Sector público y organismos gubernamentales — Julio 2026

Módulos mensuales de referencia

Estos módulos se completan automáticamente con los hechos verificados con fecha dentro del período. Cada uno declara su base y su criterio de conteo, de modo que las cifras reconcilien entre módulos. Son la lectura recurrente mes a mes; el análisis posterior desarrolla los casos sin repetir esta síntesis.

Ventana de los indicadores: 79 hechos con fecha en julio 2026 · 1 de meses anteriores (marco comparativo, no volumen del mes) · 4 sin fecha confirmada (excluidos de los indicadores). Los hechos de meses anteriores se usan solo como marco comparativo en el análisis, nunca como volumen de este período.

Resumen ejecutivo del mes

Julio de 2026 dejó una foto mixta para el sector público y los organismos gubernamentales de América Latina. El mes estuvo dominado por incidentes de disponibilidad, filtraciones y movimientos regulatorios, con una caída clara en las menciones de ransomware y phishing frente al mes anterior, pero con una actividad normativa mucho más intensa. La señal más consistente no fue la del cifrado destructivo, sino la de sistemas interrumpidos, bases de datos expuestas, accesos no autorizados y respuestas institucionales que buscaron poner límites técnicos y legales más precisos al riesgo.

El volumen verificado del período fue menor que en junio, pero eso no equivale a una mejora lineal del riesgo. La superficie pública siguió mostrando fragilidad en plataformas de atención ciudadana, portales de transparencia, sistemas de movilidad y entornos estatales de soporte. En varios casos, el impacto principal fue operativo y reputacional, con algunos eventos que se extendieron varios días antes de la restauración parcial. A eso se sumaron investigaciones administrativas y penales, lo que confirma que el incidente cibernético en el sector público ya no se procesa solo como una falla técnica, sino también como un asunto de continuidad institucional, custodia de datos y posible responsabilidad contractual o regulatoria.

La mayor concentración de hechos se observó en Colombia, México, Paraguay, Brasil y Argentina, aunque con naturalezas distintas. Colombia combinó un caso de alto perfil como Ecopetrol con la discusión persistente sobre la filtración de datos de movilidad en Bogotá. México aportó un conjunto denso de incidentes en León y una serie de reportes sobre Sinaloa, todavía con mucha incertidumbre técnica en el material disponible. Paraguay se movió entre la denuncia de ciberespionaje estatal y la respuesta institucional, mientras que Brasil aportó dos señales importantes, una sanción en materia de protección de datos vinculada al sistema público de salud y un incidente en el STM. En Mendoza, la señal no fue un ataque, sino regulación en construcción.

La relación entre incidente y respuesta también cambió de tono. El mes anterior había estado marcado por más ransomware y más phishing documentado, mientras que en julio dominó el bloque de incidentes sin tipificar, con una sola referencia a ransomware como intento contenido y sin confirmación suficiente para clasificar el impacto con precisión. En paralelo, los movimientos regulatorios crecieron con fuerza, desde un proyecto de ley integral en Mendoza hasta decisiones de la ANPD en Brasil y actuaciones de la Procuraduría colombiana sobre contratación de ciberseguridad. La región muestra así una transición parcial desde la reacción puramente operativa hacia marcos de gobernanza más explícitos, aunque todavía muy desparejos entre jurisdicciones.

Un dato relevante del mes es que los hechos confirmados directamente por la fuente alcanzaron el 81 por ciento del material. Eso mejora la calidad de lectura frente a publicaciones basadas en atribuciones débiles o en reconstrucciones periodísticas sin soporte técnico completo. Aun así, persisten zonas grises que obligan a la prudencia, sobre todo en campañas de atribución compleja, reportes con cifras no verificadas por la autoridad y casos donde el material no permite determinar si hubo cifrado, exfiltración o solo reivindicación. En otras palabras, julio ofreció más claridad regulatoria, pero no necesariamente más claridad forense.

Panorama regional del mes

La lectura regional de julio es la de un riesgo medio alto, sostenido menos por una ola de destrucción masiva que por la persistencia de intrusiones, filtraciones y caídas de servicio en sistemas públicos esenciales. El criterio de riesgo se apoya en la combinación de 41 incidentes sin tipificar sobre 78 hechos verificados, un conjunto de eventos con afectación directa a portales ciudadanos y datos sensibles, y la presencia de casos de alto impacto institucional como Ecopetrol, el STM, León, Bogotá y Paraguay. No es un mes de saturación por volumen, pero sí un mes en el que los eventos con consecuencias operativas y de cumplimiento dominaron la agenda.

La dispersión geográfica también es significativa. No hubo una única geografía dominante en términos de tipo de amenaza. México concentró fallas de disponibilidad y filtración en gobiernos locales, Colombia mezcló exfiltración, presión regulatoria e investigación penal, Paraguay puso en primer plano la hipótesis de ciberespionaje sobre sistemas estatales, Brasil mostró la respuesta de su autoridad de protección de datos y una incidencia en el máximo tribunal militar, y Argentina comenzó a convertir la ciberseguridad del Estado en un tema legislativo formal. Esa variedad sugiere que la región no enfrenta un solo problema, sino varios frentes superpuestos: proveedores débiles, plataformas públicas expuestas, disputas sobre atribución y una maduración desigual de los marcos de gobernanza.

También cambió el equilibrio entre ofensiva y defensa. En junio había más ruido de extorsión, fraude y ransomware. En julio, la señal se desplazó hacia la indisponibilidad de servicios, la exfiltración y la revisión de capacidades estatales. El hecho de que el material de este mes incluya una alerta crítica sobre CVE-2026-0257 en GlobalProtect de Palo Alto refuerza la idea de que la exposición no depende solo del sector público como víctima directa, sino también de su dependencia de infraestructura y software ampliamente desplegados. La superficie de riesgo estatal sigue atada a terceros, a contratos de operación y a controles que muchas veces se activan después del incidente.

La lectura cualitativa se completa con una observación de madurez. Cuando un mes trae tantas menciones regulatorias, suele indicar dos cosas a la vez: que el problema ya tiene peso político y que la reacción formal está intentando ponerse al día con una amenaza que se manifiesta antes que las soluciones. El proyecto mendocino, la sanción de la ANPD, la advertencia de la Procuraduría en Colombia y las acciones del MITIC en Paraguay muestran que el Estado latinoamericano empieza a normar más, pero la evidencia del mes dice que todavía llega a la segunda fase después de la filtración, la caída o la intrusión. La prevención todavía corre detrás del incidente.

Indicadores del período

Incidentes relevantes

Ecopetrol, filtración de datos y respuesta corporativa y estatal

El caso más visible del mes fue el ciberataque contra Ecopetrol, que combinó exfiltración, adjudicación por parte de un grupo de amenaza y derivaciones regulatorias en Colombia. Reuters informó que la compañía detectó la sustracción de información asociada a cerca de 3.300 cuentas de usuario y que el incidente afectó entornos de almacenamiento en la nube de 15 subsidiarias. La misma cobertura señaló que Ecopetrol logró impedir un intento de ransomware, pero no permitió concluir que el evento quedara reducido a una mera intrusión sin consecuencias, porque la exfiltración quedó confirmada y la compañía no descartó un posible impacto financiero adverso.

La respuesta también fue multicanal. Según el comunicado corporativo difundido por Yahoo Finance, Ecopetrol activó sus protocolos de respuesta, revocó accesos no autorizados y desplegó medidas para impedir la divulgación pública de la información exfiltrada. El 28 de julio, de acuerdo con El País, la empresa presentó un Formulario 6-K ante la SEC informando el ciberataque, y dos días más tarde el mismo medio citó que el grupo The Gentlemen decía poseer hasta 1 terabyte de información de Ecopetrol y filiales, con registros de perforación, nóminas, datos bancarios, historias médicas, biometría y credenciales VPN activas. Esa cadena de hechos importa no por el volumen alegado por el atacante, que no está verificado en su totalidad, sino porque muestra cómo un incidente corporativo de una empresa estratégica termina escalando a la agenda pública, regulatoria y de mercado.

Infobae añadió que la Fiscalía General de la Nación abrió una investigación el 31 de julio. En paralelo, El Colombiano informó que ColCERT emitió una alerta de riesgo alto para el sector empresarial y que el Ministerio TIC recibió el reporte el 17 de julio, activando coordinación con organismos pertinentes. La combinación de investigación penal, alerta técnica y presentación ante el regulador financiero sugiere que el evento ya no se lee como un incidente aislado. Para el sector público y para los organismos que dependen de contratistas críticos, el caso Ecopetrol funciona como un recordatorio operativo sobre exposición en nube, revocación de accesos, segmentación de proveedores y trazabilidad de cuentas privilegiadas.

Bogotá y la filtración de datos de movilidad

El incidente asociado a la Secretaría Distrital de Movilidad de Bogotá mantiene relevancia porque exhibe un patrón clásico de exposición a través de terceros. Según Noticias RCN y El Tiempo, la filtración de febrero de 2026 involucró una base de datos histórica administrada por un proveedor tecnológico externo, utilizada como fuente de consulta interna para procesos operativos específicos. Los medios también precisaron que la intrusión se materializó sobre el proveedor que administraba la base de datos, más que sobre la infraestructura principal de la Secretaría, y que al momento de los reportes no existía un consolidado definitivo sobre la cantidad de datos afectados.

Eso no redujo el impacto reputacional. Infobae publicó que un grupo de atacantes afirmó haber accedido a información de casi 4,5 millones de conductores en Bogotá, con datos personales, licencias, SOAT, vehículo e infracciones, aunque la Secretaría no confirmó esa cifra. En el mismo ecosistema informativo se advirtió un riesgo creciente de campañas de phishing y estafas dirigidas a conductores, construidas sobre datos exfiltrados y mensajes personalizados sobre comparendos y vehículos. El punto operativo aquí no es solo la filtración en sí, sino la reutilización de esos datos en fraude secundario, que puede amplificar el daño mucho después del incidente original.

La cobertura de Noticias RCN también informó que las investigaciones técnicas incluían preservación de evidencias digitales, análisis de trazabilidad, revisión de sistemas comprometidos y requerimientos formales al proveedor para fortalecer controles y entregar informes técnicos detallados. Además, el Distrito desmintió versiones sobre manipulación de comparendos y afectación de fotodetección. Ese tipo de aclaración pública es importante porque muestra otro rasgo del riesgo en sector público: cuando falta consolidado forense, el vacío lo ocupan especulaciones, atribuciones no verificadas y lecturas políticas del incidente. Bogotá aparece así como un caso de brecha en curso de aclaración, con impacto operativo, contractual y de confianza ciudadana.

León, caída de portales, transparencia y bloqueo preventivo

León fue uno de los focos más consistentes del mes en México. El 1 de julio, medios locales reportaron que la página oficial del Gobierno de León quedó fuera de servicio por un ciberataque que afectó principalmente al Sistema de Atención Ciudadana, congelando trámites y el pago de multas. La Silla Rota añadió que durante el incidente se habrían robado datos de ciudadanos, aunque sin precisar volumen ni evidencia técnica. Al día siguiente, la Dirección de Tecnologías de la Información municipal informó que en lo que va de 2026 se habían registrado aproximadamente 1 millón 637 mil intentos de hackeo contra la infraestructura digital municipal, dato que debe leerse como telemetría de intentos y no como incidentes confirmados.

La evolución posterior mostró una indisponibilidad prolongada. AM León señaló que el portal de Transparencia seguía con acceso limitado a archivos ocho días después del ataque y que el sitio principal del municipio se reactivó el 6 de julio, pero el portal de Transparencia permanecía inhabilitado al menos hasta el día 7. Contacto Noticias consignó que el portal digital acumuló nueve días fuera de servicio. Esa prolongación importa porque la afectación no se limitó a la caía inicial del sitio, sino que tocó funciones de rendición de cuentas y acceso a información obligatoria.

La respuesta oficial fue de contención. El municipio informó, según AM León, que aplicó un bloqueo preventivo del equipo informático para evitar daños mayores y luego realizó pruebas de seguridad antes de restaurar servicios. AM también reportó filtración de bases de datos y compras del municipio en el contexto de un hackeo a Seguritech vinculado a servicios del gobierno local. El conjunto de piezas dibuja un patrón operativo muy reconocible para municipios de la región, donde la frontera entre sistema propio, proveedor externo y servicios ciudadanos queda difusa. Cuando un actor compromete una capa de ese ecosistema, la caída o filtración termina repercutiendo en trámites, transparencia y confianza pública.

Mendoza, proyecto de ley y arquitectura estatal de ciberseguridad

En Argentina, la señal más fuerte no fue un incidente, sino un proyecto de ley de ciberseguridad para Mendoza. El texto legislativo, difundido por El Sol, crea el Comité de Conducción Estratégica de Ciberseguridad como autoridad de aplicación y máxima instancia política y estratégica, presidido por el Ministerio de Seguridad y Justicia e integrado por otros organismos provinciales estratégicos. También establece una Autoridad Operativa de Ciberseguridad dependiente del mismo ministerio, con funciones de monitoreo, detección, gestión y respuesta a incidentes, incluyendo la operación de un SOC provincial y un CSIRT gubernamental.

El valor de esta iniciativa está en que baja a nivel normativo una serie de decisiones que en otras jurisdicciones aparecen dispersas o solo como buenas prácticas. El proyecto obliga a la elaboración de un Inventario de Activos Críticos de Información del Estado provincial, a la clasificación de la información y al desarrollo de un Programa de Gestión de Riesgos de Ciberseguridad basado en estándares y buenas prácticas reconocidas, incluyendo ISO/IEC 27001. Además, precisa que el alcance obligatorio comprende a la Administración Central, organismos descentralizados, entes autárquicos, empresas y sociedades del Estado, y otros organismos con participación mayoritaria estatal. Es una pieza normativa que busca cerrar el espacio entre la informalidad operativa y la necesidad de responder con capacidad institucional.

Diario San Rafael agregó que la iniciativa se orienta a proteger la infraestructura tecnológica del Estado y los datos personales de los mendocinos, y que también prevé campañas de concientización para la población. Aunque no se trata de una respuesta a un incidente concreto, su inclusión en el informe es relevante porque muestra cómo algunas provincias empiezan a tratar la ciberseguridad como infraestructura pública crítica, no como un gasto accesorio. En términos de política pública, eso puede impactar en compras, auditorías, gobernanza de proveedores y priorización de activos.

Paraguay, ciberespionaje, denuncia penal y atribución estatal

Paraguay fue uno de los casos más delicados del mes por la naturaleza del material publicado. Diversas coberturas, entre ellas ABC Color, DW, Diario Paraguayo y La Tribuna, señalaron que el MITIC y autoridades estadounidenses detectaron infiltración de múltiples actores de amenaza vinculados a China en sistemas estatales paraguayos. El material disponible indica que el gobierno habló de operaciones cibernéticas maliciosas dirigidas a plataformas digitales del Estado y que hubo una denuncia de ciberespionaje, con apertura de causa penal por parte de la Fiscalía.

La Tribuna publicó declaraciones del director general de Ciberseguridad y Protección de la Información del MITIC, Pedro Martínez, según las cuales el objetivo del incidente fue la recolección sigilosa de datos y el monitoreo continuo, no la destrucción o sabotaje de la infraestructura. Esa precisión es clave, porque desplaza la lectura del caso desde la idea de daño visible hacia la de persistencia y observación. Para el sector público, la amenaza de ciberespionaje es más difícil de detectar y también más difícil de cuantificar. Si el propósito es instalar un recolector de datos estatales o mantener acceso silencioso, el problema no es una caída inmediata, sino la posibilidad de que el adversario haya permanecido en red durante un tiempo prolongado.

ABC Color indicó que la fiscal Irma Llano confirmó diligencias iniciales y la toma de declaración al titular del MITIC. Además, una cobertura distinta señaló que el Ministerio habría expuesto en el Senado acciones para reforzar la ciberseguridad del Estado, lo que conecta la denuncia con una agenda de respuesta institucional. En paralelo, DW informó que Estados Unidos y Paraguay detectaron la infiltración durante una revisión conjunta. Incluso con la cautela necesaria sobre la atribución, el caso deja una señal regional importante: los gobiernos ya no discuten solo protección de servicios, sino intrusión en redes estatales con posibles objetivos de inteligencia.

Detran de Mato Grosso do Sul y la indisponibilidad por tentativas de intrusión

El Detran de Mato Grosso do Sul informó instabilidad en sus sistemas tras tentativas de invasión a sus ambientes tecnológicos y aclaró que no hubo vazamento de dados institucionales ni de información de ciudadanos. La cobertura de Campo Grande News añadió que las tentativas activaron protocolos de seguridad y provocaron fallas intermitentes en la conexión con la Sefaz. Aunque el material no permite hablar de una intrusión confirmada con exfiltración, el caso encaja en la categoría de incidente operativo con respuesta de contención.

La relevancia de este episodio no está en su espectacularidad, sino en su normalidad. Los organismos de tránsito son objetivos recurrentes porque combinan alta demanda ciudadana, dependencia de integraciones con otras agencias y una gran sensibilidad frente a la continuidad de servicio. Cuando la falla alcanza enlaces con la secretaría de hacienda o compromete la estabilidad del sistema, el problema deja de ser técnico y se convierte en fricción directa para trámites, recaudación y atención al público. Para la región, ese tipo de caso es tan representativo como una gran filtración, porque habla del nivel de resiliencia cotidiana del aparato estatal.

STM de Brasil, portal fuera del aire y alcance acotado

El Superior Tribunal Militar informó un incidente de seguridad cibernética en su portal electrónico alrededor del 2 de julio y retiró temporalmente el sitio del aire mientras analizaba y recuperaba sistemas. G1 indicó que el incidente afectó solo el sitio institucional y no generó perjuicios a los sistemas internos ni al andamento processual del tribunal. Esa distinción, aunque parezca menor, importa mucho desde la perspectiva operativa, porque muestra una contención efectiva del alcance y evita sobredimensionar el evento.

El caso no deja de ser relevante por eso. Una interrupción de portal público en una institución judicial o de defensa puede afectar legitimidad, acceso a información y percepción de seguridad institucional, aun cuando los sistemas internos permanezcan intactos. En términos de lectura regional, el STM confirma que la indisponibilidad de un front-end sigue siendo una señal importante en el sector público, especialmente cuando coincide con un mes en el que varios organismos debieron bloquear o poner fuera de servicio plataformas para contener daños mayores.