Panorama de ciberseguridad en América Latina — Julio 2026

Amenazas y campañas activas

Ransomware y extorsión

El mes confirmó que el ransomware en la región no está concentrado en un solo sector ni en un único modelo. En Argentina apareció la presión sobre Ejército Argentino a través de Qilin, con actividad de leak site y referencias a compromiso de credenciales asociadas. En Brasil, Global Secret Group se asoció a víctimas de salud y energía, mientras Blackwater apareció en un caso de gas. En Colombia y México, distintos reportes hablaron de intrusiones y campañas que combinan robo de datos, presión extorsiva y, en algunos casos, ataque a servicios públicos.

La mayoría de los casos no permitió determinar con precisión si hubo cifrado de activos. Eso es importante metodológicamente. El material permite distinguir varios escenarios, pero en muchas notas el hecho confirmado es la aparición en leak site o la mención de datos filtrados, no la indisponibilidad de sistemas. Cuando el material no precisa el efecto operativo, hay que dejarlo explícito y no sobredimensionar el impacto. Aun así, el patrón regional es claro: la extorsión con exfiltración gana peso frente al ransomware puramente disruptivo.

En Brasil, la presión sobre salud fue la más intensa. ESET reportó que en el primer semestre de 2026 el país acumuló más de 100 víctimas de ransomware, mientras el material sectorial recordó que la salud brasileña sufrió una presión muy superior a la media mundial. Ese contexto no convierte cada caso en un apagón total, pero sí en una cadena de exposición sostenida sobre hospitales, clínicas y proveedores.

En Argentina, Qilin y The Gentlemen muestran dos estilos complementarios. Qilin aparece como actor de extorsión con leak site, mientras The Gentlemen se ubica en la órbita de amenazas que usan filtraciones y presión pública. En ambos casos, la brecha entre "reivindicación" y "brecha confirmada" debe mantenerse nítida. La aparición en sitios de filtración es señal de riesgo, pero no prueba por sí sola cifrado, exfiltración completa ni impacto operativo final.

Fraude y phishing

El fraude digital fue probablemente la amenaza más cotidiana del mes. Argentina mostró un cuadro especialmente denso, con campañas de vishing, estafas de "likes pagos", suplantación de identidad por WhatsApp, técnicas que bloquean home banking para después hacerse pasar por el banco y variantes que usan IA para clonar voz o imágenes. El BCRA respondió con guías más precisas sobre qué hacer ante una estafa, qué información reunir y por qué el primer reclamo debe pasar por la entidad financiera.

La señal no es solo local. Mercado y Sumsub mostraron un salto regional del fraude con identidades generadas por IA, con Argentina, Chile y Colombia dentro del grupo donde el fenómeno se aceleró. BioCatch, citado por distintas coberturas, marcó un aumento fuerte en ingeniería social y personificación. En México, CONDUSEF reportó suplantación de instituciones financieras y la prensa volvió a poner el foco en phishing bancario, perfiles falsos y ofertas de crédito fraudulentas. En Colombia, la toma de control de cuentas, las cuentas mula y el spoofing se consolidaron como una combinación muy activa.

El dato nuevo del mes es que el fraude ya no depende solamente del engaño humano tradicional. Se apoya cada vez más en capas técnicas: deepfakes, clonación de voz, bots para contacto inicial, documentos sintéticos y automatización de la interacción con la víctima. La consecuencia operativa es obvia. Los controles estáticos no alcanzan. Se necesitan validaciones contextuales, comportamiento transaccional, monitoreo de riesgo y barreras de autenticación más fuertes.

APT, hacktivismo y abuso de IA

En el terreno de APT o de actores con técnicas más avanzadas, el mes dejó dos señales muy distintas. La primera fue PhantomEnigma, una campaña que abusó de dominios gubernamentales brasileños para distribuir malware y apuntó a bancos y agencias públicas. El valor del caso no está solo en el malware, sino en el abuso de confianza que implica usar dominios .gov.br comprometidos como vector de entrega. La segunda fue la intrusión asistida por IA contra organizaciones del gobierno mexicano y una utility de agua en Monterrey, donde Dragos y Gambit Security sostuvieron que el atacante usó modelos como Claude y GPT para acelerar reconocimiento, generación de credenciales y password spraying.

En ambos casos, la conclusión relevante es que la IA ya opera como multiplicador en distintas fases del ataque. No necesariamente introduce una técnica ofensiva inédita, pero sí acelera la ejecución, reduce tiempos y amplía el rango de objetivos. Eso es suficiente para cambiar la economía de las campañas. El adversario puede explorar más, más rápido y con menor costo operativo.

Vulnerabilidades críticas

El bloque de vulnerabilidades muestra un patrón muy consistente. Los productos expuestos pertenecen casi todos a la capa de acceso remoto, colaboración web o bases de datos críticas. Es decir, justamente los componentes que más valor tienen para un atacante porque permiten entrar por perímetro, robar claves o alcanzar infraestructura interna. La región debería leer estas alertas menos como eventos aislados y más como una lista de vectores probables para las próximas semanas.

Regulación y cumplimiento

Argentina, Mendoza y el giro hacia notificación rápida

Argentina fue el país con mayor intensidad normativa visible en el mes. La provincia de Mendoza concentró varios proyectos simultáneos. Uno, impulsado por el Poder Ejecutivo, busca crear un Sistema Provincial de Ciberseguridad para coordinar prevención, detección, respuesta y recuperación. Otro, presentado por Fuerza Patria, propone una ley contra el ciberdelito y protección de datos personales para organismos estatales provinciales y municipales. Ambos textos coinciden en elementos que hoy ya son estándar maduro en la región: notificación de incidentes en 72 horas, designación de responsables de datos, privacidad desde el diseño y trazabilidad en el tratamiento.

La discusión no es menor. Mendoza incorporó además nociones de gobierno de datos, ciclo de vida de la información, autoridad operativa separada del comité, sanciones escalonadas y hasta un régimen de hackers éticos o white hats. Eso habla de una ambición regulatoria poco frecuente en una jurisdicción subnacional. Si se concreta, la provincia podría convertirse en referencia para otros estados locales, aunque todavía queda ver si la arquitectura propuesta resiste la implementación.

En el plano nacional, la Resolución 725/2026 del Boletín Oficial modificó protocolos policiales frente a delitos informáticos, especialmente cuando intervienen menores. Y en paralelo, el BCRA reforzó su régimen antifraude, con recomendaciones concretas y un circuito más formalizado para reclamos. El mensaje institucional es que el daño por fraude digital ya no se trata solo como un problema de usuario, sino como un riesgo operativo y regulatorio del sistema financiero.

Chile y la identidad digital como eje

Chile tuvo un mes especialmente activo en ciberseguridad normativa. La Cámara de Diputados aprobó en general el proyecto sobre deepfakes, que avanza en su trámite y busca regular creación y difusión de imitaciones digitales realistas de imagen, cuerpo o voz. La lógica del texto es clara: proteger identidad e integridad digital frente a contenidos generados con IA y dar herramientas para retirar contenidos, sancionar daños y exigir responsabilidades a plataformas y representantes legales.

Al mismo tiempo, la guía del Banco Central y la Comisión para el Mercado Financiero mantuvieron un enfoque muy duro sobre fraudes con tarjetas e instrumentos financieros. El país consolidó un estándar donde los emisores deben ofrecer canales gratuitos 24x7, bloquear instrumentos inactivos, reportar periódicamente usuarios afectados y desagregar la información a la CMF. En materia de autenticación, la nueva ARC empuja a bancos y fintechs a reforzar multifactor y a abandonar esquemas débiles como tarjetas de coordenadas.

La otra cara del cuadro es operacional. CSIRT Chile emitió alertas sobre OpenSSH, Ivanti, Citrix y SharePoint. Eso muestra una institucionalidad que no solo regula, sino que también advierte de manera ágil sobre fallas explotadas. El país aparece así como uno de los más completos de la región en el cruce entre prevención, reporte y enforcement.

Brasil, plataforma, datos y fiscalización

Brasil siguió moviéndose sobre dos carriles. Por un lado, endureció el entorno regulatorio sobre plataformas y datos, con un conjunto de cambios que también impactan en la gobernanza digital y la supervisión. Por otro, sus organismos técnicos, como CERT.br y CTIR Gov, emitieron alertas sobre explotación activa de vulnerabilidades en VPNs, SharePoint, Ivanti y otras superficies expuestas. El cuadro normativo brasileño no se limita a un solo tema. Abarca big techs, protección de datos, IA en salud y exigencias de seguridad cada vez más concretas.

En paralelo, la LGPD siguió funcionando como base de enforcement para el ecosistema de cumplimiento. Aunque el material no reconstruye un único gran salto regulatorio en julio, sí muestra un movimiento continuo de supervisión y de mayor sofisticación institucional. La nota política es obvia: Brasil ya opera con un aparato de fiscalización más desarrollado que buena parte de la región, y su peso económico hace que cualquier cambio de criterio se derrame hacia bancos, salud, retail y plataformas.

Colombia, menores y corresponsabilidad digital

Colombia publicó el Decreto 0769 de 2026, que reglamenta la Ley 2489 de 2025 y fija reglas de corresponsabilidad entre plataformas, colegios y familias para garantizar entornos digitales seguros para niñas, niños y adolescentes. El foco está en ciberacoso, explotación, abuso sexual en línea y contenidos inapropiados. También obliga a proveedores de plataformas, apps, videojuegos y servicios de IA a identificar riesgos, adoptar medidas de protección, ofrecer mecanismos de queja e informar periódicamente al Ministerio TIC.

El giro es importante porque muestra una política de seguridad digital más amplia, que ya no se concentra solo en fraude financiero o en infraestructura crítica, sino también en exposición de menores y en la cadena de responsabilidad de intermediarios digitales. En un país con alto volumen de fraude y gran exposición financiera, el decreto amplía el perímetro regulatorio y obliga a plataformas y proveedores a asumir parte del problema.

Guatemala, México y Perú

Guatemala siguió discutiendo su iniciativa 6347 sobre delitos cibernéticos, con penas de hasta nueve años para conductas como acceso ilícito, ataque a la integridad de sistemas, fraude informático y uso indebido de dispositivos. México, por su parte, mostró debate regulatorio más fragmentado, con referencias a IA, menores, fraude digital y suplantación de instituciones financieras, pero sin una norma única consolidada en el material analizado. Perú mantuvo un frente relevante con la SBS alertando sobre suplantación de identidad en productos financieros y el BCRP profundizando cambios en pagos y transferencias, aunque gran parte de ese material aparece más como marco de cumplimiento que como incidente de riesgo puntual.

Países más afectados en América Latina

Argentina

Argentina combinó tres planos de presión. Primero, el fraude financiero y la suplantación de identidad, con recomendaciones recurrentes del BCRA, campañas de vishing, WhatsApp fraudulento, bloqueo de home banking y uso de IA para estafas más sofisticadas. Segundo, la agenda regulatoria de Mendoza, que fue la más visible del mes en toda la región para una jurisdicción subnacional. Tercero, el caso del Ejército Argentino en el leak site de Qilin y la intervención de la web del Senado mendocino, que dejaron una señal concreta de exposición institucional.

La lectura técnica es que el país está lidiando con dos superficies distintas. Una es la financiera, donde el fraude escala por ingeniería social. La otra es la estatal, donde la discusión sobre ciberseguridad ya se traduce en proyectos de ley, notificación y gobernanza. El puente entre ambas es la protección de datos y la necesidad de reforzar identidad digital.

Brasil

Brasil fue el país con el ecosistema más amplio y, a la vez, más heterogéneo. Tuvo casos de ransomware en salud, energía y gas. Tuvo alertas oficiales sobre explotación activa de VPNs, SharePoint e Ivanti. Tuvo campañas que abusaron de dominios gubernamentales. Y tuvo, además, una base telemétrica muy alta en intentos de phishing y actividad de ransomware, aunque esas cifras deben leerse como volumen de detecciones, no como incidentes con impacto confirmado.

En el frente sectorial, salud fue el núcleo más sensible. Pero el país también mostró presión en infraestructura eléctrica y en proveedores de servicios. Eso significa que la superficie de ataque brasileña no está concentrada en un solo vertical. Se extiende desde hospitales hasta utilities y plataformas, con un perímetro corporativo que sigue siendo objetivo privilegiado.

Chile

Chile aparece como el país con mejor densidad normativa y uno de los más comprometidos en el trabajo de cierre de brechas de autenticación y exposición. El proyecto de deepfakes, la guía del Banco Central sobre fraudes con tarjetas, la ARC y las alertas del CSIRT configuran una respuesta de Estado bastante articulada. A la vez, el país no está libre de presión técnica. Los avisos sobre OpenSSH, Ivanti, Citrix y SharePoint confirman que la superficie expuesta sigue siendo un problema muy serio.

El sistema financiero chileno parece haber entendido antes que otros el vínculo entre fraude, autenticación y responsabilidad de los emisores. Eso le da una ventaja, pero no elimina el riesgo. La propia insistencia de los bancos en que nunca piden claves o códigos por teléfono demuestra que la ingeniería social sigue siendo masiva.

Colombia

Colombia tuvo un mes intenso por el caso Ecopetrol y por el frente de fraude financiero. El país ya venía con alta exposición a ingeniería social, suplantación, toma de control de cuentas y cuentas mula. El ataque a Ecopetrol elevó la vara porque involucró una empresa emblemática, con posible extorsión y exposición de datos sensibles. Al mismo tiempo, el decreto sobre entornos digitales seguros para menores amplió la agenda de seguridad a una escala más social y regulatoria.

El caso colombiano muestra cómo conviven dos capas de riesgo. Una es la patrimonial, donde el fraude bancario y la suplantación están muy industrializados. La otra es la corporativa y crítica, donde empresas de energía y servicios esenciales se convierten en objetivos de campañas más complejas. La presencia de nuevas tácticas de IA y accesos remotos expuestos refuerza esa lectura.

México

México aparece en el material más como escenario de debate y de ataques de alto impacto que como un país con una sola tendencia dominante. Hubo reportes de fraude bancario, suplantación de instituciones, phishing, campañas con IA y el caso del presunto hackeo al SIDAC, además de la intrusión asistida por IA contra organismos del gobierno mexicano y la utility de agua en Monterrey. También se registró la discusión sobre si la regulación de IA debe avanzar por sectores o por una ley general.

La señal más fuerte es que México está muy expuesto tanto a la suplantación financiera como a ataques contra gobierno y servicios públicos. La coexistencia de fraude masivo y de intrusiones complejas obliga a pensar en controles distintos según el tipo de activo. No se defiende igual una cuenta bancaria que un sistema estatal con datos de ciudadanos.

Perú

Perú tuvo una señal más acotada, pero no irrelevante. La SBS advirtió sobre suplantación de identidad en productos financieros y el BCRP siguió ajustando el sistema de pagos y las reglas de transferencias. Es un país donde la capa normativa avanza y donde los controles financieros se están formalizando, aunque el material del mes no mostró el mismo volumen de incidentes que en Brasil, Colombia, México, Argentina o Chile.

Paraguay, Bolivia y Estados Unidos

Paraguay quedó fuera de la foto de impacto verificado del mes, aunque el archivo incluye marco normativo y comparativo. Bolivia tuvo una intervención relevante con el aviso del CGII sobre Redis, útil como señal regional de respuesta técnica ante CVEs críticos. Estados Unidos aparece solo de manera indirecta como referencia regulatoria o de ecosistema, sin hechos propios de la región latinoamericana en el período.

Tendencias y señales a monitorear

No hay baseline comparativo propio del mes anterior para este formato de indicadores en América Latina, así que no corresponde inventar una variación mes contra mes. Lo que sí puede leerse es una consolidación de tendencias que ya venían insinuándose y que en julio quedaron más nítidas.

La primera señal es el crecimiento del fraude de identidad asistido por IA. El material de Argentina, Chile, Colombia y México repite deepfakes, suplantación, clonación de voz, perfiles sintéticos y automatización del contacto. En paralelo, los bancos endurecen autenticación y los reguladores empujan cambios de procedimiento. La señal a monitorear es si esa escalada técnica empieza a traducirse en mayores exigencias de validación contextual y en mayor fricción para el usuario.

La segunda señal es la persistencia del ransomware con foco en salud, energía y sector público. Brasil concentra la parte más visible de esa presión, pero Argentina, Colombia y México también mostraron eventos o campañas asociadas. El punto de monitoreo no es solo qué grupos atacan, sino qué vectores usan, sobre todo VPNs, servicios expuestos, hipervisores y credenciales filtradas.

La tercera señal es la maduración de la respuesta regulatoria. Mendoza, Chile, Colombia y Brasil avanzaron en reglas más duras sobre reporte, sanción, notificación, autenticación y plataformas. Esto no elimina el riesgo, pero sí cambia el costo de operar sin controles. Hay que observar qué jurisdicciones logran convertir la norma en práctica y cuáles se quedan en texto.

La cuarta señal es que la IA dejó de ser solo una historia de defensa. En varios hechos apareció como acelerador ofensivo sobre gobierno, OT, fraude y generación de identidades falsas. La pregunta no es si la IA está presente, porque ya lo está. La pregunta es en qué fase del ataque aporta más valor al adversario, y cómo se priorizan los controles para cortar esa ventaja.

Recomendaciones para equipos de seguridad

Primero, endurecer la capa de acceso remoto. El material del mes vuelve a mostrar VPNs, gateways, appliances y servicios expuestos como vectores recurrentes. Eso implica priorizar MFA real, revisión de configuraciones, rotación de credenciales, exposición mínima y monitoreo continuo de accesos anómalos. No alcanza con tener el parche publicado si el perímetro sigue abierto o con autenticación débil.

Segundo, separar de forma estricta los controles para fraude de los controles para intrusión. El fraude digital en la región ya usa ingeniería social, IA y suplantación de identidad. Los equipos deben sumar validaciones contextuales, comportamiento transaccional, verificación fuera de banda y reglas de fricción adaptativa. En banca y fintech, no sirve tratar todo como phishing genérico.

Tercero, revisar la capacidad de detección y respuesta sobre cuentas institucionales. La AFA mostró cómo una sola cuenta comprometida puede ser suficiente para propagar mensajes no autorizados. Los equipos deben proteger cuentas de alto privilegio, reforzar recuperación de identidad, controlar reenvíos, y monitorear anomalías de envío desde cuentas legítimas.

Cuarto, tratar salud, energía y gobierno como verticales de prioridad máxima. El patrón de julio muestra que esos sectores siguen siendo blancos preferidos para extorsión y exfiltración. Eso exige segmentación, backups probados, control de acceso privilegiado, inventario de activos expuestos y pruebas de restauración que no dependan de supuestos optimistas.

Quinto, incorporar gobernanza de datos y trazabilidad como control de seguridad, no solo de cumplimiento. El debate de Mendoza y las normas chilenas muestran que la región ya exige más transparencia sobre datos, incidentes y responsabilidades. Las organizaciones que no tengan trazabilidad fina del ciclo de vida de la información van a quedar expuestas tanto técnica como legalmente.

Sexto, revisar contratos y exposición de terceros. En varios casos, desde salud hasta utilities, la superficie de ataque pasa por proveedores, software expuesto o servicios externos. El riesgo de cadena de suministro sigue siendo una de las vías más baratas para el atacante y una de las más difíciles de cerrar si no se monitorea el ecosistema completo.

Limitaciones del material

Este informe se elaboró exclusivamente con el material provisto para julio de 2026 y con los hechos fechados dentro de la ventana del período. Los hechos sin fecha confirmada quedaron excluidos de los indicadores, aunque algunos pueden aportar contexto cualitativo. Los hechos de meses anteriores que llegaron al archivo por la cobertura publicada en julio se usaron solo como marco comparativo y nunca como volumen del mes.

También corresponde un matiz importante sobre los indicadores. Cuando un indicador figura en cero, eso significa que no apareció en el material analizado de este período, no que el hecho no haya ocurrido en la región. Esto vale especialmente para CVEs y para cualquier categoría donde la ausencia de mención no equivale a ausencia real de actividad. En este mes sí hubo CVEs críticos mencionados, por lo que ese número debe leerse como presencia de señal en el material, no como universo completo de vulnerabilidades de la región.

La telemetría agregada, como intentos de phishing, escaneos o bloqueos automatizados, quedó excluida del volumen de incidentes. Si se la menciona, debe entenderse como medición de exposición, no como intrusión confirmada. Tampoco se usaron como evidencia de tendencia fuentes de contenido patrocinado, comunicados comerciales o publicaciones de consumo que no estén dentro de la lista habilitada para citar.

Por último, el informe no introduce fuentes externas al corpus provisto ni atribuye incidentes donde el material solo ofrece una reivindicación en leak site, una conjetura periodística o una afirmación no verificada por la fuente. Cuando un hecho no permitió distinguir entre cifrado, exfiltración o mención en leak site, se preservó esa ambigüedad en lugar de forzar una clasificación.