Nach Darstellung des kolumbianischen Justizministeriums traf der Ransomware-Angriff Teile der Technologieinfrastruktur und verschlechterte mehrere öffentliche Online-Dienste. Gestört wurden demnach unter anderem Angebote rund um die Beobachtung des illegalen Drogenhandels und juristische Abläufe. Die Bestätigung des Vorfalls erfolgte, nachdem ColCERT einen Tag zuvor eine Lagewarnung veröffentlicht hatte, wonach Ransomware-Gruppen ihr Augenmerk verstärkt auf das Land richten.
Cielo Rusinque, damals geschäftsführende Justizministerin, widersprach Medienberichten über einen möglichen Datenabfluss. In einem spanischsprachigen Interview sagte sie laut Übersetzung: „Einige Dateien wurden verschlüsselt. Wir arbeiten derzeit daran, diese Verschlüsselung zu überwinden, aber es wurde bereits überprüft, dass keine Daten abgeschöpft wurden. Das war das Erste, wonach ich gefragt habe.“ Rusinque schied im Zuge des Regierungswechsels in der vergangenen Woche aus dem Amt aus.
Der Angriff steht vor dem Hintergrund einer insgesamt angespannten Bedrohungslage in Kolumbien. Staatliche Behörden sowie staatlich unterstützte oder staatseigene Unternehmen sind dort nach Angaben im Quelltext wiederholt Ziel von Cyberangriffen geworden. Im März wurde die nationale Steuerbehörde Dirección de Impuestos y Aduanas Nacionales (DIAN) mutmaßlich kompromittiert; ein Hacker mit dem Alias „ArcRaidersPlayer“ behauptete, in die Behörde eingedrungen zu sein. Im Juli räumte zudem der größte Öl- und Gaskonzern des Landes, Ecopetrol SA, ein, dass bei einer Sicherheitsverletzung die IT-Netze von mehr als einem Dutzend Tochtergesellschaften kompromittiert wurden und wahrscheinlich Informationen zu mindestens 3.300 Nutzern offengelegt wurden.
Arturo Torres, Principal Strategist für Threat Intelligence in Lateinamerika bei FortiGuard Labs von Fortinet, beschreibt eine deutliche Verschiebung bei den Angriffsmustern. Im vergangenen Jahr hätten sich Ausnutzungsversuche von Schwachstellen mehr als verdreifacht. Angriffe auf das in Windows verbreitete Kommunikationsprotokoll Server Message Block (SMB) sowie auf bestimmte Geräte seien ebenfalls häufiger geworden. Für 2025 hebe sich in Kolumbien nicht nur das Volumen schädlicher Aktivitäten ab, sondern auch deren zunehmende Konzentration auf exponierte und potenziell verwundbare Infrastruktur. Die Telemetriedaten zeigten fortlaufende Aktivitäten zur Suche nach solchen Zielen, und Automatisierung ermögliche dies in erheblichem Maßstab, so Torres.
Nach Angaben von Fortinet spiegelt Kolumbien damit die Entwicklung in weiten Teilen Lateinamerikas. Zwar sei die Aufklärungsaktivität 2025 um mehr als 70 Prozent zurückgegangen, gleichzeitig stiegen Ausnutzungsversuche um 40 Prozent, Angriffe über Apache Log4j um 18 Prozent und Malware-Erkennungen um 42 Prozent. Torres spricht von einem zunehmend automatisierten und ausgereiften Bedrohungsökosystem, in dem Angreifer Infrastruktur scannen, verwundbare Dienste identifizieren, Ausnutzungsversuche starten, Malware verteilen, Botnet-Infrastruktur nutzen und Zugänge schließlich durch Ransomware oder andere Formen der Cyberkriminalität zu Geld machen.
Auch Santiago Rosenblatt, Mitgründer und CEO des auf KI-gestützte Penetrationstests spezialisierten Unternehmens Strike, sieht strukturelle Schwächen in der Region. Öffentliche und private Organisationen in Kolumbien hätten ihre Cloud-Nutzung schneller ausgeweitet, als sie ihr Sicherheitsmanagement für Cloud-Umgebungen aufgebaut hätten. Bei Ecopetrol sei genau ein solcher Fall eingetreten: Laut der Offenlegung des Unternehmens griffen die Angreifer auf Cloud-Speicherumgebungen zu, die nicht erreichbar hätten sein dürfen.
Noch schwerer wiegen aus Sicht Rosenblatts jedoch Geschäftsbeziehungen zu Dritten, darunter Managed Service Provider und Partner. Sie stellten das bedeutendste systemische Risiko dar. Die Aufmerksamkeit der Angreifer wachse in Kolumbien und der Region schneller als die defensive Reife der Organisationen.