Argentina: situación de ciberseguridad, septiembre 2026

Amenazas y campañas activas en Argentina

Ransomware y extorsión en Argentina

La campaña dominante del mes fue ransomware y extorsión, con 33 hechos sobre 66. El material disponible permite distinguir entre tres planos, pero en la mayor parte de los casos no alcanza para pasar del reclamo a la verificación forense. Hubo tres episodios con exfiltración sin cifrado, cuatro solo visibles como mención en leak site y 26 casos que no pudieron tipificarse mejor con las fuentes disponibles.

En la práctica, eso significa que el mes estuvo más atravesado por la presión pública de los grupos que por confirmaciones técnicas de cifrado o de caída prolongada de sistemas. La mayor parte de las entradas se concentran en monitores de leak sites, agregadores de brechas y reportes de terceros, con un grado de confirmación directa bajo para estándares de auditoría.

Fraude y phishing en Argentina

No se documentaron casos de fraude o phishing como incidente formal en los indicadores del período, aunque sí abundaron advertencias, cambios de comportamiento y análisis sobre fraude bancario con IA. El BCRA alertó sobre campañas de inversión falsa, mientras medios locales detallaron modalidades de estafa con clonación de voz, falsos asesores y manipulación audiovisual.

El punto de inflexión del mes no fue la aparición de un gran caso de phishing documentado, sino la consolidación de un ecosistema de fraude más industrializado. Las coberturas muestran técnicas recurrentes de suplantación de identidad, uso de deepfakes y mensajes con urgencia operativa, pero eso no se tradujo en una casuística contable dentro del indicador de incidentes formales.

APT, espionaje y hacktivismo en Argentina

La señal de APT y espionaje apareció en dos frentes. Por un lado, ESET y otros análisis reportaron actividad de FamousSparrow con un backdoor nuevo contra entidades gubernamentales argentinas. Por otro, el caso SparroWocky reforzó la idea de que organismos públicos de la región, incluida Argentina, siguen expuestos a campañas con persistencia y abuso de servicios legítimos.

No se observó en el material una ola de hacktivismo comparable en volumen al ransomware. La presión aquí fue más técnica que narrativa, con énfasis en backdoors, persistencia, y explotación de infraestructura de borde o sistemas de administración.

Vulnerabilidades críticas con impacto en Argentina

Las vulnerabilidades críticas mencionadas en el mes combinaron explotación activa, zero-days y fallas ya incorporadas al catálogo KEV de CISA. No todas se vinculan a incidentes locales confirmados, pero sí aparecen en el material como parte de la superficie de riesgo que puede afectar a organizaciones argentinas.

La tabla mezcla vulnerabilidades con distinto grado de vínculo a Argentina porque el material así lo presenta. Algunas están confirmadas por fuentes técnicas locales, como MUG Argentina y Gustavo Sied, y otras aparecen en análisis de campañas que impactaron a organizaciones del país o de la región. En septiembre, la señal más clara fue que el borde, las consolas de administración y los productos expuestos a internet siguen siendo un punto sensible para grupos de extorsión.

Regulación y cumplimiento en Argentina

Argentina cerró septiembre con un movimiento normativo intenso, especialmente en fraude financiero, ciberdelincuencia y protección de infraestructuras críticas. La Resolución 483/2026 creó el PRONACIB, programa nacional para investigar ciberdelitos y evidencia digital, y el Poder Ejecutivo envió al Congreso un proyecto de seguridad nacional que incorpora funciones de ciberseguridad e infraestructura crítica pública y privada.

El BCRA siguió siendo el actor más activo en la regulación antifraude. A través de la Comunicación A 8473 consolidó un score de riesgo de fraude que alimenta altas, monitoreo y revisión de transferencias inmediatas. Además, el propio Banco Central advirtió sobre campañas de inversión falsa y reforzó la idea de que la información pública puede ayudar a perfilar riesgos por persona.

En paralelo, el PRONACIB marcó un giro en política criminal, con foco en evidencia digital, activos virtuales e inteligencia artificial aplicada a la investigación. La combinación de estas medidas sugiere un Estado que no solo busca endurecer controles, sino también formalizar capacidades para responder a incidentes y sostener investigaciones con mejor soporte técnico.

Sectores más afectados en Argentina

Los sectores más expuestos en septiembre fueron gobierno y defensa, educación, salud, servicios, tecnología y comercio, con presencia también de industria y finanzas. El dato sectorial no es exclusivo, porque un mismo hecho puede tocar más de un sector, pero la distribución sí muestra dónde se concentró la presión del mes.

Gobierno y educación quedaron en el centro de la escena por el Ministerio de Educación de Argentina y el Poder Judicial de Jujuy. Salud apareció por Grupo Hospifar y por el historial regional que sigue atrayendo a grupos de extorsión. Servicios y tecnología también estuvieron presentes en varios listados de leak sites, lo que refuerza una pauta de ataque amplia y oportunista.

Finanzas no lideró la casuística de incidentes, pero sí fue el sector con mayor densidad de regulación y advertencias. El BCRA, las billeteras y los bancos concentraron buena parte de las medidas antifraude y de las recomendaciones operativas difundidas durante el mes. Comercio y retail, con nombres como Diarco y Librería Santa Fe, completaron un mapa sectorial que no dejó prácticamente fuera a ninguna vertical con datos o operación digital relevante.

Tendencias y señales a monitorear en Argentina

El mes cerró con menos hechos verificados que el anterior, pero con una persistencia clara de ransomware y con una reducción fuerte en la cantidad de movimientos regulatorios y de fraude documentado. Frente a agosto, los hechos verificados bajaron de 84 a 66, los incidentes sin tipificar pasaron de 16 a 10, los casos de ransomware o extorsión bajaron apenas de 34 a 33 y los hechos de fraude o phishing quedaron en cero, contra dos del mes previo.

La baja de volumen no implica alivio estructural. En términos de gravedad, septiembre siguió mostrando presión sobre sectores sensibles y, además, agregó un frente normativo más definido que el de agosto. Los siete movimientos regulatorios del mes todavía son muchos menos que los quince del período anterior, pero apuntan a una mayor concreción institucional. La lectura más útil es que el ecosistema criminal se mantuvo activo mientras el Estado afinó herramientas de control y de investigación.

También conviene mirar la calidad de la confirmación. Solo el 39% de los hechos tuvo confirmación directa de la fuente, lo que obliga a tratar parte del panorama ransomware como señal de exposición pública más que como brecha comprobada. En el próximo mes, la trazabilidad de casos, la publicación de evidencias técnicas y la respuesta oficial de las organizaciones afectadas serán la diferencia entre una lista de reclamos y un mapa real de intrusión.

Recomendaciones para equipos de seguridad en Argentina

La prioridad para octubre debería ser ajustar controles donde septiembre mostró más presión: transferencias inmediatas, exposición de servicios de borde, consolas administrativas y flujos de evidencia digital. El mes dejó suficiente material para sostener que el riesgo no está concentrado en una sola vertical, sino distribuido entre gobierno, educación, salud, servicios y finanzas.

Primero, reforzar el monitoreo de acceso inicial y el endurecimiento de activos expuestos a internet. Las campañas con CVE críticas, sumadas a los reclamos de ransomware en sitios de filtración, sugieren revisar VPN, appliances de correo, paneles de administración y cualquier portal con autenticación débil o sin parche reciente. La revisión debe incluir cuentas privilegiadas, MFA resistente a phishing y alertas sobre cambios de configuración.

Segundo, separar procedimiento de incidente y procedimiento de extorsión. Si la organización aparece nombrada en un leak site, no alcanza con mirar el post. Hay que preservar logs, identificar accesos remotos, congelar cuentas administrativas, verificar exfiltración, evaluar credenciales expuestas y coordinar la respuesta legal y técnica al mismo tiempo. Si el caso toca datos personales, también hay que activar la ruta de cumplimiento correspondiente.

Tercero, revisar la postura frente a fraude con IA. El material del mes mostró clonación de voz, deepfakes y suplantación de asesores como técnicas activas. Conviene incorporar verificación fuera de banda, frase de seguridad para procesos sensibles, restricciones a cambios de cuenta de destino y capacitación interna en señales de manipulación audiovisual.

Cuarto, mapear dependencia de terceros en servicios críticos. Las discusiones sobre infraestructura crítica, sistemas nacionales de seguridad y continuidad digital apuntan a que la cadena de suministro, el hosting, los proveedores cloud y los operadores tecnológicos pasan a ser parte del riesgo central. Los equipos deberían tener inventario actualizado, RTO y RPO por proceso, y un plan de continuidad que no dependa solo del proveedor.

Preguntas frecuentes

¿Qué cambió en Argentina entre el fraude bancario y el ransomware este mes?

En septiembre hubo mucha más presión por ransomware y extorsión que por fraude o phishing formalmente documentado. El fraude apareció sobre todo como advertencias del BCRA y coberturas sobre IA, mientras que los reclamos de leak site y extorsión dominaron el volumen mensual. Ver también las secciones Amenazas y campañas activas en Argentina y Regulación y cumplimiento en Argentina.

¿Qué sectores argentinos quedaron más expuestos al ransomware y a la regulación nueva?

Gobierno, educación, salud, servicios, tecnología, comercio, industria y finanzas tuvieron al menos un hecho documentado. La presión criminal fue más visible en gobierno, educación y salud, mientras que la regulación más intensa se concentró en finanzas y ciberdelincuencia. Ver también Sectores más afectados en Argentina e Indicadores del período en Argentina.

¿Qué vulnerabilidades críticas hay que relacionar con los casos locales del mes?

Las más relevantes fueron CVE-2026-76461, CVE-2026-85706, CVE-2026-75650 y CVE-2026-59310. Algunas aparecen en fuentes técnicas locales, y otras en análisis de campañas que tocaron a organizaciones argentinas o regionales. La lectura correcta es cruzarlas con el tipo de exposición, no asumir impacto local automático. Ver Vulnerabilidades críticas con impacto en Argentina.

¿Qué medidas regulatorias argentinas tuvieron mayor peso operativo?

Las dos más importantes fueron la Resolución 483/2026, que creó el PRONACIB, y la Comunicación A 8473 del BCRA, que estableció el score de riesgo de fraude para transferencias inmediatas. A eso se suma el proyecto de seguridad nacional con funciones sobre ciberseguridad e infraestructuras críticas. Ver Regulación y cumplimiento en Argentina.

¿Qué debería priorizar un equipo de seguridad si aparece en un leak site?

Preservar logs, revisar accesos remotos y cuentas privilegiadas, confirmar si hubo exfiltración, cortar credenciales comprometidas y coordinar respuesta técnica, legal y de cumplimiento. Si el caso involucra ransomware, no conviene negociar sin verificación forense mínima. Ver Recomendaciones para equipos de seguridad en Argentina e Incidentes relevantes en Argentina.

Limitaciones del material

El informe se construyó exclusivamente con el material provisto para Argentina en septiembre de 2026. No hubo acceso a internet ni verificación externa adicional, y quedaron fuera los hechos sin fecha confirmada, que no se incluyeron en los indicadores aunque pudieron usarse solo como contexto cualitativo si era necesario.

Un valor en cero, en especial en CVEs, significa que no apareció en el material analizado del período, no que no exista actividad similar en la región ni que no hayan ocurrido vulnerabilidades explotadas fuera de este corpus. Del mismo modo, el indicador de fraude o phishing en cero no niega que haya habido intentos o incidentes en el país, solo que no quedaron documentados en las fuentes de este mes con la tipificación requerida.

La ventana temporal de los indicadores es la ya declarada arriba, 66 hechos con fecha en septiembre de 2026, con 2 hechos sin fecha confirmada excluidos de los conteos. También quedaron fuera del conteo las cifras de telemetría agregada, intentos bloqueados o promedios de vendors, porque no constituyen incidentes y no deben mezclarse con el registro del período.

El material excluyó además fuentes de redes sociales de consumo y publicaciones promocionales como evidencia principal. Cuando aparecieron notas de terceros, monitores de leak sites o análisis de mercado, se usaron solo como señal contextual o atribuida, nunca como confirmación suficiente si el propio material no la daba. Eso explica por qué varios casos de ransomware quedan en la categoría de reclamo o tipificación no determinable.