Situación Nacional de Ciberseguridad - Julio 2026 - Uruguay

Amenazas y campañas activas en Uruguay

Ransomware y extorsión en Uruguay, ACU y los casos en leak sites

Cifrado de activos confirmado, ACU y Deadlock

El caso más sólido de ransomware del mes es ACU, el Automobile Club del Uruguay, listado por Deadlock en ransomware.live, con fecha de descubrimiento el 10 de julio. La fuente de inteligencia asociada y las coberturas de seguimiento sostienen que hubo exfiltración previa al cifrado. En este caso, el impacto operativo no quedó reducido a una mera mención en un leak site. La aparición en el portal de la víctima y la descripción del actor apuntan a una intrusión con técnica de doble extorsión.

Exfiltración sin cifrado, BHU como caso de extorsión materializada

El Banco Hipotecario del Uruguay aparece en julio como el ejemplo más visible de exfiltración con impacto material. Las fuentes describen robo de información, rescate exigido y posterior publicación de material en la dark web al no pagarse. El incidente fue atribuido por la prensa al grupo Crypto24. Aunque la fecha original del ataque es octubre de 2025, la continuidad de sus efectos en julio de 2026 justifica su mención en la parte cualitativa del informe, no en la base de incidentes de este mes. Para la taxonomía, lo verificable es exfiltración y extorsión, con persistencia del daño.

Solo mención en leak site, Section9 y una entidad uruguaya no confirmada

Varios servicios de monitoreo ubicaron en julio a una entidad uruguaya, con dominio oculto en el material, asociada al grupo Section9. Breach House, Recentbreaches, Darkfield, GalaxyWarden y Dexpose coincidieron en ubicar el caso el 26 o 27 de julio y en mencionar exfiltración o amenaza de publicación, pero no hubo confirmación pública de la organización afectada ni precisión suficiente para afirmar con seguridad si hubo cifrado. Por eso, el caso debe permanecer en la categoría de mención en leak site o tipificación no determinable, según la fuente consultada.

Fraude y phishing en Uruguay

Deepfakes financieros con la imagen del presidente

El informe de Revelum citado por Nación.com.uy es el hecho más claro del mes en fraude digital. No se trata de un phishing clásico por correo, sino de anuncios fraudulentos con deepfakes de una figura pública para inducir inversión o desvío de dinero. El caso muestra una evolución del engaño, más visual, más creíble y con un potencial de segmentación alto. El dato más llamativo es la aceleración en pocos días, con 16 anuncios detectados entre el 21 y el 23 de julio.

Alerta sobre automatizaciones e IA mal diseñadas

El País Uruguay y El Correo no reportan fraude operativo concreto en una organización específica del país, pero sí exponen una preocupación que en julio quedó instalada en el debate local: sistemas de IA y automatizaciones que realizan acciones más amplias de lo previsto por problemas de diseño. Esto no entra como incidente de fraude, pero sí como contexto de riesgo para futuras campañas de abuso de automatización y escalamiento de permisos.

APT, hacktivismo y campañas oportunistas en Uruguay

En el material de julio no aparecen elementos robustos para atribuir una campaña APT clásica contra Uruguay. Lo que sí se observa es actividad oportunista y masiva, con explotación de sitios vulnerables y con leak sites usados para amplificar presión sobre las víctimas. La campaña sobre sitios del Hospital de Clínicas e INISA entra mejor en la categoría de explotación automatizada que en la de actor persistente con objetivos estratégicos. Esa distinción importa, porque cambia el tipo de contención necesaria, desde endurecer exposición y parcheo hasta revisión de credenciales, logs y mecanismos de persistencia.

Vulnerabilidades críticas con impacto en Uruguay

La agenda de vulnerabilidades dominó el mes y quedó respaldada por fuentes locales y externas. CERTuy fue el actor más relevante para Uruguay, porque no solo difundió el aviso de Microsoft sino que también publicó una alerta propia sobre Joomla. A eso se sumaron advisories de otros equipos de respuesta que ayudan a interpretar la severidad de la exposición.

La combinación de estas fallas deja dos lecturas concretas para Uruguay. La primera, que los entornos Windows y Microsoft 365 o SharePoint siguen siendo una superficie de ataque de máximo interés para actores oportunistas y avanzados. La segunda, que los CMS y extensiones de terceros, en particular Joomla, siguen siendo un punto débil clásico en instituciones que administran sitios públicos o semipúblicos con ciclos de actualización irregulares.

Regulación y cumplimiento en Uruguay

Julio fue un mes particularmente activo en regulación. El Banco Central del Uruguay aprobó un marco específico para los Proveedores de Servicios de Activos Virtuales, con exigencias de autorización, gobierno corporativo, cumplimiento, auditoría y seguridad de la información. El paquete normativo incluye la necesidad de designar responsables independientes del área de tecnología, realizar auditorías externas anuales sobre continuidad del servicio y resiliencia ante ciberataques, y atender obligaciones adicionales de resguardo operativo y de usuarios. Distintos medios resumieron la norma desde ángulos complementarios, pero el núcleo es el mismo, más supervisión, más segregación, más control.

En el caso de las Instituciones Emisoras de Dinero Electrónico, desde el 1 de julio de 2026 deben reportar periódicamente al BCU sus capacidades de ciberseguridad. Esto es un cambio importante porque transforma la ciberseguridad en información de supervisión regulatoria, no solo en una práctica interna. La señal es clara, el regulador quiere datos comparables y una línea de base de resiliencia dentro del sistema financiero.

El Decreto N.º 168/026, aprobado el 17 de julio y publicado oficialmente el 30, completa la foto desde el Estado. La norma obliga a la Administración Central a activar procedimientos administrativos de inmediato ante incidentes, y fija consecuencias si los problemas se relacionan con falta de previsión, procesos inadecuados o sistemas obsoletos. La lógica es de maduración institucional, aunque su eficacia dependerá de la implementación real, de los tiempos internos y de la capacidad de AGESIC para acompañar y fiscalizar.

Sectores más afectados en Uruguay

Los sectores más tocados por la señal de julio fueron el público, el financiero, el tecnológico, el de transporte y el de alimentos y servicios. Conviene leer esta distribución como una superposición, no como compartimentos estancos. Un mismo hecho puede tocar más de un sector, por ejemplo, una filtración en una entidad financiera tiene impacto regulatorio, reputacional y operativo al mismo tiempo.

El sector público tuvo dos tipos de presión. Por un lado, la afectación directa de sitios web de instituciones como Hospital de Clínicas e INISA, con una dinámica automatizada de búsqueda de vulnerabilidades. Por otro, el reordenamiento normativo impuesto por el Decreto N.º 168/026 y por el proyecto de Rendición de Cuentas, que obliga a informes anuales de ciberseguridad. Ese doble movimiento, incidente más regulación, sugiere que el sector público uruguayo quedó bajo presión tanto por exposición técnica como por exigencia administrativa.

El sector financiero apareció en varios frentes. El BHU siguió mostrando consecuencias de un ataque grave con filtración masiva, mientras que el BCU endureció el esquema para PSAV e IEDE. Ese contraste es revelador. El regulador tomó nota de que la superficie de ataque ya no está limitada a la banca tradicional, sino que también abarca ecosistemas de criptoactivos y dinero electrónico. En términos de prioridad, el riesgo operativo y el de cumplimiento quedaron mucho más entrelazados.

En transporte y servicios automotrices, ACU apareció como víctima asociada a Deadlock. En alimentos y servicios, el caso vinculado a Section9 indicó que actores de ransomware siguen buscando organizaciones con valor operativo y reputacional. Finalmente, el bloque de fraude con deepfakes se superpone con el sector financiero, aunque la pieza de abuso en sí se origina en un uso de identidad política y no en una plataforma financiera determinada.

Tendencias y señales a monitorear en Uruguay

No hay baseline comparativo formal disponible para este país, porque este es el primer período archivado con este formato de indicadores. Por eso no corresponde inventar una variación mensual contra junio. Aun así, sí se pueden marcar señales de seguimiento a partir de julio.

La primera es el predominio de vulnerabilidades. Si 18 de los 72 hechos verificados del mes se agrupan allí, el mensaje es que Uruguay sigue siendo muy sensible a ciclos de parcheo de grandes proveedores y a fallas en software de uso extendido, especialmente Microsoft y CMS de terceros. El caso de Joomla y el paquete de Microsoft muestran que la ventana entre publicación y explotación sigue siendo muy corta.

La segunda es la consolidación de la extorsión como táctica de presión, más allá del cifrado. En julio convivieron un caso con cifrado confirmado, un caso con exfiltración y rescate, y varias apariciones en leak sites con tipificación incompleta. Esto sugiere que los operadores siguen valorando la publicación de datos, incluso cuando no logran impacto técnico pleno sobre la infraestructura.

La tercera es la institucionalización de la respuesta. Uruguay está pasando de publicar alertas y cubrir incidentes a exigir reportes, auditorías y responsabilidades formales. El BCU y AGESIC empujan en esa dirección. Falta ver si los organismos y operadores convierten esa presión regulatoria en cambios prácticos de inventario, parcheo, segregación de privilegios y continuidad operativa.

La cuarta es el crecimiento del fraude sintético. Los deepfakes de Yamandú Orsi son una advertencia sobre campañas de ingeniería social más convincentes y más difíciles de filtrar con controles clásicos. Si ese tipo de material circuló con fuerza en julio, es razonable esperar más intentos de abuso de identidad pública o corporativa en meses siguientes.

Recomendaciones para equipos de seguridad en Uruguay

Priorizar la remediación de los componentes citados por CERTuy, en particular las vulnerabilidades activamente explotadas en Active Directory Federation Services, SharePoint Server y SP Page Builder para Joomla. Si hay exposición pública, el tiempo de reacción debería medirse en horas, no en días. En los entornos Microsoft, revisar también la cobertura del resto del paquete de julio, porque el aviso local remarca una superficie mucho más amplia que los zero-days.

Revisar inventario y exposición de CMS, extensiones y plugins. La campaña sobre Joomla y la descripción del defacement masivo en sitios uruguayos muestran que las páginas públicas siguen siendo un blanco fácil cuando el ciclo de actualización se retrasa. La verificación manual de la aplicación de parches, la rotación de credenciales administrativas y la revisión de cuentas con privilegios siguen siendo medidas básicas que no pueden quedar delegadas a la inercia de la plataforma.

En el sector financiero y en proveedores de activos virtuales, alinear lo regulatorio con lo técnico. El nuevo marco del BCU no debería verse como un trámite documental. Exigir un responsable de seguridad independiente, auditorías externas y evidencia de resiliencia ante ciberataques obliga a ordenar registros, continuidad, segregación de fondos y respuesta a incidentes. Si esa documentación no aterriza en pruebas reales, simulacros y métricas internas, el cumplimiento será frágil.

En organismos públicos, formalizar la respuesta a incidentes conforme al Decreto N.º 168/026. Eso implica circuitos claros de escalamiento, responsables designados, criterios para informar a AGESIC y trazabilidad de las correcciones. También conviene revisar sitios institucionales expuestos a Internet, porque el ataque masivo contra páginas públicas mostró que el riesgo no siempre llega por una intrusión sofisticada, sino por automatización de bajo costo contra superficies mal mantenidas.

Fortalecer controles anti fraude para material sintético y campañas de impersonation. Los deepfakes de Yamandú Orsi prueban que la verificación visual ya no alcanza. Los equipos de seguridad y de comunicación deben definir procedimientos para alertas públicas, bloqueo de anuncios, monitoreo de marca y confirmación fuera de banda cuando aparezcan piezas audiovisuales sospechosas.

Anexo técnico: indicadores de compromiso y TTPs

Section9 y Deadlock, dominios y huellas observables

El material de julio trae al menos un IOC explícito en el caso Section9. ransomware.live publica para el grupo Section9 el identificador de compromiso 0CB7BEB4F390737D72070C4DAD8C1516A962C333DE7668ACA379CAA0DD7F1277CB6703B746B4, asociado a su infraestructura de comunicaciones. Este dato es útil para detección de contactos o infraestructura vinculada al operador.

En el caso de ACU y Deadlock, las fuentes consultadas no aportan hashes, IPs ni dominios de C2, pero sí referencias de victimología y cronología. La fecha de primera observación informada por ransomware.live fue el 10 de julio de 2026, y el sector asociado fue transporte y logística. Las descripciones de GalaxyWarden y Pulse apuntan a una dinámica de exfiltración previa al cifrado, compatible con doble extorsión.

TTPs observadas en campañas de julio

En los sitios uruguayos afectados por la campaña automatizada de julio, el patrón descrito fue el de un bot que escaneaba miles de sitios buscando una vulnerabilidad específica. En la versión técnica difundida por YouTube se sugiere el uso de extensiones de Joomla desactualizadas, aunque esa parte no debe tomarse como confirmación independiente. Aun así, la lógica TTP es clara, exploración masiva, explotación de superficie pública y alteración de disponibilidad.

En los casos de ransomware y extorsión, la táctica reiterada fue la presión mediante publicación de datos o amenaza de hacerlo. El BHU muestra la variante clásica con robo, rescate y filtración tras el no pago. Section9 aparece más cerca del ecosistema de leak site con amenaza pública. ACU, según las fuentes de inteligencia, habría seguido una lógica de doble extorsión.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para Uruguay, sin acceso a internet ni validación externa adicional. La ventana temporal de los indicadores es julio de 2026, con 72 hechos fechados dentro del período y 2 sin fecha confirmada, que quedaron excluidos de los conteos. Los hechos de meses anteriores solo se usaron como contexto cualitativo cuando estaban claramente identificados como tales, por ejemplo el ataque al BHU ocurrido en octubre de 2025. No se sumó telemetría agregada a los indicadores, porque los materiales de intentos, escaneos o bloqueos no constituyen incidentes.

Cuando un indicador figura en 0, eso significa que no apareció en el material analizado del mes, no que no haya ocurrido en Uruguay o en la región. Este matiz importa especialmente para CVEs y para ciertas categorías de fraude o interrupción. En este caso, sí hubo CVEs críticos mencionados, pero el principio sigue siendo válido para cualquier lectura de ausencia. La ausencia de evidencia en el corpus no equivale a ausencia de hecho en el mundo real.

También quedaron fuera de los conteos las piezas sin fecha confirmada, aunque puedan servir como contexto. Además, el corpus incluye fuentes de distinta calidad, desde CERTuy, AGESIC, BCU y otros organismos oficiales hasta coberturas periodísticas y plataformas de inteligencia de ransomware. Las fuentes patrocinadas, comunicados comerciales, redes sociales de consumo y publicaciones no incluidas en la lista habilitada fueron excluidas como evidencia. Cuando una afirmación dependió de monitoreo de terceros o de cobertura secundaria, se preservó esa atribución y no se la trató como confirmación oficial salvo que el material lo permitiera.