Ciberataque contra Ecopetrol: la empresa coordina con la Fiscalía y el MinTIC el retiro de archivos filtrados

Ecopetrol activó acciones para retirar de internet información robada de 15 empresas de su grupo tras el ciberataque que sufrió la entidad el 17 de julio de 2026, mientras admitió que el impacto total del incidente sigue sin establecerse y que aún no puede descartar nuevas filtraciones, litigios o efectos sobre su operación y su situación financiera.

La compañía informó que trabaja con la Fiscalía General de la Nación y el Ministerio de Tecnologías de la Información y las Comunicaciones (MinTIC) para bajar el contenido publicado ilegalmente, restringir su acceso público y avanzar en las investigaciones. Al mismo tiempo, señaló que el alcance, los efectos y los costos del ataque continúan en evaluación.

La compañía petrolera indicó que, hasta ahora, no ha identificado afectaciones en las soluciones tecnológicas transaccionales de su ecosistema digital ni en las de sus subordinadas o de su red de socios comerciales y financieros, proveedores y clientes. Esa revisión abarca las plataformas que soportan sus operaciones y la infraestructura tecnológica vinculada con terceros.

Según la estatal petrolera, la información divulgada corresponde a datos copiados de manera ilegal durante el incidente de ciberseguridad registrado.

Las gestiones se realizan con la Unidad de Delitos Informáticos de la Fiscalía General de la Nación y con el MinTIC, mediante procedimientos de retiro de contenido en internet conocidos como take down y otras medidas para limitar el acceso de terceros.

La petrolera sostuvo que la extracción, publicación y uso indebido de información de propiedad del grupo empresarial vulneran las normas sobre protección y tratamiento de esa información.

En esa línea, advirtió: “Así como la actuación de los agentes externos infringen las regulaciones que protegen el tratamiento de la información de propiedad del Grupo Empresarial, los terceros que accedan a esta información también podrían estar actuando en contravía de las leyes y regulaciones aplicables”.

La respuesta de la empresa incluye la continuidad de las acciones legales contra el actor externo que señala como responsable del incidente. También mantendrá activos sus protocolos de respuesta para contener la difusión de los archivos y reducir los efectos derivados de su publicación no autorizada.

Ecopetrol confirmó que el incidente ocurrió el 17 de julio de 2026, cuando un actor externo intentó sustraer información de la compañía. Después, el grupo de ransomware The Gentlemen se atribuyó el ataque y publicó información relacionada con sus víctimas.

De acuerdo con el Grupo de Respuesta a Emergencias Cibernéticas de Colombia, ColCERT, esa estructura tenía actividad internacional y estaba vinculada con más de 200 ataques en 50 países hasta abril de 2026. Los reportes oficiales también le atribuyen cerca del 10% de los ataques de ransomware registrados en el mundo y la ubican entre los grupos con mayor actividad, después de Qilin.

Las autoridades explicaron que el grupo realiza tareas de reconocimiento previo de las redes objetivo, identifica vulnerabilidades y equipos conectados, accede mediante servicios de administración expuestos en internet o credenciales obtenidas ilícitamente, explora la red interna, extrae datos hacia servidores externos por canales cifrados y elimina registros antes de ejecutar el cifrado de la información.

ColCERT advirtió que “el grupo mantiene actividad de intrusión activa y confirmada, con capacidad demostrada de comprometer el dominio completo de una organización y desplegar el cifrado en cuestión de minutos una vez alcanzados privilegios de administrador de dominio”.

Los registros disponibles indican que la organización apareció a mediados de 2025, opera un sitio en la dark web y supera las 250 víctimas en distintos países, con casos reportados principalmente en Estados Unidos y Tailandia, además de India, México, España, Francia y Colombia. El grupo también se ha atribuido ataques contra BCN Medical y Canal Capital.

La empresa afirmó de forma expresa que todavía no puede determinar las consecuencias finales del incidente. En su actualización más reciente señaló: “No puede garantizarse que los esfuerzos de remediación de la Compañía sean efectivos, que no se divulgue información adicional o que el incidente no dé lugar a procedimientos regulatorios, iniciación de litigios, daños reputacionales u otros efectos adversos materiales sobre el negocio, la situación financiera y/o los resultados de operación de la Compañía”.

Ese reconocimiento dejó abierta la posibilidad de nuevas publicaciones de información y de actuaciones administrativas o judiciales derivadas del caso. Mientras tanto, Ecopetrol mantendrá la coordinación con las autoridades para retirar el material divulgado ilegalmente, restringir su acceso y avanzar en las investigaciones sobre el ciberataque.