Equipo DFIR / CTI, UTECH de la Costa S.A.S. (Barranquilla, Colombia)
Sectores
Gobierno, educación superior pública, salud, financiero; alcance nacional
Contacto
gerencia@utech.com.co
Summary (English)
UTECH reviewed the threat landscape against Colombia as seen on the dark web, underground forums and Telegram channels: 300 incidents and 211 identified Colombian organizations over 14 months, and only the visible cases. Government is by far the most targeted sector (40+ documented incidents against state entities), followed by public higher education and health. Two actors, NyxarGroup and Petro_Escobar, concentrate about a third of the observed activity against Colombia, and more than 1.5 million email:password pairs circulated in combo lists in the last month alone. Named victim entities are withheld and replaced with sector descriptions.
Resumen
Este es el panorama de amenazas contra Colombia que estuvimos revisando: 300 incidentes y 211 organizaciones colombianas identificadas en 14 meses, y son solo los casos visibles en dark web, foros clandestinos y canales de Telegram. La realidad operativa es mayor.
Lo que muestran los datos
Gobierno es el sector más golpeado, por mucho. Más de 40 incidentes documentados contra entidades estatales, entre ellas organismos de registro e identificación, carteras ministeriales, la autoridad tributaria y entidades del orden territorial (alcaldías y gobernaciones). La superficie de exposición del Estado colombiano es desproporcionada respecto a su madurez de defensa.
Educación superior pública es el segundo blanco preferido. Varias universidades públicas del país, con bases que contienen cédulas, correos institucionales y hashes de contraseñas distribuyéndose gratis en dark web.
Salud combina lo peor de dos mundos: datos sensibles más infraestructura obsoleta. Un hospital universitario del sector público aparece con 8 bases, 197 tablas y acceso vivo a producción reportado por el actor.
Dos grupos concentran un tercio de la actividad observada en dark web contra Colombia: NyxarGroup y Petro_Escobar. No son script kiddies: exfiltran terabytes, pivotan entre Cisco ASA y Fortinet, y comprometen GSuite corporativo.
Credenciales: solo en combo lists del último mes, más de 1,5 millones de pares email:contraseña colombianos circulando.
Conclusión
La pregunta dejó de ser "¿nos van a atacar?" hace tiempo. Hoy es "¿ya estamos comprometidos y no lo sabemos?". Y para responderla no alcanza con tener firewall y antivirus al día: se requiere visibilidad activa sobre la superficie de ataque, monitoreo de threat intel en dark web y capacidad real de respuesta a incidentes. El adversario invierte tiempo en mapear nuestras debilidades; lo mínimo es invertir el mismo tiempo en conocerlas primero.
Alcance y limitaciones
Las cifras provienen de la revisión de casos visibles en dark web, foros clandestinos y canales de Telegram. Las entidades señaladas como víctimas en la fuente original se describen aquí por sector, sin identificarlas. Los alias de grupos adversarios se conservan por su valor de inteligencia.