Ransomware en Colombia
El 12 y 13 de septiembre de 2023, un ataque de ransomware contra el proveedor IFX Networks dejó fuera de operación los sistemas del Ministerio de Salud y Protección Social, la Superintendencia de Industria y Comercio,…
El 12 y 13 de septiembre de 2023, un ataque de ransomware contra el proveedor IFX Networks dejó fuera de operación los sistemas del Ministerio de Salud y Protección Social, la Superintendencia de Industria y Comercio, la Superintendencia de Salud y el Consejo Superior de la Judicatura. El grupo RansomHouse se atribuyó la operación: alrededor de 760 entidades afectadas en América Latina y, solo en el Ministerio de Salud, más de 55 millones de datos comprometidos (Pirani Risk, Asobancaria). Ese episodio dejó una lección que sigue vigente: el ransomware en Colombia no distingue tamaño de empresa ni sector, y la pregunta útil no es si un atacante puede entrar, sino cuántas vías de entrada tiene abiertas hoy su organización.
El ransomware es un malware que cifra los archivos y sistemas de la víctima y exige un pago —normalmente en criptomonedas— a cambio de la clave de descifrado. Los grupos actuales, como RansomHouse, practican la doble extorsión: antes de cifrar, exfiltran la información y amenazan con publicarla si no se paga. Por eso un respaldo sin probar ya no basta: aunque recupere los sistemas, los datos filtrados siguen siendo un daño.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012). Este artículo aborda: Ransomware en Colombia
Tabla de Contenido
Colombia: el contexto económico y digital que expone al ransomware
La economía colombiana opera sobre sectores cada vez más digitalizados: industria manufacturera, agroindustria, comercio y retail, banca y finanzas, salud, educación y entidades del Estado. Todos manejan sistemas de gestión, bases de datos de clientes y pacientes, plataformas transaccionales y redes corporativas que sostienen la operación diaria. Esa dependencia digital es lo que vuelve al ransomware una amenaza transversal: el cifrado de los sistemas críticos paraliza la operación sin importar el tamaño de la empresa.
Las pequeñas y medianas empresas cargan un desafío particular: equipos de TI reducidos y esquemas de respaldo que rara vez se prueban. Las grandes organizaciones y las entidades públicas, en cambio, concentran datos sensibles cuya interrupción tiene impacto operativo y reputacional inmediato. La digitalización acelerada de los últimos años amplió la superficie de ataque: cada servidor, cada red corporativa y cada acceso remoto es un posible punto de entrada para un grupo como RansomHouse.
Ransomware en Colombia en cifras
Los casos públicos del país permiten dimensionar el problema sin especulaciones:
- Ataque a IFX Networks (septiembre de 2023): el ransomware de RansomHouse afectó a unas 760 entidades en América Latina. En Colombia cayeron los sistemas del Ministerio de Salud y Protección Social (más de 55 millones de datos afectados), la SIC, la Supersalud y el Consejo Superior de la Judicatura (Pirani Risk, Asobancaria).
- Ataque a Keralty (noviembre-diciembre de 2022): también atribuido a RansomHouse, dejó caídos los portales y el sistema de citas de EPS Sanitas y Colsanitas, con filtración de datos de pacientes. El propio CEO, Sergio Martínez, confirmó que los atacantes tenían 0,7 terabytes de información de la compañía (iTech SAS).
- Costo de una brecha (IBM, 2026): el costo promedio global de una brecha de datos fue de 4,99 millones de dólares (IBM).
Riesgos por sector: cómo golpea el ransomware en el país
Los patrones se repiten y siguen el valor de los datos:
- Salud: el caso Keralty mostró el peor escenario —citas caídas, portales inoperativos y datos de pacientes en manos de los atacantes. Las EPS, IPS y clínicas concentran historiales clínicos que no se pueden «reemitir».
- Estado y sector público: el caso IFX demostró que el eslabón débil puede ser un proveedor. Ministerios y superintendencias quedaron sin sistemas por un ataque que no entró por sus redes, sino por las de su contratista.
- Banca y finanzas: objetivo permanente por el valor transaccional. Además, la Superfinanciera exige a las entidades vigiladas una gestión mínima del riesgo de ciberseguridad (Circular Externa 007 de 2018).
- Industria y agroindustria: plantas con sistemas operativos conectados a la red corporativa; un cifrado en la red de gestión puede detener la producción.
- PYMES de comercio y servicios: suelen carecer de respaldos probados y de segmentación de red, por lo que un solo equipo comprometido por phishing puede propagar el cifrado a toda la oficina.
Las vías de entrada que más vemos en nuestra experiencia son las mismas en todos los sectores: phishing contra empleados, accesos remotos (RDP, VPN) con credenciales débiles o sin doble factor, y sistemas sin parches. Desde ahí, el atacante se mueve lateralmente hasta los respaldos —que también cifra si están en línea— y los activos más valiosos. Una prueba de penetración permite identificar esas vías de entrada y de movimiento lateral antes de que un atacante las explote, con un alcance ajustado al tamaño y sector de cada organización.
Qué exige la regulación colombiana
Colombia cuenta con un marco concreto que vuelve la protección contra el ransomware una obligación de diligencia, no una opción:
- Ley 1273 de 2009: tipifica los delitos informáticos —acceso abusivo, interceptación de datos, daño informático, entre otros— y establece las penas correspondientes (texto de la ley, SIC).
- Ley 1581 de 2012: obliga a quienes tratan datos personales a adoptar medidas técnicas y administrativas para garantizar su seguridad. Su autoridad de vigilancia es la Superintendencia de Industria y Comercio.
- CONPES 3995 de 2020: la Política Nacional de Confianza y Seguridad Digital, aprobada el 1 de julio de 2020, fija la hoja de ruta del país en seguridad digital (Colombia Aprende).
- Superfinanciera, Circular Externa 007 de 2018 (5 de junio de 2018): establece los requerimientos mínimos de gestión del riesgo de ciberseguridad para las entidades vigiladas (Normograma).
Una prueba de penetración periódica es la evidencia más directa de que su organización cumple con ese deber de cuidado: demuestra que buscó sus vulnerabilidades antes de que un atacante las encontrara.
Beneficios medibles de protegerse contra el ransomware
Más allá de evitar el titular, una estrategia anti-ransomware bien ejecutada deja resultados que se pueden medir: un inventario real de las vías de entrada que un grupo de ransomware aprovecharía (accesos expuestos, credenciales débiles, sistemas sin parches, respaldos en línea sin probar); la verificación de que sus respaldos realmente restauran la operación, con pruebas de restauración documentadas; la reducción del tiempo de exposición, porque cada hallazgo se corrige y se vuelve a probar; y evidencia de diligencia frente a la Ley 1581 y, si aplica, frente a la Superfinanciera. Con un costo promedio de 3,81 millones de dólares por brecha en América Latina (IBM, 2025), el argumento financiero se escribe solo.
Por qué trabajar con DragonJAR
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012: más de dos décadas viendo cómo atacan los criminales reales y qué defensas funcionan. En cada prueba incluimos re-tests sin costo —volvemos a probar cada vulnerabilidad hasta confirmar que quedó corregida—, cada hallazgo se verifica manualmente y entregamos informe ejecutivo e informe técnico en español, para que la gerencia entienda el riesgo y el equipo técnico sepa exactamente qué corregir. Atendemos organizaciones en toda Colombia, de forma remota y presencial.
Preguntas frecuentes sobre el ransomware en Colombia
¿Qué debe hacer mi empresa si sufre un ataque de ransomware?
Aísle los sistemas afectados de la red de inmediato, no apague los equipos (la memoria puede contener evidencia útil) y no pague el rescate como primera reacción. En Colombia el ataque es un delito tipificado por la Ley 1273 de 2009: denúncielo ante la Fiscalía General de la Nación y busque apoyo de especialistas en respuesta a incidentes para evaluar las opciones de recuperación. En nuestra experiencia, pagar no garantiza recuperar los datos y marca a la empresa como un objetivo que paga.
¿Una prueba de penetración sirve contra el ransomware?
Sí, porque ataca el problema desde el lado correcto: identifica las vías de entrada reales (phishing, RDP expuesto, VPN sin doble factor, sistemas sin parches) y el movimiento lateral que un grupo de ransomware usaría para llegar a los respaldos y a los sistemas críticos. El informe prioriza por riesgo de negocio, no por severidad técnica abstracta.
¿Cuánto le cuesta a una empresa latinoamericana una brecha de datos?
Según IBM (2025), el costo promedio en América Latina es de 3,81 millones de dólares (IBM). Esas cifras incluyen interrupción del negocio, respuesta, multas y pérdida de clientes: el rescate es solo una fracción del costo total.
¿Qué alcance mínimo debe tener una evaluación anti-ransomware?
Como mínimo: superficie expuesta a internet, red interna y directorio activo, accesos remotos, phishing controlado, revisión de la estrategia de respaldos (incluida una prueba de restauración) y segmentación de red. Si el proveedor propone solo un escaneo automático externo, no es una evaluación anti-ransomware seria.
¿La ley colombiana me obliga a protegerme del ransomware?
La Ley 1581 de 2012 exige medidas técnicas y administrativas para proteger los datos personales, y la Ley 1273 de 2009 tipifica los ataques como delito. Si su empresa es vigilada por la Superfinanciera, la Circular Externa 007 de 2018 le exige además una gestión mínima del riesgo de ciberseguridad. Una prueba de penetración documentada es la evidencia más sólida de diligencia.
¿Con qué frecuencia debemos evaluar nuestra resiliencia?
Al menos una vez al año, y siempre después de cambios relevantes: migración a la nube, un ERP nuevo, apertura de sedes, cambio de un proveedor crítico o un incidente en su sector. Los casos IFX y Keralty muestran que el riesgo cambia cuando cambia su cadena de suministro, no solo cuando cambia su red.
Conclusión
IFX y Keralty demostraron que en Colombia el ransomware golpea a proveedores, EPS y entidades del Estado por igual. La diferencia entre las organizaciones que sobreviven a un ataque y las que no suele estar en una sola decisión tomada a tiempo: saber por dónde entraría el atacante antes de que lo haga. Si quiere esa certeza, el siguiente paso es una conversación.
Solicite su evaluación anti-ransomware en Colombia
Si su organización opera en Colombia —en la industria, el comercio, la banca, la salud, la educación o el sector público—, complete el formulario y cuéntenos brevemente qué infraestructura quiere evaluar. Un especialista le responderá en un máximo de 24 horas hábiles para agendar una llamada de descubrimiento sin costo: revisamos sus sistemas, le proponemos un alcance ajustado a su sector y a la regulación que le aplica, y le enviamos una cotización clara. Sin compromiso.