Colombia: situación de ciberseguridad, agosto 2026

Amenazas y campañas activas en Colombia

Ransomware en Colombia: cifrado confirmado, exfiltración parcial y múltiples menciones sin tipificar

El mes estuvo dominado por ransomware, pero el material no permite tratar toda la señal como un solo tipo de impacto. Hubo 5 casos con cifrado de activos confirmado, 2 con exfiltración sin cifrado, 2 que solo aparecieron en leak site y 57 donde la tipificación no pudo establecerse con precisión.

El Ministerio de Justicia encaja en el primer grupo. Allí hubo cifrado de archivos, degradación de servicios y respuesta de contención, aunque sin prueba pública de robo de datos. En paralelo, el caso de PIO PIO atribuido a Majinahanashi aparece como exfiltración con amenaza de filtración, y el registro de AuditTeam sobre una entidad financiera permanece en el nivel de mención en leak site.

La conclusión operativa es más útil que la etiqueta general: en Colombia, el ransomware de agosto combinó impacto operativo real con varios niveles de presión extorsiva, y el material disponible no autoriza a sumar todo como si fuera una misma cosa. La atribución, además, siguió abierta en varios casos.

Fraude y phishing en Colombia: suplantación bancaria, mensajes falsos y llamados engañosos

El fraude digital ganó densidad y visibilidad, con 12 hechos documentados en agosto. Las modalidades incluyeron mensajes de "pago pendiente" o "transferencia pendiente", falsos asistentes de seguridad bancaria, correos con citaciones judiciales o multas, llamadas de supuestos funcionarios del banco y campañas de donación falsas posteriores al terremoto.

Los casos más claros se concentraron en banca y pagos. Bogotá emitió alertas sobre suplantación de Bre-B, la Alcaldía advirtió sobre asistentes virtuales falsos y El Colombiano documentó estafas bancarias mediante supuestas cuentas de seguridad y créditos tramitados con pagos anticipados. También hubo alertas por falsos subsidios de la Registraduría y por donaciones fraudulentas.

La lectura que deja el mes es sencilla: los atacantes explotaron momentos de urgencia, migraciones de clientes, cambios de proceso y canales de atención confusos. Eso hace que el fraude no dependa solo de volumen, sino de oportunidad y contexto.

Campañas y explotación técnica en Colombia: la señal de APT o intrusión persistente quedó acotada

Además del ransomware y el fraude, el mes dejó una señal técnica en vulnerabilidades y campañas de intrusión, aunque sin un cuerpo robusto de hechos que permita hablar de una APT focalizada en Colombia. La alerta de SharePoint y los reportes sobre cPanel/WHM mostraron una superficie de riesgo relevante para hosting, SaaS e infraestructura compartida.

También apareció la campaña StrikeShark, identificada por Kaspersky y citada en material regional, que incluyó a Colombia entre los países afectados. Sin embargo, el material disponible no aporta una víctima local verificada en este período ni suficiente detalle para convertirla en una campaña colombiana plenamente caracterizada.

Vulnerabilidades críticas con impacto en Colombia

La tabla reúne los identificadores críticos mencionados en el material del mes, pero solo uno de ellos aparece ligado de forma directa a una alerta colombiana formal, la de SharePoint. Los demás sirven como contexto técnico de exposición regional y de endurecimiento de parches, no como incidentes locales confirmados.

Regulación y cumplimiento en Colombia

Colombia cerró agosto con un frente regulatorio activo, aunque más concentrado que en julio. Hubo seis movimientos documentados, frente a dieciocho del mes anterior, con prioridad en alivios para consumidores financieros, identidad digital, IA, datos personales y ordenamiento de finanzas abiertas.

La Superintendencia Financiera fue la entidad más visible del mes. Reforzó la atención a consumidores afectados por el desastre, publicó la Circular Externa 007 con límites de plazo para refinanciación y sostuvo el esquema de "Quejas exprés". Esa intervención no es ciberseguridad pura, pero sí forma parte del entorno de resiliencia financiera digital.

En datos personales, la SIC mantuvo el foco en el RNBD y en el tratamiento de biométricos. La orden de cierre sobre World Foundation y Tools for Humanity, junto con alertas sobre iris y suplantación, mostró que la discusión regulatoria ya no gira solo alrededor del consentimiento, sino de la eliminación efectiva de datos sensibles y de la prueba técnica de cumplimiento.

En IA, el mes dejó un sistema normativo en construcción, con proyectos de ley, críticas a la factibilidad regulatoria y discusión sobre vigilancia algorítmica, biometría y decisiones automatizadas. No es un frente cerrado, pero sí un vector de cumplimiento que empieza a cruzarse con fraude, identidad y auditoría de modelos.

Sectores más afectados en Colombia

El sector público fue el principal receptor de impacto en agosto, con el Ministerio de Justicia como incidente central y con señales adicionales en seguridad pública, continuidad de servicios y gestión documental. La afectación no solo fue técnica, también administrativa: hubo reenvío de solicitudes, canales alternos y reconstrucción de antecedentes.

Banca y servicios financieros aparecieron como el segundo gran foco, no por un gran incidente de intrusión, sino por la intensidad del fraude. Las alertas sobre suplantación bancaria, Bre-B, falsos asistentes y migraciones de clientes muestran una superficie de riesgo muy explotada, en la que la ingeniería social sigue siendo más rentable que la explotación técnica compleja.

Telecomunicaciones e infraestructura digital aportaron dos tipos de señal. Una fue de continuidad, con la falla masiva de Movistar y la advertencia de la CRC sobre posibles interrupciones para ISP pequeños. La otra fue técnica, con la alerta de BGP y la vulnerabilidad crítica en cPanel/WHM, que afectan el corazón de la conectividad y del alojamiento.

También hubo presencia regulatoria y de protección de datos, especialmente en entidades vigiladas, fintech y tratamientos biométricos. La combinación de sectores no es accidental: el mes mostró que el riesgo colombiano cruza documentos, identidad, pagos, conectividad y servicios de gobierno con bastante menos separación de la que suele asumirse.

Tendencias y señales a monitorear en Colombia

La tendencia más clara frente al mes anterior es el salto del ransomware y del fraude. Ransomware pasó de 30 hechos en julio a 66 en agosto, mientras que fraude y phishing crecieron de 1 a 12. En cambio, los movimientos regulatorios bajaron de 18 a 6, lo que sugiere que el mes estuvo más dominado por incidentes y campañas que por producción normativa.

La comparación también muestra que el país no cambió de mapa de riesgo, sino de intensidad. Los mismos sectores siguieron presentes, pero el sector público fue más golpeado y el sistema financiero más asediado por fraude. Al mismo tiempo, la presencia de una sola CVE crítica mencionada no reduce el riesgo técnico, porque el material de agosto sí mostró explotación activa en infraestructura ampliamente desplegada.

Otra señal a monitorear es la coexistencia de recuperación y exposición. MinJusticia siguió restaurando servicios, pero al mismo tiempo persistieron alertas sobre identidad, datos biométricos, finanzas abiertas y explotación de plataformas. Eso obliga a mirar la resiliencia como un problema de proceso, no solo de perímetro.

Finalmente, agosto dejó una advertencia sobre dependencia de terceros. El caso del Ministerio de Justicia involucró al equipo DART de Microsoft y al BID en la recuperación, mientras que en telecomunicaciones y hosting aparecieron riesgos sobre proveedores pequeños, infraestructura compartida y paneles de control expuestos. Ese es el tipo de superficie que más crece cuando la digitalización se acelera sin igualar la madurez operativa.

Recomendaciones para equipos de seguridad en Colombia

Primero, revisar la exposición de servicios remotos y la higiene de cuentas privilegiadas. El mes mostró que el ransomware sigue entrando por credenciales, accesos expuestos y plataformas de administración remota. MFA resistente a phishing, cierre de RDP innecesario y segmentación real no son opcionales.

Segundo, reforzar los controles sobre correo, SMS, llamadas y mensajería. Las campañas de fraude explotaron suplantación bancaria, mensajes de pago pendiente, falsos asistentes y citaciones judiciales. Conviene elevar filtros, detectar dominios parecidos, activar validaciones fuera de banda y entrenar a los usuarios con ejemplos locales, no genéricos.

Tercero, proteger datos sensibles y biométricos con foco en trazabilidad. El caso del iris en Cartagena, la discusión sobre la SIC y las obligaciones de identidad digital apuntan a que el problema no termina en recolectar datos, sino en probar por qué se recolectaron, quién accedió, cuándo se eliminaron y cómo se responde ante una reclamación.

Cuarto, preparar continuidad específica para sistemas documentales y trámites ciudadanos. MinJusticia mostró que un SGDEA caído puede obligar a reconstruir expedientes, reabrir flujos manuales y sostener atención por canales alternos. Los planes de negocio deberían contemplar ese tipo de degradación, no solo la caída total del sitio.

Quinto, priorizar parcheo sobre paneles de hosting, SharePoint y componentes de borde. Las alertas sobre CVE-2026-50522 y CVE-2026-65643 confirman que una vulnerabilidad bien ubicada puede convertirse en una puerta de entrada crítica. Si un servicio público o un proveedor tercerizado depende de esos productos, la ventana de exposición debe tratarse como urgente.

Preguntas frecuentes

¿Qué explica que agosto haya tenido más ransomware y menos regulación en Colombia?

Agosto estuvo dominado por un caso fuerte de ransomware en el Ministerio de Justicia y por varias campañas y reportes asociados, mientras que la producción normativa bajó respecto de julio. La comparación entre ambas secciones muestra más presión operativa y menos actividad regulatoria, aunque con continuidad en identidad digital, datos y finanzas abiertas.

¿Qué diferencia hay entre los casos de ransomware confirmados y las menciones en leak site?

En agosto hubo 5 casos con cifrado confirmado, 2 con exfiltración sin cifrado y 2 solo mencionados en leak site. Esa distinción importa porque un leak site no prueba por sí solo impacto operativo ni exfiltración verificable. La sección de amenazas y la de incidentes separan esos niveles para no mezclar extorsión con disrupción real.

¿Cómo se relacionan el caso del Ministerio de Justicia y la alerta de SharePoint en Colombia?

Se relacionan por superficie técnica y por momento. El Ministerio de Justicia sufrió un ransomware con servicios degradados, mientras que COLCERT emitió una alerta sobre SharePoint Server y el material internacional señaló explotación activa de una falla crítica. La tabla de vulnerabilidades y la de incidentes muestran que ambos temas coincidieron en el mismo mes.

¿Qué sectores deben mirar con más cuidado los equipos de seguridad en Colombia?

El sector público, por el impacto directo del ransomware en MinJusticia, y el sector financiero, por la escalada del fraude bancario y la suplantación de Bre-B. También deben prestar atención telecomunicaciones, hosting y servicios digitales, porque el mes dejó señales sobre continuidad, BGP, paneles de control y proveedores expuestos.

¿Qué controles concretos quedaron más urgentes después de agosto?

MFA resistente a phishing, cierre de accesos remotos innecesarios, parches rápidos en SharePoint y cPanel/WHM, monitoreo de suplantación bancaria en SMS y llamadas, y planes de continuidad para SGDEA y otros sistemas documentales. Esas prioridades se desprenden de las secciones de incidentes, amenazas, vulnerabilidades y recomendaciones.

¿El indicador de un solo CVE crítico significa que no hubo otras vulnerabilidades graves en la región?

No. Significa que en el material analizado para Colombia, durante agosto, solo se registró un CVE crítico dentro del alcance del informe. La sección de limitaciones aclara que un valor bajo o cero en un indicador no equivale a ausencia regional de riesgo, sino a falta de registros verificados en este corpus.

Limitaciones del material

El informe se construyó exclusivamente con los hechos provistos para Colombia en agosto de 2026, más un hecho de meses anteriores usado solo como marco comparativo. La ventana temporal de los indicadores fue la declarada al inicio, con 122 hechos fechados en agosto, 1 de meses anteriores usado solo para comparación y 2 sin fecha confirmada excluidos de los conteos.

Un indicador en 0 o sin desglose, en particular en CVEs, no significa ausencia de vulnerabilidades o explotación en la región. Significa que ese dato no quedó registrado en el material analizado para este período. Lo mismo aplica a categorías donde el material no permitió confirmar si hubo cifrado, exfiltración o solo mención en leak site.

La lectura no incluyó telemetría agregada como volumen de intentos bloqueados, porque el material no aportó cifras de ese tipo. Tampoco se usaron como respaldo tendencias basadas solo en contenido patrocinado, comunicados comerciales o publicaciones de consumo sin corroboración primaria.

Quedaron fuera de los indicadores los hechos sin fecha confirmada y cualquier material no incluido en la lista de fuentes disponibles para citar. Las referencias a redes sociales, cuando aparecieron en el archivo, se usaron solo si el hecho también estaba respaldado por una fuente permitida y verificable dentro del corpus.