Actividad de ransomware en América Latina — Julio 2026

Amenazas y campañas activas

Cifrado de activos confirmado

El mes mostró 21 casos con cifrado de activos confirmado dentro de los hechos verificados. El material no permite vincular cada uno a una víctima específica en esta nota sin repetir innecesariamente la base, pero sí deja una lectura táctica útil. Allí donde el cifrado quedó confirmado, el problema deja de ser solo extorsivo y pasa a ser operativo, con impacto directo en disponibilidad, restauración y dependencia de backups.

Las fuentes que contextualizan este tipo de actividad apuntan a vectores reiterados. CSO Online y Brandefense remarcan el uso de VPN vulnerables y credenciales legítimas, mientras Infosecurity Magazine y AhnLab subrayan el peso de los grupos más activos y de los entornos perimetrales. En América Latina, eso coincide con organizaciones que aún sostienen accesos remotos mal segmentados y sin autenticación fuerte en todos los puntos sensibles.

Exfiltración sin cifrado, extorsión simple

Los 8 casos clasificados como exfiltración sin cifrado confirman que la extorsión ya no depende necesariamente de bloquear sistemas. Basta con entrar, copiar datos y presionar con publicación o venta secundaria. En sectores como salud, comercio y Estado, ese modelo puede ser más rentable que cifrar todo, porque permite sostener la operación de la víctima mientras se aumenta la presión pública.

El caso SPDM encaja parcialmente en esa lógica, ya que el material reporta 847 GB de datos reclamados. También lo hace, en otro plano, la mención a Ejército Argentino con actividad de infostealer relacionada. En ambos casos, el riesgo no está solo en la intrusión inicial sino en la circulación posterior de credenciales o datos sensibles.

La exfiltración simple exige defensas distintas de las pensadas para ransomware clásico. No alcanza con proteger el backup si el adversario ya salió con información. Ahí importan DLP, control de egreso, inventario de datos sensibles, registros de transferencia y capacidad de detectar volcado masivo o compresión anómala.

Solo mención en leak site

Los 5 hechos que quedaron solo en mención en leak site son un recordatorio de que la presión criminal también opera en el plano narrativo. El claim público, por sí mismo, puede forzar a la víctima a responder, aun cuando no haya evidencia suficiente de acceso real. The Gentlemen y el caso de Mercado Libre Argentina ilustran este punto de forma nítida.

Para un CISO, estas menciones importan por tres motivos. Primero, porque anticipan posible escalada. Segundo, porque obligan a contrastar rápidamente con logs, EDR, autenticación y telemetría interna. Tercero, porque pueden alimentar consultas de prensa, clientes y reguladores antes de que exista una imagen técnica completa.

Tipificación no determinable con el material

La categoría más amplia del mes, con 128 hechos, fue la de tipificación no determinable. Eso no es una falla menor del informe. Es parte del fenómeno. Mucha cobertura periodística y de inteligencia en julio menciona ransomware, extorsión o leak sites sin documentar de forma suficiente si hubo cifrado, solo exfiltración o mera reivindicación.

Esa ambigüedad debería preocupar a los equipos de seguridad. Cuando la comunicación externa no distingue el modo de impacto, la respuesta interna tiende a mezclarse. Y eso lleva a errores de priorización, por ejemplo, tratar como incidente de disponibilidad un caso que exige primero contención de identidad y evidencia de exfiltración, o al revés.

Fraude y phishing

Hubo 7 casos de fraude o phishing documentados en el período. No compiten con ransomware como eje dominante, pero sí lo alimentan. El material de ESET, Aufiero Informática y otras fuentes recuerda que el acceso inicial sigue dependiendo muchas veces de correo falso, credenciales comprometidas y software desactualizado. En el plano operativo, phishing y fraude siguen siendo la antesala de muchos claims de ransomware.

APT e hacktivismo

El mes no mostró un predominio de APT o hacktivismo en la muestra, pero sí dejó señales compatibles con campañas de presión persistentes sobre organismos públicos y de defensa. El caso Ejército Argentino y algunos registros sobre infraestructura crítica fuera de la región ayudan a contextualizar el riesgo, aunque no sustituyen evidencia local de un actor APT puro. En julio, el material habla más de ciberextorsión organizada que de espionaje sofisticado.

Vulnerabilidades críticas

El indicador de CVEs críticos mencionados fue 1. Eso significa que en el material analizado se registró una sola referencia crítica de este tipo, no que en la región no haya otras vulnerabilidades explotadas. La ausencia de más CVEs en esta muestra no debe interpretarse como ausencia de riesgo técnico.

La mención a CVE-2023-20269 encaja con un patrón más amplio de exposición perimetral. Las fuentes del mes mencionan también VPNs de Ivanti, Fortinet, Cisco, Citrix, SonicWall, GlobalProtect y dispositivos de borde como NetScaler ADC. Aunque no todos aparecen como CVE críticos en el material, la lectura operativa es la misma: el perímetro sigue siendo el punto de entrada preferido cuando la organización no endurece acceso remoto y no obliga MFA.

Regulación y cumplimiento

Julio también dejó movimiento regulatorio en Brasil, y eso no es un dato lateral. Portal Information Management reportó que la Lei nº 15.352/2026 convirtió a la ANPD en autarquía de naturaleza especial con poderes ampliados de fiscalización sobre datos sensibles, incluidos los de salud. El mismo material mencionó la Resolução CFM nº 2.454/2026, primer marco brasileño sobre uso de inteligencia artificial en medicina, con vigencia desde agosto.

La lectura regulatoria es doble. Por un lado, las autoridades brasileñas parecen responder al aumento de incidentes con más capacidad supervisora y con reglas específicas para IA en salud. Por otro, ese endurecimiento llega en un contexto donde los ataques no son solamente sofisticados, sino también facilitados por fallas básicas de gobernanza, tráfico de datos por canales no cifrados y configuraciones débiles en la nube.

En términos de cumplimiento, el sector salud brasileño aparece como el más expuesto a la fricción entre seguridad, continuidad asistencial y obligaciones de protección de datos. Las fuentes del mes insisten en que gran parte del riesgo actual proviene de errores operativos, de falta de segmentación y de ausencia de MFA en cuentas privilegiadas. Eso obliga a revisar no solo seguridad técnica, sino gobernanza de terceros, proveedores cloud y contratos de tratamiento de datos.

Países más afectados en América Latina

Brasil

Brasil fue, con mucha diferencia, el país más visible del mes en volumen, recurrencia sectorial y variedad de grupos asociados. La evidencia del período lo sitúa como epicentro regional del ransomware en salud y como uno de los mayores objetivos globales del segmento. ESET lo reportó con más de 100 víctimas en el primer semestre de 2026, y otras fuentes del mes reforzaron esa centralidad con 99 incidentes acumulados desde enero, 195 instancias de telemetría entre enero y mayo y una concentración del 51% de las ocurrencias regionales en salud.

El punto clave no es solo la cantidad. Es la estructura. Los casos brasileños que aparecen en el material tocan hospitales y clínicas, proveedores de salud, configuraciones cloud, hipervisores y el ecosistema de tecnología médica. SPDM y Global Secret Group ilustran la presión sobre grandes prestadores. SINDPD y Portal Information Management muestran una superficie sistémica en la que la continuidad asistencial y la protección de datos están bajo presión simultánea. Cafe com Bytes agrega que LockBit 5 y The Gentlemen lideran en víctimas en el país, señal de un mercado criminal fragmentado y competitivo.

Argentina

Argentina tuvo una de las señales más visibles del mes por el caso Ejército Argentino y por la mención de Mercado Libre Argentina. ESET la ubicó con 39 víctimas en el primer semestre de 2026, y los trackers de ransomware citados por el material la muestran con entre 169 y 174 víctimas históricas en los mapas de inteligencia, muy por encima de lo que se ve en paneles acotados. Eso sugiere una exposición sostenida y no un episodio aislado.

El caso Ejército Argentino es relevante por el blanco, el grupo y la combinación con actividad de infostealer. La mención de Mercado Libre, en cambio, funciona como ejemplo de presión extorsiva sin confirmación pública de intrusión. En conjunto, los dos casos muestran que Argentina combina blancos de alta visibilidad con presión criminal oportunista, y que los claim públicos pueden producir daño operativo y reputacional aun antes de que la intrusión quede técnicamente demostrada.

Bolivia

Bolivia tuvo un único caso claramente verificable en julio, pero no por eso menor. Krybit reivindicó el ataque al SEPREC y ransomware.live registró la víctima el 7 de julio. La señal es importante porque muestra impacto sobre una entidad estatal con función registral, es decir, un objetivo donde la extorsión puede buscar no solo pago, sino también visibilidad y presión institucional.

La evidencia disponible no permite afirmar el alcance exacto del compromiso. Pero sí deja claro que Bolivia no quedó al margen del mapa regional y que los operadores de ransomware también apuntan a organismos de administración pública con menor capacidad de redundancia que las grandes empresas privadas.

Colombia

Colombia aparece en el material más como contexto que como secuencia de incidentes confirmados en julio. ESET la situó con 33 víctimas en el primer semestre de 2026 y varias fuentes del período la mencionan como parte de la presión regional sobre gobiernos y organismos públicos. Además, el material de research incluye referencias a campañas y hallazgos de otros países que contextualizan su exposición a través de acceso remoto y configuraciones expuestas.

No hubo en julio, dentro del material verificable, un incidente colombiano con el mismo nivel de confirmación que Argentina, Brasil o Bolivia. Por eso, la lectura país debe ser prudente. Colombia aparece como territorio con riesgo sostenido y con presencia en el mapa regional, pero no como principal foco de los hechos documentados del mes.

México

México se mantuvo entre los países más afectados en la región, con casi 80 víctimas en el primer semestre de 2026 según ESET. En julio, sin embargo, el material disponible para este eje no aportó un caso de ransomware latinoamericano tan nítido como los de Argentina, Bolivia o Brasil. Sí aporta contexto de exposición y presión regional, y lo sitúa entre los blancos persistentes de operadores globales.

Para la lectura regional, México importa porque suele combinar alta exposición de grandes organizaciones con complejidad regulatoria y alcance transfronterizo. Aunque en este informe no se le atribuye un caso confirmado de ransomware del mes, el país sigue apareciendo en la geografía de la amenaza y no debe quedar fuera de la prioridad de monitoreo.

Paraguay

Paraguay no tuvo un hecho confirmado en el material del mes dentro del alcance verificable. Sí aparece un comentario de fecha no confirmada sobre sanatorios obligados a volver al papel, pero la fuente no permite usarlo como volumen del período. En la práctica, eso significa que no hay base suficiente para asignarle un incidente de julio, aunque el contexto regional sugiere exposición al mismo tipo de vectores que en el resto del Cono Sur.

Perú

Perú tampoco registró un hecho confirmado de ransomware en julio dentro del material verificable. La mención al Centro Nacional de Seguridad Digital en la lista de fuentes sirve solo como contexto de disponibilidad documental, no como incidente del período. La ausencia de casos verificables no debe interpretarse como baja exposición, sino como falta de señal confirmada en la muestra analizada.

Chile

Chile aparece de forma más clara en el plano de telemetría y detección, con señales de Qilin en el primer semestre de 2026 según ESET, pero sin un incidente verificado de julio dentro del material de este eje. Por lo tanto, no se le asigna volumen mensual confirmado en esta nota. Aun así, la mención de familias activas en el país ayuda a sostener la lectura de un ecosistema regional donde los grupos más activos operan de forma transnacional.

Tendencias y señales a monitorear

La comparación con junio muestra una expansión fuerte del volumen verificado. Pasar de 74 a 241 hechos es un salto que no se explica por telemetría, porque la telemetría quedó excluida del conteo. El crecimiento se refleja también en los casos con ransomware o extorsión como eje primario, que subieron de 56 a 162. En otras palabras, julio no fue solo un mes con más noticias, sino un mes con más señal de extorsión verificada.

La lectura más importante es que el mercado criminal aparece fragmentado y, al mismo tiempo, más profesionalizado. Qilin, DragonForce, Akira, LockBit 5, The Gentlemen, Global Secret Group y Krybit conviven en el material como marcas activas o en ascenso. Eso sugiere que el problema no está concentrado en un solo actor dominante, sino en varios operadores capaces de compartir infraestructura, métodos y afiliados. Para defensa, eso significa que bloquear una familia no despeja el riesgo.

Otra señal a monitorear es el desplazamiento hacia servicios e infraestructura perimetral. CSO Online y Brandefense insistieron en el uso de VPNs vulnerables y abuso de credenciales legítimas. El material de Estado de Minas agrega que, en Brasil y la región, los atacantes están mirando hipervisores como VMware ESXi, Hyper-V y Nutanix, en entornos con MFA pobre y backups expuestos. Esa combinación puede convertir una intrusión relativamente banal en una parada operativa prolongada.

La salud sigue siendo el sector más sensible. No solo por la frecuencia, sino por el costo reputacional y operativo de cada incidente. Brasil concentra 51% de las ocurrencias regionales en salud según varias de las fuentes citadas en julio, y los datos de mercado del país refuerzan el atractivo criminal del sector. Si se mantiene esa relación entre valor del dato, urgencia asistencial y exposición técnica, es razonable esperar que salud siga siendo el primer objetivo de extorsión en la región.

La otra señal a seguir es la calidad de la atribución pública. En julio hubo muchas menciones en leak sites y varias fuentes no pudieron verificar el impacto técnico exacto. Eso hace que los equipos de seguridad deban trabajar con más disciplina en clasificación interna. Un claim sin cifrado no se responde igual que una intrusión con exfiltración confirmada. La diferencia, en operaciones, es enorme.

Recomendaciones para equipos de seguridad

Primero, revisar el perímetro de acceso remoto como si fuera un activo crítico y no una comodidad operativa. El material del mes repite VPN, MFA ausente, credenciales robadas y abuso de acceso legítimo como vía de entrada. Eso obliga a endurecer AnyConnect, Fortinet, Ivanti, Palo Alto GlobalProtect, Citrix, SonicWall y cualquier servicio expuesto a Internet con MFA obligatorio, segmentación por rol y deshabilitación de accesos obsoletos.

Segundo, tratar los hipervisores como superficie de ataque prioritaria. La referencia a VMware ESXi, Hyper-V y Nutanix no es decorativa. Muchas organizaciones protegen bien estaciones de trabajo y servidores tradicionales, pero dejan capas de virtualización con pocas barreras. Hay que revisar autenticación, separación de redes de administración, backups offline o inmutables y controles de acceso privilegiado sobre consolas de virtualización.

Tercero, reforzar la detección de exfiltración. El mes mostró casos de datos reclamados en leak sites y actividad de infostealer asociada a víctimas concretas. Eso exige DLP, monitoreo de compresión masiva, alertas por transferencia inusual, inspección de egreso y correlación con identidad. Cuando el adversario no cifra y solo roba, el backup ya no es la primera línea de defensa.

Cuarto, establecer un circuito rápido de verificación para claims públicos. Si una organización aparece en un leak site, el tiempo de respuesta debe medir en horas, no días. Hace falta una cadena clara entre legal, seguridad, comunicaciones y dirección para contrastar logs, revisar EDR, validar autenticaciones y preparar mensajes sin aceptar de antemano una narrativa criminal que todavía no fue probada.

Quinto, segmentar la continuidad por servicios críticos y no por dominios administrativos. En salud y sector público, el riesgo real es la interrupción de procesos esenciales. Por eso conviene validar dependencias entre aplicaciones, proveedores, identidad, almacenamiento y respaldos. El objetivo no es solo evitar cifrado, sino mantener degradación controlada si un segmento cae.

Sexto, endurecer la gobernanza de terceros y de nube. El material brasileño de julio insiste en fallas de configuración, servidores cloud mal protegidos y tráfico de datos médicos por plataformas no cifradas. Eso pide inventario de proveedores, revisión de contratos, mínimo privilegio, cifrado en tránsito y en reposo, y pruebas periódicas de recuperación desde respaldos limpios.

Séptimo, en salud y administración pública, incorporar ejercicios de mesa centrados en extorsión con exfiltración. No alcanza con simular cifrado. Hay que practicar el escenario de amenaza pública, presión mediática, filtración parcial, contacto de afiliados y coordinación regulatoria. Julio mostró que muchas campañas buscan exactamente eso.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para julio de 2026 y con la base de hechos verificados del período. Eso significa que solo los elementos contenidos en el bloque de research pueden sostener afirmaciones sobre actividad del mes. Los hechos sin fecha confirmada quedaron excluidos de los indicadores y solo pudieron usarse como contexto cualitativo, siempre aclarando que su fecha no está confirmada.

La ventana temporal de los indicadores es de 248 hechos con fecha en julio de 2026, con 26 sin fecha confirmada excluidos. La base de los indicadores es 241 hechos verificados del período. Los 7 registros de telemetría agregada no se sumaron al volumen, porque corresponden a intentos o bloqueos automatizados y no a incidentes con impacto confirmado.

Un indicador en cero, y esto aplica de forma especial a CVEs críticos, significa que no se registró ese elemento en el material analizado. No significa ausencia de vulnerabilidades críticas ni ausencia de explotación en la región. En este mes, el material solo permitió identificar un CVE crítico mencionado, CVE-2023-20269, y el resto de las referencias técnicas quedaron en descripciones de vectores o superficies de ataque sin numeración de CVE.

La cobertura también excluyó fuentes no aptas para sustentar tendencias, como publicaciones en redes sociales de consumo y ciertos materiales promocionales o de tipo press release cuando no ofrecían evidencia suficiente. En particular, no se usaron publicaciones de LinkedIn como evidencia para afirmar incidentes confirmados, aunque sí aparezcan mencionadas en el bloque de investigación como contexto de lectura.

La lectura por país solo incluyó jurisdicciones con hechos verificables dentro del período o con contexto técnico explícito en el material. Países sin material suficiente se trataron en una frase agregada para no inventar actividad. El informe no agrega víctimas, URLs ni cifras externas a las provistas, y no deriva totales propios por suma de categorías que no fueron diseñadas para ser exclusivas entre sí.