Argentina: situación de ciberseguridad, octubre 2026

Incidentes relevantes en Argentina

Ataque a Program Consultores y caída de servicios municipales

El ataque contra Program Consultores S.A. fue el incidente más amplio del mes en Argentina: cifró archivos, dejó servidores fuera de servicio y afectó trámites, cobros y portales de municipios de varias provincias. El alcance operativo fue nacional, aunque el vector inicial y el tamaño de la exfiltración, si la hubo, no quedaron establecidos en forma concluyente.

La secuencia comenzó en la infraestructura del proveedor y se propagó a municipios clientes. La cobertura de distintos medios confirmó interrupciones en Punilla, Santa Cruz, Río Negro, Santa Fe y otras jurisdicciones, con una afectación que superó los 250 municipios y comunas. La empresa sostuvo que no hubo robo de bases de datos ni filtración de información confidencial, pero ese punto quedó sujeto a la lectura de cada autoridad local.

El caso combina impacto operativo confirmado con una tipificación de ransomware nítida. También deja una señal estructural: cuando un proveedor centralizado cae, la superficie de interrupción se multiplica.

Ataque informático al Gobierno de Formosa

El Gobierno de Formosa informó un ataque informático que afectó sus sistemas digitales y llevó a suspender servicios de manera preventiva. El comunicado no precisó el tipo de ataque, el actor ni si hubo robo de datos, por lo que el hecho se mantiene como un incidente confirmado pero no tipificado.

La misma jurisdicción sumó un segundo episodio relevante, esta vez en el Poder Judicial, que interrumpió temporalmente servicios como el sitio oficial, e-Justicia y webmail por vulnerabilidades críticas de seguridad. En conjunto, Formosa dejó ver un patrón de contención preventiva frente a problemas de ciberseguridad con impacto sobre la atención al público.

Deepfakes sexuales en un colegio de Lomas de Zamora

La difusión de imágenes sexuales falsas creadas con IA en un colegio de Lomas de Zamora fue uno de los hechos más sensibles del mes por su impacto sobre menores de edad. La justicia analizó teléfonos de los imputados, la causa quedó radicada en el fuero juvenil y distintas coberturas indicaron que hubo decenas de alumnas afectadas.

El valor del caso no está solo en la tecnología usada, sino en la forma de distribución. El material fue asociado con venta, circulación en grupos de mensajería y exposición escolar, lo que convierte el episodio en una forma de violencia digital con derivaciones penales, educativas y de protección de datos personales.

Amenazas y campañas activas en Argentina

Ransomware y extorsión

El mes dejó 10 casos con ransomware o extorsión como eje primario. En dos de ellos hay cifrado de activos confirmado, uno corresponde a exfiltración sin cifrado y en siete la documentación disponible no permite determinar si hubo cifrado, exfiltración o solo reivindicación pública de la víctima.

El ejemplo más sólido es Program Consultores, donde la empresa reconoció que un virus cifró archivos y dejó inoperativos servidores. El caso de Villa Carlos Paz quedó atado a esa misma infraestructura y el municipio aclaró que el ataque no golpeó directamente su red local. En otros reclamos, como los listados por grupos criminales o fuentes de inteligencia, la evidencia pública no alcanza para separar una mención en leak site de una intrusión demostrada.

Fraude, phishing y estafas digitales

Los 8 hechos de fraude o phishing documentados muestran una continuidad del ataque centrado en la víctima, no en la infraestructura. Hubo condenas y fallos contra bancos por fallas en el deber de seguridad, una estafa telefónica que derivó en préstamos no autorizados y una investigación por un esquema de inversión fraudulenta que usaba anuncios en Gmail, medios falsos y figuras públicas.

También apareció la estafa digital como servicio, con Argentina como uno de los países rastreados por Group-IB en Classiscam, un esquema que usa bots de Telegram para desplegar páginas fraudulentas. A eso se suma la consolidación de fraudes con suplantación de identidad y WhatsApp, algo que la fiscalía de Córdoba describió como un entorno dominado por ingeniería social y toma de cuentas.

APT, influencia y uso ofensivo de IA

OpenAI informó la suspensión de cuentas originadas en Rusia usadas para operaciones de influencia encubiertas con foco en Argentina y Bolivia. Esa línea de actividad no equivale a espionaje clásico, pero sí confirma un uso ofensivo de IA para producir contenido, perfiles falsos e inserción en debates políticos.

En el mismo mes, el material indicó que actores usaron agentes de IA para comprometer organizaciones sanitarias argentinas y que una de las campañas reportadas abarcó al menos 15 entidades. Aunque no se identificaron instituciones ni volúmenes de datos en forma completa, el punto es relevante porque muestra un uso más industrializado de IA para reconocimiento, selección de objetivos y ejecución de tareas.

Vulnerabilidades críticas con impacto en Argentina

La señal más relevante no es solo la existencia de las dos CVEs, sino el eco operativo que generaron. BA-CSIRT emitió una alerta con gravedad 9,2 sobre 10, y el CERT argentino relevó sitios estatales para estimar exposición tecnológica. El material no demuestra explotación en Argentina, pero sí un universo amplio de activos potencialmente afectados por software vulnerable.

Regulación y cumplimiento en Argentina

La novedad regulatoria más importante del mes fue la Resolución General 1172/2026 de la CNV para los Proveedores de Servicios de Activos Virtuales. La norma exige políticas, procedimientos y controles de ciberseguridad con enfoque basado en riesgos, y obliga a reportar interrupciones sustanciales, ciberataques, fraudes e incidentes de seguridad que comprometan fondos o datos de clientes.

El alcance no es menor. La CNV integró gobernanza, identificación, protección, detección, respuesta y recuperación dentro del régimen aplicable a PSAV. También dejó claro que la información periódica comenzará a regir desde el 1 de noviembre de 2026, aunque la resolución entró en vigencia al día siguiente de su publicación.

En paralelo, el mes estuvo atravesado por casos de cumplimiento y responsabilidad en banca tradicional. Fallos en La Plata, Santa Rosa y otras jurisdicciones reforzaron el criterio de que la entidad financiera no puede desentenderse cuando hay operaciones atípicas, accesos desde lugares inusuales o señales claras de fraude. Ese punto vuelve a poner en primer plano la detección temprana, la verificación de identidad y la trazabilidad de movimientos.

Sectores más afectados en Argentina

El sector público fue el más golpeado por volumen y por efecto dominó. Municipios, administraciones provinciales y dependencias judiciales convivieron con caídas de sistemas, suspensión de servicios y problemas de autenticación o continuidad operativa. La dependencia de proveedores externos, como en el caso de Program Consultores, amplificó el impacto más allá de una única institución.

El segundo gran foco fue el financiero, aunque con una mezcla distinta de hechos. Allí predominó el fraude al usuario, el phishing, la suplantación de identidad y la discusión judicial sobre deber de seguridad de los bancos. El riesgo no provino tanto de un ataque masivo a infraestructura bancaria, sino de maniobras que explotan eslabones débiles en la relación con el cliente.

Educación y salud también tuvieron presencia. En educación, los deepfakes sexuales en colegios generaron una respuesta judicial y mediática de alto impacto. En salud, el material muestra campañas de agentes de IA reportadas por CrowdStrike contra organizaciones argentinas, aunque el detalle público es insuficiente para mapear el impacto exacto caso por caso.

Tendencias y señales a monitorear en Argentina

La comparación con el mes anterior muestra un giro claro. En septiembre, el eje dominante había sido ransomware, con 33 de 66 hechos. En octubre, esa primacía pasó a los incidentes, con 17 de 57 hechos, mientras el ransomware bajó a 10 y el fraude o phishing saltó de 0 a 8. El cambio sugiere más dispersión de vectores y menos concentración en una sola familia de ataques.

También bajó el peso de los movimientos regulatorios, de 7 a 5, y de las CVEs críticas mencionadas, de 8 a 2. Eso no significa menor exposición técnica, sino que en el material del mes hubo menos cobertura sobre vulnerabilidades y más sobre consecuencias operativas, fraude y casos judiciales.

La continuidad que sí merece monitoreo es la de la ingeniería social. Los casos de phishing bancario, fraude telefónico y estafas de inversión con IA apuntan a una misma superficie: la manipulación del usuario o del empleado para obtener acceso, autorización o transferencia. Si eso se combina con proveedores centralizados o con entornos mal segmentados, el daño escala rápido.

Recomendaciones para equipos de seguridad en Argentina

Conviene tratar a los proveedores de software crítico como parte del perímetro propio. El caso PGM mostró que un incidente en un tercero puede dejar sin sistema a cientos de municipios. Los contratos, las pruebas de continuidad, los tiempos de notificación y los planes de contingencia deben revisarse como si el proveedor fuera una extensión directa del entorno local.

En el frente de identidad y fraude, la prioridad es reforzar validaciones fuera de banda para operaciones sensibles. Los casos de phishing y fraude telefónico muestran que usuario, token y llamada siguen siendo suficientes para ejecutar transferencias o contratar préstamos si la entidad no cruza señales de riesgo, geolocalización, comportamiento y cambios de dispositivo.

Para entidades que administran datos sensibles o de menores, la recomendación es elevar el umbral de revisión antes de publicar o difundir contenido, y formalizar circuitos de respuesta con legal, compliance y atención a víctimas. Octubre dejó claro que el daño reputacional, legal y humano de una filtración o de un deepfake puede ser tan alto como el daño técnico.

En el plano técnico, las organizaciones con PHP expuesto deberían revisar con urgencia las dos CVEs del mes, verificar versiones, desactivar funciones de riesgo cuando aplique y validar que la mitigación no dependa solo de cambios temporales en runtime. Donde haya infraestructura compartida, el inventario de activos y el parcheo coordinado pesan tanto como la detección.

Preguntas frecuentes

¿Qué cambió entre el perfil de riesgo de septiembre y el de octubre en Argentina?

Octubre pasó de un mes dominado por ransomware a uno dominado por incidentes operativos y fraude. Según los indicadores, el ransomware o extorsión bajó de 33 a 10 casos, mientras los incidentes sin tipificar subieron de 10 a 17 y el fraude o phishing pasó de 0 a 8. Eso reordena las prioridades de respuesta.

¿Qué sectores conectan el ataque a PGM con los casos bancarios del mes?

El ataque a PGM golpeó al sector público, sobre todo municipios y administración local, mientras los casos bancarios se concentraron en fraude, phishing y deber de seguridad hacia clientes. La conexión está en el modelo de dependencia, no en la técnica: ambos muestran fallas en continuidad, autenticación y validación de operaciones.

¿Por qué los deepfakes sexuales aparecen como un tema de ciberseguridad y no solo penal?

Porque combinan creación digital, distribución por plataformas, exposición de menores y posible tratamiento indebido de datos personales. El caso de Lomas de Zamora cruzó justicia juvenil, escuela, mensajería y contenido manipulado con IA. El material del mes muestra que el riesgo no es solo tecnológico, sino también institucional y legal.

¿Qué relación hay entre las vulnerabilidades de PHP y el relevamiento de sitios estatales?

Las dos CVEs críticas de PHP generaron una alerta directa del BA-CSIRT y motivaron al CERT argentino a revisar sitios gob.ar. El relevamiento no prueba explotación en Argentina, pero sí muestra que había una base amplia de sitios con señales de PHP, lo que convierte la gestión de parches en una prioridad operativa.

¿Qué obliga a reportar la nueva norma de la CNV para PSAV?

La Resolución General 1172/2026 exige comunicar interrupciones sustanciales de sistemas, ciberataques, fraudes e incidentes que comprometan fondos o datos de clientes. También impone políticas y controles de ciberseguridad con enfoque basado en riesgos. Para el sector cripto local, esto sube el estándar de gobernanza y respuesta.

¿Los 17 incidentes sin tipificar significan que hubo más ataques que no se pudieron confirmar?

No necesariamente. Significa que en el material analizado hubo 17 hechos con impacto operativo o de seguridad, pero sin una tipificación técnica suficiente para clasificarlos con precisión. Pueden ser brechas, interrupciones o ataques en distintos estados de confirmación. La sección de Limitaciones explica ese matiz.

Anexo técnico: indicadores de compromiso y TTPs

TTPs publicados para el ataque a Program Consultores

El caso de Program Consultores mostró un patrón de ransomware con cifrado de archivos y caída de servidores alojados en infraestructura compartida. La fuente también mencionó pedidos de rescate y afectación de sistemas de gestión, cobros y trámites. No se publicaron hashes ni dominios, pero sí la táctica de interrupción operativa por cifrado.

TTPs y herramientas observadas en las campañas de fraude y APT

El material sobre Classiscam, CallFlow y las operaciones de influencia de OpenAI apunta a un uso combinado de bots, voz sintética, modelos de lenguaje y automatización para fraude e influencia. En la campaña de inversión fraudulenta, la táctica predominante fue la suplantación de medios, figuras públicas y brókers reales para empujar depósitos.

IoCs y señales técnicas públicas vinculadas a PHP2Shell

Black Kite, Censys, AWS, CERT/CC y Unit 42 publicaron señales técnicas sobre las vulnerabilidades de PHP. Entre las IPs observadas en intentos de explotación figuraron 103.216.220.92, 31.223.184.166, 37.19.200.5, 134.209.159.64 y 103.114.163.188. El material no las vincula con un actor concreto ni con un caso argentino específico.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para octubre de 2026 y solo cuenta como volumen del mes con los hechos fechados dentro de esa ventana temporal. Los hechos de meses anteriores se usaron únicamente para comparar evolución cuando correspondía, nunca para sumar actividad del período.

Un indicador en cero no significa ausencia regional del fenómeno, sino que no apareció en el material analizado del mes. Esto vale especialmente para CVEs, donde la cifra refleja lo registrado en las fuentes del período y no la inexistencia de vulnerabilidades críticas en Argentina o en la región.

La cobertura disponible combinó medios, fuentes oficiales, avisos técnicos y algunas notas de contexto. No se usaron publicaciones de redes sociales como evidencia, ni material de telemetría agregada como si fuera incidente. También quedaron fuera del conteo los hechos sin fecha confirmada y las afirmaciones que no pudieron corroborarse con fuentes primarias o con una confirmación suficiente.