Paraguay: situación de ciberseguridad, septiembre 2026

Incidentes relevantes en Paraguay

Panzer y Inovapy, el caso más nítido del mes

El incidente más claro de septiembre fue el reclamo de Panzer contra Inovapy, una empresa tecnológica paraguaya. La fuente primaria describe una amenaza de publicación de datos si la empresa no contactaba al grupo, y el ecosistema de seguimiento lo registró como caso pendiente o reclamado, pero sin confirmación pública de la víctima.

Breach House, Pulse, GalaxyWarden, RecentBreaches, SecurityArsenal y BreachSense coinciden en la atribución del reclamo a Panzer y en la ubicación paraguaya de Inovapy. Lo relevante para la lectura operativa es que el material disponible no acredita cifrado de sistemas; sí confirma una extorsión apoyada en publicación de datos o amenaza de leak.

La conectividad paraguaya sufrió una degradación prolongada

Telecom Observer registró una interrupción significativa de la conectividad de Paraguay entre el 15 y el 25 de septiembre, con una duración superior a nueve días y una severidad de 18.310. El reporte vincula el episodio a anomalías de BGP, caída de tráfico normalizado y descenso del backscatter, aunque no atribuye públicamente la causa.

El dato relevante no es solo la duración, sino la forma en que la falla se extendió por varios días. Eso sugiere un evento de infraestructura de red con efectos amplios sobre disponibilidad y monitoreo, más cercano a una degradación sistémica que a un corte puntual.

La Superintendencia de Salud apareció en un reclamo de defacement

VECERTRadar reportó una campaña de defacement contra dominios de la Superintendencia de Salud de Paraguay, con la firma "Hacked By Ghostteam - Zumarius". La fuente disponible no aporta confirmación oficial ni evidencia independiente de extracción de datos, por lo que el caso queda en el terreno de la atribución no verificada.

Aun así, el episodio importa porque muestra actividad ofensiva contra un organismo del sector salud en paralelo con otras señales de exfiltración atribuidas al mismo actor. El material de septiembre no permite afirmar un daño mayor, pero sí confirma exposición pública de subdominios institucionales.

El Ministerio de Salud quedó envuelto en una alerta preventiva no confirmada

VECERT difundió una alerta preventiva sobre una supuesta exfiltración de 10,5 GB atribuida al Ministerio de Salud Pública y Bienestar Social. La propia fuente marcó el caso como no confirmado y señaló evidencia observable en foros de ciberdelito, sin validar intrusión ni autenticidad del material.

Diario Judicial retomó luego la misma línea, también con carácter no confirmado. Para el análisis mensual, esto queda como señal de extorsión o fuga alegada, no como brecha acreditada.

El Congreso trasladó el escrutinio al sistema bancario

El Senado y Diputados concentraron buena parte de la agenda de septiembre en pedidos de informe al Banco Central sobre Itaú, Ueno y Atlas. Las consultas tocaron fraudes cibernéticos, controles de seguridad, auditorías, sumarios y medidas correctivas, con un enfoque que fue mucho más allá del caso aislado y alcanzó a la supervisión del sistema financiero.

En Banco Atlas el foco derivó además hacia presunto lavado de dinero, fideicomisos y actuaciones administrativas del supervisor. En Ueno, el eje fue la solvencia, los límites prudenciales y las partes vinculadas. El riesgo ciber se mezcló con reputación, gobierno corporativo y confianza institucional.

Amenazas y campañas activas en Paraguay

Ransomware y extorsión: Panzer dominó el mes

El mes dejó 19 casos con ransomware o extorsión como eje primario, pero solo uno con cifrado confirmado. En la práctica, la mayor parte del material describe reivindicaciones, amenazas de publicación o estados pendientes, lo que obliga a separar con cuidado la narrativa de impacto real de la narrativa de extorsión.

El caso Inovapy encaja en exfiltración sin cifrado confirmada, porque la fuente habla de amenaza de filtración y los agregadores lo clasifican como reclamo de leak. Otros expedientes, como el supuesto incidente en salud, quedaron en tipificación no determinable. La fotografía mensual es de presión extorsiva sostenida, no de destrucción confirmada.

Fraude y phishing: el frente bancario y el social

Hubo 6 casos de fraude o phishing documentados, menos que en agosto, pero con una concentración clara en el sector financiero y en engaños por mensajería o llamada urgente. El BCP y otros organismos reforzaron advertencias sobre pedidos de datos, enlaces dudosos, códigos token o PIN, y llamadas por bloqueo de cuenta.

La pauta del mes fue clásica: suplantación de identidad, ingeniería social y promesas falsas de inversión. El problema no fue la sofisticación técnica, sino la persistencia de campañas que explotan urgencia, miedo y confianza en marcas financieras o institucionales.

APT y hacktivismo, con señales débiles pero presentes

No apareció en el material una campaña APT clásica con atribución sólida. Sí hubo una señal de defacement contra la Superintendencia de Salud y un caso de exposición alegada en el ecosistema estatal que puede leerse como hacktivismo o intrusión oportunista, aunque sin atribución fuerte ni cadena técnica completa.

En términos de respuesta, esto exige tratar los reclamos públicos de actores como indicios y no como evidencia cerrada. La combinación de defacement, leak claims y alertas preventivas no confirmadas compone un ruido operativo que puede escalar rápido si se superpone con fallas reales de disponibilidad.

Vulnerabilidades críticas con impacto en Paraguay

La evidencia de septiembre no dejó CVEs críticos directamente vinculados con una intrusión verificada en Paraguay. Sí hubo avisos y referencias técnicas de CERT-PY y del ecosistema de inteligencia que conviene seguir, pero el material analizado no permitió asociarlos a una explotación local confirmada.

CERT-PY también publicó avisos sobre Ubiquiti, Samba, Joomla!, Synology, WordPress y GitLab, incluyendo una vulnerabilidad de severidad crítica en GitLab. Ninguno de esos avisos quedó atado en el material a una intrusión paraguaya concreta durante septiembre.

Regulación y cumplimiento en Paraguay

La agenda regulatoria de septiembre estuvo marcada por dos ejes: protección de datos personales e infraestructura crítica. En ambos casos, el país avanza hacia un marco más exigente, con obligaciones de preparación, notificación y control que afectan de lleno a bancos, operadores esenciales y proveedores digitales.

La Ley N.º 7593/2025 de protección de datos personales fue presentada como el cambio estructural más importante. Según el material, entra plenamente en vigor el 27 de noviembre de 2027 y deja un período de adecuación de 24 meses. El alcance es amplio, incluye entidades financieras y prevé una agencia especializada dentro del MITIC con potestad de supervisión, fiscalización y sanción.

En el proyecto de infraestructura crítica, el Senado trató una propuesta que obliga a operadores públicos y privados a contar con planes de seguridad y respuesta, y prevé notificación de incidentes en hasta 12 horas. El texto también incluye un Consejo Nacional de Ciberseguridad, un registro de infraestructuras críticas y exigencias de IDS/IPS y seguridad para IoT y tecnologías operativas.

Ese combo normativo apunta al corazón de la operación. No se limita a cumplimiento documental. Si se aprueba en esos términos, Paraguay va a exigir a sectores esenciales algo más parecido a un régimen de continuidad operacional y reporte de incidentes que a una política general de privacidad.

Sectores más afectados en Paraguay

El sector financiero fue el más expuesto por volumen de menciones, aunque no por cantidad de brechas confirmadas. Los pedidos de informe al BCP, las advertencias sobre fraudes digitales y la discusión sobre CDA digitales colocaron a bancos y regulador en el centro de la agenda. Eso no significa que el sistema haya sufrido más intrusiones que otros sectores, sino que recibió más escrutinio público y político.

La tecnología también quedó muy visible por el caso Inovapy, que fue el incidente de ransomware más claro del mes. En paralelo, salud y administración pública aparecieron en señales menos sólidas, como la alerta preventiva sobre el Ministerio de Salud y el defacement atribuido a la Superintendencia de Salud. En ambos casos, la evidencia fue más débil que en el frente financiero, pero suficiente para mostrar superficie de ataque real.

La conectividad nacional también merece una mención aparte. Una degradación prolongada de BGP no es un sector, pero afecta transversalmente a todos: banca, salud, trámites y plataformas públicas. En un mes con empuje a la digitalización, esa falla de disponibilidad fue una señal incómoda de dependencia estructural.

Tendencias y señales a monitorear en Paraguay

Septiembre rompió el patrón del mes anterior en dos frentes. Primero, el eje dominante cambió de "sin clasificar" a ransomware, con 19 de 63 hechos. Segundo, los fraudes y phishing bajaron de 11 a 6, mientras que los movimientos regulatorios también retrocedieron levemente de 11 a 9. El cuadro sugiere menos ruido difuso y más concentración en extorsión y gobernanza.

La comparación con agosto también mejora la lectura sectorial. En septiembre hubo 7 sectores con hechos documentados frente a 5 el mes previo, lo que indica una superficie narrativa y operativa más amplia. El aumento no se explica solo por más incidentes, sino por la acumulación de señales en banca, salud, tecnología, infraestructura crítica y conectividad.

El principal cambio cualitativo fue la entrada del ransomware como amenaza predominante. En agosto no había casos de ese tipo en la base del informe previo; en septiembre sí, y con una campaña reconocible contra una empresa local. Eso marca una diferencia importante en prioridad de monitoreo para octubre.

En regulación, el tono bajó en volumen pero subió en densidad. La ley de datos personales ya dejó de ser una noticia abstracta y pasó a ser un calendario real de adecuación. Lo mismo ocurre con infraestructura crítica. No son anuncios decorativos, sino marcos que probablemente empiecen a condicionar contratos, auditorías y reportes internos.

Recomendaciones para equipos de seguridad en Paraguay

Los equipos de seguridad deberían priorizar tres líneas durante octubre: endurecer el control sobre identidad y fraude en canales digitales, revisar exposición de servicios críticos y preparar evidencia para cumplir con futuras obligaciones de reporte. El mes mostró que el problema paraguayo no es solo técnico, también es de trazabilidad institucional.

Primero, en banca y servicios financieros, conviene reforzar verificación fuera de banda para operaciones sensibles, alertas sobre cambios de cuenta y controles sobre llamadas urgentes o enlaces sospechosos. Las advertencias del BCP muestran que el fraude de ingeniería social sigue siendo el vector más explotable por volumen y por facilidad de ejecución.

Segundo, en organizaciones expuestas a datos personales, hay que revisar avisos de privacidad, registros de tratamiento, base habilitante y procedimientos de respuesta a incidentes. La ley de datos personales exige madurez documental, pero el impacto real vendrá por la capacidad de demostrar control sobre accesos, terceros y retención.

Tercero, para operadores esenciales y proveedores tecnológicos, la prioridad es continuidad operacional. Segmentar accesos, auditar servicios expuestos, revisar backup y restauración, y ensayar procedimientos de respuesta ante caídas de conectividad o extorsión. Septiembre mostró que la indisponibilidad también puede llegar por la red, no solo por malware.

Preguntas frecuentes

¿Qué cambió entre agosto y septiembre en Paraguay?

Septiembre pasó de un mes sin ransomware predominante a uno en el que esa fue la amenaza principal, con 19 de 63 hechos. Además, bajaron los fraudes o phishing de 11 a 6 y los movimientos regulatorios de 11 a 9. El foco se movió hacia extorsión, banca e infraestructura crítica.

¿Qué tan confirmado está el caso Panzer contra Inovapy?

Está confirmado el reclamo público del grupo Panzer y su aparición en sitios de filtraciones, pero no hay confirmación pública de la víctima sobre intrusión ni evidencia concluyente de cifrado. El material permite hablar de extorsión con amenaza de leak, no de una brecha plenamente validada.

¿Qué significa que no haya CVEs críticos en el indicador del mes?

Significa que el material analizado en septiembre no registró CVEs críticos como parte de los hechos del período. No significa que no existan vulnerabilidades críticas en la región. De hecho, el cuerpo del informe menciona avisos de CERT-PY y CVEs relevantes, pero no quedaron vinculados a una intrusión paraguaya confirmada.

¿Qué sectores quedaron más expuestos por la combinación de incidentes y regulación?

Finanzas, tecnología, salud y gobierno concentraron la señal más visible. Banca recibió presión por fraudes y supervisión, tecnología por ransomware, salud por defacement y alertas preventivas, y gobierno por la discusión de infraestructura crítica y datos personales. La conectividad afectó de forma transversal a todos.

¿Qué debe mirar primero un CISO local tras este mes?

Debe revisar fraude de identidad, exposición de servicios y capacidad de respuesta ante incidentes. El mes mostró que un ataque puede venir como extorsión, como suplantación o como degradación de red. También conviene alinear cumplimiento con la ley de datos personales y con futuros requisitos de reporte de infraestructura crítica.

Limitaciones del material

Este informe se construyó exclusivamente con los hechos provistos para Paraguay en septiembre de 2026 y con 1 hecho de meses anteriores usado solo como marco comparativo. No se incorporó internet externo ni material fuera de la lista de fuentes disponibles para citar. Las redes sociales de consumo y el contenido patrocinado quedaron fuera salvo cuando aparecieron como evidencia secundaria dentro del material ya consolidado.

La ventana temporal de los indicadores es la declarada en el encargo, 63 hechos con fecha en septiembre de 2026 y 1 de meses anteriores como marco comparativo, no volumen del mes. Un indicador en 0, en especial CVEs críticos mencionados, significa que no apareció en el material analizado, no que no exista actividad o vulnerabilidad en la región.

También hay que leer con cuidado la taxonomía de ransomware. El material separa cifrado confirmado, exfiltración sin cifrado, sola mención en leak site y casos donde la fuente no permite determinar el impacto. Mezclar esas categorías daría una lectura engañosa del riesgo operativo real.

Por último, varias señales de septiembre son atribuciones no confirmadas, sobre todo en defacement, supuestas filtraciones y reclamos de actores como Zumarius. Esas piezas se usaron como contexto, no como confirmación de brechas. Cuando la fuente no confirmó el incidente o lo marcó como pendiente, el informe lo trató en consecuencia.