Regulación y cumplimiento en América Latina — Octubre 2026

Amenazas y campañas activas

Ransomware y extorsión

El material del mes no permite reconstruir una campaña regional única de ransomware con suficiente precisión. Sí registra seis casos con ransomware o extorsión como eje primario, pero en cinco de ellos la fuente no precisa si hubo cifrado y en uno sí se confirma cifrado de activos. Esa diferencia es operativamente importante porque el impacto sobre continuidad, recuperación y notificación cambia de forma sustantiva.

La lectura prudente es que el riesgo de extorsión siguió presente en la región, pero el corpus de octubre no documenta una ola homogénea ni una familia de actores con atribución clara. Para equipos de defensa, eso obliga a mantener separadas la prevención de cifrado, la gestión de exfiltración y la respuesta a presión extorsiva sin asumir que todas las variantes requieren el mismo playbook.

Fraude y phishing

El fraude y el phishing aparecen como una amenaza más concreta y mejor documentada en octubre. El caso del Banco de La Pampa mostró una trayectoria clásica de engaño telefónico, entrega de credenciales y transferencia de fondos sin alertas suficientes. La cobertura remarcó la falta de mecanismos para verificar identidad y detectar operaciones inusuales, lo que convierte al caso en un ejemplo útil para revisar controles de autenticación y monitoreo conductual.

El caso de México, con el reporte sobre CyberCartel y las 43 credenciales de una fintech, apunta a un problema distinto, la exposición de accesos reutilizables y la posible habilitación de operaciones indebidas. El material no confirma explotación efectiva, pero sí revela una superficie de riesgo donde el robo de credenciales, la validación de accesos y la segmentación de sistemas financieros dejan de ser temas teóricos.

En conjunto, los 13 casos de fraude o phishing documentados muestran que la región sigue enfrentando ataques de baja complejidad técnica relativa, pero alto rendimiento económico. La respuesta no pasa solo por campañas de concientización. También requiere controles de autenticación reforzados, reglas de monitoreo de transacciones, verificación por canal alternativo y registros auditables de alertas y decisiones.

APT y hacktivismo

El material de octubre no aporta evidencia sólida para sostener una campaña APT regional o una ola de hacktivismo con atribución verificable en el eje de regulación y cumplimiento. Sí aparecen referencias a actividades de monitoreo, fiscalización y sanción de la ANPD, pero eso corresponde al accionar del regulador, no a una amenaza técnica avanzada. Por tanto, no corresponde inflar esa categoría con especulaciones.

Lo que sí deja el mes es una advertencia indirecta. A medida que los reguladores exigen más trazabilidad, reportes tempranos y evidencia de seguridad, las organizaciones que no puedan demostrar controles quedan expuestas a sanción aunque no haya un gran incidente público detrás. El cumplimiento, en este contexto, se convierte en una capacidad de defensa frente al regulador tanto como frente al atacante.

Vulnerabilidades críticas

No se registraron CVEs críticos en el material analizado del período. Eso no implica ausencia de vulnerabilidades críticas explotadas en la región, solo que este corpus de octubre no documentó ninguna con nivel crítico o con atribución suficiente para incluirla en la tabla.

Regulación y cumplimiento

Octubre fue, ante todo, un mes de movimiento normativo. La mayor parte de las noticias verificadas del período correspondió a regulación, con 185 hechos documentados. Esa cifra no debe leerse como una simple suma de boletines o comunicados, sino como una indicación de cuántas veces el ecosistema de América Latina tuvo que revisar reglas, plazos, obligaciones, sanciones o estructuras de supervisión.

Chile, la vigencia de la Ley N.º 21.719 y el reloj que sigue corriendo

Chile concentró una de las discusiones regulatorias más delicadas del mes. El Senado aprobó un proyecto que modifica la Ley N.º 21.719 y propone trasladar su entrada en vigencia al 15 de octubre de 2027, aunque el texto todavía debe completar tramitación en la Cámara de Diputadas y Diputados. Hasta que eso ocurra, la fecha legal continúa fijada en el 1 de diciembre de 2026.

El punto de fondo es que la norma no es solo una declaración de derechos. La Ley N.º 21.719 contempla acceso, rectificación, supresión, oposición, portabilidad y bloqueo, junto con deberes de información, seguridad y notificación de vulneraciones y un régimen de infracciones y sanciones. La postergación, por lo tanto, no elimina el trabajo de adecuación. Solo altera el calendario.

La cobertura del mes también dejó ver una discusión institucional. En la tramitación se propuso aumentar de tres a cinco los integrantes del Consejo Directivo de la futura Agencia de Protección de Datos Personales, y una alternativa de entrada escalonada mantuvo sobre la mesa la idea de diferir por un año las facultades fiscalizadoras y sancionadoras. Esa combinación sugiere que el debate chileno no es solo de fecha, sino de gobernanza y capacidad real de supervisión.

Para compliance, la lección es clara. No conviene asumir que la postergación ya está cerrada ni, al revés, postergar toda preparación hasta una sanción definitiva. La propia cobertura advirtió que mientras el proyecto no complete su tramitación legislativa, las organizaciones no deberían asumir que el plazo de adecuación se extendió automáticamente hasta 2027.

Brasil, fiscalización activa y ajustes de lenguaje regulatorio

Brasil tuvo un mes de alta actividad regulatoria, con un contraste útil entre sanción concreta y preparación estructural. La ANPD concluyó el caso de Feira de Santana con medidas correctivas, actualizó su Glossário con términos asociados a reglamentos específicos y difundió una versión en inglés de la LGPD luego de la Ley n.º 15.352/2026. Es una combinación que muestra tanto enforcement como maduración institucional.

El caso de Feira de Santana es especialmente importante porque la autoridad no se limitó a señalar la infracción. Impuso acciones concretas, desde el nombramiento de un encargado de datos hasta la redacción de políticas de privacidad, el plan de respuesta a incidentes y los informes de impacto. También informó que monitiene actividades de monitoreo, fiscalización y sanción contra empresas y plataformas, con el objetivo de conducir a los regulados hacia la conformidad.

En paralelo, el Senado brasileño registró como en tramitación el PL 5.648/2026, y la ficha oficial de la PEC 17/2019 la muestra aprobada por el Plenario y remitida a la Cámara de Diputados. Esa coexistencia de iniciativas, una más enfocada en procesos políticos y otra en derechos fundamentales, indica que la discusión sobre datos y acceso a la información sigue escalando a varias capas institucionales.

La señal regulatoria brasileña no se limita a privacidad. También muestra a la ANPD ajustando definiciones y herramientas para un entorno donde incidentes de seguridad, transferencias internacionales y encargados del tratamiento requieren precisión terminológica. Ese trabajo de lenguaje importa porque, en la práctica, define obligaciones y reduce zonas grises de cumplimiento.

Argentina, la CNV entra de lleno en ciberseguridad para PSAV

Argentina dio uno de los pasos regulatorios más claros del mes al aprobar la Resolución General 1172/2026 de la CNV. La norma modifica las Normas de la CNV e incorpora obligaciones de ciberseguridad para los proveedores de servicios de activos virtuales, con exigencias de políticas, procedimientos y controles basados en riesgos, gobernanza, evaluaciones periódicas, auditorías de ciberresiliencia y protección de la información de usuarios.

El cambio es relevante porque no trata la ciberseguridad como una obligación externa o sectorial difusa, sino como parte del régimen de supervisión del mercado. La resolución también unifica el capítulo aplicable a los PSAV e integra el régimen previamente regulado por la RG 1058/2025 y criterios interpretativos anteriores. Eso facilita lectura jurídica, pero al mismo tiempo eleva la vara de implementación para los regulados.

La norma exige además que los PSAV informen de inmediato hechos relevantes como pérdidas superiores al 15% del patrimonio neto, incidentes de ciberseguridad, interrupciones de sistemas o la decisión de cesar actividades. Y para los PSAV de categoría 4, separa claramente activos propios y de clientes, a la vez que prohíbe al custodio usar por cuenta propia los activos o fondos de sus clientes.

La lectura de cumplimiento aquí es doble. Por un lado, la CNV está alineando sus normas con riesgos tecnológicos reales. Por otro, está empujando a los proveedores a documentar su seguridad de forma que pueda ser auditada. No alcanza con tener controles. Hay que poder probarlos.

México, supervisión financiera y control de menores en entornos digitales

México sumó varios movimientos regulatorios que no pertenecen exactamente al mismo expediente, pero sí comparten un eje de endurecimiento de supervisión. La CNBV realizó la segunda evaluación de 2026 para la certificación en prevención de lavado de dinero y financiamiento al terrorismo, con 977 personas, mientras que una cobertura especializada atribuyó a las reglas mexicanas de seguridad financiera exigencias como notificación inmediata de incidentes, pruebas de penetración independientes y planes de remediación con plazos concretos.

Además, la Suprema Corte confirmó, según la cobertura disponible, la facultad de la CONDUSEF para sancionar a entidades financieras por incumplimientos vinculados con el Registro de Despachos de Cobranza y reportes mensuales de quejas. Esa combinación apunta a un ecosistema donde la supervisión ya no se limita a solvencia o conducta comercial, sino que se extiende a trazabilidad de incidentes y deberes de reporte.

En el frente digital y de protección de menores, el mes dejó un paquete normativo separado, con el decreto de entornos digitales seguros para niñas, niños y adolescentes y varias coberturas sobre sus implicancias. Aunque ese eje no es el foco principal del presente informe, sí confirma que la agenda regulatoria mexicana está combinando protección de usuarios, control de plataformas y exigencias operativas a intermediarios financieros y digitales.

Guatemala, ciberseguridad como prioridad legislativa

Guatemala sumó una señal legislativa clara con la iniciativa 6347 de ley de ciberseguridad. La propuesta fue incluida en la agenda del Congreso para su primer debate, después de haber recibido un dictamen favorable con modificaciones en una comisión y de haber sido devuelta en abril de 2026 para nuevo análisis en las comisiones de Asuntos de Seguridad Nacional y de Economía.

El Congreso también prevé instalar una mesa técnica con representantes del sector bancario y los ponentes para incorporar observaciones antes de continuar el trámite. Esa decisión es importante porque indica que el texto no se discute de forma abstracta, sino con participación de actores afectados por la futura obligación regulatoria. La propuesta busca fortalecer la capacidad estatal para prevenir, detectar y responder a amenazas digitales.

El material disponible menciona, además, la posible creación del Consejo Nacional de Ciberseguridad, la Dirección Nacional de Ciberseguridad y el Centro de Respuesta a Incidentes de Ciberseguridad de Guatemala, aunque siempre como parte de la propuesta y no como instituciones ya operativas. Por eso, conviene leer ese contenido como diseño legislativo y no como implementación concluida.

Perú, sector financiero y reglas de pagos abiertos

Perú aportó un frente regulatorio centrado en finanzas abiertas y pagos digitales. La SBS publicó el primer bloque normativo del Sistema de Finanzas Abiertas y abrió consulta pública sobre el proyecto de reglamento. En paralelo, el BCRP aprobó el reglamento del servicio de aceptación de pagos para fortalecer los pagos digitales y proteger los fondos de los comercios.

Aunque este informe se centra en regulación y cumplimiento de ciberseguridad y datos, el punto es evidente. Un sistema de finanzas abiertas bien diseñado exige controles sobre APIs, permisos, consentimiento y trazabilidad, aunque el corpus no detalle en este mes un desarrollo técnico equivalente al de otros países. La señal de Perú es de arquitectura regulatoria en construcción, todavía en fase de definición y comentarios.

Paraguay, Paraguay y los debates sobre datos personales

El material disponible sobre Paraguay es más escaso en volumen verificable para este mes, pero muestra una conversación pública en expansión sobre reglamentación de datos personales y usos indebidos. Las coberturas listadas señalan que la ley de datos personales ya se invoca en discusiones sobre acceso a información, afiliación fraudulenta y blindaje de funcionarios, aunque en varios casos el detalle provisto no permite convertir esas notas en hechos regulatorios cerrados del período.

Eso no significa ausencia de agenda, sino falta de confirmación suficiente en el material suministrado para este informe. En términos de cumplimiento, conviene tomarlo como una señal de debate político y social en curso, pero no como un cambio normativo consolidado dentro del corpus analizado de octubre.

Países más afectados en América Latina

Argentina

Argentina fue uno de los países con mayor densidad de hechos verificables por la combinación de regulación, sanción y fraude documentado. La CNV dio el paso más concreto al incorporar obligaciones de ciberseguridad para PSAV mediante la RG 1172/2026, con foco en gobernanza, controles basados en riesgo, auditorías y reporte de incidentes relevantes. Ese movimiento es estructural y cambia el estándar de supervisión para el sector de activos virtuales.

En paralelo, el caso del Banco de La Pampa confirmó que el frente judicial y de consumo también está activo. La multa por phishing no solo sanciona un hecho individual, también sugiere que el sistema espera de las entidades capacidad de detectar operaciones inusuales y alertar ante patrones anómalos. Para los equipos locales, eso convierte la prevención del fraude en una obligación transversal, no en una tarea del área de canales digitales solamente.

Argentina también aparece en el radar por la discusión de reglas de mercado y datos asociados a banca abierta, aunque buena parte de ese material pertenece al marco comparativo de meses anteriores. En octubre, el mensaje relevante es que la regulación financiera está integrando de forma más directa la dimensión tecnológica y de seguridad.

Brasil

Brasil fue el país con la señal institucional más fuerte del mes en materia de protección de datos. La ANPD no solo cerró el caso de Feira de Santana con sanciones y medidas correctivas, sino que además mantuvo una agenda de actualización normativa y glosario que apunta a clarificar obligaciones para regulados y a profesionalizar la fiscalización. Ese combo deja una huella clara sobre qué espera el regulador: respuesta rápida, documentación y controles verificables.

La dimensión brasileña no se agota en el caso municipal. La actualización de la LGPD en inglés y la referencia a reglamentos sobre comunicación de incidentes, encargado del tratamiento y transferencia internacional muestran una institucionalidad que intenta acompañar cambios normativos recientes. También es relevante que el Senado mantenga otras iniciativas de alcance más amplio, desde derechos fundamentales hasta eventuales exigencias para procesos políticos.

Brasil, por volumen y profundidad, fue probablemente el país donde el cumplimiento se vio más forzado a mostrar evidencia concreta durante el mes. La diferencia con otras jurisdicciones es que aquí la sanción no aparece como amenaza potencial, sino como resultado ya consumado.

Chile

Chile tuvo una de las discusiones regulatorias más importantes del mes por la postergación de la Ley N.º 21.719. El Senado aprobó el proyecto que mueve su entrada en vigencia al 15 de octubre de 2027, pero el trámite sigue abierto y la fecha legal vigente continúa siendo diciembre de 2026. Esa situación genera una ventana de incertidumbre que afecta decisiones de implementación, presupuestos y cronogramas de adecuación.

El contenido verificado indica además que la norma contempla derechos de titulares, deberes de seguridad y notificación de vulneraciones y un régimen sancionatorio. Por eso la discusión no es menor. El eventual corrimiento de fechas no elimina la necesidad de diseñar procesos, matrices de riesgo y mecanismos de respuesta.

Chile también aparece con debate sobre la composición de la futura agencia y la posibilidad de diferenciar en el tiempo las facultades fiscalizadoras y sancionadoras. En términos operativos, eso obliga a las organizaciones a no sobredimensionar ni subestimar la prórroga hasta que el texto se convierta efectivamente en ley.

México

México combinó supervisión financiera y control de plataformas con un tono de mayor exigencia regulatoria. La CNBV realizó su segunda evaluación de certificación PLD/FT de 2026, mientras que la cobertura citó exigencias técnicas relacionadas con incidentes, pruebas de penetración y remediación. La Suprema Corte también confirmó, según la cobertura disponible, la potestad sancionatoria de la CONDUSEF sobre ciertas obligaciones operativas del sistema financiero.

Aunque parte del contenido disponible sobre México pertenece a otros ejes regulatorios, la lectura para este informe es que el país está empujando a las entidades a profesionalizar evidencia, trazabilidad y control de incidentes. No se trata solo de cumplir con formularios, sino de demostrar capacidad operacional frente a eventos de seguridad y conducta.

Guatemala

Guatemala ganó visibilidad por la reactivación legislativa de la iniciativa 6347 de ciberseguridad. La inclusión en agenda para primer debate, la mesa técnica con el sector bancario y el trabajo previo de comisiones muestran que el debate ya no está en etapa preliminar, sino en discusión legislativa con actores afectados.

La iniciativa busca fortalecer la respuesta estatal ante amenazas digitales y, según la cobertura, contempla nuevas estructuras como CONCIBER, DICIBER y CRIC-GT. Dado que eso todavía forma parte de la propuesta, el análisis prudente es observar cómo evoluciona el texto y qué alcance termina teniendo en la relación entre sector público, banca y respuesta a incidentes.

Perú

Perú mostró una señal importante en finanzas abiertas y regulación de pagos, con la SBS abriendo consulta y publicando el primer bloque normativo del sistema. Aunque el material de octubre es más normativo que sancionatorio, la dirección es clara: el país se prepara para un esquema de intercambio de datos financieros que exigirá más control de identidad, consentimiento y trazabilidad.

El país también mantiene una actividad de normas y alertas técnicas de seguridad digital en otros frentes, aunque varios hechos provienen de material sin fecha confirmada y por eso no entran en el volumen del período. Para el presente informe, la lectura es que el ecosistema peruano sigue afinando la capa regulatoria, no cerrándola.

Colombia

Colombia aparece menos denso en hechos verificados de octubre dentro de este eje, aunque persisten discusiones sobre open finance, regulación de APIs y gobierno de datos en el sistema financiero. Buena parte del material correspondiente pertenece al marco comparativo de septiembre, por lo que no debe contarse como volumen de octubre.

La señal útil es que el país continúa en un tránsito regulatorio hacia mayor interoperabilidad y mayores controles sobre datos y terceros. No hay en este corpus un movimiento tan contundente como en Chile, Brasil o Argentina, pero sí una dirección consistente.

Paraguay

Paraguay tuvo presencia más cualitativa que cuantitativa en el material disponible. Las coberturas mencionadas hablan de debates sobre protección de datos, acceso a información y uso de la ley para fines políticos o administrativos, pero sin una pieza regulatoria verificable lo bastante sólida para fijar un hito del período.

Por eso, el país queda como una señal de vigilancia, no como un eje con volumen comparable al de otros mercados. Para una lectura mensual estricta, eso importa, porque evita sobrerrepresentar conversaciones públicas que todavía no se tradujeron en cambios normativos confirmados.

Tendencias y señales a monitorear

La comparación con el mes anterior muestra una caída fuerte del volumen total verificado, de 849 a 392 hechos, pero no una reducción equivalente de la intensidad regulatoria. De hecho, la regulación sigue siendo el eje predominante, aunque baje de 403 a 185 hechos documentados. El cambio no sugiere desactivación, sino selección más focalizada del material que llegó al corpus de octubre.

La comparación también muestra un movimiento interesante en las amenazas. Los casos de fraude o phishing bajaron de 159 a 13, mientras que los casos con ransomware o extorsión como eje primario subieron de 1 a 6. Esa variación, con base en material verificado del período, obliga a no leer octubre como un mes de menos riesgo sino como un mes de distinta composición. Más que fraude masivo, el corpus mostró sanciones, ajustes normativos y algunos eventos de extorsión con tipificación parcial.

El otro cambio relevante es que los incidentes sin tipificar subieron de 19 a 26. Eso suele reflejar limitaciones del material, no necesariamente un aumento real del riesgo operativo. En un informe de cumplimiento, esa diferencia importa porque evita sobreinterpretar la métrica y recuerda que el lenguaje de las fuentes no siempre permite clasificar con exactitud cada caso.

La señal a monitorear más sensible para noviembre es la velocidad con la que estas discusiones se traducen en implementación. Chile puede convertir o no la postergación de su ley en un hecho legal. Brasil puede profundizar su agenda de fiscalización. Argentina debe demostrar si la RG 1172/2026 se traduce en controles efectivos en PSAV. Y México seguirá afinando su arquitectura de supervisión financiera y digital.

Recomendaciones para equipos de seguridad

Los equipos de seguridad y compliance deberían salir de octubre con tres prioridades claras. La primera es revisar su mapa de obligaciones regulatorias por país y asegurarse de que la interpretación jurídica no dependa de un único equipo. El mes mostró que privacidad, ciberseguridad y supervisión financiera avanzan juntas, y un cambio en una norma puede impactar procesos de incident response, auditoría y atención al cliente al mismo tiempo.

La segunda prioridad es reforzar la trazabilidad. Los casos de Brasil y Argentina muestran que el regulador y el juez esperan evidencia de medidas tomadas, no solo políticas escritas. Conviene revisar quién firma los planes de respuesta, cómo se documentan los incidentes, qué alertas quedan registradas y qué evidencias quedan disponibles para auditoría o sanción. Si el control existe pero no puede probarse, el riesgo de incumplimiento sigue abierto.

La tercera prioridad es validar la capa de autenticación y fraude. El caso del Banco de La Pampa y la cobertura sobre credenciales en México reafirman que la ingeniería social sigue entrando por usuarios y accesos débiles. La respuesta debe incluir monitoreo de comportamiento, alertas por origen de sesión, verificación reforzada en operaciones sensibles y mecanismos de escalamiento que no dependan de la intuición del operador.

También conviene actualizar los cronogramas de adecuación legislativa. En Chile, no asumir una prórroga hasta que esté sancionada; en Brasil, revisar las obligaciones derivadas de la LGPD y de las resoluciones y guías de la ANPD; en Argentina, mapear la RG 1172/2026 para PSAV y sus nuevos deberes de reporte; en México, revisar los impactos de la supervisión de CNBV y CONDUSEF. No hace falta una megainiciativa regional para mejorar. Hace falta ordenar país por país.

Por último, los equipos deberían separar sus playbooks por tipo de evento. El mes deja claro que no todo incidente es ransomware, no todo problema de privacidad es una brecha tecnológica y no toda infracción regulatoria nace de un ataque. Esa distinción mejora respuesta, evita sobrerreacción y ayuda a asignar mejor recursos legales, técnicos y operativos.

Preguntas frecuentes

¿Qué países concentraron las señales más fuertes de regulación y cumplimiento en octubre?

Chile, Brasil, Argentina y México concentraron la mayor parte de las novedades verificables del mes. Chile discutió la postergación de su ley de protección de datos, Brasil sancionó a una municipalidad y actualizó materiales de la ANPD, Argentina incorporó ciberseguridad a los PSAV y México reforzó supervisión financiera y sancionatoria.

¿La postergación chilena de la Ley 21.719 ya está vigente?

No. El Senado aprobó el proyecto que posterga la entrada en vigencia al 15 de octubre de 2027, pero el texto aún debe completar tramitación en la Cámara de Diputadas y Diputados. Mientras eso no ocurra, la fecha legal sigue fijada en el 1 de diciembre de 2026, según la cobertura incluida en el informe.

¿Qué cambia para los proveedores de servicios de activos virtuales en Argentina?

La Resolución General 1172/2026 de la CNV les exige políticas, procedimientos y controles basados en riesgos, gobernanza, evaluaciones periódicas, auditorías de ciberresiliencia y medidas para proteger la información de usuarios. Además, deben informar de inmediato incidentes de ciberseguridad, interrupciones operativas y otros hechos relevantes.

¿Qué enseñó el caso de Feira de Santana sobre sanciones por protección de datos?

Que el regulador puede pasar de la fiscalización a un proceso sancionador en pocas horas y exigir medidas concretas. La ANPD de Brasil aplicó advertencia, publicización de la infracción y medidas correctivas, además de reconocer seis infracciones a la LGPD por la exposición de datos sensibles de 1.241 personas.

¿El informe encontró CVEs críticos en octubre?

No. El indicador de CVEs críticos es cero en el material analizado del período. Eso no implica que no haya vulnerabilidades críticas explotadas en la región, solo que este corpus de octubre no documentó ninguna con ese nivel de certeza o con referencia suficiente para incluirla.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para octubre de 2026 y con los hechos del bloque de marco comparativo solo cuando sirvieron para contrastar la evolución mes contra mes. La ventana temporal declarada para los indicadores incluye 392 hechos con fecha en octubre 2026, 55 hechos de meses anteriores como marco comparativo, 8 hechos sin fecha confirmada excluidos de los indicadores y 1 hecho posterior al período también excluido.

La lectura de cero en un indicador no significa ausencia en la región. En particular, el dato de CVEs críticos igual a 0 solo significa que no se registraron en el material analizado del período, no que no hayan existido vulnerabilidades críticas explotadas en América Latina. Lo mismo aplica a cualquier otra categoría que no haya aparecido en el corpus con evidencia suficiente.

La telemetría agregada no fue utilizada porque el material no aportó cifras de ese tipo para el período. Tampoco se contaron como incidentes los intentos bloqueados, escaneos o detecciones automatizadas, porque no son equivalentes a intrusiones verificadas. Cuando hubo ransomware o extorsión, la taxonomía se mantuvo separada entre cifrado confirmado, exfiltración sin cifrado y casos no determinables.

Quedaron excluidos de la base de indicadores los hechos sin fecha confirmada y los hechos posteriores al período. También se evitaron fuentes no permitidas por instrucción, como publicaciones en redes sociales de consumo o material promocional no apto para sostener tendencias. En los casos en que la cobertura periodística o secundaria no permitía corroboración suficiente, el informe optó por atribuir la afirmación a la fuente y conservar el matiz de incertidumbre.

Marcadores de monitoreo

Anexo técnico: indicadores de compromiso y TTPs