Ecopetrol confirma acceso no autorizado y extracción de información
Ecopetrol informó que identificó un acceso no autorizado a determinados recursos digitales de la compañía y de varias de sus filiales. El incidente fue atribuido a un actor externo cuya identidad no había sido establecida públicamente al momento de divulgarse el comunicado.
De acuerdo con la información publicada por la empresa el 17 de julio de 2026, el acceso afectó entornos de almacenamiento de archivos en la nube pertenecientes a aproximadamente 15 compañías del Grupo Ecopetrol, incluida la empresa matriz. Como resultado, se produjo la descarga no autorizada de información asociada con cerca de 3.300 cuentas de usuario. importante precisar que esta cifra no significa necesariamente que se hayan robado 3.300 contraseñas o credenciales. La comunicación señala que los datos descargados estaban asociados a esas cuentas, pero todavía no se ha informado públicamente qué tipo de archivos fueron sustraídos ni si contenían claves de acceso.
El intento de ransomware fue bloqueado, pero los datos sí fueron extraídos
Durante el incidente, los atacantes también intentaron ejecutar un ataque de ransomware. Según Ecopetrol, sus controles de ciberseguridad consiguieron bloquear esa acción, evitando que el software malicioso cifrara o inutilizara los sistemas afectados.
Sin embargo, bloquear el ransomware no impidió la extracción previa de información. Posteriormente, el actor responsable formuló exigencias de extorsión y amenazó con divulgar públicamente los archivos obtenidos ilegalmente. esta razón, el evento no debe interpretarse únicamente como un intento fallido de ransomware. La pérdida de control sobre archivos corporativos constituye por sí misma un incidente relevante para la confidencialidad de la información.
Este tipo de modalidad suele conocerse como extorsión basada en exfiltración de datos: los atacantes no dependen exclusivamente del cifrado de los sistemas, sino que utilizan la amenaza de publicar, vender o utilizar información sustraída para presionar a la organización afectada.
¿Se afectaron las operaciones de Ecopetrol?
Hasta la fecha del comunicado, Ecopetrol indicó que no había identificado:
- Interrupciones materiales en sus operaciones críticas.
- Afectaciones relevantes a su capacidad de producción.
- Interrupciones de servicios esenciales.
- Impactos financieros directos que le impidieran continuar sus actividades.
- Publicación de la información extraída.
La compañía continúa evaluando el alcance y las posibles consecuencias del incidente. También advirtió que todavía no puede garantizar que el evento no llegue a producir efectos adversos sobre su negocio, reputación, resultados operacionales o situación financiera. ahora, no se ha informado públicamente que el acceso haya comprometido plantas, refinerías, oleoductos, equipos industriales o sistemas de tecnología operacional. El alcance divulgado se concentra en entornos de almacenamiento documental en la nube.
No obstante, la ausencia de una interrupción operativa inmediata no elimina los riesgos posteriores relacionados con fraude, suplantación, espionaje corporativo, exposición de información reservada o ataques dirigidos contra trabajadores y proveedores.
¿Qué información pudo quedar expuesta?
Ecopetrol inició una evaluación detallada para establecer la naturaleza y criticidad de los archivos descargados. La empresa reconoció que la información podría incluir datos:
- Confidenciales.
- Restringidos.
- De propiedad empresarial.
- Personales.
A 18 de julio de 2026 no se habían divulgado públicamente los nombres de las compañías afectadas, el volumen total de archivos descargados, la identidad del atacante ni el valor económico de la extorsión.
Tampoco se había confirmado si los documentos incluyen información de trabajadores, contratistas, proveedores, clientes, inversionistas u otros grupos de interés. as precisiones son relevantes porque el nivel de impacto dependerá, entre otros factores, de la clasificación de los archivos, su actualidad, la existencia de datos personales, la presencia de información contractual o financiera y la posibilidad de utilizar esos documentos para cometer fraudes.
Acciones adoptadas por Ecopetrol
La compañía informó que activó sus protocolos de respuesta y gestión de incidentes e inició una investigación. Entre las medidas reportadas se encuentran:
- Revocar inmediatamente los accesos no autorizados.
- Bloquear los mecanismos utilizados para realizar descargas masivas.
- Analizar y contener las tácticas, técnicas y procedimientos empleados por el atacante.
- Reforzar el monitoreo de la infraestructura tecnológica.
- Identificar infraestructuras externas utilizadas para almacenar o descargar información.
- Evaluar detalladamente los archivos sustraídos.
- Activar mecanismos de apoyo con aseguradoras y equipos especializados.
- Presentar una denuncia penal ante la Fiscalía General de la Nación.
- Coordinar acciones con autoridades nacionales especializadas. petrol señaló que continuará monitoreando el caso y divulgará nueva información al mercado cuando identifique hechos materiales que deban ser informados.
Riesgos para trabajadores, proveedores y contratistas
Mientras se determina el contenido exacto de los archivos extraídos, las personas y empresas relacionadas con el Grupo Ecopetrol deberían reforzar sus controles frente a posibles intentos de ingeniería social.
Los documentos sustraídos podrían ser utilizados para elaborar comunicaciones fraudulentas con información real, nombres de responsables, referencias contractuales, números de procesos o datos internos que aumenten la credibilidad del engaño.
Entre las señales de alerta se encuentran:
- Solicitudes inesperadas de cambio de cuentas bancarias.
- Órdenes urgentes de pago o transferencia.
- Enlaces para restablecer contraseñas.
- Archivos adjuntos no solicitados.
- Mensajes que pidan validar credenciales.
- Comunicaciones enviadas desde dominios similares al legítimo.
- Solicitudes de información reservada por canales no habituales.
- Llamadas o mensajes que utilicen datos internos para generar confianza.
Cualquier solicitud relacionada con pagos, credenciales, información contractual o modificación de proveedores debe verificarse mediante un canal independiente y previamente conocido.
Hasta el momento no existe confirmación pública de que contraseñas o credenciales hayan sido divulgadas. Por tanto, no debe afirmarse que las 3.300 cuentas fueron tomadas o controladas directamente por los atacantes.
¿Qué enseña este incidente a las organizaciones?
El caso demuestra que impedir el cifrado de sistemas no siempre significa que un ataque haya sido completamente contenido. Una organización puede mantener su operación y, al mismo tiempo, enfrentar una pérdida significativa de confidencialidad.
Desde la perspectiva de un Sistema de Gestión de Seguridad de la Información basado en ISO/IEC 27001:2022, las organizaciones deberían revisar especialmente:
1. Clasificación de la información
Los archivos deben clasificarse según su sensibilidad, criticidad y restricciones de uso. Esto permite establecer controles proporcionales y conocer rápidamente qué información puede estar comprometida durante un incidente.
2. Gestión de accesos
Los permisos sobre repositorios en la nube deben limitarse según las funciones de cada usuario. También deben revisarse periódicamente los accesos privilegiados, cuentas inactivas y autorizaciones otorgadas a terceros.
3. Prevención de descargas masivas
Las organizaciones necesitan reglas de monitoreo que permitan identificar volúmenes inusuales de consulta, sincronización o descarga de archivos.
4. Monitoreo y trazabilidad
Los registros de actividad deben conservar información suficiente para determinar quién accedió, desde dónde, en qué momento y qué archivos fueron consultados o descargados.
5. Gestión de incidentes
No basta con disponer de herramientas tecnológicas. Se requieren procedimientos, responsables, criterios de escalamiento, canales de comunicación, preservación de evidencias y ejercicios periódicos de respuesta.
6. Protección de servicios en la nube
El uso de almacenamiento en la nube no transfiere completamente la responsabilidad al proveedor. La organización debe configurar accesos, autenticación, registros, alertas, cifrado y mecanismos de recuperación de acuerdo con sus propios riesgos.
7. Preparación frente a extorsión digital
Los planes de respuesta deben contemplar escenarios en los que los atacantes sustraen información sin interrumpir los sistemas. También deben definir cómo actuar frente a amenazas de publicación, contacto con autoridades, aseguradoras, clientes y titulares de datos.
8. Gestión de terceros
Los proveedores tecnológicos, contratistas y aliados con acceso a información deben estar incluidos en la evaluación de riesgos y en los requisitos contractuales de seguridad.
Continuidad operativa no significa ausencia de impacto
Uno de los aspectos más relevantes del incidente es que Ecopetrol reportó continuidad de sus operaciones críticas, aunque confirmó una descarga no autorizada de información.
Esto evidencia la diferencia entre las principales propiedades de la seguridad de la información:
- Disponibilidad: los servicios y sistemas pueden continuar funcionando.
- Integridad: la información debe mantenerse completa y sin modificaciones no autorizadas.
- Confidencialidad: únicamente las personas autorizadas pueden acceder a ella.
Una organización puede conservar la disponibilidad de sus operaciones y, aun así, sufrir una afectación grave de confidencialidad.