siguiente arranca con varias líneas de vigilancia abiertas.

Recomendaciones para equipos de seguridad en Argentina

1. Revisar la segmentación entre redes administrativas, sistemas industriales y capas de soporte, con foco en infraestructura crítica. Oldelval mostró que la contención depende de que IT no arrastre a OT.
2. Acelerar la capacidad de respuesta ante reclamaciones en leak sites. En salud, transporte y tecnología, la primera señal suele ser pública antes que interna.
3. Fortalecer autenticación y control de accesos en banca, billeteras y procesos de cobranza. El fraude y el phishing bajaron en volumen documental, pero no en capacidad de daño.
4. Preparar procedimientos de notificación y trazabilidad de incidentes, porque el marco regulatorio local sigue expandiéndose y ya no alcanza con responder solo desde seguridad técnica.
5. Aplicar parches urgentes en los productos que aparecen con explotación activa, en especial los que están en KEV o fueron mencionados como vector inicial.
6. Revisar retención de logs, restauración y resguardo de credenciales privilegiadas. En campañas como The Gentlemen o Qilin, la aceleración operativa deja poco margen de reacción.
7. Para sectores con datos sensibles, asumir que la extorsión puede combinar filtración real, mención en leak site y ruido de inteligencia de amenazas. Conviene preparar respuestas para los tres escenarios.

Preguntas frecuentes

¿Qué une a Oldelval, salud y transporte en el mes de agosto?

Los tres sectores quedaron expuestos a presión de ransomware o extorsión, pero con impactos distintos. Oldelval tuvo un ciberataque confirmado sin corte operativo, salud concentró varias reclamaciones en leak sites y transporte apareció con Flecha Bus. La sección de Incidentes relevantes y la de Amenazas y campañas activas muestran ese cruce.

¿Bajó realmente el fraude digital en Argentina o solo cambió de forma?

Bajó el número de casos documentados en el material del mes, de 9 en julio a 2 en agosto, pero no desapareció el problema. El contexto de banca, billeteras, reclamos y nuevas reglas del BCRA muestra continuidad. La diferencia está entre volumen documental y persistencia estructural, que aparece en Tendencias y Regulación.

¿Qué diferencia hay entre una víctima en leak site y un incidente confirmado?

Una víctima en leak site es una reclamación pública del atacante o de un portal de monitoreo, mientras un incidente confirmado implica validación de la organización, el regulador o la fuente primaria. En agosto hubo varios casos de reclamación sin confirmación independiente, como Sanatorio Modelo de Caseros, Flecha Bus o AMCA.

¿Qué significa que haya 10 CVEs críticos mencionados y no más?

Significa que diez vulnerabilidades críticas aparecieron en el material analizado del mes, no que solo existan diez en la región o en el país. La cifra no captura todo el universo técnico. La tabla de Vulnerabilidades críticas con impacto en Argentina explica cuáles fueron las que sí quedaron mencionadas en agosto.

¿Qué sectores deberían mirar primero el informe completo?

Energía, salud, transporte, tecnología, servicios financieros y sector público. El mes mostró un cruce entre incidentes confirmados, reclamaciones de extorsión y cambios regulatorios que afectan directamente a esos rubros. Las secciones de Incidentes, Regulación y Sectores más afectados desarrollan el detalle.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para Argentina en agosto de 2026 y con un único hecho comparativo de julio de 2026. Los indicadores reproducen exactamente la base declarada, 84 hechos verificados del período, y la ventana temporal de 86 hechos con fecha en agosto 2026 más 1 de meses anteriores usado solo como marco comparativo.

Un indicador en cero, o una cifra menor que la del mes anterior, no significa ausencia regional del fenómeno. En especial en CVEs, el conteo refleja solo lo registrado en el material analizado, no la totalidad de vulnerabilidades críticas explotadas en Argentina o en el Cono Sur.

También quedaron excluidas las cifras de telemetría agregada, porque son intentos, bloqueos o escaneos automatizados y no incidentes con impacto confirmado. Si se mencionan, deben leerse como ruido de fondo técnico, no como volumen de intrusiones.

Finalmente, se excluyeron fuentes no disponibles en la lista autorizada y se evitó usar publicaciones fuera de ese universo. En el caso de redes sociales, solo se tomaron aquellas ya integradas en el material como pista corroborada o como evidencia secundaria permitida por el archivo de trabajo, siempre sin convertirlas en volumen independiente del mes.