Ataque hacker al Puerto de Santos: qué pasó y qué pueden aprender las empresas.

La semana pasada, el Puerto de Santos, el más grande de América Latina, fue noticia por un motivo que no tiene nada que ver con récords de movimiento de carga. Un ciberataque afectó los sistemas administrativos de la Autoridad Portuaria de Santos (APS), la empresa pública que administra el puerto. Los sistemas de protocolo y de gestión, la intranet y el sitio institucional quedaron fuera de servicio, la Policía Federal de Brasil abrió una investigación y la recuperación de los datos sigue en curso.

Al mismo tiempo, según la APS, la entrada y salida de buques, el movimiento de cargas y los accesos terrestres siguieron funcionando. Ese contraste es lo que hace que el caso sea tan instructivo: muestra, casi en tiempo real, lo que separa un incidente grave de una paralización.

En este post, reunimos lo que se sabe hasta ahora, con base en la información divulgada por la APS y por la prensa brasileña, y las lecciones prácticas de continuidad del negocio que sirven para empresas de cualquier tamaño y sector.

Qué pasó

La cronología a continuación se elaboró a partir de reportajes publicados entre el 10 y el 13 de noviembre de 2026.

• Viernes 6 de noviembre: un corte de energía tumba los servidores de la APS. Los sistemas administrativos vuelven por la noche, pero se caen de nuevo. Según Gazeta do Povo, la APS tiene dos centros de datos: cuando el primero se detuvo, el segundo asumió la carga, pero también se cayó.
• Sábado 7 de noviembre, alrededor de las 3 h: el equipo identifica un virus en la red. Según la investigación interna de la APS, el código malicioso ya estaba instalado antes del corte de energía y se activó cuando los servidores se reiniciaron. Todavía no se sabe cuándo ni cómo entró.
• En los días siguientes: un grupo que se presenta como autor del ataque contacta a la APS por correo electrónico y le indica que lo busque para recuperar los datos. La APS no respondió. Según el presidente de la autoridad portuaria, Anderson Pomini, el contacto no llegó a plantear exigencias y no hubo ningún pago.
• Lunes 9 de noviembre: se restablecen internet, el correo electrónico y la telefonía.
• Martes 10 de noviembre: la APS confirma públicamente que sufrió un ciberataque e informa que activó su plan de contingencia. La Policía Federal abre una investigación.
• Jueves 12 de noviembre: el equipo de tecnología informa que recuperó cerca del 70% de las copias de seguridad de los archivos afectados.
• Viernes 13 de noviembre: el sitio de la APS vuelve a estar en línea durante la madrugada. Otros sistemas siguen en recuperación.

A lo largo de la semana, la comisión estatal responsable de la seguridad pública en los puertos (Cesportos) también elevó al nivel 2, en una escala de 3, la protección de los accesos al puerto, con más control de entrada e inspecciones.

Qué se detuvo y qué siguió funcionando

Según la APS y los reportajes, resultaron afectados:

• El sistema de protocolo, usado para recibir solicitudes.
• El sistema de trámite de documentos internos y la herramienta de gestión administrativa.
• El sitio institucional, la intranet y la atención en línea.
• Servidores con información sobre buques, clientes, solicitudes de atraque y pagos. La APS todavía no sabe si los atacantes accedieron a esos datos.

Siguieron funcionando:

• La entrada y salida de buques, el movimiento de cargas y los accesos terrestres.
• Porto Sem Papel ("Puerto Sin Papel"), sistema del gobierno federal brasileño que conecta a los agentes marítimos con organismos como la Receita Federal, la Policía Federal, la Marina y la Anvisa. No fue afectado y pasó a usarse, junto con teléfonos móviles y correo electrónico, para intercambiar documentos y autorizar embarcaciones.
• Las operaciones de las terminales. Las empresas consultadas por la prensa reportaron, como máximo, lentitud puntual.

Esto no significa que el incidente haya sido menor. Los procesos administrativos se volvieron más lentos, la liberación de buques pasó a depender de correos electrónicos y la recuperación completa todavía no terminó. Pero el núcleo de la operación siguió en pie.

Lo que todavía no se sabe

• Cómo y cuándo entró el virus en la red.
• Si hubo acceso, copia o filtración de datos. Hasta la publicación de este post, la APS no había confirmado ninguno de esos escenarios.
• Quién está detrás del ataque. El caso tiene características de ransomware, el tipo de ataque en el que los delincuentes bloquean o cifran los datos y cobran para devolverlos, pero esto no se confirmó oficialmente.
• El tamaño del perjuicio. No se divulgó ninguna estimación de pérdidas económicas.

La información de este post refleja lo divulgado hasta el 13 de noviembre de 2026. La investigación está a cargo de la Policía Federal, y nuevos hechos pueden cambiar parte de este panorama.

Lecciones para empresas de cualquier tamaño

No hace falta operar un puerto para estar expuesto al mismo tipo de riesgo. Hospitales, notarías y registros, gobiernos municipales, escuelas y empresas de servicios dependen de sistemas administrativos que, cuando se detienen, paralizan la atención, la facturación y la comunicación. Sin entrar a juzgar las decisiones tomadas en Santos, que siguen bajo investigación, el caso ilustra bien seis principios de continuidad del negocio.

1. El atacante puede estar ya dentro

Quizás el detalle más importante del caso sea este: según la APS, el código malicioso ya estaba en la red antes del corte de energía. Los ataques de este tipo suelen tener una fase silenciosa, en la que el atacante entra, explora el entorno y prepara el terreno antes de actuar. Cuanto antes se detecta esa presencia, menor es el daño.

• Monitoree servidores y estaciones de trabajo con herramientas de detección y respuesta (EDR) y centralice los registros de actividad (logs), para identificar comportamientos extraños antes de que se conviertan en una crisis.
• Revise con frecuencia las cuentas de acceso, sobre todo las administrativas y las de proveedores.
• Mantenga todo actualizado. Las fallas conocidas y no corregidas siguen entre las puertas de entrada más usadas. En noviembre, por segundo mes consecutivo, Microsoft corrigió más de mil fallas de una sola vez, y la CISA, agencia de ciberseguridad de Estados Unidos, alertó sobre ataques activos contra una falla en el núcleo de WordPress. En octubre, hablamos aquí en el blog sobre PHP2Shell, las fallas críticas de PHP, que empezaron a ser explotadas en pocas horas.

2. Una copia de seguridad solo vale si la restauración está probada

La recuperación de cerca del 70% de las copias de seguridad muestra que había respaldo, y eso marca toda la diferencia. Sin copias, la única salida sería negociar con delincuentes, sin ninguna garantía. Al mismo tiempo, el caso muestra que restaurar entornos completos lleva días, incluso con las copias disponibles.

• Siga la regla 3-2-1: tres copias de los datos, en dos tipos de soporte diferentes, con una de ellas fuera del entorno principal. Al menos una copia debe estar desconectada o ser inmutable, fuera del alcance de quien invada la red.
• Pruebe la restauración con regularidad y mida el tiempo real que lleva volver a poner en línea cada sistema.
• Defina, para cada sistema, cuánto tiempo puede estar detenido y cuántos datos la empresa acepta perder. Son los indicadores conocidos como RTO (Recovery Time Objective) y RPO (Recovery Point Objective), y orientan cuánto invertir en copias de seguridad y redundancia.
• Decida de antemano el orden de recuperación. En Santos, la comunicación (internet, correo electrónico y telefonía) volvió primero, una decisión que tiene sentido: sin comunicación, nada más se puede coordinar.

3. La redundancia debe ser independiente

Según Gazeta do Povo, cuando el primer centro de datos se cayó, el segundo asumió la carga y también se detuvo. Las causas todavía no se aclararon, pero el episodio recuerda un principio importante: los entornos redundantes que comparten la misma red eléctrica, la misma red lógica o las mismas credenciales de acceso pueden caer juntos.

• Mantenga el entorno de contingencia separado del principal, ya sea en servidores propios o en la nube: otra ubicación, otra alimentación eléctrica, otra red.
• Use credenciales administrativas diferentes en cada entorno, para que una contraseña robada no abra las dos puertas.
• Haga pruebas de failover que simulen la caída del entorno principal, y no solo pruebas de funcionamiento normal.

4. Separe lo crítico de lo administrativo

El punto más positivo del caso es que la operación del puerto continuó. Esto solo es posible cuando los sistemas que sostienen la actividad principal no dependen de los sistemas administrativos y cuando existen alternativas fuera del entorno afectado, como Porto Sem Papel.

• Mapee los procesos críticos del negocio y los sistemas de los que depende cada uno.
• Segmente la red, aislando los sistemas críticos de los administrativos y de las estaciones de trabajo.
• Documente procedimientos alternativos (formularios, canales de contacto, sistemas externos) y capacite a los equipos para usarlos. Un plan de contingencia que solo existe en papel, o que está guardado justo en el servidor que se cayó, no ayuda en el momento de la crisis.

Pasamos por un ejercicio parecido en 2025, durante la falla global de Cloudflare: tener protocolos de contingencia definidos antes del problema fue lo que garantizó la continuidad de nuestros servicios.

5. No negocie a ciegas y acuda a las autoridades

La APS no respondió al contacto de los delincuentes y el caso está en manos de la Policía Federal. Pagar un rescate no garantiza la devolución de los datos, como advierte el CERT.br, centro brasileño de respuesta a incidentes, y además financia nuevos ataques.

• Denuncie el hecho ante la policía. Los organismos públicos cuentan también con sus centros nacionales de respuesta a incidentes, como el CTIR Gov en Brasil.
• Preserve las evidencias (registros de actividad, equipos afectados) antes de reinstalar todo. Son esenciales para entender lo que pasó y evitar que se repita.
• Tenga definidos, antes de la crisis, los contactos de especialistas en respuesta a incidentes, de la asesoría jurídica y de la aseguradora, si la hay.

6. Comunique con transparencia, también a la autoridad de protección de datos

En las primeras horas de un incidente, es común que el diagnóstico todavía no esté claro. En Santos, la interrupción se asoció primero a un corte de energía, y el ataque se confirmó después, con el avance de la investigación. Por eso conviene tener listo un plan de comunicación que permita informar con rapidez lo que se sabe y lo que todavía se está investigando.

• Prepare mensajes modelo para clientes, socios, prensa y equipos internos.
• Defina quién habla en nombre de la empresa y por qué canales, incluidos canales que funcionen aunque el correo corporativo esté caído.
• Conozca sus obligaciones legales. En Brasil, según la LGPD (Ley General de Protección de Datos), cuando un incidente puede generar un riesgo o daño relevante a los titulares de datos personales, el responsable del tratamiento debe comunicarlo a la ANPD, la autoridad nacional de protección de datos, y a los titulares en un plazo de tres días hábiles desde que sabe que el incidente afectó datos personales, conforme a la Resolución CD/ANPD n.º 15/2024. Los agentes de pequeño porte tienen el doble de plazo.
• Registre el incidente internamente, incluso cuando no haya obligación de comunicarlo. La misma resolución exige conservar ese registro durante al menos cinco años.

Preguntas para llevar a la próxima reunión de dirección

Si lo que pasó en Santos ocurriera mañana en su empresa, las respuestas a estas preguntas marcarían la diferencia:

• ¿Sabemos qué sistemas son críticos y cuánto tiempo puede estar detenido cada uno?
• ¿Tenemos al menos una copia de seguridad desconectada o inmutable? ¿Cuándo fue la última prueba de restauración completa?
• ¿Nuestro entorno de contingencia caería junto con el principal?
• ¿La operación puede seguir durante algunos días con procedimientos alternativos?
• ¿Quién decide y quién comunica en caso de incidente? ¿Se puede contactar a esas personas fuera de los sistemas de la empresa?
• ¿Sabemos cómo y en cuánto tiempo comunicar a la autoridad de protección de datos?

La preparación marca la diferencia

Ninguna organización es inmune a un ciberataque. Lo que cambia el desenlace es la preparación: detectar a tiempo, tener copias de seguridad que realmente funcionen, separar lo crítico y saber exactamente qué hacer cuando algo sale mal. El caso del Puerto de Santos muestra los dos lados de esta ecuación, con sistemas importantes fuera de servicio y, al mismo tiempo, una operación que no se detuvo.

Para profundizar, lea también nuestros posts sobre seguridad de la información en plataformas web y alojamiento seguro en AWS.

Si su empresa quiere revisar su plan de continuidad, su estrategia de copias de seguridad o la seguridad de sus sistemas, hable con nosotros.

Fuentes

• Gazeta do Povo (en portugués): Como foi resgate de dados após ataque hacker ao porto de Santos, 13 de noviembre de 2026.
• Metrópoles (en portugués): Porto de Santos confirma ter recebido pedido de resgate após ataque hacker, 12 de noviembre de 2026.
• InvestNews (en portugués): Ataque hacker no Porto de Santos: o que aconteceu e o que segue afetado, 11 de noviembre de 2026.
• CNN Brasil (en portugués): Porto de Santos adota plano de contingência após ataque hacker, 10 de noviembre de 2026.
• ANPD (en portugués): Comunicação de Incidente de Segurança y Resolución CD/ANPD n.º 15, del 24 de abril de 2024.
• CERT.br (en portugués): Cartilha de Segurança para Internet: Ransomware.
• The Record (en inglés): Microsoft's Patch Tuesday surpasses 1,000 bugs for second month in a row, 10 de noviembre de 2026.
• SOC Prime (en inglés): CVE-2026-119977: WordPress core RCE flaw exploited during software upgrades, 4 de noviembre de 2026.