Como profesional de ciberseguridad, y con foco en Threat Intelligence, una de mis actividades, es tener mapeado el panorama de amenazas de la región. En el caso de Uruguay, en los últimos veinticuatro meses observé un cambio cualitativo: pasamos de incidentes aislados a campañas con actores bien definidos.
Cuando comencé a redactar esta nota, lo hice enfocandome en los incidentes más notorios de Uruguay, a medida que mapeaba los actores, con sus Tacticas Tecnicas y Procedimientos de los atacantes, observe que había un patrón en mucho de los ataques, por lo que hablar de incidentes en forma aislada, no el enfoque correcto.
Para entender los dos años que estoy analizando (2024–2026) en ciberseguridad de Uruguay, hay que mirar con dos lentes complementarioss. La primera es la del incidente: qué pasó en un evento concreto, qué herramientas se usaron, qué impacto tuvo. La segunda es la de la campaña: cómo opera un actor sostenido en el tiempo, qué patrones repite, cómo evoluciona.
Los números oficiales contextualizan el problema: CERTuy reportó 42.768 incidentes en 2025 (+199,83% interanual), de los cuales el 73% son de “recolección de información” y solo el 0,17% se clasificó con severidad alta. Entre ese 0,17% están los cuatro casos que analizo.
Parte I — El incidente testigo: BHU vs Crypto24 (octubre 2025)
¿Por qué un incidente individual y no otra campaña? Porque el ataque al Banco Hipotecario del Uruguay concentra el mayor volumen, sensibilidad de datos y disrupción operativa del bienio. Hubo otros ransomware en Uruguay (Paysandú/Alpha en julio 2024 con USD 650.000 de rescate, sin pago; la rumoreada aparición del primer ransomware “100% uruguayo” en 2026), pero el BHU es el caso que pone el techo del modelo. Lo analizo como incidente testigo porque define lo que puede pasar cuando todo se acumula.
Qué pasó
Detectado el 2 de octubre de 2025; intrusión gatillada la noche del 30 de septiembre coincidiendo con el cierre financiero de mes. Crypto24 reivindicó el 3 de octubre con cuenta regresiva de 10 días. El BHU no negoció. Pasado el plazo, los atacantes publicaron muestras (2 archivos de 9 y 11 MB) más enlaces de acceso al resto del lote — más de 700 GB declarados, con contratos hipotecarios, expedientes judiciales, actas de directorio, documentos marcados “secreto bancario” y contraseñas en texto plano dentro de Word.
Cyber Kill Chain
- Acceso inicial: no confirmado; perfil global del actor → credenciales válidas y servicios remotos expuestos.
- Persistencia + ejecución: AnyDesk como RAT, keyloggers personalizados, scheduled tasks.
- Defensa: variante personalizada de RealBlindingEDR que neutraliza ~30 productos EDR (Trend Micro, ago 2025).
- Exfiltración + impacto: exfil hacia Google Drive, cifrado con extensión .crypto24, nota Decryption.txt, leak progresivo en .onion.
Nota: el BHU operaba sin CISO desde 2023; el BCU había documentado 11 debilidades sin avance desde 2014. El incidente no fue sorpresivo — fue sintomático.
Parte II — Las tres campañas que definen el ecosistema
Si el BHU es el techo del modelo ransomware, las tres campañas siguientes son la base del ecosistema cibercriminal local: data-extortion sostenida, sin cifrado, con actores que se mantienen activos en el tiempo y a veces tocan las mismas víctimas. Cada una representa un modelo de negocio distinto.
Campaña 1 — La Pampa Leaks: hacktivismo que se profesionalizó a CaaS
El cluster La Pampa Leaks / Bogotá Leaks / Uruguayo 1337 / “Vladi” sostiene una campaña de 18 meses contra al menos 13 entidades del Estado uruguayo. Su salto cualitativo: el lanzamiento de PampaBot en septiembre de 2025 — un bot de Telegram con consultas pagas en BTC/Monero/USDT que integra los datasets robados. Pasó de hacktivista a operador CaaS (Crime as a Service) en menos de doce meses.
Víctimas con cobertura primaria: MSP (dic 2024), Dinacia (DNS poisoning sobre infra AGESIC + doxxing del presidente Orsi, mar 2025), Mides (37.756 documentos), Fiscalía General, Migraciones (14.877 visas en PDF), Ceibal/CREA (~1M+ registros), ANEP, SUCIVE (6M multas), DNIC+IMM (integrados a PampaBot), Antel TuID (mayo 2026, biometría de 163 usuarios + doxxing de Lacalle Pou y ministros). Confirmación judicial parcial: condena de 24 meses al hacker “Vladi” en noviembre 2025.
Motivación: híbrido ideológico-lucrativo. Discurso hacktivista anti-progresismo + monetización en cripto. La narrativa política da legitimidad y captación; el negocio paga las facturas.
PampaBot: anatomía del primer CaaS uruguayo
Lo más relevante de los incidentes en este periodo,no es el volumen de los ataques: es que un actor local creó la primera plataforma de Cybercrime-as-a-Service (CaaS) de origen uruguayo. PampaBot — operado por el cluster La Pampa Leaks desde septiembre de 2025 — convierte los datasets robados al Estado en un servicio comercial que cualquier persona con un wallet de cripto puede consumir. Como profesional del rubro, lo considero el caso de estudio más importante de en la región, ya que no hay experiencia concreta en Argentina y Chile (al menos) de una forma de monetizar el fruto de la ciberdelincuencia a través de un bot que tenga acceso a múltiples bases de datos de gobierno en forma simultánea.-
Qué es exactamente
Un bot de Telegram que integra los datasets robados a Mides, Ceibal, ANEP, SUCIVE, DNIC, IMM, Antel TuID y demás víctimas en una base de datos consultable. El usuario interactúa con el bot mediante comandos: ingresa una cédula, un nombre, un dominio o un número de teléfono, y el bot devuelve la información cruzada disponible en los datasets. La interfaz es trivial — cualquier usuario de Telegram puede operarlo sin instrucción previa.
Cómo opera técnica y económicamente
Modelo freemium con dos capas. Consultas básicas gratuitas (limitadas, como anzuelo de captación) y consultas premium pagas en BTC, Monero o USDT. La automatización es total: el usuario paga al wallet del bot, recibe la respuesta en segundos, sin necesidad de hablar con un operador humano. Telegram funciona como capa de transporte; los datasets viven en infraestructura distribuida que el cluster no expone públicamente. Sin contacto humano, sin intermediarios, sin escrow. Es comercio electrónico criminal de manual.
Por qué es un cambio de paradigma
Hasta PampaBot, comprar datos personales robados en LATAM exigía navegar foros clandestinos (BreachForums, DarkForums), negociar con vendors, gestionar OPSEC propia y manejar pagos en cripto con cierta sofisticación técnica. PampaBot democratiza el acceso. Cualquier persona con Telegram y un wallet — un investigador privado sin escrúpulos, un acosador, un fraudster, un agente de inteligencia low-cost — puede consultar a un ciudadano uruguayo por su cédula y obtener perfil completo en menos de un minuto. Bajó la barrera de entrada para el abuso de datos robados a niveles que antes no existían.
Mayorista vs minorista
Los foros tradicionales venden datasets completos por miles de dólares — economía mayorista usada para campañas masivas de phishing o fraude. PampaBot vende consultas puntuales por centavos contra personas específicas — economía minorista. La primera ataca audiencias; la segunda ataca individuos. PampaBot inaugura el retail del cibercrimen sobre Uruguay, y eso obliga a repensar el modelo de amenaza individual: el riesgo deja de ser «tu organización fue hackeada» y pasa a «cualquier persona puede consultarte por dos dólares».
Implicancias regionales y estado actual
PampaBot es replicable. Si funcionó en Uruguay, otros clusters en LATAM van a copiarlo — Brasil, Argentina, Chile y Colombia tienen ecosistemas de filtraciones suficientes para sostener un equivalente local. Desde la perspectiva defensiva, no hay incident response posible para el ciudadano individual: solo prevención sistémica desde el Estado y las organizaciones que custodian sus datos. La condena de «Vladi» en noviembre de 2025 no detuvo PampaBot — confirma que el cluster es más amplio que un operador único. Mientras Telegram no responda a los pedidos de takedown de AGESIC y los wallets de cripto sigan siendo difíciles de bloquear, el bot continuará operati
Campaña 2 — DeadPresidents (ex-ExPresidents): el data broker silencioso
Mientras La Pampa Leaks construye marca, DeadPresidents construye mercado. Es la antítesis operativa: sin discurso público, sin branding, sin plataforma de cara al usuario. Modelo data broker puro — compra accesos a Initial Access Brokers, exfiltra, vende en foros clandestinos. La rebrand ExPresidents → DeadPresidents sugiere consolidación profesional.
Víctimas documentadas (2024–2026): Udelar (500+ docentes), DGI, ANEP (víctima compartida con La Pampa Leaks), Partido Nacional, sector automotriz, INDT (marzo 2025), HG S.A. (12 GB vía IAB, mayo 2026), Tickantel (1 GB por pivote desde HG). El caso HG → Tickantel es el ejemplo paradigmático de movimiento lateral entre subsidiarias del mismo grupo estatal usando relaciones de confianza intra-org.
Motivación: estrictamente financiera. Sin componente ideológico. Modelo replicable, ciclos cortos de monetización y exposición legal mínima al no operar cifrado destructivo.
Campaña 3 — GODHAND: data extortion sobre el sector privado
GODHAND es la única campaña que opera fundamentalmente sobre empresas privadas (Caja Bancaria, CIEMSA, Cementos del Plata, INAC, Colegio Erik Erikson — 35 víctimas reclamadas entre abril y julio 2024). Auto-declarado integrado por ex-afiliados de LockBit y ALPHV/BlackCat post-Operation Cronos, aunque la atribución es claim del propio actor, no validado independientemente. Diferenciador técnico: omite el cifrado. Roba y amenaza con publicar. T1657 sin T1486. Lógica estratégica para reducir ruido operativo, evitar atención de fuerzas del orden y bajar exposición legal del afiliado. INAC es particularmente grave: la carne representa ~20% de las exportaciones uruguayas — comprometer mapas de red toca seguridad económica.
Parte III — Síntesis
Comparativa de los cuatro casos
| Variable | BHU / Crypto24 | La Pampa Leaks | DeadPresidents | GODHAND |
|---|---|---|---|---|
| Tipo | Incidente puntual | Campaña 18 meses | Campaña 24+ meses | Campaña 4 meses |
| Modelo | Doble extorsión | Hacktivismo + CaaS | Data broker puro | Data extortion sin cifrado |
| Sector | Banca pública | Estado uruguayo | Estado + supply chain + privado | Privado (35 empresas) |
| Vector inicial | Credenciales + RAT | DNS poisoning + creds + exploits web | Compra a IAB | VPN/RDP + IAB |
| Motivación | Financiera | Ideológico-comercial híbrida | Estrictamente financiera | Estrictamente financiera |
| Discurso | Sin discurso | Anti-progresismo | Sin discurso | Sin discurso |
Hilo conductor — cinco patrones convergentes
- Acceso inicial de baja sofisticación: Ningún 0-day. Credenciales válidas, APIs expuestas, accesos comprados a IABs, DNS poisoning sobre infra mal configurada.
- La extorsión es el negocio; el cifrado es opcional: Tres de los cuatro casos no cifran. El cifrado dejó de ser condición necesaria para extorsionar.
- La cadena de suministro es vector: HG → Tickantel → ANCAP. Santander vía Snowflake. Infra AGESIC envenenable. Un proveedor o subsidiaria comprometidos abren N caminos.
- Las víctimas tenían señales tempranas: BHU sin CISO. Tickantel con credenciales embebidas desde 2013. Paysandú sin plan de continuidad. AGESIC con DNS envenenables. Sintomáticos, no sorpresivos.
- Dos campañas paralelas locales con modelos distintos: La Pampa Leaks (ruido + plataforma + ideología + cripto) y DeadPresidents (silencio + mercado). No compiten, coexisten, a veces tocan las mismas víctimas. El defensor uruguayo necesita perfilar a ambos.
Agenda mínima para defensores
- MFA universal sobre todo servicio expuesto. Sin excepciones.
- Inventario y control de accesos de terceros, subsidiarias e IABs; monitoreo de marketplaces, leak sites y bots de Telegram que comercializan datos del Estado.
- Gestión de identidad y secretos: credenciales en repos, builds y archivos de configuración deben ser detectables y rotables.
- Endurecimiento de infraestructura compartida estatal (DNS, certificados, identidad federada) — un solo punto de falla afecta a múltiples organismos.
- Segmentación entre subsidiarias del mismo grupo. La confianza intra-org no se delega por organigrama.
- Planes de continuidad y respuesta probados — Paysandú demuestra el costo de no tenerlos.
Autor: David Pérez
