Ciberataques contra infraestructura corporativa en Argentina aumentan 15% en el primer semestre de 2026, impulsados por ransomware y robo de credenciales

⚡ REPORTE DE CIBERSEGURIDAD NACIONAL & TELEMETRÍA OFICIAL

El CERT.ar (Equipo de Respuesta ante Emergencias Informáticas de la Nación) y observatorios privados de la industria registraron durante los primeros seis meses de 2026 un incremento del 15% interanual en incidentes cibernéticos graves dirigidos a infraestructuras productivas, financieras y del sector salud en Argentina. El 62% de estos eventos involucró variantes de ransomware con doble extorsión, donde los ciberdelincuentes no solo cifran los discos de producción, sino que exfiltran bases de datos confidenciales para presionar mediante subastas públicas.

1. Vectores de ataque dominantes en el ecosistema productivo nacional

El informe estadístico del CERT.ar, complementado con los estudios de campo de ESET WeLiveSecurity Latinoamérica, señala que la superficie de vulnerabilidad en las empresas argentinas ha crecido debido a la postergación de inversiones en parches de infraestructura heredada y a la persistencia de protocolos de administración remota desprotegidos. Los tres principales vectores identificados fueron:

Explotación de servicios VPN y puertas de enlace RDP expuestas sin MFA: Representaron el 43% de los accesos iniciales, especialmente en redes de empresas industriales, distribuidores mayoristas y entidades de salud provinciales.
Ataques de ingeniería social y Spear-Phishing dirigidos: Campañas altamente contextualizadas que simulan requerimientos de ARCA (ex-AFIP), intimaciones judiciales o notificaciones bancarias con troyanos bancarios e infostealers embebidos en archivos comprimidos o documentos PDF con macros maliciosas.
Ataques a la cadena de suministro de proveedores IT: Compromiso de servidores de soporte técnico y herramientas de monitoreo remoto (RMM) de consultoras externas que administran redes corporativas.

«El aumento del 15% no solo refleja una mayor agresividad de los grupos internacionales de cibercrimen hacia la región, sino una alarmante falta de higiene digital básica en los accesos perimetrales de las empresas locales. Muchas organizaciones aún operan con copias de seguridad conectadas a la misma red de dominio, lo que permite que el ransomware destruya los respaldos en cuestión de minutos.» — Gustavo Bellido, Consultor Senior en Respuesta a Incidentes del CERT.ar

2. Sectores más castigados y modus operandi de los atacantes

A diferencia de años anteriores, donde el sector bancario concentraba las alarmas, en 2026 la ofensiva se ha desplazado hacia sectores con menor madurez defensiva pero alta dependencia operativa:

Industria manufacturera y agroindustria: Donde la paralización de plantas de procesamiento o terminales de empaque en centros portuarios de Rosario y Buenos Aires genera pérdidas millonarias inmediatas por día de inactividad.
Centros de salud, clínicas y laboratorios de diagnóstico: Atacados con el objetivo de secuestrar historias clínicas digitales y sistemas PACS de imágenes médicas, aprovechando que la urgencia asistencial eleva la probabilidad de pago del rescate.
Comercio mayorista y cadenas de retail: Donde el cifrado de bases de datos PostgreSQL o SQL Server paraliza las cajas de cobro y la emisión de facturación electrónica.

3. Análisis económico y FinOps del impacto del ransomware en Argentina

El coste financiero de un ciberataque exitoso para una empresa mediana en Argentina se desglosa en múltiples dimensiones críticas:

Pérdida por lucro cesante: Una PyME industrial argentina promedio enfrenta un coste de USD 18.000 a USD 45.000 diarios por cese de facturación y paralización de despacho logístico.
Destrucción de confianza y sanciones por protección de datos: La filtración de datos de clientes y nóminas salariales acarrea denuncias ante la Agencia de Acceso a la Información Pública (AAIP) y la pérdida irreparable de cuentas comerciales estratégicas.
Comparativa de inversión: Implementar una estrategia integral de copias de seguridad inmutables (WORM en cloud) y autenticación multifactor física demanda un presupuesto mensual inferior al 1,5% del gasto operativo IT de la empresa, evitando contingencias que pueden llevar a la quiebra técnica.

4. Qué deben aprender las PyMEs y corporaciones locales

Una conclusión categórica del informe oficial es que ninguna empresa es «demasiado pequeña» para ser ignorada por los ciberdelincuentes. Los atacantes utilizan herramientas automatizadas de escaneo de rangos de IP de proveedores de Internet en Argentina (Telecom, Claro, iPlan, etc.), comprometiendo cualquier servidor o router que mantenga contraseñas por defecto o puertos de administración abiertos a Internet.

5. Checklist técnico prioritario de defensa en 4 acciones

Acción 1 - Auditoría y cierre inmediato de puertos RDP expuestos: Deshabilitar cualquier regla de reenvío de puertos RDP (puerto 3389) hacia Internet. Exigir túneles VPN autenticados o soluciones Zero Trust.
Acción 2 - Respaldo inmutable bajo la regla 3-2-1-1-0: Mantener al menos 3 copias de los datos, en 2 medios distintos, 1 de ellos fuera de la empresa (off-site cloud), 1 copia inmutable (Object Lock / WORM) y 0 errores mediante pruebas periódicas de restauración semestrales.
Acción 3 - Implementación obligatoria de MFA: Forzar autenticación de dos factores en todos los accesos a correos corporativos, paneles de administración web y conexiones VPN.
Acción 4 - Capacitación anti-phishing al personal administrativo: Desarrollar simulaciones mensuales de correos falsos para entrenar a los colaboradores en la detección temprana de remitentes fraudulentos y enlaces sospechosos.