Bajada: CrowdStrike advierte una escalada preocupante de ciberataques en Latinoamérica, con foco en organismos públicos y sectores estratégicos. En Argentina, los incidentes crecieron y el “Estado” volvió a ser el blanco más elegido. ¿Puede tu infraestructura detectar y contener una amenaza antes de que se ejecute?
Lo clave en 30 segundos
- En LATAM, las víctimas listadas en sitios de extorsión y ransomware aumentaron 15% interanual.
- En Argentina, el CERT.ar reportó 438 incidentes en 2024 (+15% vs. 2023) y el sector Estado concentró el 61%de los casos.
- Los accesos iniciales más comunes: abuso de credenciales, phishing/ingeniería social y explotación de vulnerabilidades (con especial presión sobre VPN y edge devices).
- El ransomware aparece en el 44% de las brechas globales analizadas en 2025; en pymes su presencia es desproporcionada.
LATAM: más víctimas en leak sites y mayor presión sobre identidades
El ecosistema criminal profesionalizó el negocio de la extorsión y la venta de accesos. Entre 2023 y 2024, el volumen de víctimas latinoamericanas listadas por grupos de ransomware creció 15%, con Brasil, México y Argentina entre los países más afectados. La actividad de “access brokers” también se disparó, alimentando intrusiones donde las credenciales siguen siendo un vector clave.
Argentina 2024–2025: el Estado en el centro
El Informe Anual 2024 del CERT.ar registró 438 incidentes (+15% vs. 2023). El sector Estado concentró 267 (61% del total), seguido por Finanzas y Otros. En tipologías, phishing, spam y compromiso de cuenta dominaron el ranking, con severidad alta o crítica en la mayoría de los casos.
Además, diversos listados en sitios de filtración muestran organizaciones argentinas del sector público y privado publicadas por distintos grupos, confirmando el atractivo local para campañas de doble extorsión (robo de datos + interrupción).
¿Cómo entran? (y por qué muchas víctimas no lo ven venir)
- Credenciales robadas/abusadas: siguen al tope de los vectores en brechas globales; los infostealers y el mercado de accesos alimentan intrusiones que luego derivan en cifrado y exfiltración.
- Phishing e ingeniería social: sigue liderando muchos compromisos (incluido vishing y fraudes de soporte que fuerzan sesiones remotas).
- Explotación de vulnerabilidades: alcanzó 20% de los accesos iniciales en brechas (suba del 34% interanual), impulsada por fallas en VPN y dispositivos de perímetro.
- Servicios remotos expuestos (RDP/VPN): continúan como puerta de entrada habitual en campañas de ransomware operadas por actores consolidados.
¿Puede tu infraestructura detectar y contener una amenaza antes de que se ejecute?
Sí, si combinás telemetría amplia, correlación en tiempo real y respuesta automatizada. Pilares técnicos recomendados:
- EDR/XDR con prevención pre-ejecución: Bloqueo por reputación y comportamiento (scripts sospechosos, LOLBins, cifrado masivo), reglas de contención y aislamiento a un clic.
- Seguridad de identidad: MFA resistente a phishing, protección de sesión/tokens, políticas adaptativas y monitoreo de abuso de credenciales: (incl. detección de “impossible travel” y correlación con dumps).
- Superficie de ataque mínima: Cierre de RDP público, VPN detrás de ZTNA o bastión, microsegmentación y menor exposición de edge devices con hardening específico.
- Gestión de parches por riesgo: Priorización de CVE explotadas activamente (especialmente en VPN y appliances perimetrales), con SLAs de remediación claros y verificación.
- Detección por TTPs (MITRE ATT&CK) y threat hunting: Búsqueda proactiva de lateralización (PSExec/SMB), exfiltración (archivado/transferencia), kill-chains de cifrado y desactivación de defensas.
Señales de alerta que tu SOC debería mirar
- Creación/uso anómalo de cuentas locales y picos en herramientas nativas (cmd, PowerShell, WMI, PSExec).
- Escritura/cifrado inusual en shares y tráfico de exfiltración hacia nubes/“paste”.
- Desactivación de antivirus/logs, borrado de shadow copies y cambios de políticas de seguridad fuera de ventana.
En Dagaz IT ayudamos a equipos locales a medir y mejorar su postura: evaluación express de identidades, exposición RDP/VPN, cobertura EDR/XDR, segmentación y playbooks de respuesta.
¿Querés un diagnóstico 360 en 10 días y un plan 90-días ajustado a tu stack? Escribinos y lo armamos.
