Telecomunicaciones y proveedores de conectividad (ISP) — Agosto 2026

Amenazas y campañas activas

La fotografía del mes muestra tres grandes familias de amenaza, ransomware/extorsión, espionaje y disrupción de disponibilidad. En telecom e ISP de América Latina, ninguna de ellas apareció de forma pura. Las campañas se mezclaron con reclamos en leak site, investigaciones en curso y fallas de conectividad sin atribución cerrada.

Ransomware y extorsión

El mes cerró con 17 casos con ransomware o extorsión como eje primario, pero la taxonomía interna es fragmentada y conviene no mezclar impactos distintos. Hubo un caso con cifrado confirmado, el Ministerio de Justicia de Colombia. Hubo otro con exfiltración sin cifrado, también en Colombia, donde la declaración oficial indicó que no se había encontrado evidencia de robo al momento del corte informativo, aunque se reconoció cifrado de archivos por una fuente de monitoreo independiente. Y hubo varios reclamos en leak site, donde el impacto verificable no pasó de la mención pública de la víctima.

En esa última categoría encajan Grupo Rái e Intranet Gov Brasil, además de otros once casos cuya tipificación no fue determinable con el material. Para la práctica de seguridad, eso significa que el riesgo de extorsión sigue alto, pero el dato más útil no es la etiqueta global sino el grado de evidencia sobre cifrado, fuga o simple publicación. Un leak site no equivale automáticamente a indisponibilidad, y una indisponibilidad no prueba por sí sola exfiltración.

La principal señal operativa es que el ransomware siguió siendo una amenaza transversal, pero con impactos muy dispares. En telecom y conectividad eso implica preparar respuestas diferenciadas. Si hay cifrado, la prioridad es recuperación y preservación forense. Si hay exfiltración, la prioridad es contención legal, notificación y monitoreo de abuso posterior. Si hay solo mención en leak site, la prioridad es validación, búsqueda de persistencia y prevención de escalado reputacional.

Fraude y phishing

El material del mes apenas registró un caso de fraude o phishing documentado, y no pertenece al núcleo del vertical telecom/ISP sino al entorno regional más amplio. Esa baja presencia no debe leerse como ausencia de presión fraudulenta sobre los operadores. Más bien sugiere que, en agosto, el relato público estuvo capturado por intrusión, extorsión y disponibilidad, no por campañas de suplantación.

Desde la perspectiva operativa, esto no relaja el frente de abuso de identidad, SIM swap o fraude de soporte. Simplemente indica que el material analizado no mostró volumen suficiente para convertirlo en una tendencia central del informe. Como lectura de prioridad, los equipos de telecom deberían seguir cuidando canales de atención, reset de credenciales, portales de usuario y flujos de autenticación, aunque en este período la evidencia periodística haya estado en otro lado.

APT y ciberespionaje

El frente más sensible de APT estuvo en Chile. La asociación de Lilac Typhoon con actividades de ciberespionaje en redes de Entel, Movistar y Telmex, sumada a la referencia a ShadowPad y a la necesidad de análisis forense y endurecimiento de accesos remotos, dibuja una campaña más cercana a la persistencia que al golpe visible. Las fuentes no confirman exfiltración masiva, pero sí describen un patrón compatible con infraestructura de espionaje.

La relevancia estratégica de esa señal es alta porque un carrier concentra metadatos, rutas, inventario técnico y potencial visibilidad sobre servicios de terceros. Si un actor logra moverse dentro de ese entorno, el valor del acceso va más allá del robo de archivos. Puede habilitar seguimiento de comunicaciones, pivote a proveedores, observación de administración remota y preparación de acciones futuras. Por eso el caso chileno debe leerse con lentes de resiliencia de red y de seguridad nacional al mismo tiempo.

Vulnerabilidades críticas

No se registraron CVEs críticos en el material analizado de agosto de 2026. Eso no implica ausencia de vulnerabilidades críticas en la región, sino que la cobertura revisada no aportó identificadores CVE explícitos para este período. En consecuencia, el eje técnico del mes estuvo más en campañas, disrupciones y reivindicaciones que en explotación de fallas concretas documentadas con número.

Regulación y cumplimiento

Agosto dejó cinco movimientos regulatorios documentados y todos apuntan, de un modo u otro, a la presión sobre continuidad, investigación o coordinación interinstitucional. No forman una agenda regulatoria homogénea, pero sí muestran que telecom, conectividad y servicios digitales quedaron cada vez más cerca de la respuesta estatal.

En Colombia, la CRC encuadró el riesgo de interrupción para 57.000 usuarios de internet fijo vinculados a pequeños ISP en una controversia contractual entre TV Azteca y ATP. El punto regulatorio acá no es una sanción ni un procedimiento formal de ciberseguridad, sino el reconocimiento institucional de que una dependencia comercial puede transformar una red de acceso minorista en un problema de servicio masivo. Eso obliga a mirar concentración de proveedores y resiliencia contractual.

También en Colombia, la Procuraduría General intervino por seguridad de infraestructura eléctrica en Tolima tras un atentado, aunque sin atribuirlo a ciberataques. Aunque el caso no es telecom en sentido estricto, importa para el sector porque la disponibilidad de servicios de conectividad depende de energía, troncales y entorno físico. Cuando el Estado incorpora este tipo de alertas a su radar, el mensaje para carriers e ISPs es que la resiliencia ya no se limita al perímetro lógico.

El tercer frente regulatorio fue la respuesta institucional al ransomware del Ministerio de Justicia de Colombia. La coordinación con COLCERT, MinTIC, el equipo DART de Microsoft y aliados del BID mostró un modelo de respuesta más amplio que el de una unidad aislada. Para los operadores de conectividad y los equipos de seguridad, eso sugiere una expectativa creciente de cooperación entre sector público, equipos de respuesta y proveedores tecnológicos en incidentes de alto impacto.

Países y subsegmentos más afectados

La distribución geográfica de agosto no fue pareja. Hubo países con varios hechos de distinto tipo y otros con uno o dos eventos muy concentrados. El patrón general favorece a Colombia, Chile, Brasil y México como los nodos más visibles de la señal del mes en telecomunicaciones y proveedores de conectividad.

Colombia

Colombia fue el país con más densidad operativa visible en el mes. Allí convergieron el ransomware al Ministerio de Justicia, la alerta alta de ColCERT, la disrupción BGP, la falla masiva de Movistar, y la advertencia de la CRC sobre riesgo de interrupción para pequeños ISP. Esa acumulación muestra que el país no solo sufrió incidentes, sino que además tuvo una conversación regulatoria y periodística amplia sobre continuidad y resiliencia.

El subsegmento más expuesto fue el de conectividad minorista y servicios públicos digitales dependientes de red. No se observó una campaña única contra telecom, pero sí múltiples señales de fragilidad a diferentes capas. Para un operador o proveedor de internet, esto sugiere que la preparación debe incluir enlaces, fibra, BGP, respuesta a ransomware en sistemas de soporte y manejo de dependencia contractual con mayoristas.

Chile

Chile fue el centro del frente de espionaje en telecomunicaciones. El caso Entel, Movistar y Telmex, con investigación judicial y referencias técnicas a ShadowPad, lo ubicó como una de las historias más sensibles del mes. El valor del país en el informe no está en una interrupción de servicio sino en la profundidad potencial del acceso y en el impacto institucional de la alerta.

El subsegmento más afectado fue el de grandes carriers de telefonía e internet. Las fuentes no confirmaron una brecha de datos, pero sí dejaron claro que el interés del actor habría estado en la red y en sus mecanismos de persistencia. Para Chile, agosto mostró que la superficie de telecom puede ser objetivo de inteligencia extranjera y que el daño reputacional empieza antes de que exista una filtración pública.

Brasil

Brasil combinó dos tipos de señal. Una fue la de ataque o reclamación sobre Grupo Rái, una empresa vinculada al sector comunicaciones. La otra fue la de mayor volumen de ataques cibernéticos al sector telecomunicaciones en la telemetría citada por medios locales, con 2.927 ataques en el período analizado por Check Point, dato que debe leerse como telemetría y no como incidentes confirmados.

El subsegmento aquí es doble, compañías de comunicaciones y servicios corporativos de ciberseguridad ofrecidos por operadores. La presentación del nuevo SOC Agêntico de Vivo a clientes corporativos no es un incidente, pero sí señala cómo los carriers están ampliando su rol hacia servicios gestionados de defensa. Ese movimiento comercial responde a una demanda real del mercado, pero no debe confundirse con una medición de riesgo del mes.

México

México concentró sobre todo eventos de disponibilidad. Las caídas de gob.mx, las fallas de múltiples ISPs y el caso de Telmex por robo de cable apuntan a un ecosistema donde la conectividad de última milla y la infraestructura física siguen siendo un punto débil. No hubo en el material un ciberataque confirmado contra un carrier mexicano de la misma relevancia que el caso chileno o colombiano.

El subsegmento más visible fue el de consumidores finales y servicios públicos en línea dependientes de conectividad de terceros. Esto deja una señal útil para el sector, la resiliencia operativa de portales y servicios digitales debe diseñarse asumiendo que la capa de red también puede fallar por causas ajenas al propio sistema. Para telecom e ISP, eso significa revisar redundancia, monitoreo de enlaces y tiempos de respuesta comercial.

Tendencias y señales a monitorear

La comparación con el mes anterior muestra un salto claro en volumen de hechos verificados, de 67 a 122. También subieron con fuerza los incidentes sin tipificar, de 17 a 45, lo que sugiere que agosto tuvo más actividad, pero también más ruido o más material aún no cerrado por las fuentes. Esa combinación merece atención porque no siempre más hechos equivalen a más claridad; a veces significan más exposición sin atribución definitiva.

El aumento de casos con ransomware o extorsión, de 15 a 17, no es explosivo en términos absolutos, pero sí consolida la persistencia de esa amenaza como una de las principales para el vertical. Lo que cambia es la diversidad de su manifestación. En agosto hubo cifrado confirmado, exfiltración no cerrada y varias menciones en leak site. Esa fragmentación dificulta la lectura táctica, pero refleja mejor cómo operan hoy las campañas de extorsión.

El movimiento regulatorio, que pasó de 0 a 5, es quizás la señal más subestimada del mes. Cuando reguladores, ministerios y órganos de control empiezan a intervenir sobre continuidad, riesgo de corte o coordinación de respuesta, el efecto sobre telecom e ISP va más allá del incidente puntual. Se eleva la expectativa de trazabilidad, de notificación y de sustentación técnica ante la opinión pública.

También vale mirar la diferencia entre amenaza predominante y volumen total. En julio, el cuadro ya era de sin clasificar, pero sobre una base menor. En agosto, sin clasificar alcanzó 47 de 122 hechos. Eso sugiere que el periodismo y las fuentes de monitoreo siguen registrando muchos eventos donde el impacto existe pero la tipificación no queda cerrada. Para equipos de seguridad, la señal práctica es sencilla, no esperar la etiqueta perfecta para empezar a contener, investigar y documentar.

Recomendaciones para equipos de seguridad

Los equipos de telecomunicaciones e ISP en América Latina deberían tratar agosto como un mes de prueba de resistencia más que como una anomalía aislada. La combinación de espionaje, ransomware, disrupción física y riesgo contractual obliga a pensar la seguridad en capas y no solo en herramientas de detección.

Primero, revisar acceso remoto y persistencia en entornos de red. El caso chileno apunta a infraestructura de espionaje con posible uso de ShadowPad y a presencia prolongada. Eso exige inventario de equipos con administración remota, revisión de configuraciones de borde, rotación de credenciales, validación de MFA donde aplique y auditoría de movimientos laterales en redes corporativas y de operación.

Segundo, separar claramente continuidad operativa de clasificación forense. Cuando haya caída de conectividad, como en México o en la falla de Movistar en Colombia, el equipo debe determinar rápido si el evento es físico, de backbone, de ruteo o de ciberseguridad. Esa distinción no es cosmética, afecta la escalada interna, la comunicación a clientes y la eventual obligación de notificación.

Tercero, endurecer la respuesta ante ransomware con playbooks distintos según el impacto. Si hay cifrado, la prioridad es restauración controlada y preservación de evidencia. Si hay reclamación en leak site, como en los casos brasileños, la prioridad es validación, revisión de logs y monitoreo de posibles publicaciones posteriores. Si sólo hay extorsión sin cifrado confirmado, la presión legal y reputacional puede ser la primera línea de daño.

Cuarto, mapear dependencias con terceros y mayoristas. La advertencia de la CRC colombiana sobre 245 pequeños ISP afectados potencialmente por una disputa contractual muestra que el riesgo de concentración no siempre viene de un actor malicioso. Conviene revisar SLAs, dependencias de capacidad, rutas de respaldo y mecanismos de comunicación con proveedores aguas arriba antes de que el problema escale a interrupción visible.

Quinto, sumar vigilancia sobre infraestructura física crítica. El robo de cable en México y los daños de fibra en Colombia recuerdan que la seguridad del vertical incluye tramos físicos, empalmes, tendidos y energía. Para operadores grandes y pequeños, eso significa reforzar monitoreo de campo, inventario de activos, coordinación con contratistas y respuesta rápida a cortes de última milla.

Preguntas frecuentes

¿Qué tipo de amenaza dominó el mes entre telecom, ISP y servicios digitales vinculados?

La señal más fuerte fue mixta, con ransomware, espionaje y disrupciones de conectividad coexistiendo en la región. Colombia concentró el ransomware confirmado y varios eventos de continuidad, Chile reunió el frente de ciberespionaje en carriers y México aportó caídas de servicios y fallas de conectividad. La sección de Incidentes relevantes ordena esos casos por país.

¿Hubo evidencia sólida de una brecha masiva confirmada en carriers chilenos?

No hubo una brecha masiva confirmada en el material analizado. Las fuentes sobre Entel, Movistar y Telmex hablan de investigación por posible ciberespionaje, con sospecha de ShadowPad y acceso prolongado, pero sin listado verificado de datos robados ni confirmación oficial de exfiltración. La sección de Incidentes relevantes y la de Amenazas y campañas activas desarrollan esa diferencia.

¿Qué casos de ransomware tuvieron impacto realmente verificable?

El caso más sólido fue el del Ministerio de Justicia de Colombia, donde la propia entidad confirmó cifrado de parte de su infraestructura y degradación de servicios. En Brasil hubo reclamos de ransomware sobre Grupo Rái e Intranet Gov Brasil, pero el material no permitió cerrar el alcance real. La sección de Amenazas y campañas activas distingue cifrado, exfiltración y leak site.

¿Qué debería preocupar más a un ISP pequeño en la región después de este mes?

La dependencia de terceros y la fragilidad de la última milla. La advertencia de la CRC colombiana mostró que una controversia contractual puede poner en riesgo a decenas de miles de usuarios de pequeños proveedores, sin necesidad de ciberataque. A eso se suman cortes físicos de fibra, como en Colombia y México. La sección de Países y subsegmentos más afectados cruza ambos planos.

¿Se registraron CVEs críticos explotados en agosto de 2026 para este vertical?

No. El material analizado no mencionó CVEs críticos para telecomunicaciones o proveedores de conectividad en agosto de 2026. Eso no significa que no hayan existido vulnerabilidades explotadas en la región, sólo que no aparecieron con identificador CVE en las fuentes revisadas. La sección de Vulnerabilidades críticas deja ese punto explícito.

Limitaciones del material

Este informe se elaboró exclusivamente con el material provisto para agosto de 2026 y con cinco hechos de meses anteriores usados solo como marco comparativo, nunca como volumen del período. La ventana temporal de los indicadores es la declarada al inicio y la base de todos los indicadores son 122 hechos verificados del período.

Un indicador en 0, en particular el de CVEs críticos, significa que no apareció en el material analizado, no que no haya habido vulnerabilidades críticas en la región. Lo mismo aplica a cualquier ausencia de mención: la falta de dato no debe leerse como ausencia de hecho. En un mes con tanta tipificación incompleta, esa precaución es necesaria para no sobrerreconstruir el riesgo.

También quedaron fuera de la construcción de tendencia las fuentes promocionales, comunicados comerciales, publicaciones en redes sociales de consumo y material que no integraba la lista de fuentes habilitadas. La telemetría agregada de Check Point, aunque útil como contexto de exposición, no se sumó al volumen de incidentes porque corresponde a intentos o bloqueos automatizados y no a intrusiones con impacto confirmado.

Por último, varios hechos quedaron con confirmación parcial o sin atribución pública cerrada, especialmente en los casos de leak site, interrupciones de conectividad y reclamaciones de ransomware. Cuando el material no permite decidir entre cifrado, exfiltración o sola mención en portal del actor, el informe conserva esa incertidumbre en vez de forzar una clasificación.