México ocupa el segundo lugar de América Latina y el Caribe por organizaciones de infraestructura crítica que grupos de ransomware identificaron como víctimas, con 60 registros entre el 1 de enero de 2025 y el 21 de septiembre de 2026. Brasil encabeza el conteo con 80.
La infraestructura crítica es el conjunto de instalaciones y sistemas indispensables para prestar servicios esenciales a la población. Se considera crítica porque su interrupción puede poner en riesgo la salud pública o afectar gravemente el funcionamiento de la economía.
Una red de agua potable forma parte de esa infraestructura porque permite abastecer a hogares y negocios. También la integran los sistemas digitales necesarios para operar un hospital, cuyo bloqueo puede impedir consultar expedientes y retrasar la atención de pacientes.
El informe Estado de la Infraestructura Crítica 2026, elaborado por el Centro de Ciberinteligencia de Entel Digital, reúne publicaciones de los delincuentes en sus sitios de filtraciones. Los casos mexicanos representan 17.8% de las 338 víctimas regionales registradas durante ese periodo.
La cifra describe organizaciones señaladas por los atacantes. El estudio omite sus nombres porque carece de confirmación independiente de cada caso y advierte que los registros están sujetos a subregistro. Tampoco permite establecer cuántas sufrieron interrupciones ni calcular las pérdidas económicas del conjunto mexicano.
El ransomware es una forma de extorsión digital que puede bloquear el acceso a los archivos de una organización mediante cifrado. Los delincuentes exigen dinero para recuperarlos y pueden presionar con la publicación de información robada. En servicios esenciales, perder acceso a los sistemas puede detener actividades de las que dependen usuarios y otras empresas.
De las 1,080 víctimas de ransomware identificadas en América Latina y el Caribe, 31.3% pertenece a infraestructura crítica, frente a 26.3% en el mundo.
Los registros regionales de infraestructura crítica aumentaron de 125 a 160 entre el 1 de enero y el 21 de septiembre de cada año. Ese crecimiento de 28% supera el avance mundial de 26.1% registrado en el mismo intervalo.
El gobierno concentra 81 de las víctimas regionales, equivalentes a 24% del total. En salud aparecen 78 organizaciones, con una participación de 23.1 por ciento.
La pérdida de información clínica puede restringir la atención de pacientes, mientras que la indisponibilidad de plataformas gubernamentales puede impedir la prestación de servicios públicos. En transporte y logística se contabilizaron 68 víctimas, 20.1% del acumulado regional.
La distribución corresponde al conjunto latinoamericano. El reporte presenta desgloses específicos para Chile y Perú, mientras que México aparece en las comparaciones por país, sin una distribución propia por actividad económica.
En el seguimiento regional de ransomware aparecen 79 grupos distintos. Durante 2026, hasta el corte de septiembre, TheGentlemen acumuló 26 víctimas de infraestructura crítica y Qilin registró 25. En 2025, TheGentlemen había registrado ocho víctimas de estos sectores en el conjunto de la región.
Una instalación puede conservar intacta su maquinaria y suspender actividades porque perdió los sistemas que permiten coordinarla. El informe identifica esa dependencia de las aplicaciones administrativas como una vía para interrumpir operaciones, incluso cuando los equipos que controlan los procesos físicos permanecen fuera del alcance de los atacantes.
"La preparación debe contemplar la recuperación de servicios mínimos y la disponibilidad de información operacional fuera de los sistemas afectados. También debe identificar qué funciones pueden mantenerse temporalmente y cuáles requieren una suspensión controlada", refiere el documento.
La experiencia de una empresa mexicana de mensajería muestra el trabajo que puede exigir la recuperación. En un caso publicado por El Economista, la compañía pagó menos de 5,000 dólares de rescate después de que los intrusos permanecieron unos tres meses dentro de su red.
Eduardo Chavarro, director del Equipo Global de Respuestas a Incidentes para Américas en Kaspersky, explicó entonces que la empresa tuvo que reconstruir su infraestructura digital. Los delincuentes habían bloqueado entre cinco y seis servidores, además de computadoras conectadas, y obtenido información que incluía accesos a servicios externos. El gasto de recuperación superó el rescate.
La investigación de Kaspersky identificó contraseñas expuestas en código disponible públicamente como parte del acceso inicial. Este antecedente documenta consecuencias en una organización mexicana; el anonimato del registro de Entel impide establecer si figura entre las 60 víctimas del informe.
El estudio incluye una serie distinta sobre publicaciones relacionadas con otras amenazas a infraestructura crítica. México encabeza ese registro con 475, por encima de las 464 de Brasil. El periodo de observación comienza en enero de 2025 y termina el 23 de septiembre de 2026.
En toda la región se contabilizaron 1,980 publicaciones. De ellas, 1,468 corresponden a brechas o filtraciones de datos, equivalentes a 74.1 por ciento. Otras 215 se refieren a accesos iniciales o credenciales, información que puede utilizarse para entrar en los sistemas de una organización.
Esos registros cuentan publicaciones y tienen una metodología diferente de la serie de víctimas de ransomware.
Sumarlos produciría una cifra que el estudio no presenta como organizaciones únicas afectadas. Además, la aparición de datos en un foro criminal requiere corroboración para determinar su autenticidad y alcance.
El riesgo puede extenderse a clientes y socios cuando la información expuesta permite conocer sus conexiones con un proveedor. Una cuenta utilizada para dar mantenimiento a distancia puede conservar permisos sobre sistemas esenciales y convertirse en una entrada para intrusiones posteriores, explica el informe.
Una de las recomendaciones del reporte consiste en proteger las cuentas de las copias de seguridad con accesos diferentes a los utilizados diariamente. El propósito es evitar que una intrusión también inutilice los recursos necesarios para reconstruir la operación.
"Se recomienda separar las credenciales de respaldo de las utilizadas en operación y verificar que la recuperación no dependa exclusivamente de sistemas que puedan verse afectados por el mismo incidente. El resultado esperado es conocer el tiempo real para restablecer funciones críticas y las condiciones necesarias para hacerlo de manera segura", establece el documento.