Paraguay: situación de ciberseguridad, agosto 2026

Amenazas y campañas activas en Paraguay

Fraude y phishing bancario

El frente más activo del mes fue el fraude bancario basado en phishing, páginas clonadas y robo de credenciales. Hubo casos concretos con pérdidas altas, varios relatos coincidentes sobre home banking falso y alertas oficiales sobre cómo reaccionar ante enlaces, correos y formularios sospechosos. La densidad de este eje explica buena parte del aumento de los hechos documentados frente a julio.

La nota operativa no es que el phishing sea nuevo, sino que este mes tuvo mejor documentación y más impacto económico visible. El caso Vallejo funcionó como detonante mediático, pero no fue un caso aislado. Los reportes apuntan a una campaña de suplantación de confianza con foco bancario y también estatal.

Hacktivismo y DDoS contra sitios del Estado paraguayo

En agosto circularon reclamos de ataques DDoS contra el Ministerio de Relaciones Exteriores y la Secretaría Nacional de Cultura, atribuidos en redes al grupo The Garuda Eye y, en una alerta preventiva, tratados como no confirmados por la propia fuente de monitoreo. No hubo evidencia pública suficiente para convertir esas atribuciones en incidentes operativos cerrados, pero sí quedaron como señales de presión sobre portales gubernamentales.

Este bloque se mueve en un terreno distinto del fraude financiero. No muestra robo de dinero ni exfiltración confirmada, sino una campaña de visibilización política y presión reputacional. En términos de lectura de riesgo, eso obliga a separar el ruido de atribución en redes de la confirmación técnica de indisponibilidad o compromiso.

Ransomware y extorsión

No se registraron casos de ransomware tipificables en el período. Tampoco hubo hechos confirmados de extorsión con cifrado como eje primario, ni de exfiltración con extorsión simple que pudiera sostenerse con el material provisto. El único dato cercano fue una referencia contextual a cooperativas que salían de un ataque de ransomware, pero la fuente no aportó suficientes detalles para incorporarlo como incidente del mes.

Vulnerabilidades críticas con impacto en Paraguay

El material de agosto mencionó tres CVEs críticos, todos en productos de uso extendido fuera del país, pero relevantes para entornos paraguayos por exposición técnica e institucional. No hubo explotación confirmada en Paraguay a partir de esos avisos, aunque sí referencias oficiales y técnicas que justifican seguimiento por su posible impacto en redes corporativas y gubernamentales.

La señal más fuerte vino de Ubiquiti, que publicó el Advisory Bulletin 067 con 22 vulnerabilidades en la familia UniFi, incluyendo tres fallos de severidad máxima. También hubo avisos sobre Samba y Joomla, pero el material del mes no permitió asociarlos con incidentes paraguayos confirmados. Aun así, para equipos locales son parches que no deberían quedar fuera del ciclo de remediación.

Regulación y cumplimiento en Paraguay

El mes estuvo marcado por una expansión regulatoria en tres frentes: datos personales, criptoactivos y ciberseguridad. La Ley N.º 7.593/2025 apareció una y otra vez en análisis jurídicos y de cumplimiento, mientras la DNIT puso en marcha la Resolución General N.º 47/2026 sobre operaciones con criptoactivos y el Congreso mantuvo vivo el proyecto de Ley de Ciberseguridad. La señal de fondo es más regulación, pero también más fricción sobre alcance, proporcionalidad y tiempos de aplicación.

La Ley N.º 7.593/2025 fue descrita como inspirada en estándares tipo GDPR y con multas que, según el análisis citado, van desde 20 a 2.500 jornales mínimos, con escalas mayores para datos sensibles y menores de edad. El dato clave para agosto es que la norma aún no regía plenamente, por lo que el vacío operativo seguía abierto mientras se discutían sus efectos prácticos.

La DNIT, por su parte, avanzó con una obligación de declaración informativa anual para criptoactivos, con primera presentación en marzo de 2027 y umbral de USD 5.000 para determinar quién informa. El debate jurídico fue intenso: se cuestionó la necesidad y proporcionalidad de los datos requeridos, y los exchanges pidieron una mesa técnica antes del vencimiento. Eso convierte a la regulación en un tema de ciberseguridad y privacidad, no solo tributario.

En paralelo, el proyecto de Ley de Ciberseguridad siguió en revisión técnica e institucional, con críticas por definiciones amplias, superposición de conceptos y dudas sobre infraestructura crítica. La audiencia pública terminó en una nueva mesa de trabajo, señal de que el texto todavía no tenía consenso suficiente.

Sectores más afectados en Paraguay

El sector financiero volvió a ser el más expuesto del mes, pero no por un único tipo de incidente sino por la acumulación de vaciamientos de cuentas, phishing, alertas de banca web, fraude con criptomonedas y presión regulatoria sobre intermediarios. La banca tradicional, las cooperativas y los servicios de pago aparecieron atravesados por el mismo patrón, abuso de credenciales y suplantación de interfaces.

El segundo bloque de mayor impacto fue el sector público. Allí convivieron ataques de phishing contra portales estatales, DDoS reclamados contra sitios gubernamentales, discusiones sobre protección de datos y la puesta en marcha de controles tributarios sobre criptoactivos. En otras palabras, la superficie de ataque no se limitó a los bancos, sino que alcanzó al aparato estatal como marca de confianza y como infraestructura de servicio.

Un tercer frente, de menor volumen pero alto valor estratégico, fue el de telecomunicaciones y sistemas corporativos, con el caso Copaco como referencia. No hubo suficientes hechos para hablar de una crisis sistémica en ese sector, pero sí de una intervención fiscal sobre sistemas internos que merece seguimiento.

La distribución sectorial del mes sugiere una concentración en confianza digital más que en infraestructura crítica pura. Los hechos más dañinos para usuarios y organizaciones se apoyaron en engaño, clonación de sitios y captura de credenciales, no en malware destructivo ni en explotación masiva de vulnerabilidades locales.

Tendencias y señales a monitorear en Paraguay

La comparación con julio muestra tres cambios fuertes: menos incidentes sin tipificar, desaparición del eje ransomware/extorsión y un salto de los fraudes y phishing documentados. Ese corrimiento no implica que el país esté "mejor", sino que el daño visible se movió hacia la ingeniería social, el fraude bancario y la regulación, con una agenda de respuesta más distribuida y menos centrada en un solo incidente grande.

También creció con fuerza la actividad regulatoria. Pasó de 1 movimiento documentado en julio a 11 en agosto, con foco en datos personales, criptoactivos, ciberseguridad y comercio electrónico. Esto sugiere que el Estado está tratando de cerrar vacíos, pero la discusión abierta sobre proporcionalidad, competencia y vacatio legis muestra que el marco todavía no está estabilizado.

La amenaza predominante siguió siendo "sin clasificar", aunque un hecho más que en julio. Eso no es una señal de vacío analítico, sino de diversidad real de eventos que no encajan en una sola taxonomía. En agosto hubo demasiado fraude, demasiada regulación y demasiada atribución incierta para condensar el mes en una sola familia técnica.

En términos de vigilancia, conviene seguir tres señales: si vuelven a aparecer casos de ransomware en cooperativas o entidades críticas, si la DNIT ajusta la resolución sobre criptoactivos por presión operativa, y si el proyecto de Ley de Ciberseguridad incorpora definiciones más precisas sobre infraestructura crítica y competencia institucional. El mes dejó claro que el costo de la desorganización normativa se traslada rápido al usuario final y al sector financiero.

Recomendaciones para equipos de seguridad en Paraguay

Revisar controles de autenticación y anti phishing en banca web y portales de atención, con énfasis en detección de sitios clonados, validación de dominios y endurecimiento de segundas pantallas o flujos de token. Los casos del mes muestran que el vector dominante fue la suplantación de interfaces, no la fuerza bruta.

Endurecer la respuesta a fraude con procedimientos simples y públicos: bloqueo inmediato de accesos, canal único de denuncia, preservación de evidencia y coordinación con Policía, Fiscalía y CERT-PY. En paralelo, entrenar a usuarios y operadores para reconocer correos, SMS y formularios que imitan al Estado o a una entidad financiera.

Priorizar parches en entornos con Ubiquiti, Samba y Joomla, especialmente si hay exposición de administración remota o uso en redes corporativas y gubernamentales. Aunque el material no confirmó explotación en Paraguay, los avisos publicados en agosto fueron de severidad suficiente como para entrar en el ciclo de mantenimiento sin demora.

Revisar el tratamiento de datos recolectados en obligaciones tributarias y regulatorias, en especial en criptoactivos. La discusión sobre necesidad y proporcionalidad no es abstracta, afecta a operadores, exchanges y equipos legales, y puede terminar impactando arquitectura, retención y trazabilidad de datos.

Preguntas frecuentes

¿Qué cambió en Paraguay entre agosto y julio de 2026?

Agosto tuvo menos incidentes sin tipificar, pasó de 15 a 11, y eliminó la señal de ransomware primario que sí había aparecido en julio. Al mismo tiempo subieron los fraudes y phishing, de 0 a 11, y la actividad regulatoria, de 1 a 11. La transición se comenta en las secciones de Indicadores y Tendencias.

¿El mes mostró ransomware confirmado en Paraguay?

No. El material de agosto no permitió tipificar ningún caso de ransomware o extorsión como eje primario. Hubo una mención contextual a cooperativas saliendo de un ataque de ransomware, pero no alcanzó para incorporarlo como incidente verificable del período. Ese matiz se desarrolla en Amenazas y campañas activas y en Limitaciones del material.

¿Qué riesgo fue más visible para bancos y usuarios paraguayos?

El fraude por phishing y suplantación de banca web. El caso Vallejo, la emprendedora que perdió 43 millones y las alertas sobre sitios clonados muestran un patrón de robo de credenciales y vaciamiento de cuentas. La lectura operativa está desarrollada en Incidentes relevantes, Amenazas activas y Sectores más afectados.

¿Qué relación hay entre la ley de datos personales y la resolución de criptoactivos?

La Ley N.º 7.593/2025 fija un marco de protección de datos que todavía no rige plenamente, mientras la DNIT exige desde agosto de 2026 una declaración informativa de operaciones con criptoactivos. Ambas piezas empujan a revisar proporcionalidad, minimización y trazabilidad de datos. Eso se trata en Regulación y cumplimiento.

¿Qué vulnerabilidades deberían vigilar equipos paraguayos aunque no haya explotación local confirmada?

Las tres CVEs críticas vinculadas a Ubiquiti, CVE-2026-77537, CVE-2026-77550 y CVE-2026-77554, por su capacidad de ejecución remota sin autenticación o por bypass de autenticación. También conviene seguir los avisos sobre Samba y Joomla. La tabla técnica está en la sección de Vulnerabilidades críticas con impacto en Paraguay.

¿Qué sectores quedaron más expuestos en agosto?

Principalmente el financiero, por la concentración de fraudes, phishing y vaciamientos de cuentas, y el sector público, por las alertas de suplantación de portales, DDoS reclamados y regulaciones nuevas. Un tercer frente fue telecomunicaciones y sistemas corporativos, con el caso Copaco. El análisis está en Sectores más afectados en Paraguay.

Limitaciones del material

Este informe se construyó exclusivamente con los hechos fechados en agosto de 2026 incluidos en el material provisto. Los indicadores reproducen esa ventana temporal y no incorporan telemetría agregada, intentos bloqueados ni señales externas no documentadas en el corpus.

Un valor en cero, en particular en CVEs o ransomware, significa que no apareció un caso tipificable en el material analizado para este período, no que no haya existido actividad en Paraguay o en la región. Esa distinción es clave para leer correctamente los indicadores y evitar extrapolaciones indebidas.

Quedaron excluidas como evidencia las publicaciones de redes sociales no corroboradas por fuentes utilizables, los contenidos patrocinados y cualquier material que no estuviera en la lista de fuentes permitidas. También se evitó usar como hecho firme aquello que las propias fuentes presentaron como hipótesis, atribución no confirmada o alerta preventiva.