Ecopetrol coordina con Fiscalía y MinTIC para retirar archivos robados tras ciberataque de julio

Ecopetrol activó procedimientos coordinados con la Fiscalía General de la Nación y el Ministerio de Tecnologías de la Información y las Comunicaciones (MinTIC) para retirar de internet datos robados correspondientes a 15 empresas de su grupo empresarial tras el ciberataque registrado el 17 de julio. La compañía adelanta gestiones mediante técnicas de retiro de contenido conocidas como take down y otras medidas para limitar el acceso público a la información divulgada ilegalmente.

Según la estatal petrolera, la información publicada fue copiada de manera ilícita durante el incidente de ciberseguridad. Aunque Ecopetrol ha avanzado en la revisión de sus sistemas transaccionales y plataformas operativas, reconoce expresamente que hasta ahora no ha podido establecer el alcance total del ataque ni sus consecuencias finales en términos de costos, afectaciones reputacionales o efectos sobre su operación y situación financiera.

Investigación en marcha con autoridades

Los esfuerzos de coordinación se realizan a través de la Unidad de Delitos Informáticos de la Fiscalía General de la Nación. Ecopetrol también mantiene activas sus acciones legales contra el actor externo responsable del incidente y continúa con protocolos de respuesta para contener la difusión de archivos y reducir efectos derivados de la publicación no autorizada. La compañía advirtió que los terceros que accedan a esta información podrían estar actuando en contravía de las leyes y regulaciones aplicables sobre protección de datos.

The Gentlemen: un grupo con alcance global

El grupo de ransomware The Gentlemen, que se atribuyó el ataque contra Ecopetrol, ha sido vinculado por el Grupo de Respuesta a Emergencias Cibernéticas de Colombia (ColCERT) con más de 200 ataques en 50 países. Según registros oficiales, la estructura es responsable de aproximadamente el 10% de los incidentes de ransomware reportados en el mundo y se ubica entre los grupos más activos después de Qilin. El colectivo opera desde mediados de 2025 y mantiene actividad confirmada en una plataforma de la dark web, con más de 250 víctimas documentadas principalmente en Estados Unidos, Tailandia, India, México, España, Francia y Colombia.

Las autoridades han documentado que el grupo realiza reconocimiento previo de redes objetivo, identifica vulnerabilidades y equipos conectados, accede mediante servicios expuestos en internet u credenciales obtenidas ilícitamente, explora infraestructuras internas, extrae datos hacia servidores externos cifrados y elimina registros antes de ejecutar el cifrado de información. ColCERT advirtió que The Gentlemen mantiene capacidad demostrada de comprometer dominios completos de organizaciones y desplegar cifrado en cuestión de minutos una vez alcanzan privilegios de administrador.

Incertidumbre sobre próximos pasos

Ecopetrol no descartó explícitamente la posibilidad de nuevas filtraciones de información, nuevos litigios, procesos regulatorios, daños reputacionales u otros efectos adversos materiales. En su comunicado más reciente manifestó que "no puede garantizarse que los esfuerzos de remediación de la Compañía sean efectivos, que no se divulgue información adicional o que el incidente no dé lugar a procedimientos regulatorios, iniciación de litigios". Mientras tanto, la estatal mantendrá la coordinación continua con autoridades para completar el retiro de material divulgado, restringir acceso y avanzar en las investigaciones sobre el incidente de ciberseguridad.