USA: situación de ciberseguridad, septiembre 2026

Amenazas y campañas activas en USA

Ransomware y extorsión, con taxonomía separada

En septiembre se registraron cinco casos con ransomware o extorsión como eje primario en Estados Unidos, pero el material no permite tratarlos como una sola masa homogénea. Hubo un caso de exfiltración sin cifrado, cuatro publicaciones cuya tipificación exacta no puede determinarse con el material y varias menciones de víctima en leak sites que no prueban por sí solas impacto operativo.

Exfiltración sin cifrado: Fort Smith

Fort Smith encaja mejor en extorsión simple con alegato de extracción masiva. La ciudad reconoció intrusión y trabajo forense, y las fuentes de seguimiento hablan de robo de datos y publicación en sitio de filtración, pero no de cifrado verificado en el material consolidado. El caso se ubica en el plano de presión por divulgación y no en el de indisponibilidad confirmada.

Tipificación no determinable: Eudora, Sutton y otros casos locales

Eudora tuvo cifrado confirmado según el exadministrador de TI, pero en otros episodios del mes la tipificación no puede cerrarse con la misma certeza. Sutton, Fort Smith y algunos avisos de hospitales y proveedores aparecen como incidentes con actividad en curso, publicaciones de grupos o investigaciones abiertas, sin prueba suficiente para etiquetar todos como cifrado, exfiltración o simple reclamo de víctima.

Sola mención en leak site: OnTrac, Electrolux y otras publicaciones

El seguimiento de ransomware.live y otras plataformas añadió víctimas como OnTrac y Electrolux, y también otras organizaciones, pero en varios de esos casos la fuente solo documenta la publicación del grupo. Eso no equivale a un impacto operacional confirmado. La diferencia es importante porque la presencia en un leak site puede ser real, dudosa o inflada, y el material no siempre permite cerrar esa brecha.

Fraude y phishing, con un caso documentado

El único caso claramente documentado de fraude o phishing en Estados Unidos dentro del período fue el proceso judicial contra dos exmiembros de la Fuerza Aérea, vinculados a campañas de correo no deseado y phishing dirigidas a empresas estadounidenses para robar credenciales y usarlas en fraude BEC. La sentencia fue de 111 meses y 78 meses de prisión, además de órdenes de restitución.

Esto confirma que el phishing sigue siendo una puerta de entrada útil para fraude financiero y robo de cuentas, aunque el mes estuvo mucho más dominado por explotación de vulnerabilidades que por campañas de correo masivo. La señal es menor en volumen, pero no en sensibilidad legal.

APT, espionaje y actividad de intrusión avanzada

La actividad avanzada del mes se concentró en los casos del FBI, el DMDC, los movimientos alrededor de ShinyHunters y el episodio de OpenAI sobre sitios federales. No todo eso es APT en sentido estricto, pero sí expresa un entorno de intrusión más cercano a reconocimiento, acceso no autorizado, robo de credenciales y exfiltración selectiva que a ransomware puro.

La cobertura sobre NetScaler también mostró uso de malware personalizado y explotación temprana antes del anuncio público de Citrix, lo que sugiere campañas con planificación y preparación. En paralelo, el frente OT e ICS tuvo un sello diferente: no tanto exfiltración, sino pre-posicionamiento, búsqueda de SCADA y preparación de archivos comprimidos con esquemas y configuraciones de red.

Vulnerabilidades críticas con impacto en USA

La agenda técnica de septiembre estuvo marcada por explotación activa, incorporación a KEV y plazos de remediación agresivos. CISA actuó sobre appliances de borde, Windows, Linux, productos de colaboración, plataformas de comercio y herramientas de administración que quedaron bajo presión real, no solo teórica.

Regulación y cumplimiento en USA

Septiembre cerró con un frente regulatorio más activo que en agosto, sobre todo en banca, telecomunicaciones, salud, privacidad y gobernanza de IA. Hubo siete movimientos regulatorios documentados, con una intensidad notable en la construcción de marcos para terceros, incidentes y obligaciones de notificación.

La SEC dejó atrás el período de gracia de Reg S-P y recordó que las firmas reguladas deben contar con programas escritos de respuesta a incidentes, notificar a clientes en un plazo máximo de 30 días y exigir a proveedores que reporten brechas en 72 horas. En paralelo, la OCC actualizó su Cybersecurity Supervision Work Program para alinearlo con NIST CSF 2.0, sin crear nuevas expectativas regulatorias, pero dejando claro el enfoque de examen sobre bancos nacionales y asociaciones federales de ahorro.

La Fed siguió empujando la discusión sobre riesgo de proveedores y exposición a IA. Michelle Bowman habló de proteger a los bancos, especialmente los más pequeños, frente a riesgos derivados de servicios externos y de IA. A eso se sumó el debate interagencial sobre third-party risk management, con mayor escrutinio de core providers y proveedores críticos.

En telecomunicaciones, senadores avanzaron un proyecto de certificación voluntaria para proveedores y suministradores, como respuesta al debate posterior a Salt Typhoon. En salud, Warner y Wyden reintrodujeron la Health Infrastructure Security and Accountability Act, con estándares mínimos obligatorios, auditorías, planes de continuidad y una asignación de 1.300 millones de dólares para fortalecer la ciberseguridad hospitalaria.

CISA y el FBI también marcaron la agenda normativa con la ficha sobre integradores ICS de terceros. La guía pide reducir exposición pública, registrar accesos remotos, mantener inventarios de hardware y software, incluir requisitos de seguridad en contratos y sostener capacidad operativa independiente. Es una intervención regulatoria que nace de una práctica de ataque real y que busca bajar el riesgo sistémico de la cadena industrial.

Sectores más afectados en USA

El sector más presionado fue salud, aunque la presión no se presentó solo como ransomware. Hubo incidentes en hospitales, proveedores de salud, un gran actor de tecnología sanitaria y casos con datos médicos o sensibles, además del trasfondo regulatorio sobre HIPAA, seguridad hospitalaria y continuidad operativa. La señal es clara: salud sigue siendo un objetivo de alto valor para robo de información, extorsión y disrupción.

Gobierno y sector público también tuvieron un mes duro. El FBI, el DMDC, gobiernos locales como Fort Smith y Sutton, y el episodio de OpenAI sobre portales federales mostraron un patrón de riesgo sobre identidad, acceso y datos administrativos. En este terreno, el problema no fue un solo tipo de ataque, sino la superposición entre intrusión, exposición de datos y dependencia de proveedores o sistemas de terceros.

Agua y OT tuvieron un peso desproporcionado para el volumen total del mes. Colorado y los avisos sobre utilities de agua en otros estados mostraron que el acceso remoto y los PLC siguen siendo un punto frágil. La guía de CISA y FBI para integradores ICS no fue una pieza aislada, sino una respuesta directa a un problema que ya se había materializado.

Finanzas apareció por el lado regulatorio y por incidentes de datos, pero también por la presión sobre terceros, proveedores core y supervisión. La OCC, la Fed, la FTC y los proyectos legislativos de septiembre pusieron a los bancos en el centro de una discusión más amplia sobre resiliencia operacional, protección del consumidor y uso de proveedores tecnológicos.

Energía y transporte tuvieron menos volumen, pero un riesgo alto por criticidad. Los petroleros investigados en el golfo de México y el caso de CenterPoint Energy muestran que los vectores sobre OT, IT y datos de cliente conviven. En telecomunicaciones, la discusión se movió más al plano de política pública, aunque el interés por la certificación y la resiliencia de proveedores indica una preocupación sostenida.

Tendencias y señales a monitorear en USA

La comparación con agosto muestra una caída fuerte en volumen general, de 92 a 53 hechos verificados, pero no una descompresión del riesgo. Bajaron los incidentes sin tipificar, los casos de ransomware o extorsión y el fraude o phishing documentado, mientras subieron los CVEs críticos mencionados, de 18 a 27. El mes anterior estuvo dominado por ransomware, este mes por vulnerabilidades. Esa inversión es la principal señal táctica.

La segunda señal es la consolidación del borde y del acceso remoto como superficie de mayor urgencia. SonicWall, Citrix, Mikrotik, WSO2, VMware, Check Point y productos Microsoft aparecieron con explotación activa o incorporación al KEV. El mercado de appliances y software expuesto a Internet siguió funcionando como la primera línea de impacto para atacantes con objetivos que van desde acceso inicial hasta posicionamiento para intrusión posterior.

La tercera tendencia es la mayor densidad de incidentes en entornos de terceros y proveedores. El caso del FBI, el debate sobre integradores ICS, la guía interagencial de banca, y los movimientos de regulación sobre core providers y proveedores de servicios externos apuntan en la misma dirección. No se trata solo de auditoría de proveedores, sino de continuidad operacional frente a dependencia crítica.

En salud y gobierno local, septiembre dejó evidencia de que la combinación de exfiltración, ransomware y exposición administrativa sigue activa, pero con menos casos masivos que en agosto. A la vez, la narrativa de ataque asistido por IA apareció menos como hecho operativo directo en USA y más como contexto de riesgo global, especialmente por las campañas descritas por Anthropic y Unit 42 en otros frentes.

La señal más relevante para octubre es simple: el ritmo de publicación de KEV y los plazos de mitigación seguirán marcando la agenda de defensa. Si el mes anterior fue la advertencia de un auge de ransomware, septiembre fue el recordatorio de que la explotación de vulnerabilidades sigue siendo el camino más rápido para comprometer servicios, datos y redes industriales.

Recomendaciones para equipos de seguridad en USA

Priorizar el parchado de appliances de borde y acceso remoto, con foco en NetScaler, SonicWall, WSO2, Mikrotik, VMware, Check Point y productos Microsoft que fueron añadidos a KEV o mostraron explotación activa. En organizaciones con exposición pública, la ventana de remediación debe medirse en horas, no en semanas.

Revisar de inmediato las dependencias con terceros, en especial integradores ICS, proveedores core en banca y servicios externos con acceso remoto persistente. Los contratos deben contemplar logging de sesiones, inventario de software y hardware, notificación acelerada de incidentes y capacidad de operar sin el integrador si ese tercero queda comprometido.

En gobierno, salud y utilities, reforzar monitoreo sobre identidad, autenticación y exfiltración. Los casos del FBI, Astrana, CenterPoint y Fort Smith muestran que el acceso inicial sigue llegando por credenciales, suplantación o sistemas expuestos. No alcanza con proteger el perímetro si el dato sensible ya está accesible internamente o en portales conectados.

En OT y agua, limitar exposición directa a Internet, registrar y segmentar accesos remotos, y mantener procedimientos manuales listos. La guía CISA y FBI sobre integradores ICS y el caso de Colorado muestran que la continuidad operativa depende tanto de arquitectura como de disciplina de operación.

En equipos de respuesta, distinguir con precisión entre cifrado, extorsión simple y mera publicación en leak site. Esa diferenciación es clave para no sobredimensionar ni subestimar el evento, para medir impacto real y para comunicar con legal, dirección y reguladores sin mezclar reclamos no verificados con intrusiones confirmadas.

Preguntas frecuentes

¿Qué cambió entre agosto y septiembre de 2026 en USA?

Septiembre tuvo menos hechos verificados que agosto, 53 contra 92, y mucho menos ransomware. A cambio, aumentó la presión sobre vulnerabilidades críticas, con 27 CVEs mencionados frente a 18 el mes anterior. La señal dominante pasó de ransomware a explotación técnica, sobre todo en bordes expuestos y acceso remoto.

¿Qué sectores quedaron más expuestos este mes en USA?

Salud, gobierno, agua, finanzas, energía, telecomunicaciones, transporte y servicios digitales tuvieron hechos documentados. La combinación más delicada cruzó gobierno y defensa, con el FBI y el DMDC, mientras agua y OT destacaron por los casos de Colorado y la guía CISA-FBI para integradores ICS.

¿Qué vulnerabilidades concentraron la urgencia operativa en USA?

Citrix NetScaler, SonicWall SMA1000, Microsoft Windows, WSO2, Adobe Commerce, SharePoint, Mikrotik RouterOS y Linux kernel dominaron la agenda. El patrón común fue la explotación activa o la incorporación al catálogo KEV de CISA, lo que obligó a priorizar parcheo inmediato en entornos expuestos.

¿Cómo hay que leer los cinco casos de ransomware o extorsión del mes?

No deben agruparse como un bloque único. Uno aparece mejor caracterizado como exfiltración sin cifrado, cuatro no permiten definir con certeza el tipo de impacto, y en varios casos la fuente solo registra la publicación en un leak site. Esa distinción cambia por completo la valoración del daño.

¿Qué implica para bancos y proveedores el frente regulatorio de USA?

Implica más control sobre terceros, más exigencia documental y menos margen para respuestas informales. Reg S-P ya exige notificación rápida, la OCC alineó su trabajo con NIST, la Fed reforzó el foco en proveedores y el debate de TPRM apunta a core providers con responsabilidades más estrictas.

Limitaciones del material

Este informe se elaboró exclusivamente con el material provisto para USA y septiembre de 2026. Los 53 hechos verificados del período son la base de todos los indicadores. Los tres hechos del bloque de marco comparativo se usaron solo para evolución mes contra mes y no cuentan como volumen del mes. Los cuatro hechos sin fecha confirmada quedaron excluidos de los indicadores.

Un indicador en cero, especialmente en CVEs o en categorías como fraude, no significa ausencia real del fenómeno en Estados Unidos o en la región. Significa que no apareció en el material analizado para este período con la confirmación suficiente requerida por estas reglas.

La ventana temporal declarada por el informe incluye 53 hechos con fecha en septiembre 2026, más tres hechos de meses anteriores utilizados solo como comparación, y cuatro sin fecha confirmada excluidos de los conteos. El material no incorpora telemetría agregada como incidente, y cualquier cifra de intentos o bloqueos debe leerse, si aparece, como ruido operacional y no como intrusión confirmada.

También quedaron excluidas como evidencia las publicaciones de redes sociales de consumo y contenido patrocinado. Cuando se usaron menciones de terceros, se priorizaron organismos oficiales, avisos de fabricantes, CISA, FBI, SEC, OCC, Fed y otras fuentes primarias o directamente observacionales. Cuando una afirmación dependía solo de atribución del atacante o de cobertura secundaria, fue tratada como tal y no como hecho cerrado.