Brecha de datos de Ecopetrol de 2026

El impacto confirmado consiste en la descarga de archivos corporativos desde recursos de almacenamiento en la nube utilizados por aproximadamente 15 empresas del grupo, incluida Ecopetrol. La empresa indicó que la cifra de 3 300 correspondía al número de cuentas de usuario asociadas al acceso no autorizado, no al número de registros de identidad distintos que hubieran sido robados. Por tanto, la cifra de afectados en LeakData representa el alcance en términos de cuentas y no significa que se hayan expuesto datos personales de 3 300 personas.

Ecopetrol afirmó que seguía clasificando los archivos descargados y evaluando su criticidad; sus comunicados públicos no detallaron los campos específicos que contenían. Esta entrada no añade nombres, direcciones de correo electrónico, números de teléfono, números de identificación ni contraseñas como tipos de datos sin evidencia. La categoría de datos se limita a la confirmada: archivos corporativos almacenados en la nube.

Según la actualización del 20 de julio, las identidades de los usuarios asociados a las 3 300 cuentas no se vieron comprometidas y no se capturó ninguna credencial de acceso de los usuarios. La empresa tampoco detectó pérdida de integridad de la información, pese a los intentos del actor de destruir, eliminar o cifrar datos. Por ello, las contraseñas y los datos de identidad de los usuarios no se incluyen entre las categorías de datos.

Ecopetrol informó que no se habían visto comprometidas las soluciones tecnológicas transaccionales de su ecosistema digital, sus filiales ni su red de socios comerciales y financieros, proveedores y clientes. Las operaciones continuaron sin interrupciones. Estas conclusiones no restan importancia al incidente: se vulneró la confidencialidad de los archivos, mientras que el impacto comunicado sobre la integridad de los sistemas y los entornos transaccionales se mantuvo contenido.

El actor externo formuló exigencias extorsivas y amenazó con divulgar información extraída ilícitamente. Este patrón corresponde a la vertiente de robo de datos de la doble extorsión, en la que se roba información antes de exigir un pago, incluso cuando el cifrado no tiene éxito. La comunicación de Ecopetrol distingue con precisión entre el intento de ransomware que fue bloqueado y la descarga de archivos y la extorsión que sí ocurrieron.

La empresa no identificó al actor de amenazas, el malware ni el método de acceso inicial. No se ha publicado ninguna atribución confirmada a un grupo de ransomware conocido, por lo que esta entrada no especula sobre el nombre de un grupo, una vulnerabilidad o una técnica de intrusión. Una afirmación unilateral en un sitio de filtraciones no debería ampliar el contenido del registro a menos que la empresa o una fuente de investigación fiable la verifique.

Ecopetrol afirmó que revocó de inmediato el acceso no autorizado, bloqueó los mecanismos asociados a las descargas masivas e identificó y contuvo las tácticas, técnicas y procedimientos del actor. También buscó imponer restricciones a la infraestructura externa utilizada para almacenar o descargar la información. El plan de respuesta incluyó además la clasificación del material descargado y la evaluación de su criticidad.

La empresa presentó una denuncia penal ante el fiscal general de Colombia y colaboró con ColCERT, la dirección especializada en ciberdelincuencia, el Comando Cibernético Conjunto de las fuerzas armadas y las unidades de ciberdelincuencia de la policía nacional. Se movilizó a los equipos de seguros y mercados de capitales para gestionar los costos de investigación, remediación y cumplimiento normativo. Para el 20 de julio, la contención se encontraba en una fase avanzada, aunque la revisión de los archivos seguía en curso.

Dado que la empresa afirmó que no se habían capturado las identidades de los usuarios ni sus credenciales de acceso, este incidente no debe utilizarse para sostener que se robaron todas las contraseñas. Aun así, los equipos que intercambian archivos con Ecopetrol o sus filiales deberían revisar las descargas inusuales, los enlaces para compartir archivos, los eventos relacionados con dispositivos nuevos y las alertas de acceso, desactivar los enlaces públicos innecesarios y aplicar el principio de mínimo privilegio a las carpetas con información sensible.

Los datos auténticos de proyectos, proveedores o empleados contenidos en archivos corporativos podrían facilitar ataques de phishing dirigidos. Verifique por otros medios los mensajes que indiquen “pague para evitar la divulgación”, “vuelva a validar el acceso al documento” o “instale esta actualización de seguridad”. Los clientes y proveedores pueden tener en cuenta que no se detectó ningún compromiso de los sistemas transaccionales, sin dejar de actuar con cautela ante archivos adjuntos y enlaces inesperados enviados en nombre de Ecopetrol.

La cifra de 3 300 corresponde al número de cuentas de usuario que Ecopetrol vinculó con los datos descargados; no significa que se haya robado información de identidad de 3 300 personas. La empresa afirmó expresamente que las identidades y las credenciales de los usuarios no se vieron comprometidas.

Esta entrada abarca únicamente el incidente de descarga de archivos en la nube y extorsión comunicado en julio de 2026. No presenta el intento de ransomware bloqueado como un cifrado exitoso ni presupone que los campos no divulgados de los archivos contenían datos personales. Si Ecopetrol publica posteriormente las categorías de archivos, la fecha exacta de la intrusión u otros efectos verificados, el registro solo debería actualizarse para reflejar esa nueva evidencia oficial.