Logística, puertos, aeropuertos y transporte — Agosto 2026

Amenazas y campañas activas

Ransomware y extorsión con impacto diferenciado

El grupo de hechos con ransomware o extorsión como eje primario fue amplio, pero su calidad operativa fue desigual. Solo un caso mostró cifrado de activos confirmado, ICN. Hubo además dos episodios que se alinean con exfiltración sin cifrado, Uber Freight y LATAM Pass, en los que el material describe acceso no autorizado y filtración o consulta indebida de datos. Tres hechos quedaron en simple mención en leak site, Oldelval, Integraduanas y Flecha Bus, sin confirmación oficial del impacto total. Nueve casos no permitieron determinar con precisión el mecanismo con la evidencia disponible.

Esa distinción importa porque cambia la defensa. Cuando hay cifrado confirmado, la prioridad es recuperación, segmentación, backup y preservación forense. Cuando predomina exfiltración, la agenda se mueve a notificación, fraude, protección de clientes y control de identidad. Y cuando solo hay mención en leak site, el equipo debe tratar el caso como señal de riesgo, no como cierre de incidente. El mes mostró las tres formas conviviendo en el mismo sector.

Oldelval fue el mejor ejemplo de mención con continuidad preservada. Integraduanas y Flecha Bus quedaron en reclamos de terceros sin confirmación oficial en el material revisado. Metaencryptor y The Gentlemen aparecen además como nombres recurrentes en distintas fuentes, lo que sugiere un ecosistema RaaS o de extorsión oportunista más que una campaña única y homogénea. La prudencia analítica es obligatoria, porque no todos los nombres en un leak site equivalen al mismo nivel de impacto.

Fraude y phishing

El mes dejó un único hecho documentado de fraude o phishing, pero su peso potencial es alto por el tipo de dato expuesto. El caso de LATAM Pass habilita una lectura de fraude muy clara, aunque no se haya descrito como campaña de phishing en sentido estricto. La combinación de nombres, correos, teléfonos, direcciones, número de socio y saldo de millas es material útil para suplantación y ataques de ingeniería social dirigidos a clientes con alta probabilidad de respuesta.

En transporte y aerolíneas, la frontera entre breach y fraude se cruza rápido. Los datos de fidelización sirven para resetear contraseñas, simular notificaciones de viaje, pedir validaciones falsas o intentar redención fraudulenta de puntos. Por eso la notificación a clientes y la comunicación con la ANPD son parte integral del control del daño. A nivel de región, el dato más relevante no es que haya un único caso de fraude, sino que el material documentado muestra una base de datos suficiente para que ese fraude crezca después.

APT y hacktivismo

El material del mes no mostró una campaña APT regional consolidada sobre logística, puertos, aeropuertos o transporte latinoamericano. Sí apareció una referencia a Lazarus asociada a explotación de un zero-day de Windows en campañas contra defensa y aeroespacial en varios países, entre ellos Brasil, mediante falsas ofertas de empleo. Ese hecho no se tradujo en un incidente directo sobre el vertical de este informe, pero sí deja una señal de targeting sobre entornos cercanos a infraestructura sensible.

El único caso que roza una lógica de activismo o acción de demostración es el de Córdoba, donde un investigador realizó pruebas y reveló fallas críticas, pero el material lo encuadra como hackeo ético y reporte a CERT.ar, no como intrusión hostil. Conviene distinguir bien eso de una campaña de hacktivismo. Para el mes analizado, no hay base suficiente para describir una operación APT o hacktivista sobre el vertical con hechos verificados en la región.

Vulnerabilidades críticas

En el material analizado se mencionó un único CVE crítico, CVE-2026-68820, asociado a una campaña atribuida a Lazarus contra los sectores de defensa y aeroespacial en varios países, entre ellos Brasil. No se registraron otros CVEs críticos en la evidencia del mes. Eso no significa ausencia de vulnerabilidades críticas explotadas en la región, solo que no aparecieron en el corpus revisado para este informe.

El dato no debe leerse como una mejora estructural de superficie. Más bien sugiere que agosto estuvo más atravesado por incidentes materializados que por divulgación de nuevas fallas críticas. En un mes donde el foco se corrió a brechas, ransomware y respuestas regulatorias, la visibilidad de CVEs bajó. El riesgo técnico sigue ahí, pero no fue la principal forma de señal documentada en este período.

Regulación y cumplimiento

La regulación ganó un lugar central en agosto porque varios casos obligaron a notificar, escalar o revisar contratos. Oldelval tuvo que informar el incidente a la CNV bajo el régimen de hecho relevante, y People of Internet subrayó que ese fue el marco jurídico que hizo pública la divulgación. En la práctica, eso equivale a decir que la transparencia surgió por obligación de mercado y no por una norma sectorial específica de ciberseguridad crítica.

LATAM adoptó una lógica distinta, pero también regulatoria. La empresa reportó el incidente a la ANPD en Brasil y notificó a clientes potencialmente afectados. Ese tipo de respuesta marca la diferencia entre un problema operativo interno y una exposición que activa supervisión de datos personales. Para aerolíneas y programas de fidelidad, la coordinación entre seguridad, privacidad y atención al cliente deja de ser opcional.

En Córdoba, la municipalidad anunció auditoría interna sobre la empresa proveedora del sistema de transporte y revisión de contratos tecnológicos. Ese punto es muy relevante para administraciones públicas y concesionarios de movilidad, porque el incidente no se agota en la capa técnica. Cuando aparecen terceros con acceso a datos sensibles y control remoto, la respuesta contractual y de supervisión pesa tanto como el parcheo de vulnerabilidades.

La conclusión regulatoria del mes es que América Latina sigue usando marcos dispersos para obligar a revelar incidentes. Mercado de capitales, protección de datos y auditorías administrativas aparecieron como vehículos de transparencia. No hubo, en el material revisado, una señal equivalente de coordinación regional sectorial para puertos, aeropuertos o transporte terrestre.

Países y subsegmentos más afectados

Argentina

Argentina concentró una parte sustantiva de la señal por la combinación de Oldelval, Córdoba, los aeropuertos y las menciones a Flecha Bus e Integraduanas. El patrón no fue uniforme. En petróleo y energía logística, Oldelval preservó continuidad física. En transporte urbano, Córdoba mostró una exposición técnica mucho más profunda, con acceso a bases de datos, credenciales y potencial control de equipos. En aeropuertos, el daño se concentró en datos de clientes y servicios de parking y reservas.

La lectura por país es que Argentina mostró tanto infraestructura crítica como servicios satélite vulnerables. También mostró una diferencia entre enterarse por prensa, como dijo la municipalidad de Córdoba, y gestionar un incidente a través de canales formales. El subsegmento más expuesto no fue un solo vertical, sino la capa de integración tecnológica entre movilidad, atención al cliente y operación.

Brasil

Brasil fue el otro foco principal del mes, con LATAM Pass, ICN y la referencia a Lazarus. El caso de la aerolínea se conectó con datos personales y con cumplimiento ante la ANPD. ICN, en cambio, representó un incidente de ransomware con cifrado confirmado sobre TI y posible preservación por backups. Entre ambos casos aparece un país con exposición simultánea en transporte aéreo, industria naval y entorno corporativo de datos.

Lo que destaca en Brasil es la coexistencia de brechas de privacidad y ransomware operativo. No se trata solo de robo de información, sino de cómo se protegen repositorios, backups y canales de notificación. El hecho de que ICN haya podido preservar datos gracias a copias de resguardo es útil, pero no debería ocultar que hubo criptografía de archivos en un entorno sensible.

México

México aparece con menor volumen, pero con señal de extorsión sobre Integraduanas, empresa de logística, cadena de suministro y almacenamiento dedicada al comercio exterior. La pieza disponible no confirmó el incidente por una fuente oficial, pero sí deja un reclamo público de Qilin y una advertencia sobre posible publicación de datos. Para un operador de comercio exterior, ese tipo de mención basta para activar monitoreo de credenciales, intercambio documental y exposición de clientes.

Subsegmentos de mayor exposición

Los subsegmentos más golpeados fueron transporte urbano, aeropuertos, logística de terceros, portuarios y energía de transporte. Cada uno mostró una forma distinta de daño. Córdoba exhibió control potencial sobre activos móviles. Aeropuertos argentinos y LATAM Pass evidenciaron exposición de datos personales. Oldelval y North Carolina Ports mostraron continuidad degradada pero no interrumpida. Uber Freight y los reclamos sobre Flecha Bus e Integraduanas sugieren que la logística tercerizada sigue siendo una superficie muy atractiva para extorsión y filtración.

Tendencias y señales a monitorear

La comparación con el mes anterior es clara. Agosto pasó de 23 a 67 hechos verificados, con un salto fuerte en incidentes sin tipificar, de 3 a 27, y en movimientos regulatorios, de 0 a 10. El cambio de amenaza predominante, de vulnerabilidades a incidentes, muestra que el corpus del mes se concentró mucho más en eventos ya materializados que en exposición teórica. Eso exige a los equipos regionales priorizar detección, contención y notificación, no solo gestión de parches.

El segundo cambio es la diversificación. El mes anterior había solo tres sectores con al menos un hecho documentado; agosto llegó a siete. Esa expansión importa porque reduce la posibilidad de pensar que el problema afecta solo a una subindustria. Cuando coinciden aeropuertos, puertos, transporte urbano, petróleo, aerolíneas y logística digital, la lectura correcta es sistémica.

La tercera señal es que el mes dejó más casos de incidente administrativo que de caída operacional total. Eso puede interpretarse como una buena noticia relativa, pero sería engañoso. La intrusión en TI, cuentas, portales, reservas y correo es suficiente para generar fraude, retrasos y costos de recuperación. La continuidad física no equivale a resiliencia completa.

La última señal es regulatoria. Sin movimientos formales, muchos incidentes habrían quedado invisibles o limitados a prensa tecnológica. El hecho de que 10 eventos hayan derivado en comunicación, auditoría o notificación muestra que la presión por transparencia está aumentando. Para seguridad regional, eso obliga a preparar mejor la salida del incidente tanto como la respuesta técnica.

Recomendaciones para equipos de seguridad

Primero, separar con más rigor los dominios de negocio y de operación. El mes mostró varias veces que el daño entra por sistemas satélite, no por el núcleo físico. Aeropuertos, puertos y transporte urbano deberían revisar de inmediato la segmentación entre reservas, parking, fidelización, correo, TOS, OCR, recarga de tarjetas y sistemas de control. Si un proveedor administra esos ambientes, el contrato tiene que exigir telemetría, tiempos de notificación y pruebas de recuperación.

Segundo, tratar la exfiltración como una amenaza de primera clase, aunque no haya cifrado. LATAM Pass y Uber Freight muestran que acceso a datos puede ser tan dañino como ransomware. Eso implica reforzar DLP, monitoreo de accesos inusuales, alertas sobre descargas masivas, control de cuentas administrativas y revisión de repositorios de correo y nube. En fidelización y logística documental, el dato robado sirve para fraude posterior.

Tercero, probar restauración de backups y no solo su existencia. ICN preservó datos gracias a sistemas de resguardo, pero ese resultado no puede darse por supuesto. Los equipos deben ensayar restauraciones desde backups inmutables, validar tiempos de recuperación y comprobar si el backup está aislado de la misma identidad comprometida. En puertos y transporte, los RTO reales suelen ser más largos de lo que promete el plan.

Cuarto, ampliar el monitoreo de terceros y del ecosistema de integración. El sistema de Córdoba mostró cuentas administrativas, cámaras, recargas, documentos y funciones remotas. Eso significa que un proveedor mal segmentado puede abrir una superficie enorme. La revisión debe incluir inventario de integraciones, MFA para admins, rotación de credenciales, registros centralizados y una política de mínimo privilegio que alcance a subcontratistas.

Quinto, preparar plantillas de notificación y respuesta pública antes del incidente. Oldelval, LATAM y la municipalidad de Córdoba terminaron respondiendo bajo presión de prensa, CNV, ANPD o CERT. Conviene tener textos, flujos y responsables definidos de antemano. En logística y transporte, la demora informativa suele amplificar el daño reputacional más que la intrusión inicial.

Sexto, reforzar la detección de abuso sobre portales y servicios periféricos. Los aeropuertos argentinos quedaron expuestos en parking y reservas, no en control de vuelo. Esa clase de superficie merece revisión de sesiones, credenciales, captchas adaptativos, segregación de bases y controles de integridad. Cuando el dato personal es el objetivo, el atacante no siempre toca el sistema más visible.

Preguntas frecuentes

¿Qué cambió respecto de julio en el eje de transporte y logística?

Agosto mostró un salto fuerte frente a julio, con más hechos verificados, más incidentes sin tipificar, más sectores afectados y 10 movimientos regulatorios documentados. El mes anterior el eje predominante eran vulnerabilidades; en agosto dominaron incidentes reales, brechas y respuesta formal, sobre todo en Argentina y Brasil.

¿Qué caso tuvo mayor impacto operativo confirmado?

El caso con impacto más claro sobre continuidad fue North Carolina Ports, usado aquí como comparación operativa porque obligó a trabajar en modo manual. En América Latina, Oldelval mantuvo el transporte de crudo sin interrupción, mientras ICN tuvo cifrado confirmado en TI. La gravedad operativa varió más por tipo de sistema afectado que por el nombre del actor.

¿Qué incidentes expusieron datos personales de viajeros o clientes?

LATAM Pass y el ataque a tres aeropuertos argentinos concentraron la exposición de datos personales. En LATAM aparecieron nombres, fechas de nacimiento, correos, teléfonos, direcciones y datos del programa de fidelidad. En los aeropuertos se comprometieron correos, teléfonos, patentes y códigos postales vinculados a un servicio de parking y reservas.

¿Hubo ransomware con cifrado confirmado en el vertical regional?

Sí, el único caso con cifrado confirmado en el material fue ICN, en Brasil. Oldelval tuvo reivindicaciones y mención en leak site, pero la empresa indicó que el incidente quedó confinado a sistemas administrativos y sin interrupción del transporte. El resto de los casos de extorsión no permitió determinar con precisión el mecanismo con la evidencia disponible.

¿Qué deberían priorizar los equipos de seguridad del sector?

Deberían priorizar segmentación entre operación y servicios satélite, protección de datos personales, restauración probada de backups, monitoreo de terceros y preparación de notificación regulatoria. Los casos del mes muestran que el daño entra por correo, fidelización, parking, reservas, logística documental y sistemas administrativos, antes que por la operación física principal.

Limitaciones del material

Este informe se construyó exclusivamente con los hechos provistos para agosto de 2026, más tres hechos de meses anteriores usados solo como marco comparativo y siempre con su mes explícito. No se usó internet ni ninguna otra fuente fuera de la lista de material permitido. Tampoco se incorporó telemetría agregada, porque el material no la incluyó.

Un indicador en cero, en particular el de CVEs críticos, significa que no se registraron en el material analizado, no que no hayan existido vulnerabilidades críticas en la región. Lo mismo aplica a cualquier categoría ausente. La ventana temporal de los indicadores es la declarada al inicio del documento, 67 hechos con fecha en agosto de 2026 y 3 de meses anteriores solo como marco comparativo, no como volumen del mes.

Se excluyeron como evidencia las redes sociales de consumo y el contenido patrocinado o press releases, y no se citó ninguna fuente que no estuviera en la lista de fuentes disponibles. Los hechos sin fecha confirmada no se usaron porque no forman parte de los indicadores. Cuando el material no permitió distinguir entre cifrado, exfiltración o mera mención en leak site, se mantuvo esa ambigüedad en el texto en lugar de inventar una tipificación.

Anexo técnico: indicadores de compromiso y TTPs

No hubo IoCs verificables publicados en el material permitido para este informe. Tampoco se documentaron hashes, dominios, IPs o listas de TTPs con suficiente detalle y fuente citable dentro del corpus analizado. Por ese motivo, esta sección se omite sin agregar contenido especulativo.

Preguntas frecuentes

¿Qué diferencia hay entre un incidente administrativo y una caída operacional total?

Un incidente administrativo afecta correo, datos, portales o repositorios de soporte, mientras que una caída operacional total interrumpe la función física principal. Oldelval y LATAM mostraron impactos administrativos o de datos, y North Carolina Ports sirvió como referencia de operación degradada sin que ello implicara necesariamente un corte total del servicio principal.

¿Qué peso tuvo la regulación en agosto?

Fue uno de los rasgos más visibles del mes. Oldelval divulgó su incidente por una obligación de mercado de capitales en Argentina, LATAM notificó a la ANPD en Brasil y la municipalidad de Córdoba abrió una auditoría interna. La regulación no eliminó el incidente, pero sí empujó transparencia y trazabilidad pública.

¿Qué subsegmentos del vertical quedaron más expuestos?

Los más expuestos fueron transporte urbano, aeropuertos, logística tercerizada, puertos y energía de transporte. Córdoba mostró control potencial sobre activos móviles, los aeropuertos argentinos y LATAM Pass expusieron datos personales, y Oldelval e ICN combinaron continuidad crítica con afectación de TI. La superficie más sensible fue la de sistemas satélite y administración.

¿Por qué el material dice que el mes fue de riesgo alto?

Porque hubo 67 hechos verificados, 27 incidentes sin tipificar, 15 casos de ransomware o extorsión como eje primario, 10 movimientos regulatorios y 7 sectores con al menos un hecho documentado. Además, el impacto incluyó aeropuertos, transporte urbano, oleoductos, logística y puertos, con efectos que tocaron tanto datos como operación.

Países y subsegmentos más afectados

Chile y aerolíneas

El único hecho vinculado a una empresa con alcance regional amplio fue LATAM Pass, que afectó a LATAM Airlines Group y expuso datos de miembros del programa de fidelidad. En términos sectoriales, el subsegmento más sensible fue el de fidelización aérea, porque combina identidad, historial de viaje y valor económico acumulado en puntos o millas.

Transporte urbano y movilidad

Córdoba mostró que la movilidad urbana puede quedar expuesta por integraciones tecnológicas mal segmentadas. El sistema revisado por Ignacio Navarro incluía colectivos, taxis, cámaras, recargas y documentos de identidad. Eso obliga a mirar el transporte urbano como una plataforma tecnológica compleja, no solo como una flota de vehículos.

Puertos y logística de carga

Los puertos y la logística de carga quedaron representados por North Carolina Ports, Uber Freight y los reclamos sobre Integraduanas y Flecha Bus. El patrón común es el valor del correo, los documentos de despacho, el TOS y los procesos de gate. La disrupción no necesita tocar grúas para afectar tiempos, coordinación y costos.

Recomendaciones para equipos de seguridad

Sobre datos de clientes y fidelización

Separar bases de fidelización, identidad y pagos, revisar accesos a saldos y puntos, y habilitar alertas por cambios de correo, teléfono o recupero de contraseña. Cuando un breach toca nombres, fechas de nacimiento y detalles del programa, el riesgo de fraude posterior sube rápido. La respuesta debe incluir comunicación clara al usuario.

Sobre puertos y terminales

Aislar TOS, OCR, EDI, sistemas de gate y acceso de terceros, y probar operación manual sin depender del mismo entorno de identidad. Los incidentes de North Carolina Ports muestran que la continuidad manual puede sostenerse, pero con demoras. En puertos latinoamericanos, esa demora puede ser el primer síntoma visible de un compromiso mayor.

Sobre reportes y gobernanza

Definir de antemano quién notifica a CNV, ANPD, CERT o autoridades sectoriales, y qué umbrales activan cada canal. Agosto dejó claro que la transparencia puede llegar por vías distintas. Si la organización espera improvisar esa parte durante el incidente, el daño reputacional se amplifica.

Gráficos