Hay noticias de ciberseguridad que un ejecutivo lee y archiva mentalmente en la carpeta "esto le pasa a otros". El ciberespionaje entre Estados suele ser una de ellas: suena a película, a cancillerías, a algo muy lejos del ERP de una distribuidora en Asunción. Julio de 2026 nos dejó una razón concreta para sacarlo de esa carpeta.
Lo que ocurrió está documentado en fuentes públicas. El 10 de julio, los gobiernos de Paraguay y Estados Unidos publicaron una declaración conjunta informando sobre "múltiples actores de amenaza vinculados al gobierno chino" que habrían infiltrado sistemas del Estado paraguayo. El 13 de julio, el ministro del MITIC, Gustavo Villate, presentó la denuncia formal. El 14 de julio, la Fiscalía abrió una causa penal, a cargo de la agente fiscal Irma Llano. Las autoridades identificaron al grupo de ciberespionaje conocido como Flax Typhoon, ya detectado en una revisión previa realizada en 2024, cuando se sustrajo información de la Cancillería. El director general de Ciberseguridad del MITIC, Pedro Martínez, confirmó que hubo exfiltración de datos. Por su parte, el consulado chino en São Paulo expresó su "profunda insatisfacción" y calificó las acusaciones de "infundadas y contrarias a los hechos".
Hasta ahí, la crónica. Lo que me interesa como responsable de tecnología es la pregunta siguiente: ¿por qué debería importarle esto a una empresa privada paraguaya?
El dato que cambia la conversación
El CERT-PY —el equipo nacional de respuesta a incidentes— publica estadísticas que rara vez llegan a los titulares, y que dicen mucho más sobre el riesgo cotidiano que cualquier atribución geopolítica. En lo que va de 2026 recibió 1.221 reportes y gestionó 446 como incidentes verdaderos. Acumulando desde enero de 2023, la cuenta llega a 8.309 reportes y 4.109 incidentes gestionados.
Pero el número que debería mover a un directorio es la distribución por sector:
El 47,98% de los incidentes gestionados este año corresponde al sector privado o empresarial —218 casos— frente al 38,34% del Estado paraguayo. Leído en frío: las empresas paraguayas ya reportan más incidentes que las instituciones públicas. El ciberataque dejó de ser un problema de "los organismos del Estado" hace rato.
La atribución a un Estado ocupa el titular. La estadística del CERT-PY explica tu semana laboral.
Por qué una empresa privada entra en el radar de un actor estatal
Existe una intuición cómoda: "somos una empresa mediana en Paraguay, no tenemos nada que un gobierno extranjero quiera". Es un razonamiento comprensible y peligroso, porque asume que el objetivo final es uno mismo. En el espionaje moderno, muchas veces no lo es. Tres motivos por los que una compañía privada aparece en la trayectoria de un actor sofisticado:
- Sos un peldaño, no el destino. Si tu empresa provee servicios, software, logística o infraestructura a una entidad pública o a una corporación mayor, sos un camino de entrada más blando hacia ese objetivo. Es la lógica de cadena de suministro que ya vimos en incidentes globales.
- Tu infraestructura vale por sí misma. Grupos de este perfil son conocidos por comprometer equipos de red y dispositivos expuestos a internet para usarlos como plataforma desde la cual operar. En ese esquema, tu servidor no es el botín: es la herramienta.
- Tu información tiene valor económico o estratégico. Contratos, licitaciones, precios, propiedad intelectual, datos de clientes, correspondencia con el sector público. No hace falta ser un objetivo militar para tener algo que valga la pena copiar.
Y hay un detalle técnico con consecuencia de gestión: la exfiltración de datos —copiar información sin alterarla— es, por diseño, silenciosa. A diferencia del ransomware, que te avisa con una pantalla de rescate, el espionaje busca no ser notado. Una organización puede estar comprometida durante meses sin ninguna señal evidente en la operación diaria. La ausencia de incidentes visibles no es prueba de que no haya ocurrido nada; con frecuencia es solo ausencia de capacidad de detección.
La pregunta de gobernanza dejó de ser "¿nos atacaron?" y pasó a ser "si nos hubieran comprometido hace seis meses, ¿cómo nos enteraríamos hoy?". Si la respuesta honesta es "no lo sabríamos", ahí está el hallazgo — y no hace falta ningún incidente para actuar sobre él.
Qué hacer con esto: cinco movimientos concretos
No propongo comprar tecnología nueva. Propongo cinco decisiones de gestión que en su mayoría no requieren presupuesto adicional, solo criterio y disciplina:
- Inventariá y cerrá tu superficie expuesta. Firewalls, VPN, cámaras, servidores de correo, paneles de administración accesibles desde internet. Todo lo que responde desde afuera es una puerta. Si no sabés cuántas puertas tenés, no podés cuidarlas: empezá por la lista.
- Parcheá los bordes primero. Los dispositivos perimetrales sin actualizar son la vía de entrada preferida de los actores sofisticados, porque suelen estar fuera de los ciclos de parcheo pensados para servidores y estaciones de trabajo.
- Guardá y revisá registros. Sin logs conservados durante un plazo razonable, una investigación posterior es imposible: no se puede reconstruir lo que nadie registró. Es lo más barato que podés hacer hoy con el mayor impacto futuro.
- Asumí la brecha en tu diseño. Segmentá la red, aplicá privilegio mínimo y exigí segundo factor, especialmente en accesos remotos y cuentas administrativas. Es la lógica de Zero Trust: partir de que el atacante ya podría estar adentro.
- Sabé a quién llamar antes de necesitarlo. Paraguay tiene un CERT nacional que recibe y gestiona reportes. Tener identificado el canal de contacto, el responsable interno y el procedimiento —antes del incidente— ahorra horas críticas cuando el reloj corre en contra.
La lectura de fondo
Que Paraguay atribuya formalmente una campaña de ciberespionaje a actores vinculados a otro Estado, coordine el anuncio con un socio internacional y lleve el caso a la Fiscalía marca un cambio de época: el país entró de lleno en un tablero donde antes se asumía espectador. Para las empresas, la consecuencia práctica no es alarmarse, sino actualizar el modelo mental de amenaza. Durante años, la ciberseguridad local se pensó frente al fraude, al ransomware oportunista y al error interno. Todo eso sigue vigente, pero ya no describe el mapa completo.
La buena noticia es que las medidas que protegen contra un actor sofisticado son, en su enorme mayoría, las mismas que protegen contra todo lo demás: superficie de exposición controlada, parches al día, credenciales fuertes, segmentación, registros y un plan de respuesta ensayado. No hay una defensa exótica reservada para el ciberespionaje. Hay higiene básica hecha en serio, sostenida en el tiempo y con respaldo del directorio — que es, casualmente, la parte que suele fallar.
Para llevar
- En julio de 2026 Paraguay atribuyó públicamente a actores vinculados al Estado chino la infiltración de sistemas públicos; hay causa penal abierta y exfiltración de datos confirmada.
- El CERT-PY gestionó 446 incidentes en lo que va de 2026: el 47,98% del sector privado, por encima del 38,34% del Estado.
- Una empresa privada entra en el radar como peldaño hacia otro objetivo, como infraestructura útil o por el valor de su información.
- El espionaje es silencioso: no ver incidentes puede significar falta de detección, no ausencia de ataque.
- La defensa no es exótica: superficie controlada, parches en el borde, logs, segmentación, MFA y un plan de respuesta conocido.
Si algo deja este episodio es que la conversación sobre ciberseguridad en Paraguay maduró de golpe. La pregunta que le haría hoy a cualquier directorio no es cuánto invertimos en seguridad, sino algo más incómodo y más útil: ¿cuánto tardaríamos en darnos cuenta? Ese número —y no el presupuesto— es el que mejor describe la exposición real de una organización.
Nota: este análisis se basa exclusivamente en información pública reportada por medios de prensa a julio de 2026 (Infobae, Última Hora) y en las estadísticas allí atribuidas al CERT-PY. La investigación judicial está en curso y las atribuciones son las formuladas por las autoridades; China rechazó públicamente las acusaciones. Las opiniones son personales y no representan la posición de ninguna institución.