Situación Nacional de Ciberseguridad - Junio 2026 - México

Módulos mensuales de referencia

Estos módulos se completan automáticamente con hechos y fuentes verificadas del período. Son la lectura recurrente mes a mes; el análisis posterior desarrolla los casos sin repetir esta síntesis.

Resumen ejecutivo del mes en México

Junio de 2026 dejó una señal clara en México, el mes estuvo dominado por incidentes documentados, con 41 hechos verificados, y por una presión sostenida de ransomware y extorsión, que concentró 17 casos. La fotografía no es la de un evento aislado, sino la de una superficie de ataque amplia, con impacto visible en finanzas, telecomunicaciones, manufactura, sector público y proveedores tecnológicos.

El eje financiero fue el más nítido para medir el daño. Banxico informó ocho incidentes cibernéticos en instituciones del sistema financiero hasta mayo de 2026, el doble de todo 2025, y además identificó familias de ransomware como LockBit y Qilin en eventos concretos. La lectura técnica de esos casos muestra un patrón mixto, con ataques que afectaron transferencias, canales electrónicos y, en algunos casos, extracción de información alojada en terceros.

El mes también mostró una segunda capa de exposición, la de datos personales y credenciales. Hubo filtraciones vinculadas al registro de líneas celulares, a bases de datos presuntamente asociadas con dependencias educativas, a entornos estatales y a dominios fraudulentos usados en campañas ligadas al Mundial 2026. En paralelo, Nissan Americas confirmó una brecha derivada de la explotación de Oracle PeopleSoft que alcanzó operaciones en México, con exposición de datos de empleados y exempleados.

En el frente de explotación activa, las alertas se concentraron en Cisco Catalyst SD-WAN, PostgreSQL Sidecar, FortiSandbox y Microsoft Defender. Smartekh documentó campañas activas contra entidades gubernamentales en México y describió explotación o evidencia de abuso reciente en varias CVE de alto riesgo. El cuadro general es de alta presión táctica, con adversarios que combinan ransomware, filtración de datos, cadenas de suministro y aprovechamiento rápido de vulnerabilidades recién divulgadas.

Panorama nacional del mes en México

La lectura de riesgo para México en junio de 2026 es alta. El volumen es elevado y la severidad también, porque no se trata sólo de más eventos, sino de eventos con capacidad real de interrumpir servicios financieros, extraer información sensible, presionar con extorsión y forzar respuestas regulatorias o técnicas en sectores críticos. La combinación de 41 incidentes documentados, 17 casos de ransomware o extorsión, 4 casos de fraude o phishing y 7 CVEs críticos mencionados dibuja un mes de exposición sostenida.

La tendencia dominante fue el incidente operativo, no el rumor ni la campaña abstracta. Hubo evidencia de compromiso en bancos, en un papelero industrial, en telecomunicaciones, en organismos públicos y en entornos de proveedores. Eso sugiere que el adversario sigue encontrando puntos débiles tanto en la periferia tecnológica como en sistemas internos con dependencia de terceros. El dato de que 82 por ciento de los hechos cuenta con confirmación directa de fuente refuerza que la señal es robusta, aunque el material disponible también arrastra algunas menciones inciertas que obligan a separar hechos verificados de afirmaciones no plenamente corroboradas.

México convivió además con una discusión regulatoria todavía incompleta. Infobae reportó que el país sigue sin una Ley General de Ciberseguridad plenamente instalada y sin un CSIRT Nacional con capacidades robustas, mientras que el Ejecutivo avanzó con la Política General de Ciberseguridad para la Administración Pública Federal. A eso se sumó la exigencia de la CRT de vincular líneas celulares con la CURP antes del 30 de junio, una medida que impacta identidad digital y procesos de autenticación en servicios masivos.

En el contexto regional, el caso mexicano se ubica entre los más activos de América Latina por volumen de presión y por la recurrencia de ransomware. El país aparece en informes periodísticos y técnicos como uno de los entornos más atacados de la región, con una mezcla de ataques oportunistas, campañas preparadas y explotación de vulnerabilidades en componentes de uso extendido.

Indicadores del período en México

Incidentes relevantes en México

Banxico y el sistema financiero mexicano

Banxico actualizó su documento técnico sobre incidentes cibernéticos ocurridos en 2026 en el sistema financiero mexicano y dejó una referencia concreta para leer la evolución del problema. Hasta el 10 de junio, el banco central documentó ocho incidentes en instituciones financieras entre enero y mayo. La mitad de esa historia ya tenía dos nombres propios de ransomware, LockBit y Qilin, y el resto de los casos apuntaba a vulneraciones sobre servicios de transferencias, canales electrónicos o aplicativos de terceros.

El valor del reporte no está sólo en el conteo. También en la tipología. El primer evento, en enero, afectó transferencias electrónicas en un banco y fue contenido sin pérdidas. El segundo, en febrero, comprometió canales y pagos interbancarios y derivó en una pérdida de aproximadamente 91.7 millones de pesos para la institución. En marzo y abril aparecieron incidentes en una SOCAP y en una Sofipo, lo que confirma que la presión no se quedó en la banca tradicional. En mayo, Banxico agregó un caso en una IFPE y otro banco con extracción de información en poder de terceros, sin impacto sobre operaciones financieras.

La lectura técnica es que la superficie crítica se movió entre ransomware, terceros y servicios transaccionales. No hubo un solo vector ganador. Hubo una secuencia de oportunidades explotadas por distintos actores o familias de malware, y esa diversidad complica la respuesta porque exige controles de continuidad, monitoreo de proveedores y vigilancia de integridad de canales. En paralelo, la discusión pública se consolidó alrededor de los riesgos en transferencias, pagos y servicios digitales.

Filtración de datos de telefonía móvil y presión sobre el registro con CURP

Junio también dejó señales de exposición masiva en el ecosistema de telefonía móvil. Infobae México informó que una filtración atribuida a hackers expuso datos de 45,804 usuarios de telefonía celular en México, incluyendo nombres, números de teléfono y RFC. La cobertura ubicó la mayor parte del caso en Chiapas. Moncloa, por su parte, reportó alrededor de 45,000 registros del padrón de usuarios de telefonía móvil, con afectación a Movistar y vínculo con el PANAUT.

El trasfondo regulatorio fue inmediato. La CRT reiteró que las líneas celulares debían vincularse a una CURP antes del 30 de junio, o quedarían bloqueadas. DPL News indicó que, al 12 de junio, 59.167 millones de líneas estaban vinculadas sobre un total de 144 millones, por lo que cerca de 85 millones seguían sin registrar. En ese clima, la filtración adquirió relevancia operativa, porque una base de datos de abonados se cruza con autenticación, recuperación de cuentas y procesos comerciales.

El episodio no fue aislado. A la par circuló material audiovisual y periodístico sobre una presunta filtración más amplia de registros vinculados al mismo ecosistema, aunque parte de esa información fue presentada con reservas o como hipótesis sobre intermediarios. Para efectos de este informe, lo verificable es la exposición confirmada de decenas de miles de usuarios y la fragilidad del esquema de registro de líneas.

Copamex y la amenaza pública de DragonForce

El 3 de junio, DragonForce afirmó haber atacado a Copamex, descrita como una empresa líder en fabricación de papel en México. El grupo amenazó con publicar datos sensibles si no se satisfacían sus demandas. La fuente ubica el caso en el sector industrial, más precisamente en papel y manufactura.

No hay en el material disponible una confirmación independiente de impacto operativo, pero sí una declaración pública de la banda y una amenaza explícita de filtración. Ese formato importa porque revela la lógica de presión: primero la atribución, después la advertencia de publicación y luego la eventual negociación. En términos de riesgo, Copamex entra en la misma familia de hechos que otros casos de junio, donde la extorsión y la publicidad del ataque son parte central del daño.

Ford de México y la presión de Krybit

El 28 de junio, Krybit afirmó haber comprometido a Ford Motor Company, S.A. de C.V., es decir, Ford de México. DeXpose registró la denuncia y la amenaza de publicar información sensible si no había negociación. Un análisis posterior, del 30 de junio, indicó que la empresa no había confirmado públicamente ninguna brecha y que la supuesta cantidad y naturaleza de los datos seguía sin verificación independiente.

Esto deja dos planos distintos. Por un lado, el actor de amenaza reclama una intrusión y la usa como presión. Por otro, no hay confirmación pública suficiente para tratar el caso como brecha validada. Aun así, el episodio pertenece al conjunto de 17 casos de ransomware o extorsión documentados en el mes, porque la amenaza de filtración ya forma parte del patrón de coerción observado sobre México.

Nissan Americas y el efecto transfronterizo de Oracle PeopleSoft

Nissan Americas notificó una brecha vinculada a la explotación de CVE-2026-35273 en Oracle PeopleSoft. El alcance incluyó operaciones en Estados Unidos, Canadá, México y Brasil, con exposición de datos de empleados y exempleados, entre ellos nombres, datos bancarios, archivos financieros y fiscales e identificadores nacionales. Devel Group precisó que la notificación oficial se produjo el 25 de junio.

Aunque la intrusión no se circunscribe sólo a México, sí afecta directamente a personal y procesos del país. El caso es relevante por dos motivos. Primero, por el componente de software empresarial ampliamente desplegado. Segundo, por la naturaleza de los datos expuestos, que puede alimentar fraude, suplantación o campañas de ingeniería social posteriores. En términos operativos, es una brecha de alto valor para actores que monetizan identidad y credenciales.

Campañas contra gobierno y explotación de vulnerabilidades

Smartekh reportó campañas activas contra entidades gubernamentales en México y señaló explotación activa de CVE-2026-20262 en Cisco Catalyst SD-WAN Manager. El aviso de Cisco también incluyó CVE-2026-20245, y describió rutas previas de explotación en otras vulnerabilidades de la misma plataforma. El informe además mencionó explotación limitada de CVE-2026-20253 en PostgreSQL Sidecar y pruebas de concepto para CVE-2026-50656, RoguePlanet, en Microsoft Defender.

La relevancia aquí no es solamente la lista de CVEs. Es el contexto de uso. Hay campaña, hay observación de explotación y hay interés en sistemas que pueden servir de pivote dentro de redes administrativas. El dato cobra peso porque apunta a gobierno y a infraestructura digital usada en entornos con continuidad operativa sensible.

Cronología resumida de hechos de alto impacto