México: situación de ciberseguridad, julio 2026

Amenazas y campañas activas en México

Ransomware y extorsión con cifrado confirmado

En julio hubo al menos cuatro hechos con cifrado de activos confirmado dentro del material analizado. Entre ellos, el caso de Contacto Garantido es el más claro. También se incluyen otros incidentes donde el ransomware fue descrito con mayor o menor detalle técnico, aunque en varios el material no permitió certificar la magnitud del daño ni el alcance de la interrupción.

El patrón que se repite es el abuso de servicios expuestos, credenciales filtradas, configuraciones erróneas y acceso por superficie pública. No se observa en el material un predominio de explotación de CVEs para ransomware contra México durante el mes, sino más bien fallas de endurecimiento y mala gestión de perímetros.

Ransomware y extorsión, solo mención en leak site

Dos casos quedaron en la categoría de sola mención en leak site. Son importantes para monitoreo, pero no deben confundirse con intrusión confirmada ni con cifrado comprobado. La diferencia es relevante porque los grupos de extorsión suelen usar los leak sites como instrumento de presión incluso cuando la evidencia pública del compromiso es incompleta.

En el informe de julio, esa situación aparece especialmente en reclamaciones de grupos como Qilin y Krybit, donde el dato más sólido es la publicación o referencia en el portal del actor. Sin telemetría interna ni dictamen forense, el material no alcanza para afirmar más.

Fraude y phishing en México

El phishing ganó peso normativo y operativo. La Ciudad de México tipificó el phishing como delito autónomo y, al mismo tiempo, varias notas describieron su uso masivo en estafas bancarias. El material de prensa explicó el mecanismo más común, mensajes por SMS, WhatsApp o correo que imitan a una institución financiera para llevar a la víctima fuera de la app oficial y robar credenciales, NIP u otros accesos.

La parte técnica y la parte legal se alinearon en el mismo mes. Eso no significa que el fenómeno se haya resuelto, pero sí que el ecosistema institucional reconoce mejor el daño específico de estos engaños. También hubo cobertura sobre suplantación de 11 instituciones financieras reportada por CONDUSEF durante junio, un dato útil como contexto, aunque no se contabiliza como incidente de julio.

APT, intrusión asistida por IA y hacktivismo oportunista

Aunque el mes estuvo dominado por ransomware, apareció una línea técnica distinta ligada al uso de IA en intrusiones contra organizaciones gubernamentales mexicanas y una utility de agua en Monterrey. Dragos y Gambit Security, citados por Cryptonomist, describieron el empleo de Claude y GPT para acelerar reconocimiento, desarrollo de herramientas y explotación, con intentos automatizados de password spraying contra una pasarela industrial. No hay evidencia pública de que el entorno OT haya sido vulnerado, pero el caso mostró una forma nueva de asistencia ofensiva.

En paralelo, Proceso atribuyó a Hackers$ Crew una serie de ataques contra portales de Sinaloa, y ransomware.mx reportó varias entradas asociadas al colectivo o a alias vinculados. En el material disponible, la atribución sigue siendo más declarativa que forense, pero la visibilidad de esos nombres en múltiples fuentes sugiere una presión persistente sobre portales públicos y bases expuestas.

Vulnerabilidades críticas con impacto en México

Regulación y cumplimiento en México

La regulación fue uno de los frentes más activos del mes. La Ciudad de México tipificó el phishing como delito autónomo, con penas de tres a seis años de prisión y multas de 200 a 600 UMA, y con agravantes cuando la víctima es menor, adulta mayor o persona con discapacidad. Es una señal de endurecimiento penal frente al fraude digital, y puede tener efecto práctico en denuncias y en la narrativa judicial de las estafas en línea.

También hubo avances y debates sobre identidad digital y datos personales. La Secretaría Anticorrupción y Buen Gobierno anunció una multa contra la Federación Mexicana de Futbol por el tratamiento de datos personales mediante Fan ID, y luego se conoció que el organismo fijó criterios públicos iniciales en protección de datos a partir de ese caso. En paralelo, siguieron las discusiones sobre multibiometría bancaria, pruebas de vida, verificación por reconocimiento facial y uso de bases oficiales para validar identidad en operaciones de mayor riesgo.

La banca quedó más expuesta al escrutinio regulatorio. Hubo cobertura sobre la CNBV, la ABM y la migración a e.firma en trámites patronales ante el IMSS, además del reemplazo del certificado NPIE. También se habló de mayores exigencias documentales y de riesgo cibernético bajo marcos como Basilea IV. Para julio, el mensaje de fondo es que la gestión del riesgo cibernético dejó de ser solo un asunto técnico y pasó a formar parte explícita del cumplimiento operativo.

En materia de IA, México siguió con un esquema fragmentado. Hubo debates federales, iniciativas sectoriales, una derogación en San Luis Potosí y múltiples opiniones sobre la ausencia de una ley general. Lo verificable del mes es que el país continuó regulando por partes, mientras se acumula presión política para una norma más integral.

Sectores más afectados en México

El sector público fue el más visible por impacto reputacional y operativo, aunque no necesariamente por volumen absoluto. León, Sinaloa y la Presidencia concentraron la atención pública, con una combinación de interrupciones, exposiciones de información y debate sobre atribución. Cuando una filtración incluye padrones, nóminas, expedientes médicos o denuncias ciudadanas, el daño potencial rebasa al sistema afectado y llega al proceso administrativo, a la confianza pública y a la seguridad de las personas.

El sector financiero también estuvo muy presente, pero en una mezcla de fraude, biometría, suplantación y regulación. No todo fue intrusión. Varias de las notas del mes mostraron presión para endurecer KYC, validar identidad con biometría y endurecer el tratamiento de datos. La parte del fraude sigue siendo crítica, aunque la categoría de incidente no siempre esté formalizada como brecha.

Manufactura, servicios empresariales y tecnologías de la información siguieron apareciendo entre los sectores con más señales de ransomware en los monitores abiertos. Eso coincide con el patrón del mes anterior, aunque en julio la presión publicitaria y el volumen de publicación fueron más altos. Salud también volvió a aparecer, tanto en casos confirmados como en materiales de señal temprana, y eso obliga a no tratar los incidentes sanitarios como aislados.

La lectura sectorial, entonces, no es de un solo frente sino de tres capas. Gobierno y servicios públicos por filtraciones y caídas, finanzas por fraude y cumplimiento, e industria y servicios por extorsión y exposición de infraestructura. Los siete sectores con hechos documentados muestran una cobertura transversal, no un problema acotado a una vertical.

Tendencias y señales a monitorear en México

La comparación con el mes anterior muestra una aceleración fuerte en casi todos los frentes que importan. Los hechos verificados pasaron de 56 a 105. Los casos de ransomware o extorsión subieron de 15 a 55. El fraude y phishing documentado pasó de 2 a 7. Los CVEs críticos mencionados saltaron de 4 a 19. Solo la cantidad de sectores con hechos documentados se mantuvo estable en 7.

Eso sugiere una agenda de riesgo más densa y no necesariamente más ordenada. El mes anterior ya había señales de extorsión, pero en julio las publicaciones se multiplicaron y aparecieron más casos con detalle técnico. A la vez, creció la presión regulatoria sobre banca, biometría y fraude digital. Para los equipos de seguridad y de cumplimiento, el cruce entre incidente, regulación y reputación se volvió más estrecho.

Hay tres señales que conviene seguir de cerca. La primera es si los casos públicos de ransomware siguen migrando desde la mera adjudicación en leak sites hacia cifrado confirmado o filtraciones con impacto demostrable. La segunda es si los portales públicos y sistemas de atención ciudadana siguen exponiendo fallas lógicas, como el IDOR del SIDAC, más allá de la infraestructura clásica. La tercera es si la explotación activa de CVEs críticos se traduce en incidentes locales, sobre todo en software de colaboración, identidad, gateways remotos y plataformas expuestas.

La comparación regional tampoco afloja. Las fuentes del mes insisten en que México se mantiene entre los países más atacados de América Latina, aunque eso convive con el recordatorio metodológico de que muchas cifras divulgadas por proveedores son telemetría o intentos, no incidentes confirmados. La señal útil no es solo el conteo, sino la persistencia de los mismos vectores: servicios expuestos, phishing, abusos de identidad y fallas de configuración.

Recomendaciones para equipos de seguridad en México

Primero, priorizar la exposición de superficie. Varios incidentes del mes muestran que el acceso inicial no vino de una cadena sofisticada sino de MSSQL mal configurado, credenciales expuestas, servicios de borde sin parche y accesos lógicos débiles. Eso exige revisar inventario, exposición externa y postura de configuración antes de pensar en controles más sofisticados.

Segundo, endurecer controles de identidad y acceso. El mes dejó claro que la identidad es el vector central, desde phishing bancario y suplantación hasta biometría bancaria, e.firma, acceso a sistemas ciudadanos y filtraciones de datos sensibles. MFA robusta, monitoreo de anomalías, revisión de privilegios y validación de flujos de acceso deben ser prioridad, sobre todo en portales de servicio y back offices con información sensible.

Tercero, segmentar mejor los entornos críticos. Los casos vinculados a salud, atención ciudadana y tecnología operativa muestran que una brecha en TI puede escalar hacia OT, o que una filtración en un portal puede derivar en impactos amplificados. Separar redes, limitar confianza entre dominios y revisar colas de impresión, repositorios y pasarelas industriales ayuda a reducir el radio de explosión.

Cuarto, preparar respuesta legal y reputacional. En julio hubo incidentes donde no estaba claro si había cifrado, pero sí existía exposición pública, canalización de información y presión de leak site. Cuando eso ocurre, el equipo de seguridad debe trabajar con jurídico, privacidad y comunicaciones desde la primera hora. La diferencia entre una filtración y una adjudicación puede ser difusa para el público, no para el regulador.

Quinto, tratar la explotación activa de CVEs como una lista de acción y no como un anexo. Con 19 vulnerabilidades críticas mencionadas, varias ya explotadas en el salvaje, el calendario de parchado no puede depender del ciclo normal de mantenimiento. Los productos con exposición a internet, autenticación federada, colaboración y gateways remotos necesitan prioridad explícita.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para México en julio de 2026. La ventana temporal indicada por los indicadores incluye 108 hechos con fecha en julio de 2026, más 1 hecho de meses anteriores usado solo como marco comparativo, y excluye 2 hechos posteriores al período. No se usó información externa ni internet.

Un indicador en 0 o una ausencia de detalle no significan que el hecho no exista en la región o en el país. En particular, si un CVE o una categoría no aparece como volumen del mes, eso solo quiere decir que no quedó registrado en el material analizado bajo esta ventana y estos criterios. No debe interpretarse como ausencia de vulnerabilidades, ataques o explotación en el mundo real.

La taxonomía de ransomware y extorsión también tiene límites metodológicos. En varios casos el material solo menciona una víctima en un leak site o una reivindicación del actor, sin permitir determinar si hubo cifrado, exfiltración o ambos. Cuando la fuente no lo aclaró, se mantuvo la clasificación como no determinable.

Quedaron fuera del cómputo las cifras de telemetría agregada, intentos, bloqueos y promedios semanales de vendors. También se excluyeron hechos sin fecha confirmada y cualquier referencia que no estuviera dentro de las fuentes disponibles para citar. Las redes sociales de consumo, contenidos patrocinados y material promocional no se usaron como evidencia para tendencias, salvo que la fuente abierta ofreciera un dato verificable y atribuible de forma independiente.

Los módulos comparativos y las cifras mensuales deben leerse como foto del período, no como serie completa del riesgo mexicano. Allí donde una nota dio contexto regional o sectorial, se la usó para interpretación y no para inventar incidentes adicionales. Si una fuente habló de intentos, bloqueos o escaneos, se consideró telemetría y no incidente con impacto confirmado.