Actividad de ransomware en América Latina — Octubre 2026

Amenazas y campañas activas

Ransomware y extorsión con cifrado confirmado

En octubre, el material permite identificar un núcleo relativamente acotado de casos con cifrado confirmado. El principal es Program Consultores en Argentina, donde el ataque dejó inoperativos servidores y sistemas municipales. También se registran otros casos de ataque con impacto administrativo, pero no siempre con confirmación suficiente de que el cifrado haya sido el mecanismo principal.

La lectura de conjunto es que el cifrado siguió presente, pero no monopolizó la escena. La visibilidad pública estuvo repartida entre indisponibilidad, filtración, amenazas de publicación y acceso indebido a datos. Eso es relevante porque obliga a los defensores a dejar de pensar el ransomware como un evento único y a tratarlo como un ciclo de intrusión con varias posibles salidas.

Exfiltración sin cifrado y extorsión simple

El caso del Hospital Einstein en Brasil encaja mejor en esta categoría, ya que la confirmación pública se centró en el acceso no autorizado a datos de pacientes, con notificación regulatoria y policial, pero sin una caída operativa del servicio. Cyberint, Cyware y ATLAS describieron además a N0n como un actor con foco en robo de datos, credential stuffing, exfiltración y cifrado en algunos casos, lo que refuerza la diversidad de técnicas.

También entra aquí la campaña marítima y logística asociada a N0n, en la medida en que varias fuentes se limitaron a reproducir sitios de filtración y amenazas de publicación de datos. Cuando no hay evidencia forense de cifrado ni confirmación de la organización afectada, la categoría correcta es extorsión simple o reivindicación de leak site, no ransomware operativo. Esa precisión importa porque el daño reputacional y regulatorio puede ser alto incluso sin bloqueo de sistemas.

Solo mención en leak site o atribución no verificada

Muchos de los hechos del mes no llegan a más que una mención en un portal de filtración o una atribución secundaria. ATLAS, Ransomware.live, HookPhish, SecurityArsenal y otras fuentes del archivo listan organizaciones de Argentina, Brasil, Bolivia y otros países, pero no siempre aportan confirmación independiente. En esos casos, el valor está en la detección temprana de la señal, no en tratarla como incidente cerrado.

Esto es especialmente visible en el material sobre Grupo Crónica, Solutend, varias listas de N0n y algunas referencias a organizaciones de salud o logística en la región. El resultado final es un mes con bastante ruido de extorsión y filtración, pero con una menor proporción de episodios que permitan afirmar, sin matices, que hubo cifrado o exfiltración ya demostrados.

Fraude y phishing documentados

El componente de fraude no fue central en volumen, pero sí apareció de forma nítida en Garza. El acceso indebido a una cuenta oficial y el intento o consumación de una transferencia por 15 millones de pesos ubicaron el caso en una intersección entre intrusión, abuso de identidad y fraude financiero. Ese tipo de incidente no debe leerse como periférico, porque suele ser el primer paso de campañas que luego escalan a extorsión o robo de datos.

Además, el material comparativo muestra que la región sigue expuesta a campañas con phishing, macros y abuso de herramientas administrativas como vectores de entrada. Aunque esas referencias no siempre son incidentes latinoamericanos confirmados en octubre, sí sirven para leer la persistencia de un patrón técnico que alimenta tanto el ransomware como el fraude.

APT, hacktivismo y campañas no estrictamente de ransomware

No hubo en el corpus de octubre una campaña latinoamericana claramente clasificada como APT o hacktivismo que merezca un desarrollo equivalente al de los incidentes de ransomware. Sí aparecen menciones a actores con operaciones complejas, campañas con automatización e incluso entornos asistidos por IA, pero el material disponible no alcanza para convertirlas en un eje regional autónomo dentro de este informe.

Vulnerabilidades críticas

En el material analizado de octubre se mencionaron 4 CVEs críticos. La cifra no implica ausencia de vulnerabilidades críticas explotadas en la región, solo que el corpus de este mes no aportó más referencias verificables para este informe.

Regulación y cumplimiento

Octubre mostró más movimiento regulatorio y de cumplimiento que el mes previo, aunque la mayoría de las referencias se concentró en respuestas ante incidentes y notificaciones a autoridades, más que en nuevas normas. El caso Einstein es el más claro en este aspecto porque la institución informó a la ANPD y a la Policía Federal, lo que activa obligaciones de investigación interna, trazabilidad y respuesta ante datos personales.

En Argentina, la discusión regulatoria apareció de forma indirecta alrededor del caso PGM y de la administración pública local. La exposición de municipios y la eventual circulación de datos o accesos indebidos plantean una capa de cumplimiento que no se resuelve solo con restaurar servicios. En estos casos, la relación con proveedores, la retención de logs y la documentación de la recuperación suelen ser tan importantes como la contención técnica.

También hubo en el corpus referencias a boletines oficiales, como el del CISC brasileño, que trató campañas dirigidas a dominios gubernamentales y vulnerabilidades críticas, aunque el resultado disponible no vincula esos avisos con las denuncias concretas de octubre. Esa precisión es relevante porque evita sobreatribuir un boletín preventivo a un incidente específico sin evidencia suficiente.

Para las organizaciones regionales, el mes deja una señal simple. Cuando aparece acceso a datos personales o interrupción de servicios, la capa regulatoria ya no es secundaria. Se vuelve parte del incidente desde el primer día, tanto para salud como para administración pública y, en menor medida, para infraestructura y servicios empresariales.

Países más afectados en América Latina

Brasil, Argentina y México concentraron la mayor parte de la señal verificable del mes. Perú, Colombia, Chile, Paraguay y Bolivia aparecen en el material como contexto o en menciones de terceros, pero no con la misma densidad de incidentes confirmados durante octubre. Estados Unidos figura solo en el marco comparativo y no integra el foco geográfico de este informe.

Argentina

Argentina fue el país con el incidente más disruptivo del mes. El ataque contra Program Consultores y PGM afectó a municipios de varias provincias y dejó fuera de servicio trámites, cobros y plataformas administrativas. También hubo menciones a Grupo Crónica y a una organización de Río Grande, además de reclamaciones de ATLAS sobre víctimas argentinas asociadas a distintos grupos.

La clave local es la dependencia de proveedores compartidos. Cuando una sola plataforma sostiene decenas de municipios, el incidente deja de ser un caso puntual y pasa a ser una interrupción sistémica. Por eso el golpe argentino del mes no se mide solo por víctimas, sino por alcance funcional y por la cantidad de localidades con servicios degradados.

Brasil

Brasil combinó volumen, diversidad sectorial y confirmaciones directas. El caso Einstein dio la señal sanitaria más clara, mientras que ATLAS y otras fuentes listaron víctimas asociadas a N0n, The Gentlemen, Arcus Media, Eclipse, DireWolf y otros grupos. Los sectores más tocados en el material incluyen salud, tecnología, gobierno y retail.

Además, Brasil aparece como uno de los países con mayor densidad de víctimas en los repositorios de filtración consultados. Eso no debe confundirse con incidentes confirmados, pero sí con una exposición sostenida que cruza empresas, instituciones y sector público. La consecuencia práctica es que los equipos brasileños no solo deben mirar cifrado, también deben vigilar fugas, presión regulatoria y actividad de leak sites.

México

México mantuvo presencia en el material, aunque con menos hechos de octubre plenamente confirmados dentro del corpus. La comparación con meses previos sigue mostrando al país como uno de los más golpeados en la región, y las referencias a campañas con borde, VPN y cadenas de proveedores sostienen esa lectura.

El punto importante es metodológico. En octubre, el archivo ofrece más contexto que casos cerrados para México. Eso no reduce el riesgo del país, pero sí obliga a no inflar el conteo regional con material que no corresponde a este período o que no tiene confirmación directa suficiente.

Colombia

Colombia aparece en el material sobre todo por su presencia histórica en listados y por referencias de terceros. El archivo no trae en octubre una masa equivalente de incidentes confirmados como en Brasil o Argentina, aunque sí mantiene al país dentro del radar de extorsión y ransomware regional. Para una lectura operativa, eso significa vigilancia persistente más que alarma por un pico puntual.

Perú

Perú figura en análisis de terceros y en una referencia a víctimas listadas por Aur0ra, además de material comparativo sobre sector salud y aseguradoras en meses cercanos. En octubre, la señal es más indirecta que confirmada. Aun así, el país sigue apareciendo en el mapa de exposición regional por su presencia en campañas de extorsión y filtración.

Paraguay

Paraguay aparece en el material como parte de campañas latinoamericanas más amplias y como jurisdicción tocada por ransomware en meses cercanos. En octubre, no concentra hechos confirmados del mismo peso que Argentina o Brasil, pero sigue integrado a la dinámica regional de grupos que operan sobre cadenas de suministro y organizaciones de servicios.

Bolivia

Bolivia se asoma en el caso Solutend, aunque con una inconsistencia geográfica no resuelta en la fuente primaria secundaria. Esa ambigüedad impide usar el incidente como base firme de volumen, pero sí sirve para mostrar la frecuencia con la que las atribuciones regionales aparecen incompletas o contradictorias en sitios de filtración.

Chile y otros países

Chile, así como otros países latinoamericanos, aparece en seguimiento de terceros sobre campañas como SafePay y en referencias de cobertura agregada, pero sin una confirmación equivalente para octubre dentro de este archivo. La ausencia de un hecho en el cuerpo del informe no equivale a ausencia de riesgo, solo a ausencia de material verificable para este mes.

Tendencias y señales a monitorear

La comparación con septiembre muestra menos hechos verificados en general, menos incidentes sin tipificar y menos casos de ransomware o extorsión como eje primario. Sin embargo, esa baja de volumen absoluto no significa menor presión operativa. Lo que cambia es el formato de la señal, con más concentración en casos selectivos, leak sites y ataques contra proveedores o instituciones muy expuestas.

La amenaza predominante siguió siendo ransomware, con 73 de 210 hechos, frente a 157 de 399 el mes anterior. Eso indica una caída en volumen, no en relevancia. Cuando el eje principal sigue siendo el mismo pero los casos se vuelven más dispersos y menos homogéneos, la defensa necesita más capacidad de correlación y menos dependencia de indicadores aislados.

Una segunda señal es la persistencia de la extorsión basada en datos. Casos como Einstein, N0n y las listas de víctimas en ATLAS muestran que la frontera entre ransomware, data theft y publicación en leak site está cada vez más borrosa. Para el CISO regional, eso implica que restaurar sistemas ya no alcanza como respuesta completa si también hubo exposición de datos o presión regulatoria.

La tercera señal es sectorial. Salud, gobierno local, transporte marítimo, logística y medios siguieron apareciendo como verticales de alta exposición. No es una novedad en sí misma, pero octubre confirma que los atacantes siguen priorizando organizaciones con tolerancia limitada a la interrupción y con presión pública inmediata.

Por último, el mes confirma que las fuentes secundarias son útiles para detectar campañas, pero no para sobreactuar cifras. Hay más ruido de leak sites que confirmaciones de intrusión cerrada. El trabajo analítico serio consiste en separar el material accionable de la mera reivindicación, algo que este mes fue especialmente necesario en Argentina y Brasil.

Recomendaciones para equipos de seguridad

El primer ajuste es dejar de tratar el ransomware como una sola capa de defensa. Octubre mostró tres rutas distintas y simultáneas, cifrado, exfiltración y simple reivindicación. Los equipos tienen que poder responder a cada una con mecanismos diferentes, porque restaurar desde backup no resuelve una fuga de datos personales ni una extorsión basada en publicación.

La segunda prioridad es revisar la superficie expuesta de proveedores críticos. El caso PGM demuestra que un vendor municipal puede convertirse en un multiplicador regional del impacto. Conviene mapear qué servicios de terceros sostienen procesos sensibles, qué credenciales administran, cómo se segmentan y qué pasa si quedan fuera de línea durante varias horas o varios días.

También hace falta endurecer la identidad como plano principal de defensa. El material del mes vuelve a mostrar abuso de cuentas válidas, RDP, VPN mal configuradas, staging de datos y herramientas administrativas legítimas. Eso exige MFA real, control de privilegios, monitoreo de anomalías, rotación de credenciales y una política mucho más estricta para accesos remotos y cuentas de servicio.

Para salud, la prioridad adicional es separar disponibilidad de confidencialidad. El caso Einstein muestra que una institución puede seguir operando mientras sufre acceso indebido a datos muy sensibles. Eso exige playbooks que incluyan notificación temprana, preservación forense, validación legal y comunicaciones claras con pacientes y reguladores, no solo con TI.

En municipios y gobierno local, la recomendación es asumir que los portales compartidos son activos críticos. Hay que tener inventario de dependencias, backups probados, procedimientos de contingencia manual y un plan para cobros, turnos, trámites y publicación web cuando el proveedor caiga. Si no existe una ruta manual, el atacante no necesita cifrar todo para producir daño público.

En paralelo, conviene monitorear leak sites y repositorios de inteligencia con criterio de validación. No toda mención equivale a compromiso real, pero una mención persistente sí puede ser el primer síntoma de una intrusión pendiente de verificación. El flujo correcto es detectar, contrastar, preservar evidencia y recién después clasificar.

Finalmente, octubre deja una recomendación transversal: integrar seguridad, legal, cumplimiento y comunicación de crisis desde el diseño del incidente. En la región, los casos más costosos no son necesariamente los más ruidosos, sino los que combinan indisponibilidad, exposición de datos y mala secuencia de respuesta.

Preguntas frecuentes

¿Qué diferencia hay entre un caso con cifrado confirmado y una simple mención en un leak site?

Un caso con cifrado confirmado implica que los activos quedaron inoperativos o los archivos fueron bloqueados, como ocurrió con Program Consultores en Argentina. Una mención en un leak site solo prueba que alguien reclamó la víctima o publicó datos, pero no demuestra por sí sola que hubo intrusión efectiva. Ver secciones Incidentes relevantes y Amenazas y campañas activas.

¿Qué países concentraron los hechos más sólidos del mes y qué tipo de impacto tuvieron?

Argentina concentró el incidente más disruptivo, con cifrado y caída de servicios municipales, mientras Brasil aportó el caso sanitario más claro, con acceso no autorizado a datos de pacientes. México aparece más como referencia comparativa de exposición regional que como volumen confirmado de octubre. Ver Países más afectados en América Latina e Incidentes relevantes.

¿Por qué el informe separa ransomware, extorsión simple y fraude?

Porque el impacto operativo y legal no es el mismo. El cifrado afecta disponibilidad, la exfiltración compromete confidencialidad y el fraude puede ser un abuso financiero sin ransomware técnico. En octubre, Garza encaja en fraude, Einstein en acceso indebido a datos y Program Consultores en cifrado. Ver Indicadores del período y Amenazas y campañas activas.

¿Qué sectores deberían priorizar sus controles a partir de este mes?

Salud, gobierno local, transporte marítimo, logística y medios deberían reforzar sus controles primero, porque fueron los verticales más presentes en la señal verificable del mes. La combinación de filtración, interrupción y abuso de cuentas les pega con especial fuerza. Ver Panorama regional del mes y Países más afectados en América Latina.

¿Los 4 CVEs críticos mencionados significan que hubo cuatro vulnerabilidades explotadas en la región?

No necesariamente. Significa que el material analizado de octubre mencionó cuatro CVEs críticos, pero no siempre aportó el detalle técnico completo ni un vínculo cerrado con cada incidente latinoamericano. La ausencia de más CVEs en el informe no implica que no existieran otras vulnerabilidades críticas en la región. Ver Vulnerabilidades críticas y Limitaciones del material.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para octubre de 2026, más el marco comparativo de meses anteriores que aparece en el archivo. Los hechos del bloque comparativo no se contabilizaron como volumen del mes, y los hechos sin fecha confirmada quedaron excluidos de los indicadores. Cuando se los menciona, se aclara que la fecha no está confirmada.

La ventana temporal de los indicadores es la declarada en la consigna, 210 hechos con fecha en octubre de 2026, 35 de meses anteriores usados solo como referencia comparativa y 9 sin fecha confirmada excluidos. Los indicadores deben leerse como señal del eje ransomware en la región, no como telemetría agregada ni como un censo exhaustivo de toda la actividad latinoamericana.

Un indicador en cero, o un dato no detallado, no significa ausencia del fenómeno en la región. En particular, si un CVE no aparece o aparece sin precisión técnica, eso solo quiere decir que no quedó registrado en el material analizado de este mes. No habilita a concluir que no existieron vulnerabilidades críticas explotadas en América Latina.

El material también mezcla fuentes primarias con coberturas secundarias, análisis de terceros y repositorios de filtraciones. Por eso, varios hechos del período quedan en estado de atribución parcial o incierta. Las fuentes promocionales, los contenidos patrocinados y las publicaciones sociales excluidas por la consigna no se usaron como evidencia de volumen ni como base de tendencia.

Por último, la comparación sectorial y geográfica debe leerse con cautela. Un mismo hecho puede tocar más de un sector, y muchas menciones a víctimas en leak sites no equivalen a compromiso confirmado. En un mes con tanta actividad de extorsión y tanta tipificación incompleta, separar señal verificada de ruido es parte central del análisis.