Minería, metalurgia y recursos naturales — Agosto 2026

Amenazas y campañas activas

La actividad ofensiva del mes se concentró en ransomware y extorsión, con una única mención de fraude o phishing y sin material suficiente para sostener una narrativa de APT en el eje minero-energético. La forma del daño varió más que el nombre del actor.

Ransomware y extorsión

Ransomware fue la amenaza predominante del período, con 26 de 60 hechos verificados. Dentro de ese universo, solo 3 casos mostraron cifrado de activos confirmado, 6 quedaron en la categoría de sola mención en leak site y 17 no permitieron determinar con precisión si hubo cifrado, solo exfiltración o una reivindicación sin impacto visible. Esa distribución es clave porque evita leer todo ransomware como un mismo fenómeno.

Oldelval cayó en el grupo de casos con impacto controlado y tipificación pública como ransomware, aunque la empresa no confirmara autoría. Ecopetrol, en cambio, es el caso más claro de extorsión con intentos de cifrado bloqueados. También aparece el incidente atribuido a una multinacional francesa en Chile, reportado por BioBioChile como una campaña de ransomware con posible exfiltración y presión por pago, aunque la fuente no permita cerrar autoría ni alcance técnico. En todos los casos, la presión pública sobre la víctima formó parte del ataque.

El mes dejó además un subtexto relevante para el sector extractivo. The Gentlemen, un grupo que opera como RaaS según varias coberturas y análisis técnicos, apareció vinculado a víctimas de hidrocarburos en Argentina y Colombia. Esa coincidencia no prueba una campaña exclusiva contra el vertical, pero sí muestra afinidad por activos donde la continuidad operativa, la reputación corporativa y el cumplimiento regulatorio pesan al mismo tiempo.

La exfiltración sin cifrado merece tratamiento separado porque es el modo de ataque que más se parece al robo silencioso. En Ecopetrol, el valor del incidente estuvo tanto en la descarga no autorizada como en el intento de cifrado fallido. En Oldelval, la presión pública vino de la reivindicación de un grupo, pero la empresa sostuvo que no hubo interrupción del transporte. En ambos casos, el control de identidad y la restauración rápida de sistemas fueron más relevantes que la detección del malware en sí.

Fraude y phishing

Solo un hecho del mes quedó documentado dentro de fraude o phishing. La fuente disponible indica que el phishing sigue siendo efectivo en América Latina y que en el sector manufacturero una alta proporción de compañías reportó ataques, pero ese material es telemetría de percepción y no un incidente del eje minero-energético. Por eso debe leerse como señal de contexto, no como evidencia de una campaña específica contra minería o recursos naturales.

La relevancia para el vertical es indirecta pero real. Los operadores de recursos naturales dependen de cadenas de correo, ingeniería, mantenimiento y contratistas donde el phishing sigue funcionando como puerta de entrada. Agosto no mostró un caso emblemático de esta clase en el eje, pero el dato regional sugiere que la higiene de identidad sigue siendo un punto de presión para las compañías del sector.

APT e intrusión persistente

No hubo material suficiente para sostener una campaña APT identificada como tal en el vertical durante agosto. Lo que sí apareció fue persistencia operativa en forma de intrusiones con atribución discutida, como Oldelval y Ecopetrol, y una mención a origen extranjero en el caso argentino. Esa persistencia no equivale a una APT clásica, pero sí a un entorno en el que el atacante intenta sostener acceso, exfiltrar datos o monetizar con baja fricción.

Vulnerabilidades críticas

No se registraron CVEs críticos en el material analizado para agosto de 2026. Eso no implica ausencia de vulnerabilidades críticas explotadas en la región, solo que ninguna apareció en las fuentes recolectadas para este informe. En consecuencia, la tabla queda vacía y la lectura técnica debe apoyarse en accesos comprometidos, abuso de credenciales y exposición en nube, no en una lista de fallas publicadas.

Regulación y cumplimiento

Agosto dejó un movimiento regulatorio claro y un precedente de cumplimiento que vale más por su forma que por su monto. Oldelval informó su incidente como hecho relevante ante la CNV, y People of Internet subrayó que la obligación de transparencia provino del régimen de valores, no de una normativa específica de ciberseguridad para infraestructura crítica. Ese matiz importa porque fija quién obliga a reportar y con qué lenguaje.

La CNV aparece así como vector de disclosure, no solo como regulador financiero. La compañía detalló que el incidente afectó sistemas administrativos, que el transporte de crudo siguió sin interrupciones y que los sistemas fueron restaurados. La cadena de información pública, en este caso, pasó por el mercado de capitales antes que por una autoridad sectorial de ciberseguridad. Para otros operadores de recursos naturales, esa secuencia es un antecedente de gobernanza.

Ecopetrol también mostró cumplimiento más amplio, aunque de una naturaleza distinta. La empresa reportó el incidente en documentación ante la SEC, comunicó revocación de accesos, denuncias ante la Fiscalía y trabajo con firmas especializadas y autoridades nacionales. El mensaje regulatorio es que los incidentes cloud con impacto en cuentas y datos ya no se administran solo como problema técnico, sino como exposición legal, bursátil y de gobierno corporativo.

En conjunto, el mes confirma que el compliance cibernético en recursos naturales se está desplazando hacia dos frentes. Por un lado, disclosure ante mercados y entes de control. Por otro, trazabilidad de accesos, respuesta forense y capacidad de demostrar que la operación crítica no se detuvo. Quien no pueda documentar ambos planos quedará en desventaja frente a reguladores, clientes y aseguradoras.

Países y subsegmentos más afectados

Los países con mayor densidad de hechos relevantes en el eje fueron Argentina y Colombia, seguidos por señales operativas en Perú, Chile, Brasil y Venezuela. El peso no se explica por cantidad pura de incidentes comparables, sino por la sensibilidad de los activos afectados y por la calidad de la evidencia disponible en cada país.

Argentina

Argentina concentró el caso Oldelval, que domina la lectura del país en agosto. Se trata de la principal red de transporte de petróleo vinculada a Vaca Muerta, con alrededor del 75% del crudo del yacimiento circulando por sus ductos según la cobertura económica. El incidente fue informado a la CNV, afectó sistemas administrativos y no interrumpió el transporte de crudo.

Lo más llamativo en Argentina no fue solo el ataque, sino la forma de su exposición. El hecho pasó por el regulador de valores y fue recogido por medios especializados, de defensa, energía y economía. Además, la atribución quedó abierta entre The Gentlemen y otras hipótesis, incluyendo una mención aislada a incransom. Para un operador de infraestructura crítica, ese nivel de ruido informativo ya es parte del daño.

Colombia

Colombia quedó marcada por Ecopetrol, una compañía estatal cuyo incidente involucró nube corporativa, descarga no autorizada y un intento de cifrado bloqueado. La compañía confirmó que no hubo interrupción de producción, pero la exposición de datos de miles de cuentas y de unas 15 empresas vinculadas la convierte en uno de los hechos más relevantes del mes para recursos naturales en la región.

El país también aportó la referencia al Ministerio de Justicia como caso de ransomware, útil para entender el clima general de exposición. No es un activo minero o energético, pero sí un recordatorio de que los operadores críticos no trabajan aislados. La gestión de proveedores, credenciales y accesos compartidos sigue siendo un punto de falla transversal.

Chile

Chile apareció en dos planos distintos. Por un lado, la investigación periodística sobre la empresa francesa afectada por ransomware y con filial en Quilicura mostró posible exfiltración y presión extorsiva. Por otro, Bloomberg reportó problemas de suministro de cobre por tormentas y por la paralización de una mina en Perú, con mención a operaciones mineras y logísticas chilenas afectadas por clima. Ninguno de esos hechos equivale a un ciberincidente minero chileno confirmado en el material, pero ambos ayudan a dimensionar la fragilidad operacional del sector.

Perú

Perú fue relevante por Las Bambas, donde MMG reanudó operaciones el 21 de agosto tras una paralización asociada a un accidente laboral. La noticia es útil porque acota el impacto sobre la oferta de cobre y evita una lectura errónea de ciberincidente. En el material no hay evidencia de un ataque informático sobre la mina, solo de una interrupción operativa ajena a ciberseguridad.

Brasil

Brasil aportó dos tipos de señal. La telemetría de Fortinet, citada por la prensa local, habló de casi 250 mil millones de ataques cibernéticos entre enero y julio y de 69.000 ocurrencias de cryptomining en el país durante ese período. Esa cifra es telemetría, no incidente con impacto confirmado, pero muestra presión sostenida sobre la infraestructura tecnológica brasileña.

Además, una nota especializada señaló que los intentos de cryptomining en Brasil superaron el total del año anterior. Para el eje de recursos naturales, esto importa porque la minería ilícita de criptomonedas compite por capacidad de cómputo, energía y visibilidad operativa, aunque no implique por sí misma una intrusión con daño confirmado al sector extractivo.

Venezuela

Venezuela quedó atravesada por el caso PDVSA y el contrato con SLB. La cobertura de Reuters y otras fuentes sostuvo que la compañía estadounidense obtuvo acceso a datos de yacimientos para organizar y modernizar bases obsoletas tras años de abandono y un ciberataque reciente. No hay un incidente nuevo documentado aquí, pero sí una consecuencia estructural del deterioro de sistemas y de la necesidad de recuperar control sobre información crítica.

Tendencias y señales a monitorear

La principal tendencia del mes es el salto de ransomware y de incidentes no tipificados respecto de julio. El informe comparativo muestra 26 casos con ransomware o extorsión como eje primario, contra 7 el mes anterior, y 26 incidentes sin tipificar, contra 8. Ese cambio no se puede explicar solo por más ruido de cobertura. Habla de una amenaza más visible, más monetizable y más difícil de clasificar con precisión.

La segunda señal es la caída del phishing documentado y la escasa presencia de fraude. Pasar de 4 a 1 caso de fraude o phishing no significa que el vector desapareció, sino que perdió centralidad en el material del mes frente a campañas de extorsión. Para seguridad defensiva, esto sugiere que la conversación operativa debe concentrarse menos en el correo aislado y más en accesos persistentes, identidades y movimiento lateral.

La tercera señal es la consolidación del disclosure regulatorio como parte del incidente. Oldelval mostró que el hecho relevante ante la CNV puede ser el mecanismo que ordena la narrativa pública. Ecopetrol hizo algo similar con SEC, Fiscalía y comunicación corporativa. Esto obliga a los equipos a preparar no solo contención técnica, sino una cadena de evidencia apta para reguladores y auditores.

La cuarta señal es la creciente relevancia de la nube. Ecopetrol no fue golpeada por un PLC expuesto ni por una terminal aislada, sino por entornos de almacenamiento en cloud y cuentas de usuario asociadas a varias empresas del grupo. En minería, metalurgia y recursos naturales, donde la narrativa de riesgo suele centrarse en tecnología operativa, agosto recordó que la capa corporativa sigue siendo el objetivo más rentable para los atacantes.

La quinta señal es que la ausencia de CVEs críticos en el material no mejora el panorama. Si el mes se organizó en torno a credenciales, accesos, exfiltración y RaaS, la defensa debe leerlo como un problema de identidad, segmentación y visibilidad de datos. No apareció una vulnerabilidad estrella que explique todo. Lo que sí apareció fue una madurez ofensiva suficiente para explotar lo que ya existe dentro de las redes.

Recomendaciones para equipos de seguridad

La prioridad para equipos de seguridad en minería, metalurgia y recursos naturales debería ser reforzar el control de identidad y la capacidad de recuperación, porque agosto mostró intrusiones que avanzaron sin necesidad de una vulnerabilidad crítica públicamente identificada. Los incidentes más relevantes se apoyaron en accesos, nube, exfiltración y presión extorsiva.

Primero, revisar privilegios de cuentas administrativas y de terceros. El mes dejó suficientes señales de abuso de permisos y accesos comprometidos como para tratar los privilegios excesivos como un riesgo operativo, no como una cuestión de higiene. Cualquier contratista con acceso innecesario a producción, nube o sistemas de soporte debe quedar en un proceso de recertificación inmediato.

Segundo, endurecer la segmentación entre entornos administrativos y operativos. Oldelval mostró que un ataque puede quedar confinado a sistemas administrativos, pero eso no significa que el problema sea menor. La separación estricta entre transporte, control industrial, ERP y servicios de identidad sigue siendo una de las pocas barreras que evita que una intrusión corporativa se vuelva operativa.

Tercero, probar la revocación de accesos y la respuesta a exfiltración. Ecopetrol destacó por su capacidad de bloquear cifrado y revocar credenciales comprometidas. Esas acciones no se improvisan en medio del incidente. Deben ensayarse con simulacros que incluyan nube, repositorios documentales, cuentas de servicio y accesos de terceros.

Cuarto, preparar un paquete de divulgación regulatoria antes del evento. El caso Oldelval demuestra que el lenguaje del informe al regulador, la cronología y la evidencia técnica importan tanto como el contención. Los equipos legales, de cumplimiento y de seguridad deben acordar umbrales, plantillas y responsables de comunicación antes de que ocurra el incidente.

Quinto, monitorear leak sites y canales de atribución con criterio. El mes dejó grupos autoadjudicándose ataques y versiones contradictorias sobre la autoría. Eso obliga a separar inteligencia útil de propaganda de los atacantes. La atribución pública solo debe entrar en decisiones operativas cuando haya corroboración independiente, no cuando el grupo la reclama.

Preguntas frecuentes

¿Qué combina agosto entre Oldelval y Ecopetrol que no se ve en otros casos del mes?

Ambos incidentes unen infraestructura crítica, exposición pública y respuesta regulatoria, pero con impactos distintos. Oldelval reportó afectación a sistemas administrativos sin detener el transporte de crudo y Ecopetrol confirmó acceso no autorizado y bloqueo del cifrado. La comparación se desarrolla en Incidentes relevantes y Regulación y cumplimiento.

¿Por qué el informe insiste en separar cifrado, exfiltración y leak site?

Porque agosto mostró tres impactos distintos dentro de la misma etiqueta ransomware. Hubo cifrado confirmado en pocos casos, una sola mención pública en leak site en otros y varias situaciones donde el material no permitió cerrar la tipificación. Esa distinción está en Amenazas y campañas activas y en los Indicadores del período.

¿Qué cambia para un operador de recursos naturales si no hubo CVEs críticos en el material?

Cambia el foco defensivo. En este mes, el riesgo no vino de una falla publicada sino de accesos, credenciales, nube y presión extorsiva. Eso obliga a priorizar identidad, segmentación y recuperación sobre la caza de una vulnerabilidad concreta. El matiz está en Vulnerabilidades críticas y en Tendencias y señales a monitorear.

¿Qué país quedó más expuesto por la combinación de ciberseguridad y disclosure regulatorio?

Argentina, por el caso Oldelval, porque el incidente llegó a la CNV, se reportó como hecho relevante y quedó conectado con la continuidad de transporte petrolero. Colombia también tuvo un caso fuerte con Ecopetrol, pero allí el foco estuvo más en exfiltración y bloqueo de cifrado que en divulgación ante mercado de capitales. Ver Países y subsegmentos más afectados.

¿La telemetría de cryptomining en Brasil cuenta como incidente del sector?

No. Son intentos o bloqueos automatizados, no intrusiones con impacto confirmado, y por eso no se suman al volumen del mes. Sí sirven como señal de contexto para entender presión sobre infraestructura tecnológica y consumo de recursos. La aclaración metodológica aparece en Indicadores del período y Limitaciones del material.

Limitaciones del material

Este informe se construyó exclusivamente con los hechos provistos para agosto de 2026 sobre minería, metalurgia y recursos naturales en América Latina. La ventana temporal de los indicadores incluye 64 hechos con fecha en agosto 2026, 7 hechos de meses anteriores usados solo como marco comparativo y 1 hecho sin fecha confirmada, que quedó excluido de los indicadores.

Un indicador en 0, en particular el de CVEs críticos, significa que no se registraron en el material analizado, no que hayan estado ausentes en la región. La misma lógica aplica a otras categorías no observadas o con bajo volumen. La ausencia en el corpus no equivale a ausencia real del fenómeno.

Las cifras de telemetría agregada, como intentos, bloqueos, escaneos y promedios semanales de vendors, fueron excluidas del volumen de incidentes. Si se mencionan, es solo como contexto y con la aclaración de que son intentos o bloqueos automatizados, no intrusiones con impacto confirmado. También se excluyeron redes sociales de consumo y contenido patrocinado o comercial que no estaba habilitado como fuente primaria para afirmaciones externas.

El material disponible privilegia fuentes periodísticas, reportes técnicos y avisos corporativos o regulatorios. Eso permite reconstruir con bastante claridad los casos Oldelval y Ecopetrol, pero deja menos certeza sobre atribuciones, volúmenes de exfiltración y tipificación fina en varios incidentes. Donde la fuente no permitió cerrar un dato, el informe lo dice explícitamente antes que sobreinterpretarlo.