Dos reclamos en 48 horas contra Argentina, y por qué a Chile le importa

The Gentlemen reclamó una intrusión contra el operador de oleoductos Oldelval; al día siguiente, Qilin reclamó al Ejército Argentino. Grupos distintos, misma semana, mismo país. Ninguno confirmado. Lo que sí está confirmado es la lógica de selección de blanco.

Qué pasó

Dos reclamos independientes, publicados con un día de diferencia en los portales de filtración de dos grupos de ransomware distintos.

23 de julio — The Gentlemen contra Oldelval. Oldelval, Oleoducto del Valle, opera la red de oleoductos que conecta los yacimientos no convencionales de Vaca Muerta con los puertos de exportación argentinos. El índice de severidad estimado del incidente se ubicó en 5,94, en una escala que pondera impacto operativo, financiero, técnico y reputacional. La compañía no ha emitido confirmación pública y el caso figura como pendiente de verificación.

24 de julio — Qilin contra el Ejército Argentino. El grupo catalogó el sector como Gobierno/Militar/Fuerzas del Orden. La institución no ha emitido confirmación oficial y el caso también figura como pendiente de verificación. La severidad estimada fue 6,17 sobre 10, una de las más altas entre los reclamos analizados esa semana en la región.

En ninguno de los dos casos se ha especificado públicamente el volumen ni el tipo exacto de datos exfiltrados. Eso es habitual en las primeras horas de un reclamo de ransomware: los grupos reservan evidencia para presionar el pago. Es publicación escalonada, y forma parte del modelo de negocio.

Conviene decirlo con todas sus letras: un reclamo no es una brecha confirmada. La distancia entre lo que afirma un grupo criminal y la confirmación forense de una intrusión es real, y en estos dos casos sigue sin cerrarse.

Por qué importa acá

El caso de Oldelval tiene una bajada chilena directa y poco cómoda: Chile mantiene interdependencias energéticas relevantes con Argentina a través de gasoductos e importación de combustibles. Una interrupción operativa prolongada en un nodo logístico de exportación puede repercutir, con retraso, en la disponibilidad y el precio local de energía. No es un problema de ciberseguridad argentino: es un problema de cadena de suministro chileno.

La Ley 21.663 lo aborda de forma explícita. Los operadores de infraestructura crítica nacional deben incorporar la gestión de riesgo de terceros y proveedores transfronterizos dentro de sus obligaciones de reporte y continuidad. Este caso ilustra por qué esa exigencia existe: tu proveedor puede estar fuera de tu jurisdicción y aun así dentro de tu riesgo.

El caso del Ejército agrega otra dimensión. Un ataque contra una institución de defensa expone qué tipo de sector puede convertirse en blanco, qué tácticas suelen emplearse, y qué controles mínimos deberían estar operativos antes de que ocurra un incidente similar en Chile. Y hay un daño que opera aunque el reclamo resulte falso: la publicidad del reclamo, por sí sola, erosiona la confianza pública en la capacidad de la institución para proteger información.

La Ley 21.663 no es solo un requisito de cumplimiento documental. Obliga a construir capacidad real de detección y respuesta, con responsables designados y procesos de escalamiento claros. Las organizaciones que la tratan como una lista de verificación administrativa, sin ejercicios de simulación reales, suelen descubrir sus brechas de proceso durante el incidente, cuando ya es demasiado tarde.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1566 — Vector habitual en incidentes previos de ambos grupos. En estos casos no fue divulgado.
• T1133 — VPN o RDP expuestos sin parchar, junto con la compra de accesos a intermediarios.
• T1078 — Credenciales validas obtenidas por infostealers o compradas a brokers de acceso inicial.
• T1021 — Movimiento hacia controladores de dominio, tipicamente con herramientas legitimas.
• T1567 — La exfiltracion precede al cifrado: es lo que sostiene la doble extorsion.
• T1490 — Borrado de copias de sombra. Es la ultima senal antes del cifrado, y la mas detectable.
• T1486 — El final de la cadena. Detectarlo aca ya no sirve para contener.

title: Preparacion de cifrado masivo por ransomware
id: 4f2a8c19-3d75-4e61-b8a3-9c1e5f7d2064
status: stable
description: >
  No busca el cifrado, que ya es tarde, sino los minutos previos: borrado de copias de
  seguridad y desactivacion de la recuperacion del sistema. Es la ultima ventana util
  de contencion y suele preceder al cifrado en menos de una hora.
author: Vantis Chile SpA
date: 2026/07/25
logsource:
  category: process_creation
  product: windows
detection:
  borrado_de_copias:
    Image|endswith:
      - '\vssadmin.exe'
      - '\wmic.exe'
      - '\wbadmin.exe'
    CommandLine|contains:
      - 'delete shadows'
      - 'shadowcopy delete'
      - 'delete catalog'
  desactivar_recuperacion:
    Image|endswith: '\bcdedit.exe'
    CommandLine|contains:
      - 'recoveryenabled no'
      - 'bootstatuspolicy ignoreallfailures'
  detener_respaldo:
    Image|endswith: '\net.exe'
    CommandLine|contains:
      - 'stop backup'
      - 'stop veeam'
      - 'stop sql'
  condition: borrado_de_copias or desactivar_recuperacion or detener_respaldo
falsepositives:
  - Tareas de mantenimiento de respaldo mal disenadas. Deberian estar inventariadas;
    si no lo estan, ese es el primer hallazgo del ejercicio.
level: critical
tags:
  - attack.impact
  - attack.t1490
  - attack.t1486

// Exfiltracion previa al cifrado: subidas anomalas hacia destinos de almacenamiento
let ventana = 30d;
let umbral_mb = 500;
DeviceNetworkEvents
| where Timestamp > ago(ventana)
| where RemoteUrl has_any ("mega.nz","anonfiles","gofile.io","transfer.sh","temp.sh",
                           "filemail","wetransfer","pcloud","dropbox","mediafire")
   or RemotePort in (21, 22, 445)
| join kind=inner (
    DeviceNetworkEvents
    | where Timestamp > ago(ventana)
    | summarize BytesSalida = sum(todouble(coalesce(column_ifexists("BytesSent", 0), 0)))
            by DeviceName, bin(Timestamp, 1h)
    | where BytesSalida > umbral_mb * 1024 * 1024
  ) on DeviceName
| project Timestamp, DeviceName, RemoteUrl, RemoteIP, RemotePort,
          InitiatingProcessFileName, InitiatingProcessAccountName
| order by Timestamp desc

index=edr OR index=windows earliest=-30d
| eval proc = lower(process_name)
| eval lolbin = if(match(proc, "(psexec|anydesk|teamviewer|rclone|winscp|megasync|advanced_ip_scanner)"), 1, 0)
| eval defensa = if(match(lower(process), "(sc stop|net stop|taskkill).*(defender|sophos|crowdstrike|sentinel|carbon)"), 1, 0)
| eval cuenta_nueva = if(match(lower(process), "net user .* /add"), 1, 0)
| where lolbin=1 OR defensa=1 OR cuenta_nueva=1
| stats count AS eventos, values(proc) AS procesos, values(user) AS cuentas,
        min(_time) AS primero, max(_time) AS ultimo by host
| convert ctime(primero) ctime(ultimo)
| where eventos > 2
| sort - eventos

Fuentes

• BCNLey 21.663, Ley Marco de Ciberseguridad e Infraestructura Crítica de la Información
• MITRE ATT&CKT1490 — Inhibit System Recovery
• MITRE ATT&CKT1567 — Exfiltration Over Web Service
• MITRE ATT&CKT1133 — External Remote Services

Relacionado