República Dominicana. — ESET, compañía especializada en detección proactiva de amenazas, informó que la actividad cibercriminal en América Latina durante el primer semestre de 2026 estuvo impulsada principalmente por técnicas conocidas, como el phishing, la ingeniería social y la explotación de vulnerabilidades antiguas en aplicaciones de uso corporativo.
Según la telemetría regional de la empresa, el phishing y la ingeniería social concentraron en promedio el 23,66% de las alertas registradas en la región. Los programas descargadores de malware, conocidos como downloaders, representaron el 14,94%. En contraste, el ransomware equivalió al 0,28% del volumen total de alertas, aunque ESET señaló que este tipo de amenaza mantiene un alto impacto financiero, operativo y estratégico para las organizaciones afectadas.
Uno de los hallazgos principales fue la persistencia de vulnerabilidades divulgadas hace casi una década. Más del 81,8% de los incidentes de explotación reportados en América Latina se concentró en dos fallas de Microsoft Office publicadas en 2017: CVE-2017-0199, responsable del 58,3% de los exploits detectados, y CVE-2017-11882, con el 23,5%. Ambas vulnerabilidades continúan siendo utilizadas en documentos maliciosos, principalmente en formatos RTF y DOC.
“Este patrón confirma que la superficie de ataque inicial en América Latina sigue dominada por documentos maliciosos que explotan la falta de actualización en aplicaciones de productividad para introducir etapas secundarias de infección”, indicó Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.
La compañía observó además un aumento de campañas de phishing apoyadas en kits automatizados e infraestructura reutilizada. Entre las marcas y servicios suplantados se encuentran plataformas de colaboración, transferencia de archivos y firma digital, como DocuSign, WeTransfer y Telegram.
También se identificó un crecimiento del QRishing, modalidad que utiliza códigos QR para dirigir a las víctimas a sitios fraudulentos, así como una presencia sostenida de archivos PDF maliciosos relacionados con facturas electrónicas, solicitudes de pago y notificaciones corporativas.
ESET señaló que los documentos PDF maliciosos se han consolidado como un mecanismo recurrente para evadir filtros tradicionales de correo electrónico. Mientras tanto, el phishing web convencional continuó liderando el volumen regional de amenazas vinculadas al robo de información y credenciales.
Los backdoors, troyanos de acceso remoto y mecanismos de persistencia representaron, en promedio, el 4,83% de las detecciones regionales. En este grupo se incluyen webshells alojados en servidores web, especialmente en entornos PHP, además de herramientas utilizadas para mantener accesos no autorizados después de comprometer una infraestructura.
La telemetría también registró actividad de familias como JS/Agent, Win/HoudRat y MSIL/XWorm, empleadas para control remoto, movimiento lateral dentro de redes y extracción de datos. A esto se suma el uso de herramientas legítimas de administración remota o RMM, que pueden ser aprovechadas por atacantes para operar dentro de los sistemas sin instalar software malicioso fácilmente detectable.
En materia de robo de información, ESET destacó la circulación de infostealers distribuidos bajo el modelo Malware-as-a-Service. Win/PSW.Amatera fue identificado como una de las familias más activas en América Latina, tanto en entornos corporativos como en dispositivos de usuarios. También se observaron variantes como AgentTesla, Formbook, SnakeStealer, LummaStealer y Rhadamanthys.
Los troyanos bancarios mantuvieron una actividad segmentada por países y sistemas de pago. ESET reportó presencia de variantes genéricas como JS/Spy.Banker y Win/Spy.Banker, además de familias especializadas como Grandoreiro, Mispadu, Mekotio, Casbaneiro y Guildma, dirigidas a plataformas financieras y transaccionales de la región.
En el caso del ransomware, más del 85% de los eventos mitigados en América Latina correspondió a bloqueos preventivos identificados bajo la firma heurística Win/Filecoder. Para ESET, esta tendencia refleja la modificación constante de los binarios empleados por los atacantes para evadir mecanismos de detección basados únicamente en firmas.
“Esta concentración ilustra la continua mutación y reempaquetado de binarios con los que los atacantes intentan eludir firmas estáticas. La protección basada en comportamiento y el análisis en memoria resultan fundamentales para detener los intentos de cifrado antes de que afecten el almacenamiento corporativo”, agregó Micucci.
Las campañas de ransomware dirigidas a empresas se caracterizaron por un menor volumen de alertas, pero por un impacto potencialmente mayor.
ESET identificó actividad asociada con grupos como Qilin, Babyk, BlackMatter, Conti, Phobos, Akira, DragonForce, LockBit y WannaCry.
La firma advirtió que, en los esquemas actuales de doble extorsión, un incidente aislado de ransomware puede ser indicio de un compromiso previo y de una posible exfiltración de información.
Ante este panorama, ESET recomendó a las organizaciones actualizar y corregir las vulnerabilidades históricas de Microsoft Office, especialmente CVE-2017-0199 y CVE-2017-11882; restringir el procesamiento de archivos RTF no autenticados; reforzar los controles de correo electrónico y mensajería; analizar archivos PDF, enlaces ofuscados y códigos QR; e implementar autenticación robusta basada en estándares como FIDO2 y WebAuthn.
La empresa también recomendó adoptar herramientas de detección y respuesta en endpoints, como EDR y XDR, con capacidades de análisis de comportamiento y memoria, a fin de identificar actividades anómalas, intentos de cifrado y movimientos no autorizados dentro de las redes corporativas.
