Actividad de ransomware en América Latina — Junio 2026

Amenazas y campañas activas

Ransomware y extorsión

La amenaza dominante del mes fue ransomware en formato de extorsión con impacto operativo. Los 20 casos de ransomware o extorsión documentados se distribuyen entre incidentes con víctimas confirmadas, menciones de campañas y reportes de actividad global que alcanzan a América Latina. El patrón más consistente es la presión sobre servicios donde la restauración tiene alto costo, especialmente sanatorios, empresas de medicina privada, clínicas y, en el caso de Brasil, organizaciones con exposición corporativa amplia.

Qilin aparece como uno de los nombres más visibles del mes. Revista Ciberseguridad lo ubicó como el grupo más activo en mayo a nivel global y El Heraldo de Puebla lo vinculó con incidentes en Brasil y Chile durante la primera semana de junio. Eso no permite atribuir con certeza todos los ataques regionales a una única campaña, pero sí muestra un operador con suficiente tracción para mantener presencia continuada en el arranque del mes. También LockBit5 figura como actor relevante en el radar de Daniel Donda, con 22 publicaciones observadas en una semana de junio y 100 organizaciones afectadas globalmente en ese lapso.

La combinación de actores y sectores sugiere una extorsión que prioriza el tiempo de respuesta de la víctima. El ataque sobre sanatorios paraguayos obligó a operar manualmente. Ese detalle es decisivo, porque indica que el efecto buscado no es solo el cifrado de archivos, sino la alteración del flujo operativo. En salud privada, ese impacto tiene un costo directo sobre atención, turnos, facturación y coordinación entre áreas. En la práctica, eso aumenta la probabilidad de presión para una recuperación acelerada, incluso cuando no se confirma públicamente el pago.

Fraude, phishing y acceso inicial

Aunque el eje de este informe es ransomware, el material del mes muestra que el acceso inicial sigue apoyándose en fraudes y phishing. ITware Latam, citando el Reporte Fortinet 2026, indicó que el phishing representa el 76% y el ransomware el 50% de los vectores de ataque señalados por organizaciones industriales de América Latina. CronUp, por su parte, informó campañas que distribuían infostealers mediante falsas promociones de Spotify Premium y juegos pirateados, con afectación a usuarios de habla hispana, incluidos de América Latina. No son incidentes de ransomware en sentido estricto, pero sí parte del embudo que termina facilitando credenciales robadas y posterior intrusión.

La señal es importante porque las campañas de extorsión no se agotan en el cifrado final. La obtención de credenciales, el abuso de acceso remoto y la ingeniería social siguen siendo mecanismos de preparación. Las fuentes disponibles para junio muestran un ecosistema donde phishing, suplantación de servicios y distribución de malware robador de información conviven con la operación de ransomware. En términos defensivos, eso obliga a revisar correo, navegación, autenticación y exposición remota como parte de una misma cadena de riesgo.

APT y hacktivismo

No hubo material verificable en el período que permita describir con precisión una campaña APT o de hacktivismo directamente vinculada al eje de ransomware en América Latina. La lectura dominante sigue siendo criminal, con foco en extorsión, filtración y presión operativa. Por eso esta subsección queda sin expansión temática adicional, más allá de señalar que el mes no ofreció evidencia suficiente para incorporar una narrativa técnica distinta a la del ransomware y sus precursores de acceso inicial.

Vulnerabilidades críticas

No se registraron CVEs críticos verificables en el material provisto para junio de 2026.

Regulación y cumplimiento

En el plano regulatorio hubo dos señales documentadas durante el mes. ITware Latam informó que el 89% de los líderes industriales encuestados en América Latina espera un incremento de las regulaciones de ciberseguridad en los próximos cinco años. Ese dato no es una norma ni una disposición concreta, pero sí refleja una expectativa de endurecimiento del entorno de cumplimiento, impulsada por incidentes repetidos y por la presión que sienten sectores industriales y de infraestructura.

La segunda señal aparece en la lectura corporativa y sectorial que acompaña al riesgo. El reporte de Fortinet citado por ITware Latam señala que el 71% de los responsables de ciberseguridad industrial en América Latina reportó entre una y nueve intrusiones en el último año, un aumento frente al 47% del período anterior. El mismo análisis agrega que solo el 24% vio impacto simultáneo en TI y OT, frente al 60% de 2025, y atribuye esa reducción a una mejor segmentación de redes. En términos de cumplimiento, eso sugiere que la presión regulatoria y la exigencia de segmentación están empezando a traducirse en decisiones técnicas.

No hubo en el material disponible movimientos regulatorios de alcance nacional específicamente asociados a ransomware en junio, ni sanciones, ni nuevas obligaciones concretas detalladas por país. La lectura válida es que el mes dejó expectativa de mayor regulación y una discusión más madura sobre resiliencia, pero no un paquete normativo identificado que se pueda atribuir sin ambigüedad a la evidencia provista.

Países más afectados en América Latina

Brasil

Brasil concentra buena parte de la superficie de riesgo del mes. El país aparece en el reporte patrocinado por Valor Econômico con un aumento del 25% en ataques de ransomware y con una media de 3.736 ataques cibernéticos por semana por organización en febrero. Dinamio lo ubica entre los países más impactados por ransomware en marzo, con 1,8% de los ataques globales reportados. A eso se suma la mención de Qilin en una empresa alimentaria brasileña dentro de una campaña transnacional.

La lectura para Brasil es la de un mercado muy expuesto, donde el riesgo no se reduce a un único incidente. El material disponible apunta a exposición de servicios remotos, credenciales comprometidas y una presión amplia sobre organizaciones grandes y medianas. La combinación de escala, conectividad y persistencia de ataque hace que el país sea un objetivo natural para operadores de extorsión que buscan retorno rápido.

México

México aparece con dos capas de señal. La primera es el volumen de ataques y la mención de intentos masivos, con 237 mil ataques de ransomware reportados por Radio Fórmula y 337 millones de intentos de ciberataques en 90 días difundidos por Fortinet e Indigo MTY. La segunda es más específica y proviene de Banxico, que en su informe sobre el sistema financiero señaló incidentes cibernéticos en 2026, incluyendo familias de ransomware como LockBit y Qilin.

Eso ubica a México en una situación de presión dual, con alto volumen general y presencia concreta de ransomware en entidades financieras. La información de junio no permite asociar todos esos datos a una única víctima o a una sola campaña, pero sí deja claro que el país combina superficie grande, criticidad sectorial y presencia de actores ya reconocidos en otras partes de la región. Para equipos de seguridad, eso implica que el riesgo no está solo en la banca, sino en proveedores y cadenas conectadas.

Paraguay

Paraguay fue el país con el incidente más operativo del mes en el material disponible. La cobertura local describe un ciberataque masivo mediante ransomware que afectó a varios sanatorios privados y empresas de medicina privada, con impacto sobre Migone, Grupo Británico, Reyva, Las Lomas y Santa Clara. La operación manual forzada es una señal de disrupción material, no solo de exposición teórica.

El caso paraguayo también es un recordatorio de que las organizaciones de salud privada pueden tener un nivel de interdependencia alto, aun cuando el incidente se manifieste en diferentes marcas o sedes. Para ransomware, eso amplifica el efecto de un acceso comprometido. Si un atacante alcanza sistemas compartidos, el daño se propaga desde la infraestructura digital a la operación diaria. En junio, Paraguay no solo tuvo un caso, tuvo un caso que alteró directamente el modo de trabajo de varias entidades de salud.

Chile

Chile aparece a partir de la referencia a una clínica afectada en la campaña atribuida a Qilin. El material no permite identificar la víctima ni expandir el alcance con otros hechos locales en el mes, pero sí confirma que el país estuvo dentro de la geografía tocada por el grupo. Para una clínica, la lógica de impacto es clara, porque el ransomware en salud interrumpe agenda, atención, registros y coordinación interna.

Aunque el número de hechos documentados en Chile es menor que en Brasil, México o Paraguay, la señal es relevante por la naturaleza del sector implicado. En junio, Chile no queda fuera del mapa regional de extorsión, solo aparece con menor densidad de información pública verificable.

Argentina

Argentina se mantiene como país de alta presión regional según los datos de Check Point Research difundidos por Itsitio, con 2.470 ciberataques semanales por organización en mayo. No hay en el paquete de junio una víctima argentina de ransomware suficientemente detallada para desplegar un caso propio, pero la exposición general es significativa. En entornos así, el riesgo de ransomware aumenta por acumulación de superficie y por la probabilidad de compromisos iniciales en correo, VPN o servicios expuestos.

La ausencia de un caso concreto no neutraliza la importancia del país en el mapa regional. Más bien sugiere que, en junio, la visibilidad pública se concentró en otros frentes, mientras Argentina siguió cargando presión de fondo.

Colombia

No hubo material verificable en junio que permita atribuir a Colombia un caso de ransomware o extorsión confirmado dentro de este eje. La lectura debe quedar limitada a esa ausencia de hechos documentados en la evidencia provista.

Bolivia

No hubo material verificable en junio que permita atribuir a Bolivia un caso de ransomware o extorsión confirmado dentro de este eje. La lectura debe quedar limitada a esa ausencia de hechos documentados en la evidencia provista.

Perú

No hubo material verificable en junio que permita atribuir a Perú un caso de ransomware o extorsión confirmado dentro de este eje. La lectura debe quedar limitada a esa ausencia de hechos documentados en la evidencia provista.

Estados Unidos

No hubo material verificable en junio que permita atribuir a Estados Unidos un caso dentro del alcance regional de este informe. La mención queda solo como país incluido en la taxonomía solicitada, sin hechos documentados en el material provisto para este período.

Tendencias y señales a monitorear

No hay baseline comparativo del mes anterior, porque este es el primer período archivado con este formato de indicadores para América Latina. Eso impide leer la variación mensual como una serie histórica formal. Aun así, el material de junio deja tres señales útiles para monitoreo inmediato.

La primera es la consolidación de salud privada como sector sensible. Paraguay ofreció el caso más visible, pero la referencia a una clínica en Chile y la lectura global sobre Qilin muestran que el sector sigue siendo un blanco prioritario. Donde hay turnos, sistemas clínicos, facturación y atención al paciente, el costo de la indisponibilidad es alto y el incentivo de extorsión también.

La segunda es la persistencia de Brasil y México como geografías de presión. Brasil combina aumento de ataques reportado, exposición de servicios y acceso remoto vulnerable. México combina volumen de intentos, incidentes en el sistema financiero y familias de ransomware ya observadas en reportes oficiales. Para ambos países, la señal más importante no es un solo episodio sino la continuidad de un entorno de ataque amplio.

La tercera es el peso de las campañas que mezclan phishing, stealers y acceso inicial con posterior extorsión. CronUp e ITware Latam muestran que el phishing sigue siendo un vector central, mientras que las falsas promociones y los juegos pirateados sirven para recolectar credenciales o instalar malware. Eso significa que la defensa contra ransomware en la región no puede concentrarse solo en backup y restauración. Tiene que empezar antes, en identidad, correo, exposición remota y control de endpoints.

Recomendaciones para equipos de seguridad

La primera prioridad es revisar exposición remota y credenciales privilegiadas. El material de junio vuelve a señalar vectores clásicos como VPN, RDP y RDWeb expuestos, además de credenciales comprometidas. Para equipos de seguridad, eso implica inventario exhaustivo de servicios publicados, MFA obligatoria donde sea posible, revisión de accesos heredados y validación de que las cuentas privilegiadas no tengan reutilización de contraseñas ni privilegios excesivos.

La segunda prioridad es segmentar de verdad los entornos críticos. El reporte Fortinet citado por ITware Latam sugiere que la mejor segmentación ayudó a reducir el impacto simultáneo sobre TI y OT. Ese dato es valioso porque conecta una medida de arquitectura con una reducción concreta del daño. En organizaciones de salud, industria o servicios, segmentar no es solo una decisión de red, también es una forma de limitar alcance lateral y de proteger procesos que no pueden quedar indisponibles.

La tercera prioridad es mejorar la respuesta operativa para escenarios de trabajo manual. El caso paraguayo mostró que varios sanatorios tuvieron que volver al papel o a procedimientos manuales. Ese tipo de fallback debe estar ensayado antes del incidente. Formularios, flujos de autorización, teléfonos de contingencia, criterios para continuidad clínica y procedimientos de facturación deben existir y ser ejercitados. Si no, el respaldo manual se convierte en improvisación bajo presión.

La cuarta prioridad es endurecer correo, navegación y formación específica sobre phishing y stealers. El ecosistema del mes sigue mostrando campañas con señuelos de servicios conocidos, software pirateado y ofertas falsas. No se trata de capacitación genérica, sino de controles técnicos y conductuales concretos, como bloqueo de adjuntos ejecutables, revisión de enlaces, aislamiento de navegación riesgosa y alertas sobre falsos instaladores o actualizaciones.

La quinta prioridad es revisar la capacidad de restauración, no solo el respaldo. El hecho de que un país registre más ataques o que una organización tenga backup no garantiza recuperación rápida. Hay que probar restauraciones completas, validar tiempos de reconstrucción, verificar integridad de respaldos y separar credenciales de backup de la red productiva. Los datos de junio sugieren que la brecha entre tener copias y volver a operar sigue siendo un punto débil relevante.

La sexta prioridad es fortalecer monitoreo de filtración y de sitios de extorsión. Aunque en varios casos del mes no se confirmó publicación de datos, el modelo de ransomware actual depende mucho de la amenaza de exposición. Los equipos deben vigilar menciones a su marca, sedes, proveedores y grupos empresariales, porque los incidentes con estructura de conglomerado, como el de salud privada en Paraguay, suelen ampliarse de una entidad a otra.

Limitaciones del material

Este informe se construye exclusivamente con el material provisto para junio de 2026. No se usaron fuentes externas ni navegación en internet. Eso impone límites concretos sobre la atribución de víctimas, técnicas y grupos en algunos hechos que aparecen solo como referencias parciales o como cobertura indirecta.

Varios materiales mencionan grupos y países sin detallar víctimas completas, alcance técnico ni confirmación independiente adicional. En esos casos, la redacción se limitó a lo verificable. También hay piezas que hablan de incidentes cibernéticos o de presión general sobre la región, pero no permiten clasificar cada caso como ransomware con total precisión. Cuando eso ocurrió, se priorizó el dato explícito de la fuente sobre cualquier inferencia.

No se incluyeron fuentes de redes sociales como evidencia, aunque algunas aparecían en el paquete de research, porque la pauta editorial las excluye de la lista de cita. Tampoco se incorporaron IoCs, porque el material disponible para junio no trae hashes, dominios o IPs verificables publicados por una fuente apta para este informe.

Finalmente, el indicador de 82% de hechos con confirmación directa de la fuente describe la calidad de la señal documental del mes, no una medición operativa del fenómeno en sí. Los 28 incidentes documentados y los 20 casos de ransomware o extorsión reflejan el universo verificado en este archivo, no el total real de actividad en la región.