Uruguay: situación de ciberseguridad, octubre 2026

Amenazas y campañas activas en Uruguay

La actividad de amenaza más visible del mes fue el fraude, seguido por reclamaciones de ransomware sin validación independiente. En paralelo, la campaña local de Interpol sobre deepfakes y estafas con IA ayudó a enmarcar el tipo de engaño que más circulación tuvo en la conversación pública uruguaya.

Ransomware y extorsión con tipificación no determinable

Hubo 3 casos con ransomware o extorsión como eje primario, pero el material no permitió determinar con precisión si hubo cifrado, exfiltración o solo mención en sitio de filtraciones. El ejemplo más claro fue Punta Shopping, registrado por sitios de monitoreo como víctima atribuida a Emperador, con un supuesto archivo de 1,6 GB y fecha de publicación anunciada.

La misma cautela aplica a la Asociación de Escribanos del Uruguay, vinculada en varios rastreadores a NightSpire o Nightspire. Las fuentes citan reclamos, nombres de víctimas y estimaciones de cuentas comprometidas, pero no aportan confirmación independiente de intrusión ni de exfiltración real. En términos editoriales, el mes deja reivindicaciones de victimización, no una brecha verificada.

Fraude y phishing

El fraude mantuvo una presencia sostenida y de carácter eminentemente social. Operación Pinterest explicó una estafa de redes sociales basada en ventas falsas de muebles, mientras que otras coberturas describieron suplantaciones de policías o funcionarios del Ministerio del Interior para inducir préstamos, transferencias, retiro de dinero y compra de bienes de valor.

La campaña de Interpol y del Ministerio del Interior sobre deepfakes encaja con ese patrón. En octubre, Uruguay se sumó a la advertencia internacional sobre contenidos sintéticos usados para estafas, suplantación y extorsión. La señal no apunta solo a delitos tecnológicos, sino a una combinación de ingeniería social, manipulación audiovisual y canales financieros vulnerables.

Señales de ransomware en sitios de filtraciones

Punta Shopping figura en registros de ransomware de EMPERADOR con un reclamo de datos personales y de clientes, pero la evidencia disponible no confirma el ataque ni la autenticidad del archivo. Lo mismo ocurre con los rastros asociados a NightSpire sobre la Asociación de Escribanos del Uruguay. Son señales que merecen seguimiento, no hechos consumados.

La diferencia entre un leak site y una brecha confirmada importa para la defensa y para la comunicación pública. En este mes, el material sostiene reclamos de actores y plataformas de monitoreo, pero no una validación independiente de cifrado, exfiltración o impacto operativo sobre las organizaciones uruguayas mencionadas.

Vulnerabilidades críticas con impacto en Uruguay

Las dos CVE críticas del mes afectaron software ampliamente desplegado y explican la mayor parte de la respuesta preventiva en Uruguay. El impacto fue sobre todo operativo y defensivo, con foco en actualización, aislamiento temporal y verificación de exposición.

El alcance técnico fue amplio. Los avisos citados mencionan Apache con mod_php, PHP-FPM, php-cgi, FrankenPHP y LiteSpeed, además de aplicaciones como WordPress, Drupal, Joomla y Moodle. Las versiones corregidas fueron PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12.

Regulación y cumplimiento en Uruguay

Octubre dejó un solo movimiento regulatorio documentado en el conteo mensual, pero con efecto práctico amplio. El Banco Central profundizó las exigencias de autenticación y monitoreo para operaciones electrónicas, mientras otras piezas normativas y de gobernanza siguieron configurando el perímetro de cumplimiento.

La Circular 2.497 del BCU empezó a regir el 1 de octubre y amplió la autenticación reforzada para acceso a canales digitales, transferencias o pagos, compras no presenciales con tarjeta, solicitudes de préstamos y cambios de datos sensibles. También exigió alertas ante intentos de modificar claves, PIN, correo, teléfono y otros parámetros operativos o de seguridad.

La implementación no quedó en un plano abstracto. El material citado por la prensa y por análisis jurídicos describe controles sobre dispositivos desconocidos, geolocalización, patrones sospechosos y operaciones inusuales, junto con excepciones acotadas para casos puntuales. El sentido regulatorio es claro: reducir el fraude de canal y mejorar trazabilidad y detección temprana.

En paralelo, el país siguió moviendo piezas de gobernanza y cumplimiento en datos e inteligencia artificial. El BCU aprobó un Marco de Gobernanza para IA con inventario obligatorio de sistemas, trazabilidad y controles de seguridad, mientras la URCDP reportó avances de cooperación internacional en gobernanza de datos. No son hechos de ciberincidente, pero sí forman parte del entorno regulatorio del mes.

Sectores más afectados en Uruguay

El mes tocó al menos 7 sectores y el reparto fue desigual. El sector público concentró la mayor visibilidad por la alerta de PHP y las bajas preventivas, mientras el financiero, el retail y los servicios digitales aparecieron por incidentes, fraude y presión de cumplimiento.

El sector público fue el más expuesto a la respuesta defensiva. Portales de ministerios, la Corte Electoral, servicios estatales y sistemas de compras públicas quedaron temporalmente fuera de línea o fueron retirados de forma preventiva. No hubo confirmación pública de explotación, pero sí una afectación operativa real y simultánea sobre múltiples servicios.

El financiero sostuvo dos frentes. Por un lado, el BCU endureció autenticación y controles, con impacto sobre bancos, administradoras, casas de cambio, empresas de transferencia y plataformas de préstamos. Por otro, apareció el caso de Nobilis Corredor de Bolsa, que notificó un intento externo de acceso sin daño operativo declarado.

Retail y ecommerce quedaron marcados por la señal de Punta Shopping, mientras telecomunicaciones e infraestructura crítica aparecieron a través de los cortes de Antel, aunque esos cortes no fueron de origen cibernético. A nivel de servicios digitales, la dependencia de PHP mostró hasta qué punto una falla global puede escalar a indisponibilidad local en organismos y plataformas que operan sobre la misma base tecnológica.

Tendencias y señales a monitorear en Uruguay

La comparación con septiembre muestra una caída en casi todos los indicadores de actividad verificada. Los hechos bajaron de 67 a 41, los incidentes sin tipificar pasaron de 11 a 2, el ransomware o extorsión de 14 a 3, los fraudes o phishing de 9 a 5 y los movimientos regulatorios de 9 a 1. La señal del mes fue menor en volumen, pero más concentrada y más clara en su eje principal.

La tendencia más importante es el corrimiento desde la confusión a la clasificación. En septiembre el material mostraba una agenda más dispersa, con más hechos sin tipificar. En octubre, en cambio, la superficie de vulnerabilidades quedó claramente ordenada por PHP y por la respuesta de organismos públicos. Eso mejora la lectura defensiva, aunque no reduce por sí mismo la exposición técnica.

También conviene seguir de cerca el vector de fraude asistido por IA. La campaña de Interpol, las advertencias del Ministerio del Interior y las estafas con suplantación de autoridades indican que el problema ya no es solo el phishing clásico. El riesgo combina voz, texto, imagen y presión temporal sobre víctimas que terminan autorizando transferencias o entregando activos.

En ransomware, la señal a monitorear no es el conteo de publicaciones, sino la calidad de la evidencia. Octubre dejó varios reclamos de EMPERADOR y NightSpire/Nightspire, pero sin confirmación independiente suficiente. Si en noviembre aparecen datos, cifrado o exfiltración verificables, habrá que distinguir de inmediato entre incidente operativo y mera reivindicación de victimización.

Recomendaciones para equipos de seguridad en Uruguay

La prioridad inmediata para equipos uruguayos sigue siendo inventariar exposición PHP, validar versiones y cerrar brechas de actualización en servicios expuestos a internet. Si no se puede corregir de inmediato, conviene aislar aplicaciones, reducir superficie de acceso y revisar si algún portal, plugin o servicio heredado sigue utilizando ramas vulnerables.

En el sector público y en proveedores que dan soporte al Estado, la recomendación operativa es reforzar el control de cambios y los planes de continuidad. Octubre mostró que la desconexión preventiva puede ser necesaria, pero debe estar acompañada por comunicación interna, ventana de mantenimiento, priorización de portales críticos y pruebas de restauración.

En el sector financiero, el foco debe ir a autenticación reforzada, notificaciones al usuario y detección de operaciones anómalas. La nueva regulación del BCU ya empuja en esa dirección. Falta traducirla a controles efectivos sobre dispositivos desconocidos, geolocalización, intentos de cambio de datos sensibles y patrones de fraude de ingeniería social.

Para fraude y suplantación, hace falta entrenamiento específico, no solo campañas genéricas. Los casos del mes muestran que los atacantes explotan urgencia, autoridad simulada y redes sociales. Los equipos de atención, riesgo y operaciones deberían tener guiones de verificación, doble validación para transferencias sensibles y alertas sobre deepfakes o llamadas manipuladas.

Preguntas frecuentes

¿Qué relación hubo entre la vulnerabilidad de PHP y las caídas de sitios estatales en Uruguay?

La relación fue directa en la respuesta preventiva, no en una intrusión confirmada. CERTuy alertó sobre dos CVE críticas en PHP y varios organismos bajaron portales o sistemas mientras aplicaban parches. La cobertura oficial y periodística coincide en que no hubo confirmación pública de explotación en Uruguay.

¿Qué diferencia hay entre los reclamos de ransomware de octubre y un caso de ransomware confirmado?

En octubre hubo 3 casos con ransomware o extorsión como eje primario, pero el material no permitió determinar si hubo cifrado, exfiltración o solo mención en sitios de filtraciones. Punta Shopping y la Asociación de Escribanos aparecen en reclamos de actores o rastreadores, pero sin validación independiente de compromiso.

¿Cómo se cruzan la nueva normativa del BCU y los fraudes del mes?

Se cruzan en el mismo problema operativo, la autorización de pagos y cambios sensibles. El BCU exigió más autenticación, alertas y control de dispositivos, mientras las estafas del mes usaron presión, suplantación y transferencias para sacar dinero a las víctimas. La regulación busca justamente endurecer ese tramo del proceso.

¿Qué sectores mostraron más exposición en octubre si se leen juntos los incidentes y las vulnerabilidades?

El sector público fue el más visible por la baja temporal de portales y sistemas, seguido por el financiero, que combinó nueva regulación con un incidente en una corredora de bolsa. Retail, telecom y servicios digitales también tuvieron señal, pero en menor intensidad y con matices distintos entre fallas técnicas, fraude y reclamos de ransomware.

¿Qué debería mirar un equipo SOC uruguayo después de este mes?

Debería mirar exposición PHP, cambios de versión, procesos de actualización y cualquier intento de acceso a portales públicos o servicios web expuestos. También conviene afinar detecciones de fraude de ingeniería social, revisar alertas ante cambios de datos sensibles y tratar con cautela las publicaciones de leak sites, porque octubre mostró mucho reclamo y poca confirmación.

Anexo técnico: indicadores de compromiso y TTPs

No hay IoCs públicos verificables como hashes, dominios, IPs o URLs maliciosas asociados de forma sólida a una campaña concreta en el material de octubre. Sí hay TTPs publicados por vendors: Unit 42 y Trellix vinculan la actividad a explotación de aplicaciones expuestas, ejecución de comandos, web shells, staging de payloads y persistencia en procesos relacionados con PHP.

Limitaciones del material

Este informe se elaboró exclusivamente con los hechos fechados en octubre de 2026 incluidos en el material provisto. La ventana temporal declarada para los indicadores es de 43 hechos con fecha en octubre de 2026, y la base de cálculo de los indicadores es 41 hechos verificados del período. Las cifras de telemetría de vendors quedaron fuera del volumen porque son exposición potencial o detección técnica, no incidentes con impacto confirmado.

Un indicador en 0, especialmente en CVEs o en tipificaciones específicas, significa que no quedó registrado en el material analizado de este mes, no que el fenómeno no exista en Uruguay o en la región. En particular, la ausencia de una tipificación precisa en ransomware no debe leerse como ausencia de actividad, sino como una limitación de la evidencia disponible.

También quedaron fuera del análisis cuantitativo los hechos sin fecha confirmada, y no se usaron fuentes excluidas por la guía, como redes sociales de consumo o publicaciones patrocinadas. Cuando una fuente periodística reproducía una afirmación de un actor o de un rastreador sin validación independiente, se la trató como atribuida y no como confirmación de compromiso.