{"id":180469,"date":"2026-08-10T12:51:51","date_gmt":"2026-08-10T15:51:51","guid":{"rendered":"https:\/\/www.itsitio.com\/co\/?p=180469"},"modified":"2026-08-10T12:51:51","modified_gmt":"2026-08-10T15:51:51","slug":"ciberataque-a-ecopetrol-que-datos-quedaron-expuestos","status":"publish","type":"post","link":"https:\/\/www.itsitio.com\/co\/seguridad\/ciberataque-a-ecopetrol-que-datos-quedaron-expuestos\/","title":{"rendered":"Ciberataque a Ecopetrol: qu\u00e9 datos quedaron expuestos"},"content":{"rendered":"

Un ciberataque a Ecopetrol<\/a><\/strong>, la compa\u00f1\u00eda m\u00e1s grande de Colombia y una de las principales empresas energ\u00e9ticas de Am\u00e9rica Latina, termin\u00f3 con informaci\u00f3n corporativa y de empleados publicada ilegalmente en Internet.<\/p>\n

El incidente comenz\u00f3 a conocerse p\u00fablicamente el 17 de julio de 2026, cuando la petrolera inform\u00f3 que un actor externo hab\u00eda obtenido acceso no autorizado a recursos digitales de la compa\u00f1\u00eda y de varias de sus subsidiarias<\/strong>. Los atacantes tambi\u00e9n intentaron ejecutar un ataque de ransomware<\/strong><\/a> para cifrar informaci\u00f3n, pero los sistemas de seguridad lograron bloquear esa etapa de la ofensiva.<\/p>\n

Sin embargo, impedir el cifrado no evit\u00f3 el robo de datos. Ecopetrol confirm\u00f3 que los responsables consiguieron descargar archivos asociados con aproximadamente 3.300 cuentas de usuario y 15 empresas del Grupo Ecopetrol<\/strong>.<\/p>\n

\"Ecopetrol
Ecopetrol confirm\u00f3 que un ciberataque permiti\u00f3 descargar archivos asociados con unas 3.300 cuentas de usuario y 15 empresas de su grupo.<\/figcaption><\/figure>\n

D\u00edas m\u00e1s tarde lleg\u00f3 una nueva preocupaci\u00f3n: el 27 de julio la compa\u00f1\u00eda reconoci\u00f3 oficialmente que parte de la informaci\u00f3n copiada ilegalmente hab\u00eda sido publicada por los atacantes.<\/p>\n

\u00bfQu\u00e9 pas\u00f3 en el ciberataque a Ecopetrol?<\/span><\/h2>\n

De acuerdo con la informaci\u00f3n presentada por Ecopetrol ante la Comisi\u00f3n de Bolsa y Valores de Estados Unidos (SEC), el incidente involucr\u00f3 el acceso no autorizado a entornos de almacenamiento de archivos basados en la nube.<\/p>\n

Los atacantes no solamente extrajeron informaci\u00f3n, sino que realizaron exigencias de extorsi\u00f3n y amenazaron con divulgar p\u00fablicamente los datos obtenidos<\/strong>. Ecopetrol tambi\u00e9n detect\u00f3 un intento de ransomware, aunque asegur\u00f3 que sus controles de ciberseguridad lograron impedir el cifrado de los sistemas.<\/p>\n

El 20 de julio, tras realizar nuevos an\u00e1lisis, la compa\u00f1\u00eda se\u00f1al\u00f3 que el impacto se hab\u00eda limitado \u201cexclusivamente a la descarga de archivos\u201d<\/strong> y que no hab\u00eda identificado alteraciones en la integridad de la informaci\u00f3n. Tambi\u00e9n sostuvo que las credenciales de acceso asociadas con los usuarios afectados no hab\u00edan sido capturadas.<\/p>\n

Ese escenario cambi\u00f3 parcialmente una semana despu\u00e9s, no porque se detectaran problemas operativos, sino porque los atacantes comenzaron a publicar los archivos robados.<\/p>\n

\"Los
Los sistemas de seguridad de la petrolera bloquearon el intento de cifrar informaci\u00f3n, pero no evitaron la extracci\u00f3n de archivos.<\/figcaption><\/figure>\n

Qu\u00e9 informaci\u00f3n de Ecopetrol habr\u00eda quedado expuesta<\/span><\/h2>\n

Determinar exactamente qu\u00e9 datos fueron comprometidos sigue siendo uno de los puntos m\u00e1s sensibles del incidente.<\/p>\n

Ecopetrol confirm\u00f3 la publicaci\u00f3n ilegal de informaci\u00f3n perteneciente a 15 empresas de su grupo, pero hasta el momento no ha detallado p\u00fablicamente el contenido completo de cada archivo divulgado.<\/p>\n

Investigaciones period\u00edsticas realizadas sobre muestras de los documentos publicados se\u00f1alan que entre la informaci\u00f3n podr\u00edan existir datos financieros y personales de empleados, documentos internos y datos relacionados con las operaciones petroleras<\/strong>.<\/p>\n

El grupo de ciberdelincuentes que se atribuy\u00f3 el ataque asegura haber obtenido alrededor de un terabyte de informaci\u00f3n y m\u00e1s de 327.000 archivos<\/strong>. Entre el material que dice poseer aparecen registros vinculados con campos petroleros, n\u00f3minas, informaci\u00f3n bancaria, datos m\u00e9dicos y biom\u00e9tricos de trabajadores y documentaci\u00f3n corporativa. Estas cifras y categor\u00edas provienen de los propios atacantes y no han sido confirmadas en su totalidad por Ecopetrol.<\/p>\n

Ecopetrol asegura que sus operaciones no fueron afectadas<\/span><\/h2>\n

Pese al volumen de informaci\u00f3n extra\u00edda, uno de los principales datos comunicados por la petrolera es que el ataque no provoc\u00f3 una interrupci\u00f3n cr\u00edtica de sus operaciones<\/strong>.<\/p>\n

La compa\u00f1\u00eda inform\u00f3 que no identific\u00f3 afectaciones en las soluciones tecnol\u00f3gicas transaccionales de Ecopetrol, sus subsidiarias ni en las utilizadas por su red de socios comerciales, entidades financieras, proveedores y clientes.<\/p>\n

Tampoco se informaron alteraciones significativas en la producci\u00f3n de hidrocarburos o en los servicios esenciales.<\/p>\n

El punto resulta especialmente relevante por el peso estrat\u00e9gico de la compa\u00f1\u00eda. Ecopetrol tiene m\u00e1s de 19.000 empleados<\/strong> y es responsable de m\u00e1s del 60% de la producci\u00f3n de hidrocarburos de Colombia<\/strong>, adem\u00e1s de tener presencia en transporte, refinaci\u00f3n, petroqu\u00edmica, gas, transmisi\u00f3n el\u00e9ctrica y otros negocios energ\u00e9ticos.<\/p>\n

\"Los
Los atacantes combinaron la extracci\u00f3n de informaci\u00f3n con amenazas de extorsi\u00f3n y un intento de ransomware que no logr\u00f3 cifrar los sistemas.<\/figcaption><\/figure>\n

The Gentlemen, el grupo que se atribuy\u00f3 el ataque<\/span><\/h2>\n

Aunque Ecopetrol inicialmente inform\u00f3 que el responsable era un actor externo todav\u00eda no identificado, el grupo de ransomware The Gentlemen<\/strong> se atribuy\u00f3 posteriormente el ciberataque y public\u00f3 informaci\u00f3n presuntamente extra\u00edda de la compa\u00f1\u00eda.<\/p>\n

The Gentlemen es una operaci\u00f3n de ransomware como servicio o RaaS<\/strong>, un modelo en el que los desarrolladores de herramientas maliciosas trabajan con afiliados encargados de infiltrarse en organizaciones y ejecutar los ataques.<\/p>\n

Seg\u00fan Check Point Research, el grupo apareci\u00f3 a mediados de 2025 y experiment\u00f3 un r\u00e1pido crecimiento durante 2026. Para abril ya hab\u00eda publicado m\u00e1s de 320 v\u00edctimas y se hab\u00eda convertido en uno de los grupos de ransomware m\u00e1s activos a nivel mundial.<\/p>\n

Una investigaci\u00f3n posterior de la compa\u00f1\u00eda de ciberseguridad indic\u00f3 que la organizaci\u00f3n super\u00f3 las 400 v\u00edctimas p\u00fablicas y que suele obtener el acceso inicial mediante dispositivos perimetrales sin actualizar o credenciales previamente comprometidas o adquiridas<\/strong>.<\/p>\n

C\u00f3mo habr\u00edan conseguido acceder a Ecopetrol<\/span><\/h2>\n

La investigaci\u00f3n sobre el punto de entrada sigue abierta.<\/p>\n

El acceso habr\u00eda comenzado a trav\u00e9s de un tercero que pose\u00eda privilegios de administrador<\/strong>. Una vez dentro del entorno, los atacantes habr\u00edan utilizado herramientas de seguridad y an\u00e1lisis como Kali Linux para avanzar sobre sistemas de tecnolog\u00eda de la informaci\u00f3n y obtener datos de funcionarios.<\/p>\n

Esta informaci\u00f3n todav\u00eda forma parte de una investigaci\u00f3n en etapa de indagaci\u00f3n y no constituye una conclusi\u00f3n definitiva sobre c\u00f3mo comenz\u00f3 el ataque.<\/p>\n

El caso vuelve a poner en primer plano un desaf\u00edo creciente para las grandes organizaciones: la seguridad ya no depende \u00fanicamente de proteger los sistemas propios, sino tambi\u00e9n de controlar los accesos privilegiados otorgados a proveedores, contratistas y otros integrantes de la cadena tecnol\u00f3gica.<\/p>\n

\"El
El caso evidencia los riesgos que representan los accesos privilegiados de proveedores, contratistas y otros terceros para las grandes organizaciones.<\/figcaption><\/figure>\n

Qu\u00e9 est\u00e1 haciendo Ecopetrol tras el ciberataque<\/span><\/h2>\n

Tras confirmarse la divulgaci\u00f3n de los archivos, Ecopetrol activ\u00f3 nuevos protocolos y comenz\u00f3 a trabajar junto con la Fiscal\u00eda General de la Naci\u00f3n y el Ministerio de Tecnolog\u00edas de la Informaci\u00f3n y las Comunicaciones (MinTIC)<\/strong> para intentar retirar el contenido publicado y restringir su acceso.<\/p>\n

La compa\u00f1\u00eda tambi\u00e9n inici\u00f3 acciones legales contra los responsables y mantiene las tareas de investigaci\u00f3n y monitoreo de sus sistemas.<\/p>\n

El alcance total del ciberataque a Ecopetrol<\/strong>, sus costos y las consecuencias de la exposici\u00f3n de informaci\u00f3n todav\u00eda no est\u00e1n definidos. Lo que s\u00ed est\u00e1 confirmado es que los atacantes consiguieron superar una primera barrera de seguridad, descargar miles de archivos y convertir un intento fallido de ransomware en un incidente de exposici\u00f3n de datos que contin\u00faa generando riesgos semanas despu\u00e9s del acceso inicial.<\/p>\n

Preguntas frecuentes<\/span><\/h3>\n
    \n
  1. \u00bfCu\u00e1ntas cuentas fueron afectadas por el ciberataque a Ecopetrol? <\/strong>Ecopetrol inform\u00f3 que los atacantes descargaron ilegalmente archivos asociados con aproximadamente 3.300 cuentas de usuario<\/strong> pertenecientes a 15 empresas del grupo.<\/span><\/li>\n
  2. \u00bfQu\u00e9 informaci\u00f3n fue filtrada de Ecopetrol? <\/strong>La empresa confirm\u00f3 la publicaci\u00f3n de informaci\u00f3n robada, aunque no detall\u00f3 todo su contenido. Investigaciones sobre muestras filtradas identificaron documentos corporativos, datos financieros y personales de empleados e informaci\u00f3n vinculada con operaciones petroleras.<\/li>\n
  3. \u00bfQui\u00e9n est\u00e1 detr\u00e1s del ataque a Ecopetrol? <\/strong>El grupo de ransomware The Gentlemen<\/strong> se atribuy\u00f3 p\u00fablicamente el ataque. Sin embargo, las investigaciones oficiales sobre los responsables y sobre la forma exacta en que se produjo la intrusi\u00f3n contin\u00faan abiertas.<\/span><\/li>\n<\/ol>\n","protected":false},"excerpt":{"rendered":"

    Permiti\u00f3 la extracci\u00f3n de archivos vinculados a unas 3.300 cuentas de usuario de 15 empresas del grupo. Parte de la informaci\u00f3n ya fue publicada y podr\u00eda incluir datos sensibles de empleados y del negocio petrolero.<\/p>\n","protected":false},"author":229,"featured_media":180472,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"default","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"set","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[20],"tags":[506],"class_list":["post-180469","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-seguridad","tag-ecopetrol"],"_links":{"self":[{"href":"https:\/\/www.itsitio.com\/co\/wp-json\/wp\/v2\/posts\/180469","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.itsitio.com\/co\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.itsitio.com\/co\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/co\/wp-json\/wp\/v2\/users\/229"}],"replies":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/co\/wp-json\/wp\/v2\/comments?post=180469"}],"version-history":[{"count":2,"href":"https:\/\/www.itsitio.com\/co\/wp-json\/wp\/v2\/posts\/180469\/revisions"}],"predecessor-version":[{"id":180471,"href":"https:\/\/www.itsitio.com\/co\/wp-json\/wp\/v2\/posts\/180469\/revisions\/180471"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/co\/wp-json\/wp\/v2\/media\/180472"}],"wp:attachment":[{"href":"https:\/\/www.itsitio.com\/co\/wp-json\/wp\/v2\/media?parent=180469"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.itsitio.com\/co\/wp-json\/wp\/v2\/categories?post=180469"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.itsitio.com\/co\/wp-json\/wp\/v2\/tags?post=180469"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}