Minería, metalurgia y recursos naturales — Julio 2026

Amenazas y campañas activas

Ransomware y extorsión, exfiltración sin cifrado confirmado

Julio dejó un caso confirmado de exfiltración con extorsión en Ecopetrol y varios indicios de presión ransomware, pero el material no siempre permite determinar si hubo cifrado de activos. En la taxonomía correcta, el caso principal pertenece a exfiltración de datos sin cifrado confirmado. Reuters, Yahoo Finance y la propia documentación corporativa describen acceso no autorizado, descarga de datos y un intento de ransomware bloqueado. Eso significa que el valor del incidente se concentra en la información sustraída y en la presión posterior, no en la caída de sistemas.

El mismo mes también circularon relatos sobre ransomware con BitLocker en Colombia y México. Aquí sí hubo mención de cifrado, pero la confirmación sólida en el material se limita al patrón de amenaza y a la táctica de imprimir rescates en impresoras corporativas. Como la fuente principal del detalle técnico es incierta, conviene tratar estos casos como advertencias tácticas, no como incidentes plenamente auditados. Aun así, la lectura para el vertical es útil: BitLocker, RDP expuesto, SQL mal configurado y abuso de herramientas administrativas siguen siendo un combo de alto riesgo en entornos empresariales latinoamericanos.

La reivindicación de The Gentlemen en el caso Ecopetrol encaja más cerca de extorsión con presión pública que de ransomware con cifrado verificado. El grupo decía tener hasta un terabyte de información y habría enviado un ultimátum. Hasta donde llega el material disponible, la evidencia firme es la salida de datos y la amenaza asociada, no la indisponibilidad de sistemas por cifrado. Por eso el informe no agrupa todo en una sola bolsa de "ransomware", porque hacerlo borraría diferencias que para un CISO son decisivas.

Fraude y phishing

El material del mes trae cuatro casos de fraude o phishing documentados, pero en el conjunto proporcionado no aparece una narrativa sectorial extensa que permita tratarlos como campaña única de minería, metalurgia o recursos naturales. Aun así, el dato es útil porque estas tácticas suelen ser el paso previo a incidentes más complejos. En organizaciones con operación distribuida y alta dependencia de proveedores, el fraude de credenciales, la suplantación de ejecutivos y el phishing a personal de finanzas o compras siguen siendo puertas de entrada plausibles.

La lectura preventiva es clara. Cuando hay presión sobre información de empleados, nóminas, datos bancarios o credenciales, la frontera entre filtración, ingeniería social y fraude se vuelve porosa. Si además la organización opera con múltiples subsidiarias, como en el caso Ecopetrol, el riesgo de suplantación cruzada entre empresas del grupo crece. En un ambiente así, la autenticación resistente al phishing y la verificación fuera de banda no son un lujo, son una barrera mínima.

APT, espionaje industrial y hacktivismo

No hubo en el material una atribución robusta a APT estatal ni una campaña de hacktivismo claramente vinculada al vertical. Sí hay indicios de interés en información sensible de negocio, empleados y operación, especialmente en el caso Ecopetrol. The Gentlemen, según las coberturas, habría ofrecido o insinuado acceso a archivos internos de varias empresas del grupo. Pero no alcanza para catalogar el caso como espionaje industrial estatal o como APT en sentido estricto.

Lo que sí deja el mes es una señal de que el espionaje industrial no requiere una campaña sofisticada para producir daño. La exfiltración de perforación, nóminas, datos médicos o credenciales, si llegara a ser auténtica en parte de lo difundido, tendría impacto directo en competencia, litigios, relaciones laborales y negociación con proveedores. Por eso la respuesta no debe limitarse al cierre técnico del incidente; también debe considerar qué información, aunque no haya sido publicada masivamente, pudo haber quedado en manos de terceros.

Vulnerabilidades críticas

El material sí registró CVEs críticos y explotados activamente, por lo que no aplica aquí la aclaración de ausencia. La lectura práctica para el vertical es que las superficies expuestas de colaboración, aplicaciones de negocio y appliances de borde siguen siendo un punto de entrada recurrente. En entornos con presencia de subsidiarias, contratistas y acceso remoto, un producto que entra en KEV suele convertirse en un problema de negocio, no solo de parcheo.

Además de los cuatro CVEs listados arriba, distintas coberturas citaron que CISA añadió otras vulnerabilidades explotadas activamente a lo largo del mes, incluyendo componentes de Fortinet, Microsoft SharePoint, WordPress Core, Langflow, DD-WRT y SonicWall SMA 1000. El valor de ese dato no es sumar marcas, sino reconocer un patrón: los atacantes aprovechan ventanas de parcheo en tecnologías ampliamente desplegadas y con alcance transversal. Para una compañía de recursos naturales, eso significa revisar no solo lo que corre en planta, sino lo que sostiene identidad, comunicación y acceso.

Regulación y cumplimiento

Julio no mostró movimientos regulatorios generales dentro del vertical, y el indicador de movimientos regulatorios documentados se mantiene en cero. Eso no implica un mes sin carga regulatoria para las compañías afectadas. En Ecopetrol, la publicación del Formulario 6-K ante la SEC abrió una dimensión de divulgación para inversionistas en Estados Unidos, mientras que la coordinación con Fiscalía, MinTIC, ColCERT, la Policía Nacional y otras autoridades colombianas ubicó el caso también en el terreno penal y de gestión pública.

La secuencia es útil para entender cómo se tramitan los incidentes grandes en la región. Primero aparecen los controles internos y la contención técnica. Después surge el frente de preservación forense, denuncia y cooperación con autoridades. Luego entra el plano de comunicación al mercado y, en empresas con exposición internacional, la cuestión de la materialidad financiera y la consistencia de los hechos divulgados. La experiencia del mes muestra que ese tránsito ya no puede improvisarse: si la información circula antes de que la empresa ordene su propio relato, el costo reputacional crece.

También conviene observar lo que no apareció. No hubo una oleada normativa específica para minería, metalurgia o recursos naturales en América Latina que estuviera documentada en el material. Aun así, la ausencia de ese frente no reduce la relevancia de la divulgación corporativa, la coordinación interagencial ni los procedimientos de respuesta ante extorsión y filtración. Para empresas con valores listados o subsidiarias en varios países, ese triángulo entre operación, forense y cumplimiento es parte del incidente, no una tarea secundaria.

Países y subsegmentos más afectados

Colombia

Colombia fue el centro de gravedad del mes. Ecopetrol acaparó la mayor parte de la atención y arrastró a su grupo empresarial, sus filiales y su ecosistema de proveedores y clientes a una discusión sobre exfiltración, extorsión, credenciales y cumplimiento. Reuters, Infobae, El Colombiano, El Universal, El País, Caracol Radio y DiarioBitcoin convergieron en una idea común: hubo un incidente serio, con datos descargados, sin evidencia pública de disrupción operativa crítica al momento del reporte.

El material también muestra que Colombia tiene un contexto de presión cibernética más amplio. Infobae citó más de 3.000 ciberataques semanales a empresas colombianas, aunque ese dato es de telemetría y no de incidentes, por lo que solo sirve como contexto. A eso se suma la referencia a incidentes ransomware en el país y la presencia de una base minera significativa en otros hechos del período. La combinación sugiere un entorno donde el riesgo no se restringe al sector energético o extractivo, sino que permea a la cadena de valor completa.

México

México aparece como otro punto relevante por la escalada de ciberataques y por su participación en el contexto ransomware regional. El dato de Infobae sobre un aumento de 38% en ciberataques y la mención a StrikeShark y SharkLoader sugieren una presión transversal sobre empresas mexicanas. Aunque el material no presenta un incidente de minería o recursos naturales equivalente al de Ecopetrol, sí deja una alerta sobre la exposición de un mercado grande, con múltiples sectores y alto uso de infraestructuras corporativas compartidas.

En clave sectorial, eso importa porque las empresas extractivas y metalúrgicas en México suelen operar con cadenas de suministro extensas y dependencias tecnológicas heterogéneas. Si el acceso inicial se produce por credenciales filtradas, RDP expuesto o abuso de aplicaciones de negocio, la distancia entre un ataque genérico y un incidente industrial se acorta mucho.

Chile

Chile tuvo una lectura más de contexto que de incidente. La República informó sobre nuevos prospectos en el norte del país y sobre la cartera exploratoria de Antofagasta, mientras Mining Weekly señaló planes de aprobación ambiental para ampliar exploración en Encierro y Volcanes. Esto no aporta hechos de ciberseguridad, pero sí indica actividad de negocio que amplía la superficie de exposición. Más exploración, más permisos y más socios son también más identidades, más documentos y más puntos de intercambio digital.

La ausencia de un incidente chileno verificable en el material no debe leerse como ausencia de riesgo. En un subsegmento intensivo en geodata, ingeniería y relación comunitaria, la protección de información sensible es tan importante como la protección de sistemas industriales.

Perú

Perú apareció por el lado de inversión minera. La cartera de 66 proyectos por US$64.075 millones indica un volumen relevante de actividad que, de por sí, multiplica la exposición a terceros, estudios, permisos y plataformas de colaboración. El dato no es un incidente, pero sí una señal de por qué los atacantes encuentran valor en este vertical: donde hay más proyectos, hay más datos circulando y más oportunidades de suplantación, infiltración y robo de propiedad intelectual.

Subsegmento energético y petrolero

Aunque el eje del informe incluye minería, metalurgia y recursos naturales en sentido amplio, julio estuvo dominado por petróleo y servicios asociados en el caso Ecopetrol. Eso es relevante porque el riesgo no se limita a minas o fundiciones. Las empresas de energía y extracción comparten con la minería el uso intensivo de subsidiarias, contratistas, logística, sistemas financieros y plataformas documentales. El caso muestra cómo un incidente en un holding con múltiples filiales puede tocar al mismo tiempo operación, legal, cumplimiento y comunicación.

Exploración y cartera de proyectos

Los hechos de Chile y Perú sugieren que el subsegmento de exploración sigue creciendo, y con él el tamaño de la superficie digital. En exploración, el valor de un archivo o de una base de datos no solo está en la operación del día, sino en la ventaja competitiva futura. Por eso el espionaje industrial y la extorsión pueden tener impacto prolongado incluso sin interrupción visible.

Tendencias y señales a monitorear

No hay baseline comparativo histórico, porque este es el primer período archivado con este formato de indicadores para América Latina. Aun así, el mes deja señales claras para vigilar en agosto y los meses siguientes.

La primera es la consolidación de la exfiltración con extorsión como forma dominante de daño en el vertical, al menos en los hechos documentados. Ecopetrol mostró que la pérdida de datos y la presión pública pueden ser más visibles que el cifrado. La segunda es la persistencia de accesos iniciales apoyados en terceros, credenciales y entornos expuestos, algo que apareció tanto en la narrativa de la investigación colombiana como en las descripciones atribuídas de ransomware en la región.

La tercera señal es el peso creciente del cumplimiento. Cuando un incidente alcanza a subsidiarias, cuentas de usuario, datos de personal y entornos en nube, el debate deja de ser exclusivamente técnico. En empresas con exposición bursátil o contractual internacional, la frontera entre ciberseguridad, relación con inversores y reporte regulatorio se vuelve borrosa. Julio mostró eso con bastante nitidez.

La cuarta señal es táctica. El mes dejó huellas de ransomware que intenta adaptarse al contexto corporativo local con impresoras, BitLocker, RDP expuesto y abuso de SQL. No hace falta una herramienta exótica para producir daño si la red tiene credenciales débiles o servicios publicados sin control. La quinta señal es estructural: las vulnerabilidades explotadas activamente siguen afectando tecnologías de uso extendido, desde aplicaciones de colaboración hasta appliances de borde y suites de negocio.

Recomendaciones para equipos de seguridad

Primero, revisar con prioridad la superficie de terceros y cuentas privilegiadas. El caso Ecopetrol, según la investigación citada por Caracol Radio, apunta a un acceso inicial mediante un tercero con privilegios de administrador. Eso obliga a auditar proveedores, accesos remotos, credenciales compartidas, privilegios heredados y cuentas de servicio. En un grupo con filiales, el inventario de quién puede entrar a qué no puede quedar disperso en hojas de cálculo o aprobaciones informales.

Segundo, reforzar la protección del almacenamiento en nube y la clasificación de información sensible. El mes mostró descarga no autorizada de datos en entornos de aproximadamente 15 subsidiarias. Si la organización no sabe dónde vive la información crítica, no puede medir bien qué se perdió ni qué exposición legal existe. Hace falta etiquetado, segregación, retención clara y controles sobre copias y compartición externa.

Tercero, endurecer el camino de acceso remoto. RDP expuesto, SQL expuesto o mal configurado y abuso de herramientas administrativas aparecen como patrones recurrentes en la región. La autenticación multifactor resistente al phishing, la restricción geográfica y temporal, la eliminación de accesos heredados y la monitorización de actividad anómala deben tratarse como controles de base, no como mejoras opcionales.

Cuarto, preparar una respuesta específica para extorsión y filtración. El caso Ecopetrol mostró que el incidente no termina cuando se bloquea un intento de ransomware. El daño puede trasladarse a la circulación pública de archivos, a la negociación con atacantes, a la intervención de autoridades y al tratamiento de reclamos internos. Conviene tener guiones de comunicación, rutas de preservación forense y criterios para decidir qué se reporta, cuándo y a quién.

Quinto, revisar seguridad de impresión y dispositivos periféricos. La táctica de imprimir notas de rescate no es central por el papel, sino por el mensaje: el atacante quiere impactar fuera del SOC y de la consola de administración. Las impresoras deben estar inventariadas, segmentadas y autenticadas, con registros centralizados. Si pueden recibir trabajos desde estaciones comprometidas sin control, también pueden amplificar la presión del atacante.

Sexto, acelerar el parcheo de tecnologías que aparecen en KEV. Julio dejó varias referencias a Adobe ColdFusion, Fortinet, Microsoft SharePoint, SonicWall SMA 1000 y Oracle E-Business Suite. Un calendario de remediación lento, sobre todo en entornos de internet-facing systems, abre una ventana que los atacantes ya conocen. En recursos naturales, donde hay dependencia de portales, integraciones y contratistas, el atraso de parcheo suele multiplicar el riesgo.

Séptimo, practicar escenarios de exfiltración sin cifrado. Muchos playbooks siguen pensados para indisponibilidad total. Julio sugiere otro escenario: la operación sigue, pero los datos sensibles se van. Eso exige capacidades de detección, contención, análisis de alcance y coordinación legal muy distintas de un simple restore.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para julio de 2026 y con el alcance temático de minería, metalurgia y recursos naturales en América Latina. No se usó internet ni fuentes fuera de la lista autorizada. Los hechos de meses anteriores quedaron fuera del volumen del período y solo se usan como contexto cuando el propio material lo permite. También existe un hecho sin fecha confirmada, que no entra en ningún conteo ni indicador; si se lo menciona, debe entenderse como contexto cualitativo y no como volumen del mes.

La ventana temporal declarada para los indicadores es la de 57 hechos con fecha en julio de 2026, con 1 sin fecha confirmada excluido. Esa base debe leerse como la foto del mes, no como una telemetría agregada del sector. No se sumaron intentos bloqueados, escaneos o detecciones como incidentes. Cuando se citó telemetría de vendors o promedios semanales, se hizo solo como contexto y no como evidencia de intrusión efectiva.

En particular, un indicador en cero significa que no apareció en el material analizado de este mes, no que no haya ocurrido en la región. Esto vale de forma especial para CVEs y movimientos regulatorios. En este período, los CVEs críticos sí aparecieron en el material, por lo que se reportaron. Si en otro mes un indicador de CVEs fuera cero, la lectura correcta sería ausencia de registro en el corpus, no ausencia de vulnerabilidades explotadas en América Latina.

El material excluyó redes sociales de consumo y publicaciones patrocinadas, y no se usaron como evidencia fuentes fuera de la lista autorizada. También se trató con cautela toda afirmación atribuida por una fuente marcada como incierta, en especial en los casos de Mallory.ai. Cuando una fuente no precisó si hubo cifrado, o cuando la atribución técnica no quedó confirmada por material primario, el informe lo dejó expresado de forma explícita para no sobredimensionar el evento ni mezclar taxonomías distintas.

Apéndice gráfico

Los hechos del mes muestran una secuencia concentrada entre el 17 y el 31 de julio, con Ecopetrol como eje de los eventos más densos. La línea temporal incluida abajo resume esa concentración y ayuda a leer cómo el caso pasó de acceso no autorizado y bloqueo de un intento de ransomware a extorsión, difusión de datos y respuesta regulatoria y penal.