Situación Nacional de Ciberseguridad - Junio 2026 - Colombia

Amenazas y campañas activas en Colombia

Ransomware y extorsión en Colombia

La base del mes no fue un ransomware cifrador clásico, sino la extorsión con enfoque de robo de datos, acceso remoto y presión sobre víctimas corporativas. Silent Ransom Group fue la referencia más útil para entender esa transición. Los reportes citados por SOSRansomware, Rescana, SocPrime y TechCrunch describen un modelo que prioriza vishing, phishing, acceso remoto legítimo, dispositivos USB y hasta la inserción de personas que se hacen pasar por técnicos de TI para entrar físicamente a oficinas.

En clave colombiana, esa modalidad importa porque encaja con entornos de servicios profesionales, BPO, educación, salud y corporativo, los mismos sectores que Semana identificó entre los más afectados por la crisis de mayo y que siguieron apareciendo en junio como zonas de mayor riesgo. No hay evidencia en el material de un evento de ransomware cifrador en Colombia durante el mes, pero sí de una presión sostenida sobre datos y credenciales que alimenta extorsión y fraude.

Fraude y phishing en Colombia

El fraude fue el segundo gran eje del período. La Superintendencia Financiera lanzó el micrositio "Protégete de los fraudes", con foco en phishing, smishing y señales de alerta vinculadas a operaciones financieras digitales. La SIC, por su parte, difundió una campaña frente al aumento de la suplantación de identidad en el país, apoyada en reclamaciones recibidas desde 2022.

La Ley 2573 de 2026 refuerza este frente al exigir validación de identidad, trazabilidad y mecanismos de respuesta ante suplantación, con efectos directos sobre bancos, fintech, telcos y comercios con competencia crediticia. En junio ya no se trató solo de advertir sobre el problema. El regulador empezó a convertirlo en una obligación de proceso, evidencia y respuesta.

APT, hacktivismo y campañas de exposición en Colombia

No hubo material verificable suficiente para atribuir una campaña APT clásica de alcance nacional en junio. Sí hubo, en cambio, evidencia de presión orientada a exposición pública, suplantación y desinformación. El boletín electoral de ColCERT y Registraduría habló de dominios y bots fraudulentos, narrativas manipuladas con inteligencia artificial y hallazgos de credenciales en foros clandestinos. Es una superficie donde el hacktivismo y la operación criminal se rozan sin necesidad de gran sofisticación técnica.

Esa mezcla también aparece en la filtración de Defensores de la Patria. La disputa entre una plataforma que niega la fuga y medios que dicen haber verificado el acceso público a los datos deja un terreno típico de campañas de presión digital, en el que la exposición de información cumple una función política, reputacional y operativa al mismo tiempo.

Vulnerabilidades críticas con impacto en Colombia

Regulación y cumplimiento en Colombia

Ley 2573 de 2026 y su impacto en identidad digital en Colombia

La Ley 2573 de 2026 fue el cambio normativo más sensible del mes en materia de fraude e identidad. La norma desarrolla derechos de habeas data, intimidad y buen nombre frente a la suplantación de identidad, y obliga a entidades financieras, fintech, SEDPE, telcos y comercios crediticios a implementar controles razonables y suficientes para verificar identidad.

El punto más fuerte del régimen es la carga dinámica de la prueba. Si una persona reclama por suplantación, la entidad debe demostrar que sus controles funcionaron. Eso cambia el eje de la discusión, ya no alcanza con tener procedimientos escritos, sino que hay que poder probar su efectividad. Además, el material de Facephi, Cuatrecasas y DataCrédito Experian coincide en que se ordenan mecanismos de suspensión de cobros, corrección de reportes negativos y tratamiento específico de víctimas de falsedad personal.

SIC y la campaña contra la suplantación en Colombia

La Superintendencia de Industria y Comercio lanzó una campaña para prevenir fraudes digitales y alertó por el aumento de la suplantación de identidad. Cuatrecasas también reportó un proyecto de resolución que modifica el Título V de la Circular Única, con nuevas reglas sobre certificación de autorizaciones, bloqueo de información, comunicación previa al reporte negativo, permanencia de datos y reporte anual de reclamaciones.

La lectura práctica para las entidades es directa. El cumplimiento ya no se limita a la formalidad documental. Ahora se espera capacidad de respuesta ante reclamaciones, trazabilidad de autorizaciones y tratamiento diferenciado para víctimas de fraude. El marco regulatorio se está alineando con la presión operativa del delito.

Salud, transporte y administración pública en Colombia

La Resolución 1058 de 2026 del Ministerio de Salud adoptó la Política Nacional de Calidad en Salud 2026 a 2035 y fijó estándares para seguridad de la atención, protección de datos e idoneidad técnica en servicios a distancia. La Resolución 8150 de la Superintendencia de Transporte, por su parte, vinculó el tratamiento de datos sensibles, como biométricos y audiovisuales, con la Ley 1581 de 2012 y definió obligaciones del encargado del tratamiento.

En Presidencia, la Resolución 0419 fomentó el uso estratégico de datos, analítica, datos abiertos e interoperabilidad. Sumadas, estas medidas muestran una administración pública que empieza a ordenar mejor el uso del dato, pero también a reconocer que ese dato requiere controles, trazabilidad y límites más explícitos.

Superintendencia Financiera y control interno en Colombia

La Resolución 0877 del 11 de junio creó los roles de Oficial de Seguridad de la Información y Continuidad del Negocio, y de Oficial de Protección de Datos Personales dentro de la Superintendencia Financiera. Es una señal de madurez institucional, porque lleva la discusión de seguridad desde el plano técnico al de gobierno corporativo y cumplimiento.

La misma entidad lanzó la herramienta "Protégete de los fraudes", con consejos concretos para evitar phishing y smishing, y con referencia expresa a la denuncia por CAI Virtual o Fiscalía cuando se materializa una estafa. La agenda financiera del mes combinó pedagogía, diseño institucional y regulación preventiva.

Sectores más afectados en Colombia

Los sectores con hechos documentados en junio fueron ocho, pero la distribución no fue pareja. Salud, educación, BPO y corporativo siguieron apareciendo como áreas de mayor exposición, de acuerdo con Semana. El sector público también quedó bajo presión por las credenciales del ecosistema electoral, la campaña FortiBleed y diversas resoluciones que apuntan a mejorar controles y perfiles de responsabilidad.

En paralelo, el sector financiero tuvo una presencia destacada desde el ángulo regulatorio y fraudulento. La Ley 2573, la campaña de la SIC y la herramienta de la Superintendencia Financiera muestran que el fraude de identidad está pegando de lleno en esa vertical. No es casualidad que el mes haya dejado tantas piezas sobre verificación de usuario, validación de operaciones y corrección de reportes.

Salud merece una mención aparte. Por un lado, fue uno de los sectores señalados en los reportes regionales de incidencia. Por otro, la Resolución 1058 incorporó requisitos de seguridad de la atención, datos y prestación remota. Eso sugiere que la exposición no es solo de tipo criminal, también regulatoria y operativa. El sector necesita asegurar continuidad, confidencialidad y validez de la información clínica al mismo tiempo.

El transporte y la administración pública cerraron la lista de áreas visibles del período. El tratamiento de biometría, audiovisuales e infraestructura de vigilancia, junto con el impulso al uso estratégico de datos en entidades públicas, refuerza la idea de que los riesgos de junio no se concentraron en un solo vertical, sino que se movieron por capas de gestión estatal y servicios críticos.

Tendencias y señales a monitorear en Colombia

No existe baseline comparativo para este país, porque este es el primer período archivado con este formato de indicadores. Por eso no corresponde inventar una variación mes contra mes. Sí se pueden marcar señales para seguir de cerca a partir de junio.

La primera es el peso creciente de la suplantación de identidad. La SIC, la Ley 2573, la Superintendencia Financiera y DataCrédito Experian apuntan todos en la misma dirección. La validación de identidad dejó de ser un tema periférico y se convirtió en el centro del cumplimiento antifraude.

La segunda es la persistencia de campañas de exposición de credenciales y filtraciones públicas. El caso CNE, la filtración de Defensores de la Patria y los indicadores de compromiso difundidos por el CC-CSIRT sugieren que el frente de credenciales sigue siendo una puerta de entrada importante. También es una señal de que el mercado clandestino continúa activo y con interés en datos colombianos.

La tercera es la exposición del borde tecnológico. FortiBleed y las referencias a vulnerabilidades explotadas activamente muestran que los dispositivos perimetrales, los sistemas de administración y las plataformas ampliamente desplegadas continúan siendo una prioridad para atacantes. Esto vale tanto para el sector público como para empresas con baja visibilidad externa de sus propios activos.

La cuarta señal es el crecimiento de la presión regional. Semana y Portafolio ya ubican a Colombia en el grupo de países más atacados de América Latina. Eso no es solo una estadística regional, también es una advertencia sobre volumen, atractivo para campañas transfronterizas y acumulación de señales adversas en sectores con mucha dependencia digital.

Recomendaciones para equipos de seguridad en Colombia

Primero, revisar el control de credenciales expuestas, tanto en cuentas institucionales como en accesos de terceros. Junio mostró que los atacantes siguen explotando filtraciones y stealer logs como insumo operativo. Rotación, revocación y monitoreo de reutilización deben quedar priorizados.

Segundo, reforzar el tratamiento de identidad digital. Las áreas de fraude, riesgo, cumplimiento y ciberseguridad deberían trabajar con métricas comunes sobre validación, trazabilidad y respuesta a suplantación. Si la entidad no puede demostrar controles, la nueva arquitectura regulatoria la deja en una posición débil.

Tercero, revisar exposición de perímetro y plataformas de administración. FortiBleed dejó un ejemplo claro de cómo un fabricante ampliamente desplegado puede convertirse en vector de riesgo sistémico. Conviene inventariar interfaces expuestas, hardening, MFA, segmentación de administración y criterios de actualización urgente.

Cuarto, fortalecer detección de phishing, smishing y vishing. La campaña de la Superintendencia Financiera y los reportes sobre Silent Ransom Group muestran que el componente humano sigue siendo crítico. Los equipos deben combinar entrenamiento con controles de correo, canales de mensajería y autenticación reforzada.

Quinto, formalizar respuesta ante filtraciones con impacto regulatorio. No basta con investigar el hecho, hay que preservar evidencias, activar mesa legal y definir comunicación externa. En un mes como junio, donde hubo exposición pública de bases y debate sobre autenticidad de la filtración, la velocidad de respuesta importa tanto como la calidad técnica.

Limitaciones del material

El informe se redactó exclusivamente con el material provisto. No se consultó internet ni se usaron fuentes externas fuera de la lista autorizada.

No hay baseline comparativo para el mes anterior, por lo que no se construyeron tendencias cuantitativas intermensuales. Las comparaciones se limitan a lectura cualitativa del período y a referencias regionales contenidas en las fuentes.

Parte del material aparece como atribuido por la fuente o con grado de incertidumbre explícito, por lo que en esos casos se priorizó la formulación prudente y la consolidación de hechos confirmados. Cuando la fuente no permitió validar un extremo, se evitó tratarlo como certeza.

Anexo técnico: indicadores de compromiso y TTPs

El Boletín Informativo N.º 038 del CC-CSIRT indicó la existencia de múltiples indicadores de compromiso asociados con campañas de malware en Colombia, y el boletín PMU Ciber Electoral 2026 N.º 005 remitió recomendaciones sobre rotación de credenciales, autenticación multifactor y monitoreo reforzado frente a suplantación y exposición de cuentas. Además, el material consolidado sobre Silent Ransom Group describe TTPs de vishing, phishing, abuso de herramientas de acceso remoto, uso de RMM, USB y acceso físico encubierto por falsos técnicos de soporte. En el caso de FortiBleed, la fuente resaltó exposición de interfaces de administración y abuso de credenciales en dispositivos Fortinet.