Situación Nacional de Ciberseguridad - Junio 2026 - Perú

Amenazas y campañas activas en Perú

Ransomware y extorsión

El caso Nova contra SUNASS fue uno de los episodios más claros de extorsión del mes. Dexpose informó que el grupo afirmó haber comprometido a la Superintendencia Nacional de Servicios de Saneamiento y amenazó con publicar datos sensibles si no había negociación. El elemento relevante no es solo la atribución, sino el patrón de presión pública, con comunicación directa desde el leak site y amenaza de divulgación.

Un segundo caso de alto interés fue la aparición de San Silvestre School en el sitio de filtraciones de Krybit el 25 de junio. Galaxy Warden indicó que el grupo aseguró haber exfiltrado archivos internos de la institución educativa. El portal ransomware.live ya la registra como víctima asociada a Krybit y Qilin, con un primer vínculo a Qilin en enero de 2026. Esto muestra continuidad del targeting sobre el sector educativo y reutilización de víctimas en el ecosistema de filtraciones.

También hubo una referencia a Corporación Primax como víctima listada por Aurora, aunque esa mención quedó atribuida por una fuente especializada y no se describió con el mismo nivel de confirmación que los casos anteriores. Aun así, el hecho se suma al bloque de señales que apuntan a empresas grandes y con huella operativa amplia.

Red Piranha, en su reporte del 23 al 29 de junio, registró cuatro víctimas de ransomware en Perú durante esa semana. El dato confirma que no se trató de casos aislados, sino de una continuidad semanal en la actividad de ransomware en el país.

Fraude y phishing

HP destacó para el mercado peruano los ataques de phishing impulsados por inteligencia artificial y las estafas basadas en deepfakes como riesgos relevantes para 2026. DPL News, a partir del Consumer Cybersecurity Survey 2025 de Bitdefender, señaló que más de 28 millones de peruanos están expuestos a estafas digitales. Entre las prácticas más frecuentes aparecen la suplantación de identidad, los sorteos o promociones falsas, el phishing por mensajes directos y el fraude potenciado por imágenes o videos generados con IA.

Ese bloque no se tradujo en una sola campaña pública dominante en junio, pero sí en una presión sostenida sobre usuarios y organizaciones. Para equipos de seguridad, el dato útil es que el material de referencia ya incorpora IA tanto del lado defensivo como del lado ofensivo, y eso cambia la calidad del engaño y la velocidad de amplificación de los mensajes maliciosos.

APT y hacktivismo

No hubo material verificable suficiente para identificar una campaña APT formal en el período. El único elemento con rasgos de hacktivismo o amenaza organizada fue el caso de la PNP, donde una cobertura periodística mencionó a un grupo autodenominado Latam Fuckers ofreciendo datos en la dark web. Sin embargo, el material disponible no permite consolidar una atribución de campaña persistente con el rigor necesario para afirmarla como tal.

Vulnerabilidades críticas con impacto en Perú

Regulación y cumplimiento en Perú

Junio fue un mes de ejecución normativa más que de anuncio abstracto. La ANPD informó sanciones a una empresa por uso indebido de datos personales, con multas de hasta S/ 194 mil. Ese dato, por sí solo, marca una línea clara sobre el tipo de incumplimientos que siguen teniendo impacto económico concreto en el país.

La Ley N.º 29733 y la directiva sobre oficial de datos personales siguieron ordenando la agenda de cumplimiento. Garrigues indicó que las entidades obligadas tenían hasta el 30 de junio de 2026 para adecuarse a la designación del oficial de datos personales, y que el deber aplica a empresas con ventas anuales superiores a 2300 UIT que entren en los supuestos previstos por la directiva. También precisó que la ANPD publica desde abril un listado de oficiales designados, lo que introduce una capa de verificación pública.

Reniec aprobó, mediante la Resolución Jefatural N.º 000065-2026/JNAC/RENIEC, su Política y Objetivos Integrados de Calidad, Antisoborno, Seguridad de la Información, Gobierno y Protección de Datos. En términos de gestión interna, ese movimiento sugiere que la seguridad deja de estar en un silo técnico y pasa a integrarse en marcos más amplios de gobierno corporativo y calidad institucional.

La SBS también tomó protagonismo. Ecosistema Startup y El Peruano reflejaron que el regulador avanzó con el esquema de Banking-as-a-Service y open finance, con ciberseguridad como requisito central. El reglamento de BaaS se publicaría en julio de 2026 y la norma general de finanzas abiertas a inicios de 2027, con un año de adecuación y un inicio formal de intercambios en 2028. La apertura sería obligatoria en primera instancia para los cuatro bancos más grandes del país, y luego se ampliaría a otras entidades que demuestren capacidad técnica, gestión de riesgo y controles robustos.

La Universidad Wiener reforzó ese encuadre al señalar que las circulares vigentes de la SBS exigen sistemas robustos de gestión de riesgos de seguridad de la información. En paralelo, el artículo de Stakeholders agregó que Marsh propone cinco pilares para responder al aumento de ciberamenazas: gobierno y cultura, gestión de ciberriesgos, controles, capacidad de respuesta y continuidad del negocio. El conjunto de esas señales apunta a una regulación que ya no se limita a la protección de datos, sino que empieza a condicionar el acceso a ecosistemas financieros abiertos.

Sectores más afectados en Perú

El sector público concentró parte de las señales más sensibles del mes. La PNP fue el caso más visible, con impacto potencial sobre datos personales de ciudadanos y agentes, además de una afectación operativa en su sitio institucional. SUNASS también apareció en el radar de extorsión por ransomware. Cuando el material del mes pone en primer plano a entidades públicas, el problema no es solamente técnico, sino de continuidad del servicio, reputación institucional y resguardo de datos de terceros.

La educación también quedó expuesta. San Silvestre School fue listada en un leak site de ransomware y, según la cobertura de Galaxy Warden, habría sufrido exfiltración de archivos internos. El dato es relevante porque muestra que el interés de los atacantes no se limita a organismos con funciones críticas estatales; también alcanza a instituciones educativas con información sensible de alumnos, familias y personal.

El sistema financiero y los servicios digitales regulados aparecieron por la vía normativa más que por incidentes públicos concretos. La SBS colocó la ciberseguridad como requisito para open finance y BaaS, y eso implica que bancos, fintech y proveedores asociados quedan bajo mayor exigencia de preparación. A la vez, las referencias de HP, DPL News y Stakeholders muestran que el mercado peruano enfrenta presión creciente por phishing, deepfakes y fraude digital, lo que obliga a bancos y plataformas de atención a endurecer validaciones y monitoreo de canales.

También hubo señales para energía y combustibles, aunque más difusas. Gestión mencionó a finanzas, minería y energía como sectores expuestos, y la mención de Primax como presunta víctima de ransomware confirma que la superficie de riesgo incluye operadores con alta capilaridad logística. El material no permite medir incidencia por sector con precisión estadística adicional a la ya provista, pero sí marca una convergencia entre Estado, educación, finanzas y empresas de gran escala.

Tendencias y señales a monitorear en Perú

No hay baseline comparativo porque este es el primer período archivado con este formato de indicadores para Perú. Eso impide establecer variaciones mes contra mes en sentido estricto, pero sí permite identificar señales estructurales del mes.

La primera tendencia es la normalización de incidentes con exposición pública. El país no solo acumula hechos, sino que varios fueron lo bastante visibles como para entrar en cobertura periodística y en alertas oficiales. La segunda es la persistencia del ransomware como forma de extorsión con foco en instituciones y empresas de marca conocida. La tercera es la maduración regulatoria, con un Estado que endurece cumplimiento en datos personales y prepara el terreno para open finance con requisitos de seguridad explícitos.

En paralelo, conviene seguir dos frentes. Uno es la respuesta institucional, porque el anuncio del simulacro del CNSD y la publicación de la alerta integrada muestran una arquitectura de coordinación que podría ganar frecuencia. El otro es el cumplimiento, ya que el vencimiento del 30 de junio para oficiales de datos personales y el despliegue del esquema BaaS/open finance van a poner presión concreta sobre áreas legales, de seguridad y de arquitectura tecnológica.

Recomendaciones para equipos de seguridad en Perú

1. Revisar accesos privilegiados y cuentas de terceros, con foco en portales expuestos a proveedores y esquemas de integración externa. El caso Sismate mostró que el riesgo no está solo en el sistema central, sino en la cadena de acceso.
2. Priorizar protección de datos personales y validación de controles técnicos y organizativos. La ANPD ya está sancionando y el costo de no demostrar medidas adecuadas dejó de ser teórico.
3. Fortalecer mecanismos anti phishing con filtrado de correo, entrenamiento contextual y verificación fuera de banda para operaciones sensibles. El material del mes apunta a campañas más creíbles, con uso de IA y suplantación.
4. Preparar respuesta específica para extorsión por ransomware, incluyendo playbooks para leak sites, negociación legal, preservación de evidencia y comunicación externa.
5. Inventariar dependencias de proveedores críticos y contratos con cláusulas de seguridad, auditoría y notificación. Los eventos del mes muestran que el eslabón de terceros puede desencadenar incidentes de gran alcance.
6. Para entidades financieras y fintech, alinear gobierno, riesgo y ciberseguridad con los requisitos que ya empieza a marcar la SBS para open finance y BaaS.
7. Validar respaldo, segmentación y restauración, especialmente en organizaciones educativas y públicas, donde la continuidad operativa suele verse afectada por intrusión y exfiltración.

Limitaciones del material

El presente informe se elaboró exclusivamente con el material provisto para junio de 2026 y sin acceso a internet. No se incorporaron fuentes externas, inferencias no respaldadas ni datos no presentes en el research.

Algunos hechos aparecen atribuidos por la fuente como no totalmente confirmados, en particular varias menciones a leak sites, supuestos volúmenes de datos y ciertas referencias de mercado. En esos casos, se conservaron solo como señales de contexto y no como afirmaciones categóricas cuando el material no alcanzó para una validación directa.

Tampoco se identificaron CVEs críticos mencionados en el período, ni se dispuso de IoCs o TTPs publicados de forma explícita por las fuentes citadas. Por eso no se incluyó una sección técnica de indicadores de compromiso.