Paraguay: situación de ciberseguridad, octubre 2026

Incidentes relevantes en Paraguay

Municipalidad de Asunción y WhatsApp de Atención Ciudadana

La Municipalidad de Asunción confirmó el acceso no autorizado a su cuenta oficial de WhatsApp de Atención Ciudadana, perdió temporalmente el control de la línea y pidió no responder mensajes ni abrir enlaces enviados desde ese número. El caso es el incidente más claro de compromiso de cuenta institucional del mes y se conecta con la campaña más amplia de robo de WhatsApp observada en Paraguay.

La fuente no publicó indicadores técnicos, dominios ni hashes, por lo que el valor del hecho está en la confirmación institucional del compromiso y en la respuesta pública. En términos operativos, el impacto principal fue de suplantación y riesgo de fraude derivado, no de indisponibilidad de infraestructura crítica.

UNA, Corte Suprema y el correo intimidatorio

La Universidad Nacional de Asunción y la Corte Suprema reaccionaron a un correo intimidatorio que activó protocolos de seguridad, inspecciones y suspensión temporal de actividades presenciales en el campus. La Policía preservó cabeceras digitales y analizó enlaces asociados, pero el material no confirma una intrusión en sistemas internos ni una ejecución maliciosa en la infraestructura afectada.

La relevancia del episodio está en la respuesta coordinada entre fuerzas públicas, universidad y Poder Judicial. También muestra una modalidad de presión por correo que obligó a una gestión de crisis inmediata sin que la evidencia pública permitiera ir más allá de la investigación preventiva.

Justicia Electoral y suspensión preventiva de sitios PHP

El Tribunal Superior de Justicia Electoral suspendió temporalmente sitios y sistemas desarrollados con PHP luego de avisos del CERT-PY sobre dos vulnerabilidades críticas. La medida fue preventiva y temporal, y se apoyó en reportes internacionales sobre explotación activa de CVE-2026-109618 y CVE-2026-109619.

No hay evidencia en el material de compromiso confirmado en el entorno electoral paraguayo, pero sí una señal clara de exposición técnica suficiente para justificar contención. La rapidez de la respuesta contrasta con otros casos del período donde el daño ya estaba consumado.

DNIT, suplantación institucional y página falsa de subastas

La DNIT advirtió sobre un sitio falso de subastas que utilizaba su imagen institucional para pedir datos personales. El organismo aclaró que no administraba ni respaldaba ese portal, lo que sitúa el hecho en el terreno de phishing y suplantación de marca, no en una brecha interna confirmada.

Este caso importa porque amplía el mapa de abuso de identidad institucional más allá de WhatsApp. También refuerza el patrón de octubre, que combinó fraude por canales digitales, mensajes engañosos y explotación de confianza pública.

Amenazas y campañas activas en Paraguay

Ransomware y extorsión en Paraguay

La campaña de ransomware y extorsión dejó ocho casos en el período, pero en cinco de ellos la fuente no permitió determinar si hubo cifrado, exfiltración o solo mención en un sitio de filtraciones. Esa ambigüedad es central para leer el mes, porque el material disponible mezcla claims de actores, registros de inteligencia y confirmaciones parciales sin prueba técnica pública de impacto.

El caso más claro de cifrado confirmado no está detallado en el material con el mismo nivel de evidencia que otros reclamos, mientras que MyM ODONTOCLINICA S.A. y Tape Ruvicha aparecen como reclamos atribuidos a grupos de ransomware, sin validación independiente de la víctima. Alianza Paraguay también figura en un registro de inteligencia, pero la propia fuente aclara que no confirma detalles de intrusión, exfiltración ni impacto operativo.

MyM ODONTOCLINICA S.A. y Emperador

DeXpose, Yazoul Security y Ransomware.live atribuyeron a Emperador un reclamo contra MyM ODONTOCLINICA S.A., con una supuesta exfiltración de 2,9 GB y referencia a documentos financieros, datos personales y datos de clientes. Ninguna de esas fuentes confirmó de forma independiente la intrusión, el cifrado o la exfiltración en términos verificables.

La lectura prudente es que se trata de una mención en leak site con posibles datos expuestos, pero no de un caso confirmable de impacto operativo en Paraguay. La fuente más detallada sigue siendo declarativa y no probatoria.

Tape Ruvicha y Qilin

Qilin reclamó un ataque contra Tape Ruvicha y amenazó con divulgar información sensible si no se iniciaban negociaciones. El material disponible no aporta confirmación independiente de la organización afectada ni evidencia de exfiltración o cifrado.

Por eso, este episodio debe leerse como una alegación de extorsión atribuida al actor, no como una brecha verificada. Es una señal útil para seguimiento, pero todavía no un hecho plenamente tipificado con impacto comprobado.

Alianza Paraguay y ddosecret

Un registro de Dark Eye atribuyó a ddosecret una reclamación contra Alianza Paraguay, clasificada dentro del sector financiero, sin detallar monto, volumen de datos, cifrado ni confirmación del compromiso. La fuente no aporta elementos para distinguir si el caso implicó cifrado, exfiltración o mera publicación de un reclamo.

En términos de inteligencia de amenazas, sirve como indicio de interés de actores sobre el sector financiero paraguayo. En términos de incidente, el material sigue siendo insuficiente para más que una observación cautelosa.

Fraude y phishing en Paraguay

El fraude documentado del período tuvo dos caras: el engaño con imágenes generadas por inteligencia artificial para intentar abrir cuentas digitales en Banco Atlas y la estafa vinculada a una oferta falsa de créditos para personas reportadas en Informconf. A eso se sumó la advertencia de la DNIT sobre la página falsa de subastas.

No hay aquí una campaña única, sino un patrón de ingeniería social que explota la confianza en canales digitales, redes sociales y mensajes de mensajería. La diferencia entre los casos está en el objetivo final, abrir una cuenta, cobrar un adelanto o pedir datos personales, pero la lógica de manipulación es la misma.

APT y hacktivismo en Paraguay

El mes tuvo una señal de naturaleza estatal con la declaración conjunta del MITIC y el Gobierno de Estados Unidos sobre operaciones cibernéticas maliciosas vinculadas a la República Popular China y dirigidas contra instituciones del Estado paraguayo. El material no agrega IoCs ni atribución técnica detallada, pero sí eleva el tono geopolítico del debate nacional.

No aparece en el período una campaña atribuible a hacktivismo local con suficiente evidencia pública. El peso del mes en este eje quedó concentrado en la comunicación institucional sobre amenazas estatales y en la respuesta defensiva del sector público.

Vulnerabilidades críticas con impacto en Paraguay

Las dos fallas son críticas y permiten ejecución remota de código sin autenticación en instalaciones PHP que sirven solicitudes web. El dato operativo más relevante para Paraguay no es solo la existencia del bug, sino la decisión preventiva de la Justicia Electoral de apagar sistemas hasta evaluar el riesgo.

Regulación y cumplimiento en Paraguay

Paraguay vivió en octubre un mes de fuerte tracción regulatoria, con foco en protección de datos, criptoactivos, cadena de suministro y supervisión institucional. La reglamentación de la Ley N.º 7593/2025 siguió pendiente, mientras el MITIC sostuvo que la norma regirá plenamente desde el 27 de noviembre de 2027 y que el borrador final se presentará para observaciones.

La discusión no fue puramente técnica. ABC Color y Última Hora reflejaron dudas sobre la ubicación institucional de la autoridad de datos dentro del MITIC, el eventual conflicto entre supervisión y digitalización estatal, y el uso de la ley para negar información pública. También se mencionó que la norma contempla una agencia especializada con autonomía funcional y rango de dirección nacional.

La regulación tributaria también ocupó espacio. La DNIT recordó la obligación de informar criptoactivos mediante el sistema Marangatu y sobre el RUC, mientras la Cámara Paraguaya de Fintech cuestionó el alcance operativo de la resolución. Ese frente normativo convive con el caso de la página falsa de subastas, que muestra cómo la identidad institucional puede ser utilizada para extraer datos personales fuera de los canales oficiales.

En el sector financiero, el BCP advirtió sobre Broker Mercosul, no autorizado como casa de bolsa, y detalló un esquema que usaba sitios web y Telegram para prometer ganancias y exigir depósitos adicionales. Ese aviso, junto con otras aclaraciones del supervisor sobre fraudes y riesgos tecnológicos, refuerza la idea de que la protección del usuario quedó como una prioridad regulatoria visible durante el mes.

Sectores más afectados en Paraguay

El sector financiero fue el más tocado por volumen y variedad de hechos, aunque no todo fue incidente técnico en sentido estricto. Allí convivieron el caso de Broker Mercosul, el fraude vinculado con cuentas bancarias, la amenaza a Alianza Paraguay y el foco regulatorio sobre criptoactivos. El sector mostró una mezcla de estafa, presión regulatoria y exposición a reclamos de ransomware, lo que explica su peso en el mes.

El sector público también tuvo una presencia fuerte. La Municipalidad de Asunción, la DNIT, la Justicia Electoral, el MITIC y el propio Poder Judicial aparecieron en hechos distintos, con grados diferentes de impacto. En algunos casos hubo compromiso confirmado de cuentas o portales; en otros, solo respuesta preventiva, advertencias regulatorias o comunicación institucional sobre amenazas.

Educación y justicia compartieron un mismo episodio a través de la UNA y la Corte Suprema. Aunque el hecho nació como una amenaza por correo, terminó en suspensión de actividades, patrullajes y denuncias formales. Ese cruce de sectores muestra que la gestión de crisis digital en Paraguay no se limita a una sola vertical.

Salud, agro y servicios especializados aparecieron con menor volumen pero no con menor relevancia. Los reclamos atribuidos a MyM ODONTOCLINICA S.A. y a supuestas bases de datos vinculadas a SENAVE y al Ministerio de Salud, aunque no confirmados, empujan a esos sectores al radar de monitoreo.

Tendencias y señales a monitorear en Paraguay

La comparación con septiembre muestra menos hechos totales, menos incidentes sin tipificar, menos ransomware como eje primario, menos fraude y menos movimientos regulatorios. La baja numérica no debe leerse como relajación del riesgo, porque la amenaza predominante pasó de ransomware a sin clasificar y la proporción de confirmación directa sigue siendo limitada. En otras palabras, el mes fue menos ruidoso, pero no necesariamente más seguro.

La principal tendencia descendente fue el ransomware. Pasó de 19 de 63 hechos en septiembre a 8 de 48 en octubre, con menor densidad de reclamos y más material ambiguo. La contracara es que el mes dejó varios claims sin validación técnica suficiente, lo que sugiere un entorno donde el ruido de inteligencia de amenazas pesa más que la confirmación pública de daño.

La segunda señal fue la consolidación de WhatsApp como vector de suplantación. El patrón no es nuevo, pero este mes tuvo más evidencia institucional, más cobertura local y un caso confirmado en una municipalidad. Si esa dinámica persiste, conviene tratar la mensajería como superficie de fraude operativa y no como simple canal de soporte.

En vulnerabilidades, octubre fue más severo que otros meses por la combinación de explotación activa global y respuesta local preventiva. Paraguay no quedó aislado, y la actuación de la Justicia Electoral muestra que los avisos internacionales ya se traducen en contención doméstica. Esa es una señal positiva de madurez defensiva, aunque todavía dependiente de la velocidad con que se reciban los avisos.

Comparado con septiembre, también bajó la presión regulatoria cuantificada, pero subió la densidad de debate institucional. La discusión sobre datos personales, padrón electoral, cadena de suministro y criptoactivos dejó menos anuncios y más fricción sobre diseño, alcance y autoridad competente.

Recomendaciones para equipos de seguridad en Paraguay

Fortalezcan los controles de recuperación de cuentas en canales de mensajería. El patrón de WhatsApp mostró que el buzón de voz, los códigos de verificación y la ingeniería social siguen siendo el punto de entrada más explotable. En empresas y organismos públicos, conviene revisar la política de restablecimiento, activar verificación en dos pasos y retirar dependencias innecesarias del voicemail.

Apliquen segregación estricta entre cuentas institucionales y personales. El caso de la Municipalidad de Asunción demuestra que un solo número comprometido puede convertirse en vector de suplantación y fraude hacia terceros. Los equipos que gestionan atención ciudadana deberían tener flujos alternativos, alertas de anomalía y mensajes preaprobados para desactivar rápidamente el abuso.

Parchen PHP sin demora y prioricen exposición web externa. Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 fueron explotadas activamente y motivaron una desconexión preventiva en el ámbito electoral paraguayo. Si no se puede parchear de inmediato, conviene reducir exposición temporal, revisar frontales públicos y validar inventario real de aplicaciones PHP.

Revisen los procedimientos de respuesta ante amenazas por correo y documentos adjuntos. La UNA y la Corte Suprema tuvieron que actuar con inspecciones, preservación de cabeceras y verificación coordinada con fuerzas públicas. Esa clase de incidente exige protocolos claros de preservación de evidencia, comunicación interna y escalamiento con cibercrimen.

Refuercen la verificación de marca y de identidad para sitios y campañas falsas. La DNIT, el BCP y otras entidades quedaron expuestas a suplantaciones o intentos de estafa bajo su nombre. Un programa de monitoreo de typosquatting, cuentas falsas y páginas espejo debería ser parte de la operación estándar de seguridad y comunicaciones.

Preguntas frecuentes

¿Qué cambió entre la presión de ransomware y la de WhatsApp en Paraguay durante octubre?

La presión de ransomware bajó en volumen frente a septiembre, pero la manipulación por WhatsApp ganó peso operativo porque afectó a usuarios, comercios y una municipalidad. La lectura cruzada de la sección de amenazas y la de incidentes muestra un mes menos centrado en extorsión por filtración y más en suplantación de identidad.

¿Qué relación hay entre las vulnerabilidades de PHP y la respuesta de la Justicia Electoral paraguaya?

La Justicia Electoral desactivó temporalmente sitios y sistemas después de avisos sobre CVE-2026-109618 y CVE-2026-109619, mientras PHP y organismos internacionales confirmaban explotación activa. La tabla de vulnerabilidades y la sección de incidentes muestran que la reacción fue preventiva, no una admisión de intrusión.

¿Qué sectores paraguayos quedaron más expuestos a fraude y extorsión al mismo tiempo?

El sector financiero fue el más expuesto porque recibió estafas, alertas regulatorias y reclamos de ransomware en el mismo mes. La sección de sectores y la de amenazas muestran además que el sector público y el comercio también cargaron con suplantación institucional y fraude digital.

¿Cómo se conectan la regulación de datos personales y las alertas sobre páginas falsas o afiliaciones no consentidas?

La ley de datos y su reglamentación pendiente discuten consentimiento, uso del padrón y rectificación de información, mientras la DNIT y otras coberturas mostraron páginas falsas y riesgos de uso indebido de datos. La sección regulatoria y la de fraude apuntan a un mismo problema, la gestión de identidad y consentimiento en canales digitales.

¿Qué lectura operativa deja el mes para equipos que administran portales públicos?

Deben asumir que un aviso de vulnerabilidad, una amenaza por correo o una suplantación de marca pueden activar respuesta pública en cuestión de horas. La combinación de la Justicia Electoral, la UNA, la Corte Suprema y la Municipalidad de Asunción muestra que la continuidad operativa depende tanto del parcheo como de la coordinación de crisis.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para octubre de 2026. La ventana temporal de los indicadores es de 48 hechos con fecha en octubre 2026, y la base de todos los indicadores es esa misma serie. No se utilizaron fuentes fuera de la lista permitida ni internet abierto.

Un indicador en cero, especialmente en CVEs o en cualquier categoría no observada, significa que no quedó registrado en el material analizado del período, no que no haya existido en Paraguay o en la región. Lo mismo aplica a la ausencia de ciertas tipologías o sectores en algunos módulos: describe cobertura documental, no inexistencia del fenómeno.

El informe excluye como evidencia telemetría agregada, intentos de ataque, bloqueos automáticos y promedios de vendor que no constituyen incidentes. También deja fuera fuentes no permitidas, como redes sociales de consumo y publicaciones que no están en la lista de fuentes habilitadas. Cuando el material atribuye un reclamo sin confirmación independiente, se lo presenta como tal y no como brecha verificada.