La escena lo dice todo. El 17 de julio de 2026, actores externos penetraron los sistemas del Grupo Ecopetrol y extrajeron información de manera ilegal. Diez días después, el 27 de julio, esa información apareció publicada en internet. La empresa lo confirmó desde Bogotá en un comunicado que, entre líneas, reconoce que el daño todavía no tiene fondo conocido.
Los archivos divulgados corresponden a 15 empresas pertenecientes al Grupo Ecopetrol. La compañía trabaja con la Unidad de Delitos Informáticos de la Fiscalía General de la Nación y con el Ministerio de Tecnologías de la Información y las Comunicaciones (MinTIC) para ejecutar procesos de take down —eliminación de contenido de internet— y restringir el acceso de terceros al material filtrado.
El responsable declarado es el grupo de ransomware The Gentlemen, que se atribuyó el ataque y publicó información relacionada con sus víctimas. Según el Grupo de Respuesta a Emergencias Cibernéticas de Colombia (ColCERT), esta organización había sido identificada como una estructura con actividad internacional vinculada a más de 200 ataques en 50 países hasta abril de 2026. Los reportes oficiales señalan que The Gentlemen concentra cerca del 10 % de los ataques de ransomware registrados en el mundo y se ubica entre los grupos de mayor actividad, después de Qilin.
Ecopetrol precisó que, hasta el momento, no ha identificado compromisos ni afectaciones en las soluciones tecnológicas transaccionales de su ecosistema digital. Las revisiones realizadas tampoco evidencian impactos en las plataformas de sus empresas subordinadas ni en los sistemas de su red de socios comerciales y financieros, proveedores y clientes. Es, en otras palabras, la distinción entre información robada y operaciones interrumpidas: por ahora, solo lo primero.
Pero la empresa fue cuidadosa —y honesta— al trazar los límites de esa certeza. En su comunicado advirtió que «el alcance total, el impacto y los costos de este incidente de ciberseguridad aún son inciertos» y que «no puede garantizarse que los esfuerzos de remediación sean efectivos, que no se divulgue información adicional o que el incidente no dé lugar a procedimientos regulatorios, iniciación de litigios, daños reputacionales u otros efectos adversos materiales sobre el negocio, la situación financiera y/o los resultados de operación».
La compañía también advirtió que tanto la extracción como la difusión de información perteneciente al Grupo Empresarial pueden representar incumplimientos frente a las normas de protección y tratamiento de datos. Fue más lejos: señaló que los terceros que accedan al contenido publicado por los atacantes «también podrían estar actuando en contravía de las leyes y regulaciones aplicables».
Las medidas actuales, según Ecopetrol, se concentran en contener la divulgación, fortalecer los controles de seguridad y continuar el análisis técnico del incidente. La compañía indicó que continuará las acciones legales contra el actor externo señalado como responsable.
Los detalles cuentan la historia. Ecopetrol es la empresa más grande de Colombia y una de las principales productoras de petróleo de América Latina. Su estructura accionaria tiene al Estado colombiano como principal propietario, lo que convierte cualquier daño reputacional o financiero en un problema que trasciende la sala de juntas y llega directamente al erario y a los mercados de deuda soberana.
Para Hemisferio, el episodio ilustra una vulnerabilidad que los gobiernos latinoamericanos han tardado demasiado en tomar en serio: la infraestructura crítica en manos del aparato estatal opera con estándares de ciberseguridad que el sector privado competitivo difícilmente toleraría. The Gentlemen no eligió a Ecopetrol por casualidad; eligió un blanco grande, con información valiosa y con la complejidad burocrática que dificulta la respuesta rápida. Mientras el alcance del robo permanezca incierto, los accionistas minoritarios, los socios comerciales y los contribuyentes colombianos comparten una misma incertidumbre: cuánto costará, en definitiva, este descuido.
