Energía, electricidad y utilities (infraestructura crítica) — Agosto 2026

Incidentes

Argentina: Oldelval, ransomware, atribuciones cruzadas y riesgo de exfiltración

El incidente más importante del período en energía latinoamericana fue el de Oleoductos del Valle (Oldelval) en Argentina. La empresa informó a la Comisión Nacional de Valores que había sufrido un ciberataque que afectó algunos de sus sistemas administrativos. También aclaró que el transporte de crudo no se interrumpió y que los sistemas afectados fueron restaurados. Esa notificación convierte al caso en un evento material para la gobernanza corporativa y para el mercado de valores, pero no equivale por sí sola a una afectación de la operación física del oleoducto.

Lo relevante desde la perspectiva de riesgo es la progresión del caso. En la primera lectura, parece un ataque a TI corporativa con contención y recuperación. Sin embargo, fuentes posteriores de monitoreo de brechas y sitios de filtración indicaron que Incransom habría listado a Oldelval y publicado muestras de documentación interna que incluirían datos sensibles de empleados, recursos humanos, finanzas, fiscalidad y regulación. Si bien la única fuente primaria de esa atribución es el propio actor de amenaza, la convergencia de varios reportes sugiere que el caso tuvo un componente de exfiltración al menos alegado de manera consistente por el grupo.

Operativamente, esto tiene tres implicancias. Primero, aunque la empresa haya restaurado sistemas administrativos, el episodio no termina allí: la fuga de información puede prolongar el daño durante semanas o meses. Segundo, la exfiltración de documentos internos de una empresa de transporte de hidrocarburos puede revelar planos lógicos, jerarquías de acceso, contratos, correos o detalles regulatorios útiles para futuros ataques de mayor precisión. Tercero, en caso de veracidad parcial o total de los datos filtrados, la superficie regulatoria se amplía a privacidad, relaciones laborales, compliance y potencial litigio.

La atribución también merece cautela. Algunas fuentes vincularon el caso con Incransom; otras, con The Gentlemen. The Rio Times señaló que The Gentlemen reivindicó el ataque días después de atribuirse un incidente contra Ecopetrol, y distintas piezas posteriores subrayaron que se trataba de una adjudicación del propio grupo sin confirmación oficial independiente. Este cruce de atribuciones no es raro en el ecosistema ransomware: los grupos pueden publicar nombres para ganar visibilidad, aumentar la presión o aprovechar la atención mediática. Para un CISO, la lección no es elegir una narrativa, sino asumir que la combinación de reivindicación pública y filtración alegada ya genera riesgo reputacional y operativo, aunque no exista evidencia de intrusión en OT.

También es relevante la temporalidad. El caso se comunicó a la CNV a fines de julio y comenzó a circular públicamente en los primeros días de agosto. Después, la actividad de leak sites amplificó el episodio con nuevas menciones. Esto muestra una secuencia típica: detección interna, notificación regulatoria, cobertura mediática, y luego explotación de la información por parte del actor de amenaza. En el sector energético, donde el escrutinio público es alto, esa secuencia puede afectar negociaciones con clientes, proveedores y autoridades incluso si la operación central no se detiene.

Desde la óptica de defensa, Oldelval deja varias recomendaciones prácticas. La primera es revisar el blindaje de los sistemas administrativos: segmentación real respecto del entorno OT, privilegios mínimos, MFA en accesos remotos y monitoreo de movimientos laterales. La segunda es preparar respuesta específica para exfiltración, no sólo para cifrado: identificar qué información podría haber salido, cómo se notifica, qué obligaciones regulatorias activan y cómo se preserva evidencia. La tercera es desarrollar una estrategia de crisis con mensajes diferenciados para operación, mercado y seguridad, porque no todos los públicos necesitan el mismo nivel de detalle. La cuarta es tratar con especial cuidado credenciales y acceso de terceros, ya que los casos de ransomware en infraestructura crítica frecuentemente explotan proveedores, mantenimiento o servicios compartidos.

Chile: consulta pública y endurecimiento regulatorio del sector eléctrico

Chile cerró agosto con un avance regulatorio importante: la Comisión Nacional de Energía abrió la consulta pública del proyecto de Norma Técnica de Ciberseguridad y Seguridad de la Información para el sector eléctrico. Según la cobertura adicional, el período de consulta se extenderá por 25 días corridos desde la publicación del aviso en el Diario Oficial, con antecedentes disponibles en el portal normativo de la CNE. En paralelo, una nota sectorial informó que el Ministerio de Energía instruyó depurar el proyecto, eliminar referencias al CSIRT sectorial eléctrico y someter la propuesta a consulta a más tardar el 31 de agosto.

Más allá del detalle administrativo, la señal política es clara: el sector eléctrico chileno entra en una fase de formalización más estricta de ciberseguridad. Para las empresas, esto significa que la discusión ya no se limita a buenas prácticas o a recomendaciones voluntarias. Habrá expectativas de trazabilidad, evidencia documental, capacidad de respuesta y coordinación interinstitucional. En otras palabras, la ciberseguridad del sector eléctrico se mueve hacia un modelo de cumplimiento más explícito, con potencial impacto en auditorías, inversión y priorización de proyectos.

Esta evolución debe leerse junto con el contexto técnico del mes. La aparición del advisory sobre ASE2000 V2, utilizado en subestaciones eléctricas y entornos de energía y agua, refuerza la necesidad de que cualquier nueva norma incluya inventario de activos industriales, gestión de vulnerabilidades, pruebas seguras y tratamiento de componentes de terceros. En particular, el sector eléctrico chileno no debería asumir que el mayor riesgo proviene solamente del perímetro TI o del correo corporativo. Los sistemas de control de subestaciones, test sets de comunicaciones y herramientas de diagnóstico también merecen tratamiento normativo y operativo.

La consulta pública es además una oportunidad para resolver una tensión que se repite en la región: cómo hacer regulable un entorno heterogéneo sin imponer controles desconectados de la realidad operacional. Si una norma exige capacidades de respuesta sin contemplar ventanas de mantenimiento, topologías distribuidas o dependencia de vendors internacionales, puede terminar generando cumplimiento documental débil y seguridad real insuficiente. Por eso, desde la perspectiva de CISO, la respuesta al proceso regulatorio debería incluir comentarios técnicos concretos sobre segmentación OT, detección de anomalías, gestión de acceso de proveedores, pruebas de restauración y criterios de reporte de incidentes.

Colombia: atentado a torre de transmisión y continuidad del servicio

Colombia aporta en agosto un recordatorio severo de que la infraestructura crítica eléctrica también enfrenta riesgo físico. La Procuraduría General de la Nación alertó sobre la seguridad de la infraestructura de transmisión en Tolima tras un atentado contra una torre en Planadas, hecho que puso en riesgo la continuidad del servicio de energía. La comunicación oficial pidió a las autoridades locales informar sobre acciones para proteger la infraestructura crítica y prevenir nuevos hechos. Caracol Radio amplió la alerta señalando afectación a la estructura de los circuitos Alférez, Tesalia 1 y 2.

Este incidente no pertenece al mismo género que el ransomware de Oldelval. No estamos ante extorsión digital, sino ante un acto que compromete el componente físico de la red. Precisamente por eso es tan relevante para el análisis sectorial: demuestra que la resiliencia energética depende de una capa más amplia de seguridad que incluye vigilancia, respuesta territorial, redundancia de red, coordinación con fuerzas de seguridad y capacidad de recuperación de infraestructura de transmisión.

Para los operadores, la lección es doble. Primero, la continuidad no se protege sólo con firewalls y copias de seguridad; también requiere proteger torres, corredores, subestaciones y accesos. Segundo, los eventos físicos y los cibernéticos pueden interactuar. Un operador que ya está bajo presión por un incidente digital puede quedar más expuesto si además enfrenta sabotaje o vandalismo material. La gestión de crisis debe contemplar escenarios compuestos y comunicaciones coordinadas con gobierno, regulador y ciudadanía.

El caso también sugiere una prioridad de gobernanza: la seguridad de transmisión eléctrica debe formar parte de una matriz integrada de riesgos críticos. Cuando la autoridad judicial o disciplinaria pide reforzar la seguridad, no sólo está reaccionando a un evento; está marcando una expectativa de diligencia. Los operadores deben poder demostrar evaluaciones de riesgo, patrullaje, monitoreo, coordinación comunitaria y protocolos de atención rápida. En zonas con antecedentes de incidentes, estas medidas no son opcionales.

Brasil: exposición elevada, ransomware persistente y sector utilities bajo presión

Brasil sigue funcionando como termómetro regional de exposición cibernética. El material del período muestra cifras muy altas de telemetría de ataques y, al mismo tiempo, confirma que el sector de energía y servicios públicos está entre los más golpeados en el país. Esa combinación no debe interpretarse como una relación mecánica entre volumen de intentos e incidentes confirmados. Más bien, indica que el ecosistema brasileño continúa siendo un objetivo intensamente explorado por atacantes oportunistas, y que las utilities se encuentran dentro del conjunto de sectores con mayor presión relativa.

Un punto importante es que varias fuentes sobre Brasil provienen de reportes de prensa que a su vez citan datos de vendors de seguridad. Por eso conviene separar claramente telemetría de compromiso. Decir que hubo 249,3 mil millones de intentos en el semestre no significa que se hayan materializado ataques equivalentes sobre energía, ni que esos intentos se traduzcan en intrusiones exitosas. Sin embargo, sí sugiere que la higiene defensiva debe ser continua: gestión de vulnerabilidades, filtrado de correo, MFA, segmentación y monitoreo de accesos deben asumirse como controles de base, no como proyectos extraordinarios.

La noticia sobre el sector de ‘Energia e Serviços Públicos’ con 2.759 ataques en julio refuerza la idea de que las utilities brasileñas están recibiendo presión sostenida. Un dato así puede deberse a malware, phishing, scanning, exploit attempts o bloques de IPS, según la metodología de la fuente. Por eso, el valor analítico está en la tendencia sectorial, no en una lectura literal de "ataques" como intrusiones. Aun así, el mensaje para la industria es consistente: cuanto más conectado esté el negocio con atención al cliente, facturación, telemetría y operaciones remotas, más expuesto estará a abuso de credenciales y a campañas de extorsión.

Además, Brasil aporta un caso útil de lectura comparativa. Las cifras de ransomware en el país, citadas por distintas fuentes, varían entre 120, 123 y otros recuentos cercanos. Esa variación no invalida la conclusión de fondo: Brasil figura entre los países más afectados. Para un informe sectorial, lo importante es la consistencia de la señal, no la uniformidad absoluta de cada recuento. Aun así, las diferencias deben explicitarse para evitar falsas certezas. Si un equipo ejecutivo toma decisiones de inversión o priorización, debe hacerlo sobre la base de patrones robustos, no de un número aislado.

Industria y utilities: ASE2000 V2 y el riesgo de componentes de subestación

El advisory sobre ASE2000 V2 es uno de los hallazgos técnicos más relevantes del período para el sector eléctrico. El componente sirve como test set de comunicaciones IEC 60870-5-104 con TLS, es utilizado en subestaciones y presenta vulnerabilidades críticas en versiones 2.25 a 2.37. Las descripciones técnicas citadas por el material señalan escenarios de lectura y escritura arbitraria de archivos locales e interceptación de conexiones cifradas. La versión 2.38 fue publicada para corregir los fallos.

La relevancia de este caso no está sólo en la severidad asignada, sino en el tipo de entorno afectado. Los test sets y herramientas auxiliares a menudo quedan fuera del radar de los programas clásicos de gestión de vulnerabilidades porque no son "activos de producción" en sentido estricto. Sin embargo, se integran con comunicaciones de subestaciones, pruebas de IEC 60870-5-104 y validación de TLS, por lo que pueden convertirse en una vía de acceso a información sensible o a tráfico de control. En un entorno de energía, esa es una superficie crítica.

Para CISOs, el principal aprendizaje es que el inventario OT no puede limitarse a PLCs y SCADA. Debe incluir equipos de prueba, estaciones de ingeniería, componentes de soporte, bibliotecas reutilizadas como log4net y herramientas de terceros. Si un producto de validación usa dependencias vulnerables y está desplegado en subestaciones, el riesgo se transmite a la capa de comunicación. Por eso la remediación no debe esperar a una explotación observada: un advisory con severidad 9,8 y afectación a versiones ampliamente desplegadas exige acción preventiva.

Países

Argentina

Argentina concentra dos planos de riesgo en agosto de 2026. El primero es el incidente Oldelval, que por su peso sistémico en el transporte de crudo de Vaca Muerta trasciende la noción de "empresa afectada" y se inserta en la conversación sobre infraestructura crítica energética. El segundo es la presencia de atribuciones cruzadas por parte de grupos de ransomware que usan la visibilidad del caso para reforzar sus narrativas de extorsión. En ambos planos, la afectación sobre sistemas administrativos es clave: aunque la operación física no se haya interrumpido, los procesos corporativos y regulatorios sí quedaron bajo estrés.

Desde el punto de vista de política pública y de sector, el caso muestra una tensión frecuente en Argentina: la notificación a mercados y reguladores corporativos convive con la falta de un marco sectorial de ciberseguridad tan desarrollado como el de otros países de la región. Eso no impide reaccionar, pero sí hace que la respuesta dependa más de la madurez interna de cada operador. Por ello, las compañías energéticas con activos críticos deberían revisar de forma urgente sus mecanismos de reporte, relaciones con la CNV, preservación de evidencia y protocolos para incidentes que incluyan exfiltración.

También es un recordatorio de que el atacante no necesita tocar sistemas industriales para generar impacto amplio. Si el sitio de filtraciones publica documentos de recursos humanos, finanzas o regulación, la empresa puede enfrentar problemas de privacidad, negociación, reputación y confianza de mercado. La defensa debe cubrir esa dimensión. En Argentina, donde la conversación pública sobre infraestructura crítica suele intensificarse cuando hay eventos visibles, el valor de una respuesta ordenada y técnicamente sustentada es todavía mayor.

Brasil

Brasil no registró en el material analizado un incidente confirmado de infraestructura energética con impacto operativo directo comparable al de Oldelval o al atentado en Tolima, pero sí mostró exposición elevada y presión sostenida sobre el conjunto de utilities. El país sigue siendo un entorno de referencia para ransomware y telemetría maliciosa, con el sector de energía y servicios públicos en posiciones altas de exposición sectorial.

La lectura correcta es que Brasil combina escala, digitalización y heterogeneidad operativa. Ese cóctel aumenta el número de superficies atacables: facturación, portales de clientes, acceso remoto, proveedores, identidades, dispositivos de campo y sistemas industriales. A falta de incidentes OT confirmados en el período, el riesgo más visible sigue siendo el de compromisos de TI con potencial de propagación o de presión reputacional. Por eso el énfasis debe ponerse en identidad, segmentación, monitoreo continuo y copias de seguridad probadas, además de en la detección temprana de exfiltración.

Chile

Chile avanza hacia una mayor formalización del control de ciberseguridad en electricidad. La consulta pública del proyecto normativo es más que un trámite: anticipa obligaciones que probablemente impactarán gestión de riesgos, documentación y capacidades de respuesta. El sector eléctrico chileno debería aprovechar este momento para revisar su nivel de madurez, en particular en activos OT, comunicaciones de subestación y relaciones con proveedores.

El caso ASE2000 V2 añade una motivación técnica concreta. Si un componente crítico en subestaciones puede presentar vulnerabilidades severas, la regulación no puede limitarse a políticas generales. Debe incluir inventario vivo, ciclo de remediación, pruebas de restauración y criterios de segregación entre entornos de prueba y producción. Para los operadores, la ventana de consulta pública es una oportunidad para introducir requisitos realistas y, al mismo tiempo, exigentes.

Colombia

Colombia enfrenta en Tolima una evidencia material de riesgo físico contra infraestructura de transmisión. El llamado de la Procuraduría a reforzar la protección de torres y circuitos es una señal de que la resiliencia energética se juega también en terreno. Para el sector, el caso invita a revisar protocolos de vigilancia, coordinación con autoridades y redundancia operacional en zonas expuestas.

La importancia analítica del incidente es que no debe ser leído como un hecho aislado. Cuando una infraestructura eléctrica sufre un atentado, la pregunta no es sólo quién lo ejecutó, sino qué nivel de resiliencia tenía el sistema antes del ataque y qué capacidad de respuesta activa existe después. El foco debe ir más allá de la reparación inmediata y abarcar lecciones de diseño, patrullaje, control territorial y comunicaciones con la ciudadanía.

Tendencias e implicancias regionales

La tendencia dominante del período es la convergencia de dos mundos que antes se analizaban por separado: la extorsión digital de TI corporativa y el riesgo industrial/OT. Oldelval representa el primer frente; Siemens S7 y ASE2000 V2, el segundo. En el medio, quedan las utilities, que operan con grandes volúmenes de datos, proveedores, accesos remotos y, en muchos casos, tecnología heredada. El resultado es un mapa de amenaza que ya no permite separar "ciberseguridad corporativa" de "seguridad operacional" como si fueran dominios independientes.

La segunda tendencia es la multivectorialidad. Un operador de energía puede enfrentar ransomware, filtración de datos, explotación de vulnerabilidades industriales y, en algunos países, amenazas físicas a infraestructura. Ese contexto exige que los comités de crisis trabajen con escenarios integrados. Si el plan de respuesta sólo contempla cifrado de servidores, será insuficiente. Debe incluir exfiltración, desinformación, impacto reputacional, notificación regulatoria, continuidad operativa y, cuando corresponda, coordinación con seguridad física.

La tercera tendencia es la maduración regulatoria desigual. Chile avanza en norma técnica; Brasil fortalece diagnóstico y comité nacional; Colombia reacciona ante ataques físicos y alertas sobre transmisión; Argentina sigue moviendo el caso a través de comunicaciones societarias y cobertura mediática. Esta heterogeneidad importa porque genera diferentes niveles de exigencia para empresas con presencia regional. Un operador multinacional no puede tener un estándar mínimo por país: necesita un baseline corporativo que supere el piso local más débil y que permita armonizar controles.

La cuarta tendencia es la mayor facilidad técnica para atacar entornos industriales. El advisory sobre Siemens S7 es especialmente preocupante porque describe uso de IA para generar scripts y disfrazarlos como herramientas legítimas, además del empleo de servicios públicos de escaneo para localizar PLCs expuestos. Eso sugiere que el atacante no necesita ser un especialista en ICS para obtener resultados iniciales. En la práctica, cualquier organización con dispositivos expuestos, credenciales débiles o software desactualizado está demasiado cerca del umbral de compromiso.

En términos regionales, el sector energía/utilities debería asumir que la presión no se reducirá en el corto plazo. El aumento de ransomware, la reutilización de credenciales, la venta de accesos iniciales y la sofisticación progresiva de las campañas de reconocimiento hacen que los activos de alto valor sean blancos permanentes. La respuesta no es sólo comprar más herramientas, sino hacer mejor lo básico: inventario, segmentación, hardening, respaldo, restauración, pruebas de crisis y gestión de terceros.

Recomendaciones para CISOs y responsables de tecnología operacional

La prioridad inmediata es separar con claridad los dominios de riesgo. Los sistemas administrativos, los entornos de usuario, las estaciones de ingeniería, los PLCs, los test sets de subestación y los canales de acceso remoto no deben compartirse sin controles estrictos. Si Oldelval demuestra algo, es que un ataque a administrativos puede terminar en presión de extorsión y filtración. Si el advisory sobre Siemens S7 demuestra algo, es que los controladores expuestos y mal configurados pueden ser localizados y explotados con relativa facilidad.

En la práctica, los CISOs del sector deberían enfocarse en siete medidas concretas. Primero, inventario exhaustivo de activos TI y OT, incluyendo componentes de prueba y bibliotecas críticas. Segundo, MFA robusta y reducción drástica de accesos privilegiados, especialmente en terceros. Tercero, segmentación real entre corporativo y operacional, con validación de rutas y reglas. Cuarto, copias de seguridad offline o inmutables, probadas con restauraciones periódicas. Quinto, monitoreo de exfiltración y no sólo de cifrado, porque la fuga de datos es hoy un mecanismo de presión central. Sexto, revisión de exposición de PLCs, servicios remotos y puertos industriales como TCP 102 cuando aplique. Séptimo, ejercicios conjuntos de TI, OT, legal, comunicación y continuidad para escenarios de doble extorsión o evento físico.

También conviene fortalecer la relación con proveedores y reguladores. En muchas utilities, los caminos de compromiso pasan por terceros con acceso remoto o por herramientas de soporte de vendors. Los contratos deben exigir controles mínimos, notificación rápida, revisión de logs y capacidad de revocación de accesos. En paralelo, el área legal debe tener listas de verificación para notificación a autoridades, tratamiento de datos personales, preservación de evidencia y manejo de leak sites. La respuesta a un incidente ya no puede improvisarse el mismo día.

Por último, el sector debe hacer más trabajo preventivo con la dirección. Los comités de riesgo suelen entender el ransomware como una amenaza de indisponibilidad, pero el material de agosto muestra que la exposición de datos, la reputación y la presión regulatoria pueden ser igual o más costosas. Si una empresa energética es listada en un leak site, aunque su red no se detenga, el impacto puede reflejarse en auditorías, contratos, acceso a capital y confianza pública. Esa conversación debe estar instalada a nivel de directorio.

Limitaciones del material

Este informe se basa exclusivamente en el material de research provisto y, por tanto, refleja lo que fue publicado o citado en esas fuentes durante la ventana analizada. La ausencia de un hecho en el material no equivale a ausencia del hecho en la región. Del mismo modo, la falta de una vulnerabilidad específica en el material no significa que no existan vulnerabilidades activas o explotadas en energía y utilities. En particular, cuando se mencionan cifras de telemetría, estas corresponden a intentos, bloqueos o actividad maliciosa observada por vendors, no a incidentes confirmados.

Tampoco debe confundirse la mención de una víctima en un leak site con una confirmación oficial de compromiso, ni una atribución publicada por un grupo con confirmación independiente. En el caso de Oldelval, el material incluye notificaciones corporativas, análisis de terceros y adjudicaciones del actor de amenaza; esa mezcla obliga a separar cuidadosamente lo confirmado de lo alegado. Finalmente, los datos de Brasil sobre intentos de ataque, recuentos de ransomware y exposición sectorial sirven para contextualizar presión y priorización, pero no para derivar por sí solos un número de incidentes operativos en energía o utilities.

Preguntas frecuentes

¿Hubo interrupciones de servicio eléctrico o de transporte de hidrocarburos?

En el material analizado, no se confirmó una interrupción del servicio eléctrico asociada a los incidentes principales del período. En Oldelval, la empresa afirmó que el transporte de crudo no se interrumpió. En Colombia sí hubo un atentado contra infraestructura de transmisión que puso en riesgo la continuidad, pero la cobertura disponible se concentra en la alerta y la protección del activo, no en un corte prolongado.

¿Cuál fue el incidente más relevante del mes?

Por impacto sectorial y proyección regional, el caso Oldelval en Argentina fue el más relevante. Combinó afectación a sistemas administrativos, notificación regulatoria, adjudicaciones de ransomware y posteriores reportes de posible exfiltración de datos. Aunque no hubo interrupción del transporte, el caso expuso una superficie sensible de una infraestructura crítica petrolera.

¿Qué debe mirar un CISO del sector en primer lugar?

Debe priorizar inventario completo, segmentación TI/OT, MFA, control de terceros y restauración probada. Además, tiene que preparar respuesta para exfiltración de datos, no sólo para cifrado. El advisory sobre Siemens S7 y el caso ASE2000 V2 muestran que la exposición industrial sigue siendo un riesgo real.

¿Los números altos de ataques en Brasil significan que el sector eléctrico fue el más golpeado?

No. Las cifras citadas sobre Brasil incluyen telemetría y recuentos sectoriales amplios. Indican presión elevada sobre el ecosistema digital, y sí muestran que energía y servicios públicos estuvieron entre los sectores más atacados en julio, pero no permiten concluir, por sí solas, cuántos incidentes operativos sufrió cada empresa o subsector.

¿Hay un patrón regional claro?

Sí: la convergencia entre ransomware, filtración de datos, vulnerabilidades industriales y riesgo físico. Argentina muestra el vector corporativo-extorsivo, Chile la maduración normativa y vulnerabilidades de subestación, Colombia el riesgo físico sobre transmisión y Brasil una presión continua y elevada sobre utilities. El desafío común es integrar ciberseguridad, continuidad y seguridad física en un solo modelo de gestión.