Sector público y organismos gubernamentales — Agosto 2026

Módulos mensuales de referencia

Estos módulos se completan automáticamente con los hechos verificados con fecha dentro del período. Cada uno declara su base y su criterio de conteo, de modo que las cifras reconcilien entre módulos. Son la lectura recurrente mes a mes; el análisis posterior desarrolla los casos sin repetir esta síntesis.

Ventana de los indicadores: 113 hechos con fecha en agosto 2026. Los hechos de meses anteriores se usan solo como marco comparativo en el análisis, nunca como volumen de este período.

Resumen ejecutivo del mes

Agosto de 2026 dejó 113 hechos verificados sobre sector público y organismos gubernamentales en América Latina, con predominio de incidentes operativos y una subida muy marcada del ransomware y la extorsión en comparación con julio. La señal del mes estuvo concentrada en Brasil, Colombia y Chile, con afectación a ministerios, municipalidades, plataformas de servicios y organismos de control, mientras México, Paraguay y Argentina aportaron caídas, intentos de vulneración o suplantaciones de identidad con menor profundidad técnica.

La pieza más grave por impacto operativo fue el ransomware contra el Ministerio de Justicia y del Derecho de Colombia, que degradó servicios públicos digitales, obligó a activar canales alternos y requirió recuperación tecnológica articulada con COLCERT, Fiscalía, Microsoft y aliados del BID. El caso se confirmó como ransomware desde el propio organismo, con aislamiento de sistemas y restauración progresiva, aunque sin evidencia pública de filtración de datos en el material revisado. A escala regional, este episodio volvió a poner en foco la continuidad operativa de ventanillas y servicios ciudadanos.

En Brasil, la señal combinó filtraciones, presuntas exposiciones de datos y ataques reclamada o rastreados por terceros. Hubo investigación sobre un posible vazamento de números del Caged, otro frente por presuntos vazamentos de dados sigilosos vinculados al STF y la Policía Federal, una investigación del MP-BA por exposición de datos personales y de salud de más de 290 pacientes, y un caso de presunta filtración de datos de investigaciones dentro de la Policía Federal. En paralelo, el municipio de Arcos quedó asociado a reclamos de ransomware del grupo Emperador, y múltiples órganos municipales de Espírito Santo quedaron fuera de servicio por un ataque que explotó la infraestructura de Ágape Consultoria.

Chile mostró una combinación distinta, con hackeo al Servicio Nacional de Migraciones, investigación por filtración de datos médicos en Carabineros, sumario y denuncia penal en Curicó por extracción de material íntimo desde teléfonos institucionales, y una alerta preventiva de la ANCI tras el hackeo a LiteLLM por posible exposición de credenciales. También hubo un episodio de investigación judicial por presunta filtración de información de causas a una organización narco dentro del Poder Judicial. No se trató de una sola campaña, sino de varios hechos con vectores y niveles de gravedad distintos.

El perfil cuantitativo también dejó una señal clara sobre el tipo de riesgo. Con 54 incidentes sin tipificar, 26 casos de ransomware o extorsión como eje primario y solo 4 movimientos regulatorios, el mes fue más operativo que normativo. La ausencia de CVEs críticos mencionados en el material analizado no implica ausencia de explotación en la región, pero sí marca que la discusión pública de agosto se concentró en intrusiones, interrupciones, filtraciones internas y recuperación, más que en vulnerabilidades puntuales identificadas por nombre.

Panorama regional del mes

La lectura regional de agosto es de riesgo alto, no por una sola campaña sino por la combinación de volumen, diversidad de afectados y severidad funcional en organismos que sostienen servicios públicos básicos. El mes mostró ataques contra ministerios, municipios, órganos judiciales, fuerzas de seguridad y plataformas digitales de gobierno, con impacto directo en continuidad operativa, atención al ciudadano y manejo de información sensible.

Brasil concentró el mayor número de hechos de compromiso interno y filtraciones. Allí aparecieron reclamos de ransomware sobre Intranet Gov Brasil y sobre la Prefeitura Municipal de Arcos, ataques a cámaras municipales y prefeituras del Espírito Santo a través de un proveedor común, además de varios casos de exposición o sospecha de vazamentos de datos personales, de salud y de investigación. Ese conjunto no remite a un único patrón, pero sí a un entorno donde el acceso a datos y la intermediación de proveedores amplifican el riesgo de propagación y de exposición lateral.

Colombia aportó el episodio de mayor impacto público, porque el Ministerio de Justicia confirmó un ransomware que afectó parte de su infraestructura y degradó servicios digitales dirigidos a la ciudadanía. El hecho vino acompañado por alertas de ColCERT sobre aumento de actividad de ransomware contra objetivos nacionales, y por una respuesta institucional que incluyó contención, aislamiento de sistemas y restauración escalonada. Desde la perspectiva de continuidad estatal, es el tipo de incidente que exige un esquema maduro de recuperación y priorización de trámites esenciales.

Chile, en cambio, mostró una superficie de ataque más heterogénea. El Servicio Nacional de Migraciones sufrió una intrusión con bloqueo temporal y envío de correos masivos institucionales, Curicó enfrentó una filtración de material íntimo desde dispositivos del municipio, Carabineros abrió un sumario por datos médicos sensibles y el Poder Judicial terminó con una prisión preventiva por filtración de información a una banda narco. A eso se sumó la alerta de la ANCI por credenciales expuestas en la cadena de suministro de LiteLLM, que mostró un riesgo preventivo y de exposición potencial, no un incidente confirmado de impacto masivo.

México, Paraguay y Argentina completan un mapa donde predominan interrupciones, intentos de vulneración y suplantaciones más que brechas masivas confirmadas. En México hubo caída temporal de sitios del gobierno federal y del dominio gob.mx, además del caso del C5i de Tlaxcala con intento de vulnerar información. En Paraguay se observaron alegaciones de DDoS contra organismos públicos. En Argentina sobresalieron la estafa que suplantó al BCRA y el ataque a Oldelval con continuidad operativa preservada. La resultante es un riesgo regional alto, con focos operativos y de filtración muy concretos.

Indicadores del período

Incidentes relevantes

Ministerio de Justicia y del Derecho de Colombia

El caso más sensible del mes fue el ataque de ransomware contra el Ministerio de Justicia y del Derecho de Colombia, confirmado por el propio organismo a partir del 2 de agosto y con impactos operativos visibles durante varios días. La entidad informó indisponibilidad temporal de sistemas, afectación de parte de su infraestructura tecnológica y activación de canales alternos para la atención ciudadana mientras avanzaban las tareas de contención y recuperación.

La secuencia es importante porque permite separar percepción de evidencia. El Ministerio confirmó que COLCERT halló hallazgos preliminares compatibles con ransomware, y luego comunicó que algunos servicios públicos digitales se degradaron. También señaló trabajo conjunto con Fiscalía, COLCERT, Microsoft y aliados del BID, lo que indica una respuesta técnica e institucional coordinada. En el material no aparece evidencia pública de robo de datos desde esos sistemas, de modo que el daño verificable fue ante todo de disponibilidad.

La lectura operativa es clara. Cuando un ministerio de justicia pierde disponibilidad parcial, aun sin filtración pública confirmada, el impacto se traduce en demoras en trámites, acumulación de expedientes y mayor presión sobre canales presenciales. La velocidad de aislamiento y recuperación fue relevante, pero el episodio expone un punto recurrente en la región, la dependencia de plataformas únicas para gestionar PQRDSF, expedientes y servicios de consulta.

Fuente directa del propio ministerio, fechada el 2, 3, 8, 15 y 20 de agosto de 2026, con apoyo de cobertura técnica externa en Infobae Colombia, DarkReading, DataEnforce, White Hunters, eSoft y Nexsight.

Oldelval y el frente energético argentino

Oleoductos del Valle informó a la CNV que sufrió un ataque informático en sus sistemas administrativos, pero sostuvo que el transporte de crudo siguió sin interrupciones. En paralelo, medios especializados describieron el hecho como ransomware del tipo RaaS, y un actor atribuido a Incransom dijo haber exfiltrado documentos internos, entre ellos materiales de recursos humanos, financieros y regulatorios.

El elemento a subrayar es la separación entre impacto operativo y potencial impacto de confidencialidad. La empresa habló de sistemas administrativos afectados, no de interrupción del oleoducto. El reclamo posterior en fuentes de inteligencia sugiere exfiltración, pero el material aclara que el alcance total no fue confirmado de forma independiente y que no había validación pública del número de personas afectadas. En este caso, el riesgo de negocio está más cerca de la exposición documental que de la pérdida de continuidad física.

La combinación de operación crítica y exposición administrativa es especialmente delicada en infraestructura energética. No se trata de un mero incidente corporativo, porque el entorno regulatorio y la confianza del mercado pasan a estar en juego. El hecho también mostró cómo los grupos de ransomware mezclan presión pública, publicación de víctimas en leak sites y reclamos sobre volumen de datos para maximizar la visibilidad del caso.

Espíritu Santo y la cadena de suministro de Ágape Consultoria

Los hechos sobre Ágape Consultoria muestran una campaña con consecuencias municipales en cascada. Coberturas locales describieron que sitios y bases de datos de varias prefeituras y cámaras municipales del Espírito Santo quedaron fuera de servicio o comprometidos tras un ataque que explotó vulnerabilidades en los servidores centrales de la empresa proveedora. En simultáneo, análisis de PacificSec amplió el universo potencial de clientes afectados.

La relevancia del caso no está solo en la cantidad de órganos públicos alcanzados, sino en el patrón de dependencia. Si un proveedor da servicio a decenas de cámaras y prefeituras, un compromiso central puede transformarse en una falla transversal. La evidencia reunida en el material indica que João Neiva, Ibatiba, Brejetuba y Vitória estuvieron entre los entes mencionados, junto con otras instituciones municipales del estado.

No hay aquí una tipificación totalmente cerrada del impacto final, porque las fuentes mezclan acceso a bancos de datos, caída de sitios, reclamaciones de grupos de ransomware y necesidades de contingencia de TI. Pero el mensaje estratégico es consistente. La superficie de ataque del sector público no termina en la infraestructura propia de cada municipio, sino que se extiende a integradores, consultoras y proveedores de software con acceso privilegiado.

Intranet Gov Brasil y el reclamo de The Gentlemen

Intranet Gov Brasil apareció en varias fuentes de seguimiento como víctima reclamada por el grupo The Gentlemen. Breachsense la registró como breach, Intel and Breaches la incluyó entre 83 nuevas víctimas de ransomware y otras plataformas de monitoreo señalaron el caso como una publicación en leak site o una reclamación sin confirmación oficial. El material, sin embargo, no aporta validación pública de autoridades brasileñas ni de los operadores de la plataforma al momento del reporte.

Por eso conviene tratar el caso con cautela. El nombre del dominio y su descripción como portal digital de servicios públicos y acceso en línea para ciudadanos y empresas sugieren una infraestructura con alcance mayor que una simple intranet interna. Pero el material disponible no permite determinar si hubo cifrado, solo mención en leak site o exfiltración. Esa indeterminación no le quita valor al hecho, pero sí obliga a no sobredimensionarlo.

Desde el punto de vista del monitoreo, este tipo de reclamo es útil como alerta de exposición reputacional y posible continuidad investigativa. Si la víctima pertenece al ecosistema federal brasileño, cualquier referencia a credenciales, accesos internos o servicios compartidos debe ser chequeada con prioridad. La situación del mes refuerza que los listados de víctimas de ransomware son una señal temprana, no una prueba cerrada de impacto.

Servicio Nacional de Migraciones de Chile

El Servicio Nacional de Migraciones sufrió un hackeo el 18 de agosto que bloqueó temporalmente su plataforma y derivó en correos masivos enviados desde cuentas institucionales con imágenes y mensajes ajenos a la gestión habitual del organismo. Las fuentes coinciden en que el sitio quedó inutilizado durante varias horas, aproximadamente entre las 5 y las 9 de la mañana, y que el servicio fue restablecido durante ese mismo día.

Este incidente es distinto de un ransomware clásico. El material no describe cifrado ni extorsión económica, sino un bloqueo de la plataforma, uso indebido de cuentas institucionales y una acción con fuerte componente de sabotaje o desfiguración. Además, las coberturas aclaran que hasta el momento no se informó si hubo compromiso de datos personales o antecedentes sensibles, por lo que el alcance sobre información almacenada sigue sin confirmarse públicamente.

La lectura operativa es incómoda para la administración pública. Aunque el restablecimiento fue rápido, durante varias horas la ciudadanía no pudo completar trámites en línea. El hecho mostró también que la integridad de canales institucionales de correo es parte crítica de la confianza pública, no solo de la continuidad técnica. Un portal restaurado pero con cuentas comprometidas sigue siendo una superficie sensible.

Curicó y la filtración desde dispositivos institucionales

La Municipalidad de Curicó abrió sumario interno y remitió antecedentes al Ministerio Público tras la filtración y viralización de videos íntimos extraídos desde teléfonos institucionales. Las fuentes describen un modus operandi en el que un funcionario de informática habría accedido a fotografías y videos privados mientras reparaba celulares municipales o particulares, lo que eleva el caso desde una falta administrativa hasta una posible causa penal.

Aquí el eje no es ransomware ni una intrusión externa, sino abuso de acceso legítimo y extracción irregular de contenido sensible. Ese detalle importa, porque en el sector público la frontera entre soporte técnico y acceso indebido puede ser tenue cuando no hay separación fuerte de funciones, registro de actividad ni controles sobre dispositivos administrados. El municipio reaccionó apartando a los funcionarios involucrados mientras seguía la investigación.

El caso dejó además una huella de riesgo reputacional profunda. Cuando la filtración involucra material íntimo, el daño a las personas afectadas se vuelve inmediato y la exposición institucional trasciende la ciberseguridad clásica. La investigación penal y el sumario interno marcan que el problema fue tanto tecnológico como disciplinario y de confianza interna.

Argentina, BCRA y la estafa de suplantación

El Banco Central de la República Argentina emitió una advertencia pública sobre una estafa virtual que suplanta su identidad y la de sus autoridades. Según el aviso, los atacantes usaron videos manipulados y canales como correo, WhatsApp o SMS para simular comunicaciones oficiales y conseguir datos o pagos. El BCRA aclaró que no solicita pagos ni información bancaria por esos medios.

Se trata de fraude y phishing, no de un incidente de intrusión contra sistemas internos del banco. El valor de la alerta está en que muestra una suplantación institucional suficientemente convincente como para requerir comunicación pública directa. El propio aviso agrega una ruta de respuesta, si alguien instaló una aplicación o compartió datos, debe contactar de inmediato a su banco y denunciar ante UFECI.

En paralelo, el caso de Oldelval en Argentina amplió la atención sobre infraestructura energética y servicios regulados. Aunque no hay relación causal entre la estafa del BCRA y el ataque a Oldelval, ambos hechos recuerdan que en el sector público y paraestatal argentino conviven amenazas de ingeniería social con ataques de mayor complejidad técnica. Esa coexistencia obliga a no priorizar una sola clase de riesgo.

México, Tlaxcala y la caída de portales gubernamentales

México aportó varios hechos de indisponibilidad. El gobierno federal y el dominio gob.mx sufrieron caídas temporales y cortes de conectividad, mientras que el C5i de Tlaxcala registró un hackeo con intento de vulnerar información. El material describe el episodio como interrupción de sitios y caída generalizada, pero sin convertirlo en una brecha con robo de datos confirmado.

La importancia del bloque mexicano está en que la falla de conectividad no fue tratada por los medios solo como un problema técnico, sino como indicador de vulnerabilidad más profunda de la infraestructura digital pública. Eso no equivale a un incidente confirmado de exfiltración, pero sí muestra dependencia de enlaces, configuración y resiliencia operativa. El caso de Tlaxcala añade la variable de intento de acceso a información de seguridad pública.

En ambos episodios, la lectura correcta es que la visibilidad pública de la caída ya constituye un problema de confianza. Cuando los portales gubernamentales quedan fuera de línea o de desempeño inestable, el ciudadano percibe fragilidad aunque la causa no sea un compromiso de datos. Para equipos públicos, esos minutos de indisponibilidad suelen abrir ventanas de presión para soporte, medios y autoridades políticas.

Chile, poder judicial y filtraciones sensibles

El 28 de agosto, un funcionario del Poder Judicial de Chile quedó con prisión preventiva tras ser acusado de filtrar información de investigaciones judiciales a una organización narco. Las fuentes hablan de causas, resoluciones y medidas cautelares entregadas sin autorización, con intervención del Ministerio Público y decisión del Juzgado de Garantía de San Bernardo.

Este caso no es un ataque técnico, pero sí es ciberseguridad institucional en sentido estricto, porque muestra abuso de acceso a información protegida dentro del Estado. A diferencia de un malware o de una campaña de ransomware, acá el problema está en el uso malicioso del privilegio. Esa clase de incidente es más difícil de detectar por perímetros tradicionales y suele depender de trazabilidad, control de consultas y auditoría interna.

El mismo mes, Carabineros abrió un sumario por filtración de datos médicos sensibles, lo que refuerza el patrón. Hay una señal común, la exposición de información reservada dentro de organismos con alto volumen de datos personales y judiciales. La respuesta debe ir más allá del incidente puntual y revisar perfiles de acceso, segregación de funciones y alertas de comportamiento anómalo.