Panorama de ciberseguridad en América Latina — Septiembre 2026

Amenazas y campañas activas

Ransomware y extorsión

La campaña de ransomware y extorsión más sólida del mes fue Panzer, con K3G Solutions Brazil como víctima mejor documentada y con exfiltración estimada en 300 GB según trackers especializados. En paralelo, Titan publicó a Grupo Hospifar S.R.L. en un leak site y Qilin mantuvo actividad visible sobre Sanatorio Modelo de Caseros, aunque este último caso no logró salir del terreno de reclamo disputado.

La región también tuvo actividad vinculada a Emperador contra el Poder Judicial de Jujuy y a reclamos de Incransom sobre Diarco, pero ambos con verificación incompleta. La diferencia entre publicar una víctima y demostrar impacto sigue siendo central. En septiembre, la mayoría de los casos regionales de ransomware quedaron en alguna posición intermedia entre la mención de leak site y la confirmación parcial de exfiltración.

Fraude y phishing

El fraude y el phishing fueron la verdadera masa crítica del mes. El BCRA advirtió sobre campañas de inversión falsa que imitan a bancos, billeteras y organismos públicos y piden credenciales o tokens. A la vez, la prensa regional mostró un salto en el uso de deepfakes, suplantación de identidad y clonación de voz para engaños bancarios y familiares, con énfasis en Argentina y Brasil.

También hubo señales técnicas más específicas. Casbaneiro se mantuvo activo contra usuarios de instituciones financieras en Argentina, Perú, Colombia y México, con cadenas de infección por PDF malicioso, descargadores y geofencing. En Argentina, el uso de IA para suplantar voces y rostros ya aparece como recurso operativo del fraude, no solo como curiosidad mediática.

APT y espionaje

La señal más clara de APT en el mes vino de ESET Research con SparroWocky, una backdoor usada por FamousSparrow contra objetivos gubernamentales en Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela. El interés del caso está en la persistencia y la amplitud regional del targeting, con mecanismos pensados para reducir huella y dificultar la respuesta.

Ese patrón convive con otro, más amplio, de ataques con herramientas de IA observados por Unit 42 en organizaciones de América Latina. El material no permite convertir eso en un único evento, pero sí en una señal de madurez ofensiva: abuso de herramientas legítimas, persistencia en Windows y campañas que mezclan espionaje, fraude y preparación de acceso.

Vulnerabilidades críticas

En el material analizado se registraron 2 CVEs críticos mencionados. Eso no significa ausencia de otras vulnerabilidades relevantes en la región, sino que solo dos aparecieron con identificación explícita en el corpus del mes.

El hecho de que solo dos CVEs hayan sido mencionados en el material no debe leerse como una región con bajo riesgo de vulnerabilidades. El mes estuvo atravesado por otras prioridades editoriales y regulatorias, y el corpus de research no trae un listado exhaustivo de explotación técnica. Lo que sí deja ver es que, cuando aparece una vulnerabilidad crítica, el foco está en productos de gestión remota y correo, dos superficies históricamente sensibles para ciberseguridad corporativa.

Regulación y cumplimiento

Septiembre confirmó que la regulación ya no es un telón de fondo, sino la amenaza predominante del mes en términos de volumen documental. El dato de 322 hechos regulatorios sobre 851 verificados del período refleja una región activa en producción normativa, consultas públicas, reformas de fiscalización y ajustes de cumplimiento. Eso no equivale a menos riesgo, sino a más obligaciones y más trazabilidad exigida a los equipos.

Argentina concentró gran parte de la agenda con la Comunicación A 8473 del BCRA, que formaliza un score de riesgo de fraude para transferencias inmediatas y obliga a bancos y PSP a usarlo en alta, monitoreo y revisión de padrón. El BCRA también difundió alertas por estafas que usan su nombre para inversiones falsas y avanzó en un esquema más amplio de prevención con información pública y perfiles de riesgo. Para el sector financiero, el mensaje es claro: el control antifraude pasó a ser una pieza estructural de cumplimiento.

En paralelo, el Poder Ejecutivo envió al Congreso un proyecto de seguridad nacional que incorpora ciberseguridad e infraestructura crítica. Esa iniciativa se acopla con discusiones previas sobre modernización estatal, servicios públicos digitales y soberanía de datos. La línea común es una estatalidad que busca ordenar sus activos digitales, clasificar lo crítico y fijar responsabilidades de seguridad con mayor precisión.

Brasil mostró otra cara de la misma tendencia. La ANPD realizó audiencia pública, abrió consulta pública sobre fiscalización de plataformas digitales y publicó lineamientos sobre incidentes de seguridad y documentación. TI Inside y RNP recordaron el plazo de hasta tres días hábiles para comunicar incidentes de la LGPD, y el caso TikTok consolidó una lógica sancionatoria más intensa. El efecto para empresas regionales es inequívoco: la gobernanza documental importa tanto como el control técnico.

Países más afectados en América Latina

Argentina

Argentina fue el país con mayor densidad de señales combinadas en septiembre. Aparecieron casos de ransomware o reclamos de extorsión, campañas de fraude bancario, un salto regulatorio del BCRA y un proyecto nacional que incorpora ciberseguridad a la arquitectura de seguridad estatal. El cuadro general no muestra un único punto de quiebre, sino una superposición de riesgos financieros, judiciales y de infraestructura crítica.

En ransomware, los nombres más visibles fueron el Poder Judicial de Jujuy, Diarco, Librería Santa Fe, Sanatorio Modelo de Caseros, el Ministerio de Educación y la empresa Tecno Acción, aunque no todos con confirmación equivalente. En fraude, la referencia dominante fue el ecosistema de transferencias, wallets y suplantación de identidad, reforzado por el uso creciente de IA en estafas y por el endurecimiento del BCRA. El país termina el mes con mucha regulación y mucha exposición, una combinación que obliga a afinar respuesta y cumplimiento a la vez.

Brasil

Brasil concentró la agenda más madura en regulación y la evidencia más clara de incidente confirmado. La ANPD fue el eje de fiscalización, con audiencia pública, consulta pública y discusión sobre transparencia y sanciones. CAPES confirmó un incidente en la Plataforma Meus Dados y el CTIR Gov publicó una alerta por vulnerabilidad crítica. A eso se suma el caso TikTok, que siguió marcando el tono de la protección de menores y el poder de intervención del regulador.

En el frente criminal, Brasil también apareció en la campaña Panzer contra K3G Solutions y en señales de ransomware vinculadas a sectores industriales y de servicios. El país cerró el mes como el mejor ejemplo de una región donde regulación, fiscalización y incidentes reales avanzan en paralelo, no en secuencia.

Bolivia

Bolivia tuvo una señal más acotada, pero no menor. La Cámara Nacional de Industrias informó un ataque a su página oficial de Facebook, con afectación temporal de la comunicación institucional, y Entel, AGETIC y ATT impulsaron Bolivia Cibersegura 2026 para fortalecer la respuesta a incidentes. Además, se difundieron datos sobre intentos de ciberataque al sector bancario, aunque esa cifra corresponde a telemetría y no a intrusiones confirmadas.

La lectura de país apunta a consolidación de capacidades, no a un solo incidente grande. El eje de riesgo está en la maduración institucional de respuesta y en la necesidad de profesionalizar CSIRT sectoriales y canales de notificación.

Perú

Perú aparece más en clave regulatoria que incidentes. El cierre de plazo para designar Oficiales de Datos Personales en medianas empresas según la Ley 29733 muestra un cronograma de adecuación que sigue en marcha. También hubo señales de actividad criminal regional con Casbaneiro contra usuarios del país, aunque el caso se reporta en un contexto multinacional y no como incidente local aislado.

Para las empresas peruanas, el mes refuerza una lectura de cumplimiento gradual y de exposición regional al fraude financiero. La continuidad entre regulación de datos y fraude digital es más fuerte que en otros países del bloque andino.

Colombia

Colombia tuvo un rol más visible por la campaña de Casbaneiro, que apuntó a usuarios de instituciones financieras en el país, y por la discusión legislativa sobre un nuevo proyecto de protección de datos que endurecería sanciones y ampliaría alcances territoriales. El material no trae incidentes confirmados con la misma granularidad que Argentina o Brasil, pero sí una señal clara de presión regulatoria y de exposición a fraude bancario transfronterizo.

La combinación de IA, phishing y cambios normativos sugiere que el país entra en una fase de mayor alineación regional con modelos de protección más estrictos. La prioridad operativa está en identidad, monitoreo y respuesta a suplantaciones de alto realismo.

México

México sostuvo una agenda fuerte en pagos, autenticación y prevención de fraude, aunque con menos incidentes confirmados en el material del mes. Banxico mantuvo consultas públicas y la cobertura del sector financiero siguió marcando el endurecimiento de controles sobre tarjetas, pagos y cámaras de compensación. En lo criminal, Casbaneiro también apuntó a usuarios mexicanos, reforzando la lectura de un vector financiero regional compartido.

El país aparece menos como escenario de incidentes puntuales y más como un mercado en el que convergen reglas de autenticación, vigilancia de pagos y presión por combatir el fraude. La fotografía de septiembre es la de un ecosistema financiero que sigue cerrando huecos de identidad.

Paraguay

Paraguay siguió avanzando en discusiones sobre infraestructura crítica y protección de datos. El material disponible apunta a una arquitectura normativa que todavía se está consolidando, con foco en servicios esenciales y en el régimen de datos personales. No hubo incidentes confirmados de peso comparables con los de Argentina o Brasil, pero sí una señal de construcción regulatoria sostenida.

Para el análisis regional, Paraguay importa porque muestra el tipo de base legal que otros países todavía discuten. Su relevancia es menos mediática y más estructural.

Chile

Chile aparece en el material principalmente como país comparativo en leyes de protección de datos y debates sobre postergaciones regulatorias. No hubo hechos incidentales relevantes dentro del alcance temático de este informe para septiembre, al menos en el corpus provisto. Eso no implica ausencia de riesgo, sino ausencia de hechos suficientemente verificables en la cobertura incluida.

Ecuador

Ecuador tuvo un paso legislativo sobre ciberseguridad y una referencia operacional en la campaña SparroWocky de FamousSparrow, que afectó organismos gubernamentales en el país. El dato más sólido no es una gran brecha pública, sino la confirmación de que la región andina sigue en el radar de APT con foco gubernamental.

El país combina discusión normativa con exposición a espionaje digital. En ese sentido, el material lo ubica más cerca de un frente de defensa estatal que de un ecosistema de fraude masivo.

Tendencias y señales a monitorear

La comparación con agosto muestra menos hechos verificados totales, pero más actividad de fraude y más incidentes sin tipificar. Los 851 hechos de septiembre bajan frente a los 902 del mes anterior, y los movimientos regulatorios también se reducen de 410 a 322. Sin embargo, el fraude y phishing documentados saltan de 85 a 190, y los incidentes sin tipificar suben de 48 a 61. La señal es clara: menos ruido regulatorio que en agosto, pero más presión real en fraude y más casos que todavía no se pueden cerrar técnicamente.

En ransomware, la variación es mínima, de 41 a 40 casos con extorsión como eje primario. Eso indica estabilidad más que descenso. Lo que cambia es la composición: más reclamos sobre organizaciones de la región, más dificultad para distinguir cifrado, exfiltración o simple publicación en leak site, y más necesidad de validar cada caso antes de asumir impacto. La región sigue siendo un blanco rentable para extorsión, pero el valor operativo está cada vez más en la exfiltración y en la presión reputacional.

El otro cambio fuerte es el fraude. El salto de 85 a 190 casos documentados no se explica solo por mayor cobertura, sino por una mayor sofisticación del engaño y por la incorporación de IA en deepfakes, clonación de voz y guiones de phishing más persuasivos. El material de Argentina, Brasil y la cobertura regional coincide en que el fraude ya no depende de errores evidentes. La autenticación social y la verificación humana necesitan reforzarse tanto como el control técnico.

La regulación tampoco desaparece, aunque baje en volumen. Al revés: el mes mostró una transición desde la producción normativa general hacia la fiscalización concreta. La ANPD en Brasil y el BCRA en Argentina están en una etapa de implementación y control, no solo de anuncio. Eso es una señal relevante para los equipos de seguridad y legales, porque obliga a producir evidencia, no solo políticas.

Recomendaciones para equipos de seguridad

La prioridad inmediata es revisar los controles antifraude sobre canales de pago y transferencia, especialmente donde existan flujos de alta frecuencia, incorporación de nuevos clientes y operaciones sensibles por home banking o billeteras. El material del mes muestra que el fraude ya combina suplantación, IA y explotación de debilidades de proceso, así que el control debe cubrir identidad, comportamiento, validación y respuesta al usuario.

Segundo, conviene endurecer la disciplina de respuesta a leak sites y a reclamos no corroborados. No todos los listados equivalen a intrusión confirmada, y septiembre dejó varios ejemplos donde la diferencia entre mención, exfiltración y cifrado cambia por completo la prioridad del caso. Un equipo que monitoree estas señales debe clasificar por certeza, sector, tipo de evidencia y posible impacto sobre datos regulados.

Tercero, los sectores regulados, en especial finanzas, salud y gobierno, deberían revisar sus obligaciones de notificación y evidencia documental. Brasil ya opera con plazos cortos y exigencias de registro, mientras Argentina suma score de riesgo, perfiles de transferencia y una agenda de infraestructura crítica. Si un equipo no puede reconstruir una línea de tiempo técnica y una línea de decisión de negocio, está un paso atrás de lo que el mes empieza a exigir.

Cuarto, hay que ajustar los controles frente a fraude asistido por IA. Eso incluye verificación de segundo canal, límites a la confianza en audios o videos, capacitación en deepfakes, y procedimientos claros para rechazar pedidos urgentes que lleguen por mensajería o llamadas no verificadas. El material del mes muestra que el engaño ya no depende de mala ortografía ni de mensajes torpes.

Quinto, en organizaciones con exposición a servicios esenciales o infraestructura crítica, conviene probar continuidad y segmentación con mayor frecuencia. Cyber.ar 26 y Guardião Cibernético 8.0 muestran que la región ya piensa en subestaciones, energía, salud y redes como objetivos reales. Los ejercicios deben validar recuperación, no solo existencia de backups.

Preguntas frecuentes

¿Por qué septiembre mostró más fraude que ransomware en el material analizado?

Porque el mes reunió 190 casos de fraude o phishing documentados frente a 40 casos con ransomware o extorsión como eje primario. Además, Argentina y Brasil concentraron muchas señales de suplantación, deepfakes y estafas bancarias. La sección de Indicadores y la de Amenazas y campañas activas lo muestran con claridad.

¿Qué países concentran la señal más relevante del mes?

Argentina y Brasil concentran la mayor densidad de hechos verificables. Argentina lidera en fraude, regulación bancaria y reclamos de ransomware. Brasil lidera en fiscalización de datos, incidente confirmado en CAPES y actividad de la ANPD. Para una lectura detallada, ver Países más afectados en América Latina y Regulación y cumplimiento.

¿Qué diferencia hay entre una víctima publicada en un leak site y un caso confirmado?

Una publicación en leak site puede ser solo un reclamo de extorsión. Un caso confirmado requiere evidencia adicional de impacto, idealmente de la propia organización o de fuentes técnicas sólidas. En septiembre, varios casos de Argentina quedaron en esa zona gris, por eso el informe distingue reclamo, exfiltración y cifrado en Amenazas y campañas activas.

¿Qué cambió en la agenda regulatoria argentina respecto del mes anterior?

El BCRA avanzó desde la discusión antifraude hacia la implementación de scores de riesgo y perfiles para transferencias, mientras el Ejecutivo envió al Congreso un proyecto de seguridad nacional que incorpora ciberseguridad e infraestructura crítica. La comparación con agosto está desarrollada en Indicadores del período y Tendencias y señales a monitorear.

¿Hubo vulnerabilidades críticas publicadas en el mes?

Sí, el material analizado menciona 2 CVEs críticos, CVE-2026-76461 y CVE-2026-84869. Eso no implica ausencia de otras fallas en la región, sino que solo esas dos quedaron explicitadas en el corpus del mes. Ver la tabla de Vulnerabilidades críticas para el detalle y la fuente asociada.

¿Qué debería priorizar un equipo financiero de la región después de este mes?

Debería priorizar antifraude en transferencias, verificación reforzada de identidad, respuesta a suplantación de marca y monitoreo de extorsión en leak sites. El material muestra un salto en phishing con IA y una regulación más exigente sobre evidencia y trazabilidad. Las recomendaciones operativas están en Recomendaciones para equipos de seguridad.

Limitaciones del material

Este informe usa exclusivamente los hechos provistos para septiembre de 2026 y su marco comparativo. Los 851 hechos verificados del período son la base de todos los indicadores del mes, mientras que 132 hechos de meses anteriores se usaron solo como comparación y nunca como volumen del período. También quedaron excluidos 4 hechos sin fecha confirmada y 8 hechos posteriores al período.

Un punto importante es que un indicador en cero, especialmente en vulnerabilidades, significa que no apareció en el material analizado, no que no haya existido en la región. En este caso hubo 2 CVEs críticos mencionados, pero eso no permite inferir la totalidad de vulnerabilidades explotadas en América Latina durante el mes. El mismo criterio aplica a otros campos: ausencia en el corpus no equivale a ausencia real.

La ventana temporal de indicadores incluyó 856 hechos con fecha en septiembre de 2026, 132 de meses anteriores como marco comparativo, 4 sin fecha confirmada excluidos y 8 posteriores excluidos. El material también contiene 5 cifras de telemetría agregada, que son intentos o bloqueos automatizados y no incidentes con impacto confirmado. Esas cifras se mantuvieron fuera del volumen del mes.

La calidad de atribución varía según el caso. En varios hechos, sobre todo en ransomware y filtraciones, el corpus incluye fuentes de seguimiento de leak sites, trackers de brechas o notas secundarias que no equivalen a confirmación oficial. Cuando el material no permite distinguir cifrado, exfiltración o simple mención, este informe lo señala explícitamente. También se excluyeron fuentes no permitidas por la consigna, como redes sociales de consumo o publicaciones que no integran la lista autorizada.