Bolivia: situación de ciberseguridad, agosto 2026

Amenazas y campañas activas en Bolivia

Ransomware y extorsión, Consultores de Seguros

El único caso de ransomware o extorsión con atribución clara en agosto fue el de Consultores de Seguros, ligado a Qilin. El material no permite determinar si hubo cifrado confirmado, exfiltración sin cifrado o solo una mención en leak site, por lo que la clasificación operativa queda abierta.

La señal más sólida es la presencia de la víctima en rastreadores y sitios del ecosistema de extorsión. Eso incluye a BreachSense, ransomware.live, HookPhish, RecentBreaches, GalaxyWarden y HackerFeeds. En todos los casos, el nivel de confirmación pública de la empresa no aparece en el material, y la reclamación sigue dependiendo de la publicación del grupo o de agregadores de inteligencia.

Fraude y phishing, falsos gestores del BCB

El fraude documentado del mes se concentró en la suplantación del Banco Central de Bolivia para ofrecer créditos falsos. El caso combinó ingeniería social, QR y mensajería instantánea, con un discurso de autoridad institucional pensado para acelerar depósitos y capturar datos personales.

No hubo un segundo caso de phishing con el mismo nivel de detalle en el material. La relevancia operativa está en el patrón, porque este tipo de fraude se apoya en confianza preexistente y en canales cotidianos. El BCB reaccionó con una denuncia penal y una advertencia pública, lo que convierte el incidente en una señal útil para el sistema financiero y para equipos antifraude.

APT, hacktivismo y operaciones de desinformación, mini granja de bots

El caso Cerimedo no se presentó como una APT clásica, pero sí como una operación digital estructurada que merece monitoreo en la categoría de desinformación y abuso de automatización. La evidencia pública habla de una mini granja de bots, equipos secuestrados para peritaje y recursos asociados a campañas políticas en redes.

Para Bolivia, esto importa porque desplaza el foco desde la intrusión técnica hacia la manipulación de conversación pública. No hay atribución a un actor estatal ni una cadena de intrusión confirmada, así que el hecho debe leerse como hacktivismo o desinformación organizada solo en sentido amplio, no como ciberespionaje comprobado.

Vulnerabilidades críticas con impacto en Bolivia

No se registraron CVEs críticos mencionados en el material analizado para agosto de 2026. La ausencia en esta tabla significa que no aparecieron vulnerabilidades críticas explotadas o referidas de forma verificable en el corpus del mes, no que no existan en la región.

Regulación y cumplimiento en Bolivia

Agosto fue más activo en regulación que en evidencia de explotación técnica. El hecho central fue la aprobación en el Senado del Proyecto de Ley N.º 066/2025-2026 de Acceso a la Información, que pasó a Diputados. A eso se suman avances de la UIF frente al GAFI, discusiones sobre IA e inversiones y medidas puntuales del SIN para seguridad digital.

Ley de Acceso a la Información y apertura estatal

La Cámara de Senadores aprobó el proyecto de Ley de Acceso a la Información y remitió la iniciativa a Diputados. La propuesta establece que la información en poder del Estado será pública como regla general y que cualquier persona podrá pedirla sin justificar motivos.

El debate no fue solo procedimental. Soledad Chapetón explicó que la norma alcanzaría a instituciones estatales, empresas públicas, universidades públicas y otras entidades que administren recursos públicos. Organizaciones de la sociedad civil y del periodismo empujaron la discusión para que el trámite sea simple y accesible, y pidieron revisar los artículos 8 y 9 por posibles trabas burocráticas.

Doble factor en el SIN y soporte al contribuyente

El SIN implementó doble factor de autenticación para la Oficina Virtual Tributaria y para la función de Terceros Vinculados. La entidad explicó que el mecanismo responde a estándares globales de ciberseguridad y que sirve para proteger información y patrimonio de los contribuyentes.

La reacción institucional incluyó canales de soporte, línea gratuita y recomendaciones operativas como revisar el correo registrado, la carpeta de spam y la disponibilidad del buzón. ABI difundió que solo el 1% de los usuarios reportó dificultades. Más allá del dato de fricción, el mensaje del mes fue claro: el sistema tributario boliviano avanzó hacia una autenticación más robusta.

UIF, GAFI y supervisión financiera

La UIF señaló que Bolivia está cerca de salir de la lista gris del GAFI, luego de avanzar en la corrección de deficiencias sobre lavado de activos y financiamiento del terrorismo. El material sitúa ese progreso dentro de un monitoreo reforzado desde junio de 2025.

Ese contexto fue relativizado por una nota de El Día que citó a Fundación Milenio y recordó problemas estructurales ligados al crimen organizado y a la captura institucional. El contraste es útil: la mejora regulatoria existe, pero opera sobre una base todavía tensa. En paralelo, la APS y el BID impulsaron prácticas para fortalecer la protección del consumidor financiero y modernizar la supervisión con enfoque preventivo.

IA, inversiones y agenda tecnológica

El ecosistema regulatorio también se movió alrededor de la inteligencia artificial. Hubo referencias a proyectos de ley vinculados a IA en la Cámara de Diputados y a una propuesta oficial de inversiones que la coloca entre los sectores prioritarios. No se trata aún de una ley integral de datos personales ni de una arquitectura normativa cerrada, sino de una discusión en desarrollo.

Un análisis especializado recordó, además, que Bolivia carece de una ley omnicomprensiva de protección de datos personales y que la privacidad se canaliza sobre todo vía acción constitucional. Eso encaja con el resto del mes: hay intención de ordenar el espacio digital, pero todavía no aparece una pieza legislativa integral que cierre el frente.

Sectores más afectados en Bolivia

El sector financiero y asegurador concentró la mayor visibilidad, aunque no necesariamente la mayor gravedad técnica. Allí se ubicaron el caso de Consultores de Seguros, la denuncia del BCB por falsos créditos, la discusión sobre pagos digitales y las señales regulatorias de la APS, la UIF y el BID. Es el sector donde se cruzan extorsión, fraude, cumplimiento y confianza del usuario.

El segundo gran frente fue el estatal y tributario. El SIN ocupó un lugar central con el despliegue del 2FA, los canales de soporte y la lógica de protección del acceso a la Oficina Virtual. En paralelo, el debate sobre acceso a la información y los proyectos regulatorios sobre IA reforzaron la idea de una administración pública más digital y más expuesta al mismo tiempo.

El tercer eje fue telecomunicaciones e infraestructura digital, con ENTEL, AGETIC y ATT empujando CSIRT Bolivia y Bolivia Cibersegura 2026. Eso no implica incidentes masivos en ese sector, pero sí una señal de rol estructural. El cuarto ámbito visible fue el entorno político y mediático, marcado por la mini granja de bots asociada al caso Cerimedo, que abrió una discusión sobre automatización, manipulación y operaciones de influencia.

Tendencias y señales a monitorear en Bolivia

La comparación con julio muestra menos hechos verificados, menos incidentes sin tipificar, menos ransomware y menos fraude o phishing documentado. También bajaron los movimientos regulatorios y los sectores tocados por la señal, pero la amenaza predominante siguió siendo la misma: sin clasificar. Eso sugiere menos volumen, no necesariamente menos complejidad.

La caída del fraude documentado, de 15 en el mes anterior a 2 en agosto, no debe leerse como cierre del problema. En este corpus se ve apenas un caso particularmente bien documentado, el de los falsos créditos del BCB, mientras que la mayor parte de la señal mensual quedó concentrada en regulación y postura defensiva. La superficie de engaño sigue viva, solo aparece menos en el material capturado.

En ransomware la baja es más visible. El mes anterior hubo 20 casos con ransomware o extorsión como eje primario y en agosto fueron 11. Sin embargo, el material de este mes está muy concentrado en un solo caso fuerte, el de Consultores de Seguros, con el resto repartido entre trackers y fuentes de inteligencia. La reducción de volumen no elimina el valor del caso, porque confirma que el sector seguros también figura en la lista de presión.

La línea regulatoria merece seguimiento porque Bolivia está intentando ordenar varios frentes a la vez. Si el proyecto de acceso a la información avanza en Diputados, si el 2FA del SIN consolida adopción y si la UIF mantiene progreso con el GAFI, el país podría entrar en una fase de mayor madurez procedimental. El riesgo es que la velocidad normativa no siempre se traduzca en capacidades técnicas equivalentes.

Recomendaciones para equipos de seguridad en Bolivia

Revisar de inmediato las políticas de autenticación y acceso, especialmente en portales de contribuyentes, sistemas financieros y cualquier servicio que dependa de correo como segundo factor. El caso del SIN muestra que el 2FA ya no es opcional en la agenda pública, y que además requiere soporte operativo para no degradar la experiencia de usuarios legítimos.

Fortalecer controles antifraude en canales de mensajería y redes sociales. El incidente del BCB confirma que la suplantación de marca institucional sigue siendo eficaz cuando combina QR, presión de tiempo y promesas de crédito. Conviene monitorear menciones, cuentas apócrifas y flujos de pago sospechosos con la misma prioridad que una alerta técnica.

Para aseguradoras y actores financieros, revisar exposición de credenciales reutilizadas y accesos expuestos en ecosistemas de brechas. El caso Consultores de Seguros muestra que una presencia en sitios de extorsión puede estar precedida por acumulación de credenciales o por visibilidad externa de dominios y cuentas. La higiene de identidad y la segmentación de privilegios son la primera línea de defensa.

Para instituciones públicas y operadores críticos, consolidar procedimientos con CSIRT y rutas de escalamiento claras. Bolivia Cibersegura 2026 y el rol de AGETIC sugieren que el país busca formalizar esa capa. Si los equipos no tienen playbooks probados, la coordinación nacional tarda demasiado cuando el incidente ya se convirtió en crisis.

Preguntas frecuentes

¿Qué combinación de hechos concentró el riesgo más visible en Bolivia este mes?

En agosto convivieron un caso de ransomware contra Consultores de Seguros, una estafa por falsos créditos con QR atribuida al uso indebido de la marca del BCB y el fortalecimiento del CSIRT Bolivia. La lectura conjunta muestra presión sobre finanzas, fraude de usuario y respuesta institucional.

¿El caso de Consultores de Seguros implicó cifrado, robo de datos o solo exposición en un leak site?

El material no lo permite determinar con precisión. Las fuentes confirman la atribución a Qilin y la amenaza de divulgar datos, pero no aclaran si hubo cifrado, exfiltración sin cifrado o solo una mención en sitios de filtración. La sección de amenazas distingue ese punto.

¿Qué señales regulatorias del mes afectan a sectores distintos al financiero?

Además del avance de la Ley de Acceso a la Información, el SIN reforzó autenticación digital y ENTEL, AGETIC y ATT impulsaron Bolivia Cibersegura 2026 con foco en CSIRT. Eso cruza al Estado, telecomunicaciones e infraestructura crítica, no solo a bancos o aseguradoras.

¿Por qué la ausencia de CVEs críticos no significa que no haya riesgo técnico?

Porque el indicador de 0 solo refleja que no aparecieron CVEs críticos en el material analizado de agosto. No implica ausencia regional de vulnerabilidades explotadas. La sección de vulnerabilidades y la de limitaciones explican ese matiz para no confundir cobertura con realidad operativa.

¿Qué sectores deberían priorizar medidas durante el próximo mes?

Finanzas y seguros, por el caso Qilin y el fraude del BCB, y también el sector público, por el despliegue del 2FA en el SIN y la agenda de acceso a la información. Telecomunicaciones e infraestructura digital deberían sostener la coordinación con CSIRT y pruebas de respuesta.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para Bolivia, período agosto de 2026, y solo cuenta hechos fechados dentro de esa ventana para calcular indicadores. Se excluyeron dos hechos posteriores al período y no se incorporó telemetría agregada, porque no es un conteo de incidentes.

Un indicador en 0, en particular CVEs críticos mencionados, significa que no apareció en el material analizado de este mes, no que no hayan existido vulnerabilidades críticas explotadas en la región. Lo mismo vale para las categorías que no alcanzaron a registrarse con precisión operativa, como algunos casos de ransomware o extorsión.

También quedaron fuera como evidencia principal las publicaciones de redes sociales de consumo y las piezas patrocinadas o de tono promocional, aunque algunas aparezcan referidas en el material de research. Cuando se citó material de blogs o agregadores, se hizo solo para describir lo que afirmaron esas fuentes y no como confirmación independiente. Los hechos sin fecha confirmada fueron excluidos de los conteos, aunque en este corpus no fue necesario apoyarse en ellos para los indicadores del mes.