Trending:
Mato Grosso: nuevo ataque a Salud estatal
CiberLATAMbywhalemate
Cambiar a modo oscuro/claro
Seleccionar idioma
Noticias
Investigaciones
Reportes
RadarEn vivo
Iniciar sesiónRegistrate gratis
Informe de inteligencia

Panorama de ciberseguridad en América Latina — Octubre 2026

Más ransomware, más fraude y más regulación marcaron octubre en América Latina, con Argentina, Chile, Brasil y Colombia en foco.

1 de nov de 202635 min
Panorama de ciberseguridad en América Latina — Octubre 2026whalemateLa plataforma para gestionar el riesgo humano en ciberseguridad.

Hallazgos clave

Módulos mensuales de referencia

Estos módulos se completan automáticamente con los hechos verificados con fecha dentro del período. Cada uno declara su base y su criterio de conteo, de modo que las cifras reconcilien entre módulos. Son la lectura recurrente mes a mes; el análisis posterior desarrolla los casos sin repetir esta síntesis.

Ventana de los indicadores: 851 hechos con fecha en octubre 2026 · 116 de meses anteriores (marco comparativo, no volumen del mes) · 33 sin fecha confirmada (excluidos de los indicadores). Los hechos de meses anteriores se usan solo como marco comparativo en el análisis, nunca como volumen de este período.

CIBERLATAM / WHALEMATE Panel mensual de señal verificada octubre 2026 · América Latina Amenaza predominante: Sin clasificar (339 de 847 hechos). Cobertura: 851 hechos con fecha en octubre 2026 · 116 de me… HECHOS VERIFICADOS 847 base del período: todo conteo de abajo se mide sobre este total RANSOMWARE / EXTORSIÓN 72 15 cifrado de activos confirmado · 5 exfiltración sin cifrado (extorsión simple) INCIDENTES SIN TIPIFICAR 97 brechas o interrupciones sin tipo de amenaza declarado FRAUDE / PHISHING 128 campañas de fraude documentadas REGULACIÓN 150 normas, resoluciones o sanciones CVES ÚNICOS 14 CVE-2020-3259 / CVE-2023-20269
Panel mensual de señal verificada — Base: 847 hechos verificados con fecha en el período para América Latina.
MODULO FIJO MENSUAL Distribución por eje de amenaza octubre 2026 · América Latina Cada hecho cuenta en un solo eje, por lo que la suma es exactamente 847. "Incidentes sin tipificar" es el residuo. Sin clasificar 339 Regulacion 150 Fraude 128 Incidentes 97 Ransomware 72 Vulnerabilidades 61
Distribución por eje de amenaza — Cada hecho se asigna a un único eje según su tipificación; la suma reconcilia con los 847 hechos del período.
MODULO FIJO MENSUAL Distribución sectorial de señal octubre 2026 · América Latina Base: 847 hechos del período · suma 1046 porque 171 hechos clasifican en más de un sector. Otros / sin sector identi… 311 Sector público / OIV 266 Finanzas 141 Telecom 138 Tecnologia 93 Retail / consumo 37 Salud 30 Energia 30
Distribución sectorial de señal — Clasificación heurística por sector de la víctima. Un hecho puede tocar más de un sector, por lo que la suma puede superar la base.
MODULO FIJO MENSUAL Distribución geográfica de señal octubre 2026 · América Latina Cada hecho se atribuye a un solo país o a cobertura regional, por lo que la suma es exactamente 824 sobre 847 hechos … Argentina 161 Perú 121 Brasil 119 México 116 Regional 99 Colombia 65 Chile 57 Uruguay 53 Paraguay 33
Distribución geográfica de señal — Hechos verificados del período agrupados por país o cobertura regional; cada hecho cuenta una sola vez.

Resumen ejecutivo del mes

Octubre de 2026 dejó una foto regional de riesgo alto, con 847 hechos verificados en América Latina y una mezcla más pesada de intrusión, extorsión, fraude y ajuste regulatorio. El mes estuvo dominado por dos vectores que se superponen cada vez más: ataques operativos contra servicios esenciales y usos maliciosos de inteligencia artificial para fraude, suplantación e influencia. La señal más clara fue que el mayor incidente confirmado afectó a salud y municipios en Argentina, mientras Chile, Brasil, Colombia y México concentraron las lecturas más sensibles del período.

El caso argentino de Program Consultores se consolidó como el episodio más visible del mes por impacto operativo. La cobertura confirmó un ransomware que dejó fuera de servicio sistemas usados por municipios de varias provincias y, según una fuente local, alcanzó a unos 250 municipios. En paralelo, CrowdStrike informó una campaña aparte, también en Argentina, con agentes de IA que comprometieron al menos 15 entidades de salud y extrajeron credenciales e historias clínicas de al menos una víctima. Son hechos distintos, pero juntos explican por qué el sector público y la salud quedaron entre los más expuestos durante el período.

La extorsión también siguió escalando en infraestructura crítica, sobre todo en Brasil y Chile. En Brasil, el hospital Albert Einstein confirmó acceso no autorizado a datos de pacientes y notificó a la ANPD y a la Policía Federal, mientras la operación Insidioso avanzó sobre un caso de ransomware con extracción de datos sensibles. En Chile, la continuidad fuera de servicio del parque solar Huatacondo y su sistema de almacenamiento siguió alimentando el debate sobre resiliencia OT, y el análisis de Entel Digital volvió a ubicar transporte, logística, energía, agua, saneamiento y salud como las verticales con mayor presión.

La capa fraudulenta fue igual de intensa, aunque con menos peso que en septiembre. Argentina aportó varios de los casos más nítidos: estafas de inversión con IA, deepfakes sexuales en escuelas, fraude bancario y fraude digital organizado con dominios falsos. En Colombia, Shadow Parasite mostró la industrialización del phishing con 288 dominios falsos y 47 marcas suplantadas. En Bolivia, la policía advirtió un aumento de hasta 300% en estafas digitales y describió clonación de voz, enlaces falsos y maniobras en WhatsApp y Telegram como tácticas frecuentes.

La regulación tuvo un protagonismo menor que el mes anterior, pero siguió marcando la agenda regional. Chile avanzó en la postergación de su ley de protección de datos; Brasil mantuvo una producción normativa intensa, con sanciones, guías, sandbox y ajustes de gobernanza; y Guatemala volvió a empujar su iniciativa de ciberseguridad en el Congreso. El mes también dejó una señal clara de madurez institucional: la ANPD brasileña sancionó a Feira de Santana por exposición de datos médicos sensibles y consolidó una línea de supervisión que ya no se limita a la advertencia.

Panorama regional del mes

La región mostró una presión alta porque los hechos verificados no quedaron confinados a un solo tipo de incidente ni a un solo país. Hubo ransomware con impacto operativo, extorsión basada en robo de datos, fraude digital de escala industrial, campañas de influencia con IA, exposición de datos personales y decisiones regulatorias que intentan alcanzar un ritmo de cambio que ya se había desbordado. El riesgo operativo regional se mantiene alto porque varias de esas líneas convergen sobre la misma superficie: salud, gobierno local, servicios financieros, telecomunicaciones y energía.

La lectura cualitativa de octubre es de riesgo alto. No por un salto de volumen aislado, sino porque el material muestra combinación de alcance, diversidad técnica y exposición sistémica. El ransomware siguió entrando por credenciales, accesos remotos y cadenas de terceros; el fraude reforzó el uso de ingeniería social y suplantación con IA; y la regulación respondió con más fiscalización, más obligaciones y más supervisión en datos y plataformas digitales. La señal dominante no fue una sola familia de malware, sino la normalización de ataques mixtos, donde un incidente legalmente relevante puede arrancar como estafa, seguir como compromiso de cuenta y terminar en extorsión o fuga de datos.

Brasil sostuvo el mayor peso estructural del mes por densidad regulatoria y por presencia de casos en salud, energía, sector público y finanzas. La ANPD volvió a mostrar capacidad sancionatoria, mientras el ecosistema normativo siguió ajustándose para Open Finance, LGPD, inteligencia artificial y protección infantil en entornos digitales. Ese nivel de producción no elimina el riesgo, pero sí indica un mercado institucional que ya admite la ciberseguridad como asunto de cumplimiento, gobernanza y continuidad operativa, no solo como defensa técnica.

Argentina concentró la mayor visibilidad operativa del período por el choque entre ransomware, salud y fraude digital. La combinación de municipios fuera de servicio, hospitales comprometidos, estafas con IA y casos de deepfakes sexuales muestra un entorno donde el borde entre ciberincidente, delito económico y daño reputacional se volvió poroso. En términos de amenaza, eso obliga a leer el país no solo como un mercado de víctimas, sino como un laboratorio de tácticas de abuso de identidad, monetización fraudulenta y presión extorsiva.

Chile, Colombia y Bolivia aportaron señales distintas pero convergentes. Chile concentró el debate sobre infraestructura crítica, continuidad de energía y conectividad, y una agenda regulatoria que se empuja hacia 2027. Colombia mostró una combinación de exposición técnica, phishing masivo y fraude digital industrializado. Bolivia, por su parte, dejó una advertencia útil para la región: el fraude ya no depende solo de enlaces o SMS, sino de voz clonada, manipulación emocional y automatización de la persuasión.

Indicadores del período

Indicador Octubre 2026 Mes anterior Variación
Hechos verificados del período 847 851 -4
Ventana temporal de los indicadores 851 hechos con fecha en octubre 2026 · 116 de meses anteriores (marco comparativo, no volumen del mes) · 33 sin fecha confirmada (excluidos de los indicadores) Igual Sin cambios
Incidentes sin tipificar (brechas o interrupciones) 97 61 +36
Casos con ransomware o extorsión como eje primario 72 40 +32
Cifrado de activos confirmado 15 No provisto N/D
Exfiltración sin cifrado (extorsión simple) 5 No provisto N/D
Solo mención en leak site 1 No provisto N/D
Tipificación no determinable con el material 51 No provisto N/D
Casos de fraude o phishing documentados 128 190 -62
Movimientos regulatorios documentados 150 322 -172
CVEs críticos mencionados 14 2 +12
Sectores con al menos un hecho documentado 8 8 Sin cambios
Amenaza predominante del mes Sin clasificar (339 de 847 hechos) Regulación (322 de 851 hechos) Cambio de eje
Hechos con confirmación directa de la fuente 73% No provisto N/D
Cifras de telemetría agregada excluidas del volumen 4 (intentos o bloqueos agregados: no son incidentes con impacto confirmado) No provisto N/D

Lectura de los indicadores

La tabla confirma un mes menos "normativo" que septiembre, pero más pesado en seguridad operativa y respuesta a incidentes. La caída en movimientos regulatorios no significa relajamiento, sino un cambio de foco: menos iniciativas visibles en la cobertura y más hechos desordenados, con tipificación incompleta. El aumento de ransomware y de incidentes sin clasificar sugiere un mercado de amenazas más confuso, donde las coberturas periodísticas y los avisos técnicos todavía no alcanzan para cerrar todas las atribuciones.

CRONOLOGÍA Hechos verificados del período 1/10 Elcomisionadopropietariode 1/10 Según DiarioPanorama, la 1/10 Según Tiempo, elCSIRT 1/10 Diario Panoramainformó que 1/10 Diario Panoramaindicó que 1/10 LaComisióndeCiencia,
Cronología de hechos verificados, octubre 2026 — Hitos con fecha confirmada dentro de octubre 2026. Los hechos de meses anteriores quedan fuera de la cronología y se usan solo como marco comparativo.

Incidentes relevantes

Ransomware de Program Consultores y caída de servicios municipales en Argentina

El caso más visible del mes fue el ataque a Program Consultores S.A., operadora de la plataforma PGM, que dejó fuera de servicio sistemas usados por municipalidades de varias provincias argentinas. La cobertura de Diario Popular confirmó interrupción de trámites, cobros de tasas y servicios digitales, mientras La Voz del Interior amplió el alcance y habló de unos 250 municipios afectados en todo el país. La empresa dijo que un programa malicioso cifró archivos y dejó servidores inoperativos, y negó robo o filtración de bases de datos.

La relevancia del caso no depende solo del impacto técnico. El incidente afectó una pieza de infraestructura compartida, lo que amplifica el daño en cascada cuando la dependencia de software centralizado es alta. En municipios, el efecto práctico es doble: se frena la atención al ciudadano y se degrada la trazabilidad administrativa, algo especialmente sensible cuando además aparece una exigencia de rescate. La propia cobertura mostró que el debate local terminó girando sobre el modelo de tercerización tecnológica y la resiliencia contractual de los proveedores.

La secuencia informativa también dejó un matiz relevante sobre atribución y alcance. TiempoSur habló de más de 250 municipios y comunas de 11 provincias, pero aclaró que esa cifra provenía de la cobertura local y no de una auditoría independiente. Para la lectura regional, el punto importante es otro: el ransomware ya no golpea solo grandes empresas o entes estatales centrales, sino plataformas que sostienen operaciones públicas distribuidas. Eso obliga a revisar inventario de dependencias, contratos de continuidad y capacidad de recuperación por cliente o jurisdicción.

Campaña con agentes de IA contra salud argentina

CrowdStrike informó el 30 de octubre que entre mayo y agosto de 2026 documentó una campaña en la que un operador hispanohablante comprometió al menos 15 entidades de salud argentinas. El vendor sostuvo que el atacante usó una arquitectura de doble agente basada en Claude Code, con un agente Supervisor que elegía la siguiente tarea y un agente Executor que la ejecutaba. Según la misma fuente, se extrajeron credenciales e historias clínicas de al menos una víctima.

La pieza es importante porque no describe IA como simple apoyo para escribir phishing o automatizar scripts, sino como parte del ciclo de decisión y ejecución del ataque. Ese salto cambia la lectura de riesgo para hospitales y clínicas: ya no se trata solo de bloquear mensajes o adjuntos, sino de anticipar cadenas de intrusión más adaptativas. IT Brief Asia reforzó esa idea al señalar que los agentes tomaban decisiones y ejecutaban comandos durante la intrusión, lo que diferencia esta campaña de usos superficiales de IA.

La cobertura no identificó públicamente a las entidades comprometidas, y eso limita cualquier inferencia sobre exposición geográfica o institucional. Aun así, el hecho de que el material se ubique en salud argentina y además mencione exfiltración de credenciales e historias clínicas lo convierte en una referencia obligada del mes. El impacto potencial es obvio: pérdida de confidencialidad clínica, riesgo regulatorio y mayor superficie para fraude posterior, porque las credenciales y los datos médicos pueden alimentar extorsión, suplantación o ingeniería social.

Hospital Albert Einstein y respuesta de la Policía Federal de Brasil

El Hospital Israelita Albert Einstein confirmó que sufrió un ataque cibernético con acceso y obtención no autorizados de parte de su base de datos de pacientes. La institución indicó que los datos podían incluir nombre, CPF, fecha de nacimiento, prescripciones médicas y resultados de exámenes, y notificó el caso a la ANPD y a la Policía Federal. También afirmó que la atención a los pacientes no se vio afectada.

La Policía Federal abrió la Operación Insidioso para investigar un grupo sospechado de ataques de ransomware. La cobertura de Metrópoles señaló que la investigación se inició tras el aviso de una institución que dijo haber sido víctima en julio de un ataque con extracción de datos sensibles. Correio Braziliense agregó que los sistemas y los historiales electrónicos continuaron funcionando normalmente, lo que apunta a un incidente con impacto en datos, pero no necesariamente con caída operativa extensa.

Ese contraste entre continuidad clínica y exposición de información es clave para entender el patrón brasileño del mes. El daño no siempre aparece en forma de sistemas apagados. A veces se expresa en pérdida de datos, obligación de notificación, presión reputacional y posible extorsión. El caso Einstein encaja además con el giro general del mercado: la exfiltración previa al cifrado o sin cifrado ya es parte de la cadena habitual de monetización.

Huatacondo y la resiliencia OT en Chile

El parque solar Huatacondo y su sistema de almacenamiento en baterías siguieron desconectados del Sistema Eléctrico Nacional, con disponibilidad de 0% según el informe diario del Coordinador Eléctrico Nacional del 27 de octubre. El mismo registro mantenía como causa la comunicada el 27 de agosto, "ciberataque a las instalaciones de Huatacondo". Diario Financiero agregó que el Coordinador también vinculó a ese supuesto ciberataque la desconexión del transformador TR1 220/23 kV de la subestación Santa Rita.

La cobertura no aportó detalles técnicos ni autoría, y ese vacío obliga a ser prudente. Pero la continuidad de la desconexión durante dos meses vuelve el caso relevante por su valor de señal. No importa solo si hubo un ataque exitoso, sino que la infraestructura quedó con una indisponibilidad sostenida y con efectos en el debate público sobre energía crítica, control supervisor y operación remota. SolarQuarter y Energía Futura señalaron además que no se habían divulgado identidad de los atacantes ni fecha de reconexión.

Chile aparece aquí como un país donde la ciberseguridad industrial ya no es una discusión teórica. La nota de Entel Digital citada por G5 Noticias ubicó transporte y logística, energía, combustibles, agua y saneamiento entre las verticales más golpeadas por ransomware en infraestructura crítica. El caso Huatacondo se lee entonces como parte de una conversación más amplia sobre OT, continuidad eléctrica y dependencia cruzada con telecomunicaciones.

Shadow Parasite y fraude digital industrializado en Colombia

La investigación atribuida a Lumu y difundida por Impacto TIC identificó 288 dominios falsos usados para suplantar 47 marcas en Colombia, incluidas entidades financieras, billeteras digitales, recaudadores de pagos y empresas de servicios públicos. Semana añadió que la operación había comenzado con 51 dominios y escaló luego a 288, con 246 direcciones IP y 29 sistemas autónomos, además de siete pasarelas de pago vinculadas. La mecánica incluía captura de contraseñas, códigos de autenticación y datos de tarjetas mediante portales falsos.

El valor del caso está en la escala y en la disciplina operativa. No se trata de un sitio aislado, sino de una infraestructura de fraude con capacidad de rotar dominios, desviar tráfico y sostener campañas de suplantación por marca. Eso encaja con lo que la región observa desde hace meses: el fraude se profesionalizó y ya funciona como servicio, con niveles de automatización que hacen más difícil distinguir entre una campaña puntual y una plataforma estable de monetización.

Shadow Parasite también ayuda a leer la diferencia entre exposición y compromiso. ColCERT emitió una alerta sobre 8.699 servicios PHP accesibles desde internet, pero aclaró que eso no confirmaba un ataque exitoso. En cambio, Shadow Parasite sí describe víctimas directas del engaño. La distinción importa porque en Colombia el problema parece estar repartido entre la superficie expuesta y el fraude de suplantación ya desplegado a escala.

Estafas con IA y violencia digital en Argentina

Argentina fue el país donde más se superpusieron fraude, identidad y daño digital no clásico. ESET, a través de varias coberturas, analizó una campaña de estafas de inversión que combinó anuncios digitales, ingeniería social telefónica, suplantación de medios y figuras públicas, y videos o declaraciones manipuladas con inteligencia artificial. La cobertura incluso mencionó una supuesta plataforma asociada a VT Markets y deepfakes ligados al presidente Javier Milei y a un proyecto ficticio de inversión.

El otro costado de la misma dinámica fue más escolar y más grave desde el punto de vista social. En Lomas de Zamora se denunciaron alumnos por crear y difundir imágenes sexuales falsas de compañeras, y la Justicia analizó teléfonos para reconstruir creación, circulación y eventual venta del contenido. La Nación informó que la causa quedó radicada en una fiscalía juvenil por presunto delito de fabricación y distribución de imágenes sexuales de menores, mientras Chequeado recordó que Argentina todavía no tiene una figura penal específica para los deepfakes sexuales.

La lectura conjunta es incómoda pero clara. La IA ya está siendo usada tanto para robar dinero como para fabricar daño reputacional y sexual en entornos educativos. No se trata de una sola clase de crimen, sino de una caja de herramientas que habilita fraude financiero, extorsión, humillación pública y coerción entre pares. Para los equipos de seguridad, eso desplaza la discusión desde el control técnico puro hacia la respuesta interdisciplinaria con legal, RR.HH., cumplimiento y protección de menores.

OpenAI y la influencia encubierta con foco regional

OpenAI informó el 4 y el 8 de octubre que suspendió cuentas de ChatGPT originadas en Rusia por usarlas para operaciones de influencia encubiertas dirigidas a países de América Latina, con foco especial en Argentina y Bolivia. La compañía dijo que detectó y bloqueó dos operaciones que usaban la herramienta para redactar y actualizar informes internos, y que una de las redes buscaba interferir en la política de la región. CyberScoop agregó que también se trataron identidades falsas de periodistas y think tanks.

La clave de este caso no es solo la procedencia de las cuentas, sino la adaptación regional del contenido. La operación no se limitó a campañas genéricas, sino que intentó instalar narrativas útiles en contextos políticos concretos, con alusiones a Argentina y Bolivia. OpenAI mencionó además contenido falso difundido en Bolivia a fines de mayo de 2026, lo que muestra una temporalidad más larga que la simple ventana de octubre.

Desde la perspectiva de ciberseguridad regional, estas operaciones no sustituyen al phishing ni al ransomware. Los complementan. Pueden erosionar confianza pública, amplificar rumores y facilitar fraude, especialmente cuando las audiencias ya están expuestas a deepfakes, cuentas falsas y clonación de voz. Para octubre, la señal es que la IA no solo acelera el ataque, también acelera la construcción de entornos de credibilidad falsa.

Amenazas y campañas activas

Ransomware y extorsión

El mes mostró un incremento claro de la presión por ransomware y extorsión, aunque la tipificación completa siguió siendo incompleta en muchos casos. De los 72 casos con ransomware o extorsión como eje primario, solo 15 tuvieron cifrado de activos confirmado, 5 fueron exfiltración sin cifrado, 1 quedó en mera mención en un leak site y 51 no pudieron determinarse con el material disponible. Ese reparto es importante porque confirma que la etiqueta "ransomware" ya no alcanza para describir el fenómeno completo.

En Argentina, Program Consultores fue el ejemplo más visible de cifrado con impacto operativo. En Brasil, el hospital Einstein y la operación Insidioso se alinean más con exfiltración, intrusión y presión criminal que con apagado masivo de servicios. En la capa de leak sites, el grupo N0n aportó otro patrón: una campaña de extorsión centrada en robo de datos y amenaza de publicación, con múltiples referencias en Brasil y otros países de la región, pero no siempre con confirmación pública de intrusión. La fuente de Cyberint incluso señaló que no se había visto cifrado de archivos y que el portal de filtraciones se apoyaba en el robo de datos.

La región también quedó expuesta a un cambio en los blancos preferidos. El análisis de Entel Digital citado por G5 Noticias ubicó transporte y logística como el sector más golpeado, seguido por energía, combustibles, agua y saneamiento, con salud y gobierno también en niveles altos. Eso coincide con lo observado en Brasil, Chile y Argentina. La extorsión ya no busca solo dinero, busca producir interrupción en infraestructuras donde el costo político del paro es alto.

Fraude y phishing

La caída relativa de los casos de fraude y phishing respecto de septiembre no debe interpretarse como alivio. Octubre siguió lleno de campañas de suplantación, pero con una composición más dispersa. Argentina sumó estafas de inversión con IA, fraude bancario por duplicación de chip y uso del celular robado para operar home banking, además de casos de deepfakes sexuales. Colombia mostró la industrialización del fraude de marca. Bolivia y Chile aportaron advertencias sobre vishing, clonación de voz y estafas por mensajería.

El fraude bancario por sí solo dejó señales concretas. La Justicia argentina condenó al Banco Hipotecario en un caso en el que se duplicó el chip del teléfono de una clienta, se ingresó a su home banking y se tomó un préstamo a su nombre. En otra causa, la Cámara de Apelaciones de Santa Rosa confirmó una multa contra el Banco de La Pampa por no adoptar mecanismos adecuados para verificar identidad y detectar operaciones inusuales tras un phishing. Son dos decisiones distintas, pero ambas refuerzan una tendencia: la responsabilidad sobre la autenticación y la detección ya no se limita al usuario.

La magnitud del fraude también se ve en la capa de mercado. En Bolivia, la policía habló de un aumento de hasta 300% en estafas digitales. En Colombia, Shadow Parasite demostró una infraestructura amplia y organizada. En Argentina, iProUP reportó que Classiscam había usado bots de Telegram para generar páginas fraudulentas y que el país concentró el 14,3% de la actividad latinoamericana rastreada en esa muestra. La lección es que el phishing ya no opera solo por volumen, sino por especialización local y personalización del engaño.

APT, ciberespionaje e influencia

La señal de APT o ciberespionaje no fue la dominante del mes, pero sí dejó huellas suficientes para no dejarla fuera de la lectura regional. La campaña CL-UNK-1211, reportada por el CSIRT Financiero de Asobancaria, mostró el uso de SysGoRAT, web shells y reverse shells contra servidores Linux pertenecientes a organizaciones gubernamentales e infraestructura afiliada al Estado. El aviso no atribuyó la campaña a un grupo estatal específico, pero sí confirmó capacidades de acceso remoto, ejecución de comandos y recopilación de información.

Ese tipo de operación se diferencia del ransomware por intención y persistencia. Busca mantenerse, reconocer el entorno y extraer información, no solo monetizar rápido. Aunque no se puede elevar esa campaña a una serie de compromisos concretos en octubre, su relevancia regional está en el patrón técnico: abuso de servidores expuestos, cadenas de persistencia y enfoque sobre infraestructura estatal o cercana al Estado. Eso es especialmente sensible cuando se combina con exposiciones de PHP, Nextcloud, NetScaler o Atlassian vistas en el mismo período.

A la vez, la desinformación asistida por IA se movió sobre la frontera entre influencia y fraude. OpenAI documentó operaciones encubiertas orientadas a América Latina, y eso vuelve a poner sobre la mesa la necesidad de separar propaganda automatizada de simple contenido falso. En términos operativos, la región enfrenta una capa híbrida donde el objetivo no siempre es robar datos o cifrar equipos, sino condicionar percepción, erosionar confianza o preparar el terreno para estafas posteriores.

Vulnerabilidades críticas

Las 14 CVEs críticas mencionadas en el material corresponden sobre todo a PHP, Collabora, Atlassian y Citrix, con explotación activa confirmada en varios casos. La concentración en software de infraestructura y colaboración vuelve a mostrar que los atacantes están explotando componentes transversales, no solo productos de nicho.

CVE Software Explotación Fuente
CVE-2026-110447 Collabora Online Built-in CODE Server para Nextcloud (richdocumentscode) Explotada activamente durante septiembre y octubre de 2026, según MITRE CVE; el aviso oficial pide actualizar a 26.4.303 o posterior MITRE CVE, Collabora Online, CSIRT Bolivia
CVE-2026-109618 PHP Explotación activa confirmada por CISA; afecta runtimes PHP y puede permitir ejecución remota de código CISA, AWS, Unit 42
CVE-2026-109619 PHP Explotación activa confirmada por CISA; afecta runtimes PHP y puede permitir ejecución remota de código CISA, AWS, Unit 42
CVE-2026-21589 Atlassian Data Center y Server, varios productos Explotación intentada dentro de las dos horas posteriores a la divulgación pública Atlassian, The Hacker News, CERT-EU
CVE-2026-107406 Citrix NetScaler ADC y Gateway Riesgo crítico de RCE o DoS bajo ciertas configuraciones SAML; Citrix no conocía exploits no mitigados al publicar el aviso Citrix, SecurityWeek, BleepingComputer
CVE-2025-20265 Fortinet Explotación activa mencionada en el boletín oficial del CISC/MJSP de Brasil gov.br CISC
CVE-2026-42031 CKAN DataStore Enumerada en el boletín oficial del CISC/MJSP como alerta de seguridad gov.br CISC
CVE-2026-44277 Fortinet FortiAuthenticator Enumerada en el boletín oficial del CISC/MJSP como alerta de seguridad gov.br CISC
CVE no especificado PHP Dos fallas críticas de PHP motivaron suspensión preventiva de sitios en Paraguay CERT-PY, cobertura local
CVE no especificado PHP Deshabilitar la aplicación no es suficiente, debe actualizarse o eliminarse Collabora Online
CVE no especificado Atlassian Data Center Explotación observada muy poco después de la divulgación The Hacker News
CVE no especificado Cloudflare Containers No es un CVE, sino una exposición cross-tenant corregida por el proveedor Cloudflare, InfoQ
CVE no especificado Fortinet Aviso sobre bypass de autenticación en dispositivos Fortinet gov.br CISC
CVE no especificado SharePoint, CrowdStrike y CKAN Incluidas en boletines de alerta de Brasil, sin vínculo regional específico en el material gov.br CISC

La lectura más importante de la sección no es la lista, sino el patrón. El mes combinó explotación activa, ventanas de divulgación muy cortas y dependencia crítica de software expuesto a internet. Eso hace que la higiene de parchado siga siendo un problema de primer orden en América Latina, pero ahora con un matiz nuevo: muchas de estas fallas afectan plataformas de colaboración, autenticación o publicación web que están en el corazón de procesos empresariales y estatales.

Regulación y cumplimiento

La regulación de octubre no fue menos importante porque apareció menos. Fue más quirúrgica. Chile empujó la postergación de la Ley 21.719 de protección de datos al 15 de octubre de 2027, con la iniciativa aún en trámite al cierre del proceso legislativo del mes. La discusión mostró el dilema típico de la región: cómo exigir cumplimiento cuando la institucionalidad que debe fiscalizar todavía no está madura.

Brasil siguió en un modo de regulación activa y sancionatoria. La ANPD concluyó un proceso administrativo sancionador contra la Prefeitura de Feira de Santana por exponer en el Diário Oficial datos personales sensibles de 1.241 personas, con advertencia, publicización de la infracción y medidas correctivas. El caso es relevante porque confirma que la autoridad ya no se limita al sector privado. También actualizó su glosario, publicó versiones en inglés de la LGPD y mantuvo su sandbox de IA en marcha.

Chile, datos personales y prórroga

El Senado chileno aprobó un proyecto que posterga la vigencia de la Ley 21.719 al 15 de octubre de 2027. G5 Noticias, TrendTIC y Diario Financiero coincidieron en el núcleo: la propuesta avanzó en el Senado y luego pasó a la Cámara de Diputadas y Diputados. El contenido sustantivo de la ley incluye acceso, rectificación, supresión, oposición, portabilidad, bloqueo, deberes de información, seguridad y notificación de vulneraciones.

La señal política es que Chile prioriza tiempo de adecuación antes que ejecución inmediata. La lectura técnica es más ambigua. El aplazamiento puede dar margen a organismos y empresas, pero también prolonga la ventana de transición donde todavía no están plenamente activas las facultades sancionadoras de la nueva agencia. Las notas de la Universidad de Chile y Varela Abogados apuntaron justamente a ese problema de instalación institucional. Para seguridad corporativa, eso significa que el estándar regulatorio ya está dibujado, aunque la presión sancionatoria se haya movido en el calendario.

Brasil, ANPD y fiscalización activa

Brasil concentró varios movimientos regulatorios durante octubre. La ANPD concluyó el caso de Feira de Santana, publicó nuevas entradas en su glosario, difundió la segunda parte de su sandbox de inteligencia artificial y sostuvo una agenda de fiscalización que abarca sistemas de IA, biometría, transparencia de plataformas y protección infantil. La ficha oficial del Senado también muestra iniciativas en trámite vinculadas con datos personales y con la protección de datos como derecho fundamental.

El caso Feira de Santana es el más importante porque traduce la doctrina en sanción concreta. La autoridad detalló que la exposición de datos médicos sensibles ocurrió en el Diario Oficial del municipio, identificó seis infracciones a la LGPD y ordenó medidas correctivas, entre ellas nombrar un encargado de datos, publicar políticas de privacidad y preparar un plan de respuesta a incidentes. Esa combinación de sanción y remediación debe leerse como un modelo probable para casos similares en la región.

México y Guatemala, marcos en movimiento

En México, la señal regulatoria estuvo más centrada en pagos, menores y supervisión financiera. La Secretaría de Seguridad y Protección Ciudadana difundió recomendaciones para fortalecer la seguridad de correos institucionales, mientras la Suprema Corte confirmó, según la cobertura disponible, la facultad de la CONDUSEF para sancionar entidades financieras por incumplimientos regulatorios. En paralelo, la agenda legislativa siguió empujando reglas sobre economía digital y protección de menores en entornos digitales.

Guatemala retomó la iniciativa 6347 de ley de ciberseguridad y la llevó a discusión en el Congreso, con participación prevista del sector bancario y de los ponentes. La propuesta busca fortalecer la prevención, detección y respuesta frente a amenazas digitales. Aunque el trámite todavía está lejos de cerrarse, la sola reaparición de la iniciativa en agenda muestra que la región sigue intentando institucionalizar la respuesta antes de que la presión de los incidentes vuelva a dejarla atrás.

Países más afectados en América Latina

Argentina

Argentina fue el país con más densidad de hechos visibles en el mes por la combinación de ransomware, salud, fraude financiero, estafas con IA y violencia digital en escuelas. El caso de Program Consultores golpeó a municipios de varias provincias y afectó trámites y cobros. La campaña de CrowdStrike amplió la presión sobre salud, con al menos 15 entidades comprometidas. A eso se sumaron estafas de inversión con IA, casos de deepfakes sexuales y condenas judiciales por fraudes bancarios y suplantación de identidad.

El país aparece como un nodo donde conviven dos riesgos: el operativo, con impacto en municipalidades y salud, y el social, con deepfakes, fraude digital y suplantación de figuras o instituciones. Esa mezcla vuelve más difícil la defensa porque obliga a coordinar seguridad técnica, respuesta legal y comunicación pública. La lectura de octubre es que la superficie de ataque argentina no es solo tecnológica, también es reputacional y educativa.

Chile

Chile mostró un mes centrado en resiliencia de infraestructura crítica, datos personales y fraude digital. El caso Huatacondo siguió siendo la referencia de continuidad OT. El análisis de Entel Digital, citado por G5 Noticias, ubicó transporte y logística al tope de víctimas de ransomware en infraestructura crítica, seguido por energía y servicios esenciales. En el frente regulatorio, el país siguió empujando la postergación de la ley de protección de datos al 2027.

La principal lectura chilena es de preparación institucional, pero con una base operativa exigida por la realidad. El país intenta ordenar datos y fiscalización mientras enfrenta amenazas sobre energía y telecomunicaciones. Esa combinación de agenda legislativa y presión sobre infraestructura crítica lo deja entre los países con mejor discusión pública, pero también con exposición relevante a incidentes de alta sensibilidad.

Brasil

Brasil sostuvo el peso más fuerte en regulación, supervisión y casos de datos personales, con el agregado de una infraestructura crítica que sigue bajo presión. La sanción de la ANPD a Feira de Santana, el avance de su sandbox de IA y la publicación de glosarios y versiones de la LGPD en inglés confirman una institucionalidad activa. En paralelo, el Hospital Einstein y otros casos muestran que la exposición de datos sigue siendo un problema material.

En ransomware, Brasil sigue apareciendo de forma reiterada en listados, leak sites y análisis de grupos como N0n, Arcus Media y otros actores rastreados por Brandefense y Cyberint. También fue escenario de debates sobre energía, transporte y OT, con Guardião Cibernético como evidencia de preparación estatal. El país no solo concentra actividad, también marca el estándar regulatorio más robusto de la región para octubre.

Colombia

Colombia destacó por la calidad estructurada del fraude y por la superficie técnica expuesta. Shadow Parasite mostró una operación sofisticada de suplantación de marcas. ColCERT alertó por miles de servicios PHP expuestos, y el CSIRT Financiero de Asobancaria informó sobre SysGoRAT y la campaña CL-UNK-1211 contra servidores Linux de organizaciones gubernamentales y afiliadas al Estado. El país también aparece en la cobertura regional por exposición en telecomunicaciones y energía.

La señal colombiana de octubre es doble: mucha exposición y mucha ingeniería social. Hay problemas de configuración, servicios abiertos y credenciales comprometidas, pero también fraudes digitales cada vez más profesionalizados. Eso hace que Colombia sea un país especialmente útil para observar cómo se mezclan superficie expuesta, campañas de phishing y abuso de identidad en un mismo ecosistema.

Bolivia

Bolivia apareció menos por incidentes concretos y más por el nivel de alerta pública. La policía reportó un aumento de hasta 300% en las estafas digitales y describió el uso de WhatsApp, Telegram, falsas actualizaciones bancarias y clonación de voz con inteligencia artificial. OpenAI también citó a Bolivia como uno de los focos de operaciones de influencia encubierta en la región.

Eso deja al país en una posición delicada, porque el problema no es solamente el volumen de fraude, sino el tipo de narrativa que se puede construir con IA. La combinación de fraude, presión política y desinformación automatizada exige capacidades de respuesta que crucen seguridad, verificación de contenido y protección del usuario final.

Perú

Perú tuvo sobre todo una lectura de exposición técnica y respuesta regulatoria comparada. La Agencia Andina informó configuraciones incorrectas en servidores y servicios en la nube, mientras otros materiales previos del mismo período comparativo mostraron un ecosistema con alta actividad de malware y debate regulatorio sobre pagos digitales y finanzas abiertas. Aunque este mes no concentró incidentes de alto perfil en el cuerpo principal, el país quedó expuesto como un caso donde la superficie técnica y la regulación financiera siguen en proceso de ajuste.

México

México estuvo más presente por regulación, fraude y telemetría de ataques que por incidentes confirmados del mes. Hubo alertas sobre seguridad de correos institucionales, discusión sobre economía digital, leyes de pagos y obligaciones de protección infantil en plataformas. El material también mostró un fuerte mercado de fraude y phishing con apoyo de IA, aunque varias piezas pertenecen al marco comparativo. Octubre dejó, aun así, una señal nítida: el país sigue siendo un gran centro de presión para la banca, el comercio digital y la identidad financiera.

Paraguay

Paraguay apareció sobre todo en vulnerabilidades críticas y defensa preventiva. El CERT-PY advirtió sobre robo de cuentas de WhatsApp mediante acceso al buzón de voz, y la Justicia Electoral suspendió preventivamente sus sitios tras una alerta vinculada a dos fallas críticas de PHP. La combinación es relevante porque muestra una postura defensiva más inmediata frente a vulnerabilidades explotadas activamente.

Estados Unidos y cobertura internacional relevante

Aunque el eje de este informe es América Latina, algunos hechos fuera de la región ayudan a entender el entorno. CrowdStrike, OpenAI, CISA, MITRE, Atlassian, Collabora y Citrix aportaron avisos y análisis que afectan a la región por la vía del software usado localmente. No son casos latinoamericanos, pero sí forman parte de la cadena de riesgo que termina impactando a equipos en la región cuando el software expuesto es el mismo.

Tendencias y señales a monitorear

El mes anterior había estado dominado por regulación, con 322 movimientos documentados. Octubre bajó a 150 y pasó a un eje predominante "sin clasificar", con 339 de 847 hechos. Eso no significa menor presión, sino menor capacidad de encuadre. Cuando la amenaza queda sin clasificar, suele haber más ruido, más dispersión y más incidentes cuya tipificación todavía no cerró.

La segunda tendencia es el repunte de ransomware y extorsión frente al mes anterior. Pasar de 40 a 72 casos con ese eje primario es una diferencia material. No todo eso implica cifrado, y de hecho el material muestra que la mayor parte no pudo determinarse con precisión. Pero sí indica que la extorsión volvió a ocupar centro de escena, sobre todo en salud, gobiernos locales, energía y transporte.

La tercera señal es la caída de fraude y phishing documentados, de 190 a 128. Esa baja no debe leerse como alivio. Más bien parece un corrimiento hacia formas más complejas de fraude, menos fáciles de etiquetar como phishing clásico. La evidencia del mes apunta a deepfakes, vishing, clonación de voz, portales falsos, estafas de inversión y suplantación de identidad apoyada por IA.

La cuarta señal es el salto en CVEs críticos mencionados, de 2 a 14. Esto importa porque octubre fue un mes de infraestructura expuesta y parcheo urgente. PHP, Atlassian, Collabora y Citrix mostraron que la ventana entre divulgación y explotación sigue siendo corta. Para la región, esto exige políticas de parcheo que no dependan de ventanas mensuales, sino de priorización por exposición pública y criticidad del servicio.

La quinta señal es regulatoria. Aunque el volumen bajó frente a septiembre, las decisiones del mes fueron más concretas. Chile empujó la ley de datos a 2027, Brasil sancionó, Guatemala avanzó, México reforzó lineamientos y protección infantil, y la conversación sobre IA quedó cada vez más atada a gobernanza, fiscalización y protección de menores. La región ya no discute solo si regular, sino cómo sostener la capacidad de cumplir.

Recomendaciones para equipos de seguridad

Los equipos de seguridad en América Latina deberían salir de octubre con tres prioridades claras. La primera es endurecer el control de acceso y la exposición de servicios críticos, sobre todo en software de colaboración, autenticación y publicación web. Las vulnerabilidades de PHP, Atlassian, Collabora y Citrix muestran que una parte importante del riesgo sigue entrando por componentes comunes y muy expuestos.

La segunda prioridad es asumir que el fraude con IA ya forma parte del perímetro de seguridad. Eso implica reforzar verificación de identidad, monitoreo de suplantación de marca, canales de denuncia, detección de vishing y procedimientos de validación fuera de banda. También implica entrenar a atención al cliente y a las áreas de operaciones para reconocer cambios de voz, presión temporal y relatos de urgencia sintética.

La tercera prioridad es preparar respuesta a incidentes con criterio de extorsión, no solo de cifrado. En octubre quedó claro que muchos ataques pasan por exfiltración o por amenaza de publicación antes de cualquier bloqueo de sistemas. Eso exige planes que contemplen revisión de logs, rotación de credenciales, preservación de evidencia, comunicación regulatoria y gestión de crisis reputacional.

Los sectores más expuestos deberían revisar dependencias compartidas. Municipios, salud, energía, transporte y telecomunicaciones necesitan inventarios de terceros, pruebas de continuidad y ejercicios de recuperación. Si el sistema de un proveedor cae, el cliente debe saber qué se interrumpe, cuánto tarda en volver y quién aprueba la restauración. La resiliencia deja de ser un concepto abstracto cuando una plataforma de uso compartido puede dejar a cientos de entidades sin operación.

También conviene elevar la vigilancia sobre campañas regionales de fraude. Shadow Parasite, Classiscam, las estafas de inversión con IA y los deepfakes sexuales muestran que el mercado criminal localiza muy bien su mensaje. La defensa, por lo tanto, también tiene que ser local: marca, lenguaje, medios usados por la víctima, canales de soporte y patrones de pago. La prevención genérica ya no alcanza.

Preguntas frecuentes

¿Qué cambió entre septiembre y octubre en la lectura regional de riesgo?

Octubre pasó de una agenda dominada por regulación a otra más fragmentada, con más ransomware, más incidentes sin tipificar y una caída del fraude clásico documentado. El material de este mes muestra menos orden normativo y más presión operativa sobre salud, municipios, energía y fraude con IA, según las secciones de Indicadores, Incidentes y Tendencias.

¿Qué país tuvo el impacto operativo más visible del mes y por qué?

Argentina concentró el caso más visible por el ransomware a Program Consultores, que dejó sin servicio a municipios de varias provincias, y por la campaña de IA contra salud que alcanzó al menos 15 entidades. La combinación de ambas piezas, más el fraude digital y los deepfakes escolares, explica su peso en Países más afectados e Incidentes relevantes.

¿El aumento de ransomware significa que hubo más cifrado confirmado?

No. El indicador sube a 72 casos con eje primario, pero solo 15 tuvieron cifrado confirmado, 5 fueron exfiltración sin cifrado, 1 quedó como mención en leak site y 51 no pudieron tipificarse. Esa diferencia entre volumen y naturaleza del impacto se explica en Indicadores y Amenazas y campañas activas.

¿Qué vulnerabilidades deben preocupar más a un equipo regional ahora mismo?

Las de PHP, Atlassian, Collabora y Citrix, porque combinan criticidad alta, exposición pública y explotación rápida. El material del mes incluye casos de explotación activa en PHP y Collabora, intentos de explotación poco después de la divulgación de Atlassian y riesgos graves en NetScaler. La tabla de Vulnerabilidades críticas resume la lectura.

¿Qué relación hay entre fraude con IA e incidentes de ciberseguridad tradicionales?

La relación es operativa y no solo conceptual. El fraude con IA ya alimenta phishing, vishing, suplantación de identidad, deepfakes y estafas de inversión, y puede terminar en acceso a cuentas, pérdidas financieras o extorsión. Octubre mostró esa conexión en Argentina, Colombia y Bolivia, y la desarrolló en Incidentes relevantes y Amenazas y campañas activas.

¿Qué debe vigilar un CISO en salud, energía o gobierno local durante noviembre?

Debe vigilar credenciales, proveedores compartidos, exposición de servicios web, campañas de extorsión con publicación de datos y suplantación de identidad con IA. Octubre mostró que esos sectores son objetivos recurrentes y que el daño puede ser operativo, legal o reputacional. Las secciones de Panorama regional, Países más afectados y Recomendaciones para equipos de seguridad lo detallan.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto y con la ventana temporal declarada para octubre de 2026. Los hechos del bloque comparativo se usaron solo como referencia de evolución y se nombraron con su mes explícito cuando correspondió. Los 33 hechos sin fecha confirmada quedaron excluidos de los indicadores y solo pueden usarse como contexto cualitativo si se aclara esa limitación.

Un indicador en cero no significa ausencia del fenómeno en la región, sino ausencia de registro en el material analizado. Esto vale de forma especial para CVEs y para cualquier categoría que no haya aparecido con evidencia suficiente en el corpus. Del mismo modo, la baja o el alza de una categoría no puede interpretarse como total regional, sino como señal de la cobertura documentada en este período.

Las cifras de telemetría agregada no se contaron como incidentes porque describen intentos, bloqueos o mediciones de volumen, no intrusiones confirmadas. Tampoco se usaron como prueba de aumento de riesgo. Cuando se mencionaron, quedaron atribuidas al vendor y a su ventana temporal, según las reglas de integridad del material.

Este informe también excluyó como base de afirmaciones las publicaciones de redes sociales y los contenidos patrocinados o comerciales que no están en la lista de fuentes permitidas. Cuando una cobertura no fue respaldada por una fuente primaria o por un aviso técnico u oficial, se trató con cautela o se dejó fuera de la lectura principal. Eso afecta sobre todo algunas referencias secundarias a leaks, campañas de fraude y atribuciones técnicas.

Fuentes