Minería, metalurgia y recursos naturales — Octubre 2026

Amenazas y campañas activas

La amenaza activa más visible del mes fue la extorsión, pero con un grado importante de incertidumbre sobre el impacto real. En paralelo, hubo señal de phishing y fraude documentado, y actividad APT o de intrusión con participación asistida por IA, aunque ninguna de estas líneas estuvo claramente anclada al vertical extractivo en todos los casos.

Ransomware y extorsión, Grupo Industrial Tauro

El único caso de metalurgia con reclamo directo de ransomware fue el de Grupo Industrial Tauro. La fuente más concreta, Dexpose, indicó que Lamashtu anunció un ataque y amenazó con publicar datos si no se cumplían sus demandas. Ransomware.live y Darkfield replicaron el reclamo, pero ninguna de las fuentes mostró evidencia técnica independiente ni confirmó cifrado de activos.

BreachSense añadió un matiz importante al señalar registros de cuentas y credenciales asociadas al dominio grupotauro.com observadas en brechas externas. Eso puede sugerir higiene de identidad débil o exposición previa de credenciales, pero no basta para afirmar compromiso de la víctima. En la clasificación de este informe, el caso queda como reclamo de extorsión con tipificación no determinable.

La lectura operativa es que este tipo de campañas busca capitalizar la visibilidad pública de una empresa industrial y la presión reputacional que genera un leak site. Para el sector, el principal riesgo no es solo la posible pérdida de información, sino la interrupción de confianza con clientes, proveedores y reguladores si la empresa no cuenta con una postura clara de respuesta y validación.

Ransomware y extorsión, Warlock y la cadena SharePoint

El otro eje de extorsión del mes fue Warlock, también identificado por la fuente como Storm-2603. SC Media informó que los atacantes explotaron vulnerabilidades de Microsoft SharePoint instaladas localmente para obtener acceso inicial y deshabilitaron software de seguridad en 40 hosts en aproximadamente dos horas antes de desplegar ransomware. WaterISAC añadió que los administradores de agua debían tratar como potencialmente comprometidos los servidores SharePoint locales expuestos a internet antes de ser parcheados.

SECPod vinculó esa actividad con la cadena ToolShell de cuatro vulnerabilidades de Microsoft SharePoint Server local, entre ellas CVE-2025-53770, descripta como una ejecución remota de código no autenticada con CVSS 9.8. Aviatrix y CyberScoop aportaron contexto táctico: persistencia previa, mapeo de dominio, creación de cuentas de servicio no autorizadas y posible uso de la misma cadena ToolShell o vulnerabilidades recientes. Ninguna de estas piezas identifica una víctima minera o metalúrgica latinoamericana concreta, pero el vector sí es muy relevante para operadores industriales con SharePoint expuesto.

La implicancia no es teórica. Muchas organizaciones del vertical usan SharePoint para intranet, documentación de proveedores, solicitudes de cambio y flujos administrativos. Si un atacante obtiene acceso inicial por ahí, puede moverse hacia correo, identidad y sistemas de gestión, incluso sin tocar de entrada la red OT. Ese punto de entrada encaja con la preocupación de WaterISAC y con el carácter de infraestructura híbrida que domina a los grandes operadores.

Ransomware y extorsión, la mención de Cotesma

Un tercer elemento del mes fue la publicación sobre un presunto ataque de Qilin contra Cotesma, en Chile, difundida por TweetThreatNews. La pieza indicaba cifrado no autorizado y disrupción operativa, pero no hubo confirmación oficial de la empresa ni de una autoridad chilena, y el caso no fue vinculado específicamente con minería o recursos naturales.

En términos metodológicos, este tipo de registro debe tratarse con cautela. El material disponible no alcanza para subirlo de categoría ni para integrarlo como incidente confirmado del vertical. Sirve, eso sí, para recordar que los repositorios de supuestos leaks o publicaciones no validadas pueden amplificar ruido y confundirse con señal si no se contrastan con fuentes primarias.

Fraude y phishing

La evidencia documentada de fraude y phishing fue limitada en el material analizado, con tres casos en total según los indicadores del período. El contenido de referencia no detalla esos episodios uno por uno dentro del vertical extractivo, pero sí confirma que la táctica siguió apareciendo en el mes.

La ausencia de más detalle no implica que el riesgo haya bajado. En entornos de minería, metalurgia y recursos naturales, el phishing suele atacar identidad, compras, proveedores y acceso remoto. Cuando además existen operaciones en terreno, contratistas y comunicaciones distribuidas, una campaña de fraude puede abrir la puerta a robo de credenciales, desvío de pagos o acceso lateral a plataformas administrativas.

APT, automatización e intrusión asistida por IA

CrowdStrike publicó información sobre una campaña de agentes de IA que habría afectado a al menos 15 entidades sanitarias en Argentina, con extracción de credenciales y registros médicos. Crypto Briefing y Becker's Hospital Review replicaron el hallazgo como una operación con participación humana limitada. Security Boulevard, por su parte, reportó actividad atribuida a VAPOR PANDA contra instituciones gubernamentales de América Latina con despliegue de BLOODALCHEMY, aunque sin identificar víctimas públicas.

No hay en esas piezas una relación directa con minería o metalurgia, pero sí una señal de hacia dónde se mueven las operaciones avanzadas. Si actores con soporte de IA pueden aumentar escala, velocidad y persistencia, el mismo modelo puede terminar impactando proveedores de energía, logística o administración pública vinculada a concesiones y permisos. El riesgo para el vertical está en la cadena de entorno, no solo en el perímetro principal.

Vulnerabilidades críticas

Las vulnerabilidades críticas mencionadas en octubre afectaron principalmente software de colaboración, acceso remoto y aplicaciones expuestas, con varias familias bajo explotación activa. El valor para el vertical está en la exposición de terceros y en sistemas que suelen convivir con la operación industrial, aunque no siempre formen parte del núcleo OT.

Estas vulnerabilidades no deben leerse como una lista de víctimas del vertical, sino como superficies que pueden habilitar intrusión en empresas industriales, operadores de servicios y contratistas. En un entorno donde la operación depende de correo, gestión documental, accesos remotos y portales internos, el parcheo tardío o la exposición a internet sigue siendo una vía de entrada prioritaria.

Regulación y cumplimiento

El componente regulatorio del mes se concentró en Chile y en la discusión sobre infraestructura crítica. La disputa entre empresas energéticas y mineras y la autoridad de ciberseguridad muestra que el cumplimiento ya no es un tema puramente documental, sino una cuestión de dependencia operativa y de clasificación legal del servicio.

La Tercera informó que Sierra Gorda, Zaldívar, Antucoya y Centinela cuestionaron la aplicación de la categoría regulatoria. Enex sostuvo ante la Corte de Apelaciones de Santiago que sus procesos son físicos y mecánicos, mientras Esmax reconoció su calidad de prestador de servicios esenciales pero rechazó la categoría más estricta de Operador de Importancia Vital. El Fondo complementó la discusión con la postura de la autoridad, que subrayó el peso de la telemetría, los pagos RFID y las plataformas de despacho.

La señal de cumplimiento es doble. Por un lado, hay presión para que actores del vertical se integren a marcos de seguridad más exigentes. Por otro, las propias empresas siguen discutiendo el alcance de esa obligación. Para los equipos de seguridad, eso implica preparar evidencia técnica de dependencia digital, pruebas de continuidad y argumentos de criticidad basados en procesos reales, no solo en la etiqueta regulatoria.

Países y subsegmentos más afectados

La distribución geográfica del mes no es uniforme. México, Chile, Colombia y Costa Rica concentraron los hechos más directamente vinculados al vertical o a su entorno operacional, mientras que Argentina y Panamá aparecieron en material contextual sobre exposición regional y campañas con posible impacto en la cadena de terceros.

México

México concentró el caso más claro del mes en metalurgia, con el reclamo de Lamashtu contra Grupo Industrial Tauro en Monterrey. Aunque no hubo confirmación independiente de la intrusión, el simple hecho de que una fabricante de acero aparezca en un leak site ya obliga a revisar postura de identidad, exposición de activos y respuesta a extorsión.

El material disponible no permite atribuirle un impacto operacional concreto, pero sí ubicar a México como uno de los mercados donde la extorsión digital intenta tocar industria pesada. La relevancia no es solo nacional, porque un fabricante de acero se inserta en cadenas regionales de suministro y mantenimiento que atraviesan fronteras.

Chile

Chile fue el país con más densidad regulatoria y de cumplimiento. Allí se cruzan la discusión sobre infraestructura crítica, la mención a mineras en litigios, la referencia a una cifra de ransomware en el informe de Secure Soft citado por La Verdad, y la aparición de un presunto caso de Qilin contra Cotesma, aunque sin confirmación oficial.

Lo importante del caso chileno es que el sector minero ya no aparece solo como objetivo potencial de extorsión, sino como actor en una conversación sobre obligaciones de ciberseguridad. La autoridad y las empresas discuten el papel de los sistemas de telemetría, los pagos y la automatización, lo que sugiere una madurez regulatoria mayor que en otras jurisdicciones de la región.

Colombia

Colombia aportó el caso más visible de minería ilegal con uso de conectividad satelital. La operación en Antioquia mostró cómo la infraestructura de comunicación puede ser incorporada por estructuras criminales para sostener producción ilícita en territorios remotos. No hubo un evento cibernético clásico, pero sí una relación directa entre conectividad y explotación de recursos naturales.

Ese patrón es importante para el sector formal. La minería, legal o ilegal, depende de comunicaciones, energía y trazabilidad. Cuando esas capacidades se instalan en áreas de difícil acceso, la línea entre logística productiva y apoyo criminal puede volverse difusa. Para el control de riesgos, eso obliga a integrar seguridad física, telecomunicaciones y monitoreo de terreno.

Costa Rica

Costa Rica apareció en la operación de INTERPOL contra delitos ambientales, con la incautación de cianuro y mercurio usados en la extracción ilícita de oro. Aunque el hecho no sea un incidente digital, sí habla de la cadena de insumos que rodea a la minería ilegal y de la importancia de rastrear rutas, compras y logística.

En un informe de ciberseguridad sectorial, esta referencia no es decorativa. Sirve para recordar que los recursos naturales están expuestos a redes híbridas de contrabando, comunicación y coordinación, donde herramientas digitales pueden asistir tanto el abastecimiento como la evasión de controles.

Argentina y el resto del entorno regional

Argentina aparece en el material de forma contextual, con la referencia de CrowdStrike a al menos 15 entidades sanitarias afectadas por una campaña asistida por IA. No es un hecho del vertical extractivo, pero sí una señal de la proximidad del riesgo avanzado a la región. TN y otros materiales de contexto refuerzan que los entornos industriales latinoamericanos siguen bajo una presión alta y diversificada.

En este mes, los subsegmentos más visibles del vertical fueron metalurgia, combustibles y minería informal. La gran minería formal aparece más en el plano regulatorio y de cumplimiento que como víctima técnica confirmada. Eso no reduce el riesgo, pero sí cambia la lectura: el frente más visible es la dependencia de servicios digitales, terceros y continuidad de operación.

Tendencias y señales a monitorear

La principal comparación con el mes anterior es que el volumen verificable bajó de 49 a 40 hechos, pero la amenaza predominante pasó de 22 a 14 hechos sin clasificar. Eso sugiere menos ruido total, aunque todavía mucha incertidumbre de atribución. No hay una señal de alivio estructural; hay, más bien, una fotografía más acotada y con mayor concentración en hechos puntuales.

La primera tendencia a seguir es la de ransomware con tipificación incompleta. En septiembre había el mismo nivel de casos con ransomware o extorsión como eje primario que en octubre, ocho en ambos meses, pero en octubre solo uno pudo vincularse con cifrado confirmado. El resto quedó en zona gris, lo que obliga a leer con cuidado los leak sites y los reclamos de terceros.

La segunda señal es la explotación de software de uso transversal. Octubre sumó dos CVE más mencionados que el mes anterior y mostró actividad activa en Ivanti, Plex, PHP, Zimbra y SharePoint. Para el sector industrial, la lección no cambia: los accesos remotos, portales internos y herramientas colaborativas siguen siendo una vía de entrada preferente.

La tercera tendencia es regulatoria. Chile empuja una discusión cada vez más concreta sobre qué activos del vertical deben tratarse como críticos y qué obligaciones de ciberseguridad corresponden. Esa discusión probablemente gane peso en otros países de la región si la dependencia de telemetría, automatización y servicios digitales continúa creciendo.

La cuarta señal es la convergencia entre conectividad y economías ilícitas. El caso de Antioquia y la incautación de insumos en Costa Rica muestran que la conectividad satelital, los equipos autónomos y las redes de coordinación también forman parte del problema de recursos naturales. Para equipos de seguridad, esto abre un frente de monitoreo que no se agota en endpoints o servidores.

Recomendaciones para equipos de seguridad

Los equipos de seguridad del vertical deberían priorizar medidas que ataquen el vector más visible del mes, que es la combinación de extorsión, exposición de terceros y dependencia de servicios digitales. No hace falta esperar una intrusión confirmada para actuar sobre esas superficies.

Primero, revisar con prioridad los accesos remotos y las plataformas de colaboración expuestas. Los avisos sobre Ivanti, SharePoint, PHP, Plex y Zimbra muestran que software de uso común puede convertirse en puerta de entrada. Si la organización usa alguna de esas plataformas o depende de proveedores que las operan, conviene validar parchado, exposición externa, autenticación multifactor y segmentación de privilegios.

Segundo, fortalecer la respuesta ante reclamos de ransomware sin confirmación técnica completa. El caso Tauro demuestra que un leak site puede presionar aunque no haya evidencia pública de cifrado. Las áreas legales, de comunicaciones y de seguridad deben acordar de antemano cómo validar, negar o acotar un reclamo, cómo preservar evidencia y cómo responder a amenazas de publicación de datos.

Tercero, auditar proveedores y contratistas que sostienen operaciones industriales, logísticas o administrativas. La mayor parte de los puntos de entrada del mes no están en el núcleo productivo, sino en servicios adyacentes. En minería, metalurgia y energía, eso incluye mantenimiento, ERP, telemetría, despacho, gestión documental y soporte remoto.

Cuarto, reforzar controles sobre comunicaciones en terreno y activos autónomos. El uso de internet satelital en minería ilegal en Colombia no es un caso aislado de seguridad física, sino una señal de que las comunicaciones distribuidas también forman parte del riesgo. Donde haya enlaces satelitales, radios, paneles solares o equipos autónomos, debe existir inventario, monitoreo y trazabilidad.

Quinto, preparar evidencia para discusiones regulatorias. El caso chileno muestra que la clasificación de infraestructura crítica depende de demostrar interdependencia entre redes digitales y operación física. Eso exige diagramas reales, pruebas de continuidad, registros de telemetría, mapas de servicios y documentación de impacto potencial ante caída de sistemas.

Sexto, monitorear identidades expuestas y credenciales en brechas externas. El hallazgo de BreachSense sobre cuentas y credenciales vinculadas a grupotauro.com, aunque no probado como parte del ataque, sugiere que las listas de credenciales siguen siendo una fuente de riesgo para la industria. Conviene revisar reutilización de contraseñas, MFA, detección de anomalías y políticas de rotación.

Preguntas frecuentes

¿Qué une al caso de Grupo Industrial Tauro con la discusión regulatoria en Chile?

Ambos casos muestran dependencia de sistemas digitales en entornos industriales, aunque uno sea un reclamo de extorsión en México y el otro una disputa regulatoria en Chile. Tauro expone el riesgo de ransomware o leak site, mientras Chile pone el foco en telemetría, pagos y despacho como parte de la operación crítica.

¿Por qué una minería ilegal en Colombia aparece en un informe de ciberseguridad?

Porque el material muestra que la conectividad y la energía autónoma también sostienen economías extractivas ilícitas. En Antioquia, la antena satelital no fue un detalle anecdótico, sino una pieza de comunicación operacional con cabecillas. Eso cruza seguridad física, telecomunicaciones y control territorial.

¿Qué vulnerabilidades deberían priorizar los equipos del vertical según este mes?

Las que el material identifica bajo explotación activa y que suelen convivir con la operación industrial, como Ivanti Connect Secure, SharePoint local, Zimbra, PHP y Plex. La prioridad práctica surge del cruce entre el apartado de vulnerabilidades y los incidentes de extorsión, porque varios vectores de entrada son transversales.

¿El mes mostró más ransomware confirmado o más reclamos sin validar?

Mostró más reclamos sin validar. Hubo ocho casos con ransomware o extorsión como eje primario, pero solo uno tuvo cifrado de activos confirmado y siete quedaron sin tipificación determinable con el material. Eso obliga a tratar los leak sites como señales de riesgo, no como prueba automática de impacto.

¿Qué país concentró la mayor densidad de señales para recursos naturales?

Chile, por la combinación de disputa regulatoria, mención a compañías mineras y discusión sobre infraestructura crítica. México aportó el caso de Tauro, Colombia el uso de conectividad en minería ilegal y Costa Rica la incautación de insumos para extracción ilícita. Cada país aportó una parte distinta del mapa.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para octubre de 2026 y con la ventana temporal declarada para los indicadores. No se usaron fuentes externas ni contenidos no incluidos en la lista habilitada, y los hechos de meses anteriores solo se consideraron para la comparativa ya entregada por el insumo.

Un indicador en cero no significa ausencia regional del fenómeno. En particular, si un rubro de vulnerabilidades críticas o de incidentes no hubiera aparecido en el material analizado, eso solo indicaría que no quedó registrado en esta muestra, no que no haya ocurrido en América Latina.

La categoría de ransomware y extorsión se trató con la taxonomía pedida por el instructivo. Cuando la evidencia no permitió distinguir entre cifrado de activos, exfiltración sin cifrado o sola mención en leak site, se indicó expresamente que la fuente no precisaba el impacto. No se agregaron hipótesis técnicas no respaldadas por el material.

Tampoco se incorporaron como incidentes las cifras de telemetría agregada. Cuando se mencionó una referencia contextual, se aclaró que eran intentos, bloqueos o mediciones de vendor, no intrusiones con impacto confirmado. Quedaron excluidas de cualquier conteo aquellas publicaciones que no estaban en la lista de fuentes disponibles o que dependían de redes sociales de consumo.