México: situación de ciberseguridad, octubre 2026

Amenazas y campañas activas en México

Ransomware y extorsión, con predominio de victorias parciales y pruebas en leak site

En octubre hubo 10 casos con ransomware o extorsión como eje primario, pero el material no siempre permite decidir si hubo cifrado, exfiltración sin cifrado o sola mención en sitio de filtraciones. El desglose más prudente es el siguiente: dos casos quedaron como sola mención en leak site, mientras que en ocho la tipificación no pudo determinarse con certeza a partir del material disponible.

Eso importa porque el efecto operativo cambia mucho según el caso. No es lo mismo una lista en un sitio de filtraciones, que una intrusión con exfiltración, que un cifrado real con caída de servicios. En el mes, la evidencia pública más clara se concentró en COMAPA Victoria, Grupo Xcaret y la Universidad Autónoma de Aguascalientes, con distintos grados de confirmación y daño.

Entre las referencias del mes aparecen Qilin, SafePay, Direwolf, J Group y Krybit, además de varios reclamos no corroborados. La diversidad de actores y la dispersión sectorial sugieren un ecosistema activo, pero no necesariamente una campaña unificada contra México. Más bien, el país sigue siendo un objetivo visible para grupos que alternan leak sites, extorsión y reclamos de víctimas.

Fraude y phishing, con foco en credenciales y suplantación

Hubo 2 casos de fraude o phishing documentados de forma explícita en el período, pero el fenómeno fue más amplio en la cobertura cualitativa. La campaña de correos con falsos comprobantes fiscales en PDF, las advertencias de CONDUSEF sobre suplantación de instituciones financieras y los anuncios patrocinados que llevaban a páginas clonadas de bancos muestran una presión constante sobre el usuario final.

También apareció una alerta sobre montadeudas y otra sobre suplantación mediante llamadas, WhatsApp, correo y páginas que aparentaban ser oficiales. En términos de riesgo, eso conecta el fraude digital con el uso posterior de ingeniería social, ya sea para pedir claves, tokens o pagos anticipados. La recomendación más repetida en el material fue verificar por canales independientes y no compartir datos sensibles por mensajes o llamadas.

APT, automatización ofensiva e IA aplicada al ataque

No se documentó una APT clásica atribuible con precisión estatal, pero sí varias señales de automatización ofensiva asistida por IA. El caso más visible fue el de CyberCartel, descrito por Straiker y replicado por múltiples coberturas, con uso de modelos comerciales para coordinar tareas ofensivas contra objetivos financieros en América Latina, incluyendo credenciales y artefactos asociados con México.

Además, CompTIA y Computer Weekly describieron una intrusión contra el entorno de TI de una empresa de agua y drenaje de Monterrey donde se usaron herramientas generadas con IA para reconocimiento, enumeración y movimiento lateral, sin evidencia de paso al entorno OT. El patrón es relevante porque muestra una reducción de barreras para campañas más rápidas, no un salto cualitativo hacia técnicas nunca vistas.

Vulnerabilidades críticas con impacto en México

La mayor parte de estas vulnerabilidades no se vincula a una víctima mexicana concreta en el material, pero sí tuvo eco operativo en el país. La propia Presidencia informó desconexiones temporales de sitios gubernamentales mexicanos ante la alerta mundial por PHP, y luego su restablecimiento tras trabajos de ciberseguridad. Eso convierte al parcheo en un asunto de exposición local, no solo de catálogo global.

Regulación y cumplimiento en México

Octubre fue intenso en regulación digital y protección de datos. El hito más importante fue el Decreto de entornos digitales seguros para niñas, niños y adolescentes, obligatorio en todo México, con exigencias sobre identificación de edad, moderación de contenidos, supervisión parental, privacidad reforzada por defecto, preservación de evidencia y reporte de medidas en un plazo de 30 días naturales.

El Senado complementó esa agenda con reformas a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares para reforzar la protección de menores en entornos digitales. También avanzaron iniciativas sobre uso seguro de dispositivos digitales en escuelas y sobre impedir que menores de 13 años usen redes sociales. El eje común es un mayor control sobre diseño de plataformas, tratamiento de datos y verificación de edad.

En paralelo, siguió avanzando la discusión de la Ley de Economía Digital, con referencias a pagos QR y NFC, atribuciones para Banxico y la CNBV, y una transición regulatoria que todavía no estaba promulgada al cierre del período. Para el sector financiero, la señal es clara: más supervisión, más trazabilidad y más integración entre pagos digitales, identidad y ciberseguridad.

La otra línea regulatoria relevante fue la reforma a la Ley de Inversión Extranjera, que incorpora tecnologías críticas, ciberseguridad, tratamiento de datos e inteligencia artificial entre los ámbitos sujetos a revisión. En términos prácticos, ciberseguridad dejó de ser solo un asunto técnico y pasó a ser un criterio de seguridad nacional y de escrutinio para operaciones estratégicas.

Sectores más afectados en México

El reparto sectorial del mes fue más amplio que el de septiembre y tocó al menos 8 sectores. Finanzas siguió siendo el área con mayor densidad de señales, no solo por eventos de fraude y phishing, sino por la combinación de reportes sobre credenciales, bases de datos, SPEI, fintech y suplantación de instituciones. El sector sigue siendo el más visible porque concentra valor económico, trazabilidad y datos sensibles.

Educación también apareció con peso propio, tanto por la Universidad Autónoma de Aguascalientes como por la regulación que busca limitar riesgos en entornos escolares y plataformas de menores. No es casualidad: el sector educativo mantiene infraestructuras heterogéneas, usuarios múltiples y superficies de acceso amplias, condiciones que facilitan tanto intrusión como interrupción.

Gobierno y servicios públicos siguieron presentes en varios frentes, desde la respuesta institucional al decreto digital hasta los casos de infraestructura crítica y los reportes sobre COMAPA Victoria. Cuando una entidad pública cae en ransomware o en un intento de acceso, la consecuencia no siempre es solo técnica: también afecta continuidad, confianza y capacidad de atención al ciudadano.

Telecomunicaciones, manufactura y energía conservaron exposición, aunque con distintos niveles de evidencia. En telecomunicaciones, el mes incluyó fallas y referencias a reclamos de ransomware sobre MCM Telecom. En manufactura, los casos de AYM, Grupo Euro y Airbus SLC México circularon como reivindicaciones o reportes no totalmente verificados. En energía y agua, la señal más útil fue la de disponibilidad y resiliencia operativa.

Tendencias y señales a monitorear en México

La primera tendencia es que baja el peso relativo del ransomware como eje predominante y sube la mezcla entre fraude, suplantación y regulación. Eso no significa menos riesgo, sino una mutación del riesgo visible. Octubre dejó menos casos con ransomware o extorsión como eje primario que el mes anterior, pero más casos de fraude o phishing documentados y más hechos regulatorios con impacto en cumplimiento.

La segunda señal es la persistencia de casos sin tipificar. Que 11 de 45 hechos queden sin clasificar como amenaza predominante muestra que el material disponible sigue siendo fragmentario. Para un lector operativo, eso se traduce en cautela: hay más ruido que atribución sólida, y la diferencia entre una filtración, una extorsión o una simple reivindicación puede cambiar la respuesta técnica y legal.

La tercera tendencia es el aumento de las señales sobre vulnerabilidades críticas. Octubre pasó de 6 a 9 CVEs críticos mencionados, con especial foco en PHP y otros productos con explotación activa. El caso importa porque el material sí conecta esas alertas con la necesidad de aislar y parchear sistemas expuestos, incluso en dependencias gubernamentales mexicanas.

La cuarta señal es la consolidación del fraude basado en identidad. Deepfakes, clonación de voz, suplantación de ejecutivos, correos con comprobantes falsos y mensajes de cobro encajan en la misma lógica: explotar confianza preexistente. Aunque en el mes solo se documentaron 2 casos de fraude o phishing en la base formal, el resto del material muestra un entorno mucho más cargado de intentos y técnicas asociadas.

Recomendaciones para equipos de seguridad en México

1. Priorizar el parcheo de PHP y de cualquier tecnología expuesta a Internet, empezando por entornos que ejecuten versiones sin soporte o componentes integrados en otros productos. Las alertas de CISA y los restablecimientos temporales de sitios gubernamentales mexicanos muestran que el riesgo es operativo, no teórico.

2. Revisar controles de autenticación y exposición de credenciales en portales de clientes, sistemas de ventas y accesos administrativos. Los casos de COMAPA Victoria, Xcaret y los reportes sobre credenciales en campañas de ransomware apuntan a un mismo punto débil: accesos reutilizados o filtrados.

3. Fortalecer respuesta a fraude con comunicación al cliente y verificación fuera de banda. Si una filtración expone teléfonos o correos, el siguiente paso suele ser phishing dirigido, intentos de cobro o suplantación. La ventana de reacción es corta y la narrativa debe ser clara desde el primer aviso.

4. Separar técnicamente disponibilidad, intrusión y rumor. No toda caída de servicio es ciberataque, y no toda mención en leak site implica exfiltración confirmada. Esta higiene analítica evita sobrerreaccionar y ayuda a priorizar recursos donde sí hay evidencia.

5. Alinear cumplimiento, privacidad y seguridad infantil con el nuevo marco regulatorio. Las plataformas, escuelas y operadores digitales que traten datos de menores tienen ahora obligaciones explícitas sobre verificación de edad, minimización, controles parentales y borrado. No es un tema solo jurídico, también es de diseño seguro.

6. Preparar monitoreo de IA ofensiva y abuso de automatización. Los casos de CyberCartel y de la intrusión en Monterrey muestran que la automatización reduce costos de operación para atacantes. Conviene ajustar detección sobre movimientos laterales, uso anómalo de herramientas administrativas y patrones de exfiltración.

Preguntas frecuentes

¿Qué cambió en México entre la presión de ransomware y la de fraude digital?

En octubre, el ransomware siguió presente, pero perdió centralidad como amenaza predominante y fue desplazado por material sin clasificar y por señales de fraude y phishing. La diferencia con septiembre es clara en los indicadores y también en la variedad de casos, que se repartieron entre finanzas, educación, telecomunicaciones y gobierno.

¿Qué relación hay entre las brechas confirmadas y las reivindicaciones de leak sites?

No deben mezclarse. Grupo Xcaret y la Universidad Autónoma de Aguascalientes tienen evidencia más sólida de impacto operativo o de acceso no autorizado, mientras que varios reclamos de Qilin, SafePay, Krybit o Direwolf quedaron solo como menciones en leak site o como atribuciones no verificadas. Esa distinción aparece en los apartados de incidentes y amenazas.

¿Qué sectores deberían mirar primero los equipos de seguridad mexicanos?

Finanzas, educación, gobierno, telecomunicaciones y manufactura concentran buena parte de la señal del mes, pero no de la misma forma. Finanzas recibió fraude y credenciales, educación tuvo interrupciones e intentos de acceso, y gobierno enfrentó presión regulatoria y alertas por vulnerabilidades. La lectura cruzada está en los apartados de incidentes, sectores y vulnerabilidades.

¿Por qué el nuevo decreto sobre menores importa para ciberseguridad?

Porque obliga a plataformas y, por extensión, a sus equipos técnicos y legales, a implementar verificación de edad, privacidad reforzada por defecto, supervisión parental y preservación de evidencia. Eso cruza regulación, arquitectura de producto y protección de datos. Su alcance queda desarrollado en la sección de regulación y cumplimiento.

¿Qué debe preocupar más a corto plazo, los CVEs o el fraude por suplantación?

Ambos, pero por motivos distintos. Los CVEs críticos obligan a parchear y reducir superficie expuesta, mientras que la suplantación y el fraude atacan confianza y procesos de negocio. En octubre, el material muestra que los dos frentes convivieron, y que la defensa debe combinar higiene técnica con verificación de identidad y comunicación segura.

Limitaciones del material

Este informe se elaboró exclusivamente con el material provisto para México en octubre de 2026, más dos hechos de meses anteriores usados solo como marco comparativo y con mes explícito. No se usó telemetría agregada como si fuera incidente, ni se incorporaron fuentes fuera de la lista habilitada. Las redes sociales y publicaciones no autorizadas quedaron excluidas como evidencia.

Los indicadores se calculan solo con hechos fechados dentro del período, salvo el marco comparativo indicado arriba. Un valor de 0 en cualquier indicador, en particular en CVEs si llegara a ocurrir, significaría que no apareció en el material analizado del mes, no que haya inexistencia del problema en la región. En este caso, la ventana comparativa debe leerse como referencia, no como volumen adicional.

En ransomware y extorsión se respetó la taxonomía pedida, distinguiendo entre cifrado confirmado, exfiltración sin cifrado y sola mención en leak site cuando el material lo permite. Cuando no fue posible, se consignó la incertidumbre en lugar de inferir impacto. Esa cautela es especialmente importante en varios reclamos de octubre, donde la confirmación pública no está completa.