Colombia: situación de ciberseguridad, octubre 2026

Amenazas y campañas activas en Colombia

El mes dejó tres frentes activos que merecen seguimiento separado: ransomware y extorsión, fraude o phishing, y actividad de intrusión con malware en entornos de organizaciones colombianas. La separación es importante porque el material no permite mezclar sin pérdida de precisión lo que fue cifrado confirmado, lo que fue extorsión sin cifrado probado y lo que solo apareció como mención en un leak site.

Ransomware y extorsión con impacto verificado

El único caso con cifrado confirmado y afectación operativa clara fue el del Ministerio de Justicia de Colombia, reportado por BlackFog. La fuente habló de archivos cifrados, sistemas aislados y recuperación coordinada. No hubo atribución pública a un grupo ni evidencia reportada de exfiltración, así que el hecho debe leerse como ransomware con impacto operativo confirmado, no como extorsión simple.

En el segundo nivel aparece la exfiltración sin cifrado o con cifrado no determinable. El material sobre Nueva EPS no confirmó acceso no autorizado, pero sí registró una alegación de publicación de datos y un reclamo en foro. Como la propia entidad dijo no haber visto evidencia de acceso a sus sistemas, no corresponde elevarlo a incidente confirmado. Por eso, dentro del conteo de octubre, ese material queda en la zona de tipificación no determinable.

El tercer nivel corresponde a la sola mención en un leak site o registro de ransomware. Ahí aparecen reclamos como el de JHAMF Group y Incomelec en Ransomware.live, pero sin confirmación pública de las empresas en el material disponible. Esos registros sirven para vigilancia, no para contar como impacto confirmado en Colombia.

Fraude y phishing financiero

La señal de fraude y phishing fue la más abundante del mes. Hubo campañas contra Bre-B, suplantación de Banco de Bogotá, falsos mensajes por WhatsApp y llamadas, fraude de nómina, phishing con sitios que imitan portales bancarios y una operación de inversión fraudulenta apoyada en anuncios patrocinados y clonación de voz. El eje común fue la captura de credenciales, códigos de verificación o datos financieros.

La operación ShadowParasite encaja acá como el caso más estructurado. A eso se sumaron los deepfakes con fines económicos, que ampliaron el repertorio de ingeniería social. No todos los hechos tienen víctimas colombianas confirmadas, pero sí impacto o foco en el país. El patrón es consistente con una transición desde el fraude oportunista hacia campañas más industrializadas, automatizadas y multicanal.

El caso de Bre-B merece lectura aparte porque el señuelo no implicaba una falla del sistema de pagos, sino abuso de confianza sobre el proceso de registro o transferencia. Varios medios coincidieron en ese punto. El riesgo no está en la arquitectura del riel de pagos en sí, sino en el uso del nombre de la marca para inducir a entregar credenciales y códigos.

APT, intrusión y malware en organizaciones colombianas

El material de octubre no mostró una campaña APT estatal atribuida de forma concluyente a Colombia, pero sí una actividad sostenida de intrusión y malware contra organizaciones locales. La campaña judicial con XWorm encaja en ese grupo, porque combinó phishing, persistencia, acceso remoto y exfiltración potencial.

También aparecen señales secundarias de actividad sobre servidores Linux, como CL-UNK-1211 reportada por el CSIRT Financiero de Asobancaria. La fuente la describió como una campaña que usa SysGoRAT, web shells y reverse shells contra organizaciones gubernamentales e infraestructura afiliada al Estado. No atribuye la campaña a un actor específico, así que el valor del dato está en la técnica y en el objetivo, no en la autoría.

Vulnerabilidades críticas con impacto en Colombia

La exposición técnica más relevante del mes fue PHP2Shell. La tabla siguiente resume las vulnerabilidades mencionadas, el software afectado, el nivel de explotación y la fuente que lo sustentó. El cuadro incluye solo lo verificable con el material provisto y no amplía por inferencia el alcance de ataque en Colombia.

La lectura local no cambia el hecho técnico central. ColCERT dijo que 8.699 servicios PHP estaban expuestos a internet en Colombia, pero eso no equivale a compromisos confirmados. La combinación de exposición amplia, publicación de parches y validación internacional de explotación activa eleva la urgencia de parcheo, aislamiento temporal y revisión de servicios expuestos.

Regulación y cumplimiento en Colombia

Octubre tuvo menos movimiento regulatorio que septiembre, pero dejó señales útiles en gobernanza de datos, seguridad digital y uso de inteligencia artificial. El foco estuvo en una resolución de la SIC, una estrategia distrital en Bogotá, la agenda de IA en salud en el Senado y una modificación relacionada con finanzas abiertas.

La orden de la SIC sobre ValleCorona es particularmente relevante porque transforma una preocupación abstracta sobre datos sensibles en una obligación concreta de seguridad y transparencia. La estrategia de Bogotá, a su vez, muestra una postura más institucional frente a ciberseguridad pública, con un rol explícito del CSIRT Distrital y lineamientos obligatorios.

En salud, la discusión del Proyecto de Ley 216 avanzó con énfasis en gobernanza de IA, validación clínica, trazabilidad y supervisión humana. No es un tema puramente regulatorio de seguridad, pero sí uno donde ciberseguridad, datos sensibles y responsabilidad institucional aparecen entrelazados. Para equipos de cumplimiento, eso significa preparar inventarios, controles de datos y documentación de riesgos antes de que la norma termine de cerrarse.

Sectores más afectados en Colombia

Banca, fintech y pagos concentraron la mayor densidad de señal del mes, aunque no fueron el único frente. El volumen de fraudes bancarios, la suplantación de Bre-B, la red ShadowParasite y las advertencias sobre credenciales y códigos de verificación explican por qué el sector financiero quedó en primer plano. El riesgo no se limitó a las entidades, sino que se extendió a los usuarios como objetivo final.

Salud también apareció con peso, sobre todo por Nueva EPS y por el debate regulatorio en torno a la inteligencia artificial en el sector. En este caso, la señal no fue homogénea: hubo alegaciones de filtración no confirmadas, discusión pública sobre protección de datos y un intento de estructurar reglas sobre sistemas de IA. La lectura sectorial debe separar rumor, investigación en curso y regulación efectiva.

El sector público quedó marcado por dos tipos de hechos. Por un lado, el ransomware del Ministerio de Justicia, con impacto operativo confirmado. Por otro, la exposición de servicios PHP y el esfuerzo de Bogotá por institucionalizar políticas de seguridad. Eso sugiere una agenda de defensa que combina continuidad operativa, endurecimiento técnico y gobierno de la información.

Telecomunicaciones e infraestructura digital también entraron en la foto por la alerta sobre PHP y por la estrategia estatal de protección de redes, cables submarinos, centros de datos y estaciones satelitales. Aunque la cifra de servicios expuestos no equivale a compromiso, sí muestra que la capa de infraestructura soporta buena parte del riesgo del país.

Tendencias y señales a monitorear en Colombia

La principal tendencia del mes es el corrimiento desde incidentes operativos hacia fraude, phishing y exposición técnica crítica. Frente a septiembre, los incidentes sin tipificar bajaron de 15 a 4 y los casos con ransomware o extorsión cayeron de 13 a 5, mientras el fraude o phishing subió de 3 a 9. Esa variación no sugiere alivio, sino una redistribución del riesgo.

La otra señal fuerte es la persistencia de campañas de suplantación con infraestructura. ShadowParasite no fue una estafa simple, sino una red con dominios, IPs y pasarelas de pago vinculadas. Cuando un caso de fraude aparece con esa arquitectura, la respuesta deja de ser solo educativa y pasa a requerir takedown, bloqueo coordinado, análisis de infraestructura y trabajo con registradores y procesadores de pago.

En el plano técnico, PHP2Shell dejó instalada una alerta de continuidad. CISA la incorporó a su catálogo KEV y distintas fuentes confirmaron explotación activa. Para Colombia, eso obliga a monitorear actualizaciones, revisar exposición de servicios PHP y priorizar activos en entornos públicos, hosting y proveedores de internet. La cifra de 8.699 servicios expuestos funciona como mapa de superficie, no como conteo de compromiso.

También conviene seguir la evolución de los casos de salud y de administración pública. Nueva EPS no confirmó acceso no autorizado, pero el caso mostró la sensibilidad de los datos de afiliación y la facilidad con la que una publicación en un foro puede activar un ciclo de rumor, verificación y presión mediática. En paralelo, la regulación sobre IA en salud y sobre seguridad digital distrital va a exigir capacidades de documentación, trazabilidad y respuesta que todavía no están maduras en muchos organismos.

Recomendaciones para equipos de seguridad en Colombia

Lo más urgente para octubre no es solo bloquear un vector, sino ordenar tres frentes al mismo tiempo: exposición técnica, fraude de identidad y respuesta a incidentes. Si una organización colombiana tiene servicios PHP, debe revisar de inmediato versiones, exposición pública, inventario de activos y plan de contención. Si además opera canales de pagos o atención al cliente, la prevención del fraude debe tratarse como un control de negocio, no como una tarea periférica.

Primero, parchear y reducir superficie expuesta. Los sistemas con PHP deben ir a las versiones corregidas indicadas por CISA y por los avisos técnicos citados en el material. Donde no sea posible actualizar de inmediato, conviene aislar, restringir o sacar de internet los servicios críticos hasta cerrar la brecha.

Segundo, reforzar el control de identidad y de sesión. Las campañas sobre Bre-B, Banco de Bogotá y otros señuelos muestran que el usuario final sigue siendo el principal objetivo. MFA, detección de phishing, validación fuera de banda, bloqueo de dominios parecidos y monitoreo de marcas deben ser parte del mismo programa.

Tercero, revisar los procesos de onboarding y validación documental. Facephi y otras coberturas del mes insistieron en el uso de IA para fraude en apertura de cuentas, selfies manipuladas y cámaras virtuales. Para entidades financieras y aseguradoras, la prueba de vida y la detección de inyección ya no son mejoras opcionales.

Cuarto, preparar respuesta a extorsión y filtración. Los casos de Nueva EPS y los reclamos en leak sites muestran que la reacción debe incluir preservación de evidencia, criterios de comunicación y verificación técnica antes de desmentir o confirmar. Un protocolo claro evita que una alegación se convierta en crisis de reputación por falta de coordinación.

Quinto, registrar y clasificar mejor. La cantidad de hechos sin tipificar sigue siendo alta. Eso no implica menos actividad, sino menos precisión pública. Si las organizaciones colombianas documentan mejor si hubo cifrado, exfiltración, extorsión o simple exposición, el país va a poder leer mejor su propio riesgo mes a mes.

Preguntas frecuentes

¿Qué diferencia hubo entre el ransomware confirmado y los reclamos de extorsión en Colombia este mes?

El caso del Ministerio de Justicia tuvo cifrado y afectación operativa confirmados por BlackFog. En cambio, los reclamos sobre JHAMF Group, Incomelec o TECNA ICE aparecieron como avisos de leak site o afirmaciones de terceros sin confirmación pública en el material. La diferencia está en el impacto verificado, no en la mera amenaza.

¿Qué une a PHP2Shell, el sector público y la infraestructura de operadores en Colombia?

La alerta de ColCERT sobre CVE-2026-109618 y CVE-2026-109619 mostró 8.699 servicios PHP expuestos en Colombia, con gran peso en redes de operadores. Al mismo tiempo, la explotación activa fue confirmada internacionalmente. Eso conecta superficie técnica, hosting y servicios públicos, aunque no pruebe intrusión exitosa en el país.

¿Cómo se relacionan ShadowParasite y los fraudes de Bre-B?

ShadowParasite y los mensajes falsos sobre Bre-B comparten la lógica de suplantación, pero ShadowParasite mostró una infraestructura más amplia, con dominios, IPs y pasarelas de pago vinculadas. Bre-B, en cambio, fue usado como señuelo de confianza para pedir credenciales o códigos. Ambos casos se cruzan en el fraude digital, pero no son la misma campaña.

¿Qué prioridad deberían darle los equipos financieros al mes de octubre?

Deberían priorizar tres cosas a la vez: prevención de phishing, control de marca y verificación de identidad en el alta de clientes. La combinación de ShadowParasite, los señuelos sobre Bre-B y los deepfakes con fines económicos sugiere que el fraude ya opera en varios canales. La sección de amenazas y la de recomendaciones detallan las medidas más urgentes.

¿Qué significa que la amenaza predominante del mes haya sido "sin clasificar"?

Significa que, de los 39 hechos verificados de octubre, 18 no pudieron asignarse de forma limpia a una sola categoría principal. No es ausencia de riesgo, sino límite del material disponible. El mes tuvo señales de fraude, exposición, regulación e incidentes, pero muchas coberturas no permitieron tipificar un único eje de amenaza.

Limitaciones del material

Este informe cubre exclusivamente hechos fechados dentro de octubre de 2026 y usa, además, un único hecho de meses anteriores solo como marco comparativo, sin contarlo como volumen del mes. No se incluyó telemetría agregada, porque el material provisto no la aportó como dato de incidente. Tampoco se incorporaron fuentes excluidas por la propia consigna, como redes sociales de consumo o publicaciones no listadas entre las fuentes disponibles para citar.

Cuando un indicador figura en cero o no disponible, eso significa que no apareció en el material analizado para este mes, no que el fenómeno no exista en Colombia o en la región. En particular, si un CVE no hubiera aparecido, eso no implicaría ausencia de vulnerabilidades críticas explotadas en el país, solo falta de registro en el corpus analizado. En este informe, de todos modos, sí hubo dos CVEs críticos mencionados y confirmados.

Las cifras de telemetría, intentos y bloqueos de vendors no se suman a incidentes ni a confirmaciones de compromiso. Del mismo modo, un reclamo en leak site, una alerta de exposición o una nota de prensa no equivalen por sí solos a una intrusión verificada. En los casos donde el material no permitió distinguir cifrado, exfiltración o simple mención, se preservó esa ambigüedad en lugar de forzar una tipificación.

Por último, varias notas del mes provienen de coberturas secundarias o de análisis comerciales. Cuando una fuente no primaria aportó datos relevantes, se usó solo si el material permitía corroboración suficiente o si la afirmación se mantuvo claramente atribuida. Donde eso no fue posible, el informe lo dejó expresado como una afirmación no plenamente verificable.