Bolivia: situación de ciberseguridad, septiembre 2026

Amenazas y campañas activas en Bolivia

Ransomware y extorsión

El mes no dejó un cuadro claro de ransomware con impacto verificado en Bolivia. Sí hubo tres casos o menciones dentro de la categoría general de ransomware o extorsión, pero el material disponible no permitió determinar si el impacto fue cifrado, exfiltración sin cifrado o simple aparición en un leak site. Por eso la tipificación se mantiene indeterminada.

A nivel regional, RedTigerIT ubicó a América Latina como la zona más atacada por ransomware y señaló que Bolivia entra en el radar de los operadores. Esa lectura sirve para contexto, pero no reemplaza incidentes locales confirmados. En el caso boliviano, el mes estuvo más cargado hacia fraude, abuso de marca y fallas de control que hacia extorsión con cifrado verificable.

Fraude y phishing

El eje con mayor tracción operativa fue el fraude. Hubo campañas y casos vinculados al uso del nombre de Banco Unión, a páginas falsas de banco, a suscripciones apócrifas de ChatGPT y a estafas por códigos QR. En varios de esos hechos, el atacante buscó robar credenciales, inducir transferencias o capturar datos de tarjeta.

La cobertura de El Diario sobre fraudes creados con inteligencia artificial también mostró el salto cualitativo del engaño: voces clonadas, mensajes urgentes, enlaces sospechosos y uso de imagen institucional para ganar confianza. ASFI difundió recomendaciones para que los usuarios verifiquen canales oficiales y frenen la acción antes de entregar datos. El patrón dominante fue social, no técnico.

APT, bots y manipulación coordinada

No hubo en el material una atribución sólida de APT estatal o grupo persistente con nombre propio. Lo que sí apareció fue manipulación coordinada de conversación pública, con referencias a bots, cuentas falsas y amplificación automatizada en torno a medios o páginas bolivianas. Es una señal de desinformación y presión digital, más cercana al hacktivismo informal o a la manipulación de plataforma que a una intrusión avanzada clásica.

La evidencia disponible en este punto es más sólida como fenómeno de entorno que como incidente de seguridad tradicional. Aun así, importa porque afecta reputación, continuidad informativa y capacidad de respuesta de organizaciones que dependen de redes sociales para comunicar.

Vulnerabilidades críticas con impacto en Bolivia

El indicador de CVEs críticos quedó en cero. Eso no implica ausencia de vulnerabilidades explotadas en la región, ni ausencia de fallas serias en Bolivia. De hecho, el caso ANH y B-SISA mostró debilidades técnicas y lógicas relevantes, solo que no fueron reportadas bajo una identificación CVE en el material revisado.

Regulación y cumplimiento en Bolivia

Septiembre fue un mes muy cargado en regulación, con 14 movimientos documentados. El paquete más visible giró alrededor del acuerdo con el FMI y el rol que ASFI tendría en la supervisión financiera, las pruebas de estrés, la evaluación de activos y el fortalecimiento prudencial. La lectura dominante es de mayor escrutinio sobre el sistema financiero, no de relajación normativa.

Hubo además decretos y registros con impacto sectorial. El Decreto Supremo 5693 apuntó a fortalecer la solvencia de entidades financieras y a asignar a ASFI funciones de registro, supervisión y control de determinados certificados. También se creó Renapsi para servicios inmobiliarios, con foco en transparencia, legalidad y protección del usuario. En ambos casos, la lógica fue ampliar trazabilidad y formalidad.

La agenda cripto siguió otro carril, todavía en estado de compromiso y no de norma definitiva. Diversas coberturas indicaron que Bolivia se comprometió ante el FMI a desarrollar un marco robusto para regular y supervisar activos virtuales, con foco en lavado de dinero, salidas indebidas de capital y supervisión de operadores. El material fue consistente en un punto: no hay todavía una ley o reglamento vigente que cierre ese diseño.

También persistió un vacío estructural. Bolivia sigue sin ley general de protección de datos personales, sin autoridad administrativa especializada y sin régimen de sanciones unificado. El Tribunal Constitucional recordó que la acción de protección de privacidad existe como vía judicial individual, pero eso no suple una arquitectura de cumplimiento. Para sectores que manejan datos financieros, la falta de marco sigue siendo un riesgo relevante.

Sectores más afectados en Bolivia

La banca fue el sector con mayor densidad de señal, tanto por volumen de intentos de ataque como por el número de fraudes y referencias regulatorias. No hubo un colapso operativo, pero sí un entorno de presión persistente, con campañas de phishing, suplantación de marcas, uso de IA para engaño y refuerzo de defensas por parte de varias entidades. La banca tradicional respondió con tecnología y concientización.

El sector público también quedó expuesto, aunque con perfiles distintos. La ANH mostró una debilidad estructural en un sistema crítico de combustibles, mientras que SERECI apareció en una alerta de filtración no confirmada. En ambos casos, el problema de fondo es el mismo, sistemas con alto valor operativo y debilidades en control, trazabilidad o resguardo de credenciales.

La industria y los gremios empresariales tuvieron incidentes de menor escala, pero útiles para leer la superficie de ataque. El caso de la Cámara Nacional de Industrias mostró compromiso de cuenta y necesidad de protocolo de crisis digital. El fenómeno se replica en organizaciones que no son necesariamente parte del núcleo financiero, pero sí administran reputación, información y canales de comunicación que pueden ser tomados o degradados.

En telecomunicaciones, Tigo aportó una señal de disponibilidad. No hubo evidencia de intrusión confirmada, pero sí reclamos por interrupciones en varios puntos del país. En paralelo, el material mostró que Bolivia sigue siendo un entorno donde el fraude digital cruza sectores, desde banca y consumo hasta servicios de identidad y canales de mensajería.

Tendencias y señales a monitorear en Bolivia

Frente al mes anterior, septiembre mostró más hechos verificados, más fraude y más regulación, pero menos ransomware confirmado. Los casos de ransomware o extorsión como eje primario bajaron de 11 a 3, mientras que los fraudes y phishing subieron de 2 a 10. Esa migración sugiere que la presión inmediata sobre usuarios y marcas pesó más que el cifrado como mecanismo principal.

También creció la huella regulatoria, de 6 a 14 movimientos documentados. Eso no es un dato cosmético: indica que las autoridades y organismos vinculados al sistema financiero están respondiendo con más reglas, más supervisión y más obligaciones de registro. El mes anterior ya tenía señales de ajuste, pero septiembre las consolidó, sobre todo en ASFI, UIF, FMI y registros sectoriales.

En volumen sectorial, el salto de 4 a 8 sectores con hechos documentados sugiere mayor dispersión temática, no necesariamente mayor gravedad homogénea. Hubo banca, industria, hidrocarburos, telecomunicaciones, medios, cripto, protección de datos y servicios inmobiliarios. Esa amplitud obliga a pensar el riesgo en términos de ecosistema, no solo de un sector estrella.

La ausencia de CVEs críticos en el material del mes no debe leerse como tranquilidad técnica. El caso B-SISA demuestra que una operación crítica puede fallar por lógica de negocio, autenticación débil, controles manuales inseguros o exposición de credenciales sin necesidad de una vulnerabilidad publicada como CVE.

Recomendaciones para equipos de seguridad en Bolivia

Primero, bancos y fintech deben endurecer los flujos de validación de identidad y abandono de sesión, porque la mayor parte del daño de septiembre vino por phishing, suplantación y abuso de marca. MFA, biometría, límites antifraude, monitoreo de anomalías y verificación fuera de banda deberían estar atados a campañas de educación al cliente que no dependan solo de piezas estáticas.

Segundo, las organizaciones que administran cuentas en redes o canales públicos necesitan planes de recuperación de acceso y rotación de credenciales más estrictos. El caso de la Cámara Nacional de Industrias muestra que una cuenta institucional comprometida puede convertirse en vector de desinformación o pérdida reputacional en pocas horas.

Tercero, el sector público y las operadoras de infraestructura crítica tienen que revisar su lógica de control, no solo su perímetro. El episodio ANH y B-SISA dejó lecciones sobre puertas traseras, contraseñas expuestas, validaciones débiles y controles manuales inseguros. Eso exige auditoría de negocio, segregación de funciones y revisión de privilegios.

Cuarto, equipos legales y de cumplimiento deberían preparar el terreno para el nuevo ciclo regulatorio. Con ASFI, UIF, FMI, Renapsi y el futuro marco de activos virtuales avanzando a ritmos distintos, las instituciones van a enfrentar más exigencias de trazabilidad, reporte y documentación. La ausencia de ley de datos no reduce la presión, la desplaza hacia litigio, reputación y autorregulación.

Quinto, toda entidad que procese pagos, datos de clientes o identidades debe asumir que el fraude con IA ya es parte del repertorio local. No alcanza con decirle al usuario que "verifique el remitente". Hay que reforzar filtros de comunicación, proteger dominios y advertir sobre páginas falsas, clones de voz y mensajes con urgencia artificial.

Preguntas frecuentes

¿Qué cambió más entre septiembre y el mes anterior en Bolivia, el fraude o el ransomware?

En septiembre subió más el fraude y phishing que el ransomware. Los casos de fraude o phishing pasaron de 2 a 10, mientras que los de ransomware o extorsión bajaron de 11 a 3. La comparación se ve en la tabla de indicadores y en la sección Amenazas y campañas activas en Bolivia.

¿Qué incidente dejó el mayor riesgo operativo para infraestructura crítica boliviana?

La intervención a la ANH y el hallazgo de nueve vulnerabilidades en B-SISA fue el caso más serio para infraestructura crítica. Afectó control de combustibles, integridad del sistema y trazabilidad operativa. La expansión del detalle técnico está en Incidentes relevantes en Bolivia y Vulnerabilidades críticas con impacto en Bolivia.

¿Hubo evidencia de una filtración de datos masiva confirmada en septiembre?

El material muestra señales y reclamos, pero no una confirmación operativa sólida de una filtración masiva verificada por fuente primaria. Aparecen menciones al SERECI y a rumores en canales de ciberdelincuencia, además de la ausencia de una ley de datos que dificulta la supervisión. Ver Limitaciones del material y Regulación y cumplimiento en Bolivia.

¿Qué rol tuvo ASFI en el mes y por qué importa para ciberseguridad?

ASFI apareció como supervisor reforzado del sistema financiero en el marco del acuerdo con el FMI y de nuevas medidas para entidades financieras. Eso importa porque la banca enfrenta más fraude digital, más obligaciones de control y más presión de cumplimiento. El detalle está en Regulación y cumplimiento en Bolivia y Sectores más afectados en Bolivia.

¿Se registraron CVEs críticos explotados en Bolivia durante septiembre?

No. El indicador de CVEs críticos quedó en cero en el material analizado. Eso no significa que no existan vulnerabilidades en la región, sino que no aparecieron CVEs críticos en este corpus. El caso ANH demuestra que puede haber impacto severo sin un CVE publicado en el informe.

Limitaciones del material

El informe se construyó exclusivamente con el material provisto para septiembre de 2026 y con la ventana temporal indicada de 84 hechos fechados en ese mes. Los indicadores reproducen la base declarada por el insumo y no incorporan telemetría agregada como si fueran incidentes, porque esos 5 registros corresponden a intentos o bloqueos automatizados, no a impactos confirmados.

Un valor en cero, en especial el de CVEs críticos, significa que no hubo menciones verificables en el material analizado de este mes. No implica ausencia de vulnerabilidades críticas en Bolivia o en la región. Del mismo modo, varios hechos de ransomware quedaron como tipificación no determinable porque el material no precisó si hubo cifrado, exfiltración o sola mención en leak site.

También quedaron fuera del conteo las piezas sin fecha confirmada. Las fuentes excluidas del análisis de fondo fueron redes sociales de consumo, publicaciones patrocinadas, contenido promocional y material que no estaba en la lista de fuentes habilitadas. Cuando una afirmación provino de una fuente con atribución incierta, se la trató como señal contextual y no como hecho plenamente corroborado.