Retail, comercio electrónico y consumo masivo — Julio 2026

Amenazas y campañas activas

Ransomware y extorsión

El mes dejó 13 casos con ransomware o extorsión como eje primario, pero solo en una parte de ellos el material permite identificar con claridad el tipo exacto de impacto. Esa distinción importa. No conviene mezclar cifrado de activos, exfiltración sin cifrado y mera mención en leak site, porque cada modalidad exige respuestas distintas y tiene consecuencias operativas diferentes.

En los hechos verificables, el cifrado de activos quedó confirmado en 2 casos. El material disponible sobre Ecopetrol indica que un intento de ransomware fue bloqueado por controles de ciberseguridad en la compañía y sus subsidiarias, lo cual no implica cifrado exitoso. En el caso de las lotéricas de Caixa tampoco hay evidencia pública en el material de cifrado sobre los sistemas, sino de desvíos, terminales caídos y transacciones no autorizadas. Por eso, el eje dominante del mes no fue un ransomware clásico de cifrado masivo, sino una mezcla de extorsión con presión sobre datos, y, en menor medida, afectación transaccional.

La sola mención en leak site aparece en 3 casos. Micropack fue reivindicada por LockBit 5.0, Mercado Libre Argentina fue listada por The Gentlemen sin prueba pública de intrusión exitosa y una entidad uruguaya del rubro alimentos y servicios fue reclamada por Section9 sin confirmación oficial. Ese conjunto es especialmente relevante para retail porque los leak sites funcionan como herramienta de presión sobre empresas con exposición reputacional y operativa alta. Muchas veces el daño no comienza con el cifrado, sino con la amenaza pública de exposición de datos, lo que puede afectar clientes, proveedores y canales de cobro incluso antes de una confirmación técnica.

La tipificación no determinable con el material alcanza 8 casos. Eso no es una debilidad del informe, sino una señal de cómo se publica hoy buena parte de la actividad extorsiva. Los atacantes anuncian, pero no siempre muestran. Los medios secundarios recogen la reivindicación, pero no aportan pruebas suficientes para distinguir entre cifrado, exfiltración o simple presión. Para un CISO de retail, esto implica no quedarse solo con la etiqueta de ransomware. Hay que preguntar qué tipo de daño ya es visible, cuál podría materializarse después y qué controles se activan según la fase del ataque.

Fraude y phishing

El bloque de fraude y phishing quedó encabezado por 8 casos documentados y por la confirmación de que el phishing sigue siendo el vector más frecuente en América Latina según ESET, con 73% de las organizaciones encuestadas afectadas en su Security Report 2026. Aunque esa última cifra proviene de una encuesta y no de incidentes del período, ayuda a contextualizar por qué tantos eventos del mes aparecen alrededor de pagos, credenciales y uso indebido de interfaces.

Brasil mostró una variante particularmente ilustrativa con el uso reportado de PDFs falsos de pago que imitaban marcas de comercio electrónico e instituciones bancarias para atacar pagos vía boleto. La cobertura secundaria de Cointelegraph Brasil no permite tomar esa descripción como una tendencia general confirmada, pero sí como una hipótesis de ataque coherente con el ecosistema de pagos local. En retail y consumo masivo, los fraudes de ese tipo son muy efectivos porque explotan hábitos conocidos del usuario, la urgencia de pago y la confianza en formatos documentales familiares.

Uruguay, por su parte, mostró fraude informático en el plano más tradicional, con robo de tarjetas, operaciones fraudulentas y banda extranjera desarticulada. Para el vertical, esto es una advertencia directa. No toda pérdida entra por un endpoint. Parte del riesgo llega por el punto de venta, por la tarjeta física, por el marketplace y por la logística de la última milla. La defensa antifraude debe mirar el ciclo completo, desde la autenticación hasta la conciliación financiera.

APT y hacktivismo

En julio no hubo un volumen grande de campañas APT clásicas atribuidas de forma sólida al eje retail y consumo masivo, pero sí una presión de actores extorsivos con narrativa organizada y una campaña más amplia que Kaspersky describió como StrikeShark, observada contra organizaciones de América Latina, Asia y Europa, con casos en Colombia entre los países mencionados. El material disponible no la vincula de forma directa con retail, pero sí con un clima regional de operaciones más persistentes y con mayor uso de artefactos maliciosos y evasión.

La lectura útil para este vertical es que las campañas con apariencia menos ruidosa pueden terminar atravesando back office, proveedores o cuentas corporativas que sostienen plataformas de venta. Cuando el foco está puesto solo en el endpoint de caja o en la web pública, se pierde de vista que muchas intrusiones más serias comienzan por correo, documentos, actualizaciones falsas o vulnerabilidades en software de colaboración y administración.

Vulnerabilidades críticas

El material analizado sí registró CVEs críticas mencionadas durante julio, por lo que no corresponde decir que no hubo exposición técnica. Lo que sí puede decirse es que el período mostró varios avisos sobre explotación activa en productos muy usados en entornos corporativos. CISA agregó CVE-2026-48282 de Adobe ColdFusion al catálogo KEV, y luego incorporó fallas de Fortinet FortiSandbox y Microsoft SharePoint. Además, el boletín de Microsoft de julio 2026 confirmado por el gobierno uruguayo señaló que CVE-2026-56155 en Active Directory Federation Services y CVE-2026-56164 en SharePoint Server fueron explotadas activamente y estaban incluidas en KEV, aunque esos hechos no forman parte del conteo de CVEs críticos del período porque el indicador provisto fija 4 menciones.

Para retail y consumo masivo, el mensaje es directo. Muchas plataformas que sostienen promociones, portales de proveedores, intranets, administración documental y publicación interna descansan sobre productos como SharePoint, Office, .NET, SQL Server o componentes de acceso federado. Si esos servicios quedan expuestos, los atacantes tienen un camino de entrada que no requiere creatividad extraordinaria. Basta con automatización, exploit probado y una ventana de parcheo lenta. El riesgo no es solo la intrusión inicial, sino la posibilidad de que un compromiso en software empresarial escale hacia credenciales, documentos internos y sistemas de soporte al negocio.

Regulación y cumplimiento

Julio también dejó dos movimientos con lectura regulatoria y de coordinación institucional. En el caso de Ecopetrol, la empresa trabajó con la Fiscalía de Colombia y con MinTIC para intentar retirar la información publicada ilegalmente por los atacantes. Ese paso refleja una respuesta que ya no es puramente técnica, sino también legal, reputacional y de gestión de contenido. En incidentes con exfiltración, la capacidad de coordinar con autoridades y con plataformas de difusión de datos se vuelve parte del proceso de contención.

El otro frente fue Uruguay, donde el Ministerio del Interior informó la formalización de dos personas por hurto agravado y fraude informático, con prisión preventiva. El expediente es valioso porque muestra articulación entre investigación financiera, fiscalía y pruebas obtenidas en espacio físico. Para retail y consumo masivo, la señal es que las unidades antifraude deben estar preparadas para colaborar con fiscalías, bancos y cuerpos de investigación. No se trata solo de denunciar pérdidas, sino de preservar evidencia, reconstruir trayectorias de pago y custodiar logs, cámaras y registros de acceso.

A nivel de cumplimiento, el mes también reforzó la presión de los marcos de notificación y gestión de incidentes. La aparición de reportes a la SEC por parte de Ecopetrol subraya que los eventos con exfiltración o impacto potencial material no pueden quedar en la esfera interna. Para compañías con presencia regional y operaciones mixtas de retail, distribución o pagos, la coordinación con marcos de reporte de cada jurisdicción sigue siendo una exigencia operativa, no una formalidad de legal.

Países y subsegmentos más afectados

Brasil

Brasil fue el país con la señal más visible en este eje durante julio, sobre todo por el episodio de las lotéricas de Caixa. La combinación de terminales caídos, pagos no autorizados, transferencias no reconocidas y restricciones temporales de operación muestra un riesgo particular sobre el canal de cobro físico y la infraestructura de pagos de cercanía. La afectación en al menos cinco estados amplía la lectura desde un incidente local hacia una fragilidad de plataforma.

Además, la cobertura agregada citada por medios regionales ubicó a Brasil como el país con más víctimas de ransomware en el primer semestre de 2026, y como el más afectado en la telemetría de FortiGuard Labs citada por Infobae México. Aunque esas cifras no son incidentes del mes, sí refuerzan la prioridad del mercado brasileño dentro del mapa regional.

Argentina

Argentina quedó marcada por dos señales distintas. La primera fue Micropack, una distribuidora de alimentos y productos de retail reivindicada por LockBit 5.0. La segunda fue la inclusión de Mercado Libre Argentina en el portal de filtraciones de The Gentlemen sin prueba pública de intrusión exitosa. Entre una y otra, el mes mostró tanto riesgo sobre la cadena de abastecimiento como presión narrativa sobre una plataforma central de comercio digital.

El subsegmento más expuesto en este país no es solamente e-commerce, sino distribución y marketplace. Ese binomio obliga a pensar en continuidad logística, confianza del cliente, disponibilidad de cuentas y protección de datos internos y comerciales. Cuando un actor de peso como Mercado Libre aparece en una atribución extorsiva, aunque sea no confirmada, el ruido se extiende a usuarios, sellers y socios de la plataforma.

Colombia

Colombia concentró el caso más complejo de filtración corporativa, con Ecopetrol como eje. Más allá de que no sea un retailer, el incidente importa para el consumo masivo porque toca entornos de nube, proveedores, socios financieros y redes de clientes. El país también aparece en las coberturas regionales de frecuencia de ataques, con más de 3.000 ciberataques semanales reportados por Infobae Colombia y con presencia en la campaña StrikeShark de Kaspersky.

La lectura sectorial para Colombia apunta a entornos corporativos con fuerte integración de terceros y un riesgo elevado de exfiltración de información sensible. En el eje retail, eso se traduce en especial atención a portales de proveedores, sistemas de lealtad, integraciones con socios y plataformas en la nube que sostienen operaciones comerciales.

Uruguay

Uruguay aportó la cara más visible del fraude informático. La formalización de dos personas por hurto agravado y fraude informático, junto con la investigación sobre robo de tarjetas para compras y operaciones fraudulentas, muestra una economía delictiva que combina presencialidad y abuso digital. En paralelo, apareció una reclamación no confirmada sobre una entidad de alimentos y servicios asociada a Section9.

Para el consumo masivo, Uruguay deja una señal clara sobre el valor de la evidencia física y transaccional. Cámaras, trazabilidad de compras, monitoreo de patrones de uso y colaboración con autoridades fueron claves. En un país con un mercado más acotado que otros de la región, la eficiencia de la respuesta puede ser una ventaja, pero no reduce la necesidad de controles antifraude más robustos en comercios, marketplaces y puntos de cobro.

Subsegmentos de consumo masivo y comercio

Los subsegmentos más expuestos del mes fueron distribución de alimentos, marketplaces, puntos de cobro, loterías y pagos de cercanía. Micropack representa la cadena de abastecimiento. Mercado Libre refleja plataforma digital y economía de sellers. Las lotéricas de Caixa muestran el riesgo del canal físico de pagos. Uruguay enseña el fraude en tarjetas y compras. En conjunto, el vertical quedó atravesado por una misma lógica, la del negocio de alto volumen con mucha rotación de transacciones y dependencias de terceros.

Tendencias y señales a monitorear

No hay baseline comparativo con el mes anterior, porque este es el primer período archivado con este formato de indicadores para América Latina. Eso impide afirmar si julio subió o bajó frente a junio dentro de este mismo marco. Lo que sí puede decirse es que el mes dejó una combinación especialmente densa de extorsión, fraude y exposición por vulnerabilidades, con una distribución geográfica que incluyó Brasil, Argentina, Colombia y Uruguay.

La primera señal a seguir es el desplazamiento desde el cifrado masivo hacia la presión por datos y por reputación. En el mes, la parte más visible del ransomware no fue una ola de cifrado confirmado, sino la mención en leak sites, la amenaza de publicación y la exfiltración con potencial de daño legal y financiero. Para retail y consumo masivo, esa transición es crítica porque los atacantes saben que la industria depende de la confianza, la disponibilidad y el volumen de transacciones. No necesitan destruir todo para forzar negociación.

La segunda señal es la persistencia del fraude como capa paralela al ciberataque. Brasil, con pagos por boleto y loterías; Uruguay, con robo de tarjetas; y las referencias a PDFs falsos de pago, muestran que el negocio criminal no distingue demasiado entre hackeo y fraude si el resultado es monetizable. Para el sector, eso obliga a integrar seguridad y antifraude. Son disciplinas diferentes, pero en julio se comportaron como una misma superficie de riesgo.

La tercera señal es la explotación de software empresarial. Aunque el vertical no siempre aparezca en la primera línea de los reportes de KEV, su infraestructura sí depende de SharePoint, ColdFusion, Fortinet, Microsoft y otros componentes que no son específicos de retail, pero sí son parte del soporte del negocio. El riesgo no está solo en la caja registradora o en la tienda online. También está en la capa de colaboración, autenticación y gestión que conecta a empleados, proveedores y socios.

La cuarta señal es la fragilidad del canal de pagos presencial y de intermediación. Las lotéricas de Caixa muestran que una perturbación en terminales y autorizaciones puede generar pérdidas directas y afectar depósitos, boletos y transferencias. En América Latina, donde buena parte del comercio masivo sigue dependiendo de esquemas mixtos de pago, esa fragilidad se vuelve un problema de continuidad de negocio, no solo de ciberseguridad.

Recomendaciones para equipos de seguridad

Primero, separar de forma estricta los dominios de pago, autenticación, administración y analítica. El mes mostró que una perturbación en un canal de cobro o en una capa de colaboración puede escalar rápido si los permisos están mezclados. En retail y consumo masivo, eso significa revisar segmentación de red, identidades privilegiadas, federación de acceso y rutas de salida de datos. El objetivo no es solo evitar intrusión, sino contener el radio de impacto si un proveedor, un usuario o una credencial se compromete.

Segundo, reforzar la detección de fraude en el punto de venta y en el canal digital con reglas que crucen lo transaccional y lo conductual. Los casos de Brasil y Uruguay recuerdan que el fraude puede venir de pagos no autorizados, robo de tarjetas, duplicación de comprobantes o manipulación de boleto. Los equipos deben revisar patrones anómalos por geografía, horario, monto, terminal, cuenta de origen y dispositivo. Donde haya marketplace, conviene sumar monitoreo de sesiones, cambios de contraseña, toma de cuentas y abuso de promociones.

Tercero, tratar toda mención en leak site como evento de primera clase, aunque la intrusión no esté confirmada. Micropack, Mercado Libre y la entidad uruguaya reclamada por Section9 muestran que la exposición pública ya es un riesgo operativo. El plan de respuesta debe contemplar verificación técnica, comunicación interna, vigilancia de marca, búsqueda de credenciales expuestas y coordinación con legal y comunicaciones. La ausencia de confirmación pública no equivale a ausencia de riesgo.

Cuarto, priorizar parcheo y hardening en los productos que aparecen con explotación activa en KEV. SharePoint, ColdFusion y Fortinet no son anécdotas técnicas. Son superficies potenciales de acceso inicial a entornos corporativos, y el vertical depende de ellas para flujos internos, colaboración y exposición de servicios. La recomendación aquí es operativa: inventario vivo, SLA corto de parcheo, excepción mínima y validación posterior de exposición externa.

Quinto, preparar el negocio para la continuidad sin dependencia ciega de terceros. El caso de las lotéricas de Caixa y la exposición en múltiples subsidiarias de Ecopetrol indican que los terceros, las filiales y los canales distribuidos pueden ser el punto débil. El plan de continuidad debe incluir contingencias manuales, rutas alternativas de cobro, revisión de SLAs, simulacros de caída de terminales y capacidad de operar con degradación controlada durante varias horas o días.

Sexto, conservar evidencia desde el primer minuto. Uruguay mostró que cámaras, trazabilidad y articulación con investigación financiera fueron útiles para desbaratar una banda de fraude. En ciberincidentes del retail, eso se traduce en preservar logs de autenticación, registros de pago, imágenes de terminales, tickets, cámaras de sucursal y trazabilidad de cambios. Si la evidencia se pierde, también se pierde la posibilidad de recuperar fondos o de reconstruir la secuencia del ataque.

Séptimo, integrar las áreas de seguridad, antifraude, operaciones, legal y experiencia de cliente. En el vertical, una intrusión rara vez se queda en el SOC. Termina afectando ventas, cobros, reputación y atención al cliente. Por eso conviene que el comité de crisis pueda decidir rápido si el problema es interrupción, extorsión o fraude, y que tenga guías de comunicación listas para cada escenario.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para julio de 2026 y con alcance temático en retail, comercio electrónico y consumo masivo en América Latina. No hubo acceso a internet ni a fuentes fuera de la lista autorizada. Eso significa que la foto es precisa respecto de lo verificado en el material, pero no agota todo lo ocurrido en la región durante el mes.

La ventana temporal de los indicadores se limita a los hechos fechados en julio de 2026. Los 6 hechos sin fecha confirmada quedaron excluidos de los indicadores, aunque pudieron usarse como contexto cualitativo. También quedaron fuera las cifras de telemetría agregada, porque representan intentos, bloqueos o promedios semanales de vendors, no incidentes con impacto confirmado. No se sumaron a ningún conteo de eventos del período.

Un indicador en 0 no significa que el hecho no haya ocurrido en la región. Significa únicamente que no apareció en el material analizado con la tipificación o confirmación requerida. Este matiz es especialmente importante para CVEs y para categorías como ransomware, donde parte de la actividad puede haber quedado fuera del corpus disponible o de la evidencia pública reunida.

El material también excluyó redes sociales de consumo y contenido patrocinado o press releases no aptos para sustentar tendencia. Cuando alguna afirmación proviene de cobertura secundaria o de una atribución no confirmada, fue tratada como tal y no como hecho técnico plenamente verificado. En varios casos de ransomware o leak site, la cobertura disponible permitió registrar la reivindicación, pero no comprobar intrusión, exfiltración o cifrado. Ese límite es deliberado y forma parte de la integridad del informe.

Comentarios operativos finales

El mes mostró que el riesgo para retail y consumo masivo en América Latina no se está concentrando en un solo vector. Conviven fraude presencial, pagos alterados, extorsión narrativa, filtraciones de datos, explotación de software empresarial y presión sobre terceros. La defensa que solo mira el portal de e-commerce o solo mira el endpoint de caja llega tarde. La exposición real está en la combinación de identidades, pagos, proveedores, nube y reputación.

Indicadores de atención