Sector público y organismos gubernamentales — Septiembre 2026

Amenazas y campañas activas

Ransomware y extorsión

La campaña de ransomware y extorsión del mes fue más acotada en volumen que la de agosto, pero dejó señales útiles sobre cómo operan los grupos que apuntan al sector público. De los 4 casos del período, 2 quedaron como sola mención en leak site y 2 no permitieron determinar con claridad si hubo cifrado de activos o solo exfiltración. Esa ambigüedad es parte del riesgo, porque el público ve la publicación y no necesariamente el alcance real.

El caso más visible fue N0n, que incluyó al Ministerio de Educación de Argentina en un sitio de filtraciones. La publicación difundida por el grupo, y reproducida por varias fuentes especializadas, afirmaba haber obtenido configuraciones de red, 1,08 millones de registros de conexión y un supuesto minero de Monero. No hubo confirmación pública del organismo dentro del material disponible, así que debe leerse como reclamo de intrusión, no como prueba de compromiso.

N0n y el Ministerio de Educación de Argentina

N0n fue seguido públicamente a partir del 18 de septiembre y apareció asociado a un conjunto de víctimas reclamadas en una ventana de 24 horas. Entre ellas, el Ministerio de Educación argentino fue el único objetivo clasificado en gobierno y defensa dentro de esa tanda según una de las fuentes de análisis. También se señaló que el grupo no tenía, en informes públicos de vendors, una atribución amplia o consolidada como ransomware maduro.

El alcance alegado por el actor fue amplio y técnico, pero el valor analítico del caso está en la falta de verificación institucional. La publicación incluyó supuestos registros de conexión ligados a plataformas escolares, becas y otros sistemas, además de una amenaza de mantener la red del ministerio en un apagón total hasta un acuerdo. Esa retórica es típica de la extorsión pública y sirve para presionar incluso antes de una confirmación independiente.

Para equipos estatales, el episodio sugiere dos líneas de trabajo. Una es la preparación de respuestas a reclamos en leak sites, que deben tratarse como comunicaciones de crisis además de eventos técnicos. La otra es la segmentación de servicios críticos y la protección de credenciales, porque en este tipo de campañas el actor combina visibilidad pública con presión sobre servicios dependientes.

Emperador y la Receita Federal do Brasil

La Receita Federal do Brasil apareció en el sitio de filtraciones del grupo Emperador con una supuesta exfiltración de 6,3 GB de datos. Distintas coberturas indicaron que el material atribuido incluía documentos de personal y clientes, además de datos de usuarios de gov.br, incluso contraseñas según la alegación del grupo. Ninguna de las fuentes del corpus presentó el episodio como confirmado por el organismo.

Este caso se ubica en una zona intermedia entre extorsión y reclamo de leak site. No hubo evidencia pública de cifrado de sistemas ni de una validación oficial del origen de los archivos. Por eso, la clasificación más honesta es la de sola mención en sitio de filtraciones con tipificación no determinable en el material.

El hecho de que un actor mencione al órgano tributario federal brasileño ya basta para activar monitoreo de fraude y suplantación. Los datos de una agencia fiscal suelen tener una vida comercial larga en manos de atacantes, incluso cuando la publicación no pasa de una denuncia sin verificación. La recomendación operativa es tratar cualquier reclamo de esta clase como un disparador de revisión de accesos, tokens y exposición de servicios ciudadanos.

La base de datos del SIPA y el riesgo de extorsión secundaria

La supuesta oferta de 38 millones de registros del SIPA en un foro de la dark web no se presentó como intrusión confirmada, pero sí como un material con potencial de extorsión secundaria. El hecho de que la publicación fuera tratada como no verificada no disminuye el riesgo de que ese tipo de muestra alimenten phishing, fraude previsional o campañas de ingeniería social contra ciudadanos y personal estatal.

Aquí conviene distinguir con precisión. No hay evidencia en el corpus de cifrado de sistemas de ANSES ni de extracción probada de esos 38 millones de registros. Lo que sí hay es una oferta atribuida a un tercero y una negación oficial. Esa combinación obliga a monitorear circulación de datos, reutilización de contraseñas y suplantación de identidad, más que a concluir una brecha cerrada.

Fraude y phishing

El mes dejó 4 casos de fraude o phishing documentados, un número bajo en términos absolutos pero relevante por el tipo de activo comprometido. El caso peruano fue el más claro, porque la cuenta del MEF en X fue usada para difundir una promoción cripto que no correspondía al organismo. En este tipo de incidente, el vector es la confianza institucional, no necesariamente la pérdida de datos.

También debe incluirse aquí el reclamo sobre ANSES, porque aunque no hay confirmación de brecha, la circulación de una supuesta base de 38 millones de registros activa una cadena de fraude potencial. Las víctimas típicas no son solo los sistemas estatales, sino los ciudadanos expuestos a mensajes personalizados. El riesgo operativo aparece cuando el material se reutiliza para abrir cuentas, validar identidades o insistir con llamadas y correos fraudulentos.

APT y ciberespionaje

La campaña más seria desde el punto de vista estratégico fue la atribuida a FamousSparrow, con el despliegue de SparroWocky contra entidades gubernamentales de Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela. ESET señaló que la campaña fue observada desde agosto de 2025, pero la cobertura de septiembre volvió a poner el foco sobre su impacto regional y sobre la concentración de objetivos en América Latina.

Las fuentes citadas describieron capacidades de recopilación de información del sistema, ejecución de comandos, capturas de pantalla, exfiltración de archivos y proxy TCP, además de técnicas anti análisis. También se indicó que el acceso inicial podría haber pasado por servidores Microsoft Exchange expuestos públicamente, sin que el corpus identifique una CVE concreta. Esto ubica el problema en la intersección entre infraestructura expuesta y operaciones de espionaje persistente.

Para el sector público, el hallazgo relevante no es solo la sofisticación de la herramienta sino la variedad de organismos alcanzados. La región aparece como foco preferente de observación, y no necesariamente por un único país. Eso obliga a revisar correo expuesto, segmentación, endurecimiento de servidores y supervisión de actividades anómalas en plataformas de alto valor.

Vulnerabilidades críticas

No se registraron CVEs críticos en el material analizado de septiembre de 2026. Eso no implica ausencia de vulnerabilidades críticas explotadas en la región, sino que este corpus no las documentó de forma verificable. En particular, la campaña asociada a FamousSparrow mencionó acceso inicial a servidores Microsoft Exchange expuestos públicamente, pero sin identificar una CVE concreta.

La ausencia de CVEs en el material no reduce la necesidad de priorizar parches. Solo indica que, en este corpus, la evidencia pública se inclinó más hacia cuentas vulneradas, filtraciones reclamadas y operaciones de espionaje que hacia explotación técnica asociada a un identificador de vulnerabilidad específico.

Regulación y cumplimiento

El único movimiento regulatorio documentado en el mes vino de Argentina. El Centro Nacional de Ciberseguridad informó que realizó dos jornadas destinadas a acompañar a organismos del Sector Público Nacional en el cumplimiento de la Disposición N.º 1/2026. La publicación describe una actividad de acompañamiento regulatorio y no un incidente de seguridad.

Este tipo de acción suele quedar fuera de los titulares de incidentes, pero en un informe sectorial vale por su efecto práctico. Señala que el cumplimiento no está desconectado de la operación diaria, especialmente cuando hay controles sobre acceso, registros técnicos y monitoreo. En un mes con muchas afirmaciones de filtración y pocas confirmaciones sólidas, la existencia de un marco regulatorio activo ayuda a ordenar respuestas y responsabilidades.

El dato también muestra una caída frente al mes anterior, cuando se registraron 4 movimientos regulatorios. No es una señal de relajación automática, sino de menor densidad de actividad normativa visible en el material revisado. Para los equipos de cumplimiento, eso no cambia la obligación de revisar controles y trazabilidad, especialmente en organismos con grandes volúmenes de información personal.

Países y subsegmentos más afectados

La distribución geográfica del mes muestra concentración en Argentina, Paraguay, Brasil, Perú y México, con una lectura diferencial según el tipo de evento. Argentina acumuló falsos positivos de filtración, una campaña de ransomware reclamada y la referencia a espionaje regional. Paraguay concentró la trama penal más sensible. Brasil y Perú aportaron casos confirmados de exposición o vulneración de cuentas y plataformas. México apareció en una alerta por presunta filtración estatal.

Argentina

Argentina fue el país con mayor variedad de señales del mes. Aparecieron el supuesto hackeo al Lex100 desmentido por revisión técnica, el reclamo de ANSES sobre 38 millones de registros no verificados, el caso del Ministerio de Educación en el leak site de N0n, y la mención de varias entidades en compilaciones de datos atribuidas a terceros. Esa diversidad no significa que todo haya sido una brecha confirmada, pero sí que el ecosistema estatal argentino estuvo bajo presión de atribuciones públicas y privadas.

Desde la perspectiva de subsegmentos, el Poder Judicial, educación y seguridad social fueron los más nombrados. Son tres áreas con alto valor de datos y fuerte exposición reputacional. Para seguridad ofensiva y defensiva, eso implica revisar listas de acceso, mecanismos de verificación de claims externos y capacidad de respuesta ante leak sites.

Paraguay

Paraguay concentró el bloque más sensible de filtraciones internas y consecuencias judiciales. La Senad fue el centro de una investigación por presunta filtración de información vinculada con narcotráfico, con imputaciones, prisiones preventivas y remociones de funcionarios. También hubo una alerta preventiva sobre una presunta exfiltración atribuida al Ministerio de Salud, aunque sin confirmación.

El subsegmento de seguridad e inteligencia aparece aquí como el más expuesto, no por una vulneración técnica clásica, sino por fallas de integridad interna. Cuando los sistemas y expedientes son utilizados por personal con acceso privilegiado, la supervisión debe ser más estricta que en otras áreas. La trazabilidad y el control de abuso interno pasan a ser parte central de la ciberseguridad institucional.

Brasil

Brasil tuvo una señal más acotada, pero con impacto claro. La CAPES reconoció un incidente de seguridad en Meus Dados, y la Receita Federal apareció como víctima reclamada en un leak site. La primera es una confirmación institucional; la segunda, una afirmación no verificada que no debe elevarse a brecha confirmada.

El subsegmento de educación superior y servicios administrativos aparece con una exposición particular a datos personales y bancarios. También se observa el valor que tienen los portales de gobierno digital como superficie de ataque y como objetivo de extorsión reputacional. La convivencia entre servicios al ciudadano y datos sensibles exige más monitoreo y segmentación.

Perú

Perú quedó marcado por la vulneración de la cuenta de X del Ministerio de Economía y Finanzas. Es una señal distinta, pero muy relevante, porque muestra que la identidad institucional en redes sociales sigue siendo un activo explotable para fraude. El episodio no dejó evidencia de exfiltración técnica, pero sí de uso indebido del canal oficial.

Para el subsegmento de administración económica, la prioridad no es solo recuperar acceso, sino diseñar procedimientos de contingencia para publicación, desmentida y borrado de contenido malicioso. La velocidad de respuesta importa tanto como la fortaleza del control de cuentas.

México

México apareció en una alerta por una presunta filtración del Gobierno de Yucatán con supuestos datos del Registro Civil y documentación oficial. Al no haber confirmación institucional, el caso debe tratarse como reclamo de tercero. Aun así, apunta a un conjunto de datos de alto valor para fraude documental y suplantación.

El subsegmento de registros civiles y servicios de identidad merece atención especial. Son sistemas que, cuando se filtran o se reclaman como filtrados, suelen tener efectos mucho más amplios que el propio organismo. La reutilización fraudulenta de documentos puede extender el impacto más allá del perímetro administrativo.

Tendencias y señales a monitorear

La comparación con el mes anterior muestra una caída fuerte en volumen general, pero no una mejora lineal del riesgo. Bajaron 64 hechos verificados, 35 incidentes sin tipificar y 22 casos de ransomware o extorsión. A primera vista, eso sugiere un mes menos ruidoso. En la práctica, la presencia de incidentes confirmados, filtraciones dudosas, fraude sobre cuentas oficiales y espionaje atribuido mantiene alta la necesidad de monitoreo.

La primera señal a seguir es el corrimiento desde el ransomware hacia la filtración pública y el fraude institucional. En septiembre hubo menos campañas de extorsión que en agosto, pero más casos donde el objetivo fue ganar visibilidad o monetizar el acceso por vías indirectas. Eso obliga a reforzar la monitorización de leak sites y de redes sociales oficiales, no solo de endpoints.

La segunda señal es la persistencia de casos con confirmación parcial. El corpus muestra un número importante de hechos en los que el actor reclama la intrusión y el organismo la niega, o viceversa. Ese patrón es especialmente visible en ANSES, Receita Federal y Yucatán. Para los equipos de seguridad, la prioridad es acelerar validaciones forenses y procedimientos de desmentida.

La tercera señal viene de la campaña de FamousSparrow. Aunque la operación no nace en septiembre, la evidencia revisada vuelve a colocar a gobiernos latinoamericanos como objetivos de una actividad de espionaje con capacidades modulares y persistentes. El foco ya no está solo en el robo de datos visibles, sino en la observación sostenida de redes y sistemas.

La cuarta señal es que el mes siguió mostrando fallas de control interno. El caso paraguayo es el mejor ejemplo, porque la filtración no gira alrededor de malware sino de personas con acceso privilegiado y presunta manipulación de información sensible. Eso obliga a revisar perfiles de privilegio, trazabilidad y segregación de funciones.

Recomendaciones para equipos de seguridad

Primero, separar de manera formal los flujos de respuesta a incidentes técnicos y a reclamos externos. Un leak site, una publicación en dark web o un reclamo periodístico no equivalen a una brecha confirmada. Aun así, deben activar un circuito de validación con tiempos definidos, porque la reputación del organismo puede quedar comprometida antes de cualquier verificación.

Segundo, endurecer la protección de cuentas oficiales en redes sociales y su recuperación. El caso del MEF peruano muestra que una cuenta institucional puede convertirse en plataforma de fraude en minutos. MFA resistente a phishing, control de tokens, monitoreo de sesiones y procedimientos de respuesta para publicaciones falsas deberían ser estándar en ministerios y agencias.

Tercero, priorizar el control de acceso interno y la trazabilidad sobre sistemas que manejan información judicial, sanitaria, previsional o de seguridad. Paraguay dejó una señal muy clara de riesgo interno. Los privilegios amplios, las consultas no justificadas y la falta de correlación entre acceso y función abren la puerta a filtraciones con impacto criminal o político.

Cuarto, revisar la exposición de servicios públicos con correo o plataformas externas, especialmente donde pueda existir acceso inicial vía infraestructura expuesta. La campaña atribuida a FamousSparrow refuerza que el perímetro no termina en la red interna. Servidores públicos accesibles, servicios de autenticación y componentes de colaboración siguen siendo puertas de entrada relevantes.

Quinto, fortalecer la gestión de comunicación de crisis para evitar que una negación oficial llegue tarde o sin evidencia suficiente. El caso Lex100 muestra que una revisión técnica rápida puede desactivar un falso positivo, pero esa capacidad debe existir antes del ruido mediático. Las áreas técnicas y de prensa necesitan protocolos conjuntos.

Sexto, incorporar monitoreo de reutilización de datos filtrados en fraudes posteriores. No basta con detectar la primera publicación; hace falta seguir el rastro de cómo un set de datos, verdadero o no, se convierte en phishing, llamadas engañosas o suplantación. Ahí se juega buena parte del daño real para el sector público y para los ciudadanos.

Preguntas frecuentes

¿Qué diferencia hubo este mes entre incidentes confirmados y reclamos de filtración no verificados?

La diferencia fue central para interpretar el período. CAPES en Brasil y el MEF de Perú tuvieron confirmación oficial de incidentes, mientras que ANSES, Yucatán, la Receita Federal y el caso Lex100 quedaron como reclamos no verificados o desmentidos. Esa distinción cruza la sección de Incidentes relevantes con la de Amenazas y campañas activas.

¿Qué país concentró el caso más sensible desde el punto de vista institucional?

Paraguay concentró la señal más delicada por la causa contra funcionarios de la Senad, con imputaciones, prisión preventiva y remociones de cargos. No fue un caso de malware, sino de filtración de información sensible ligada a narcotráfico. Eso cruza la sección de Países y subsegmentos más afectados con la de Incidentes relevantes.

¿Hubo ransomware confirmado contra organismos públicos de la región?

Hubo 4 casos con ransomware o extorsión como eje primario, pero el material no permitió confirmar en todos si hubo cifrado de activos. Dos quedaron como sola mención en leak site y dos no pudieron tipificarse con precisión. La lectura correcta se obtiene cruzando los indicadores del período con la sección de Amenazas y campañas activas.

¿Qué riesgo práctico dejó la campaña atribuida a FamousSparrow?

Dejó riesgo de espionaje persistente sobre gobiernos de varios países latinoamericanos, con capacidades para ejecutar comandos, capturar pantalla y exfiltrar archivos. Aunque la campaña se observó desde 2025, septiembre volvió a ponerla en foco por su alcance regional. Esa respuesta cruza Vulnerabilidades críticas, aunque no haya CVEs, y APT y ciberespionaje.

¿Qué debe monitorear primero un CISO del sector público después de este mes?

Primero, la integridad de cuentas oficiales y los accesos privilegiados. Después, los reclamos de leak sites, porque pueden derivar en fraude o desinformación antes de una confirmación técnica. Por último, la exposición de servicios públicos con acceso externo. Esa priorización cruza las secciones de Incidentes relevantes, Tendencias y Recomendaciones.

Limitaciones del material

Este informe se elaboró exclusivamente con el material provisto para septiembre de 2026, sin acceso a internet ni a fuentes fuera de la lista autorizada. Los hechos sin fecha confirmada quedaron excluidos de los indicadores y no se usaron para construir conteos mensuales. Tampoco se sumó telemetría agregada al volumen de incidentes.

Un indicador en 0, en especial el de CVEs críticos, significa que no se registraron en el material analizado, no que no hayan existido vulnerabilidades críticas explotadas en la región. La ventana temporal de los indicadores fue de 50 hechos con fecha en septiembre de 2026, y la base de los cálculos fueron 49 hechos verificados del período.

El alcance del material incluyó ataques, filtraciones y regulación aplicada a organismos gubernamentales y sector público en América Latina. Quedaron excluidos contenidos patrocinados, redes sociales de consumo, publicaciones de LinkedIn y otras plataformas no listadas como fuente válida. Cuando una afirmación provino de un sitio de filtraciones, un foro o un tercero no corroborado, se trató como reclamo no verificado y no como incidente confirmado.