El 3 de agosto de 2026, el Ministerio de Justicia de Colombia confirmó que un ransomware había comprometido parte de su infraestructura tecnológica, degradando servicios apenas cuatro días antes de una transición presidencial. Solo el momento en que ocurre ya hace que este incidente merezca una atención especial, pero la historia más profunda es lo que este tipo de ataque de ransomware gubernamental revela sobre las lecciones de seguridad que las agencias de todo el mundo aún tienen dificultades para aplicar.

Qué sucedió en el Ministerio de Justicia de Colombia

Según los detalles confirmados, el incidente de ransomware afectó parte de la infraestructura tecnológica del Ministerio, provocando una degradación del servicio en los sistemas de los que depende el ministerio para sus operaciones diarias. El ministerio reconoció el ataque públicamente, algo que de por sí es notable: muchas agencias gubernamentales retrasan o minimizan la divulgación de intrusiones, especialmente durante períodos políticamente sensibles. La confirmación llegó en un momento en que la continuidad institucional es más importante, apenas días antes de la transición presidencial de Colombia, una ventana en la que los traspasos administrativos, los cambios de credenciales y las prioridades cambiantes pueden crear brechas que los atacantes aprovechan rápidamente.

Lo que está confirmado es limitado: ocurrió un ataque, involucró ransomware y afectó parte del entorno técnico del ministerio lo suficiente como para interrumpir los servicios. Ese es el alcance del registro público verificado en esta etapa.

Lo que sigue sin confirmar: exfiltración de datos y riesgo interno

Lo que aún no está confirmado es, sin duda, más importante para cualquiera que intente evaluar el impacto real. No hay confirmación pública de si se exfiltraron datos antes del cifrado, lo que importa porque las operaciones modernas de ransomware combinan cada vez más el cifrado con el robo de datos y la extorsión. Tampoco hay confirmación de cómo obtuvieron los atacantes el acceso inicial, ya sea mediante phishing, un punto de acceso remoto expuesto, una credencial comprometida o un proveedor externo.

La proximidad a una transición presidencial también plantea preguntas que merecen una atención cuidadosa y no especulativa, en lugar de suposiciones. Las transiciones implican rotación de personal, cambios en el acceso a los sistemas y, a veces, una menor vigilancia institucional mientras los equipos salientes y entrantes gestionan los traspasos. Nada de esto significa que haya ocurrido una participación interna o una sincronización política dirigida; simplemente significa que la ventana en la que se produjo este ataque es una en la que la gobernanza y los controles de acceso son históricamente más frágiles. Hasta que las autoridades colombianas o el ministerio publiquen más hallazgos, cualquier afirmación sobre el motivo, el alcance o la atribución debe tratarse como no verificada.

Cómo la segmentación débil y el tráfico no cifrado permiten este tipo de ataque

El ransomware rara vez tiene éxito debido a un único fallo. Tiene éxito debido a una cadena de debilidades: un punto de apoyo inicial, seguido de la capacidad de moverse lateralmente a través de una red que no estaba correctamente segmentada, seguido del acceso a sistemas y datos que deberían haber estado aislados. Las redes gubernamentales son objetivos frecuentes de este patrón precisamente porque muchas todavía dependen de arquitecturas de red planas en las que un solo dispositivo comprometido puede eventualmente llegar a sistemas mucho más sensibles de lo que debería.

El tráfico interno no cifrado agrava el problema. Cuando los datos se mueven a través de una red en claro, un atacante que consigue un punto de apoyo puede capturar credenciales, mapear sistemas e identificar objetivos de alto valor más fácilmente antes de activar las cargas de cifrado. Las agencias que dependen principalmente de las defensas perimetrales, los cortafuegos y los límites de la red, sin aplicar controles dentro de la red, están apostando efectivamente a que ningún atacante logrará pasar la puerta principal. Esa apuesta falla con regularidad, como demuestran este incidente y ataques similares a instituciones colombianas. El reciente ataque de ShinyHunters a Addi.com, que comprometió 16 millones de registros financieros en una empresa colombiana de servicios financieros, muestra que este no es un patrón aislado confinado al gobierno. Tanto las organizaciones del sector público como las del privado en la región están siendo atacadas, y ambas necesitan las mismas defensas en capas.

Confianza cero, VPN y cifrado: lo que las agencias deberían tener implementado

Las lecciones prácticas de este incidente no son nuevas, pero siguen sin aplicarse en muchas agencias gubernamentales. La segmentación de la red limita hasta dónde puede llegar un atacante después de una brecha inicial, conteniendo el daño a una porción más pequeña de la infraestructura en lugar de a todo el sistema. Los controles de acceso de confianza cero, que requieren una verificación continua de usuarios y dispositivos en lugar de asumir la confianza basada en la ubicación de la red, reducen el riesgo de que una sola credencial comprometida conceda un acceso amplio. Las comunicaciones cifradas, incluido el uso de VPN para el acceso remoto y administrativo, ayudan a garantizar que incluso el tráfico interceptado proporcione poca información utilizable a un atacante que ha conseguido un punto de apoyo.

Ninguno de estos controles garantiza la inmunidad frente al ransomware. Pero en conjunto cambian el cálculo significativamente, convirtiendo lo que podría ser un compromiso catastrófico de todo el ministerio en un incidente contenido que afecta a un conjunto limitado de sistemas.

Qué significa esto para usted

Si interactúa con servicios gubernamentales en línea, ya sea presentando documentos, accediendo a expedientes judiciales o utilizando sistemas de identidad digital, incidentes como este son un recordatorio de que la infraestructura del sector público conlleva los mismos riesgos que las empresas privadas, a veces con menos recursos para defenderse. Usted no puede controlar la postura de seguridad interna de una agencia, pero puede reducir su propia exposición utilizando credenciales fuertes y únicas para cualquier cuenta de portal gubernamental, habilitando la autenticación multifactor cuando se ofrezca y siendo cauteloso con los intentos de phishing que puedan hacer referencia a la interrupción para engañarlo y que revele información personal.

Para las organizaciones, públicas o privadas, la lección práctica es clara: la seguridad perimetral por sí sola no es suficiente. La segmentación, el acceso de confianza cero y las comunicaciones cifradas internas y remotas ya no son extras opcionales, son requisitos básicos para sobrevivir a un ataque de ransomware gubernamental o a su equivalente en el sector privado.

Conclusiones

El incidente del Ministerio de Justicia de Colombia aún se está desarrollando, y mucho sigue sin confirmarse, incluyendo si se robaron datos y cómo obtuvieron acceso los atacantes. Lo que está claro es que el momento, cuatro días antes de una transición presidencial, y el patrón más amplio de ataques a instituciones colombianas, incluida la brecha de Addi.com, apuntan a una región que enfrenta una presión sostenida de operaciones de ransomware y robo de datos. Tanto las agencias como las empresas deberían tomar esto como un aviso para auditar sus propias prácticas de segmentación, controles de acceso y cifrado antes, y no después, de convertirse en el próximo titular confirmado.