Paraguay: situación de ciberseguridad, junio 2026

Indicadores del período en Paraguay

Incidentes relevantes en Paraguay

Sanatorios y medicina privada, impacto operativo por ransomware

El caso más sensible del mes fue el ataque que afectó a sanatorios y empresas de medicina privada en Paraguay. La cobertura de La Tribuna y El Nacional describe paralización de sistemas, operación manual y demoras en admisión, estudios, consultorios, pagos y atención al asegurado. También se mencionan instituciones concretas, entre ellas Migone, Grupo Británico, Las Lomas, Santa Clara y Reyva. El valor analítico del caso no está solo en la atribución a ransomware, sino en la degradación del servicio clínico, que obliga a rediseñar procesos en tiempo real y expone a los prestadores a una tensión directa entre continuidad operativa y manejo de información clínica.

La fuente pública no confirma pago de rescate ni filtración consumada de datos en el momento de la nota. Sí deja claro que el impacto operativo fue suficiente para obligar a reimplantar procedimientos manuales. En salud, esa clase de interrupción tiene efectos que exceden a la tecnología: altera registros, tiempos de espera y, potencialmente, la trazabilidad de atenciones.

Enrique Remmele S.A.C.I. y Krybit

El 17 de junio de 2026, Malware.news y ransomware.live registraron a Enrique Remmele S.A.C.I. como víctima de Krybit. La información pública disponible apunta a una fase temprana de documentación: el portal de seguimiento indica país Paraguay y fecha estimada de ataque el mismo 17 de junio, con algunas credenciales de terceros comprometidas, pero sin inventario completo del daño. No hay en el material un detalle cerrado sobre el tipo de exfiltración ni sobre un cifrado confirmado en este caso.

Lo relevante para el informe nacional es que ERSA aparece como una víctima industrial con exposición pública en un grupo ransomware que operaba ya como RaaS y con técnicas de doble extorsión. Para Paraguay, eso suma una señal de riesgo sobre manufactura e industria de proceso, donde la indisponibilidad y la presión reputacional suelen ir juntas.

Grupo Riquelme y Nightspire

El 25 de junio de 2026, DeXpose reportó que Nightspire afirmó haber atacado al conglomerado paraguayo Grupo Riquelme. Ransomware.live fecha el caso al 13 de junio y detalla categorías de información supuestamente comprometidas, como bases de datos, datos bancarios y financieros, registros contables, información de clientes, recursos humanos y datos de aplicaciones empresariales críticas. Breachsense añadió que la filtración atribuida alcanza 133 GB, aunque ese dato no prueba por sí mismo el contenido exacto ni la magnitud de daño operativo.

En este incidente, la fuente sí permite ubicarlo con claridad en la lógica de extorsión sobre datos. Lo que no permite es confirmar de manera concluyente si hubo cifrado de activos o si el foco estuvo en la amenaza de divulgación. Por eso, para efectos analíticos, el caso debe leerse como extorsión con exposición potencial de múltiples capas de información corporativa.

Reconocimiento facial en Asunción, petición ante la CIDH

EFF, TEDIC y CEJIL presentaron una denuncia ante la Comisión Interamericana de Derechos Humanos contra el Estado paraguayo por la negativa a entregar información sobre sistemas de reconocimiento facial usados como vigilancia masiva. La petición se formalizó el 19 de junio, según El Notariado, y EFF describe que el caso gira en torno a cámaras instaladas desde 2019 en Asunción y a la falta de acceso a protocolos de uso y tratamiento de datos biométricos.

Aunque no se trata de un incidente de ciberintrusión, sí es un hecho de seguridad y gobernanza digital con impacto directo sobre privacidad y control democrático. El caso pone en evidencia que el debate de ciberseguridad en Paraguay ya no pasa solo por malware o fraude, sino también por transparencia estatal, biometría y derechos fundamentales.

IRS, alteración de registros y fraude informático

El informe de Auditoría Interna del IPS documentó un esquema de alteración de registros en el sistema REI para ocultar deudas patronales y trasladarlas a identidades ficticias o fallecidas. El material disponible describe una manipulación interna de datos y no una intrusión externa clásica, pero sí constituye un caso de fraude informático con impacto patrimonial. El patrón es distinto al ransomware, aunque el efecto sobre integridad de la información es similar en cuanto a confianza y trazabilidad.

Para la lectura nacional, el caso funciona como recordatorio de que los riesgos de seguridad no vienen solo desde fuera. La manipulación de sistemas internos por usuarios con acceso también puede producir daño material, fraude y problemas de control.

Amenazas y campañas activas en Paraguay

Ransomware y extorsión: cifrado confirmado

En junio se pudo confirmar cifrado de activos en tres casos del país, pero solo uno de ellos fue descrito con suficiente claridad operativa en el material: el ataque contra sanatorios y empresas de medicina privada, que dejó sistemas paralizados y obligó a operar de manera manual. Ese cuadro es consistente con cifrado o indisponibilidad fuerte provocada por ransomware, aunque la fuente pública no entrega detalles forenses del payload ni de la recuperación.

Para no sobredimensionar lo no probado, conviene separar ese caso de otros en los que la fuente solo describe una reivindicación en portal de filtraciones o una amenaza de divulgación. En el entorno paraguayo de junio, esa distinción importa porque la lectura de riesgo cambia bastante según si hubo cifrado, exfiltración o solo publicación de la víctima.

Ransomware y extorsión: exfiltración o presión sobre datos sin cifrado determinable

Grupo Riquelme encaja mejor en esta categoría. Nightspire afirma el ataque y la exposición de datos sensibles, y ransomware.live enumera categorías comprometidas. Sin embargo, el material no deja cerrado si la operación incluyó cifrado de sistemas, solo exfiltración o una combinación de ambos. Algo parecido ocurre con ERSA, donde la visibilidad pública está centrada en la reivindicación de Krybit, la advertencia de publicación de datos y la ficha de víctima en sitios de monitoreo, pero no en un postmortem técnico completo.

Ese matiz es importante para equipos defensivos y de compliance. No todo caso listado por un grupo en su portal implica necesariamente pérdida de disponibilidad. A veces la presión es sobre la confidencialidad y la negociación, no sobre la operación. En otros, como salud privada, el daño operativo sí fue visible desde el principio.

Ransomware y extorsión: sola mención en leak site

El material de junio también deja casos en los que la señal pública es principalmente una mención en sitios de filtración o de inteligencia de amenazas. Eso no equivale por sí mismo a confirmación de impacto total, pero sí acredita interés del actor y una exposición que puede evolucionar. En el informe nacional, esa categoría sirve para no mezclar hechos ya verificados con campañas que aún están en fase de reivindicación.

Fraude y phishing

El material documenta tres casos de fraude o phishing en el período. El más claro es el esquema interno detectado en el IPS, donde se manipularon datos para trasladar deudas y crear apariencia de regularidad. Aunque no sea phishing en sentido estricto, sí se trata de fraude documentado con uso indebido de sistemas. Además, la información técnica sobre Krybit describe phishing dirigido como vector de acceso, pero eso aparece como rasgo del actor y no como un incidente local independiente en Paraguay.

APT, espionaje o hacktivismo

No hubo en el material del mes un caso paraguayo claramente tipificado como APT o hacktivismo con impacto confirmado. El eje de amenaza dominante siguió estando en ransomware, extorsión y fraude interno. Eso no implica ausencia de riesgo de espionaje o activismo, solo que el conjunto de hechos verificados no alcanzó para sostener una tipificación en ese sentido.

Vulnerabilidades críticas con impacto en Paraguay

Regulación y cumplimiento en Paraguay

Junio fue especialmente activo en regulación. El país ya tiene la Ley 7593/2025 sobre Protección de Datos Personales, con vacatio legis hasta noviembre de 2027, y eso siguió generando análisis sobre adecuación interna, consentimiento, transparencia, proporcionalidad y evaluaciones de impacto. El punto crítico no es solo jurídico, sino operativo: qué sistemas usan datos sensibles, cómo se documenta la finalidad y quién tiene acceso a tratamientos automatizados.

En paralelo, se documentó un proyecto de ley sobre propaganda electoral en redes sociales que prohíbe microtargeting basado en perfiles ideológicos o afiliaciones políticas sin consentimiento y crea un registro obligatorio de cuentas para publicidad política digital. También se reportó que legisladores impulsan una estrategia para regular IA y reglamentar la ley de datos, con clasificación por niveles de riesgo, prohibición de vigilancia biométrica indiscriminada y un registro público de sistemas de IA. Eso muestra una agenda que intenta cerrar varias brechas al mismo tiempo, aunque todavía a nivel de diseño.

El frente de activos digitales también avanzó. Revista Plus y Atlas21 informaron sobre trabajos regulatorios para aplicar normas del mercado de valores a activos digitales y sobre nuevas obligaciones de reporte para transacciones en bitcoin y otras criptomonedas superiores a 5.000 dólares anuales. InfoNegocios, a su vez, remarcó que Paraguay sigue sin una ley fintech ni un marco integral único para activos digitales, lo que obliga a operar con reglas parciales de varias autoridades. El cuadro resultante es de mayor supervisión, pero todavía fragmentada.

La denuncia de EFF, TEDIC y CEJIL ante la CIDH por el uso secreto de reconocimiento facial agrega una dimensión distinta. No es solo cumplimiento, sino gobernanza democrática de tecnologías de vigilancia. Para las organizaciones que trabajan con biometría, videovigilancia o analítica automatizada, el mensaje es claro: el período de transición regulatoria ya no es teórico.

Sectores más afectados en Paraguay

La señal sectorial del mes se concentró en salud privada, industria, servicios jurídicos o de cumplimiento, y en el área pública vinculada a vigilancia y a gestión de datos. Salud privada fue el sector con mayor impacto operativo visible. La razón es obvia: un sistema clínico caído afecta agendamiento, historias médicas, admisión, cobros y atención. En ese tipo de entorno, la continuidad digital no es una comodidad, es parte del servicio.

Industria aparece por el caso de ERSA y también por la exposición de conglomerados como Grupo Riquelme. Ahí la preocupación pasa por disponibilidad, secretos comerciales, contabilidad, datos de clientes y continuidad de procesos administrativos. La lógica de extorsión es distinta, pero igual de sensible. Si un grupo empresarial maneja varias líneas de negocio, un solo incidente puede atravesar más de un frente operativo.

El sector público también figura, aunque por otros motivos. IPS no fue una intrusión externa documentada, sino un caso de manipulación interna de registros. Aun así, el daño es comparable en términos de integridad de la información y de confianza institucional. La denuncia sobre reconocimiento facial, en tanto, abre un frente de privacidad y vigilancia estatal con efectos transversales para toda la administración.

El conjunto de hechos muestra además una relación cada vez más estrecha entre tecnología, regulación y servicios al público. Salud, finanzas, vigilancia, consumo y criptoactivos aparecen conectados por la necesidad de reglas claras, trazabilidad de acceso y respuesta a incidentes. No se trata de sectores aislados, sino de capas superpuestas de una infraestructura digital que todavía está madurando.

Tendencias y señales a monitorear en Paraguay

No hay baseline comparativo mes contra mes porque este es el primer período archivado con este formato de indicadores para Paraguay. Por eso no corresponde inventar una tasa de aumento o disminución respecto de mayo. Sí puede afirmarse que junio dejó una combinación de ransomware operativo, extorsión sobre datos y expansión regulatoria que merece seguimiento en julio.

La primera señal a monitorear es salud privada. Si persisten incidentes con operación manual, significa que la resiliencia y los planes de recuperación todavía no absorben la carga de ataques de este tipo. La segunda es industria y conglomerados. La exposición de ERSA y Grupo Riquelme sugiere que los atacantes siguen encontrando valor en compañías con múltiples unidades de negocio y datos financieros o laborales de alto impacto.

La tercera es la maduración de la agenda normativa. La Ley 7593/2025, las iniciativas sobre IA, la regulación de propaganda electoral y las reglas sobre activos digitales apuntan a una aceleración real del cumplimiento. Para los equipos de seguridad, eso cambia el enfoque: ya no alcanza con responder incidentes, también hay que documentar tratamientos, accesos, monitoreo y uso de biometría.

La cuarta señal es la tensión entre vigilancia y privacidad. El caso de la CIDH puede convertirse en referencia regional si avanza. Si eso ocurre, Paraguay tendría que revisar no solo la legalidad del despliegue, sino la transparencia y la evaluación de impacto de tecnologías de reconocimiento facial.

Finalmente, conviene seguir la evolución técnica de Krybit y Nightspire. El material de junio describe grupos con RaaS, doble extorsión, uso de herramientas legítimas, abuso de RDP y, en el caso de Nightspire, una técnica de intrusión que llega a explotar CVE-2024-55591 en algunos escenarios. Eso no significa que Paraguay esté siendo blanco de una única campaña, pero sí que se enfrenta a actores que combinan accesos oportunistas y presión pública.

Recomendaciones para equipos de seguridad en Paraguay

1. Priorizar continuidad operativa en salud, industria y servicios con atención al público. Si un ransomware obliga a pasar a modo manual, la organización ya llegó tarde al plan de respuesta. Hay que probar recuperación, segmentación y restauración con ejercicios reales.
2. Revisar accesos remotos, RDP y herramientas de administración legítima. Los actores observados en el material usan software de acceso remoto, administración y exfiltración que puede pasar inadvertido si no hay control fino de comportamiento.
3. Fortalecer el control de identidades y privilegios internos. El caso del IPS muestra que la amenaza también puede venir de adentro, con usuarios que alteran datos, estados de cuenta o trazabilidad.
4. Preparar inventarios de datos sensibles y tratamientos automatizados. La Ley 7593/2025 y el debate sobre IA, biometría y vigilancia exigen saber qué datos se procesan, con qué base legal y quién accede.
5. Revisar el uso de biometría y videovigilancia con criterios de minimización, transparencia y evaluación de impacto. El caso de reconocimiento facial ante la CIDH puede elevar el estándar esperado para entidades públicas y privadas.
6. Segmentar sistemas clínicos, contables y de atención al cliente. La combinación de cifrado y extorsión hace que una sola caída afecte varias funciones críticas al mismo tiempo.
7. Vigilar superficies expuestas en servicios de borde y aplicaciones públicas. El material técnico sobre ransomware en junio insiste en vectores como phishing dirigido y explotación de servicios expuestos sin parche.
8. Alinear seguridad con cumplimiento regulatorio en activos digitales y pagos. Las nuevas reglas de reporte cripto y las exenciones fiscales para PSAV y fintech implican procesos documentales y controles de trazabilidad que no deberían quedar fuera del área de seguridad.

Limitaciones del material

Este informe fue elaborado exclusivamente con el material provisto para Paraguay en junio de 2026. No hubo acceso a internet ni a fuentes externas fuera de la lista autorizada. La ventana temporal de los indicadores incluye 66 hechos con fecha en junio de 2026, 3 hechos de meses anteriores usados solo como marco comparativo y 1 hecho sin fecha confirmada, que quedó excluido de los indicadores.

Un punto metodológico clave es que un indicador en cero, en particular el de CVEs si hubiera sido el caso, significa solo que no se registró en el material analizado, no que no exista actividad o explotación crítica en la región. En este mes, el indicador de CVEs críticos mencionó 1 caso, por lo que la ausencia de otros nombres no debe interpretarse como ausencia de vulnerabilidades en Paraguay o en América Latina.

También hay que distinguir entre incidentes y telemetría. La cifra de 734,5 millones de intentos de ciberataques citada por La Nación y atribuida a Fortinet corresponde a intentos o bloqueos automatizados de 2025, no a incidentes con impacto confirmado en junio de 2026. Por eso no integra el volumen del mes ni sirve para medir por sí sola el daño real.

En materia de fuentes, se excluyeron redes sociales de consumo, contenido patrocinado y notas cuyo valor era principalmente promocional. Cuando una afirmación dependía solo de material con atribución incierta, fue tratada como tal y no como certeza. El informe prioriza hechos confirmados, avisos del propio medio o del rastreador técnico, y documentación regulatoria o institucional disponible en el archivo provisto.