Ciberseguridad en Colombia: lo que se confirmó y lo que no
Tres incidentes confirmados, diecinueve reclamos todavía sin confirmar. Una mirada a las evidencias, las alertas y los límites de lo que sabemos.
Por las propias entidades.
15 solo en ransomware.live.
14 emitidas por ColCERT.
Más ruido no significa más certeza.
El sector público, en primer plano
MinJusticia e ICETEX tuvieron incidentes confirmados. El reclamo contra la DIAN permanece sin confirmar; no debe equipararse a los anteriores.
La salud exige especial cautela
Coosalud EPS y Nueva EPS concentran los reclamos de extorsión en salud. Ninguno está confirmado por esas entidades; Nueva EPS negó hallar evidencia de intrusión.
Phishing, RAT y exposición técnica
ColCERT insistió en señuelos judiciales y RAT, con una alerta de BlindEagle / APT-C-36. La alerta PHP señaló 8.699 servicios expuestos, no servidores comprometidos.
Del titular a la evidencia.
22 incidentes y reclamos documentados, más 16 alertas preventivas. Abre cada tarjeta para leer el contexto y consultar su fuente.
Incidentes y reclamos, por mes
Las barras cuentan 22 casos, no las alertas. Las fechas de los rastreadores son de publicación, no necesariamente del presunto ataque.
MinJusticia se incluye por su recuperación en agosto: el ataque ocurrió el 2 de agosto, antes del corte inicial.
Toca un mes para filtrar el explorador. Tócalo de nuevo para ver todo el periodo.
Línea de tiempo · incidentes y reclamos
2 ago · recuperación: 15 agoRansomware · EstadoMinisterio de JusticiaAtaque del 2 de agosto, anterior al periodo. El 15 de agosto seguía el plan de recuperación; MICC estaba fuera de servicio y SICOQ, parcialmente disponible.Confirmado
La entidad informó el 15 de agosto que trabajaba desde el 8 de agosto con Fiscalía, ColCERT, Microsoft DART y el BID. Se incluye por la recuperación documentada dentro del periodo, no como un nuevo ataque de agosto.
Consultar fuente27 agoPublicación en leak site · Sector no especificadoNombre censurado (PI***al)Auditteam la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
Sin nombre completo. La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente1 sepPublicación en leak site · Sector no especificadoTransportes Montejo S.A.S.Nightspire la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
Ataque estimado por el rastreador: 31 ago. La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente4 sepPublicación en leak site · Sector no especificadoNombre censurado (PIT.local)Auditteam la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
Ataque estimado por el rastreador: 27 ago. La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente7 sepPublicación en leak site · Sector no especificadoProductos Alimenticios El CarrielThe Gentlemen la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente7 sepPublicación en leak site · Sector no especificadoTrainMeDirewolf la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
Listada en Colombia por el rastreador. La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente10 sepPublicación en leak site · Sector no especificadoEASY JOB S.A.S.Emperador la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente11 sepPublicación en leak site · Sector no especificadoPerimetral Oriental de Bogotá S.A.S.Nightspire la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
Ataque estimado por el rastreador: 30 ago. La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente16 sepIncidente en proveedor · EducaciónICETEXInterrupción de servicios por un incidente en un proveedor externo. La entidad dice que no se expusieron datos de usuarios.Confirmado
Comunicado del 18 de septiembre: afectación de servicios desde el 16, con contención y análisis forense junto al ColCERT y la SIC.
Consultar fuente17 sepToma de cuenta · TransporteMetro de MedellínAcceso no autorizado a su cuenta de X con publicaciones de criptomonedas. La afectación se limitó a esa cuenta.Confirmado
La propia empresa lo confirmó el 17 de septiembre. El hecho fue publicado por Caracol, RCN, El Espectador e Infobae.
Consultar fuente24 sepPublicación en leak site · Sector no especificadoInversiones BolívarQilin la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente26 sepPublicación en leak site · Sector no especificadoAgrocampo S.A.S.The Gentlemen la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
Ataque estimado por el rastreador: 21 sep. La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente28 sepReclamo de ransomware · SaludCoosalud EPSThreeAM se atribuyó el ataque y amenazó con publicar datos: una atribución reportada, no un ataque comprobado.Sin confirmar
No hay confirmación de la entidad. También figura en ransomware.live; se cuenta una sola vez.
Consultar fuente4–7 octPresunta filtración y extorsión · SaludNueva EPSUn actor anónimo afirma tener 11,2 millones de registros y publica una muestra. Nueva EPS dice no hallar evidencia de acceso no autorizado.Sin confirmar
El volumen de registros es una afirmación del actor, no una cifra verificada. Es el único de estos cuatro reclamos principales con respuesta pública de la entidad.
Consultar fuente4 octPublicación en leak site · Sector no especificadoVíctima censurada (#3424)Krybit la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
Sin nombre. La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente8 octPublicación en leak site · Sector no especificadoSociedad Portuaria Mardique S.A.Nightspire la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
Ataque estimado por el rastreador: 3 jul. La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente10 octPublicación en leak site · Sector no especificadoACI Proyectos SASQilin la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente10 octPublicación en leak site · Sector no especificadoGrupo PIO PIO S.A.S.Majinahanashi la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
Ataque estimado por el rastreador: 27 jun. La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente11 octPublicación en leak site · Sector no especificadoConfipetrolQilin la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente31 octReclamo de ransomware · Servicios TIJHAMF GroupVexy la listó como víctima y dice haber extraído 110 GB, según la atribución reportada.Sin confirmar
No hay confirmación de la víctima. Los 110 GB son una afirmación atribuida al grupo, no un volumen verificado.
Consultar fuente31 octPublicación en leak site · Sector no especificadoIncomelecThe Gentlemen la publicó en su leak site, según ransomware.live. Sin confirmación de la víctima ni de la prensa.Sin confirmar
Ataque estimado por el rastreador: 26 oct. La fecha visible corresponde a la publicación en el rastreador, no necesariamente al presunto ataque. La atribución procede del grupo.
Consultar fuente4 novReclamo de ransomware · EstadoDIANMedusaLocker listó a la DIAN en su leak site, según QPulse y ransomware.live.Sin confirmar
No hay comunicado de la DIAN ni cobertura de prensa. Los dos rastreadores dependen del mismo leak site: no son dos confirmaciones independientes.
Consultar fuenteNo hay resultados con estos filtros. Prueba otra búsqueda o restablece los filtros.
Alertas oficiales · prevención, no incidentes
14 boletines de ColCERT y dos avisos globales relevantes para quienes operan WordPress en Colombia. Ninguna de estas alertas representa un incidente consumado en el país.
9 agoColCERT AL-111Actividad de Ransomware-as-a-Service
Alerta preventiva: no representa un incidente consumado en Colombia.
Consultar fuente oficial18 agoColCERT AL-112Campaña de distribución del troyano AsyncRAT
Alerta preventiva: no representa un incidente consumado en Colombia.
Consultar fuente oficial19 agoColCERT AL-113Cisco Secure Firewall ASA y FTD, CVE-2026-20349
Alerta preventiva: no representa un incidente consumado en Colombia.
Consultar fuente oficial20 agoColCERT AL-114Operation Dream Job para escalar privilegios en Windows
Alerta preventiva: no representa un incidente consumado en Colombia.
Consultar fuente oficial25 agoColCERT AL-115Campaña RaaS «Moondancer»
Alerta preventiva: no representa un incidente consumado en Colombia.
Consultar fuente oficial26 agoColCERT AL-116Reactivación del troyano bancario Grandoreiro en Latinoamérica
Alerta preventiva: no representa un incidente consumado en Colombia.
Consultar fuente oficial8 sepColCERT AL-117Ransomware para Linux «Linux Locker»
Alerta preventiva: no representa un incidente consumado en Colombia.
Consultar fuente oficial12 sepColCERT AL-118Microsoft corrige dos vulnerabilidades explotadas activamente
Alerta preventiva: no representa un incidente consumado en Colombia.
Consultar fuente oficial25 sepColCERT AL-119RAT dirigido a entidades públicas colombianas, BlindEagle / APT-C-36
Alerta preventiva: no representa un incidente consumado en Colombia.
Consultar fuente oficial26 sepColCERT IN-044Informe sobre phishing con señuelo judicial y Overlord RAT
Alerta preventiva: no representa un incidente consumado en Colombia.
Consultar fuente oficial28 sepColCERT AL-120Explotación wp2shell en WordPress
Alerta preventiva: no representa un incidente consumado en Colombia.
Consultar fuente oficial29 sepColCERT AL-121Phishing judicial con cargador de comportamiento ransomware
Alerta preventiva: no representa un incidente consumado en Colombia.
Consultar fuente oficial2 octColCERT AL-122Phishing de «acreditación de cumplimiento» con keylogging y RAT
Alerta preventiva: no representa un incidente consumado en Colombia.
Consultar fuente oficial21 octColCERT AL-123PHP: ejecución remota sin autenticación; 8.699 servicios expuestos en Colombia
Alerta preventiva: no representa un incidente consumado en Colombia. Los 8.699 son servicios expuestos; no se reportaron servidores comprometidos.
Consultar fuente oficial28 octWordPress · globalVersión de seguridad 7.1.4, incluye una falla en el proceso de actualización
Alerta preventiva: no representa un incidente consumado en Colombia. Su alcance es global y resulta relevante para quienes operan WordPress en Colombia.
Consultar fuente oficial3 novCISA KEV · globalCVE-2026-119977: condición de carrera en la actualización de WordPress Core, con explotación activa
Alerta preventiva: no representa un incidente consumado en Colombia. Su alcance es global y resulta relevante para quienes operan WordPress en Colombia.
Consultar fuente oficial15 nombres más en rastreadores.
The Gentlemen, Qilin y Nightspire son los grupos que más aparecen en este listado, según las atribuciones reportadas. No son atribuciones verificadas de manera independiente.
15 de 15 publicaciones
| Fecha | Nombre publicado | Grupo reportado | Nota del rastreador | Confianza |
|---|---|---|---|---|
| 27 ago | Nombre censurado (PI***al) | Auditteam | Sin nombre completo | Sin confirmar |
| 1 sep | Transportes Montejo S.A.S. | Nightspire | Ataque estimado por el rastreador: 31 ago | Sin confirmar |
| 4 sep | Nombre censurado (PIT.local) | Auditteam | Ataque estimado por el rastreador: 27 ago | Sin confirmar |
| 7 sep | Productos Alimenticios El Carriel | The Gentlemen | Fecha de publicación en el rastreador | Sin confirmar |
| 7 sep | TrainMe | Direwolf | Listada en Colombia por el rastreador | Sin confirmar |
| 10 sep | EASY JOB S.A.S. | Emperador | Fecha de publicación en el rastreador | Sin confirmar |
| 11 sep | Perimetral Oriental de Bogotá S.A.S. | Nightspire | Ataque estimado por el rastreador: 30 ago | Sin confirmar |
| 24 sep | Inversiones Bolívar | Qilin | Fecha de publicación en el rastreador | Sin confirmar |
| 26 sep | Agrocampo S.A.S. | The Gentlemen | Ataque estimado por el rastreador: 21 sep | Sin confirmar |
| 4 oct | Víctima censurada (#3424) | Krybit | Sin nombre | Sin confirmar |
| 8 oct | Sociedad Portuaria Mardique S.A. | Nightspire | Ataque estimado por el rastreador: 3 jul | Sin confirmar |
| 10 oct | ACI Proyectos SAS | Qilin | Fecha de publicación en el rastreador | Sin confirmar |
| 10 oct | Grupo PIO PIO S.A.S. | Majinahanashi | Ataque estimado por el rastreador: 27 jun | Sin confirmar |
| 11 oct | Confipetrol | Qilin | Fecha de publicación en el rastreador | Sin confirmar |
| 31 oct | Incomelec | The Gentlemen | Ataque estimado por el rastreador: 26 oct | Sin confirmar |
Las fechas de «ataque estimado» son datos del rastreador: no prueban que haya ocurrido el ataque. Ver el rastreador
Qué sabemos. Qué no podemos concluir.
Reguladores: no confundir categorías
SIC. No se encontró ninguna sanción publicada en el periodo por una fuga o un ciberataque. La única sanción de datos encontrada fue a Mercado Libre, el 30 de septiembre, por 214 millones de pesos: condicionamiento del acceso a la cuenta a datos biométricos. No es un incidente de seguridad.
Superfinanciera. Las circulares externas 007 a 010 de 2026, entre el 26 de agosto y el 23 de octubre, tratan de desastre nacional, prospectos, reportes y catálogo de información. Ninguna es de ciberseguridad.
Reglas de conteo
Periodo: 7 de agosto – 7 de noviembre de 2026, zona America/Bogota (UTC−5). Los 3 confirmados y los 19 reclamos suman los 22 casos del gráfico mensual; las 16 alertas se cuentan por separado.
Los 19 reclamos son Coosalud, Nueva EPS, JHAMF y DIAN, más las 15 publicaciones adicionales de ransomware.live. Una mención en varios agregadores no se cuenta como casos distintos ni constituye corroboración independiente.
Alcance de fuentes
- Abiertas: ColCERT, MinJusticia, ICETEX, prensa (Caracol Radio, Noticias Caracol, RCN, El Espectador, Infobae, El Colombiano y Más Colombia), DeXpose, QPulse, Beralock, CiberLATAM, ransomware.live, SIC, Superfinanciera, CISA y WordPress.org.
- Have I Been Pwned: no hay brechas de organizaciones colombianas añadidas en el periodo en su catálogo público. Esto no demuestra ausencia de incidentes.
- Revisión interna: también se revisaron canales del equipo y el correo disponible. No había un registro propio de incidentes nacionales ni avisos de CSIRT/CERT o proveedores sobre incidentes en Colombia durante el periodo; solo boletines o correos sin relación.
- No disponibles: inteligencia clasificada, notificaciones reservadas del CSIRT a víctimas y feeds de pago como Recorded Future. «No abierto» significa aquí correo y notas internas accesibles al equipo, no inteligencia de Estado.
Fuentes y documentos de consulta
- Ministerio de Justicia
- ICETEX
- Metro de Medellín
- Coosalud EPS
- Nueva EPS
- JHAMF Group
- DIAN
- ransomware.live · Colombia, consulta 7 nov 2026
- ColCERT · boletines AL-111 a AL-123 e IN-044
- WordPress · global
- CISA KEV · global
- MinJusticia · actualización
- Noticias Caracol · MinJusticia
- El Espectador · Metro de Medellín
- Beralock · reclamo sobre Nueva EPS
- Más Colombia · alerta PHP (22 oct)
- Sanción de datos personales · Mercado Libre
- Superfinanciera · circulares externas 2026
- CiberLATAM · Colombia, septiembre (1 oct)
Informe original de investigación. Las conclusiones están limitadas a las fuentes disponibles y al corte indicado. Una ausencia de información pública no prueba ausencia de incidentes. «Confirmado» describe el reconocimiento del incidente por la entidad, no la validación de cada detalle técnico.