Regulación y cumplimiento en América Latina — Julio 2026

Amenazas y campañas activas

Ransomware y extorsión

El material del mes registra seis casos con ransomware o extorsión como eje primario. En uno de ellos hubo cifrado de activos confirmado, mientras que en cinco la tipificación no pudo determinarse con precisión a partir del material analizado. Esa distinción es central. No es lo mismo un evento con sistemas encriptados e indisponibilidad operativa que una extorsión basada en exfiltración o una simple reivindicación en un leak site. Como el archivo no permite separar con exactitud en todos los casos si hubo cifrado, la lectura debe ser conservadora.

La implicancia para la región es doble. Primero, el ransomware sigue siendo una herramienta de presión sobre organizaciones que manejan datos o servicios críticos, aunque el material de este mes no permite asignarle una victimología homogénea. Segundo, la propia expansión regulatoria sobre notificación temprana, trazabilidad y responsabilidad funcional hace que un evento de extorsión o cifrado tenga hoy consecuencias legales más amplias que hace un año. No basta con restaurar sistemas. Hay que demostrar diligencia, decidir si hubo exposición de datos, registrar tiempos de respuesta y anticipar obligaciones de aviso.

Fraude y phishing

Los 39 casos de fraude o phishing documentados muestran que el fraude digital sigue funcionando como el vector más transversal del mes después de la regulación. La evidencia se concentra en banca, fintech y servicios financieros, pero también aparecen modalidades de suplantación y engaño que se apoyan en redes sociales, llamadas falsas, mensajes de urgencia y enlaces maliciosos. El caso argentino es ilustrativo, con BCRA, bancos y medios detallando patrones de ingeniería social y procedimientos de reclamo. En paralelo, el debate mexicano sobre fraude digital y agendas antifraude sugiere que el sector financiero busca una convergencia más estrecha entre prevención de ciberincidentes y control de estafas.

Desde la perspectiva de cumplimiento, el problema no se agota en detectar una estafa. Las organizaciones deben decidir qué fricciones introducen, qué pruebas de identidad exigen, cómo validan canales oficiales y cómo conservan la trazabilidad del reclamo sin deteriorar la experiencia de usuario. El mes deja una señal clara: el fraude ya no se trata como un subtema comercial, sino como un componente de la postura regulatoria de cada entidad.

APT y hacktivismo

El material del mes no ofrece atribuciones sólidas para campañas APT específicas. Sí aparecen manifestaciones de hacktivismo o intrusión con motivación simbólica, como el caso del Senado de Mendoza. También hay referencias a ataques cotidianos contra el Estado mendocino, descritos por funcionarios como diarios, lo que sugiere una presión constante sobre servicios públicos y portales institucionales. En ausencia de un conjunto de IoCs o TTPs publicados, no corresponde forzar una clasificación técnica más fina.

La lectura útil para equipos de seguridad es que el hacktivismo y la intrusión oportunista se vuelven más visibles cuando hay exposición regulatoria. Las iniciativas de ciberseguridad provincial, los proyectos de ley y las discusiones públicas generan picos de atención que pueden ser aprovechados por actores con objetivos de denuncia, ridiculización o desestabilización reputacional.

Vulnerabilidades críticas

El indicador de CVEs críticos en el material analizado es 0. No se registraron CVEs críticos en los hechos del período, lo que no implica ausencia de vulnerabilidades críticas explotadas en la región. Tampoco significa ausencia de exposición técnica, solo que el archivo de julio 2026 no incluyó CVEs críticos verificables para este eje.

Regulación y cumplimiento

Julio consolidó un fenómeno que ya venía madurando en la región: la seguridad digital se está escribiendo en lenguaje administrativo, sancionatorio y de gobernanza. En Mendoza, el Ejecutivo provincial y Fuerza Patria presentaron proyectos distintos pero convergentes en la idea de institucionalizar la respuesta. Uno propone un Sistema Provincial de Ciberseguridad, un comité especializado y coordinación entre organismos públicos y privados. El otro introduce una lógica más precisa de protección de datos, privacidad desde el diseño, responsables designados por organismo y notificación temprana de incidentes. Esa superposición no es redundante, muestra dos maneras de traducir el problema a norma: una centrada en resiliencia del Estado, otra en garantías y obligaciones de tratamiento de datos.

El detalle técnico de los proyectos mendocinos merece atención. Diario Judicial describe un régimen de gobierno de datos que cubre todo el ciclo de vida de la información, con obligaciones de creación, almacenamiento, intercambio y eliminación segura. También señala una autoridad de ejecución operativa separada del comité ejecutivo y un régimen sancionatorio escalonado para quienes incumplan estándares, omitan reportes o obstaculicen auditorías. Para un CISO del sector público, eso implica que la discusión ya no está en el plano abstracto de buenas prácticas, sino en la futura posibilidad de sanciones administrativas, restricciones de interconexión y acciones contractuales. En otras palabras, el incumplimiento puede dejar de ser solo una observación para convertirse en una limitación operativa.

La Resolución 725/2026 en Argentina, que modifica protocolos policiales frente a delitos informáticos cuando intervienen menores, suma otra dimensión. Aunque el foco no es la ciberseguridad corporativa, sí introduce restricciones y procedimientos cuando hay adolescentes involucrados. Para cualquier organización que opere canales de denuncia, soporte o atención vinculados a menores, la lectura es simple: el tratamiento de evidencia, el contacto inicial y la preservación de información sensible tendrán condiciones más estrictas.

En Chile, el proyecto sobre deepfakes siguió avanzando con un diseño regulatorio que ya permite anticipar obligaciones de cumplimiento. El texto prevé aplicaciones a personas naturales y jurídicas, con especial impacto en plataformas de redes sociales que operen en el territorio. Exige representante legal en Chile, canal de denuncias y etiquetas visibles para contenido generado o modificado con IA. Además, incorpora acciones judiciales para el retiro del contenido y la reparación del daño. Aunque una parte del régimen sancionatorio aún depende de la aprobación final y de la reglamentación, el mensaje regulatorio es muy claro: las plataformas no serán solo intermediarias pasivas, sino sujetos con deberes activos de gestión y respuesta.

La otra pieza chilena, el proyecto n.º 14.767-03 sobre copyright digital, muestra una línea complementaria. El énfasis está puesto en las medidas tecnológicas de protección, la elusión y la responsabilidad penal asociada a la fabricación o provisión de herramientas que faciliten esa elusión. Esto importa para proveedores de software, distribuidores de dispositivos y actores del ecosistema creativo, porque extiende el perímetro de cumplimiento hacia conductas de habilitación tecnológica, no solo hacia actos de infracción directa.

La guía oficial del Banco Central de Chile sobre robos y fraudes financieros reafirma una lógica regional de transparencia operacional. Canales gratuitos 24x7, bloqueo de medios inactivos durante más de 12 meses, publicación semestral de usuarios afectados, montos y tiempos de respuesta, además del envío desagregado a la Comisión para el Mercado Financiero. Esta clase de obligación no solo ordena la respuesta al fraude, también empuja a las entidades a medir mejor sus propias fricciones y a construir reportes internos más robustos.

Colombia, por su parte, reglamentó la Ley 2489 de 2025 mediante el Decreto 0769 de 2026. El texto impone corresponsabilidad entre plataformas, colegios y familias, y obliga a los proveedores digitales a identificar y gestionar riesgos, adoptar medidas de protección de datos, ofrecer mecanismos de quejas e informar semestralmente al Ministerio TIC. El alcance es amplio, porque abarca plataformas, aplicaciones, videojuegos, sistemas de IA y otros servicios digitales. Para el sector privado esto significa que la gobernanza de menores ya no es un tema de relaciones públicas o diseño de producto, sino un deber regulatorio medible. El hecho de que la norma apunte a violencia digital, ciberacoso, explotación, abuso sexual en línea y contenidos inapropiados le da además una dimensión reputacional particularmente sensible.

Guatemala siguió el camino del endurecimiento penal. La iniciativa 6347 propone penas concretas para acceso ilícito, ataque a integridad de datos, ataque a integridad de sistemas, fraude informático y uso indebido de dispositivos tecnológicos. Aunque el proceso sigue abierto y devolvió el texto a comisión en abril de 2026 para correcciones técnicas, el debate ya está instalado. A nivel empresarial, eso exige revisar preservación de logs, políticas de acceso, procedimientos de investigación interna y documentación de controles, porque el estándar que parece emerger es el de una trazabilidad penalmente relevante.

México aparece de una forma distinta. El material analizado no confirma una nueva norma puntual de CNBV o Banxico publicada en julio, pero sí muestra una convergencia del mercado financiero y reguladores para unir ciberseguridad y antifraude. La cobertura habla de blindar usuarios frente al fraude digital, y otros textos del mes mencionan el uso de inteligencia artificial para detección en tiempo real, el intercambio de alertas con el BCRA en Argentina y, en el fondo regional, un endurecimiento de exigencias de biometría e identificación. Para cumplimiento, la lectura es clara: el problema no es solo regular la infraestructura, sino probar que los mecanismos de autenticación, monitoreo y respuesta no degradan la experiencia al punto de empujar a los usuarios hacia canales más riesgosos.

Brasil permanece como referencia estructural de la región, aunque en este archivo el material útil se concentró más en el entorno que en un único acto normativo. La newsletter de Garrigues identifica a las agencias supervisoras sectoriales, asociaciones empresariales, ministerios y grandes plataformas como impulsores de la modernización regulatoria en protección de datos y ciberseguridad en Chile y Brasil. Esa descripción coincide con el tipo de agenda que se observa en el resto del mes: la regulación ya no se mueve solo por el legislador, sino por la interacción entre supervisor, industria y sectores con mayores riesgos de fraude, datos sensibles y servicios digitales masivos.

Tabla comparativa de piezas regulatorias del mes

Países más afectados en América Latina

Argentina

Argentina fue el país con mayor densidad de hechos regulatorios vinculados a este eje, sobre todo por Mendoza y por la actividad del BCRA. En la provincia, el debate sobre la futura Ley de Ciberseguridad y el proyecto alternativo de protección de datos instaló un marco de discusión que combina resiliencia estatal, gobierno de datos, sanciones por incumplimiento y obligación de notificar incidentes. El alcance que describen las fuentes es amplio, abarca poderes del Estado, terceros tecnológicos y servicios críticos esenciales. La presencia de un registro provincial de incidentes, un comité ejecutivo y una autoridad operativa sugiere una arquitectura institucional más madura que la simple elaboración de buenas prácticas.

A nivel financiero, el BCRA siguió ordenando el circuito de respuesta al fraude virtual. El valor de la cobertura no está en una sola comunicación aislada, sino en la forma en que consolida un proceso: reclamo primero ante la entidad, documentación minuciosa, plazo mínimo de diez días hábiles y luego elevación al Banco Central. En paralelo, otra comunicación del BCRA precisa trámites y servicios del régimen de entidades financieras y PSP, reforzando la canalización formal y trazable de solicitudes. Para bancos y fintech, el mensaje es consistente, más estandarización documental, más trazabilidad y menos improvisación operativa.

Chile

Chile sostuvo una agenda dual entre protección de identidad digital y cumplimiento financiero. El proyecto sobre deepfakes avanzó con apoyo parlamentario amplio y dejó en claro que las plataformas que operen en Chile tendrán deberes específicos, desde representante legal hasta etiquetado de contenido sintético. El diseño del proyecto apunta a convertir la gestión de contenido engañoso generado por IA en una obligación de producto y de procedimiento, no solo en una discusión de libertad de expresión o moderación reactiva.

En paralelo, el proyecto sobre derecho de autor digital también sigue su camino. Al poner el acento en las medidas tecnológicas de protección y en la elusión, Chile extiende la conversación de ciberseguridad hacia activos intangibles, software y servicios técnicos que facilitan infracción. A eso se suma la guía oficial del Banco Central sobre robos y fraudes financieros, que fortalece el cumplimiento en bancos y emisores con horarios de atención, bloqueo y reporting. El país aparece así como uno de los más activos en institucionalizar el deber de respuesta tanto en plataformas como en servicios financieros.

Colombia

Colombia tuvo un mes muy claro en materia de regulación de entornos digitales para menores. El Decreto 0769 de 2026 fija obligaciones para plataformas, apps, videojuegos, sistemas de IA y otros servicios, y obliga a gestionar riesgos, ofrecer mecanismos de quejas y reportar semestralmente. Lo importante aquí es la combinación de corresponsabilidad y supervisión periódica. La norma no descansa solo en los colegios o las familias, sino que instala a los proveedores como sujetos obligados de primer nivel.

Esto tiene impacto directo sobre empresas tecnológicas y edtech que operan en la región. Quedan expuestas a revisar privacidad por diseño, mecanismos de reporte, clasificación de contenido, edad mínima de acceso y procesos de escalamiento interno para denuncias. El material del mes sugiere que Colombia está ampliando el alcance del compliance digital hacia protección infantil, una zona donde las fallas de gobernanza tienen costos reputacionales y regulatorios desproporcionados.

Guatemala

Guatemala siguió empujando una reforma penal de ciberseguridad con la iniciativa 6347. La intensidad del debate parlamentario, la devolución a comisión para correcciones técnicas y la búsqueda de dictamen conjunto muestran que el país está intentando cerrar vacíos de tipificación. A diferencia de otras jurisdicciones más centradas en gobernanza administrativa, Guatemala avanza por la vía del castigo penal, lo que obliga a las organizaciones a pensar en evidencia, logs, preservación y cooperación con autoridades.

México

En México el material usable de julio apunta a un movimiento más de convergencia sectorial que de norma puntual fechada. La industria financiera acuerda unir ciberseguridad y antifraude para blindar a los usuarios, mientras otras coberturas del mes hablan de biometría, identidad y detección de fraude. Aunque el archivo no presenta una resolución específica de CNBV o Banxico para julio, sí deja ver una presión regulatoria y reputacional sobre la banca para reforzar controles, compartir alertas y sostener la experiencia de usuario sin abrir nuevas brechas de fraude.

Brasil

Brasil aparece menos por un único acto del mes y más como parte del marco regional de supervisión. La newsletter de Garrigues ubica a las agencias supervisoras y a los ministerios sectoriales como impulsores de la modernización regulatoria, y el material sin fecha confirma que la LGPD ya consolidó un régimen sancionatorio robusto y criterios de graduación claros. En este informe, Brasil funciona como referencia estructural para entender cómo la región empieza a combinar enforcement de protección de datos con gobernanza tecnológica en sectores sensibles.

Paraguay, Perú, Bolivia y USA

Paraguay, Perú y Bolivia no concentraron el grueso del material usable de julio para este eje, aunque siguen apareciendo en el archivo general con discusiones sobre datos personales, banca digital y activos virtuales. En Estados Unidos, la presencia de contenidos sobre plataformas y ciberseguridad no forma parte del alcance geográfico principal de este informe, pero ayuda a contextualizar el flujo regional de ideas regulatorias. En este grupo no hay suficiente densidad verificable para construir una lectura equivalente a la de los países anteriores.

Tendencias y señales a monitorear

No hay baseline comparativo del mes anterior para la misma serie de indicadores, porque este es el primer período archivado con este formato para América Latina. Eso impide una comparación cuantitativa mes contra mes y obliga a leer julio como una línea de base operativa. Aun así, el contraste con los hechos de junio 2026 del CELE, donde la categoría de ciberseguridad representaba 4,0% de los proyectos relevados entre enero y junio, muestra que el fenómeno ya venía creciendo y en julio ganó densidad, visibilidad y especificidad.

La primera señal a monitorear es el pasaje desde marcos generales hacia obligaciones concretas. Cuando una iniciativa empieza a exigir responsables designados, plazos de 72 horas, registros de incidentes, canales de denuncia o reportes semestrales, el impacto ya no es simbólico. Afecta procesos, presupuestos, organigramas y controles de terceros. Mendoza, Chile y Colombia son tres expresiones distintas de esa misma tendencia.

La segunda señal es la expansión del cumplimiento hacia contenido, identidad y fraude. Deepfakes, suplantación, estafas bancarias, fraudes digitales y protección de menores no aparecen como problemas separados, sino como facetas de un mismo espacio normativo. Eso obliga a los equipos de seguridad y legales a coordinar moderación, identidad, autenticación, antifraude y conservación de evidencia. El riesgo de tratar cada frente como un silo es alto.

La tercera señal es la creciente relevancia del Estado subnacional. El caso mendocino muestra que provincias y jurisdicciones locales pueden convertirse en laboratorios regulatorios con efecto demostración nacional. Para empresas con operación distribuida, esto significa que el mapa de cumplimiento ya no puede pensarse solo por país. También hay que mirar provincias, sectores y organismos específicos.

La cuarta señal es la consolidación de la respuesta al fraude como disciplina regulatoria. El BCRA, el Banco Central de Chile y la conversación en México apuntan a un mismo punto, la necesidad de documentar, bloquear, escalar y reportar con precisión. La respuesta al fraude ya no es solo un problema de soporte. Es parte del cumplimiento y de la supervisión financiera.

La quinta señal es que las sanciones futuras no serán homogéneas. Guatemala parece orientarse al penal; Chile mezcla penal, administrativo y judicial; Colombia regula deberes de gestión continua; Mendoza diseña sanciones administrativas y contractuales. Los equipos regionales no pueden importar una única plantilla de compliance. Tienen que mapear por jurisdicción, por tipo de operador y por clase de dato o servicio.

Recomendaciones para equipos de seguridad

Los equipos regionales deberían tratar julio como un mes de preparación para una mayor exposición regulatoria, no como una anomalía. La primera prioridad es revisar los circuitos de notificación de incidentes y reclamos. Si una organización maneja datos de ciudadanos, menores o clientes financieros, debe poder determinar en horas, no en días, qué pasó, qué información quedó comprometida, quién decide el aviso y qué evidencia queda preservada. Las obligaciones de 72 horas, los registros de incidentes y los reportes semestrales no se improvisan.

La segunda prioridad es alinear seguridad, legal y atención al cliente. El fraude digital y la estafa bancaria ya no se resuelven con una llamada al banco ni con una política de contraseñas. Requieren guiones de respuesta, congelamiento de operaciones, escalamiento a fraude, preservación de logs, comunicación al usuario y, cuando corresponda, canal formal para la autoridad. Si esos pasos no están integrados, la organización termina reaccionando de forma incoherente frente al regulador y frente al cliente.

La tercera prioridad es formalizar el gobierno de datos. Los proyectos de Mendoza y la lógica chilena de trazabilidad muestran que los reguladores esperan cada vez más que haya responsables identificados, inventarios, ciclos de vida documentados, controles de acceso, eliminación segura y trazabilidad de cambios. Eso vale tanto para organismos públicos como para proveedores privados que les prestan servicios.

La cuarta prioridad es revisar producto y experiencia de usuario bajo una óptica de cumplimiento. La presión por biometría, validación de identidad, mecanismos de denuncia y protección de menores no puede resolverse agregando fricción ciega. Los controles deben ser selectivos, medibles y proporcionales. Si no, se corre el riesgo de empujar al usuario a canales paralelos más riesgosos o de degradar tanto la experiencia que el propio control pierda eficacia.

La quinta prioridad es preparar respuestas específicas para plataformas y contenido sintético. Los proyectos sobre deepfakes en Chile y las discusiones sobre fraude digital en México muestran que las plataformas deberán gestionar reportes, etiquetas, retiro de contenido y, probablemente, obligaciones de presencia local o representación legal. Quien opere con contenido generado por IA debería tener ya un protocolo interno para identificar, clasificar, etiquetar y escalar piezas potencialmente ilícitas.

La sexta prioridad es reforzar la cooperación con terceros. Buena parte de los hechos del mes involucran proveedores de software, conectividad, infraestructura o servicios digitales que operan como parte de la cadena de responsabilidad. En especial en el sector público, un incidente no siempre nace dentro del organismo. Por eso los contratos deben incluir tiempos de notificación, obligaciones de asistencia, preservación de evidencias, acceso a registros y mecanismos de auditoría.

Matriz operativa de respuesta sugerida

Limitaciones del material

Este informe se elaboró exclusivamente con el material provisto para julio de 2026 y el marco comparativo de meses anteriores incluido en el archivo. No hubo acceso a internet ni a fuentes externas adicionales. Los 531 hechos verificados del período constituyen la base de todos los indicadores, mientras que los 28 hechos sin fecha confirmada quedaron excluidos de los cálculos y se usaron solo cuando aportaron contexto cualitativo.

El indicador de CVEs críticos es 0 en el material analizado. Eso significa que no se registraron CVEs críticos dentro del archivo de julio 2026, no que no haya habido vulnerabilidades críticas explotadas en la región. La ausencia de ese dato no debe leerse como ausencia de riesgo técnico.

Tampoco hubo telemetría agregada en el material del período. Por ese motivo, este informe no utiliza intentos de ataque, bloqueos, escaneos o promedios de vendor como si fueran incidentes. La lectura de riesgo se apoya únicamente en hechos verificados, no en ruido de fondo filtrado por sistemas defensivos.

El material excluyó para efectos de indicadores los hechos posteriores al período y los contenidos sin fecha confirmada. También quedaron fuera de la argumentación como evidencia principal las redes sociales de consumo, publicaciones de LinkedIn, contenido patrocinado y piezas comerciales que no están dentro de la lista de fuentes permitidas. Cuando una afirmación apareció como incierta o atribuida por la propia fuente, se trató como tal y no se elevó a certeza editorial.