El crecimiento digital está superando la madurez de la seguridad en América Latina

América Latina avanza a gran velocidad. La nube híbrida, los pagos digitales, el SaaS y los servicios con IA amplían la superficie de ataque más rápido de lo que evolucionan la visibilidad, las competencias y la regulación. Los atacantes se han adaptado. En lugar de lanzar campañas ruidosas centradas en exploits, roban o compran credenciales, hacen un uso indebido de herramientas de confianza y permanecen de forma sigilosa dentro de flujos de trabajo legítimos, donde los controles perimetrales y la detección basada en firmas apenas encuentran nada que interceptar.

Una misma lógica de ataque detrás de distintos actores

A partir de casos de clientes de Darktrace en Colombia, México, Brasil, Chile, Ecuador y Panamá (2024–2026), además de la telemetría de Darktrace / EMAIL de octubre de 2025 a marzo de 2026, este informe constata un patrón recurrente detrás de la diversidad de cargas útiles, sectores y grupos de amenazas:

• El 44 % de los casos observados implicaron la propagación de malware distinto del ransomware tras el compromiso inicial mediante phishing o credenciales comprometidas
• Má de 490.000 correos de phishing detectados en seis meses. El 70 % superó DMARC y el 48 % era spear phishing
• Más de 55.000 correos de phishing llegaron a usuarios VIP, más del 11 % de todos los observados
• El ransomware evoluciona del cifrado hacia la extorsión mediante filtración de datos, con BlackSuit, Sauron, Medusa y Dire Wolf entre las cepas emergentes, mientras que buena parte de la actividad sigue sin atribuirse
• El sector educativo fue el más afectado (18 % de los incidentes), y Colombia fue el país más afectado
• La actividad alineada con Estados, como la de SnappyBee/DEEDRAT vinculada a Salt Typhoon en Brasil, aprovecha las mismas brechas de visibilidad que el cibercrimen con motivación económica

En la práctica, el reto no es solo que haya más ataques. Los ciberdelincuentes, los operadores regionales y los actores alineados con Estados recurren ahora a las mismas tácticas: credenciales sustraídas, herramientas de confianza, persistencia discreta y robo rápido de datos.

Qué aprenderá

• Cómo los infostealers, el phishing y los intermediarios de acceso han industrializado el acceso a credenciales
• Por qué el ransomware en América Latina se entiende mejor como un problema de acceso y datos, y qué comportamientos previos al cifrado conviene detectar
• Cómo el abuso de VPN, RMM y SaaS permite a los atacantes pasar desapercibidos en las operaciones habituales
• Resúmenes país por país de Colombia, Chile, México, Brasil y Ecuador, cada uno con implicaciones para los defensores
• Apéndices técnicos sobre una estafa de temática judicial en Colombia, SnappyBee/DEEDRAT, las tácticas, técnicas y procedimientos de Blind Eagle y operaciones de caza de amenazas centradas en Earth Alux y en el uso de la IA como proxy de C2
• Tres prioridades para los responsables de seguridad: reducir la exposición de identidades, mejorar la visibilidad tras el acceso y reforzar la preparación ante incidentes impulsados por la extorsión