Perú: situación de ciberseguridad, octubre 2026

Amenazas y campañas activas en Perú

Ransomware y extorsión, una señal más dispersa que en septiembre

Octubre registró cinco casos con ransomware o extorsión como eje primario, pero el material no permitió convertir todos en un mismo patrón operativo. Solo uno de los casos permitió confirmar cifrado de activos, uno quedó como simple mención en leak site y tres no dejaron tipificación suficiente para separar exfiltración, presión extorsiva o mera reivindicación.

En Interseguro hubo la combinación más completa de elementos verificables: acceso no autorizado, respuesta corporativa y aparición posterior en un portal de filtraciones. En otros casos, como Belcorp, Segres Systec, Confipetrol, Grifos Espinoza, Transportes Jiménez y Reyes Jim Rey S.A., Asisken Asistencia Médica S.A. o el Hospital Hermilio Valdizán, el material osciló entre reclamo, mención y falta de detalles confirmatorios.

Eso hace que la categoría sea numericamente menor que en el mes previo, pero no necesariamente menos preocupante. Más bien sugiere que la extorsión siguió activa, aunque el material revisado dejó más ruido que verificación dura.

Fraude y phishing, más visibles que en el mes anterior

El mes cerró con cuatro casos de fraude o phishing documentados, por encima del mes previo. La señal más fuerte vino del frente de suplantación e ingeniería social, con advertencias de Reniec sobre el riesgo de fotografiar o entregar el DNI y con reportes sobre estafas que parten de mensajes falsos, códigos de verificación o identidades sintéticas.

La Policía Nacional también intervino en un caso de fraude informático internacional que terminó con la detención de dos presuntos integrantes de Los Cyber Fake del Oriente. Según la PNP, el caso empezó con un robo de USD 10.096 a una ciudadana moldava y luego mostró otras 111 operaciones reportadas como fraude internacional por USD 34.952, vinculadas a víctimas de siete países.

En la misma línea, el estudio de Experian citado por Diario Correo indicó que el 74% de los consumidores peruanos encuestados dijo haber recibido al menos un intento de fraude en los 12 meses previos, y que el 92% temía engaños con inteligencia artificial. Esa cifra es de percepción y experiencia de usuarios, no de incidentes corporativos, pero ayuda a explicar la presión del mes sobre banca, identidad y canales de atención.

APT, espionaje y campañas de influencia

No hubo una campaña APT localmente confirmada con el peso de los casos de brecha y fraude, pero sí aparecieron señales de abuso de infraestructura y engaño informativo. OpenAI y NBC News documentaron una operación rusa que usó correos falsos para engañar a escuelas de Perú y Ecuador, incluyendo referencias políticas y educativas locales.

En paralelo, se reforzó la lectura de que Perú sigue siendo un blanco recurrente en campañas regionales con componente de influencia o espionaje. ESET y otras coberturas situaron al país dentro de un mapa latinoamericano más amplio de actividad ofensiva, aunque sin convertir esas menciones en incidentes locales específicos verificables para este mes.

Vulnerabilidades críticas con impacto en Perú

El frente de vulnerabilidades del mes quedó concentrado en PHP2Shell, con dos CVE críticas mencionadas y una reacción de parcheo coordinada a escala internacional. En el material revisado no aparecieron otras CVE críticas con la misma claridad o con impacto local mejor documentado.

Las dos fallas afectaban ramas amplias de PHP y exigían prioridad sobre servicios expuestos a internet. El valor operativo del aviso no estuvo solo en el CVSS alto, sino en el tipo de despliegue afectado, especialmente instalaciones que procesan solicitudes web de forma directa.

Regulación y cumplimiento en Perú

Perú cerró octubre con cuatro movimientos regulatorios documentados, menos que en septiembre, pero con un peso estratégico mayor en algunas piezas. El mes giró alrededor de pagos digitales, finanzas abiertas, inteligencia artificial y facultades legislativas para reforzar la respuesta frente a ciberdelincuencia y otros delitos.

El Congreso aprobó la Ley N.° 32743, que delega facultades al Poder Ejecutivo por 90 días y habilita actualizar la Ley de Delitos Informáticos, además de ajustar reglas sobre fraude informático, acceso ilícito y suplantación de identidad. También autorizó establecer requisitos técnicos de interoperabilidad y seguridad en plataformas públicas, y reglas de seguridad y gestión de incidentes proporcionales al riesgo en el sector privado.

En el campo financiero, la SBS publicó la consulta pública del proyecto de Reglamento General del Sistema de Finanzas Abiertas. La norma propone intercambio de datos con consentimiento del usuario, exigencias sobre integridad de la información, gobernanza, calidad de datos y mecanismos para suspender habilitaciones si aparecen riesgos de seguridad.

El BCRP, por su parte, aprobó el Reglamento del Servicio de Aceptación de Pagos para comercios y proveedores de servicios de pago. La regulación incorpora obligaciones de seguridad de la información, gestión de riesgos y fraude, atención de reclamos y conservación de transacciones bajo medidas de seguridad. En la misma agenda, la PCM aprobó una directiva sobre el perfil y las responsabilidades del Oficial de Inteligencia Artificial en entidades públicas, con disposiciones sobre seguridad y protección de datos.

Sectores más afectados en Perú

Los siete sectores con al menos un hecho documentado muestran un mes más disperso que concentrado, pero con algunos polos claros de presión. Finanzas, salud, sector público, telecomunicaciones, energía, retail y transporte aparecen tocados por distintos tipos de señal, desde brechas hasta regulación o infraestructura resiliente.

El sector financiero fue el más visible por Interseguro, por el debate sobre fraudes y por la expansión de open finance. No solo hubo una brecha concreta, también se reforzó la discusión sobre consentimiento, trazabilidad y control de riesgos. Ese cruce entre incidente y norma explica por qué el sector concentró tanta atención.

Salud también quedó expuesto, aunque con distinta calidad de evidencia. Interseguro no pertenece a salud, pero el mes incluyó menciones sobre EsSalud, Hospital Hermilio Valdizán y Asisken Asistencia Médica S.A., con material que en varios casos no alcanzó para confirmar alcance o intrusión. El sector público tuvo un peso propio por las alertas del CNSD, la ONP y el trabajo legislativo sobre ciberseguridad estatal.

En telecomunicaciones y energía, el foco estuvo más en resiliencia e infraestructura que en intrusión consumada. Entel reforzó rutas de respaldo de datos, mientras ACCIONA inauguró un centro de control para supervisar proyectos eléctricos con IA. Son señales distintas a una brecha, pero relevantes porque muestran una respuesta de continuidad operacional en sectores sensibles.

Tendencias y señales a monitorear en Perú

La comparación con septiembre muestra un cambio importante en la estructura del mes. Bajaron los casos de ransomware o extorsión como eje primario, de 13 a 5, pero subieron con fuerza los incidentes sin tipificar, de 7 a 20, y también crecieron el fraude y phishing, de 1 a 4. El saldo es menos centrado en extorsión visible y más cargado hacia exposición, investigación y reporte incompleto.

El otro movimiento fuerte fue regulatorio. En septiembre el volumen normativo había sido mayor, pero en octubre las decisiones fueron más conectadas con la arquitectura de seguridad, no solo con trámite legal. La Ley N.° 32743, el open finance de la SBS, el reglamento de pagos del BCRP y la directiva de IA de la PCM apuntan a un país que intenta ordenar su superficie digital mientras siguen apareciendo brechas y abusos.

También cambió la lectura de sectorialidad. Octubre amplió la cantidad de sectores tocados de cinco a siete, lo que sugiere mayor dispersión geográfica y funcional de los hechos, aunque no necesariamente más severidad por cada caso. La ausencia de una sola campaña dominante obliga a mirar con más atención la acumulación de eventos medianos y no solo los casos de gran titular.

En vulnerabilidades, el hecho de que solo se mencionaran dos CVE críticas no significa que el riesgo técnico haya sido bajo. Significa que en el material analizado solo esas dos alcanzaron consenso suficiente de impacto, explotación potencial y respuesta institucional. La alerta de PHP2Shell debería quedar en el radar durante noviembre, sobre todo en servicios expuestos y sistemas públicos sin madurez de parcheo.

Recomendaciones para equipos de seguridad en Perú

Primero, priorizar parcheo y búsqueda de exposición en PHP donde haya servicios web públicos. Las CVE-2026-109618 y CVE-2026-109619 ameritan revisión de versiones, aislamiento temporal si no se puede actualizar y verificación de logs en Apache, PHP-FPM, php-cgi y entornos equivalentes.

Segundo, revisar procedimientos de respuesta para incidentes con filtración parcial de datos. El caso Interseguro mostró que una organización puede contener accesos, renovar credenciales, activar monitoreo y aun así quedar bajo presión de leak site y supervisión regulatoria. Conviene ensayar esa secuencia antes de que ocurra, no durante.

Tercero, reforzar controles de identidad y antifraude en canales de atención y autenticación. El mes dejó señales claras de ingeniería social, suplantación y robo de cuentas por códigos de verificación. Eso exige MFA bien implementado, validaciones de alto riesgo, monitoreo de cuentas nuevas y alertas de comportamiento anómalo.

Cuarto, alinear cumplimiento y seguridad en sectores regulados. Open finance, pagos digitales y nuevas facultades sobre ciberdelincuencia van a aumentar la exigencia documental y técnica. No alcanza con cumplir en papel, hay que poder demostrar trazabilidad, consentimiento, segregación de fondos, retención segura y reporte oportuno.

Quinto, fortalecer la clasificación interna de incidentes. Octubre mostró demasiados casos sin tipificación precisa. Esa ambigüedad complica la priorización, el reporte a autoridades y la comunicación a usuarios. Un inventario mínimo de criterios para brecha, extorsión, fraude y disponibilidad ayudaría a ordenar la respuesta.

Preguntas frecuentes

¿Qué relación hubo en Perú entre Interseguro, la extorsión y la respuesta regulatoria?

Interseguro concentró tres capas del mes, un acceso no autorizado confirmado, un reclamo de Direwolf en leak site y seguimiento de la SBS. La aseguradora dijo que sus operaciones siguieron normales, mientras el regulador supervisó el caso. Para más detalle, ver las secciones de Incidentes relevantes y Amenazas y campañas activas.

¿Las dos vulnerabilidades críticas de PHP tuvieron explotación confirmada en sistemas peruanos?

No. El material del mes confirmó alertas del CNSD y reportes de intentos o escaneo, pero no una explotación exitosa atribuida a una entidad peruana concreta. El riesgo fue técnico y operativo, no un incidente local ya verificado. El detalle está en Vulnerabilidades críticas con impacto en Perú y en Limitaciones del material.

¿Qué cambió en el frente de fraude respecto del mes anterior?

Subió de 1 a 4 el número de casos de fraude o phishing documentados. El foco estuvo en suplantación, estafas con códigos de verificación y fraude informático internacional, con intervención policial incluida. La comparación completa está en Tendencias y señales a monitorear en Perú y en Incidentes relevantes en Perú.

¿Qué sectores aparecen más expuestos en octubre de 2026?

Finanzas, salud, sector público, telecomunicaciones, energía, retail y transporte registraron al menos un hecho. Finanzas y sector público absorbieron la señal más clara, por la brecha de Interseguro y por las alertas y normas emitidas por la PCM, la SBS y el Congreso. El análisis sectorial está en Sectores más afectados en Perú.

¿La bajada de ransomware significa que la amenaza bajó en Perú?

No necesariamente. Bajó la cantidad de casos con ransomware o extorsión como eje primario, de 13 a 5, pero aumentaron los incidentes sin tipificar y las señales de fraude. Eso puede reflejar un cambio en la forma de publicación o verificación, no una caída real del riesgo. Ver la sección Tendencias y señales a monitorear en Perú.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para octubre de 2026 y su marco comparativo, sin acceso a internet ni verificación externa adicional. Los hechos sin fecha confirmada quedaron fuera de los indicadores y no se usaron para volumen del mes. Las fuentes excluidas por regla, como redes sociales de consumo y contenidos patrocinados, no se citaron como evidencia primaria.

La ventana temporal declarada para los indicadores fue de 55 hechos con fecha en octubre de 2026 y 2 hechos de meses anteriores usados solo como marco comparativo. Los indicadores numéricos del cuerpo del informe reproducen exactamente esa base. Cuando se menciona un mes anterior, queda explícito en el texto para no mezclar comparativa con volumen del período.

Si un indicador aparece en 0, eso significa que no quedó registrado en el material analizado para este mes, no que no exista en la región. Este matiz aplica especialmente a CVEs y a cualquier métrica donde el corpus no permitió confirmación suficiente. En el caso de CVEs, el material sí registró dos críticas, pero si en otro mes el indicador fuera 0, eso no implicaría ausencia real de vulnerabilidades en Perú o en la región.

También debe leerse con cuidado la diferencia entre telemetría e incidentes. Las dos cifras agregadas de intentos o bloqueos son ruido técnico de vendors, no intrusiones con impacto confirmado. Por eso no se suman al volumen del mes ni se usan para inferir daños. El informe distingue entre brecha verificada, reclamo en leak site, extorsión y simple observación técnica.