Panorama de ciberseguridad en América Latina — Agosto 2026

Amenazas y campañas activas

La actividad criminal del mes mostró menos cantidad de casos confirmados de ransomware que en julio, pero conservó un patrón de campañas transfronterizas, búsqueda de visibilidad en leak sites y presión sobre sectores críticos. En fraude, en cambio, la intensidad percibida siguió alta y cada vez más apoyada en ingeniería social y deepfakes.

Ransomware y extorsión

The Gentlemen volvió a ser el actor más visible en el material regional, con presencia en campañas globales y víctimas en Argentina y Brasil. Su expansión no depende solo del cifrado, porque el grupo opera con extorsión múltiple, presión pública y una mezcla de intrusión sobre perímetros expuestos, reutilización de herramientas y targeting cruzado.

El dato más útil para agosto es que, de los 41 casos con ransomware o extorsión como eje primario, solo 6 tuvieron cifrado de activos confirmado. En 4 hubo exfiltración sin cifrado, en 5 la evidencia se limitó a la mención en leak site y en 26 el material no permitió determinar con claridad la modalidad exacta. Esa proporción sugiere que el ecosistema de extorsión está más fragmentado de lo que sugiere el nombre genérico "ransomware".

Entre las campañas más visibles estuvieron las de The Gentlemen, DragonForce, CoinbaseCartel, BLACKWATER y Kazu. DragonForce publicó víctimas en Argentina y Brasil, CoinbaseCartel listó a Flecha Bus, BLACKWATER apareció con AMCA y The Gentlemen siguió sumando casos en Argentina, incluida Criba y la reivindicación contra Oldelval. La presencia del mismo país en varias familias distintas no apunta a una única falla, sino a una superficie amplia y desigual.

Fraude y phishing

El frente de fraude y phishing siguió siendo la amenaza más cotidiana y, al mismo tiempo, la más adaptada a cambios de producto y regulación. Argentina mostró un giro claro desde la clonación de tarjetas hacia páginas falsas, suplantación de identidad, vishing y ataques apoyados en WhatsApp, mientras que Brasil instaló con fuerza el problema de deepfakes y clonación de personas con IA.

La cifra de 85 casos documentados no agota el fenómeno. El material de agosto muestra más bien el contrario, una mutación del fraude hacia formas más baratas de escalar y más difíciles de distinguir por el usuario final. En varios países la validación facial, la biometría y los flujos de autenticación pasaron a ser parte del problema, no de la solución, porque los atacantes aprendieron a imitarlos o a rodearlos.

La presión sobre el sistema financiero también quedó visible en las referencias a fraude de pagos digitales, investigaciones sobre controles biométricos y reclamos contra bancos y fintech. La señal no es solo que el fraude crece, sino que se vuelve multicanal y combina manipulación emocional, automatización, plantillas de marcas conocidas y uso oportunista de canales oficiales o semi oficiales.

APT y hacktivismo

La única señal claramente atribuible a APT en el material fue la explotación de CVE-2026-73570 por grupos vinculados a Rusia, con campañas contra agencias gubernamentales, universidades e instituciones estatales en Brasil y Argentina. Esa referencia no fue acompañada por un volumen amplio de casos en la región, pero sí por un valor estratégico alto por el tipo de objetivo.

No hubo en agosto un bloque grande de hacktivismo con impacto operacional confirmado comparable al ransomware o al fraude. La señal APT aparece más bien como recordatorio de que los perímetros de gobierno, educación e infraestructura estatal siguen expuestos a campañas con motivación geopolítica o de espionaje, y que una vulnerabilidad crítica puede abrir una ventana regional incluso si el resto del mes está dominado por otra clase de incidentes.

La baja cantidad de CVEs críticos mencionados no debe leerse como tranquilidad. El material solo registró dos, y eso significa que en esta muestra el foco estuvo en regulación y fraude más que en explotación pública de fallas técnicas. No equivale a ausencia de vulnerabilidades explotadas en la región.

Vulnerabilidades críticas

No se registraron muchos CVEs críticos en el material analizado para agosto, y eso marca una diferencia respecto de julio. La lectura correcta no es que la región no haya tenido exposición técnica, sino que el corpus de este mes puso el acento en otra parte, especialmente en enforcement regulatorio y en campañas de extorsión y fraude.

La evidencia de explotación técnica en el mes fue acotada, pero relevante por el tipo de entorno expuesto. En Zimbra aparecen objetivos estatales y académicos en la región; en The Gentlemen, el eje está en perímetros expuestos como VPN y firewalls, más que en una plataforma única. Ambas señales favorecen una lectura de superficie de ataque híbrida: vulnerabilidad pública más mala exposición operativa.

Regulación y cumplimiento

La regulación fue la amenaza predominante del mes porque dejó de ser un acompañamiento del riesgo y pasó a ordenar la respuesta del mercado. El bloque regulatorio mostró intervención en privacidad, plataformas, pagos, biometría, IA, protección de menores, transparencia y supervisión financiera en varios países de la región.

Brasil fue el caso más intenso. La ANPD multó a ByteDance por tratamiento indebido de datos de adolescentes y reforzó una estrategia de fiscalización en escala, con procesos contra grandes plataformas, lineamientos sobre incidentes de seguridad, transparencia para menores y discusión regulatoria sobre deepfakes y contenidos sintéticos. El mensaje es claro: la autoridad brasileña ya no actúa solo sobre incumplimientos puntuales, sino sobre patrones de negocio y de diseño de plataforma.

En Argentina, el BCRA siguió ampliando reglas de medios de pago, transferencias, débito de cuotas y requisitos de supervisión. El nuevo mecanismo de Cobro con Transferencia, la actualización de disposiciones sobre cámaras de compensación y la discusión sobre reporte de incidentes en fintech consolidan un ecosistema de pagos cada vez más trazable y más exigente. No hay una sola ley de ciberseguridad, pero sí una red de normas que en la práctica cubren buena parte del terreno.

México se movió en dos planos. Por un lado, Banxico abrió consultas públicas sobre redes de medios de disposición y cámaras de compensación, con foco en eficiencia, interoperabilidad y seguridad operativa. Por otro, la discusión sobre la Ley Federal de Ciberseguridad sigue sin aprobarse, lo que deja al país en una arquitectura fragmentada donde el cumplimiento depende de circulares, reglas sectoriales y regulación prudencial más que de un marco único.

Chile, por su parte, siguió discutiendo la postergación de la Ley de Protección de Datos Personales. El punto no es menor: una eventual demora de la entrada en vigor afecta la credibilidad de la agenda de derechos digitales y prolonga la incertidumbre para empresas que ya deben prepararse para la agencia futura y para un régimen de cumplimiento más estricto. La discusión ya no es si habrá regulación, sino cuándo y con qué nivel de exigencia efectiva.

Paraguay y Colombia muestran dos problemas distintos. Paraguay tiene una ley de protección de datos ya vigente, pero la discusión pública todavía gira en torno a proyectos y a la falta de un desarrollo más consolidado de ciberseguridad. Colombia, según los análisis del mes, sigue sin una ley integral de ciberseguridad y se apoya en normas dispersas, lo que fragmenta la defensa digital y complica la asignación de responsabilidades. Esa fragmentación quedó subrayada en la cobertura local.

Países más afectados en América Latina

La distribución geográfica del mes estuvo claramente sesgada hacia Brasil y Argentina, con Chile, México, Colombia, Paraguay y Bolivia como países de alta relevancia regulatoria o de señal puntual. Perú no mostró material suficiente para una lectura propia en este corpus, y Estados Unidos aparece solo como referencia incidental en algunos análisis comparativos.

Argentina

Argentina fue el país con la mezcla más visible de ransomware, fraude y presión regulatoria secundaria. Oldelval dominó la conversación sobre infraestructura crítica, mientras que Flecha Bus, AMCA y Criba mantuvieron al país presente en los paneles de extorsión. En paralelo, el fraude bancario siguió mutando hacia WhatsApp, phishing, vishing y deepfakes, con señales de mayor judicialización contra bancos por fallas de seguridad o de respuesta.

La lectura sectorial argentina muestra tres zonas sensibles: energía, transporte y servicios financieros. La energía quedó expuesta con Oldelval y la discusión sobre infraestructura crítica; el transporte apareció con Flecha Bus y La Sevillanita; y el sistema financiero siguió bajo presión por estafas, devoluciones judiciales, fraude digital y nuevas reglas del BCRA. El país no tuvo el mayor número de hechos absolutos, pero sí la mayor diversidad de frentes en tensión.

Brasil

Brasil fue el epicentro del mes por volumen regulatorio y por densidad de incidentes de privacidad y fraude. La ANPD tomó decisiones sobre TikTok, Discord, procesos contra grandes tecnológicas y lineamientos para menores, IA y deepfakes. Al mismo tiempo, Latam notificó una situación de seguridad en Latam Pass y Mobilemed emergió como posible víctima en salud digital.

En el plano de fraude, Brasil mostró una escalada clara en el uso de IA generativa para suplantación, clonación de personas y creación de deepfakes en campañas engañosas. Ese fenómeno no es solo técnico, también es de comportamiento: el usuario final se ve enfrentado a falsificaciones más verosímiles, con impacto directo en validación de identidad, onboarding y autenticación reforzada. El mes dejó a Brasil como el principal laboratorio regulatorio y el principal termómetro de fraude sintético de la región.

Chile

Chile estuvo dominado por la discusión de la postergación de la Ley de Protección de Datos Personales y por la aprobación en general del proyecto de ley anti deepfakes. La agenda del país quedó cruzada por dos tiempos distintos, uno de entrada en vigor de reglas ya aprobadas y otro de demora en la instalación institucional de la nueva agencia de protección de datos.

La señal más clara es que Chile ya entró en la fase de implementación política del régimen de datos. La inquietud no es teórica: si se posterga la vigencia plena, el ecosistema empresarial gana algo de tiempo, pero también se dilata el cierre institucional que la propia ley requiere para operar. El país aparece así como uno de los focos regulatorios más relevantes del Cono Sur, aunque con menos incidentes operativos que Argentina o Brasil.

México

México combinó reforma financiera, consultas públicas de Banxico y una ley federal de ciberseguridad aún sin aprobar. La discusión se concentró en pagos, tarjetas, cámaras de compensación, reportes de incidentes y control prudencial de Sofomes y fintech. El país sigue sin un marco único, pero la regulación sectorial avanza con bastante intensidad.

El problema mexicano no es falta de actividad, sino dispersión. La CNBV, Banxico, el DOF y otras dependencias empujan piezas que afectan la seguridad de pagos y datos, pero la arquitectura legal sigue repartida entre varios instrumentos. Eso obliga a las empresas a leer el riesgo de forma transversal: cumplimiento financiero, privacidad, autenticación, continuidad y reporte de incidentes no viven en compartimentos estancos.

Colombia

Colombia apareció menos por incidentes concretos y más por diagnóstico estructural. La prensa local indicó que el país sigue sin una ley integral de ciberseguridad y que su marco se apoya en normas dispersas, una situación que limita la cohesión defensiva frente a amenazas en crecimiento. Eso, en un contexto regional de fraude sintético y presión sobre identidad, es una debilidad más visible que en meses anteriores.

Paraguay

Paraguay tuvo una señal clara en protección de datos, con la Ley N.º 7.593/2025 ya presente en el debate público, pero sin un proyecto consolidado de ciberseguridad identificado en el Senado con la información recuperada. El país combina una base legal de privacidad más moderna con una discusión aún fragmentada sobre ciberseguridad institucional.

Bolivia

Bolivia mostró una agenda institucional orientada a 2FA, fortalecimiento del CSIRT y protección digital, mientras en paralelo surgieron señales de posible brecha y de actividad política digital opaca, como la llamada mini granja de bots vinculada a Fernando Cerimedo. El material de agosto sugiere un ecosistema más activo en construcción de capacidad que en producción de incidentes confirmados, aunque con exposición creciente en servicios públicos y financieros.

Tendencias y señales a monitorear

La comparación con el mes anterior muestra una mejora relativa en algunos frentes y una aceleración preocupante en otros. Bajaron los incidentes sin tipificar, cayeron con fuerza los casos de ransomware o extorsión como eje primario y también disminuyó el fraude o phishing documentado. Pero el mes se movió mucho más hacia regulación, y ese cambio no es cosmético.

Frente a julio, la baja de ransomware de 126 a 41 casos debe leerse con cautela. No significa que el actor haya perdido capacidad, sino que el corpus de agosto incluyó menos eventos de ese tipo y más material regulatorio, además de campañas donde la tipificación no pudo precisarse. El dato relevante no es solo el volumen, sino la persistencia de grupos como The Gentlemen, DragonForce, Qilin, BLACKWATER y Kazu en distintos países de la región.

El salto regulatorio de 261 a 410 hechos es el cambio más importante del mes. Brasil empujó la mayor parte, pero también hubo contribuciones de Argentina, México, Chile y Paraguay. La señal de fondo es que los Estados están cerrando la brecha entre riesgo observado y norma aplicable, especialmente en pagos, datos de menores, plataformas digitales y reportes de incidentes.

La baja de CVEs críticos mencionados, de 22 a 2, también es significativa, aunque no debe sobreactuarse. En agosto el material disponible puso el foco en política pública, enforcement y fraude más que en explotación técnica de vulnerabilidades. Eso no implica que la superficie técnica se haya reducido, solo que quedó menos visible en el corpus analizado.

La señal a vigilar para septiembre es la convergencia entre regulación y fraude. Cuando autoridades endurecen controles, autenticación, trazabilidad y reportes, suelen aparecer intentos de evasión más sofisticados, especialmente en banca, fintech y plataformas con gran base de usuarios. El mes deja bastante claro que la próxima presión no vendrá solo del malware, sino de la ingeniería social adaptada a nuevos requisitos.

Recomendaciones para equipos de seguridad

Los equipos de seguridad de la región deberían tratar agosto como una señal de priorización, no como una anécdota de calendario. El primer ajuste es revisar qué parte del negocio está expuesta a regulación ya vigente o en transición, porque varios de los hechos del mes terminaron en sanciones, consultas formales o nuevas obligaciones de reporte.

En empresas financieras, fintech y proveedores de pagos, la prioridad debería ser endurecer autenticación, monitoreo de identidad y trazabilidad de incidentes. El material del mes muestra fraude por vishing, phishing, deepfakes, suplantación de autoridad y manipulación de flujos de onboarding. Eso obliga a combinar controles técnicos, verificación fuera de banda y procedimientos de reversión y denuncia más rápidos.

En sectores de energía, transporte, salud y servicios compartidos, el foco tiene que estar en la segmentación real de entornos y en la capacidad de respuesta a extorsión. Oldelval y Mobilemed dejan una lección parecida, aunque con naturalezas distintas: una intrusión sobre sistemas administrativos puede no frenar la operación, pero sí desordenar la continuidad, la relación con reguladores y la superficie de presión del atacante.

También conviene revisar exposición de perímetro y servicios remotos. La actividad atribuida a The Gentlemen y otros grupos vuelve a mostrar abuso de VPN, firewalls y accesos expuestos. Eso exige parches rápidos, MFA bien implementado, inventario de accesos externos, rotación de credenciales privilegiadas y un ejercicio serio de detección de movimiento lateral.

Para áreas legales y de cumplimiento, el mensaje es no esperar una ley única para actuar. En Brasil, Argentina, México y Chile ya hay suficiente material normativo como para justificar programas de privacidad, incidentes, retención, gobierno de proveedores y evaluación de riesgo. La dispersión regulatoria no es excusa; es la condición normal del mercado latinoamericano.

Finalmente, conviene preparar guiones de respuesta para casos donde la evidencia pública sea incompleta. Varios de los incidentes del mes quedaron en leak sites o en reclamos preliminares. Eso implica que un equipo puede tener que responder antes de confirmar toda la intrusión. En ese escenario, lo que más ayuda no es adivinar la atribución, sino cortar acceso, preservar evidencia, revisar credenciales y cerrar la puerta a la segunda ola de extorsión.

Preguntas frecuentes

¿Por qué agosto quedó dominado por regulación y no por ransomware?

Porque la base mensual concentró 410 movimientos regulatorios frente a 41 casos de ransomware o extorsión como eje primario, y además hubo 85 hechos de fraude o phishing. La regulación absorbió más de la mitad de la señal porque Brasil, México, Argentina y Chile movieron normas, sanciones y consultas que impactan directamente en seguridad y datos.

¿Qué países mostraron más presión combinada entre incidentes y cumplimiento?

Brasil y Argentina. Brasil combinó una multa récord de la ANPD a ByteDance, fiscalización ampliada y señales de fraude sintético; Argentina sumó Oldelval, Flecha Bus, AMCA, Criba y un frente fuerte de estafas financieras. Chile destacó más por regulación, y México por cambios prudenciales y consultas de Banxico.

¿Cómo hay que leer los casos de ransomware del mes?

Con cautela y separando tres planos: cifrado confirmado, exfiltración sin cifrado y sola mención en leak site. En agosto, de los 41 casos con ransomware o extorsión como eje primario, solo 6 tuvieron cifrado confirmado, 4 fueron exfiltración simple, 5 quedaron en leak site y 26 no pudieron tipificarse con precisión.

¿Qué cambió en el fraude digital respecto del mes anterior?

Bajó el volumen documentado, pero se sofisticó la modalidad. El material muestra menos clonación de tarjetas y más phishing, páginas falsas, vishing, deepfakes y suplantación de identidad, sobre todo en Argentina y Brasil. La combinación con biometría y validación facial elevó el riesgo de evasión de controles.

¿Qué implican las dos vulnerabilidades críticas mencionadas?

Que la exposición técnica no desapareció, aunque el mes haya estado dominado por regulación. CVE-2026-73570 afectó Zimbra y fue explotada contra objetivos gubernamentales y académicos en Brasil y Argentina, mientras que CVE-2026-50751 fue citada como vector probable en la campaña de The Gentlemen. El bajo número no significa ausencia de riesgo.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para agosto de 2026 y con el marco comparativo de meses anteriores incluido en el archivo. No hubo acceso a internet ni se incorporaron fuentes ajenas a la lista autorizada. Los hechos sin fecha confirmada quedaron fuera de los indicadores y solo se usaron cuando ayudaban a contextualizar.

La ventana temporal declarada para el período fue de 904 hechos con fecha en agosto de 2026, 64 de meses anteriores como marco comparativo, 25 sin fecha confirmada excluidos de los indicadores y 7 posteriores al período también excluidos. Los indicadores del mes se reproducen exactamente como fueron provistos y no se recalcularon de manera independiente.

Un indicador en 0, en particular el de CVEs críticos, significa que no se registró en el material analizado para este mes, no que no haya habido vulnerabilidades explotadas en la región. Lo mismo aplica a cualquier ausencia de sector o país en una sección específica. La falta de evidencia en este corpus no equivale a inexistencia del fenómeno.

También quedaron excluidas como prueba de tendencia las telemetrías agregadas, los intentos o bloqueos automatizados y el contenido promocional, los press releases y publirreportajes cuando eran la única base de la afirmación. Las cifras de intentos de fraude, bloqueos o escaneos solo se mencionaron cuando el material permitía atribuirlas a un vendor y aclarando que no son incidentes con impacto confirmado.

Anexo técnico: indicadores de compromiso y TTPs

The Gentlemen y la cadena de ataque observada

La campaña atribuida a The Gentlemen mostró una cadena de intrusión con acceso inicial a través de interfaces de firewall expuestas en Internet, reconocimiento con Advanced IP Scanner, uso de PowerRun.exe para elevación de privilegios y del driver ThrottleBlood.sys para evasión de defensas. El material también mencionó abuso de VPN gateways, firewalls y herramientas de acceso remoto sin parchar.

IOCs y artefactos explícitos del material

La evidencia explicitada en el corpus no aportó hashes, IPs ni dominios verificados para agregar como lista técnica limpia. Sí aportó nombres de herramientas, drivers y vectores: Advanced IP Scanner, PowerRun.exe, ThrottleBlood.sys, interfaces FortiGate expuestas, VPN gateways expuestos y sistemas virtualizados como Linux, ESXi, Hyper-V, además de Backdoors en Go y cifrado con curve25519 y xchacha20 en la descripción técnica de The Gentlemen.

Recomendación de lectura técnica

Para un equipo blue team, la utilidad de estas señales no está en la atribución, sino en el patrón. Si una organización expone servicios perimetrales, usa administración remota y tiene poca segmentación entre red administrativa y sistemas críticos, el caso The Gentlemen funciona como una guía de priorización defensiva. El material no incluye IoCs suficientes para una lista de bloqueo, pero sí TTPs claros para reforzar detección y hardening.