El panorama sobre el ciberataque sufrido por la empresa estatal Ecopetrol continúa arrojando detalles preocupantes sobre la magnitud de la filtración y la naturaleza de los datos que ahora se encuentran en manos de criminales informáticos. Según un análisis detallado conocido por el programa 6AM W de Caracol Radio, la información extraída por los atacantes ya ha sido publicada en la dark web, luego de que la compañía no accediera a negociar con los responsables del incidente.
El volumen de información comprometida es considerable. De acuerdo con los reportes técnicos, los delincuentes habrían logrado extraer cerca de un terabyte de datos, lo que equivale a un total de 327.095 archivos. Dentro de este masivo conjunto de datos, se han identificado 11 archivos clasificados como críticos y tres adicionales catalogados como de alto riesgo, lo que eleva la gravedad del incidente en términos de seguridad corporativa y nacional.
El desglose de la información robada revela que el ataque fue quirúrgico en ciertos aspectos. Entre los archivos comprometidos se encuentran 429 documentos relacionados directamente con credenciales y controles de acceso, elementos fundamentales para la seguridad de cualquier sistema informático. Asimismo, se reporta el robo de aproximadamente 64 gigabytes de información vinculada a operaciones financieras y del tesoro, sumado a 584 archivos que contienen registros de pagos realizados por la petrolera.
En una entrevista con Caracol Radio, Yefrin Garavito, investigador forense de la Unidad de Investigación de la Defensa y colaborador de la Fiscalía y la Policía Nacional, señaló que el grupo detrás de esta operación es conocido como "Gentleman". Este grupo de ciberdelincuentes se especializa en el desarrollo de ransomware focalizado, dirigiendo sus ataques contra empresas de alto flujo y valor estratégico. Garavito explicó que Gentleman cuenta con un historial de ataques a más de 300 organizaciones a nivel mundial, incluyendo diversas entidades en Latinoamérica y específicamente en Colombia.
El experto detalló que el ciberataque se ejecutó en dos fases bien diferenciadas. La primera etapa consistió en el robo masivo de información, logrando el acceso a través de credenciales y servicios en la nube de varios usuarios de la empresa. La segunda fase tenía como objetivo el cifrado de los sistemas de Ecopetrol para bloquear el acceso a la operatividad de la compañía y, posteriormente, exigir el pago de un rescate económico. No obstante, Garavito aseguró que esta segunda etapa fue frustrada gracias a que los mecanismos de ciberseguridad de Ecopetrol generaron alertas oportunas y bloquearon la activación del ransomware, evitando que el impacto fuera aún mayor.
A pesar de haber detenido el cifrado de los sistemas, la información ya había sido extraída. El investigador confirmó que los atacantes intentaron iniciar una negociación con la empresa, llegando incluso a publicar un cronómetro para presionar el contacto. Al no obtener respuesta por parte de Ecopetrol, el grupo decidió divulgar los archivos en la dark web con el objetivo primordial de causar un daño reputacional a la organización.
Si bien Garavito indicó que un ciudadano común difícilmente podría acceder a estos archivos, advirtió que el riesgo es real y latente para actores especializados en ciberataques. La preocupación radica en que la documentación filtrada incluye planos de infraestructura crítica, lo que podría servir como base para la planeación de nuevos ataques, ya sea en el entorno digital o físico. Por esta razón, el experto enfatizó que Ecopetrol no solo deberá reforzar sus protocolos de ciberseguridad, sino también intensificar la seguridad física de sus instalaciones.
Otro punto crítico mencionado por el investigador es la permanencia de los datos. Una vez que la información es publicada en la dark web, resulta prácticamente imposible eliminarla por completo, ya que cualquier usuario puede descargarla y volver a publicarla en otros sitios, replicando el patrón de grandes filtraciones internacionales.
Finalmente, sobre el origen del acceso, Garavito mencionó que las autoridades deben verificar la hipótesis del uso indebido de credenciales de un usuario con altos privilegios. El análisis forense será determinante para identificar la cuenta utilizada para el escalamiento de privilegios y determinar si el acceso se produjo por un descuido técnico o si existió una entrega deliberada de información por parte de alguien interno. Respecto al monto del rescate, no existe una cifra oficial ya que Ecopetrol, siguiendo protocolos legales y de cumplimiento, no inició conversaciones con los criminales, aunque en casos similares a nivel global las exigencias suelen oscilar entre los 250.000 y los 10 millones de dólares.
