Perfiles de grupos APT con atribución, técnicas MITRE ATT&CK, fuentes públicas y recomendaciones de detección, con foco en las amenazas que afectan a Latinoamérica y Colombia.
Cada afirmación se apoya en fuentes públicas: MITRE ATT&CK, avisos de CISA y reportes de fabricantes. Si no hay fuente, no se publica.
Técnicas normalizadas con IDs de ATT&CK para cruzar grupos, priorizar detecciones y comunicar riesgo con un lenguaje común.
Señalamos qué grupos tienen actividad documentada en la región y en Colombia, con recomendaciones de detección pensadas para SOC locales.
Calculado a partir de los perfiles al construir el sitio. Un grupo puede contar en más de una fila.
| Rusia | 3 |
|---|---|
| Corea del Norte | 2 |
| China | 1 |
| Irán | 1 |
| No determinado | 1 |
| Espionaje | 8 |
|---|---|
| Financiera | 3 |
| Sabotaje / destrucción | 2 |
| Latinoamérica | 8 |
|---|---|
| Norteamérica | 6 |
| Europa | 6 |
| Medio Oriente | 5 |
| Asia Oriental | 5 |
| África | 3 |
| Oceanía | 3 |
| Asia del Sur | 2 |
| Sudeste Asiático | 2 |
| Asia Central | 1 |
| Global | 1 |
Número de grupos perfilados activos cada año de 2004 a 2026: 2004: 1, 2005: 1, 2006: 1, 2007: 1, 2008: 2, 2009: 4, 2010: 4, 2011: 4, 2012: 6, 2013: 6, 2014: 6, 2015: 6, 2016: 6, 2017: 7, 2018: 8, 2019: 8, 2020: 8, 2021: 8, 2022: 8, 2023: 8, 2024: 8, 2025: 8, 2026: 6.
destacados
Blind Eagle · BlindEagle · TAG-144
Grupo que MITRE describe como presunto actor sudamericano, activo desde al menos 2018, que combina espionaje y fraude financiero contra gobierno, banca, energía y otros sectores en Colombia, Ecuador y el resto de Latinoamérica.
Fancy Bear · Forest Blizzard · STRONTIUM
Grupo de ciberespionaje atribuido por EE. UU. y Reino Unido a la Unidad 26165 del GRU ruso (85th GTsSS), activo desde al menos 2004 contra gobiernos, defensa, logística y organismos políticos.
Cozy Bear · Midnight Blizzard · NOBELIUM
Grupo de ciberespionaje atribuido por EE. UU. y Reino Unido al Servicio de Inteligencia Exterior ruso (SVR), activo desde al menos 2008; responsable del compromiso de SolarWinds y de intrusiones persistentes en entornos cloud e identidad.
Labyrinth Chollima · Diamond Sleet · ZINC
Grupo patrocinado por Corea del Norte y atribuido a la Oficina General de Reconocimiento (RGB), activo desde al menos 2009, que combina espionaje, sabotaje y robo financiero contra banca, criptoactivos y defensa, con casos documentados en Latinoamérica.
latam
No todos los APT globales operan en Latinoamérica. Aquí listamos solo los grupos para los que existen reportes públicos de campañas contra organizaciones de la región, y marcamos los que han apuntado a Colombia.
Filtrar grupos con actividad en LATAMColombia es el objetivo principal: según Kaspersky, el 87 % de las víctimas detectadas en sus campañas de espionaje de mayo y junio de 2024 estaban en Colombia. También hay campañas documentadas contra Ecuador (Check Point, 2023), Chile y Panamá (Kaspersky, Recorded Future). Recorded Future menciona además campañas ocasionales contra hispanohablantes en Norteamérica.
ESET (Operation RoundPress, 2025) documenta un correo de spearphishing enviado en julio de 2024 a una organización militar de Ecuador y menciona víctimas gubernamentales en Sudamérica. Trend Micro (2024) reporta objetivos de Pawn Storm en Sudamérica: fuerzas armadas, industria de defensa y ministerios de Agricultura y Finanzas, sin precisar países. Sin reportes públicos específicos sobre Colombia a la fecha de esta revisión.
Según Microsoft (diciembre de 2020), entre las víctimas de la etapa posterior del compromiso de SolarWinds hubo organizaciones en México, además de EE. UU., Canadá, Europa y Medio Oriente. No se hallaron reportes públicos de campañas dirigidas específicamente a Colombia a la fecha de esta revisión.
Según FireEye/Mandiant (marzo de 2020), la campaña de explotación de Citrix, Cisco y Zoho ManageEngine incluyó organizaciones en México. La acusación del DOJ de septiembre de 2020 menciona víctimas en Brasil y Chile. Sin reportes públicos de víctimas en Colombia a la fecha de esta revisión.
Brasil: según Kaspersky (mayo de 2026), el clúster PebbleDash atribuido a Kimsuky comprometió organizaciones de defensa brasileñas en los últimos años. Es el único caso latinoamericano documentado públicamente. Sin reportes públicos sobre Colombia a la fecha de esta revisión.
Chile: intrusión en Redbanc (dic. 2018) vinculada a herramientas de Lazarus según Flashpoint. México: transferencias fraudulentas contra Bancomext (ene. 2018) según la acusación del DOJ; MITRE asigna Bancomext y Banco de Chile al subgrupo APT38. Watering holes en México, Uruguay y Perú (Kaspersky, 2017), instituciones financieras latinoamericanas (Trend Micro, 2018), casinos en línea de Centroamérica (DOJ) y víctimas del sector defensa en Brasil (Check Point, 2026). Sin reportes públicos sobre Colombia a la fecha de esta revisión.
Symantec/Carbon Black (mayo de 2026) incluye a un proveedor de servicios financieros latinoamericano, sin especificar el país, entre al menos nueve organizaciones comprometidas en una campaña de espionaje del primer trimestre de 2026. No hay reportes públicos de campañas contra Colombia.
Según el informe de Mandiant sobre APT44 (abril de 2024), el grupo ha mantenido accesos y operaciones de espionaje en América Latina, sin detallar países. Sin reportes públicos que identifiquen víctimas en Colombia a la fecha de esta revisión.
actualizaciones
Grupo que MITRE describe como presunto actor sudamericano, activo desde al menos 2018, que combina espionaje y fraude financiero contra gobierno, banca, energía y otros sectores en Colombia, Ecuador y el resto de Latinoamérica.
Grupo de ciberespionaje atribuido por EE. UU. y Reino Unido a la Unidad 26165 del GRU ruso (85th GTsSS), activo desde al menos 2004 contra gobiernos, defensa, logística y organismos políticos.
Grupo de ciberespionaje atribuido por EE. UU. y Reino Unido al Servicio de Inteligencia Exterior ruso (SVR), activo desde al menos 2008; responsable del compromiso de SolarWinds y de intrusiones persistentes en entornos cloud e identidad.
Grupo chino que combina espionaje patrocinado por el Estado con operaciones de lucro propio, activo desde al menos 2012 contra salud, telecomunicaciones, tecnología, gobierno y la industria de videojuegos.
ventura defend
El servicio de detección y respuesta administradas (MDR) de Ventura Systems convierte esta inteligencia en reglas de detección, caza de amenazas y respuesta a incidentes para su organización.