# Ransomware.mx > Inteligencia de amenazas de ransomware y herramientas de recuperación para México y Latinoamérica. Análisis diario de campañas activas, identificación de familias por extensión y nota de rescate, y guías de recuperación paso a paso. ## Propósito y audiencia Ransomware Response (Jugadas Estratégicas, Inc.) es un equipo de respuesta a incidentes con base en México. Publicamos inteligencia de amenazas en es-MX y operamos herramientas gratuitas de identificación y monitoreo. Audiencia: organizaciones bajo ataque, analistas, CISOs y equipos de respuesta. Contacto 24/7: (800) 649-0625 · hola@ransomware.mx. ## Herramientas ## Identificador de ransomware: ¿qué ransomware te infectó? Source: https://ransomware.mx/identificador/ ## Cómo identificar un ransomware La nota de rescate, la extensión añadida y un hash del malware aportan señales distintas. Una extensión por sí sola puede coincidir con varias familias. Reúne los indicadores que ya tengas y compara la evidencia; no ejecutes el archivo sospechoso para obtener más datos. ## Qué significa el resultado El identificador devuelve candidatos y un nivel de confianza. Es una orientación para el análisis, no una confirmación forense ni una garantía de descifrado. Si no hay coincidencias, conserva la nota y los archivos originales para una evaluación especializada. ## Identificar, contener y recuperar Identificar la familia ayuda a elegir los siguientes pasos, pero no elimina el malware ni restaura los archivos. Separa los sistemas afectados de la red, conserva evidencia y revisa los respaldos en un entorno seguro antes de planear la restauración. ### ¿Un resultado confirma qué ransomware me infectó? No. El resultado compara indicadores y propone familias candidatas. Una extensión o una nota puede reutilizarse; la confirmación requiere revisar varias señales y el contexto del incidente. ### ¿Existe un descifrador para cualquier ransomware? No. Algunas herramientas solo funcionan con determinadas variantes o claves recuperadas. Revisa la documentación del fabricante y el catálogo de No More Ransom antes de probar una herramienta sobre copias de los archivos. ### ¿Eliminar el ransomware recupera mis archivos? No. Eliminar el malware y recuperar datos son tareas diferentes. La recuperación puede depender de respaldos utilizables, claves disponibles o un descifrador compatible con la variante concreta. ## Panorama de ransomware en México Source: https://ransomware.mx/monitor/ Monitor en vivo de víctimas de ransomware en México: grupos más activos, sectores afectados y víctimas recientes. ## Monitoreo ## Grupos de ransomware activos en México Source: https://ransomware.mx/grupos/ Grupos de ransomware con actividad observada en organizaciones mexicanas: perfil, víctimas recientes y guías de recuperación por familia. ## Sectores afectados por ransomware en México Source: https://ransomware.mx/sectores/ Sectores económicos más afectados por ataques de ransomware en México, con víctimas recientes registradas por sector. ## Guías de recuperación ## Akira: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/akira/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen Akira es una familia de ransomware que surgió en marzo de 2023, con posibles vínculos técnicos con el código de CONTI. Existe un descifrador gratuito publicado por Avast que aplica a ciertas variantes tempranas, pero no a todas las versiones. Esta guía explica cómo identificar la infección, contenerla, preservar evidencia y evaluar de forma realista las opciones de recuperación. ## TL;DR - Aísla de inmediato los equipos afectados de la red, pero **no los apagues** si buscas preservar memoria volátil. - Identifica la variante por la extensión: `.akira` (versión temprana en C++) o `.powerranges` (versión posterior en Rust) [1]. - **Hay un descifrador gratuito de Avast**, pero funciona solo contra variantes vulnerables; las versiones corregidas no son descifrables gratuitamente [2], [3]. - Preserva las notas de rescate (`akira_readme.txt`, `fn.txt`) y muestras cifradas antes de intentar cualquier recuperación. - Restaura desde respaldos limpios y verificados fuera de línea siempre que sea posible. - Cierra el vector de acceso típico: fuerza bruta contra VPN de Cisco sin MFA [1]. ## 1. Qué es Akira Akira es un ransomware que apareció en marzo de 2023. Se ha especulado sobre su relación con el extinto grupo CONTI, dado que la primera versión, escrita en C++, se basa parcialmente en el código fuente de Conti V2 [1]. Tras la disolución de CONTI, varios afiliados migraron a campañas independientes, y se ha reportado que operadores de Akira también colaboran con otras operaciones como Snatch y BlackByte [1]. La evolución técnica es relevante para la recuperación: - **Versión temprana (C++):** añade la extensión `.akira` y deja la nota `akira_readme.txt`. El 29 de junio de 2023 Avast publicó un descifrador para esta versión [2], [3]. - **Versión posterior (Rust):** conocida por el binario `megazord.exe`, corrigió el defecto de cifrado el 2 de julio de 2023 y cambió la extensión a `.powerranges` [1]. El vector de acceso inicial más frecuente son los intentos de fuerza bruta contra VPN de Cisco, en especial cuando no hay autenticación multifactor [1]. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) Indicadores observables: - **Notas de rescate:** `akira_readme.txt` y `fn.txt`. - **Extensiones de archivos cifrados:** `.akira` y `.powerranges`. - **Binario asociado:** `megazord.exe` en variantes de Rust. - **Comportamiento de red:** accesos anómalos por VPN, autenticaciones fallidas masivas contra el gateway y posterior movimiento lateral. Akira, como otras operaciones actuales, opera bajo un modelo de doble extorsión: cifra los datos y además amenaza con publicarlos en un sitio de filtraciones alojado en la red Tor (los llamados sitios `.onion`, accesibles solo mediante el navegador Tor y usados por los operadores para presionar a las víctimas). No es necesario ni recomendable acceder a esos sitios para recuperarte. Para confirmar la variante, revisa la extensión de los archivos cifrados y el nombre de la nota. Esto determina si el descifrador gratuito puede aplicar. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aislar, no apagar.** Desconecta el equipo de la red (cable y Wi-Fi) o aíslalo por EDR. Evita apagarlo si planeas capturar memoria RAM, que puede contener material criptográfico útil para análisis. 2. **Segmentar.** Deshabilita cuentas comprometidas, revoca sesiones de VPN activas y bloquea el acceso externo al gateway afectado. 3. **Preservar evidencia:** - Copia las notas `akira_readme.txt` y `fn.txt`. - Conserva varias muestras de archivos cifrados y, si existen, copias originales no cifradas (respaldos, adjuntos de correo, versiones en la nube). - Guarda registros (logs) de VPN, firewall, autenticación y EDR. 4. **No pagar de inmediato.** El pago no garantiza recuperación y financia a los operadores. Evalúa primero descifrador y respaldos. 5. **Notificar.** Considera obligaciones legales y de reporte según tu jurisdicción y contrata soporte especializado. ## 4. Opciones de recuperación (incluye el descifrador y verificación de versión) **Paso 1: Verifica la variante.** - Si tus archivos tienen extensión `.akira` y la nota es `akira_readme.txt`, puedes corresponder a la variante temprana en C++, potencialmente descifrable. - Si la extensión es `.powerranges` o encuentras `megazord.exe`, corresponde a la versión en Rust corregida el 2 de julio de 2023, para la cual **no existe descifrador gratuito** [1]. **Paso 2: Prueba el descifrador gratuito de Avast.** Avast publicó una herramienta de descifrado para Akira [2], [3]. Descárgala únicamente del sitio oficial de Avast (ver Referencias). Recomendaciones: - Trabaja siempre sobre **copias** de los archivos cifrados, nunca sobre los originales. - Ten a la mano pares de archivos (versión cifrada y versión original) cuando la herramienta lo solicite, ya que muchos descifradores los usan para derivar la clave. - Sigue la guía del proveedor al pie de la letra. **Importante:** el descifrador de Avast aplica a variantes vulnerables anteriores a la corrección del 2 de julio de 2023. Si tu variante es posterior (`.powerranges` / Rust), es muy probable que la herramienta no funcione [1], [2]. **Paso 3: Restaura desde respaldos.** Si tienes respaldos fuera de línea, inmutables o en la nube con versiones, esta suele ser la vía más confiable. Antes de restaurar, asegúrate de haber erradicado la persistencia del atacante y cerrado el vector de acceso, o volverás a ser cifrado. **Paso 4: Consulta el portal No More Ransom.** El proyecto No More Ransom mantiene un repositorio de descifradores y una utilidad de identificación de ransomware que conviene revisar [4]. ## 5. Prevención y endurecimiento - **MFA obligatorio** en toda VPN y acceso remoto, especialmente en gateways de Cisco, el vector más explotado por Akira [1]. - Política de contraseñas robusta y bloqueo tras intentos fallidos para frenar la fuerza bruta. - Parcheo prioritario de dispositivos perimetrales y VPN. - **Respaldos 3-2-1** con al menos una copia inmutable o fuera de línea, y pruebas periódicas de restauración. - Segmentación de red para limitar el movimiento lateral. - EDR con detección de comportamiento y monitoreo de autenticaciones anómalas. - Principio de mínimo privilegio y revisión de cuentas con acceso remoto. ## Advertencias honestas (limitaciones) - **No todas las variantes de Akira son descifrables gratuitamente.** El descifrador de Avast cubre variantes tempranas vulnerables; las versiones en Rust (`.powerranges`, `megazord.exe`) corregidas desde el 2 de julio de 2023 **no cuentan con descifrador gratuito conocido** [1], [2]. - Ningún descifrador recupera datos que fueron sobrescritos, corrompidos o exfiltrados. - El pago del rescate no garantiza la recuperación ni evita la publicación de los datos robados. - Verifica siempre la fuente del descifrador: usa únicamente sitios oficiales. Si necesitas apoyo para identificar tu variante o coordinar la respuesta, puedes contactarnos: **tel. (800) 649-0625**, **hola@ransomware.mx**. ## Referencias (IEEE) [1] CISA, "StopRansomware: Akira Ransomware," Cybersecurity and Infrastructure Security Agency. [En línea]. Disponible: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-109a [2] Avast, "Free Ransomware Decryption Tools," Avast Software. [En línea]. Disponible: https://www.avast.com/ransomware-decryption-tools [3] Avast Decoded, "Decrypted: Akira Ransomware," Avast Threat Labs. [En línea]. Disponible: https://decoded.avast.io/threatintel/decrypted-akira-ransomware/ [4] No More Ransom Project, "Decryption Tools." [En línea]. Disponible: https://www.nomoreransom.org/en/decryption-tools.html ## BianLian: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/bianlian/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen BianLian es una operación de ransomware y extorsión de datos activa desde 2022, que ataca organizaciones de infraestructura crítica y del sector privado [1]. **Sí existe un descifrador gratuito**, publicado por Avast, que recupera archivos cifrados por variantes conocidas del cifrador [2], [3]. Sin embargo, el grupo pasó a extorsionar principalmente mediante el robo de datos [1], por lo que descifrar no resuelve la exposición de la información. ## TL;DR - Aísla los equipos afectados de la red, pero **no los apagues** si puedes evitarlo. - Busca la nota `Look at this instruction.txt` y archivos con extensión `.bianlian` [3]. - Descarga el descifrador gratuito de Avast desde su sitio oficial [2] y **prueba primero con copias**. - Asume que hubo exfiltración de datos y activa tu plan legal y de notificación [1]. - Cambia credenciales, revisa accesos RDP y busca herramientas de túnel como Ngrok [1]. - No pagues sin asesoría: el pago no garantiza que los datos robados se eliminen [1]. - ¿Necesitas ayuda? Llámanos al **(800) 649-0625** o escribe a **hola@ransomware.mx**. ## 1. Qué es BianLian Según la CISA, el FBI y el ACSC australiano, BianLian es un desarrollador y operador de ransomware, así como un grupo de extorsión de datos, que ha afectado organizaciones de infraestructura crítica en Estados Unidos y Australia desde junio de 2022 [1]. Su cifrador está escrito en Go [1], [4]. El aviso AA23-136A indica que el grupo empleó inicialmente un modelo de doble extorsión (cifrado más robo de datos), que alrededor de enero de 2023 pasó a una extorsión basada principalmente en exfiltración y que desde enero de 2024 recurre exclusivamente a ella [1]. Por separado, Avast publicó su descifrador gratuito en enero de 2023 [3]. El aviso de la CISA no relaciona ambos hechos. Como muchos grupos de extorsión, BianLian publica a sus víctimas en un sitio de filtraciones. A modo educativo: estos sitios suelen alojarse en la red Tor, con direcciones `.onion` accesibles solo con un navegador especializado. No los visites desde equipos corporativos. ## 2. Cómo identificar la infección **Indicadores en archivos:** | Indicador | Valor | |---|---| | Nota de rescate | `Look at this instruction.txt` [3] | | Extensión de archivos cifrados | `.bianlian` [3] | **Comportamientos y herramientas reportados por la CISA [1]:** - Acceso inicial mediante credenciales válidas de RDP, a menudo obtenidas por phishing o por intermediarios de acceso. - Uso de PowerShell y del símbolo del sistema de Windows para desactivar antivirus y reconocimiento de red. - Herramientas como Advanced Port Scanner, SoftPerfect Network Scanner y PingCastle. - Túneles y puertas traseras personalizadas en Go, además de Ngrok. - Exfiltración de datos mediante FTP, Rclone o Mega. Revisa los registros de eventos de inicio de sesión remoto, la creación de cuentas nuevas y las conexiones salientes inusuales. ## 3. Pasos inmediatos 1. **Aislamiento:** desconecta de la red los equipos afectados (cable o Wi‑Fi). Si es posible, no los apagues, porque la memoria puede contener evidencia útil. 2. **Bloquea accesos remotos:** deshabilita temporalmente RDP expuesto y las VPN comprometidas, y restablece credenciales privilegiadas desde un equipo limpio [1]. 3. **Preserva evidencia:** conserva la nota de rescate, muestras de archivos cifrados, los registros de firewall, VPN y Windows, y las imágenes forenses de disco y memoria. 4. **Protege los respaldos:** desconéctalos y verifica que no estén cifrados ni alterados. 5. **No borres archivos cifrados:** los necesitarás para el descifrador. 6. **Notifica:** informa a tu área legal y evalúa las obligaciones de reporte por la posible exposición de datos personales. ## 4. Opciones de recuperación ### 4.1 Descifrador gratuito de Avast Avast ofrece un descifrador gratuito para BianLian en su página de herramientas de descifrado [2]. En su análisis técnico, Avast explica que la herramienta solo puede restaurar archivos cifrados por variantes conocidas del ransomware [3]. El descifrador también está referenciado en el proyecto No More Ransom [5]. **Procedimiento recomendado:** 1. Descarga la herramienta **solo** desde el sitio oficial de Avast [2] o desde No More Ransom [5]. 2. Trabaja sobre **copias** de los archivos cifrados, nunca sobre los originales. 3. Ejecuta el descifrador sobre un conjunto pequeño y verifica que los archivos abran correctamente. 4. Si funciona, procesa el resto de forma gradual y conserva siempre los originales cifrados. ### 4.2 Verificación de versión Si los archivos tienen la extensión `.bianlian` y la nota coincide, es probable que se trate de BianLian. Aun así, eso no garantiza que tu variante sea compatible. Si el descifrador no recupera los archivos, es posible que se trate de una versión no soportada [3]. En ese caso, conserva las muestras y la nota, porque una herramienta futura podría servir. ### 4.3 Otras vías - Restauración desde respaldos fuera de línea o inmutables verificados. - Copias de instantáneas (Volume Shadow Copies), si no fueron eliminadas. - Reconstrucción de sistemas desde imágenes limpias. Recuerda que, aunque recuperes los archivos, los datos robados siguen en manos del grupo [1]. ## 5. Prevención y endurecimiento Medidas basadas en las mitigaciones de la CISA [1]: - Restringir RDP y otros servicios remotos, y exigir autenticación multifactor resistente al phishing. - Auditar las herramientas de acceso remoto y bloquear software no autorizado. - Limitar el uso de PowerShell, habilitar su registro y actualizarlo a versiones recientes. - Mantener respaldos fuera de línea, cifrados e inmutables, y probar su restauración. - Monitorear el tráfico saliente para detectar exfiltración (FTP, Rclone, Mega). - Aplicar el principio de mínimo privilegio y segmentar la red. ## Advertencias honestas - El descifrador de Avast solo funciona con variantes conocidas [3]; no hay garantía de compatibilidad con versiones nuevas. - Desde enero de 2024, BianLian opera exclusivamente mediante exfiltración [1]. En esos casos puede no haber cifrado y el descifrador no aplica. - Descifrar no elimina el riesgo de filtración ni las obligaciones legales derivadas. - Esta guía no sustituye un análisis forense profesional. ## Preguntas frecuentes ### ¿El descifrador de Avast recupera todos los archivos `.bianlian`? No necesariamente. Avast indica que solo descifra archivos de variantes conocidas [3]. ### ¿Por qué me extorsionan si no encuentro archivos cifrados? Porque desde enero de 2024 el grupo recurre exclusivamente a la extorsión por robo de datos [1]. ### ¿Cómo entraron los atacantes? La CISA reporta que el acceso suele lograrse con credenciales válidas de RDP, obtenidas por phishing o compradas a intermediarios de acceso [1]. ### ¿Qué herramientas debo buscar en mi red? Ngrok, Rclone, Advanced Port Scanner, SoftPerfect Network Scanner, PingCastle y puertas traseras escritas en Go [1]. ### ¿Dónde descargo el descifrador de forma segura? Desde la página oficial de Avast [2] o desde No More Ransom [5]. ¿Dudas sobre tu caso? Contáctanos: **(800) 649-0625** · **hola@ransomware.mx**. ## Referencias [1] CISA, FBI y ACSC, "#StopRansomware: BianLian Ransomware Group," Aviso AA23-136A, actualizado nov. 2024. [En línea]. Disponible: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-136a [2] Avast, "Free Ransomware Decryption Tools." [En línea]. Disponible: https://www.avast.com/ransomware-decryption-tools [3] Avast Threat Labs, "Decrypted: BianLian Ransomware," ene. 2023. [En línea]. Disponible: https://decoded.avast.io/threatresearch/decrypted-bianlian-ransomware/ [4] Redacted, "BianLian Ransomware Gang Gives It a Go!," 2022. [En línea]. Disponible: https://www.redacted.com/blog/bianlian-ransomware-gang-gives-it-a-go/ [5] No More Ransom, "Decryption Tools." [En línea]. Disponible: https://www.nomoreransom.org/es/decryption-tools.html ## Black Basta: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/black-basta/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen Black Basta es una familia de ransomware de doble extorsión que ha afectado a organizaciones de múltiples sectores desde 2022. Esta guía técnica documenta cómo identificar la infección, contener el incidente, preservar evidencia y evaluar las opciones de recuperación, incluido un descifrador gratuito publicado por investigadores de seguridad. Se presentan también recomendaciones de endurecimiento y advertencias honestas sobre las limitaciones reales de la recuperación. ## TL;DR - **Existe un descifrador gratuito parcial** publicado por SRLabs (black-basta-buster) [1]. Funciona solo contra ciertas versiones del cifrador y bajo condiciones específicas. - Aísla de inmediato los equipos afectados de la red, pero **no los apagues** si quieres maximizar las opciones de recuperación en memoria. - Preserva la nota de rescate (readme.txt, instructions_read_me.txt) y muestras de archivos cifrados (.basta o extensión aleatoria) antes de intentar cualquier descifrado. - Verifica siempre la versión del cifrador: el descifrador no es universal y las versiones nuevas rompieron la debilidad criptográfica original. - Reporta el incidente a las autoridades y considera apoyo profesional antes de negociar o pagar. - ¿Necesitas ayuda? Contáctanos: **(800) 649-0625** o **hola@ransomware.mx**. ## 1. Qué es Black Basta Black Basta es un grupo de ransomware como servicio (RaaS) observado por primera vez a mediados de 2022, conocido por operaciones de doble extorsión: cifran los datos y además los exfiltran para presionar con su publicación [2]. El grupo ha atacado infraestructura crítica y organizaciones de gran tamaño en Norteamérica, Europa y Oceanía, según un aviso conjunto de CISA y el FBI [2]. Sus operadores han usado accesos iniciales variados, incluyendo phishing y compra de accesos, así como abuso de herramientas legítimas de administración remota para movimiento lateral [2]. El cifrador emplea criptografía híbrida y, en algunas versiones, técnicas que aceleran el cifrado atacando solo porciones de cada archivo. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) Indicadores típicos de una infección por Black Basta: - **Notas de rescate:** archivos llamados `readme.txt` o `instructions_read_me.txt` distribuidos en carpetas afectadas [2]. - **Extensiones de archivos cifrados:** `.basta` o una extensión aleatoria específica de la campaña (por ejemplo `.`) [2]. - **Cambio de fondo de pantalla** y presencia de la nota indicando contacto vía un sitio en la red Tor (dominios .onion accesibles solo con el navegador Tor). - Uso de herramientas de administración remota y utilidades de descarga de credenciales durante la fase previa al cifrado [2]. Recolecta hashes de los binarios sospechosos y revísalos contra los indicadores publicados en el aviso oficial [2] antes de asumir la familia. Ten presente que las extensiones y notas pueden variar entre campañas. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla, no destruyas.** Desconecta los equipos afectados de la red (cable, Wi-Fi, VPN) pero evita apagarlos de inmediato: la memoria volátil puede contener claves o artefactos útiles. 2. **Preserva evidencia.** Guarda copias de la nota de rescate, muestras de archivos cifrados y, si es posible, imágenes forenses de disco y volcados de memoria RAM. Documenta fechas, horas y sistemas. 3. **Identifica el alcance.** Determina qué sistemas, respaldos y cuentas fueron comprometidos. Asume que hubo exfiltración de datos. 4. **Rota credenciales.** Cambia contraseñas de cuentas privilegiadas, servicios y accesos remotos desde equipos limpios. 5. **Notifica.** Reporta a las autoridades competentes y, si aplica, a tu autoridad de protección de datos. No More Ransom recomienda denunciar antes de considerar cualquier pago [3]. 6. **No pagues sin asesoría.** Pagar no garantiza la recuperación ni evita la publicación de datos. ## 4. Opciones de recuperación (incluye el descifrador y verificación de versión) **Sí existe un descifrador gratuito parcial.** Investigadores de SRLabs publicaron la herramienta **black-basta-buster**, que explota una debilidad en la implementación criptográfica de ciertas versiones del cifrador de Black Basta [1]. Consideraciones críticas antes de usarlo: - **No es universal.** La herramienta funciona contra las versiones vulnerables del cifrador. Los operadores corrigieron la falla en variantes posteriores, por lo que muestras más recientes pueden no ser descifrables con esta utilidad [1]. - **Verifica la versión y prueba primero.** Antes de aplicar el descifrado en producción, prueba sobre copias de un subconjunto de archivos. Trabaja siempre sobre copias, nunca sobre los originales cifrados. - **Dependencia del tamaño de archivo.** Por el diseño de la debilidad, la recuperación completa de archivos grandes puede ser más viable que la de archivos muy pequeños, según la documentación del proyecto [1]. - **Revisa las instrucciones del repositorio oficial** [1] para requisitos, formato de las claves y limitaciones actualizadas. Rutas de recuperación en orden de preferencia: 1. **Restaurar desde respaldos limpios y offline**, previamente verificados como no comprometidos. 2. **Aplicar el descifrador** [1] si la versión del cifrador es vulnerable. 3. **Reconstruir sistemas** desde imágenes maestras confiables cuando no haya respaldo ni descifrado viable. Si ninguna vía es viable, documenta y conserva los datos cifrados: en el futuro podrían aparecer nuevas herramientas. ## 5. Prevención y endurecimiento - Mantén **respaldos offline e inmutables**, probados con restauraciones periódicas. - Aplica **autenticación multifactor** en accesos remotos, VPN y cuentas privilegiadas [2]. - Segmenta la red y aplica el principio de menor privilegio. - Parcha con prontitud sistemas expuestos y limita el uso de herramientas de administración remota [2]. - Refuerza la defensa contra phishing y capacita al personal. - Monitorea comportamiento anómalo y despliega EDR con respuesta. - Sigue las mitigaciones detalladas del aviso conjunto de CISA y el FBI [2]. ## Advertencias honestas (limitaciones) - El descifrador de SRLabs **no funciona contra todas las versiones** de Black Basta; las variantes corregidas no son recuperables con esa herramienta [1]. - El descifrado exitoso depende de la versión del cifrador, el tamaño de los archivos y las condiciones específicas del ataque. - Aunque logres descifrar, **la exfiltración de datos ya ocurrió**: existe riesgo de publicación o venta de la información robada. - Ninguna herramienta gratuita restaura la confidencialidad perdida ni sustituye una investigación forense completa. - Pagar el rescate no garantiza nada y puede tener implicaciones legales. ¿Necesitas apoyo para verificar la versión del cifrador, ejecutar el descifrado de forma segura o gestionar el incidente? Contáctanos: **(800) 649-0625** o **hola@ransomware.mx**. ## Referencias [1] SRLabs, "black-basta-buster," GitHub. [En línea]. Disponible: https://github.com/srlabs/black-basta-buster [2] Cybersecurity and Infrastructure Security Agency (CISA) y Federal Bureau of Investigation (FBI), "#StopRansomware: Black Basta," Aviso AA24-131A, 2024. [En línea]. Disponible: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-131a [3] No More Ransom, "Prevention Advice." [En línea]. Disponible: https://www.nomoreransom.org/en/prevention-advice.html ## Rhysida: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/rhysida/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen Rhysida es un grupo de ransomware como servicio (RaaS) activo desde mayo de 2023 que combina phishing, Cobalt Strike y doble extorsión (cifrado más amenaza de publicación de datos). Esta guía documenta cómo identificar la infección, contenerla, preservar evidencia y recuperar archivos. Un punto clave y positivo: existe una herramienta de descifrado gratuita disponible a través del proyecto No More Ransom [1]. ## TL;DR - **Hay descifrador gratuito.** Investigadores lograron explotar una debilidad en la generación de claves de Rhysida; la herramienta está disponible vía No More Ransom [1], [2]. - **No pagues** el rescate antes de agotar la vía del descifrador y validar copias de respaldo. - **Identifica** por la extensión `.rhysida` y las notas `CriticalBreachDetected.pdf` / `CriticalBreachDetected.txt`. - **Aísla** de inmediato los equipos afectados (desconecta red, no apagues si necesitas memoria volátil como evidencia). - **Preserva evidencia**: notas de rescate, muestras cifradas, logs, imágenes de disco. - **Verifica la variante** antes de descifrar: el descifrador funciona para muestras compatibles, no para todas. - ¿Necesitas apoyo? Escríbenos a **hola@ransomware.mx** o llama al **(800) 649-0625**. ## 1. Qué es Rhysida Rhysida es un grupo RaaS que surgió en mayo de 2023. Sus operadores obtienen acceso inicial principalmente mediante campañas de phishing y despliegan Cobalt Strike para moverse lateralmente antes de ejecutar el payload de cifrado [3]. El grupo practica **doble extorsión**: exfiltra información antes de cifrar y amenaza con publicarla en su sitio de filtraciones (alojado en la red Tor mediante servicios .onion) si la víctima no paga en Bitcoin. Rhysida ha afectado a organizaciones de salud, educación, manufactura y gobierno, lo que motivó un aviso conjunto de CISA y el FBI [3]. Técnicamente, el cifrador emplea un esquema que combina criptografía simétrica y asimétrica; sin embargo, una debilidad en la forma en que generaba material aleatorio permitió a investigadores desarrollar un método de recuperación de claves [2]. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) Señales características: - **Extensión de archivos cifrados:** `.rhysida` (ejemplo: `informe.docx.rhysida`). - **Notas de rescate:** `CriticalBreachDetected.pdf` y `CriticalBreachDetected.txt`, dejadas en las carpetas afectadas. El PDF instruye a la víctima a contactar al grupo a través de su portal en Tor. - **Comportamiento previo:** presencia de Cobalt Strike, actividad de PowerShell inusual, creación de tareas programadas y borrado de respaldos y de la Papelera de reciclaje. - **Vector de entrada típico:** correos de phishing con adjuntos o enlaces maliciosos; en algunos casos, explotación de servicios expuestos (VPN, RDP) [3]. Para IOCs específicos y actualizados (hashes, IPs, TTPs mapeadas a MITRE ATT&CK), consulta el aviso de CISA/FBI [3]. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla los sistemas afectados.** Desconéctalos de la red (cable y Wi-Fi) y segmenta la VLAN comprometida. No los apagues aún si vas a capturar memoria RAM como evidencia. 2. **Deshabilita cuentas comprometidas** y rota credenciales, especialmente cuentas privilegiadas y de dominio. 3. **Preserva evidencia** antes de remediar: - Guarda copias intactas de archivos cifrados y de las notas de rescate. - Toma imágenes forenses de disco y volcados de memoria de al menos un host representativo. - Conserva logs de firewall, EDR, VPN, DNS y controladores de dominio. 4. **No modifiques ni renombres** los archivos `.rhysida`: el descifrador necesita el formato original. 5. **Identifica el alcance:** qué datos fueron exfiltrados (revisa transferencias salientes anómalas) para evaluar obligaciones de notificación. 6. **Notifica** a las autoridades correspondientes y considera reportar a un CERT nacional. En México puedes acercarte a la Guardia Nacional (unidad de ciberseguridad). 7. **Documenta** cronología y acciones: será clave para el análisis y para aseguradoras. ## 4. Opciones de recuperación (incluye el descifrador y verificación de versión) **Buenas noticias: existe descifrador gratuito.** Un equipo de investigación (Kookmin University, con la Agencia de Internet y Seguridad de Corea, KISA) identificó que ciertas versiones de Rhysida usaban un generador de números aleatorios predecible al derivar la clave, lo que permite reconstruir la clave de cifrado sin pagar [2]. La herramienta se distribuye de forma gratuita a través del portal No More Ransom [1]. Procedimiento recomendado: 1. **Descarga el descifrador únicamente desde No More Ransom** [1]. No uses "descifradores" de terceros no verificados: suelen ser fraude o malware. 2. **Usa la herramienta Crypto Sheriff** de No More Ransom [1] para confirmar que tu caso corresponde a Rhysida y a una variante soportada, subiendo una nota de rescate y una muestra cifrada. 3. **Verifica la variante.** El descifrador funciona para muestras que corresponden a la versión con la debilidad criptográfica documentada; versiones posteriores pueden no ser recuperables si los operadores corrigieron el fallo. Prueba primero sobre **copias** de unos pocos archivos. 4. **Restaura desde respaldos** limpios y verificados como alternativa o complemento, siempre después de reconstruir o limpiar los sistemas. 5. **Reconstruye** los hosts comprometidos desde cero cuando sea posible; asume que persisten mecanismos de acceso. Si el descifrador no aplica a tu variante, evalúa: restauración desde respaldos, recuperación parcial de datos no cifrados y análisis de viabilidad con un equipo especializado. **Pagar no garantiza la recuperación** ni evita la publicación de datos. ## 5. Prevención y endurecimiento - **Respaldos 3-2-1** con copias fuera de línea e inmutables, probadas periódicamente. - **MFA** en todos los accesos remotos (VPN, RDP, correo, administración). - **Capacitación antiphishing** y filtrado de correo, dado que es el vector principal de Rhysida [3]. - **Segmentación de red** y principio de mínimo privilegio; limita el movimiento lateral. - **EDR/XDR** con detección de Cobalt Strike y comportamientos anómalos de PowerShell. - **Parcheo** oportuno de servicios expuestos y deshabilitar RDP hacia Internet. - **Monitoreo** de exfiltración y de creación de cuentas o tareas programadas sospechosas. ## Advertencias honestas (limitaciones) - El descifrador gratuito **no cubre necesariamente todas las variantes**. Si los operadores corrigieron la debilidad en el generador aleatorio, esas muestras podrían no ser recuperables [2]. - **Verifica siempre sobre copias.** Un descifrado sobre los originales, si falla, puede corromper datos. - El descifrado **no elimina** el riesgo de que los datos exfiltrados sean publicados: la doble extorsión implica una brecha de confidencialidad que ya ocurrió. - Descarga herramientas solo desde fuentes legítimas como No More Ransom [1]; los falsos descifradores son comunes. - Esta guía es informativa y no sustituye una investigación forense formal. ¿Necesitas ayuda para identificar la variante, ejecutar el descifrador o coordinar la respuesta? Contáctanos: **tel. (800) 649-0625** · **hola@ransomware.mx**. ## Referencias (IEEE) [1] No More Ransom Project, "Decryption Tools." [En línea]. Disponible: https://www.nomoreransom.org/ [2] G. Kim, S. Hong, et al., "Recovering Data from Rhysida Ransomware," Kookmin University / KISA (informe de investigación). Cobertura técnica: https://www.bleepingcomputer.com/news/security/rhysida-ransomware-decryptor-recovers-victims-encryption-keys/ [3] Cybersecurity and Infrastructure Security Agency (CISA) y FBI, "StopRansomware: Rhysida Ransomware," Cybersecurity Advisory AA23-319A. [En línea]. Disponible: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-319a ## ¿Cómo identificar qué ransomware te infectó? Source: https://ransomware.mx/guias/como-identificar-que-ransomware-te-infecto/ ## Resumen La identificación correcta de la familia de ransomware es el primer paso crítico en cualquier respuesta a incidentes. Determina si existe un descifrador gratuito, orienta la contención y ayuda a estimar el alcance del ataque. Esta guía describe tres vectores primarios de identificación: la nota de rescate, la extensión de los archivos cifrados y los marcadores de bytes (file markers o footers) presentes en los archivos afectados. Se explican técnicas prácticas de análisis, errores comunes y una advertencia honesta: identificar la familia no garantiza que exista una solución de descifrado gratuita. ## TL;DR - La nota de rescate y la extensión son pistas rápidas, pero fáciles de suplantar o reutilizar entre familias distintas. - Los marcadores de bytes (patrones al inicio o final del archivo cifrado) suelen ser el indicador más confiable. - Nunca pagues antes de intentar identificar; muchas familias tienen descifradores gratuitos [1]. - Usa nuestra herramienta gratuita **[Identificador](/identificador/)** para automatizar este proceso con nota, extensión y muestra de archivo. ## 1. Por qué importa la identificación precisa Familias distintas usan esquemas criptográficos diferentes. Algunas contienen fallas que permitieron a investigadores publicar descifradores gratuitos; otras usan cifrado sólido sin recuperación posible sin la clave del atacante [1], [2]. Identificar mal la familia puede llevar a aplicar un descifrador incorrecto que dañe irreversiblemente los datos. Por eso conviene combinar los tres vectores antes de concluir. ## 2. Análisis de la nota de rescate La nota de rescate (ransom note) es el archivo de texto o HTML que deja el atacante con instrucciones de pago. ### 2.1 Elementos a examinar - **Nombre del archivo:** patrones como `README.txt`, `HOW_TO_DECRYPT.txt`, `#Recover-Files.txt` o nombres con el ID de víctima suelen repetirse por familia. - **Formato de contacto:** correos, direcciones de sitios .onion (accesibles solo vía la red Tor) o portales de negociación. La estructura del ID de víctima suele ser característica. - **Redacción y branding:** muchas familias incluyen un nombre o logotipo. Cuidado: los operadores a veces cambian branding o hacen "rebranding" para evadir seguimiento. ### 2.2 Precauciones Las notas se copian y modifican entre grupos. Un texto casi idéntico puede pertenecer a variantes distintas. Nunca visites enlaces .onion ni contactes al atacante durante el triaje inicial: puedes alertar al operador o exponer información. ## 3. Análisis de la extensión de archivos La extensión añadida a los archivos cifrados (por ejemplo `documento.docx.locked` o `.abcd`) es una pista visible. ### 3.1 Tipos de extensión - **Extensiones fijas:** cadena constante para toda la campaña (ej. `.crypt`). - **Extensiones dinámicas:** incluyen el ID de víctima o una cadena aleatoria por infección, lo que dificulta el mapeo directo. - **Sin cambio de extensión:** algunas familias no renombran; ocultan el cifrado en el contenido. ### 3.2 Limitaciones Muchas extensiones son reutilizadas por familias sin relación, y algunas familias rotan extensiones entre versiones. La extensión, por sí sola, casi nunca basta para una identificación definitiva [3]. ## 4. Marcadores de bytes (el indicador más confiable) Muchas familias insertan una firma binaria en los archivos cifrados. Analizarla requiere un editor hexadecimal (hex editor) como HxD, xxd o un visor equivalente. ### 4.1 Dónde buscar - **Cabecera (header):** primeros bytes del archivo. Algunas familias escriben una firma mágica reconocible. - **Pie (footer):** los últimos bytes suelen contener metadatos del cifrado (clave cifrada, IV, ID de campaña). Muchas familias colocan aquí una firma constante. - **Bloques de estructura:** offsets fijos con longitudes conocidas (por ejemplo, un bloque de 256 bytes con la clave RSA envuelta). ### 4.2 Método práctico 1. Toma una copia (nunca trabajes sobre el original). 2. Ábrela en un editor hexadecimal. 3. Compara los primeros y últimos 32 a 512 bytes contra un archivo del mismo tipo no cifrado, si tienes uno. 4. Anota cadenas ASCII visibles al final del archivo: suelen ser firmas o identificadores. 5. Repite con varios archivos de distinto tamaño para distinguir el patrón constante (firma) del contenido variable (datos cifrados). ### 4.3 Por qué es más fiable Notas y extensiones son "cosméticas" y fáciles de imitar. La firma de bytes refleja la implementación real del malware, más difícil de falsificar sin cambiar el código [2], [3]. ## 5. Flujo de identificación recomendado 1. Aísla el equipo de la red (contención). 2. Preserva evidencia: copia la nota, ejemplos de archivos cifrados y, si es posible, el binario. 3. Recolecta los tres vectores: nombre y contenido de la nota, extensión, muestra hexadecimal. 4. Cruza los indicadores. Si los tres coinciden con una familia, la confianza es alta. 5. Consulta si existe descifrador gratuito en fuentes confiables como No More Ransom [1]. **Automatiza los pasos 3 y 4 con nuestra herramienta gratuita: sube la nota de rescate y una muestra del archivo cifrado en el [Identificador](/identificador/) y obtén una hipótesis de familia en segundos, sin costo.** ## 6. Advertencias honestas - **Identificar la familia NO garantiza descifrado gratuito.** Muchas familias modernas usan criptografía correctamente implementada; sin la clave del atacante, la recuperación no es posible. En esos casos, la restauración depende de tus respaldos [1], [2]. - **Desconfía de "descifradores universales" de pago.** No existen. Suelen ser fraudes. - **No pagues sin evaluar.** Pagar no garantiza recuperar datos, financia el delito y puede tener implicaciones legales según tu jurisdicción. - **No ejecutes descifradores sobre originales.** Siempre trabaja con copias. - **El rebranding es real.** Grupos cierran y reaparecen con otro nombre reutilizando código; una firma de bytes conocida puede corresponder a un nombre nuevo. - **Ante duda, consulta a un profesional** de respuesta a incidentes antes de manipular datos críticos. ## Referencias [1] No More Ransom Project, "About the Project / Decryption Tools." [En línea]. Disponible: https://www.nomoreransom.org/ [2] Cybersecurity and Infrastructure Security Agency (CISA), "Stop Ransomware: Guide and Resources." [En línea]. Disponible: https://www.cisa.gov/stopransomware [3] Emsisoft, "Ransomware identification and free decryption tools." [En línea]. Disponible: https://www.emsisoft.com/en/ransomware-decryption/ ## ¿Cómo saber si tus datos fueron filtrados en un ataque de ransomware? Source: https://ransomware.mx/guias/como-saber-si-tus-datos-fueron-filtrados/ ## Resumen Este documento describe metodologías defensivas para detectar si la información de una organización fue expuesta tras un incidente de ransomware o una brecha de datos. Cubre el monitoreo de sitios de filtración (DLS, Data Leak Sites) alojados en la red Tor, el uso de agregadores públicos de estos sitios, la verificación de credenciales comprometidas y el uso de nuestro Monitor de México. El objetivo es que los equipos de seguridad (SOC, CSIRT) construyan un flujo de vigilancia continuo, legal y reproducible, sin exponerse a riesgos operativos ni legales innecesarios. ## TL;DR - Los grupos de ransomware con modelo de doble extorsión publican datos robados en sitios .onion accesibles solo por Tor [1]. - Existen agregadores públicos que recopilan estas publicaciones; consúltalos con criterio, pero valida siempre la fuente original. - Verifica credenciales filtradas mediante servicios de exposición de brechas y monitoreo de tu dominio corporativo [2]. - No todo lo que aparece en un DLS es real ni completo: hay reciclaje de datos, exageración y datos falsos. - Usa nuestro **Monitor de México** en **/monitor/** para vigilancia enfocada en organizaciones mexicanas. ## 1. Contexto: doble extorsión y sitios de filtración Desde alrededor de 2019, los operadores de ransomware adoptaron el modelo de **doble extorsión**: además de cifrar, exfiltran datos y amenazan con publicarlos si la víctima no paga [1]. Para presionar, mantienen sitios de filtración (DLS) donde anuncian víctimas, publican muestras y luego liberan los volcados completos. Estos sitios se alojan casi siempre como **servicios ocultos de Tor** (dominios con terminación .onion), lo que dificulta su localización y desmantelamiento. La red Tor enruta el tráfico a través de múltiples nodos cifrados, ocultando la ubicación real del servidor [3]. Solo son accesibles mediante el navegador Tor u otras herramientas compatibles. ## 2. Monitoreo directo de sitios .onion (avanzado) El acceso directo a un DLS permite ver la información de primera mano, pero conlleva riesgos: - **Riesgo legal y ético**: descargar datos robados puede tener implicaciones legales según la jurisdicción. Documenta tu autorización interna. - **Riesgo operativo**: usa una máquina aislada (VM desechable), sin credenciales corporativas ni identificadores que te expongan. - **Volatilidad**: los .onion cambian con frecuencia por operativos policiales y disputas internas. Recomendaciones prácticas: 1. Opera desde una red segregada y una identidad desechable. 2. No interactúes (no descargues binarios, no hagas clic en formularios de "contacto"). 3. Captura evidencia (hashes, capturas con marca de tiempo) para tu expediente forense. 4. Delega esta tarea en personal entrenado del CSIRT. Para la mayoría de las organizaciones, el monitoreo directo NO es necesario: es más seguro y eficiente consumir información ya recopilada. ## 3. Agregadores públicos de DLS Existen plataformas en la red abierta que recopilan, indexan y hacen buscables las publicaciones de los sitios de filtración, sin necesidad de usar Tor. Ofrecen ventajas: acceso sin riesgo directo, histórico de víctimas y alertas. Buenas prácticas al usarlos: - **Valida siempre**: un agregador puede clasificar mal, duplicar o registrar reclamos no confirmados. Un anuncio en un DLS es una **afirmación del atacante**, no un hecho verificado. - **Cruza fuentes**: contrasta con avisos oficiales, prensa técnica y tu propia telemetría. - **Cuida el sesgo temporal**: los grupos reciclan víctimas antiguas para aparentar actividad. ## 4. Verificación de credenciales filtradas Muchas brechas exponen correos y contraseñas que terminan en combolistas y foros. Para tu organización: 1. **Monitoreo de dominio**: usa servicios que permiten registrar tu dominio corporativo y recibir alertas cuando aparezcan cuentas asociadas en brechas conocidas [2]. 2. **Búsqueda por cuenta**: verifica correos individuales de personal crítico en servicios de exposición de brechas [2]. 3. **Correlación con IAM**: cruza los correos expuestos con tu directorio activo para forzar rotación de contraseñas y activar MFA. 4. **Detección de credential stuffing**: vigila intentos de acceso masivos con credenciales viejas en tus portales. Prioriza contraseñas reutilizadas y cuentas privilegiadas. La exposición de una credencial personal en otro servicio se vuelve un riesgo corporativo si el usuario reusa contraseñas. ## 5. Flujo de monitoreo recomendado | Frecuencia | Actividad | |---|---| | Diaria | Revisión de alertas de agregadores y de credenciales de dominio | | Semanal | Búsqueda activa del nombre de la organización, marcas y dominios | | Ante alerta | Validación de la fuente original y activación del plan de respuesta | | Continua | Vigilancia con nuestro Monitor de México | Documenta cada hallazgo con fecha, fuente, tipo de dato y nivel de confianza (confirmado / no confirmado / falso). ## 6. Nuestro Monitor de México Para organizaciones mexicanas construimos un monitor enfocado en el ecosistema regional: reúne y presenta reclamos de filtración que afectan a entidades en México, con contexto local, sin que tengas que navegar Tor ni exponerte a los DLS directamente. **CTA: Visita nuestro Monitor de México en [/monitor/](/monitor/)** para consultar si tu organización o tu sector aparece mencionado, y configurar tu vigilancia continua. ## 7. Advertencias honestas - **No hay garantía de detección total**: un DLS puede no ser público aún, o la extorsión puede negociarse en privado sin publicación. - **Un reclamo no es una confirmación**: la aparición del nombre de tu organización puede ser falsa, exagerada o corresponder a un proveedor, no a ti. - **Aparecer en un monitoreo no equivale a estar cifrado**: exfiltración y cifrado son eventos distintos. - **Sobre descifradores**: el monitoreo de filtraciones **no recupera archivos cifrados**. Si tus datos ya están cifrados, verifica primero si existe un descifrador gratuito y legítimo en el proyecto No More Ransom [4]. **Si no existe descifrador para tu variante, no lo hay: desconfía de cualquier herramienta que prometa lo contrario.** - **Preserva evidencia**: no borres registros ni sistemas afectados antes del análisis forense. ## Referencias [1] Cybersecurity and Infrastructure Security Agency (CISA), "Understanding Ransomware Threat Actors: Data Extortion." Disponible en: https://www.cisa.gov/stopransomware [2] Have I Been Pwned, "Check if your email or phone is in a data breach / Domain search." Disponible en: https://haveibeenpwned.com/ [3] The Tor Project, "Tor Project: Overview / Onion Services." Disponible en: https://community.torproject.org/onion-services/ [4] No More Ransom Project, "Decryption Tools." Disponible en: https://www.nomoreransom.org/es/decryption-tools.html ## 8Base: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/8base/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen 8Base es una operación de ransomware con esquema de doble extorsión (cifrado más robo y filtración de datos) que ganó notoriedad a mediados de 2023 por una escalada agresiva de ataques contra organizaciones de diversos sectores. El grupo no desarrolló su propio cifrador desde cero, sino que aprovechó constructores (builders) de ransomware filtrados, como el de Phobos, personalizando notas y extensiones. Al momento de esta guía, **no existe un descifrador gratuito conocido públicamente** para archivos cifrados por 8Base. ## TL;DR - **No hay descifrador gratuito conocido** para 8Base. Desconfía de cualquier herramienta que prometa lo contrario. - Aísla de inmediato los equipos afectados: desconéctalos de la red, pero **no los apagues** si necesitas preservar evidencia en memoria. - Identifica la infección por las notas `info.txt` e `info.hta` y las extensiones `.8base` (por ejemplo `.id[-].[].8base`). - **Preserva evidencia** antes de limpiar: imágenes forenses, notas de rescate, muestras de archivos cifrados y bitácoras. - Restaura desde respaldos limpios y sin conexión, tras confirmar que el atacante ya no tiene acceso. - Asume filtración de datos: activa tu protocolo legal y de notificación. - ¿Necesitas apoyo? Escríbenos a **hola@ransomware.mx** o llama al **(800) 649-0625**. ## 1. Qué es 8Base 8Base es un grupo de ransomware que hizo su primera aparición a inicios de marzo de 2022 y permaneció relativamente silencioso hasta que, entre mayo y junio de 2023, incrementó de forma notable su actividad, llegando a listar 131 organizaciones en apenas tres meses [1], [2]. Opera bajo el modelo de **doble extorsión**: cifra los archivos de la víctima y, además, exfiltra información para presionar con su publicación si no se paga el rescate. Su sitio de filtraciones, alojado en la red Tor (sitios con dominios `.onion` accesibles solo mediante el navegador Tor), fue creado alrededor de marzo de 2023 y adoptó un discurso de supuesta "honestidad y simplicidad" [1]. Investigadores han señalado similitudes entre 8Base y el grupo RansomHouse, tanto en el sitio web como en las notas de rescate [1], [2]. Un aspecto técnico relevante: 8Base **no dispone de un cifrador propio**; sus operadores reutilizaron constructores de ransomware filtrados (notablemente asociados a la familia Phobos) para personalizar la nota y presentarla como propia [1], [3]. Esto influye en las extensiones y el comportamiento del malware. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) Indicadores característicos de un ataque de 8Base: - **Notas de rescate:** archivos llamados `info.txt` e `info.hta`. El `.hta` suele desplegar una ventana con instrucciones de contacto. - **Extensiones de archivos cifrados:** - `.8base` - Patrón completo tipo `.id[-].[].8base`, donde `` es un identificador de la víctima y `` es la dirección de contacto del atacante. - **Comportamiento típico (herencia de Phobos):** eliminación de instantáneas de volumen (Volume Shadow Copies), desactivación de firewall y de recuperación de Windows, y persistencia mediante claves de registro y carpetas de inicio [3]. Si observas estas notas y extensiones, documenta todo (capturas, rutas, marcas de tiempo) antes de tomar cualquier otra acción. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla los equipos afectados.** Desconéctalos de la red cableada y Wi-Fi. Segmenta o apaga el acceso a recursos compartidos y respaldos para frenar la propagación. 2. **No apagues de inmediato** los equipos si tu equipo forense necesita capturar memoria RAM y estado en vivo; el apagado puede destruir evidencia volátil. 3. **Preserva evidencia:** - Toma imágenes forenses de disco y, si es posible, volcado de memoria. - Conserva copias de `info.txt`, `info.hta` y muestras de archivos cifrados. - Resguarda bitácoras de EDR/antivirus, firewall, VPN, Active Directory y accesos remotos (RDP). 4. **Identifica el vector de entrada.** 8Base y las variantes tipo Phobos suelen aprovechar RDP expuesto, credenciales débiles y phishing [3]. Cierra ese acceso. 5. **Revoca y rota credenciales** de cuentas privilegiadas, servicios y accesos remotos. 6. **Activa tu protocolo legal y de comunicación.** Dada la doble extorsión, asume que hubo exfiltración de datos y evalúa obligaciones de notificación. 7. **No contactes al atacante por tu cuenta.** Involucra a especialistas y asesoría legal antes de cualquier comunicación. ## 4. Opciones de recuperación **Punto clave y honesto: NO existe un descifrador gratuito conocido públicamente para 8Base.** Esto significa que no hay una herramienta pública y verificada que recupere los archivos sin la clave del atacante. Opciones reales: 1. **Restauración desde respaldos.** Es la vía más confiable. Verifica que los respaldos estén limpios, sin conexión o inmutables, y restaura solo después de confirmar que el atacante ya no tiene acceso al entorno. 2. **Verifica el proyecto No More Ransom.** Aunque hoy no hay descifrador para 8Base, el catálogo de No More Ransom se actualiza y conviene consultarlo periódicamente por si surge una herramienta legítima [4]. 3. **Conserva las copias cifradas.** Guarda los datos cifrados de forma segura; en el futuro podría publicarse un descifrador o filtrarse claves. **Advertencia contra herramientas no verificadas:** desconfía de sitios y "descifradores universales" que prometen recuperar `.8base`. Muchos son fraudes, adware o incluso malware adicional. No ejecutes utilidades de origen dudoso sobre datos ya comprometidos: podrían dañarlos de forma irreversible. Cualquier herramienta debe provenir de fuentes reconocidas (vendedores de seguridad establecidos o No More Ransom) y probarse primero sobre copias. **Sobre pagar el rescate:** pagar no garantiza la recuperación ni evita la publicación de datos, financia a los criminales y puede tener implicaciones legales. Considéralo solo como último recurso y con asesoría legal y especializada. ## 5. Prevención y endurecimiento - **Cierra o protege RDP:** VPN con MFA, sin exposición directa a Internet, y bloqueo de intentos por fuerza bruta [3]. - **MFA en todo:** correo, VPN, accesos administrativos y remotos. - **Respaldos 3-2-1 con copias inmutables/offline** y pruebas periódicas de restauración. - **Parcheo continuo** de sistemas operativos, servicios expuestos y software perimetral. - **EDR/antivirus** con detección de comportamiento y monitoreo de eliminación de instantáneas. - **Segmentación de red** y principio de mínimo privilegio para contener movimientos laterales. - **Concientización antiphishing** y filtrado de correo. ## Advertencias honestas (limitaciones) - La ausencia de descifrador gratuito puede cambiar: verifica No More Ransom con regularidad [4]. - Como 8Base reutiliza distintos constructores filtrados, el comportamiento exacto puede variar entre víctimas; ajusta la respuesta a los indicadores que observes. - Esta guía es orientativa y no sustituye una investigación forense profesional ni asesoría legal. Si necesitas acompañamiento, contáctanos: **(800) 649-0625** o **hola@ransomware.mx**. ## Referencias [1] VMware Security Blog, "8Base ransomware: A heavy hitter." Disponible en: https://blogs.vmware.com/security/2023/06/8base-ransomware-a-heavy-hitter.html [2] BleepingComputer, "8Base ransomware gang escalates double extortion attacks." Disponible en: https://www.bleepingcomputer.com/news/security/8base-ransomware-gang-escalates-double-extortion-attacks-in-june/ [3] Cisco Talos Intelligence, "A deep dive into Phobos ransomware." Disponible en: https://blog.talosintelligence.com/deep-dive-into-phobos-ransomware/ [4] No More Ransom Project, "Decryption Tools." Disponible en: https://www.nomoreransom.org/en/decryption-tools.html ## APT73/Bashe: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/apt73/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen APT73, también conocido como Bashe, es un grupo de ransomware que habría emergido a mediados de abril de 2024 y que se autoproclamó como una "Amenaza Persistente Avanzada" (APT, por sus siglas en inglés). La evidencia disponible sugiere una relación operativa o de derivación con el grupo LockBit, del que aparentemente heredó parte de su infraestructura y metodología. **A la fecha de redacción no existe un descifrador gratuito conocido públicamente para este ransomware.** ## TL;DR - **No hay descifrador gratuito conocido** para APT73/Bashe. Desconfíe de cualquier herramienta que prometa lo contrario. - **Aísle de inmediato** los equipos afectados de la red y de internet, pero **no los apague** si necesita preservar memoria volátil. - **Preserve evidencia** (imágenes forenses, notas de rescate, muestras) antes de intentar cualquier limpieza o restauración. - **No pague** sin evaluación profesional: no garantiza recuperación y puede tener implicaciones legales. - Restaure desde **respaldos limpios y verificados** offline. - Reporte el incidente a las autoridades competentes. - ¿Necesita apoyo? Contáctenos: **(800) 649-0625** o **hola@ransomware.mx**. ## 1. Qué es APT73/Bashe APT73 (Bashe) es un grupo de ransomware reportado por primera vez hacia abril de 2024 [1]. Un rasgo distintivo es que el propio grupo adoptó la etiqueta "APT" en su nombre, término que en ciberseguridad describe a actores sofisticados con capacidad de persistencia prolongada. Conviene tomar esta autoproclamación con cautela: es una elección de marca del grupo y no necesariamente un reflejo verificado de sus capacidades reales. La información pública disponible indica que buena parte de la operativa de APT73 deriva del grupo LockBit [1], uno de los operadores de ransomware como servicio (RaaS) más prolíficos de años recientes [2]. Esta relación sugiere que APT73 pudo reutilizar código, infraestructura de extorsión (como los sitios de filtración en la red Tor) o tácticas, técnicas y procedimientos (TTP) asociados a LockBit. En la práctica, esto suele traducirse en un modelo de **doble extorsión**: cifrado de datos más robo de información con amenaza de publicación. Nota conceptual: los grupos de ransomware suelen operar "sitios .onion", páginas alojadas en la red Tor accesibles solo mediante software especializado, donde publican datos de víctimas para presionar el pago. Explicamos esto con fines educativos; **no proporcionamos enlaces a estos sitios**. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) Con la información verificada disponible, los indicadores específicos de APT73/Bashe son limitados: - **Nombres de nota de rescate:** no documentados públicamente (n/d). - **Extensiones de archivos cifrados:** no documentadas públicamente (n/d). Ante la ausencia de IOCs específicos confirmados, apóyese en señales genéricas de un incidente de ransomware: - Archivos que dejan de abrirse o cambian de extensión de forma masiva. - Aparición de archivos de texto o HTML con instrucciones de contacto y "pago" en múltiples carpetas. - Procesos anómalos, picos de uso de CPU o de escritura en disco. - Servicios de respaldo, antivirus o instantáneas de volumen (Volume Shadow Copies) desactivados o eliminados. - Cuentas nuevas o con privilegios elevados no autorizadas. - Herramientas de administración remota o de exfiltración detectadas en tránsito. Dado el probable vínculo con LockBit, revise IOCs y TTP documentados para esa familia en avisos oficiales como referencia complementaria [2], sin asumir que coinciden al 100%. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísle** los equipos afectados: desconéctelos de la red cableada, Wi-Fi y VPN. Segmente para evitar propagación lateral. 2. **No apague** las máquinas si es posible: la memoria RAM puede contener claves o artefactos forenses útiles. Consulte con su equipo de respuesta antes de reiniciar. 3. **Preserve evidencia:** genere imágenes forenses de disco, capture memoria volátil, y conserve copias de las notas de rescate y de al menos una muestra de archivo cifrado (idealmente con su versión original si existe). 4. **Documente** la cronología: cuándo se detectó, qué sistemas están afectados, qué cuentas se comprometieron. 5. **Revoque y rote credenciales** potencialmente comprometidas; deshabilite cuentas sospechosas. 6. **Notifique** a las áreas legal, de dirección y, cuando aplique, a las autoridades y a la instancia reguladora de protección de datos correspondiente. 7. **Evalúe la exfiltración:** en modelos de doble extorsión, el robo de datos puede implicar obligaciones de notificación aunque restaure el cifrado. ## 4. Opciones de recuperación **Advertencia central: no existe un descifrador gratuito conocido públicamente para APT73/Bashe.** Cualquier sitio o herramienta que afirme "descifrar Bashe gratis" o mediante pago debe tratarse como sospechoso: puede ser fraude, malware adicional o una estafa. Opciones realistas, en orden de preferencia: 1. **Restauración desde respaldos:** es la vía más confiable. Use respaldos offline o inmutables, verificados y libres de la amenaza. Antes de restaurar, reconstruya o limpie los sistemas para eliminar persistencia del atacante. 2. **Consultar recursos legítimos:** revise periódicamente el proyecto **No More Ransom** [3]. Aunque hoy no haya herramienta para esta familia, en ocasiones se publican descifradores cuando se incautan claves o se filtran builders (como ocurrió con algunas variantes de LockBit) [2]. 3. **Reconstrucción limpia:** si no hay respaldos ni descifrador, la recuperación puede implicar reinstalar sistemas desde cero y aceptar la pérdida de datos no respaldados. 4. **Evaluación profesional del pago:** el pago no garantiza la recuperación ni la no publicación de datos, financia a los delincuentes y puede acarrear riesgos legales según sanciones internacionales. No lo aborde sin asesoría legal y de respuesta a incidentes. Nunca ejecute "descifradores" descargados de fuentes no verificadas sobre sus únicos archivos cifrados; pruebe siempre en copias. ## 5. Prevención y endurecimiento - **Respaldos 3-2-1** con al menos una copia offline o inmutable, y pruebas de restauración periódicas. - **MFA** en todos los accesos remotos, VPN, correo y cuentas privilegiadas. - **Parcheo** oportuno de sistemas expuestos (VPN, RDP, servidores perimetrales). - **Segmentación de red** y principio de mínimo privilegio. - **EDR/antimalware** con detección de comportamiento y monitoreo de exfiltración. - **Deshabilitar RDP** expuesto a internet; usar acceso mediante gateway seguro. - **Registro y alertas** centralizados; retención suficiente de logs. - **Capacitación** contra phishing, vector inicial frecuente. - **Plan de respuesta a incidentes** probado con simulacros. ## Advertencias honestas (limitaciones) La información pública sobre APT73/Bashe es escasa y parte de ella proviene de su presunta relación con LockBit, por lo que los detalles técnicos (notas, extensiones, cifrado exacto) no están confirmados de forma independiente al momento de escribir esto. La ausencia de descifrador gratuito puede cambiar si se incautan claves o se filtran herramientas; verifique fuentes oficiales periódicamente. Esta guía es orientativa y no sustituye una investigación forense específica de su caso. Si necesita ayuda especializada, contáctenos: **(800) 649-0625** o **hola@ransomware.mx**. ## Referencias [1] crocodyli, "ThreatActors-TTPs," GitHub. [En línea]. Disponible: https://github.com/crocodyli/ThreatActors-TTPs [2] Cybersecurity and Infrastructure Security Agency (CISA), "#StopRansomware: LockBit 3.0," Alert AA23-075A. [En línea]. Disponible: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-075a [3] No More Ransom Project. [En línea]. Disponible: https://www.nomoreransom.org/ ## BrainCipher: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/braincipher/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen BrainCipher es una familia de ransomware que apareció en julio de 2024 y opera con variantes para Windows y Linux, construidas a partir del código filtrado de LockBit Black (LockBit 3.0). Este documento describe cómo identificar una infección, los pasos inmediatos de contención y preservación de evidencia, y las opciones realistas de recuperación. Advertencia clave: al momento de esta publicación no existe un descifrador gratuito conocido públicamente para BrainCipher. ## TL;DR - **No hay descifrador gratuito conocido** para BrainCipher. Desconfía de cualquier herramienta que prometa descifrar gratis. - Aísla de inmediato los equipos afectados de la red (cable, Wi-Fi, VPN), pero **no apagues** los sistemas si es posible: preserva memoria y evidencia. - Preserva notas de rescate, muestras de archivos cifrados y registros (logs) antes de remediar. - BrainCipher usa el build filtrado de LockBit Black, así que hereda sus comportamientos técnicos. - Se sospecha explotación de **CVE-2023-28252** (escalada de privilegios en el driver CLFS de Windows): parcha de inmediato. - Restaura desde respaldos offline verificados; esa suele ser la única vía confiable de recuperación. - Reporta el incidente a las autoridades y considera apoyo especializado antes de negociar. ## 1. Qué es BrainCipher BrainCipher es un grupo de ransomware operado con fines de extorsión que surgió en julio de 2024. Emplea el clásico esquema de doble extorsión: cifra los datos de la víctima y amenaza con publicar información robada si no se paga [1], [2]. Características técnicas verificadas: - **Variantes Windows y Linux**, lo que amplía su superficie de ataque hacia hipervisores y servidores. - Construido sobre el **build filtrado de LockBit Black (LockBit 3.0)**. Tras la filtración del constructor de LockBit en 2022, múltiples grupos han derivado su malware de ese código base [3], [4]. - Se **sospecha** el aprovechamiento de **CVE-2023-28252**, vulnerabilidad de escalada de privilegios en el driver Common Log File System (CLFS) de Windows [5]. - Rescates que van de aproximadamente 150,000 a montos de hasta siete cifras en dólares, con pago exigido en la criptomoneda **Monero (XMR)**, elegida por sus propiedades de privacidad que dificultan el rastreo. - En 2025 migraron su portal de negociación a un nuevo servidor con un dominio TOR personalizado ("vanity") que inicia con "brain". Nota educativa: los dominios .onion son direcciones de la red Tor que enrutan el tráfico por múltiples nodos para ocultar la ubicación de los servidores; los grupos criminales los usan para alojar sus portales de extorsión. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) Datos honestos sobre indicadores públicos: - **Nombre de la nota de rescate**: n/d (no verificado públicamente en nuestros datos). - **Extensión de archivos cifrados**: n/d (no verificada). Al derivar de LockBit Black, algunas variantes generan una extensión aleatoria de caracteres por víctima, pero no lo damos por confirmado para BrainCipher. Señales que sí puedes buscar: - Archivos ilegibles con extensión modificada o nueva, y un archivo de texto o HTML de rescate depositado en múltiples carpetas. - Cambio del fondo de pantalla o mensajes que dirigen a un portal Tor cuyo dominio inicia con "brain". - Procesos que enumeran unidades, detienen servicios y eliminan Copias de Sombra de Volumen (VSS), comportamiento típico de LockBit Black. - Registros de eventos que muestren explotación de escalada de privilegios relacionada con CLFS (CVE-2023-28252). Como los indicadores públicos son limitados, la **identificación forense de muestras** por parte de un equipo especializado es la vía más confiable para confirmar la familia. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla, no borres.** Desconecta los equipos de la red (desactiva Wi-Fi, VPN, desconecta cables). Evita apagar máquinas si puedes, para preservar memoria RAM y artefactos volátiles. 2. **Segmenta.** Aísla servidores de respaldo, controladores de dominio e hipervisores (ESXi u otros) que puedan ser objetivo de la variante Linux. 3. **Preserva evidencia.** Guarda copias de la nota de rescate, muestras de archivos cifrados (y, si existen, versiones no cifradas equivalentes), logs de EDR/antivirus, registros de eventos de Windows y firewall. Documenta fechas, hosts y cuentas afectadas. 4. **Revoca y rota credenciales.** Restablece contraseñas de administradores y cuentas de servicio; revoca sesiones activas y tokens. 5. **Identifica el punto de entrada.** Busca explotación de CVE-2023-28252 y accesos remotos comprometidos (RDP, VPN). 6. **Notifica.** Reporta a tu equipo legal, a tu aseguradora (si aplica) y a las autoridades correspondientes. ## 4. Opciones de recuperación **Aviso prominente y honesto: no existe un descifrador gratuito conocido públicamente para BrainCipher.** Nadie puede garantizar la recuperación de archivos cifrados sin la clave privada de los atacantes. Opciones realistas: - **Restaurar desde respaldos offline verificados.** Es la vía más confiable. Valida que los respaldos no estén cifrados ni comprometidos antes de restaurar, y hazlo en una red ya saneada. - **Consultar No More Ransom.** Verifica periódicamente el portal No More Ransom por si aparece una herramienta futura; hoy no la hay para esta familia [6]. - **Preservar los datos cifrados.** Aunque hoy no haya descifrador, en el futuro podría publicarse una herramienta si se filtran o incautan claves. Conserva copias de los datos cifrados. Advertencias críticas: - **Desconfía de "descifradores gratuitos" de BrainCipher** anunciados en foros o buscadores: suelen ser fraudes o malware adicional. Si no proviene de una fuente verificada como No More Ransom o un fabricante reconocido, no lo ejecutes. - **Pagar no garantiza** recuperar los datos ni que no se publiquen, y puede tener implicaciones legales. Evalúalo con asesoría legal y especializada. ## 5. Prevención y endurecimiento - **Parcha CVE-2023-28252** y mantén Windows actualizado; prioriza vulnerabilidades de escalada de privilegios [5]. - **Respaldos 3-2-1** con al menos una copia offline o inmutable, y prueba las restauraciones. - **MFA** en todos los accesos remotos (VPN, RDP) y elimina RDP expuesto a internet. - **EDR/XDR** con detección de comportamiento y monitoreo de borrado de VSS. - **Segmentación de red** y principio de mínimo privilegio; protege hipervisores ESXi por la variante Linux. - **Endurece copias de sombra** y credenciales de administrador; usa cuentas separadas para tareas privilegiadas. ## Advertencias honestas (limitaciones) Los indicadores públicos de BrainCipher son limitados: no tenemos verificados el nombre exacto de la nota de rescate ni la extensión de cifrado. La atribución del uso de LockBit Black y la explotación de CVE-2023-28252 se basan en observaciones de la comunidad; trata algunos puntos como probables, no absolutos. Ninguna guía sustituye un análisis forense de tu caso concreto. ¿Necesitas ayuda? Puedes contactarnos al **(800) 649-0625** o escribir a **hola@ransomware.mx**. Podemos apoyar en identificación de la variante, contención, análisis forense y estrategia de recuperación. ## Referencias [1] Trend Micro, "Ransomware Spotlight," Trend Micro Research. [En línea]. Disponible: https://www.trendmicro.com/vinfo/us/security/news/ransomware-spotlight [2] BleepingComputer, "Ransomware news and coverage," BleepingComputer. [En línea]. Disponible: https://www.bleepingcomputer.com/tag/ransomware/ [3] Cybereason, "Threat Analysis: LockBit 3.0 (LockBit Black)," Cybereason Blog. [En línea]. Disponible: https://www.cybereason.com/blog [4] CISA, "#StopRansomware: LockBit 3.0," Cybersecurity and Infrastructure Security Agency, Alert AA23-075A. [En línea]. Disponible: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-075a [5] NIST, "CVE-2023-28252 Detail," National Vulnerability Database. [En línea]. Disponible: https://nvd.nist.gov/vuln/detail/CVE-2023-28252 [6] No More Ransom, "Decryption Tools," No More Ransom Project. [En línea]. Disponible: https://www.nomoreransom.org/es/decryption-tools.html ## Clop/Cl0p: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/clop-cl0p/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen Clop (también escrito Cl0p) es una familia de ransomware operada por actores con motivación financiera, históricamente vinculada al grupo TA505 y derivada del linaje CryptoMix. Se ha caracterizado por combinar cifrado de archivos con extorsión mediante robo y filtración de datos (doble extorsión), y por explotar vulnerabilidades de día cero en soluciones de transferencia gestionada de archivos para lograr compromisos masivos. Esta guía resume identificación, contención, recuperación y endurecimiento, con una advertencia clara: **no existe un descifrador gratuito conocido públicamente**. ## TL;DR - **No pagues de inmediato ni improvises.** No hay descifrador gratuito conocido para Clop/Cl0p. - **Aísla** los equipos afectados de la red sin apagarlos abruptamente si necesitas preservar memoria volátil. - **Preserva evidencia**: notas de rescate, muestras cifradas, logs y registros de red. - **Asume exfiltración de datos**: Clop roba antes de cifrar y extorsiona con publicación. - **Restaura desde respaldos** verificados y offline, tras confirmar erradicación. - **Desconfía** de "descifradores" ofrecidos en foros o sitios dudosos: suelen ser fraude o malware. - **Reporta** el incidente a las autoridades y, si necesitas apoyo, contáctanos: **(800) 649-0625**, **hola@ransomware.mx**. ## 1. Qué es Clop/Cl0p Clop es una variante que evolucionó a partir de la familia CryptoMix [1]. En sus campañas iniciales (alrededor de 2019) se distribuía como carga final de campañas de phishing operadas por TA505: correos maliciosos con documentos habilitados para macros que descargaban un cargador conocido como "Get2". Tras el acceso inicial, los actores realizaban reconocimiento, movimiento lateral y exfiltración de datos antes de desplegar el cifrador [1], [2]. Con el tiempo, la operación Clop dejó de depender exclusivamente del phishing y adoptó la explotación de vulnerabilidades en plataformas de transferencia gestionada de archivos (MFT), lo que le permitió comprometer a numerosas organizaciones en campañas de gran escala. Ejemplos documentados incluyen la explotación de fallas en Accellion FTA, GoAnywhere MFT y MOVEit Transfer (CVE-2023-34362) [2], [3]. Este modelo prioriza el robo masivo de datos y la extorsión pública por encima del cifrado tradicional. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) **Extensiones de archivos cifrados observadas:** - `.clop` - `.Cl0p` - `.C_L_O_P` (En variantes históricas también se han reportado extensiones similares como `.CIIp` y `.Cllp`.) **Nombres de nota de rescate conocidos:** - `README_README.txt` - `ClopReadMe.txt` - `!_READ_ME.RTF` (También se han observado variantes como `Cl0pReadMe.txt` y `READ_ME_!!!.TXT`.) **Otros indicadores:** - Archivos ilegibles con las extensiones anteriores y notas de texto en múltiples carpetas. - Señales de reconocimiento y movimiento lateral (uso de herramientas administrativas, PowerShell, PsExec). - Tráfico saliente inusual asociado a exfiltración de grandes volúmenes de datos. - En campañas contra MFT, indicadores específicos del web shell desplegado en el servidor vulnerable (por ejemplo, artefactos tipo `LEMURLOOT` en las campañas de MOVEit) [3]. La nota suele indicar que los datos fueron cifrados y exfiltrados, y dirige a las víctimas a un portal de negociación alojado en la red Tor. Los sitios `.onion` son direcciones accesibles solo mediante la red Tor, que anonimiza el tráfico; los operadores de Clop los usan para publicar datos y presionar a las víctimas. **No incluimos ni recomendamos acceder a esos enlaces.** ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla los sistemas afectados** de la red (desconecta cable/Wi-Fi, segmenta VLAN). No los formatees. 2. **No apagues equipos** si se requiere análisis de memoria volátil; consulta con tu equipo forense antes de reiniciar. 3. **Preserva evidencia**: copia forense de discos, capturas de memoria, notas de rescate, muestras de archivos cifrados, logs de EDR, firewall, VPN y servidores expuestos. 4. **Identifica el vector de entrada**: revisa servidores MFT/expuestos a Internet y aplica parches disponibles de inmediato [3]. 5. **Revoca y rota credenciales** potencialmente comprometidas (cuentas de dominio, servicios, API, certificados). 6. **Notifica** a tu equipo legal, dirección, aseguradora cibernética y autoridades competentes. Dada la exfiltración, evalúa obligaciones de notificación de brechas de datos. 7. **Documenta** cronología y acciones para el informe de respuesta. ## 4. Opciones de recuperación > **No existe un descifrador gratuito conocido públicamente para Clop/Cl0p.** Cualquier herramienta que prometa descifrar archivos `.clop`, `.Cl0p` o `.C_L_O_P` de forma gratuita e instantánea debe tratarse con máxima sospecha: frecuentemente es fraude o malware adicional. Opciones realistas: 1. **Restauración desde respaldos**: la vía más confiable. Verifica que los respaldos estén limpios, offline o inmutables, y restaura solo después de erradicar la amenaza y cerrar el vector de acceso. 2. **Verificar No More Ransom**: consulta el portal oficial por si en el futuro se publica una herramienta; hoy no hay descifrador para estas variantes [4]. 3. **Recuperación parcial**: en algunos casos existen copias en shadow copies, snapshots de almacenamiento o versiones en nube; verifica antes de asumir pérdida total (Clop suele intentar borrarlas). 4. **Sobre el pago del rescate**: no se recomienda. No garantiza recuperación ni la no publicación de datos, financia al crimen organizado y puede implicar riesgos legales según jurisdicción y sanciones aplicables [2], [5]. Decide con asesoría legal y forense. **Precaución con "descifradores" no verificados:** descarga herramientas solo de fuentes oficiales (fabricantes de seguridad reconocidos o No More Ransom). Nunca ejecutes binarios obtenidos de foros, chats o resultados de búsqueda dudosos. ## 5. Prevención y endurecimiento - **Parcheo prioritario** de sistemas expuestos a Internet, en especial soluciones MFT y VPN [3]. - **MFA** en todos los accesos remotos y cuentas privilegiadas. - **Segmentación de red** y principio de mínimo privilegio. - **Respaldos 3-2-1** con copias offline e inmutables, probadas periódicamente. - **EDR/XDR** con detección de comportamiento y monitoreo de exfiltración. - **Filtrado de correo** y bloqueo de macros de origen externo [1]. - **Monitoreo de tráfico saliente** para detectar volúmenes anómalos. - **Plan de respuesta a incidentes** documentado y ensayado. ## Advertencias honestas (limitaciones) - Esta guía es informativa y no sustituye una investigación forense profesional. - La ausencia de un descifrador gratuito puede cambiar; verifica No More Ransom periódicamente [4]. - Dado que Clop exfiltra datos, restaurar archivos **no elimina** el riesgo de filtración ni las obligaciones de notificación. - Los indicadores varían por campaña; adapta la búsqueda a tu entorno. Si necesitas apoyo especializado en contención, análisis o recuperación, contáctanos: **(800) 649-0625** · **hola@ransomware.mx**. ## Referencias [1] Trend Micro, "Clop Ransomware." [En línea]. Disponible: https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats [2] CISA, "#StopRansomware: CL0P Ransomware Gang Exploits CVE-2023-34362 MOVEit Vulnerability," Alert AA23-158A. [En línea]. Disponible: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-158a [3] Progress Software, "MOVEit Transfer Critical Vulnerability (CVE-2023-34362)." [En línea]. Disponible: https://www.progress.com/security/moveit-transfer-and-moveit-cloud-vulnerability [4] No More Ransom Project. [En línea]. Disponible: https://www.nomoreransom.org/ [5] U.S. Department of the Treasury, OFAC, "Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments." [En línea]. Disponible: https://ofac.treasury.gov/media/912981/download ## FunkSec: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/funksec/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen FunkSec es una operación de ransomware como servicio (RaaS) que emergió en diciembre de 2024 y ganó notoriedad por incorporar herramientas asistidas por inteligencia artificial para reducir la barrera técnica de sus afiliados. En un lapso corto reclamó más de 85 víctimas en gobierno, tecnología, finanzas y educación, con una peculiaridad: rescates inusualmente bajos que sugieren un enfoque de volumen sobre montos individuales. Actualmente **no existe descifrador gratuito conocido públicamente** para FunkSec. ## TL;DR - **No hay descifrador gratuito conocido** para FunkSec. Desconfía de cualquier herramienta que prometa lo contrario. - **Aísla de inmediato** los equipos afectados: desconecta red, no apagues (para preservar memoria si es posible). - **Preserva evidencia**: notas de rescate, muestras cifradas, registros, imágenes de disco. - **No pagues sin asesoría**: el pago no garantiza recuperación y puede tener implicaciones legales. - **Restaura desde respaldos** offline verificados como la vía principal de recuperación. - **Reporta el incidente** a las autoridades y busca apoyo especializado. - ¿Necesitas ayuda? Escríbenos: **hola@ransomware.mx** / **(800) 649-0625**. ## 1. Qué es FunkSec FunkSec es un grupo de ransomware como servicio (RaaS) que puso en línea su sitio de filtración de datos en diciembre de 2024 [1], [2]. Su modelo combina doble extorsión (cifrado de archivos más robo y amenaza de publicación de datos) con el uso reportado de herramientas asistidas por IA para generar o refinar código malicioso, lo que baja el umbral técnico requerido por sus afiliados [1], [3]. Dos rasgos lo distinguen. Primero, la **velocidad de acumulación de víctimas**: superó los 85 casos reclamados en poco tiempo, abarcando sectores de gobierno, tecnología, finanzas y educación a nivel global [2]. Segundo, los **rescates inusualmente bajos**, una estrategia que prioriza volumen y presión rápida sobre montos elevados por víctima [1]. El uso de IA también levanta dudas sobre la madurez real del código: algunos análisis sugieren componentes reutilizados o de calidad desigual, lo que puede reflejarse en la fiabilidad de su propio cifrado [3]. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) **Nota importante sobre datos:** al momento de esta guía, los nombres específicos de nota de rescate y las extensiones de archivo cifrado asociadas a FunkSec **no están confirmados públicamente (n/d)**. Evita asumir un patrón concreto; verifica caso por caso. Señales generales que ayudan a identificar una infección por ransomware tipo FunkSec: - **Archivos inaccesibles** con extensiones renombradas o alteradas de forma masiva. - **Nota de rescate** en carpetas afectadas (archivos de texto o HTML) que exige contacto y pago, a menudo con montos bajos. - **Actividad de exfiltración** previa al cifrado: picos de tráfico saliente hacia direcciones o servicios inusuales. - **Ejecución de procesos anómalos** y desactivación de herramientas de seguridad o eliminación de instantáneas (Shadow Copies). - **Amenaza de publicación** de datos en un sitio de filtración accesible vía Tor (red que anonimiza el tráfico y aloja sitios con dominios .onero .onion, que aquí no enlazamos). Recomendación: recolecta muestras de archivos cifrados y de la nota, y súbelas a un servicio de identificación confiable como el de No More Ransom para intentar confirmar la familia [4]. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla los equipos afectados.** Desconéctalos de la red (cable, Wi-Fi, VPN). Evita apagarlos de inmediato si planeas capturar memoria volátil. 2. **Segmenta y contén.** Bloquea cuentas comprometidas, revoca sesiones y aísla segmentos de red para frenar el movimiento lateral. 3. **Preserva evidencia forense.** Genera imágenes de disco y volcados de memoria antes de remediar. Conserva la nota de rescate, muestras cifradas y registros (EDR, firewall, DNS, autenticación). 4. **No modifiques los archivos cifrados.** Cualquier intento de manipulación puede impedir una recuperación futura. 5. **Identifica el vector de entrada.** Revisa accesos remotos (RDP, VPN), phishing y vulnerabilidades expuestas. 6. **Activa tu plan de respuesta a incidentes** y notifica a las partes internas y legales que correspondan [5]. 7. **Reporta a las autoridades** competentes y considera asesoría especializada. ## 4. Opciones de recuperación **Aviso claro y prominente: NO existe un descifrador gratuito conocido públicamente para FunkSec.** Nadie puede garantizar hoy la recuperación de archivos cifrados por esta familia sin la clave de los atacantes. Con esa realidad en mente, tus opciones son: - **Restauración desde respaldos offline.** Es la vía más confiable. Verifica que los respaldos estén limpios y no comprometidos antes de restaurar, y hazlo en un entorno reconstruido. - **Recuperación parcial.** Revisa instantáneas de volumen, versiones previas en servicios en la nube y copias en dispositivos no afectados. En algunos casos, errores del propio ransomware dejan archivos parcialmente recuperables. - **Conserva las muestras cifradas.** Si en el futuro se publica un descifrador (por ejemplo, tras el desmantelamiento del grupo o la filtración de claves), podrás recuperarlas después. No More Ransom mantiene un catálogo de herramientas gratuitas que conviene revisar periódicamente [4]. **Advertencia sobre herramientas no verificadas:** circulan supuestos "descifradores universales" que en realidad son estafas o malware adicional. **No descargues ni ejecutes herramientas de origen dudoso.** Solo usa descifradores publicados por fuentes reputadas (No More Ransom, CISA, fabricantes de antivirus reconocidos) [4], [5]. **Sobre pagar el rescate:** el pago no garantiza la entrega de una clave funcional ni la eliminación de los datos robados, financia futuros ataques y puede acarrear implicaciones legales. Toma esta decisión solo con asesoría legal y de respuesta a incidentes. ## 5. Prevención y endurecimiento - **Respaldos 3-2-1** con al menos una copia offline o inmutable, y pruebas de restauración periódicas. - **MFA** en todos los accesos remotos y administrativos; restringe o elimina RDP expuesto a internet. - **Parcheo oportuno** de sistemas y servicios de cara a internet. - **EDR/XDR** con detección de comportamiento y respuesta automatizada. - **Segmentación de red** y principio de mínimo privilegio. - **Capacitación antiphishing** y filtrado de correo. - **Monitoreo de exfiltración** y alertas de tráfico anómalo saliente [5]. ## Advertencias honestas (limitaciones) Esta guía se basa en información pública disponible hasta la fecha. Los datos específicos de FunkSec (nombres de nota de rescate y extensiones de cifrado) **no están confirmados públicamente**, por lo que la identificación debe validarse caso por caso. **No hay descifrador gratuito conocido**, y no podemos prometer recuperación sin respaldos. El panorama de amenazas cambia rápido: verifica siempre fuentes actualizadas antes de actuar. ¿Necesitas apoyo para responder a un incidente de FunkSec? Contáctanos: **(800) 649-0625** o **hola@ransomware.mx**. Podemos ayudarte con contención, análisis forense y estrategia de recuperación. ## Referencias [1] The Hacker News, "FunkSec Ransomware Emerges as AI-Assisted RaaS Threat." [En línea]. Disponible: https://thehackernews.com/ [2] BleepingComputer, "New ransomware groups tracked in late 2024." [En línea]. Disponible: https://www.bleepingcomputer.com/ [3] Check Point Research, "FunkSec: The Rising Ransomware Group Backed by AI." [En línea]. Disponible: https://research.checkpoint.com/ [4] No More Ransom Project, "Decryption Tools." [En línea]. Disponible: https://www.nomoreransom.org/ [5] Cybersecurity and Infrastructure Security Agency (CISA), "Stop Ransomware." [En línea]. Disponible: https://www.cisa.gov/stopransomware ## Hunters International: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/hunters-international/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen Hunters International es una operación de ransomware con doble extorsión que surgió a finales de 2023, vinculada técnicamente al código base del extinto ransomware Hive. Esta guía describe cómo identificar la infección, contener el incidente, preservar evidencia y evaluar opciones de recuperación. **No existe descifrador gratuito conocido públicamente para Hunters International**, por lo que la recuperación depende principalmente de respaldos y de un análisis forense adecuado. ## TL;DR - **No hay descifrador gratuito conocido** a la fecha para archivos cifrados por Hunters International. Desconfía de cualquier herramienta que prometa lo contrario. - Busca la nota de rescate `Contact Us.txt` y archivos con extensión `.locked` o extensiones aleatorias. - Aísla de inmediato los equipos afectados de la red, pero **no apagues** los sistemas todavía (preserva memoria y evidencia). - Preserva registros, notas de rescate y muestras cifradas antes de cualquier limpieza. - Prioriza restaurar desde respaldos limpios y sin conexión (offline). - Asume exfiltración de datos: este grupo usa el robo de información como palanca principal de extorsión. - Reporta el incidente a las autoridades y busca apoyo profesional. ## 1. Qué es Hunters International Hunters International es un grupo de ransomware que apareció públicamente hacia finales de 2023. Se le asocia con el código fuente del ransomware Hive, que fue interrumpido por una operación internacional coordinada por Europol y el FBI en enero de 2023 [1], [2]. Poco después de esa intervención, el código base, incluidas versiones anteriores desarrolladas en Golang y en C, cambió de manos, y Hunters International afirmó haber corregido los errores de cifrado que en ciertos casos impedían el descifrado bajo Hive. Una característica distintiva declarada por el propio grupo es que el cifrado no es su objetivo principal: su modelo de extorsión se apoya sobre todo en el robo de datos (exfiltración) para presionar a las víctimas [3]. Esto significa que, aun cuando logres restaurar archivos desde respaldos, el riesgo de publicación o venta de la información robada persiste. El grupo opera un sitio de filtraciones alojado en la red Tor (sitios con dominio .onion, accesibles solo mediante el navegador Tor), donde amenaza con divulgar los datos sustraídos. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) **Nota de rescate:** - Nombre conocido: `Contact Us.txt`. Suele contener instrucciones para contactar a los atacantes y un identificador de víctima. **Extensiones de archivos cifrados:** - `.locked` - `.` (una cadena aleatoria específica por víctima o campaña) **Indicadores de comportamiento a revisar:** - Cifrado masivo de archivos en unidades locales y recursos de red compartidos. - Eliminación de instantáneas de volumen (Volume Shadow Copies) y de respaldos accesibles. - Actividad anómala de herramientas de administración remota y de movimiento lateral. - Signos de exfiltración: transferencias salientes grandes hacia servicios de almacenamiento o direcciones desconocidas antes del cifrado. Dado que Hunters International reutiliza linaje de Hive, conviene comparar los artefactos con los reportes técnicos públicos sobre Hive y sus variantes [1], [2]. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla los equipos afectados.** Desconéctalos de la red (cable, Wi-Fi, VPN) para frenar la propagación. Segmenta o apaga puertos de switch si es necesario. 2. **No apagues de inmediato** los sistemas comprometidos si es posible. La memoria RAM puede contener claves o artefactos útiles para el análisis forense. Coordina la captura de memoria con especialistas. 3. **Preserva evidencia:** guarda copias íntegras de la nota `Contact Us.txt`, muestras de archivos cifrados (junto con versiones no cifradas si existen), registros de eventos de Windows, logs de firewall, EDR y VPN. 4. **Documenta la cronología:** hora de detección, sistemas afectados, cuentas involucradas. 5. **Revoca y rota credenciales** de cuentas privilegiadas, servicios y accesos remotos. 6. **Identifica el vector de entrada** (phishing, RDP expuesto, vulnerabilidades sin parche) para cerrarlo antes de restaurar. 7. **Notifica a las autoridades** competentes y evalúa obligaciones legales de notificación por posible fuga de datos personales. ## 4. Opciones de recuperación **Aviso claro y prominente: a la fecha NO existe un descifrador gratuito público para Hunters International.** No hay una herramienta legítima y verificada que permita recuperar los archivos sin la clave de los atacantes. Opciones realistas: - **Restauración desde respaldos limpios:** la vía más confiable. Usa respaldos sin conexión o inmutables, verifica que no estén comprometidos y restaura en un entorno ya saneado y con credenciales rotadas. - **Verificar el portal No More Ransom:** aunque hoy no hay descifrador para esta familia, el catálogo se actualiza. Vale la pena consultarlo periódicamente [4]. - **Análisis forense especializado:** en algunos incidentes se recuperan datos parciales de instantáneas residuales, archivos temporales o sistemas no cifrados por completo. **Advertencia contra herramientas no verificadas:** evita descargar supuestos "descifradores universales" de foros o sitios desconocidos. Muchos son fraudes o malware adicional. Cualquier herramienta debe provenir de fuentes reconocidas (No More Ransom, CISA, fabricantes de antivirus establecidos). **Sobre el pago:** el pago no garantiza la recuperación ni la eliminación de los datos robados, financia futuras operaciones criminales y puede tener implicaciones legales. La decisión debe tomarse con asesoría legal y profesional. ## 5. Prevención y endurecimiento - Mantén **respaldos 3-2-1** con al menos una copia offline o inmutable, y prueba las restauraciones con regularidad. - **Parcha** sistemas y aplicaciones expuestas; prioriza vulnerabilidades explotadas activamente. - **Elimina o protege el acceso RDP** y publica accesos remotos solo tras VPN con MFA. - Aplica **autenticación multifactor (MFA)** en todas las cuentas, especialmente las privilegiadas. - Implementa **segmentación de red** y el principio de mínimo privilegio. - Despliega **EDR/XDR** con detección de comportamiento y monitoreo de exfiltración. - Capacita al personal contra **phishing** y realiza simulacros de respuesta a incidentes. - Registra y monitorea el tráfico saliente para detectar robos de datos tempranos. ## Advertencias honestas (limitaciones) - La información sobre el traspaso del código de Hive a Hunters International proviene en buena parte de declaraciones de los propios actores, sin evidencia técnica concluyente que la confirme por completo. - No podemos garantizar la recuperación de archivos sin respaldos. **No hay descifrador gratuito conocido.** - Los IOCs y extensiones pueden variar entre campañas; usa esta guía como punto de partida, no como verdad absoluta. - Este documento es orientativo y no sustituye una respuesta a incidentes profesional adaptada a tu entorno. Si necesitas ayuda, puedes contactarnos: **tel. (800) 649-0625** o **hola@ransomware.mx**. Podemos apoyarte en la contención, el análisis forense y la evaluación de opciones de recuperación. ## Referencias [1] Europol, "Cybercriminals stung as HIVE infrastructure shut down," 2023. [En línea]. Disponible: https://www.europol.europa.eu/media-press/newsroom/news/cybercriminals-stung-hive-infrastructure-shut-down [2] U.S. Department of Justice, "U.S. Department of Justice Disrupts Hive Ransomware Variant," 2023. [En línea]. Disponible: https://www.justice.gov/opa/pr/us-department-justice-disrupts-hive-ransomware-variant [3] Bitdefender, "Unpacking Hunters International Ransomware," 2023. [En línea]. Disponible: https://www.bitdefender.com/blog/labs/ [4] No More Ransom Project, "Decryption Tools." [En línea]. Disponible: https://www.nomoreransom.org/es/decryption-tools.html [5] CISA, "Stop Ransomware." [En línea]. Disponible: https://www.cisa.gov/stopransomware ## INC Ransom: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/incransom/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen INC Ransom es una operación de ransomware como servicio (RaaS) activa desde julio de 2023 que ataca de forma sistemática los sectores de salud, gobierno, educación y manufactura en Norteamérica y Europa. Emplea el modelo de doble extorsión (cifrado más robo de datos) y no existe descifrador gratuito público a la fecha de redacción de esta guía. Este documento explica cómo identificar la infección, contener el incidente, preservar evidencia y evaluar opciones realistas de recuperación. ## TL;DR - **No hay descifrador gratuito conocido** para INC Ransom. Desconfía de cualquier herramienta que prometa lo contrario. - Aísla de inmediato los equipos afectados de la red, pero **no los apagues** de forma precipitada: preserva memoria y discos. - Documenta todo (fotos de la nota, hashes, logs). La evidencia es crítica para forense y para eventuales reportes legales. - Asume exfiltración de datos: es doble extorsión. Evalúa obligaciones de notificación (RGPD, autoridades locales). - La vía de recuperación más confiable son **backups limpios y offline** validados. - No pagues sin asesoría legal y forense; pagar no garantiza recuperación ni borrado de datos [1]. - ¿Necesitas apoyo? Llámanos al **(800) 649-0625** o escribe a **hola@ransomware.mx**. ## 1. Qué es INC Ransom INC Ransom es un grupo criminal que opera bajo el esquema de ransomware como servicio: los desarrolladores mantienen el cifrador y la infraestructura, mientras afiliados ejecutan las intrusiones a cambio de un porcentaje del rescate. Activo desde mediados de 2023, ha mantenido un ritmo alto de víctimas durante 2025, con especial afectación a hospitales, entidades gubernamentales, instituciones educativas y fabricantes [2], [3]. Su operativa típica combina: - **Acceso inicial** mediante phishing, credenciales comprometidas o explotación de servicios expuestos (VPN, RDP, vulnerabilidades sin parchear). - **Movimiento lateral** con herramientas legítimas de administración (living off the land): PsExec, WMI, RDP y utilidades de red. - **Exfiltración de datos** antes del cifrado, para presionar con publicación en su sitio de filtraciones alojado en la red Tor (servicios .onion, accesibles solo mediante el navegador Tor). - **Cifrado** de servidores y estaciones, seguido de la nota de rescate. La red Tor permite a los atacantes ocultar la ubicación de sus servidores; el sitio de filtraciones es donde publican muestras y nombres de víctimas que no pagan. No enlazamos esos recursos por razones de seguridad y legales. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) **Nota de rescate:** los nombres específicos de archivo de la nota **no están confirmados** en nuestros datos verificados (n/d). Históricamente INC Ransom ha usado notas en texto plano que instruyen contactar por un portal en Tor con un ID de víctima. Revisa la raíz de directorios cifrados y el escritorio. **Extensiones de archivos cifrados:** **no confirmadas** en esta guía (n/d). Evita asumir una extensión concreta; verifica los cambios de nombre reales en tu entorno. **Indicadores de compromiso a buscar:** - Procesos y ejecuciones anómalas de PsExec, WMIC, `rundll32` o tareas programadas creadas recientemente. - Cuentas nuevas de administrador o cambios de privilegios no autorizados. - Volúmenes de copias de sombra (VSS) eliminados (`vssadmin delete shadows`). - Tráfico saliente inusual hacia servicios de almacenamiento en la nube o IPs desconocidas (posible exfiltración). - Conexiones RDP fuera de horario o desde geolocalizaciones atípicas. - Registros de eventos borrados o herramientas de seguridad deshabilitadas. Correlaciona estos indicadores con tus SIEM/EDR antes de concluir la línea de tiempo del ataque. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla, no destruyas.** Desconecta el cable de red o deshabilita el Wi-Fi de los equipos afectados. Evita apagarlos si es posible, para preservar artefactos en memoria RAM. 2. **Segmenta la red.** Bloquea el movimiento lateral: aísla VLANs, corta accesos administrativos y desactiva cuentas potencialmente comprometidas. 3. **Preserva evidencia.** Toma imágenes forenses de discos y volcados de memoria antes de remediar. Fotografía la nota de rescate. Recolecta logs de firewall, VPN, AD y EDR. 4. **Calcula hashes** (SHA-256) de binarios sospechosos para análisis posterior; no los ejecutes fuera de un entorno controlado. 5. **Revoca y rota credenciales,** empezando por cuentas privilegiadas y de servicio. Asume que las contraseñas fueron capturadas. 6. **Identifica el alcance de la exfiltración.** Revisa volúmenes de datos salientes para dimensionar la posible fuga. 7. **Activa el plan de respuesta a incidentes** y notifica a las partes internas y legales pertinentes. Documenta cada acción con hora y responsable. ## 4. Opciones de recuperación > **No existe un descifrador gratuito público conocido para INC Ransom.** A la fecha de esta guía, ninguna organización de seguridad reconocida (incluido el proyecto No More Ransom) ha publicado una herramienta capaz de revertir el cifrado sin la clave de los atacantes [4]. Con esto claro, tus opciones realistas son: - **Restaurar desde backups limpios.** Es la vía más segura. Verifica que las copias estén libres de persistencia del atacante y restaura en una red reconstruida, no en la comprometida. Valida integridad antes de reconectar. - **Reconstrucción desde cero** de sistemas críticos cuando no haya backup viable, con endurecimiento aplicado antes de volver a producción. - **Preservar datos cifrados.** Si no hay backup, conserva copias de los archivos cifrados. En el futuro podría publicarse un descifrador o incautarse claves en una operación policial. **Advertencia sobre herramientas no verificadas:** circulan supuestos "descifradores universales" y servicios que cobran por recuperar archivos. Muchos son fraudes, malware adicional o simples intermediarios que pagan el rescate sin decírtelo. No descargues ni ejecutes utilidades de origen dudoso. Verifica siempre con fuentes reconocidas (CISA, No More Ransom, fabricantes de antivirus) [4], [5]. **Sobre pagar el rescate:** pagar no garantiza obtener una clave funcional ni el borrado de los datos exfiltrados, financia la actividad criminal y puede acarrear implicaciones legales. Toma cualquier decisión únicamente con asesoría legal y forense [1]. ## 5. Prevención y endurecimiento - **Backups 3-2-1** con al menos una copia offline o inmutable, y pruebas periódicas de restauración. - **MFA** en todos los accesos remotos (VPN, RDP, correo, consolas administrativas). - **Parcheo prioritario** de servicios expuestos a Internet y vulnerabilidades explotadas activamente [5]. - **Segmentación de red** y principio de mínimo privilegio; limita cuentas de administrador de dominio. - **EDR/XDR** con detección de comportamiento y monitoreo de eliminación de VSS. - **Restringe herramientas administrativas** (PsExec, WMI, PowerShell) mediante políticas y listas de aplicaciones permitidas. - **Capacitación antiphishing** y filtrado de correo. - **Plan de respuesta a incidentes** probado con simulacros. ## Advertencias honestas (limitaciones) Esta guía se basa en datos verificados limitados: los nombres de nota de rescate y las extensiones de archivos cifrados figuran como no disponibles (n/d), por lo que la identificación debe apoyarse en análisis forense de tu entorno. Las tácticas descritas reflejan patrones observados en operaciones RaaS y en INC Ransom, pero los afiliados varían sus métodos. **Reiteramos: no hay descifrador gratuito conocido.** Ninguna sección de este documento debe interpretarse como asesoría legal. ¿Necesitas ayuda para responder a un incidente de INC Ransom? Contáctanos: **(800) 649-0625** o **hola@ransomware.mx**. ## Referencias [1] Cybersecurity and Infrastructure Security Agency (CISA), "Stop Ransomware Guide." [En línea]. Disponible: https://www.cisa.gov/stopransomware/ransomware-guide [2] The Record, "INC Ransom claims and healthcare/government attacks." [En línea]. Disponible: https://therecord.media/tag/ransomware [3] BleepingComputer, "INC Ransom ransomware operation." [En línea]. Disponible: https://www.bleepingcomputer.com/tag/inc-ransom/ [4] No More Ransom Project, "Decryption Tools." [En línea]. Disponible: https://www.nomoreransom.org/en/decryption-tools.html [5] CISA, "Known Exploited Vulnerabilities Catalog." [En línea]. Disponible: https://www.cisa.gov/known-exploited-vulnerabilities-catalog ## KillSec: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/killsec/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen KillSec es una operación de ransomware como servicio (RaaS) que surgió de un colectivo hacktivista alineado con Anonymous antes de pivotar hacia la extorsión con cifrado a finales de 2023. Esta guía documenta los métodos de identificación, contención y recuperación disponibles, y advierte de forma prominente que, al momento de esta publicación, no existe un descifrador gratuito conocido públicamente para KillSec. ## TL;DR - **No existe descifrador gratuito conocido** para KillSec. Desconfía de cualquier herramienta que prometa lo contrario. - Aísla de inmediato los equipos afectados de la red, pero **no los apagues** si aún no has preservado la memoria RAM. - Preserva evidencia: notas de rescate, muestras cifradas, registros (logs) y capturas antes de remediar. - No pagues sin asesoría legal y técnica; el pago no garantiza recuperación ni discreción. - Restaura desde respaldos aislados y verificados como limpios. - Reporta el incidente a las autoridades competentes. - Si necesitas apoyo, contáctanos: tel **(800) 649-0625**, correo **hola@ransomware.mx**. ## 1. Qué es KillSec KillSec inició como un grupo hacktivista vinculado al movimiento Anonymous y posteriormente giró hacia operaciones de ransomware hacia octubre de 2023 [1], [2]. En junio de 2024 lanzó formalmente una plataforma RaaS con un esquema de reparto de ganancias favorable a afiliados (aproximadamente 88% para el afiliado), lo que aceleró su crecimiento [2]. Sus objetivos prioritarios han sido los sectores de salud, servicios financieros y gobierno, acumulando más de 250 víctimas documentadas hacia finales de 2025 [1], [2]. El modelo RaaS implica que múltiples afiliados operan la misma familia de malware, por lo que las tácticas, técnicas y procedimientos (TTP) pueden variar entre intrusiones: vectores de acceso inicial, herramientas de movimiento lateral y comportamiento de cifrado no siempre son idénticos. KillSec practica la **doble extorsión**: exfiltra datos antes de cifrar y amenaza con publicarlos en un sitio de filtraciones alojado en la red Tor (los llamados sitios .onion, accesibles solo mediante el navegador Tor y usados por los operadores para mantener anonimato). ## 2. Cómo identificar la infección (notas, extensiones, IOCs) Al momento de esta guía, **no se dispone de nombres de nota de rescate ni extensiones de cifrado verificados públicamente** para KillSec (n/d). Esto es una limitación importante: la ausencia de estos indicadores confirmados obliga a apoyarse en señales conductuales y forenses en lugar de firmas fijas. Señales generales de una infección por ransomware que debes revisar: - Archivos que dejaron de abrirse y cuyo nombre o extensión cambió de forma masiva. - Aparición de un archivo de texto o HTML con instrucciones de contacto y demandas de pago en múltiples carpetas. - Procesos anómalos con alto consumo de CPU o disco durante el cifrado. - Eliminación de instantáneas de volumen (Volume Shadow Copies) mediante `vssadmin`, `wmic` o `bcdedit`. - Cuentas nuevas o privilegios elevados no autorizados; uso sospechoso de herramientas legítimas (PsExec, RDP, PowerShell) para movimiento lateral. - Conexiones salientes inusuales previas al cifrado, indicativas de exfiltración de datos. Recomendación: recopila hashes de binarios sospechosos y compáralos en plataformas de análisis de malware, y documenta cualquier indicador de compromiso (IOC) que encuentres para tu propio expediente. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla, no destruyas.** Desconecta el equipo de la red (cable, Wi-Fi, VPN). Evita apagarlo si planeas capturar la memoria RAM, que puede contener claves o artefactos volátiles. 2. **Contén la propagación.** Segmenta la red, deshabilita cuentas comprometidas, revoca sesiones activas y bloquea el acceso RDP externo. 3. **Preserva evidencia.** Guarda copias forenses (imágenes de disco) cuando sea posible, la nota de rescate, muestras de archivos cifrados con su versión original si existe, y los registros de seguridad, autenticación y firewall. Esta evidencia es clave para el análisis y para una eventual investigación. 4. **Identifica el alcance.** Determina qué sistemas, respaldos y datos fueron afectados y si hubo exfiltración. 5. **Activa tu plan de respuesta a incidentes** y notifica a las partes interesadas (dirección, legal, cumplimiento). 6. **Reporta** a las autoridades correspondientes y considera obligaciones de notificación de brechas de datos según tu jurisdicción y sector. ## 4. Opciones de recuperación **No existe un descifrador gratuito conocido públicamente para KillSec.** Ningún proyecto legítimo de la comunidad, como No More Ransom, ofrece a la fecha una herramienta verificada para esta familia [3]. Cualquier sitio o programa que asegure descifrar KillSec de forma gratuita o mediante un pago pequeño debe tratarse como potencialmente fraudulento o como malware adicional. Estas "herramientas" no verificadas pueden dañar aún más los datos o robar información. Opciones realistas: - **Restauración desde respaldos:** es la vía más confiable. Verifica que los respaldos estén limpios (sin persistencia del atacante) antes de reconectarlos. Reconstruye desde cero los sistemas comprometidos. - **Preservar los datos cifrados:** conserva copias de los archivos cifrados. Si en el futuro se publica un descifrador o se recuperan claves (por incautación policial u otros medios), podrías recuperarlos posteriormente. - **Análisis por especialistas:** un equipo forense puede evaluar si existen debilidades en la implementación del cifrado del binario específico usado, aunque esto no está garantizado. - **Sobre el pago:** pagar no garantiza obtener una clave funcional, no garantiza que los datos exfiltrados se eliminen y puede tener implicaciones legales. Cualquier decisión debe tomarse con asesoría legal y técnica. Podemos ayudarte a evaluar tus opciones sin costo de valoración inicial: tel **(800) 649-0625**, correo **hola@ransomware.mx**. ## 5. Prevención y endurecimiento - Mantén respaldos con la regla 3-2-1 (tres copias, dos medios, una fuera de línea o inmutable) y prueba las restauraciones [3], [4]. - Aplica autenticación multifactor (MFA) en accesos remotos, VPN y cuentas privilegiadas. - Restringe y monitorea RDP; no lo expongas directamente a internet [4]. - Parcha con prontitud sistemas, servicios perimetrales y aplicaciones. - Segmenta la red y aplica el principio de menor privilegio. - Despliega EDR con detección de comportamiento y registra actividad de forma centralizada. - Capacita al personal contra phishing, el vector de acceso inicial más común. ## Advertencias honestas (limitaciones) Esta guía se basa en información disponible públicamente y en el perfil operativo conocido de KillSec. Debido a que **no hay nota de rescate ni extensiones verificadas** para esta familia, la identificación depende del análisis caso por caso. Al tratarse de un modelo RaaS, los indicadores varían entre afiliados. La situación de descifradores puede cambiar: verifica periódicamente fuentes confiables como No More Ransom [3] y avisos de CISA [4]. Ninguna medida ofrece garantía total de recuperación una vez ocurrido el cifrado; la prevención y los respaldos siguen siendo la defensa más efectiva. Si sufriste un incidente y necesitas orientación en español, contáctanos: tel **(800) 649-0625**, correo **hola@ransomware.mx**. ## Referencias [1] The Hacker News, "KillSec ransomware group," reportaje técnico. [En línea]. Disponible en: https://thehackernews.com/ [2] BleepingComputer, "KillSec launches ransomware-as-a-service platform," reporte de noticias de seguridad. [En línea]. Disponible en: https://www.bleepingcomputer.com/ [3] No More Ransom Project, "Decryption tools and prevention advice." [En línea]. Disponible en: https://www.nomoreransom.org/ [4] Cybersecurity and Infrastructure Security Agency (CISA), "#StopRansomware Guide." [En línea]. Disponible en: https://www.cisa.gov/stopransomware ## KryBit: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/krybit/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen KryBit es un grupo de ransomware como servicio (RaaS) de reciente aparición (finales de marzo de 2026) que cifra sistemas Windows, Linux, ESXi y dispositivos NAS. Esta guía documenta lo que se conoce públicamente sobre su operación, cómo identificar una infección y qué pasos de contención, preservación y recuperación seguir. **Al momento de esta publicación no existe un descifrador gratuito conocido para KryBit.** ## TL;DR - **No pagues de inmediato ni tomes decisiones apresuradas.** No hay descifrador gratuito público para KryBit [1]. - **Aísla** los equipos afectados de la red (desconecta cable/Wi-Fi), pero **no los apagues** si necesitas preservar memoria volátil. - **Preserva evidencia**: notas de rescate, muestras de archivos cifrados, registros y una imagen forense antes de limpiar. - **Identifica el alcance**: Windows, Linux, ESXi y NAS pueden estar afectados; revisa hipervisores y respaldos. - **Verifica respaldos** desconectados o inmutables antes de restaurar. - **Desconfía de "descifradores milagro"**: muchos son fraude o malware adicional [2]. - Si necesitas apoyo especializado en México, contáctanos: **(800) 649-0625** / **hola@ransomware.mx**. ## 1. Qué es KryBit KryBit es una operación de ransomware como servicio (RaaS) que apareció públicamente a finales de marzo de 2026. En el modelo RaaS, los operadores desarrollan y mantienen el cifrador y la infraestructura, mientras que afiliados ejecutan las intrusiones; en el caso de KryBit se ha reportado un reparto de ingresos de 80/20 a favor del afiliado. Su rasgo técnico más relevante para las víctimas es el **soporte multiplataforma**: dispone de variantes para **Windows, Linux, servidores de virtualización VMware ESXi y dispositivos NAS**. Esto amplía significativamente la superficie de impacto, ya que un solo incidente puede cifrar tanto estaciones y servidores como el almacenamiento centralizado y las máquinas virtuales alojadas en un clúster. KryBit también se hizo notorio por un conflicto público con un grupo rival (0APT), en el que ambas partes vulneraron y filtraron datos de los operadores del otro. Para las organizaciones afectadas, este tipo de rencillas no cambia el riesgo: los datos exfiltrados pueden acabar expuestos independientemente de a quién se pague. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) Con la información verificada disponible, **no se han confirmado públicamente** los nombres específicos de la nota de rescate ni las extensiones que KryBit añade a los archivos cifrados. Por ello, la identificación debe apoyarse en indicadores conductuales y en verificación externa, no en suposiciones. Señales típicas de una infección de este tipo: - Archivos que dejan de abrirse y cuyo nombre o extensión cambió de forma masiva. - Aparición de un archivo de texto o HTML con instrucciones de rescate en carpetas afectadas y en el escritorio. - En entornos ESXi: máquinas virtuales caídas, archivos `.vmdk`/`.vmx` alterados y el hipervisor con procesos de cifrado. - En NAS: recursos compartidos inaccesibles y volúmenes con archivos renombrados. - Picos de uso de CPU/disco, eliminación de instantáneas (Volume Shadow Copies) y desactivación de defensas. **Recomendación de verificación**: sube una muestra de archivo cifrado y de la nota (sin datos sensibles) a servicios de identificación como ID Ransomware o consulta el portal No More Ransom para confirmar la familia antes de actuar [1], [3]. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla, no destruyas.** Desconecta de la red los equipos afectados (cable, Wi-Fi, VPN). Si necesitas capturar memoria volátil para el análisis forense, no apagues el equipo todavía. 2. **Contén la propagación.** Deshabilita cuentas comprometidas, bloquea RDP y SMB expuestos, y segmenta el hipervisor ESXi y los NAS del resto de la red. 3. **Preserva evidencia** antes de limpiar o reinstalar: - Copia la nota de rescate y varias muestras de archivos cifrados. - Recolecta registros de Windows, del firewall, del hipervisor y del NAS. - Toma imágenes forenses de al menos un sistema representativo por plataforma. 4. **No borres las notas ni reformatees** apresuradamente: contienen identificadores útiles para el análisis. 5. **Revisa respaldos** y confirma que estén desconectados o sean inmutables antes de tocarlos. 6. **Documenta la línea de tiempo** (primer indicio, punto de entrada probable, sistemas afectados). 7. **Evalúa obligaciones legales** de notificación (por ejemplo, protección de datos personales) según tu jurisdicción. ## 4. Opciones de recuperación > **Aviso claro y prominente: al día de hoy NO existe un descifrador gratuito público para KryBit.** Cualquier herramienta que prometa descifrar KryBit "gratis y al instante" debe tratarse como sospechosa hasta demostrar lo contrario [1], [2]. Opciones realistas, en orden de preferencia: 1. **Restauración desde respaldos limpios.** Es la vía más confiable. Verifica la integridad de los respaldos, asegúrate de que no contengan el binario del ransomware y restaura en un entorno reconstruido y endurecido. En ESXi, recupera las VM desde respaldos y no desde snapshots potencialmente comprometidos. 2. **Reconstrucción de sistemas.** Para equipos sin respaldo, reinstala desde cero con credenciales nuevas. 3. **Conservar copias cifradas.** Guarda una copia de los datos cifrados. Si en el futuro se publica un descifrador (por captura de claves, error criptográfico o acción policial), podrías recuperarlos entonces. Consulta periódicamente No More Ransom [1]. 4. **Análisis criptográfico especializado.** Un equipo de respuesta puede evaluar si la implementación tiene fallas aprovechables. No lo asumas como garantía. **Sobre pagar el rescate**: pagar no garantiza recuperación ni evita la publicación de datos, financia al grupo y puede implicar riesgos legales. Considéralo solo como último recurso y con asesoría legal y de respuesta a incidentes. **Advertencia sobre herramientas no verificadas**: descarga utilidades solo de fuentes oficiales (fabricantes de antivirus, CISA, No More Ransom). Muchos "descifradores" que circulan en foros son malware o estafas [2]. ## 5. Prevención y endurecimiento - **Respaldos 3-2-1** con al menos una copia inmutable u offline, y pruebas periódicas de restauración. - **MFA** en VPN, RDP, correo y accesos administrativos; elimina la exposición directa de RDP/SMB a Internet. - **Parcheo prioritario** de perímetro, hipervisores ESXi y firmware de NAS [4]. - **Segmentación de red** que aísle hipervisores y almacenamiento de las estaciones de trabajo. - **EDR/antimalware** con detección de comportamiento y monitoreo de eliminación de instantáneas. - **Principio de mínimo privilegio** y gestión de cuentas de servicio. - **Endurecimiento de ESXi**: modo de bloqueo, deshabilitar SSH cuando no se use, credenciales únicas. - **Plan de respuesta a incidentes** probado, con contactos y roles definidos. ## Advertencias honestas (limitaciones) - KryBit es un grupo emergente y la información pública es limitada; los nombres de nota de rescate y las extensiones **no están confirmados** aquí, y podrían variar entre afiliados. - **No hay descifrador gratuito conocido.** Esto puede cambiar; verifica periódicamente fuentes oficiales. - Por su naturaleza RaaS multiplataforma, el vector de entrada y las TTP varían según el afiliado; esta guía es general, no un peritaje de tu caso. - La exfiltración de datos puede ocurrir aunque restaures desde respaldos: evalúa el riesgo de divulgación por separado. **¿Necesitas ayuda?** Nuestro equipo puede apoyarte en contención, análisis y recuperación. Llama al **(800) 649-0625** o escribe a **hola@ransomware.mx**. ## Referencias [1] No More Ransom Project, "No More Ransom." [En línea]. Disponible: https://www.nomoreransom.org/ [2] Cybersecurity and Infrastructure Security Agency (CISA), "Stop Ransomware." [En línea]. Disponible: https://www.cisa.gov/stopransomware [3] ID Ransomware, "Identify Ransomware." [En línea]. Disponible: https://id-ransomware.malwarehunterteam.com/ [4] Cybersecurity and Infrastructure Security Agency (CISA), "#StopRansomware Guide." [En línea]. Disponible: https://www.cisa.gov/resources-tools/resources/stopransomware-guide ## Makop: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/makop/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen Makop es una familia de ransomware activa desde 2020, derivada del código base de Phobos, que cifra archivos en sistemas Windows y anexa extensiones personalizadas junto con un identificador de víctima y una dirección de correo de contacto. Al momento de esta publicación **no existe un descifrador gratuito conocido públicamente** para las variantes actuales de Makop. Esta guía describe cómo identificar la infección, contener el incidente, preservar evidencia y evaluar opciones realistas de recuperación. ## TL;DR - **No hay descifrador gratuito** conocido para Makop. Desconfía de cualquier herramienta que prometa lo contrario. - Aísla de inmediato los equipos afectados de la red, pero **no los apagues** si aún puedes capturar memoria y evidencia. - Busca notas `readme-warning.txt` o `+README-WARNING+.txt` y archivos con extensiones `.makop`, `.mkp` o del patrón `.[].[].makop`. - Preserva la nota de rescate, muestras de archivos cifrados y registros antes de remediar. - Restaura desde respaldos offline verificados; es la vía de recuperación más confiable. - Reporta el incidente a las autoridades y considera asesoría profesional antes de cualquier contacto con los atacantes. ## 1. Qué es Makop Makop es un ransomware de tipo criptográfico que apareció públicamente a inicios de 2020 y se relaciona técnicamente con la familia Phobos [1], [2]. Opera bajo un modelo en el que operadores afiliados obtienen acceso a redes, frecuentemente mediante servicios RDP expuestos, credenciales débiles o comprometidas, y phishing [2], [3]. Una vez dentro, el actor suele desactivar herramientas de seguridad, eliminar copias de sombra de volumen (Volume Shadow Copies) y ejecutar el cifrado. Makop emplea cifrado híbrido (algoritmos simétricos para el contenido de archivos y asimétricos para proteger las claves), un esquema que hace inviable el descifrado sin la clave privada en poder de los atacantes [1]. Los operadores utilizan direcciones de correo para la negociación y, en varios casos documentados, portales alojados en la red Tor (sitios con dirección `.onion`, accesibles solo mediante el navegador Tor) para presionar a las víctimas con la publicación de datos exfiltrados [2]. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) **Notas de rescate.** Busca archivos de texto con estos nombres en carpetas afectadas y en el escritorio: - `readme-warning.txt` - `+README-WARNING+.txt` Estas notas normalmente incluyen un identificador único de víctima y una o más direcciones de correo para contacto. **Extensiones de archivos cifrados.** Makop renombra los archivos cifrados agregando: - `.makop` - `.mkp` - El patrón compuesto `.[].[].makop`, donde `` es el identificador de la víctima y `` la dirección de contacto del atacante. **Otros indicadores (IOCs) a revisar:** - Eliminación de copias de sombra (uso de `vssadmin delete shadows` o comandos equivalentes). - Modificación masiva de archivos en un lapso corto. - Conexiones RDP anómalas o inicios de sesión fuera de horario. - Creación de tareas programadas o servicios inusuales para persistencia. > Nota: los identificadores y correos varían por víctima. Documenta los valores exactos que veas en tu entorno; te servirán para el análisis forense y para verificar si alguna variante específica llega a tener solución en el futuro. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla los equipos afectados.** Desconéctalos de la red (cable y Wi-Fi) y de recursos compartidos. Si es posible, segmenta en lugar de apagar, para no destruir evidencia en memoria. 2. **No apagues de inmediato** los sistemas si tu equipo de respuesta puede capturar volcado de memoria RAM y artefactos volátiles; contienen indicadores valiosos. 3. **Preserva evidencia:** copia la nota de rescate, al menos dos o tres muestras de archivos cifrados (junto con sus versiones originales si existen), registros de eventos de Windows, y registros de RDP/VPN. 4. **Deshabilita credenciales comprometidas** y fuerza cambio de contraseñas, priorizando cuentas privilegiadas y de administrador de dominio. 5. **Identifica el vector de entrada** (RDP expuesto, phishing, vulnerabilidad) para evitar reinfección. 6. **Revisa exfiltración de datos:** analiza tráfico saliente y accesos anómalos. Makop y familias afines suelen combinar cifrado con robo de datos [2]. 7. **Notifica** a tu área legal, dirección y, cuando aplique, a las autoridades competentes. ## 4. Opciones de recuperación > **Aviso claro y honesto: al momento de esta publicación NO existe un descifrador gratuito público para Makop.** Ninguna herramienta legítima puede, hasta donde se conoce, revertir el cifrado sin la clave privada de los atacantes. Opciones realistas, en orden de preferencia: 1. **Restaurar desde respaldos offline verificados.** Es la vía más segura. Asegúrate de que los respaldos no estén cifrados y de haber erradicado la persistencia del atacante antes de restaurar. 2. **Reconstruir sistemas desde cero** e importar datos limpios cuando no haya respaldo íntegro del sistema operativo. 3. **Conservar copias de los archivos cifrados.** Si en el futuro se publica un descifrador (por decomiso de infraestructura, filtración de claves o error criptográfico), podrías recuperarlos entonces. Consulta periódicamente el proyecto No More Ransom [4]. **Advertencia sobre herramientas no verificadas.** Existen supuestos "descifradores universales" y servicios que prometen recuperar Makop; muchos son fraudes, adware o incluso malware adicional. No descargues ni ejecutes utilidades de origen dudoso sobre sistemas comprometidos. Verifica siempre en fuentes reconocidas como No More Ransom, CISA o proveedores de seguridad establecidos [3], [4]. **Sobre pagar el rescate.** Agencias como CISA y el FBI desaconsejan pagar: no garantiza la recuperación, financia a los delincuentes y puede tener implicaciones legales [3], [5]. Si consideras negociar, hazlo solo con asesoría profesional y legal. ## 5. Prevención y endurecimiento - **Elimina la exposición de RDP** a Internet; usa VPN con MFA y restricción por IP. - **Aplica autenticación multifactor** en todos los accesos remotos y cuentas privilegiadas. - **Mantén respaldos** con la regla 3-2-1, al menos una copia offline o inmutable, y prueba las restauraciones. - **Parcha** sistemas operativos y aplicaciones expuestas con prontitud. - **Segmenta la red** y aplica el principio de menor privilegio. - **Despliega EDR** y monitorea eliminación de shadow copies y comportamientos de cifrado masivo. - **Capacita al personal** contra phishing y refuerza políticas de contraseñas. ## Advertencias honestas (limitaciones) Esta guía no puede garantizar la recuperación de datos. **No hay descifrador gratuito conocido para Makop**, y el cifrado empleado hace inviable romperlo por fuerza bruta con tecnología actual. La existencia de respaldos limpios es, en la práctica, el factor determinante entre recuperar o perder la información. Los nombres de notas, extensiones y comportamientos pueden variar entre variantes; valida siempre contra tu evidencia concreta. Si necesitas apoyo especializado en respuesta y recuperación, puedes contactarnos: **tel. (800) 649-0625** o **hola@ransomware.mx**. ## Referencias [1] Bitdefender, "Ransomware families and Phobos-derived threats," Bitdefender Labs. [En línea]. Disponible: https://www.bitdefender.com/blog/labs/ [2] SentinelOne, "Makop ransomware: analysis and behavior," SentinelOne Blog. [En línea]. Disponible: https://www.sentinelone.com/blog/ [3] Cybersecurity and Infrastructure Security Agency (CISA), "#StopRansomware Guide," CISA. [En línea]. Disponible: https://www.cisa.gov/stopransomware [4] No More Ransom Project, "Decryption Tools." [En línea]. Disponible: https://www.nomoreransom.org/ [5] Federal Bureau of Investigation (FBI), "Ransomware guidance and resources." [En línea]. Disponible: https://www.fbi.gov/investigate/cyber ## Medusa: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/medusa/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen Medusa es una operación de ransomware como servicio (RaaS) activa desde junio de 2021 que ha comprometido a más de 300 víctimas en sectores de infraestructura crítica, empleando doble extorsión (cifrado y robo de datos). Esta guía técnica describe cómo identificar la infección, contener el incidente, preservar evidencia y evaluar opciones de recuperación. Advertencia clave: al momento de esta publicación NO existe un descifrador gratuito conocido públicamente para Medusa. ## TL;DR - **No hay descifrador gratuito verificado.** Desconfía de cualquier herramienta que prometa descifrar archivos .MEDUSA gratis o pagando a un tercero. - **Aísla de inmediato** los equipos afectados de la red (no los apagues todavía si quieres preservar memoria volátil). - **Preserva evidencia**: notas de rescate, muestras cifradas, logs y una imagen forense antes de remediar. - **No pagues sin asesoría legal y técnica**; el pago no garantiza recuperación y financia futuros ataques. - **Reporta** a las autoridades (en México, la Guardia Nacional / Policía Cibernética; en EE. UU., CISA/FBI). - **Recupera desde respaldos limpios y aislados** tras confirmar erradicación del acceso del atacante. - ¿Necesitas apoyo? Escríbenos a **hola@ransomware.mx** o llama al **(800) 649-0625**. ## 1. Qué es Medusa Medusa es un modelo RaaS en el que los operadores centrales desarrollan y mantienen el cifrador, mientras que afiliados ejecutan las intrusiones a cambio de una parte del rescate. Su actividad ha crecido de forma notable, con un incremento aproximado del 42% en ataques entre 2023 y 2024, y motivó un aviso formal de CISA a inicios de 2025 [1]. Sus operadores utilizan **doble extorsión**: además de cifrar los datos, los exfiltran y amenazan con publicarlos en sitios de filtración alojados en la red Tor (servicios .onion, direcciones solo accesibles mediante el navegador Tor que ofrecen anonimato a los operadores). Han golpeado sectores de salud, educación, legal y manufactura [1], [2]. Los vectores de acceso inicial documentados incluyen explotación de vulnerabilidades en servicios expuestos a Internet, phishing y uso de credenciales comprometidas, seguido de movimiento lateral con herramientas legítimas ("living off the land") y despliegue del cifrador [1]. > Nota: no debe confundirse con *MedusaLocker* ni con el troyano bancario *MedusaStealer*, familias distintas pese al nombre similar. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) **Extensiones de archivos cifrados:** - `.MEDUSA` - `.medusa` **Notas de rescate conocidas:** - `!!!READ_ME_MEDUSA!!!.txt` - `How_to_back_files.html` **Indicadores de comportamiento típicos:** - Archivos renombrados masivamente con las extensiones anteriores. - Aparición de la nota de rescate en múltiples carpetas y en el escritorio. - Detención de servicios y procesos (bases de datos, respaldos, antivirus) previa al cifrado. - Borrado de instantáneas de volumen (Volume Shadow Copies) y desactivación de mecanismos de recuperación. - Uso de PsExec, PowerShell y herramientas de administración remota para propagación [1]. Para IOCs específicos (hashes, IPs, reglas), consulta el aviso oficial de CISA y análisis de proveedores de seguridad [1], [2]. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla, no destruyas.** Desconecta de la red (cable, Wi-Fi, VPN) los equipos afectados. Evita apagarlos si planeas capturar memoria RAM, que puede contener claves o artefactos útiles. 2. **Segmenta.** Aísla segmentos de red y deshabilita cuentas potencialmente comprometidas; rota credenciales desde un equipo limpio. 3. **Preserva evidencia:** - Copia las notas de rescate y una muestra de archivos cifrados (y, si existen, versiones originales). - Toma imágenes forenses de disco y captura de memoria antes de remediar. - Recolecta logs de firewall, EDR, Active Directory, VPN y sistemas afectados. 4. **Identifica el alcance.** Determina qué sistemas, respaldos y datos se vieron afectados y si hubo exfiltración. 5. **Activa tu plan de respuesta** y notifica a las partes interesadas (dirección, legal, seguros, DPO). 6. **Reporta a autoridades.** No More Ransom y las agencias nacionales recomiendan denunciar siempre [3]. ## 4. Opciones de recuperación **Aviso prominente y honesto: NO existe un descifrador gratuito conocido públicamente para Medusa.** Esto significa que, salvo que dispongas de respaldos limpios o de la clave del atacante, la recuperación de los archivos cifrados no está garantizada. Opciones realistas, en orden de preferencia: 1. **Restauración desde respaldos limpios y aislados.** Es la vía más confiable. Verifica que los respaldos no estén comprometidos y restaura solo después de erradicar el acceso del atacante y validar la integridad del entorno. 2. **Revisar el catálogo de No More Ransom.** Antes de cualquier acción, consulta si aparece un descifrador legítimo; a la fecha no lo hay para Medusa, pero conviene verificar por si esto cambia [3]. 3. **Recuperación parcial.** En algunos casos, instantáneas remanentes, copias en la nube, versiones de archivos o datos en equipos no afectados permiten recuperar parte de la información. **Advertencia sobre herramientas no verificadas:** circulan supuestos "descifradores universales" o servicios que prometen recuperar archivos .MEDUSA. Muchos son fraudes, contienen malware adicional o simplemente actúan como intermediarios que pagan el rescate por ti con sobrecosto. **No ejecutes herramientas de origen desconocido sobre tus datos.** Verifica siempre la procedencia (CISA, No More Ransom, proveedores de seguridad reconocidos). **Sobre pagar el rescate:** no lo recomendamos. El pago no garantiza el descifrado ni que los datos robados no se publiquen, financia la actividad criminal y puede acarrear implicaciones legales. Toma esa decisión solo con asesoría legal, técnica y de tu aseguradora. ## 5. Prevención y endurecimiento - **Respaldos 3-2-1** con al menos una copia offline/inmutable y pruebas periódicas de restauración. - **MFA** en todos los accesos remotos (VPN, RDP, correo, administración). - **Parcheo prioritario** de servicios expuestos a Internet y gestión de vulnerabilidades [1]. - **Segmentación de red** y principio de mínimo privilegio; restringe PsExec y herramientas de administración. - **EDR/XDR** con monitoreo de detención de servicios, borrado de shadow copies y cifrado masivo. - **Endurecimiento de RDP** (no exponerlo directamente; usar gateway y MFA). - **Capacitación** contra phishing y simulacros de respuesta a incidentes. - **Plan de respuesta** probado y contactos definidos antes del incidente. ## Advertencias honestas (limitaciones) - **No hay descifrador gratuito conocido** para Medusa; esta guía no puede prometer recuperación de archivos cifrados sin respaldos o sin la clave del atacante. - El panorama de ransomware cambia rápido: verifica siempre las fuentes oficiales por si surge una herramienta legítima. - Los IOCs varían entre incidentes; usa esta guía como marco, no como reemplazo de un análisis forense profesional. - La doble extorsión implica que, aun recuperando datos, puede haber una filtración; evalúa obligaciones de notificación. ¿Necesitas apoyo especializado? Contáctanos: **tel. (800) 649-0625** o **hola@ransomware.mx**. Podemos ayudarte con contención, análisis forense y estrategia de recuperación. ## Referencias [1] Cybersecurity and Infrastructure Security Agency (CISA), FBI y MS-ISAC, "#StopRansomware: Medusa Ransomware," Aviso conjunto de ciberseguridad, 2025. [En línea]. Disponible: https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-071a [2] Unit 42, Palo Alto Networks, "Medusa Ransomware: Analysis and Threat Profile." [En línea]. Disponible: https://unit42.paloaltonetworks.com/ [3] No More Ransom Project, "Decryption Tools" y "Prevention Advice." [En línea]. Disponible: https://www.nomoreransom.org/ ## NightSpire: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/nightspire/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen NightSpire es un grupo de ransomware que surgió en marzo de 2025 y que en pocos meses reivindicó más de 250 víctimas en varios sectores y países, empleando extorsión doble con plazos de pago extremadamente cortos. Esta guía técnica describe cómo identificar la infección, contener el incidente, preservar evidencia y evaluar opciones realistas de recuperación. Advertencia central: al momento de redactar esto no se conoce públicamente ningún descifrador gratuito para NightSpire. ## TL;DR - **No existe descifrador gratuito conocido** para NightSpire. Desconfía de cualquier herramienta que prometa lo contrario. - **Aísla de inmediato** los equipos afectados (desconecta red, no apagues si es posible preservar memoria). - **Preserva evidencia** antes de limpiar: imágenes de disco, memoria RAM, notas de rescate y logs. - **No pagues sin asesoría**: el pago no garantiza recuperación y puede tener implicaciones legales. - **Restaura desde respaldos** verificados y offline como vía principal de recuperación. - **Reporta el incidente** a las autoridades competentes y busca apoyo especializado. - Contáctanos: **tel (800) 649-0625** o **hola@ransomware.mx**. ## 1. Qué es NightSpire NightSpire es una operación de ransomware detectada por primera vez en marzo de 2025 [1], [2]. En un lapso corto reivindicó más de 250 víctimas distribuidas en sectores como comercio minorista, manufactura, salud, finanzas y educación, con presencia geográfica en Estados Unidos, Francia, India, Taiwán y Japón [1]. El grupo utiliza el modelo de **extorsión doble**: cifra los archivos de la víctima y, en paralelo, exfiltra datos sensibles para amenazar con publicarlos si no se paga. Una característica distintiva es la **presión temporal agresiva**, con plazos de pago tan cortos como dos días, diseñada para forzar decisiones apresuradas antes de que la organización pueda evaluar alternativas técnicas o legales [1], [2]. Como muchos grupos de este tipo, NightSpire suele operar un sitio de filtraciones alojado en la red Tor (dominios .onion) donde publica listas de víctimas y muestras de datos robados. La red Tor permite ocultar la ubicación real de estos servidores, lo que dificulta su desmantelamiento; por razones de seguridad no enlazamos esos recursos. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) Con la información pública verificable disponible, algunos indicadores específicos aún no están documentados de forma confiable: - **Nombre de la nota de rescate:** no disponible (n/d) en fuentes públicas confirmadas. - **Extensión de archivos cifrados:** no disponible (n/d) de forma verificada. En ausencia de estos indicadores específicos, apóyate en señales generales de un ataque de ransomware: - Archivos que dejan de abrirse y que muestran extensiones renombradas o desconocidas. - Aparición de archivos de texto o HTML con instrucciones de pago en múltiples carpetas. - Picos anómalos de uso de CPU y disco por procesos no reconocidos. - Eliminación de instantáneas de volumen (Volume Shadow Copies) y desactivación de respaldos. - Cuentas nuevas o privilegios elevados no autorizados, y conexiones salientes inusuales (posible exfiltración). - Herramientas legítimas usadas de forma maliciosa (living-off-the-land): PsExec, RDP, PowerShell. **Nota metodológica:** no atribuyas la infección a NightSpire solo por el comportamiento. Confirma con muestras analizadas y, de ser posible, con apoyo forense profesional. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla los sistemas afectados.** Desconecta el cable de red o deshabilita el Wi-Fi. Evita apagar equipos si se puede capturar memoria volátil primero. 2. **Segmenta la red.** Bloquea el movimiento lateral aislando VLANs, revocando credenciales comprometidas y deshabilitando RDP externo. 3. **Preserva evidencia** [3]: - Captura imágenes forenses de disco y memoria RAM antes de remediar. - Conserva copias de la nota de rescate, archivos cifrados de muestra y logs (firewall, EDR, Active Directory, VPN). - Documenta con marcas de tiempo cada acción. 4. **Identifica el alcance.** Determina qué sistemas, respaldos y datos fueron afectados o exfiltrados. 5. **Notifica.** Involucra a tu equipo legal, dirección y, según jurisdicción, a las autoridades (en EE. UU., CISA/FBI) [3]. En México, considera notificar a las instancias competentes según la normativa aplicable. 6. **No destruyas evidencia** reinstalando de inmediato: podrías perder información clave para el análisis y para eventuales descifradores futuros. ## 4. Opciones de recuperación > **Aviso destacado: no se conoce públicamente ningún descifrador gratuito para NightSpire.** Cualquier sitio o programa que afirme "descifrar NightSpire gratis" o mediante pago debe tratarse con extrema sospecha, ya que suele ser fraude o malware adicional. Opciones realistas: 1. **Restauración desde respaldos.** Es la vía más confiable. Usa respaldos **offline o inmutables** verificados como limpios. Reconstruye los sistemas desde cero antes de restaurar datos. 2. **Consulta No More Ransom.** Aunque hoy no hay descifrador para NightSpire, el portal No More Ransom [4] mantiene un catálogo actualizado. Vale la pena verificar periódicamente por si aparece uno. 3. **Preserva los datos cifrados.** Guarda copias de los archivos cifrados. En ocasiones se liberan descifradores meses o años después (por errores criptográficos del grupo, incautaciones de claves o filtraciones). 4. **Evaluación del pago.** El pago **no garantiza** la recuperación ni la no publicación de datos, financia actividad criminal y puede implicar riesgos legales o sanciones. Tómalo solo con asesoría legal y especializada, nunca como primera opción. **Advertencia sobre herramientas no verificadas:** descarga utilidades solo de fuentes oficiales (fabricantes de antivirus reconocidos, No More Ransom). Evita "descifradores" de foros, anuncios o mensajes directos. ## 5. Prevención y endurecimiento - **Respaldos 3-2-1** con al menos una copia offline/inmutable y pruebas periódicas de restauración [3], [4]. - **MFA** en todos los accesos remotos, VPN y cuentas privilegiadas. - **Parcheo oportuno** de sistemas expuestos y aplicaciones críticas. - **Segmentación de red** y principio de mínimo privilegio. - **EDR/XDR** con monitoreo y respuesta, más registro centralizado de logs. - **Restringir RDP** (no exponerlo a Internet) y deshabilitar servicios innecesarios. - **Capacitación anti-phishing**, principal vector de entrada. - **Plan de respuesta a incidentes** documentado y ensayado. ## Advertencias honestas (limitaciones) - Los indicadores específicos de NightSpire (nombre de nota, extensión) **no están confirmados públicamente** al momento de escribir esto; esta guía se basa en el comportamiento general del grupo y en buenas prácticas. - **No hay descifrador gratuito conocido.** Nadie puede garantizar recuperación sin respaldos. - La atribución y las tácticas pueden evolucionar; verifica siempre con fuentes actualizadas. **¿Necesitas ayuda?** Podemos apoyarte en contención, análisis y recuperación. Escríbenos a **hola@ransomware.mx** o llama al **(800) 649-0625**. ## Referencias [1] The Hacker News, "NightSpire ransomware group activity and victim claims," 2025. Disponible: https://thehackernews.com/ [2] SentinelOne, "NightSpire ransomware overview," 2025. Disponible: https://www.sentinelone.com/ [3] CISA, "Stop Ransomware Guide," Cybersecurity and Infrastructure Security Agency, 2023. Disponible: https://www.cisa.gov/stopransomware [4] No More Ransom Project, "Decryption Tools." Disponible: https://www.nomoreransom.org/ ## NoEscape: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/noescape/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen NoEscape fue una operación de ransomware como servicio (RaaS) activa entre mayo y diciembre de 2023, con capacidades de triple extorsión (cifrado, robo de datos y ataques DDoS opcionales). Esta guía documenta cómo identificar una infección por NoEscape, contener el incidente, preservar evidencia y evaluar opciones de recuperación realistas. Se advierte de forma prominente: no existe un descifrador gratuito conocido públicamente para NoEscape. ## TL;DR - **No hay descifrador gratuito conocido** para NoEscape. Desconfíe de cualquier herramienta que prometa lo contrario. - Aísle de inmediato los equipos afectados (desconecte de la red, no apague si es posible preservar memoria). - **Preserve evidencia**: nota de rescate, muestras cifradas, registros y memoria RAM antes de cualquier limpieza. - Identifique el alcance: la extensión añadida es aleatoria (`.`) y la nota se llama `HOW_TO_RECOVER_FILES.txt`. - La mejor vía de recuperación son los **respaldos limpios y verificados** fuera de línea. - No pague sin asesoría: NoEscape terminó en un aparente fraude de salida (exit scam), lo que complica cualquier negociación. - ¿Necesita ayuda? Contáctenos: **(800) 649-0625** / **hola@ransomware.mx**. ## 1. Qué es NoEscape NoEscape fue una plataforma RaaS que operó de mayo a diciembre de 2023 y que se considera ampliamente un relanzamiento (rebrand) del extinto ransomware Avaddon [1], [2]. Sus objetivos preferentes fueron los sectores de servicios profesionales, manufactura y salud. El grupo empleaba un modelo de **triple extorsión**: 1. **Cifrado** de archivos para bloquear el acceso a los datos. 2. **Exfiltración de datos** con amenaza de publicación en un sitio de filtraciones alojado en la red Tor (los llamados sitios `.onion`, accesibles solo mediante el navegador Tor y diseñados para ocultar la ubicación del servidor). 3. **Ataques DDoS opcionales** como presión adicional contra la víctima. Hacia finales de diciembre de 2023, la infraestructura de NoEscape desapareció de forma abrupta y sus operadores presuntamente se llevaron los fondos de sus afiliados, en lo que se describió como un **fraude de salida** [3]. Esto es relevante para las víctimas: si el grupo ya no opera, no hay garantía de que un pago produzca un descifrador funcional ni de que los datos robados no se filtren de todos modos. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) Señales características de una infección por NoEscape: - **Nota de rescate**: archivo de texto llamado `HOW_TO_RECOVER_FILES.txt`, depositado en carpetas afectadas. Suele contener instrucciones para contactar a los atacantes vía un portal en Tor y un identificador de víctima. - **Extensión de archivos cifrados**: NoEscape añade una **extensión aleatoria** (`.`) a los archivos cifrados. Esta cadena varía por víctima, por lo que no debe tomarse como firma única. - **Comportamiento**: cifrado rápido de recursos compartidos de red y unidades locales, eliminación de instantáneas de volumen (Shadow Copies) y posibles señales de exfiltración masiva previa al cifrado. **Recomendación de identificación**: para confirmar la familia con mayor certeza, suba una muestra de la nota y un archivo cifrado al servicio de identificación de No More Ransom (Crypto Sheriff) [4]. Esto ayuda a descartar confusiones con otras familias. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísle** los equipos afectados de la red (desconecte cable/Wi-Fi, segmente VLAN). No los reintegre hasta confirmar erradicación. 2. **No apague** los sistemas si es posible: la memoria RAM puede contener claves o artefactos útiles para análisis forense. Priorice la captura de memoria antes de reiniciar. 3. **Preserve evidencia**: - Copia forense (imagen) de discos afectados. - La nota `HOW_TO_RECOVER_FILES.txt` y varias muestras cifradas. - Registros de EDR/antivirus, firewall, VPN, Active Directory y accesos remotos (RDP). 4. **Revoque credenciales** potencialmente comprometidas y **cambie contraseñas** desde equipos limpios; refuerce cuentas privilegiadas. 5. **Identifique el vector de entrada** (phishing, RDP expuesto, vulnerabilidad sin parchear) para evitar reinfección. 6. **Notifique** a las áreas legales, de cumplimiento y, cuando aplique, a las autoridades. En México, considere la notificación conforme a la normativa de protección de datos si hubo exposición de datos personales. 7. **No borre ni reinstale** de inmediato: destruiría evidencia y opciones de recuperación. ## 4. Opciones de recuperación **Aviso central y honesto: no existe un descifrador gratuito conocido públicamente para NoEscape.** Ninguna herramienta pública confiable permite, a la fecha, recuperar archivos cifrados por esta familia sin la clave de los atacantes. Opciones realistas, en orden de preferencia: 1. **Restaurar desde respaldos limpios**: es la vía más segura. Verifique que los respaldos no estén cifrados ni comprometidos y restaure en un entorno ya erradicado y endurecido. 2. **Buscar copias no afectadas**: instantáneas en la nube, versiones previas, respaldos offline, correos o repositorios que no fueron alcanzados por el cifrado. 3. **Recuperación forense parcial**: en algunos incidentes se recuperan archivos temporales o fragmentos no cifrados. No es garantizable. 4. **Conservar los datos cifrados**: si en el futuro apareciera un descifrador (por incautación de claves por parte de autoridades, por ejemplo), conservar las muestras permitiría recuperarlas después. Guarde una copia fría. **Advertencia sobre herramientas no verificadas**: circulan supuestos "descifradores universales" y servicios que prometen recuperar archivos de NoEscape. Muchos son fraudes, adware o malware adicional. **No descargue ni ejecute herramientas de fuentes no oficiales.** Use únicamente recursos verificados como No More Ransom [4] o el catálogo de descifradores de proveedores reconocidos. **Sobre pagar el rescate**: dado el aparente fraude de salida de NoEscape [3], pagar conlleva un riesgo especialmente alto de no recibir un descifrador funcional. Además, el pago no garantiza que los datos exfiltrados no se publiquen. Consulte asesoría legal y especializada antes de tomar cualquier decisión. ## 5. Prevención y endurecimiento - **Respaldos 3-2-1** con al menos una copia offline/inmutable y pruebas periódicas de restauración. - **MFA** en todos los accesos remotos (VPN, RDP, correo, paneles de administración). - **Cierre o restrinja RDP** expuesto a Internet; use gateways y listas de acceso. - **Parcheo** oportuno de sistemas operativos, VPN y servicios de cara a Internet. - **EDR/antimalware** con detección de comportamiento y bloqueo de borrado de instantáneas. - **Segmentación de red** y principio de mínimo privilegio para limitar el movimiento lateral. - **Capacitación anti-phishing** y filtrado de correo, dado que es un vector común [5]. - **Plan de respuesta a incidentes** probado, con contactos y roles definidos. ## Advertencias honestas (limitaciones) - **No hay descifrador gratuito** para NoEscape a la fecha de esta guía. Cualquier afirmación contraria debe verificarse con fuentes confiables. - La extensión `.` varía por víctima y no sirve como firma única; confirme la familia con análisis o con Crypto Sheriff [4]. - Como el grupo aparentemente cesó operaciones mediante un exit scam, la negociación y el pago son especialmente inciertos. - Esta guía es informativa y no sustituye una investigación forense ni asesoría legal específica para su caso. Si necesita apoyo profesional para identificar, contener o recuperar un incidente de NoEscape, puede contactarnos: **(800) 649-0625** o **hola@ransomware.mx**. ## Referencias [1] Bleeping Computer, "NoEscape ransomware is Avaddon rebranded, researchers say." [En línea]. Disponible en: https://www.bleepingcomputer.com/news/security/noescape-ransomware-is-avaddon-rebranded-researchers-say/ [2] Cyble, "NoEscape Ransomware: A Technical Analysis." [En línea]. Disponible en: https://cyble.com/blog/noescape-ransomware/ [3] Bleeping Computer, "NoEscape ransomware gang vanishes, leaving affiliates hanging." [En línea]. Disponible en: https://www.bleepingcomputer.com/news/security/noescape-ransomware-affiliates-left-hanging-after-abrupt-shutdown/ [4] Europol y socios, "No More Ransom." [En línea]. Disponible en: https://www.nomoreransom.org/ [5] Cybersecurity and Infrastructure Security Agency (CISA), "Stop Ransomware." [En línea]. Disponible en: https://www.cisa.gov/stopransomware ## Play: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/play/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen Play (también conocido como PlayCrypt) es una familia de ransomware activa desde junio de 2022, que opera mediante doble extorsión (cifrado y exfiltración de datos) y ha afectado a numerosas organizaciones en América Latina. Esta guía describe cómo identificar la infección, contener el incidente, preservar evidencia y evaluar opciones de recuperación. Importante: al momento de esta publicación no existe un descifrador gratuito conocido públicamente para Play. ## TL;DR - **No hay descifrador gratuito conocido** para Play. Desconfía de cualquier herramienta que prometa descifrar archivos .play. - Identifica la infección por la extensión `.play` / `.PLAY` y la nota de rescate `ReadMe.txt`. - **Aísla de inmediato** los equipos afectados de la red, pero **no los apagues** si necesitas preservar memoria volátil. - **Preserva evidencia** (imágenes forenses, logs) antes de reinstalar o limpiar. - Restaura desde **respaldos offline verificados** una vez confirmada la erradicación. - Asume que **hubo exfiltración de datos** y activa tus obligaciones legales de notificación. - ¿Necesitas apoyo? Contáctanos: **(800) 649-0625** o **hola@ransomware.mx**. ## 1. Qué es Play Play es un ransomware observado por primera vez en junio de 2022 que emplea un modelo de **doble extorsión**: cifra los archivos de la víctima y, además, exfiltra información sensible que amenaza con publicar si no se paga el rescate [1], [2]. Sus vectores de acceso inicial son similares a los de otras familias: **phishing**, explotación de **servicios expuestos a Internet** y compromiso de **cuentas válidas** [3]. En abril de 2023, investigadores de Symantec documentaron dos herramientas propias del grupo: un **infostealer en .NET** que enumera software y servicios mediante WMI, WinRM, Remote Registry y Remote Service, verificando la presencia de software de seguridad, respaldo y herramientas de administración remota, guardando los resultados en archivos `.CSV` que luego comprime en un `.ZIP` para exfiltración manual [1]. El grupo ha explotado vulnerabilidades conocidas, entre ellas fallas en dispositivos FortiOS y la cadena ProxyNotShell de Microsoft Exchange (CVE-2022-41040 y CVE-2022-41082), como rutas de acceso y escalamiento [2]. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) Señales típicas de un incidente con Play: - **Extensiones de archivo cifrado:** los archivos afectados suelen renombrarse con `.play` o `.PLAY`. - **Nota de rescate:** archivo de texto llamado **`ReadMe.txt`**, que normalmente incluye una dirección de correo de contacto (frecuentemente en dominios como `@gmx.de`) y una URL para negociación en la red Tor [2]. - **Actividad de reconocimiento:** presencia de archivos `.CSV` con inventarios de software/servicios comprimidos en `.ZIP`, indicativos del infostealer .NET del grupo [1]. - **Herramientas de doble uso:** uso de utilidades legítimas para movimiento lateral, exfiltración y desactivación de defensas (por ejemplo, herramientas de administración remota, PsExec, Cobalt Strike) [2]. - **Borrado de respaldos y Shadow Copies:** ejecución de comandos para eliminar copias de sombra de Windows. Nota educativa: la "red Tor" es una red de anonimato donde los sitios `.onion` alojan portales de negociación. En esta guía **no** enlazamos direcciones `.onion` por seguridad y política editorial. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla los equipos afectados.** Desconéctalos de la red (cable, Wi-Fi, VPN). Si puedes, aísla a nivel de switch o segmento en vez de apagar, para conservar memoria volátil útil en el análisis forense. 2. **No apagues los sistemas de forma masiva** hasta capturar evidencia; el apagado puede destruir artefactos en memoria y claves temporales. 3. **Preserva evidencia:** genera **imágenes forenses** de discos y volcados de memoria de sistemas clave; resguarda registros de EDR, firewall, VPN, Active Directory y servidores de correo. 4. **Rota credenciales** de cuentas privilegiadas y de servicio, especialmente cuentas de dominio, asumiendo compromiso total del directorio. 5. **Identifica el vector de entrada** (servicio expuesto, phishing, cuenta comprometida) para evitar reinfección. 6. **Activa tu plan de respuesta a incidentes** y notifica a las áreas legal, dirección y, cuando aplique, a las autoridades y reguladores. 7. **Asume exfiltración de datos** y evalúa obligaciones de notificación a titulares afectados. ## 4. Opciones de recuperación **Aviso destacado: al momento de escribir esta guía NO existe un descifrador gratuito conocido públicamente para Play.** Cualquier producto o servicio que afirme "descifrar gratis" o "garantizar" la recuperación de archivos `.play` debe considerarse **sospechoso**. Existen estafas que revenden herramientas falsas o que simplemente intermedian el pago al atacante sin transparencia. Opciones realistas, en orden de preferencia: 1. **Restauración desde respaldos offline / inmutables.** Es la vía más confiable. Verifica que los respaldos no estén cifrados ni comprometidos y restáuralos solo en un entorno ya erradicado y endurecido. 2. **Reconstrucción desde cero** de sistemas críticos cuando no haya respaldo válido, priorizando servicios esenciales. 3. **Consultar recursos legítimos:** el portal **No More Ransom** [4] mantiene un catálogo de descifradores verificados. Si en el futuro apareciera una herramienta para Play, se publicaría allí. **Hoy no la hay.** 4. **Preservar copias de los datos cifrados.** Aunque no exista descifrador ahora, guarda una copia íntegra: podría aparecer una solución más adelante (por errores en el esquema de cifrado o incautaciones de claves por autoridades). Sobre el **pago del rescate:** agencias como el FBI y CISA **desaconsejan pagar**, ya que no garantiza la recuperación ni la no publicación de datos, y financia futuros ataques [2]. La decisión final debe tomarse con asesoría legal y, en su caso, con especialistas en respuesta a incidentes. ## 5. Prevención y endurecimiento - **Parcheo prioritario** de servicios expuestos, especialmente VPN, correo (Exchange) y appliances perimetrales; corrige ProxyNotShell y vulnerabilidades de FortiOS [2]. - **MFA** en todos los accesos remotos y cuentas privilegiadas. - **Respaldos 3-2-1** con al menos una copia **offline o inmutable** y pruebas periódicas de restauración. - **Segmentación de red** para limitar movimiento lateral. - **EDR/XDR** con detección de PsExec, Cobalt Strike y abuso de WMI/WinRM. - **Reducción de superficie:** cierra RDP expuesto, restringe administración remota y aplica principio de menor privilegio. - **Concientización antiphishing** y monitoreo de accesos anómalos. ## Advertencias honestas (limitaciones) - Esta guía no sustituye un análisis forense profesional; cada incidente tiene particularidades técnicas. - **No garantizamos** la recuperación de archivos: sin respaldos válidos ni descifrador, es posible que algunos datos sean irrecuperables. - Los indicadores (correos, extensiones, TTP) **evolucionan**; los operadores de Play modifican sus herramientas con frecuencia. - La existencia o ausencia de descifrador puede cambiar; verifica siempre fuentes oficiales antes de actuar. ¿Necesitas ayuda especializada para responder a un incidente de Play? Contáctanos: **(800) 649-0625** o **hola@ransomware.mx**. ## Referencias [1] Symantec Threat Hunter Team, "Play Ransomware's Attack Playbook Similar to that of Hive, Nokoyawa Groups," Symantec Enterprise Blogs, 2023. Disponible en: https://www.security.com/threat-intelligence/play-ransomware [2] Cybersecurity and Infrastructure Security Agency (CISA), FBI y ASD's ACSC, "#StopRansomware: Play Ransomware," AA23-352A, 2023. Disponible en: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-352a [3] Trend Micro, "Ransomware Spotlight: Play," Trend Micro Research, 2023. Disponible en: https://www.trendmicro.com/vinfo/us/security/news/ransomware-spotlight/ransomware-spotlight-play [4] No More Ransom Project, "Decryption Tools." Disponible en: https://www.nomoreransom.org/es/decryption-tools.html ## RansomHub: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/ransomhub/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen RansomHub es una operación de Ransomware como Servicio (RaaS) surgida a mediados de febrero de 2024, que combina cifrado de archivos con robo y filtración de datos (doble extorsión). Su carga útil, escrita en Golang, destaca por su velocidad de cifrado y por el uso de algoritmos criptográficos robustos. A la fecha de esta guía, no existe un descifrador gratuito conocido públicamente para RansomHub. ## TL;DR - **No hay descifrador gratuito conocido** para RansomHub. Desconfía de cualquier herramienta que prometa lo contrario [1]. - Identifica la infección por notas como `README_*.txt` o `How To Restore Your Files.txt` y por extensiones aleatorias de 6 caracteres. - **Aísla de inmediato** los equipos afectados, pero **no apagues** máquinas sin antes preservar evidencia (memoria y discos). - **No elimines** las notas de rescate ni los archivos cifrados: pueden ser útiles para análisis futuro. - Restaura desde respaldos limpios y verificados sin conexión. - Considera aviso a autoridades y a tu equipo legal antes de cualquier decisión sobre pago. - ¿Necesitas ayuda? Llama al **(800) 649-0625** o escribe a **hola@ransomware.mx**. ## 1. Qué es RansomHub RansomHub es un programa de afiliados (RaaS) anunciado el 2 de febrero de 2024 en un foro clandestino de origen ruso usado para publicitar servicios criminales, bajo la persona con alias "koley" (o "Koley"). El modelo de reparto declarado otorga el 90% del rescate al afiliado y el 10% al desarrollador, dejando el lavado de las ganancias y la comunicación con la víctima (incluida la entrega del descifrador vía chat) en manos del afiliado [2]. Técnicamente, la carga útil está escrita en Golang, emplea intercambio de claves asimétrico basado en **x25519** y algoritmos de cifrado **AES-256, ChaCha20 y xChaCha20**, con ofuscación mediante AST (Abstract Syntax Tree). Esta combinación busca velocidad y resistencia al análisis. El grupo practica **doble extorsión**: cifra los sistemas y amenaza con publicar datos robados en sitios de filtración alojados en la red Tor (sitios .onion, accesibles solo mediante el navegador Tor y con direcciones no indexadas por buscadores convencionales) [2], [3]. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) Señales características: - **Notas de rescate:** archivos de texto con nombres como `README_*.txt` o `How To Restore Your Files.txt`, depositados en carpetas afectadas. - **Extensiones cifradas:** los archivos adoptan una extensión aleatoria de **6 caracteres** (formato `.<6-random>`), distinta por víctima. - **Comportamiento:** cifrado muy rápido, procesos inusuales de Golang, eliminación de instantáneas de volumen (Volume Shadow Copies) y posible desactivación de servicios de seguridad. - **Indicadores de exfiltración:** transferencias masivas de datos salientes hacia servicios de almacenamiento o herramientas como Rclone previas al cifrado [3]. Como el algoritmo de nombrado es aleatorio, la mejor confirmación es la coincidencia del nombre de la nota junto con el patrón de extensión y el análisis forense del binario. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla, no apagues.** Desconecta de la red (cable, Wi-Fi, VPN) los equipos afectados. Evita apagarlos de golpe si es posible capturar memoria RAM, ya que puede contener claves o artefactos volátiles. 2. **Preserva evidencia.** Toma imágenes forenses de discos y volcados de memoria antes de remediar. Conserva copias de las notas de rescate, muestras de archivos cifrados y registros (logs) de sistemas, EDR, firewall y VPN. 3. **Contén la propagación.** Revoca credenciales potencialmente comprometidas, deshabilita cuentas sospechosas, segmenta la red y bloquea IOCs conocidos. 4. **Evalúa el alcance.** Determina qué sistemas se cifraron y qué datos pudieron ser exfiltrados; la exfiltración implica obligaciones legales y de notificación distintas al solo cifrado. 5. **Activa tu plan de respuesta.** Involucra a los equipos de TI, seguridad, legal y dirección. Considera notificar a las autoridades competentes [1], [4]. ## 4. Opciones de recuperación **Aviso claro y prominente: a la fecha de esta guía NO existe un descifrador gratuito público para RansomHub.** Cualquier producto que afirme "descifrar RansomHub gratis" o mediante pago a un tercero debe tratarse con extrema sospecha: podría ser fraude o malware adicional [1]. Opciones reales, en orden de preferencia: 1. **Restauración desde respaldos.** Es la vía más confiable. Usa respaldos sin conexión o inmutables, verificados y libres de la amenaza. Reconstruye sistemas desde cero y aplica parches antes de reconectar. 2. **Conserva los datos cifrados.** Si no tienes respaldo, guarda los archivos cifrados y una copia de la nota. En el futuro podría publicarse un descifrador (por ejemplo, tras la incautación de infraestructura del grupo). Revisa periódicamente el proyecto No More Ransom [1]. 3. **Análisis por especialistas.** Un equipo de respuesta a incidentes puede identificar la variante exacta, determinar el vector de entrada y valorar si hubo errores en la implementación del cifrado. 4. **Sobre el pago.** El pago no garantiza la recuperación ni la eliminación de los datos robados, financia la actividad criminal y puede conllevar riesgos legales y de sanciones. Debe ser la última consideración, siempre con asesoría legal [4]. Advertencia sobre herramientas no verificadas: no ejecutes "descifradores universales" descargados de foros o sitios dudosos sobre tus únicos archivos. Trabaja siempre sobre copias. ## 5. Prevención y endurecimiento - **Respaldos 3-2-1** con al menos una copia sin conexión o inmutable, y pruebas de restauración periódicas [1]. - **MFA** en accesos remotos, VPN, correo y cuentas privilegiadas. - **Parcheo prioritario** de servicios expuestos a Internet y de vulnerabilidades explotadas activamente [3]. - **Segmentación de red** y principio de mínimo privilegio; limita el uso de cuentas de administrador. - **EDR/antimalware** con detección de comportamiento y monitoreo de exfiltración (transferencias anómalas salientes). - **Registros centralizados** y retención adecuada para investigación. - **Concientización** contra phishing y capacitación al personal. ## Advertencias honestas (limitaciones) Esta guía se basa en información disponible al momento de su redacción. El panorama de RansomHub y sus afiliados cambia con rapidez: extensiones, notas, herramientas y tácticas pueden variar entre incidentes. La ausencia de un descifrador gratuito conocido no significa que exista uno privado confiable; significa exactamente eso: no lo hay públicamente. Ningún artículo sustituye un análisis forense del caso concreto. Verifica siempre las fuentes oficiales antes de actuar. Si necesitas apoyo especializado, contáctanos: **(800) 649-0625** o **hola@ransomware.mx**. ## Referencias [1] No More Ransom Project, "Decryption Tools." [En línea]. Disponible: https://www.nomoreransom.org/ [2] Group-IB, "RansomHub: New ransomware, old partners." [En línea]. Disponible: https://www.group-ib.com/blog/ransomhub/ [3] Cybersecurity and Infrastructure Security Agency (CISA), "#StopRansomware: RansomHub Ransomware," Advisory AA24-242A. [En línea]. Disponible: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-242a [4] Federal Bureau of Investigation (FBI), "Ransomware." [En línea]. Disponible: https://www.fbi.gov/how-we-can-help-you/scams-and-safety/common-frauds-and-scams/ransomware ## SafePay: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/safepay/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen SafePay es una operación de ransomware que surgió en septiembre de 2024 y creció con rapidez, con un modelo operativo cerrado (sin afiliados) gestionado internamente por el propio grupo. Este documento describe cómo identificar una infección por SafePay, qué pasos inmediatos tomar para contener el incidente y preservar evidencia, y cuáles son las opciones realistas de recuperación. Es importante señalar desde el inicio que, al momento de esta redacción, no existe un descifrador gratuito y confiable públicamente disponible para SafePay. ## TL;DR - **No hay descifrador gratuito conocido** para SafePay. Desconfía de cualquier herramienta que prometa lo contrario. - Aísla de inmediato los equipos afectados sin apagarlos abruptamente cuando sea posible, para preservar memoria y evidencia. - Preserva la nota de rescate, muestras de archivos cifrados y registros (logs) antes de remediar. - Restaura desde respaldos verificados y offline; es la vía más segura de recuperación. - Involucra a un equipo de respuesta a incidentes (DFIR) y, según tu jurisdicción, a las autoridades. - Pagar el rescate no garantiza recuperación ni la no publicación de datos robados. - ¿Necesitas ayuda? Escríbenos a hola@ransomware.mx o llama al (800) 649-0625. ## 1. Qué es SafePay SafePay es una familia de ransomware observada por primera vez en septiembre de 2024. A diferencia de la mayoría de operaciones actuales, SafePay rechaza explícitamente el modelo de Ransomware como Servicio (RaaS): no recluta afiliados externos, sino que gestiona todas sus operaciones de forma interna. Esto suele implicar tácticas más consistentes entre víctimas, pero también dificulta el rastreo público de indicadores. Para mediados de 2025, el grupo afirmaba haber comprometido a más de 300 víctimas a nivel mundial. Uno de sus ataques tempranos de alto perfil fue contra la firma británica de telemática Microlise, donde se reportó el robo de 1.2 TB de datos [1], [2]. Como muchas operaciones modernas, SafePay emplea la técnica de **doble extorsión**: cifra los archivos y, además, exfiltra información sensible para presionar a la víctima con la amenaza de publicarla en un sitio de filtraciones alojado en la red Tor (accesible mediante direcciones .onion, que son servicios ocultos diseñados para anonimizar tanto al servidor como al visitante). ## 2. Cómo identificar la infección (notas, extensiones, IOCs) Los datos públicos verificados sobre artefactos específicos de SafePay son limitados. Al momento de esta redacción: - **Nombre de la nota de rescate:** no disponible de forma verificada (n/d). - **Extensión de archivos cifrados:** no disponible de forma verificada (n/d). Dado que no contamos con extensiones o nombres de nota confirmados, la identificación debe apoyarse en señales de comportamiento: - Archivos que dejan de abrirse o cuyo contenido aparece ilegible, frecuentemente con una extensión añadida desconocida. - Aparición de un archivo de texto o HTML con instrucciones de contacto y amenazas de publicación de datos. - Actividad anómala previa al cifrado: uso de herramientas de administración remota, movimiento lateral, borrado de instantáneas de volumen (Volume Shadow Copies) y deshabilitación de defensas. - Picos de tráfico de salida (posible exfiltración de datos). **Recomendación de verificación:** antes de asumir la familia, sube una muestra del archivo cifrado y de la nota a un servicio de identificación confiable como ID Ransomware [3] o consulta el portal No More Ransom [4]. Esto evita confusiones con familias que usan artefactos similares. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aislar, no destruir.** Desconecta los equipos afectados de la red (cable, Wi-Fi, VPN) y segmenta. Evita apagarlos de golpe si un equipo forense puede capturar memoria RAM, ya que puede contener claves o artefactos útiles. 2. **Preservar evidencia.** Conserva: la nota de rescate, muestras de archivos cifrados, registros de EDR/antivirus, logs de firewall, autenticación y VPN, y cualquier binario sospechoso. Documenta fechas y horas. 3. **Identificar el alcance.** Determina qué sistemas, respaldos y cuentas fueron tocados. Revisa cuentas de administrador y accesos remotos comprometidos. 4. **Rotar credenciales.** Cambia contraseñas y revoca sesiones, priorizando cuentas privilegiadas y de acceso remoto, desde equipos limpios. 5. **Notificar.** Activa tu plan de respuesta a incidentes, involucra a legal y cumplimiento, y evalúa obligaciones de notificación (por ejemplo, a autoridades de protección de datos o a la agencia correspondiente en tu país) [5]. 6. **No comuniques aún con los atacantes** sin asesoría legal y de DFIR. ## 4. Opciones de recuperación **Aviso clave, sin rodeos: no existe actualmente un descifrador gratuito y público para SafePay.** Cualquier sitio, foro o "empresa" que garantice descifrar archivos de SafePay mediante una herramienta mágica debe tratarse con extrema sospecha: en el mejor de los casos es un intermediario que pagará el rescate sin decírtelo, y en el peor es un fraude adicional. Opciones realistas, en orden de preferencia: 1. **Restauración desde respaldos.** Si tienes respaldos offline o inmutables verificados, esta es la vía más segura. Reconstruye sistemas desde cero, aplica parches y restaura datos tras confirmar que la amenaza fue erradicada. 2. **Recuperación parcial.** Busca instantáneas de volumen sobrevivientes, copias en la nube con versionado, o archivos en estaciones no afectadas. En muchos ataques el borrado de shadow copies es exhaustivo, pero conviene verificar. 3. **Monitoreo de descifradores futuros.** Guarda muestras cifradas de forma segura. Ocasionalmente aparecen descifradores cuando se filtran claves o se desmantela una operación. Consulta periódicamente No More Ransom [4]. 4. **Pago del rescate (último recurso, desaconsejado).** No garantiza la entrega de una clave funcional ni que los datos robados no se publiquen o revendan, y puede implicar riesgos legales según sanciones aplicables [5]. Cualquier decisión debe pasar por asesoría legal y DFIR. Nunca ejecutes herramientas de "descifrado" descargadas de fuentes no verificadas sobre tus únicos archivos cifrados: trabaja siempre sobre copias. ## 5. Prevención y endurecimiento - **Respaldos 3-2-1 con copias inmutables u offline**, probados regularmente. - **MFA resistente a phishing** en todos los accesos remotos (VPN, RDP, correo, administración). - **Reducir superficie de exposición:** cerrar RDP directo a Internet, aplicar parches con prioridad a bordes de red. - **EDR/XDR** con detección de comportamiento y respuesta automatizada. - **Segmentación de red** y principio de menor privilegio; limitar cuentas de administrador de dominio. - **Monitoreo de exfiltración** y alertas por transferencias grandes de datos salientes. - **Plan de respuesta a incidentes probado** con ejercicios de mesa [6]. ## Advertencias honestas (limitaciones) Este documento se basa en información pública limitada. Los nombres de nota de rescate y las extensiones de archivo de SafePay no están confirmados de forma pública verificable al momento de redactar, por lo que la identificación puede requerir análisis forense. La ausencia de un descifrador gratuito hoy no garantiza que no exista mañana, ni al revés. Ninguna medida elimina el riesgo por completo. Ante la duda, apóyate en profesionales de DFIR. **¿Necesitas apoyo?** Puedes contactarnos: teléfono (800) 649-0625, correo hola@ransomware.mx. ## Referencias [1] BleepingComputer, "SafePay ransomware." [En línea]. Disponible: https://www.bleepingcomputer.com/ [2] The Record, "Microlise confirms cyberattack and data theft." [En línea]. Disponible: https://therecord.media/ [3] ID Ransomware. [En línea]. Disponible: https://id-ransomware.malwarehunterteam.com/ [4] No More Ransom Project. [En línea]. Disponible: https://www.nomoreransom.org/ [5] CISA, "#StopRansomware Guide." [En línea]. Disponible: https://www.cisa.gov/stopransomware [6] CISA, "Ransomware Response Checklist." [En línea]. Disponible: https://www.cisa.gov/ ## The Gentlemen: cómo recuperar tus archivos y qué hacer Source: https://ransomware.mx/guias/thegentlemen/ > Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos. ## Resumen The Gentlemen es un grupo de ransomware como servicio (RaaS) que surgió a mediados de 2025 y escaló rápidamente sus operaciones contra entornos Windows, Linux, NAS y BSD mediante un locker escrito en Go. Al momento de esta guía no existe un descifrador gratuito conocido públicamente, por lo que la recuperación depende de respaldos verificados y de una respuesta a incidentes ordenada. Este documento resume la identificación, contención, preservación de evidencia y opciones realistas de recuperación. ## TL;DR - **No hay descifrador gratuito conocido** para The Gentlemen. Desconfía de cualquier "herramienta milagro". - **Aísla de inmediato** los equipos afectados (desconecta de red, no apagues si es posible para preservar memoria). - **Preserva evidencia** antes de limpiar: notas de rescate, muestras de archivos cifrados, logs y memoria. - **Prioriza respaldos** offline o inmutables como vía principal de recuperación. - **No pagues** sin antes evaluar con asesoría legal y de respuesta a incidentes; el pago no garantiza recuperación. - **Reporta** el incidente a las autoridades competentes. - ¿Necesitas apoyo? Escríbenos a **hola@ransomware.mx** o llama al **(800) 649-0625**. ## 1. Qué es The Gentlemen The Gentlemen es una operación de tipo RaaS (ransomware como servicio) que emergió entre julio y agosto de 2025. En este modelo, los operadores desarrollan y mantienen el malware, mientras que afiliados externos ejecutan las intrusiones a cambio de un reparto de ganancias; en este caso se ofreció a los afiliados un esquema atractivo (reportado en torno al 90% para el afiliado), lo que incentivó una adopción rápida [1], [2]. Características técnicas relevantes: - **Locker multiplataforma escrito en Go**, con capacidad para atacar Windows, Linux, sistemas NAS y BSD. El uso de Go facilita compilar binarios para múltiples arquitecturas y sistemas operativos [1]. - **Alcance amplio**: se le atribuyen más de 320 víctimas en 17 o más países en pocos meses. Un servidor de mando y control (C2) comprometido posteriormente reveló una cifra considerablemente mayor de víctimas vinculadas (más de 1,570), lo que sugiere subreporte respecto a las víctimas publicadas [1]. - **Doble extorsión**: como es común en grupos RaaS modernos, es previsible que combinen el cifrado con la exfiltración de datos y la amenaza de publicarlos en sitios de filtración alojados en la red Tor (dominios .onion), a los que solo se accede con el navegador Tor. ## 2. Cómo identificar la infección (notas, extensiones, IOCs) Datos honestos: **no se dispone públicamente de nombres confirmados de la nota de rescate ni de las extensiones específicas** que agrega este locker. Por ello, la identificación debe apoyarse en indicadores conductuales: - **Archivos que dejan de abrir** en volúmenes locales y compartidos de red, incluidos recursos en NAS. - **Aparición de una nota de rescate** (típicamente un archivo de texto o HTML) en múltiples carpetas, con instrucciones de contacto. - **Renombrado masivo** de archivos con una extensión desconocida o cadena añadida. - **Actividad anómala reciente**: creación de cuentas, uso de herramientas de administración remota, desactivación de antivirus, borrado de copias de sombra (Volume Shadow Copies) y ejecución de binarios no firmados escritos en Go. - **Consumo elevado de CPU/disco** durante el cifrado y conexiones salientes hacia hosts C2 desconocidos. Para clasificar la muestra de forma responsable, sube un archivo cifrado y la nota a servicios de identificación como ID Ransomware, y consulta el catálogo de No More Ransom [3], [4]. Si tienes una muestra del binario, entrégala a tu proveedor de seguridad para análisis; no la ejecutes fuera de un entorno aislado. ## 3. Pasos inmediatos (contención, preservación de evidencia) 1. **Aísla los sistemas afectados**: desconecta el cable de red o deshabilita Wi-Fi. Segmenta la red para frenar el movimiento lateral [5]. 2. **No apagues los equipos si puedes evitarlo**: la memoria RAM puede contener claves o artefactos útiles. Si el cifrado sigue activo y no hay otra opción, prioriza detener la propagación. 3. **Preserva evidencia** antes de remediar: - Copias forenses de disco y volcado de memoria de equipos clave. - Notas de rescate y muestras de archivos cifrados (guárdalas fuera de línea). - Logs de EDR, firewall, VPN, Active Directory y servidores. 4. **Revoca credenciales**: restablece contraseñas y sesiones, especialmente cuentas privilegiadas y de servicio. 5. **Identifica el vector de entrada** (RDP expuesto, phishing, VPN sin MFA, vulnerabilidades sin parchar) para evitar reinfección. 6. **Notifica** a tu equipo legal, dirección, aseguradora y a las autoridades. En México puedes reportar a la Guardia Nacional (unidad cibernética) y ante el CERT correspondiente. ## 4. Opciones de recuperación **Aviso importante y honesto: no existe un descifrador gratuito conocido públicamente para The Gentlemen.** Cualquier sitio o persona que prometa "descifrar todo" a cambio de un pago inmediato, sin análisis, es sospechoso de fraude o de instalar más malware. Verifica siempre en No More Ransom [4]; si ahí no aparece una herramienta, no existe una vía gratuita legítima al día de hoy. Vías realistas de recuperación: 1. **Restauración desde respaldos**: es la opción principal. Usa copias **offline o inmutables** y verifica que no estén comprometidas antes de restaurar. Reconstruye en una red limpia [5]. 2. **Reconstrucción desde cero**: reinstala sistemas operativos y aplicaciones en hardware/instancias limpias, luego reintegra datos validados. 3. **Cuarentena de datos cifrados**: conserva copias de los archivos cifrados. Si en el futuro se libera un descifrador (por incautación de claves o filtración del C2), podrías recuperarlos después. 4. **Sobre el pago**: el pago no garantiza recuperación, puede tener implicaciones legales y financia futuros ataques. Considéralo solo como último recurso y con asesoría legal y de respuesta a incidentes. No uses "descifradores" descargados de foros o resultados de búsqueda no verificados: suelen ser malware. ## 5. Prevención y endurecimiento - **Respaldos 3-2-1** con al menos una copia offline o inmutable, y pruebas de restauración periódicas [5]. - **MFA en todo acceso remoto** (VPN, RDP, correo, administración). Elimina RDP expuesto a Internet. - **Parcheo prioritario** de perímetro (VPN, firewalls, servidores expuestos) y sistemas NAS/BSD, frecuentemente descuidados. - **EDR/XDR** con detección de comportamiento y bloqueo de binarios no firmados. - **Segmentación de red** y principio de mínimo privilegio; cuentas de servicio sin permisos excesivos. - **Monitoreo** de creación de cuentas, borrado de shadow copies y exfiltración de datos. - **Concientización antiphishing** y filtrado de correo. ## Advertencias honestas (limitaciones) - No hay datos públicos confirmados sobre la extensión de cifrado ni el nombre exacto de la nota de rescate de este grupo; los indicadores aquí son conductuales y generales. - La atribución y las cifras de víctimas pueden cambiar conforme surja nueva investigación. - Esta guía es informativa y no sustituye una respuesta a incidentes profesional adaptada a tu entorno. ¿Sospechas una infección por The Gentlemen o necesitas apoyo especializado? Contáctanos: **(800) 649-0625** o **hola@ransomware.mx**. ## Referencias [1] Trend Micro, "The Gentlemen ransomware: tactics and targeting analysis," 2025. Disponible: https://www.trendmicro.com/en_us/research.html [2] BleepingComputer, "New ransomware operations and RaaS affiliate models," 2025. Disponible: https://www.bleepingcomputer.com/news/security/ [3] ID Ransomware, "Upload ransom note and encrypted file for identification." Disponible: https://id-ransomware.malwarehunterteam.com/ [4] No More Ransom, "Decryption tools." Disponible: https://www.nomoreransom.org/ [5] Cybersecurity and Infrastructure Security Agency (CISA), "#StopRansomware Guide." Disponible: https://www.cisa.gov/stopransomware ## Inteligencia diaria ## [Intel MX] 2026-10-23 Qilin reclama a SEPIVER mientras la cadena de suministro de software cede por varios frentes Source: https://ransomware.mx/intel/2026-10-23/ Una víctima mexicana sin detalles, en un día en el que fallan los canales de actualización. El grupo Qilin agregó a SEPIVER a su lista de víctimas. No publicó qué datos dice tener ni a qué sector pertenece la organización, y por ahora nadie ha confirmado nada en público. Fuera de México, el día se resume en una idea incómoda: lo que se instala con confianza puede venir envenenado. Atacantes comprometieron la cadena de publicación de LiteLLM. Los servidores de actualización de AOMEI sirvieron malware de forma intermitente entre abril y julio. Microsoft atribuye el ataque contra ConnectWise a un actor alineado con el Estado chino que usa agentes de IA. Railway pide a sus usuarios rotar secretos, y dos fallas (en Arista VeloCloud y PHP2Shell) ya se explotaban antes de que existiera un parche. Para cerrar, eMudhra abandona el negocio global de certificados SSL/TLS después de que se supo que una de sus llaves privadas era literalmente el número cuatro. **Qilin pone a SEPIVER en su sitio de filtraciones** El operador de ransomware Qilin listó a SEPIVER como víctima en su portal de extorsión. Ransomware.live detectó la reivindicación el 2026-10-22 y la ubica en México. La publicación no trae resumen, muestras de archivos, volumen de datos ni fecha límite de pago, y tampoco aclara a qué sector pertenece la organización. Al cierre de esta edición no encontramos un comunicado público de la entidad ni reportes en medios abiertos que confirmen o detallen el incidente. Qilin trabaja bajo el modelo de doble extorsión: cifra los sistemas, roba datos sensibles y amenaza con publicarlos en su sitio de filtraciones si no se paga el rescate. Comentario del editor: Tenemos alta confianza en que la reivindicación existe, pero eso no dice nada sobre el alcance real del incidente. Lo que conviene vigilar en los próximos días es si aparecen muestras de datos y si la organización emite algún comunicado. **LiteLLM: el paquete oficial distribuyó un ladrón de credenciales** Atacantes comprometieron la cadena de publicación de LiteLLM, una biblioteca muy usada para enrutar llamadas a modelos de lenguaje. Comprometieron el paquete de PyPI del proyecto y publicaron imágenes de Docker maliciosas con una carga útil que roba credenciales, secretos y variables de entorno. El ataque afectó todos los paquetes wheel de PyPI de la versión 1.107.0 de LiteLLM, con impacto en Windows, Linux y macOS. [1] Comentario del editor: LiteLLM suele estar en medio de todo: guarda las llaves de API de varios proveedores de IA a la vez. Si un equipo instaló o actualizó a la versión afectada, debe tratar como ya filtrada cada llave que ese entorno podía leer. **Railway pide rotar secretos tras actividad sospechosa** La plataforma de nube Railway emitió una alerta urgente a sus usuarios. Detectó actividad sospechosa en los sistemas donde guarda las variables de entorno de sus clientes y les recomienda rotar sus secretos [2]. **Microsoft atribuye el ataque a ConnectWise a un actor chino con agentes de IA** Según Microsoft, un grupo de hackers alineado con el gobierno chino usó herramientas automatizadas para ejecutar el reciente ataque a la cadena de suministro de ConnectWise, empresa de software de gestión de TI, y aplica las mismas técnicas para intentar comprometer organizaciones en todo el mundo [3]. Microsoft llama a este actor Storm-0940 y señala que usó ARTEX, un framework de pruebas de penetración con IA, para vulnerar la infraestructura en la nube de distintas organizaciones. Comentario del editor: El valor de atacar a un proveedor como ConnectWise está en la confianza que sus clientes ya le otorgaron. Storm-0940 abusó de credenciales robadas de aplicaciones de ConnectWise para entrar a los entornos en la nube de los clientes. Las empresas mexicanas que tercerizan su TI deberían revisar hoy mismo qué aplicaciones de terceros tienen permisos en sus entornos en la nube y cómo se supervisan. **AOMEI sirvió malware desde sus propios servidores de actualización** AOMEI, empresa registrada en Hong Kong, confirmó que entre abril y julio unos atacantes modificaron varias veces los archivos de configuración de sus servidores de actualización. Así, durante intervalos de algunos minutos, su software descargaba malware. La compañía todavía no ha notificado a sus clientes [4]. Comentario del editor: Operar por ventanas de minutos es una técnica pensada para no ser detectada. Los atacantes devolvían los archivos de configuración a su estado original en cuestión de minutos, lo que dificultaba detectar el compromiso. El silencio de AOMEI deja a los usuarios sin saber si alguna vez quedaron expuestos. Si en su organización se usa AOMEI Backupper o AnyViewer, vale la pena revisar la telemetría de los equipos en ese periodo. **Arista parcha un día cero explotado en VeloCloud Orchestrator** Arista Networks publicó actualizaciones para una vulnerabilidad de día cero que ya se explota activamente en instalaciones locales (On-Prem) de VeloCloud Orchestrator [5]. **PHP2Shell se explotaba cuatro días antes del parche** Investigadores de Amazon Threat Intelligence afirman que los ataques contra las fallas conocidas como PHP2Shell empezaron cuatro días antes de que se publicaran los parches, que salieron el miércoles [6]. Comentario del editor: Si la explotación empezó antes que el parche, actualizar no basta: también hay que revisar los registros desde varios días antes de la fecha de publicación. **eMudhra abandona los certificados SSL/TLS: una llave privada era el número cuatro** eMudhra anunció que se retira voluntariamente del negocio global de certificados SSL/TLS, luego de que se descubrió que las llaves privadas de ocho de sus certificados intermedios eran débiles. El problema lo hizo público el investigador Scott Helme: en lugar de un número aleatorio de 384 bits, una de las llaves privadas era simplemente el número cuatro [7]. ## Referencias https://www.bleepingcomputer.com/news/security/litellm-release-pipeline-hacked-to-distribute-info-stealer-malware/https://www.bleepingcomputer.com/news/security/railway-warns-devs-to-rotate-secrets-after-potential-breach/https://therecord.media/china-cyber-connectwise-aihttps://therecord.media/aomei-yet-to-notify-customers-hijack-softwarehttps://www.bleepingcomputer.com/news/security/arista-patches-new-velocloud-orchestrator-zero-day-exploited-in-attacks/https://www.bleepingcomputer.com/news/security/amazon-says-php2shell-exploitation-began-4-days-before-patches/https://therecord.media/indian-tech-company-announces-withdrawal-certificate-business-incident ## [Intel MX] 2026-10-22 COMAPA Victoria se recupera de un ransomware con respaldos; PHP2Shell obliga a parchar ya Source: https://ransomware.mx/intel/2026-10-22/ Un organismo de agua en Tamaulipas dice que aguantó el golpe gracias a sus respaldos. Afuera, la semana trae parches urgentes. La única víctima mexicana reportada hoy es la Comisión Municipal de Agua Potable y Alcantarillado de Ciudad Victoria (COMAPA). El organismo informa que sufrió un intento de ransomware y que se recuperó sin pagar rescate. El resto de la edición es una lista de servidores que conviene revisar hoy mismo: dos fallas críticas de ejecución remota de código en PHP (PHP2Shell), una vulnerabilidad de severidad máxima en GitLab y una cadena de fallas en Plex que ya se explota activamente. Completan el día el ataque contra la capital de Carolina del Sur, que dejó fuera la plataforma con la que sus habitantes pagan servicios, el compromiso de un proveedor japonés de VPS, una operación policial masiva en África y el uso de criptografía poscuántica por parte de Lazarus. **COMAPA Victoria resiste un intento de ransomware** La Comisión Municipal de Agua Potable y Alcantarillado de Ciudad Victoria, Tamaulipas, informó que sufrió un intento de ataque de ransomware. Según el organismo, los atacantes buscaron bloquear sus archivos para exigir un rescate [1]. La institución afirma que tenía respaldos actualizados y que con ellos restauró toda la información sin pagar nada. También aseguró que no se comprometieron datos personales ni bancarios de los usuarios [1]. Por su parte, el sitio de monitoreo Ransomware.live registró el 13 de octubre de 2026 que el grupo Qilin reivindicó el ataque contra el organismo (comapavictoria.gob.mx) [2]. El vector de entrada no se ha dado a conocer, y la versión sobre el alcance del incidente es la del propio organismo (confianza media). Comentario del editor: Es raro que un organismo operador de agua cuente que se recuperó sin pagar, y vale la pena reconocerlo. Aun así, restaurar los archivos no significa que los atacantes no se hayan llevado nada: la mayoría de los grupos actuales roban la información antes de cifrarla. Como COMAPA ya aparece reivindicada por Qilin, la afirmación de que no se comprometieron datos debe tomarse con cautela hasta ver si el grupo publica información del organismo. **PHP2Shell: parches de emergencia para dos fallas críticas de RCE** El equipo de seguridad de PHP publicó parches de emergencia para dos vulnerabilidades críticas de ejecución remota de código, CVE-2026-109618 y CVE-2026-109619, que se conocen en conjunto como PHP2Shell [3]. Cientos de sitios web se desconectaron mientras crecía la preocupación por la gravedad de las fallas [4]. La PHP Foundation explicó que una de ellas data de 2024 y que una revisión reciente hecha por empresas de inteligencia artificial puso ambas en el foco. Esa revisión encendió las alarmas en agosto y llevó a la fundación a publicar los detalles antes de lo que tenía previsto [5]. Comentario del editor: PHP está detrás de buena parte de los portales de gobierno, universidades y comercios en México, y muchos de esos sitios corren versiones que nadie actualiza. Cuando una falla tiene nombre propio y su divulgación se adelanta, la explotación masiva suele llegar en cuestión de días. Si administras sitios en PHP, este parche va primero en la lista. **GitLab corrige una falla de severidad máxima** GitLab liberó parches para una vulnerabilidad de severidad máxima en un compilador de expresiones regulares. La falla permite que un atacante remoto ejecute código arbitrario en servidores vulnerables [6]. Comentario del editor: Una instancia de GitLab alojada por la propia organización guarda código fuente, secretos de CI/CD y credenciales de despliegue. Si alguien la compromete, puede abrirse paso a toda la cadena de suministro de software de la organización. **CISA alerta por la cadena Plex2Shell en servidores Plex** La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) advirtió que hay atacantes explotando activamente cuatro vulnerabilidades de Plex Media Server. Los atacantes las encadenan en ataques bautizados como Plex2Shell para tomar el control de los servidores [7]. **Ciberataque contra la capital de Carolina del Sur** Funcionarios estatales de Carolina del Sur ofrecieron ayuda a la capital del estado tras un ciberataque. Entre los sistemas afectados está MyColaSC, la plataforma con la que los habitantes pagan sus recibos de servicios, reportan problemas que no son emergencias y hacen otros trámites municipales [8]. Comentario del editor: El mismo día aparecen como blancos un organismo de agua en Tamaulipas y una capital estatal en Estados Unidos. Las plataformas municipales de cobro atraen a los atacantes porque concentran pagos y datos de los ciudadanos, y porque cualquier interrupción presiona al gobierno para resolver rápido. **Comprometen a Onamae Desktop Cloud: hasta 27,000 servidores con malware** Unos atacantes comprometieron la infraestructura de Onamae Desktop Cloud, un proveedor de VPS muy popular en Japón, e instalaron malware en hasta 26,739 servidores de sus clientes [9]. Comentario del editor: Este caso muestra el riesgo de depender de un solo proveedor: un cliente puede tener su servidor bien configurado y aun así quedar comprometido porque atacaron al proveedor. Los contratos de nube y VPS deberían obligar al proveedor a notificar cualquier incidente. **Operación Serengeti III desarticula casi 11,000 redes criminales en África** En la Operación Serengeti III, autoridades de varios países desarticularon cerca de 11,000 redes de cibercrimen y detuvieron a más de 1,400 personas. La operación se enfocó en fraudes de compromiso de correo empresarial (BEC), ransomware y estafas en línea [10]. **Lazarus usa criptografía poscuántica para entregar malware** Investigadores reportan que el grupo norcoreano Lazarus usa un mecanismo criptográfico poscuántico para proteger la entrega de sus cargas maliciosas. Lo hace en nuevas operaciones que combinan malware antiguo con malware nuevo [11]. ## Referencias https://voxpopulinoticias.com.mx/2026/10/comapa-en-ciudad-victoria-tamaulipas-refuerza-su-seguridad-digital-tras-ciberataque/https://ransomware.live/id/Q29taXNpw7NuIE11bmljaXBhbCBkZSBBZ3VhIFBvdGFibGUgeSBBbGNhbnRhcmlsbGFkbyBkZSBWaWN0b3JpYUBxaWxpbg==https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/https://therecord.media/php-script-vulnerabilities-warningshttps://therecord.media/php-foundation-statement-critical-vulnerabilitieshttps://www.bleepingcomputer.com/news/security/gitlab-warns-of-new-max-severity-code-execution-vulnerability/https://www.bleepingcomputer.com/news/security/cisa-hackers-chain-plex-flaws-in-plex2shell-attacks-to-breach-servers/https://therecord.media/south-carolina-officials-offer-assistance-cyber-incidenthttps://www.bleepingcomputer.com/news/security/japans-onamae-desktop-cloud-hacked-up-to-27-000-servers-affected/https://www.bleepingcomputer.com/news/security/authorities-disrupt-nearly-11-000-cybercrime-networks-in-africa/https://www.bleepingcomputer.com/news/security/lazarus-hackers-use-post-quantum-cryptography-for-malware-delivery/ ## [Intel MX] 2026-10-21 SafePay supera 600 víctimas en infraestructura crítica y PHP prepara parches de emergencia Source: https://ransomware.mx/intel/2026-10-21/ Contraseñas adivinadas, llaves robadas, criptografía débil: el día lo definen las credenciales. Hoy no se registraron nuevas víctimas de ransomware en México. Lo más importante viene de fuera. Una alerta conjunta de Estados Unidos, Reino Unido y Alemania coloca a SafePay entre las bandas más activas, con más de 600 organizaciones de infraestructura crítica comprometidas desde 2024. PHP avisa de dos fallas críticas cuyos detalles se filtraron antes de tiempo. Unas llaves robadas de UpdraftCentral ya se usan para meter puertas traseras en sitios WordPress, y los navegadores bloquearon certificados de eMudhra con llaves privadas débiles. En el frente de datos, Zeabur cierra tras su segunda brecha. En México, la alerta del día es doméstica: el robo de cuentas de WhatsApp a través del buzón de voz. **SafePay: más de 600 organizaciones de infraestructura crítica desde 2024** La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) afirma que la banda de ransomware SafePay ha vulnerado a más de 600 organizaciones de infraestructura crítica en todo el mundo desde 2024 [1]. Según CISA, la actividad del grupo ha afectado a empresas e infraestructura crítica en Norteamérica, Sudamérica, Europa y Australia desde agosto de 2024. El FBI, junto con agencias de ciberseguridad del Reino Unido y Alemania, la ubica "entre las más activas" y señala que obtiene el acceso inicial adivinando contraseñas, explotando vulnerabilidades y lanzando campañas de phishing contra empresas e infraestructura crítica [2]. Comentario del editor: Nada en ese repertorio es sofisticado, y justo por eso funciona. Una banda que entra adivinando contraseñas puede atacar a cualquiera con una VPN o un portal expuesto sin MFA, y en México hay mucho de eso. La alerta incluye a Norteamérica entre las regiones afectadas, así que no hay motivo para pensar que el país queda fuera de su alcance. Lo urgente es revisar los accesos remotos, las políticas de bloqueo por intentos fallidos y el inventario de parches. **PHP adelanta parches de emergencia por dos fallas críticas filtradas** El equipo de seguridad de PHP pidió a los administradores que se preparen para actualizaciones de emergencia que corrigen dos vulnerabilidades críticas, porque la información sobre las fallas se habría filtrado antes de su divulgación programada [3]. Según el aviso, las correcciones salen el miércoles 21 de octubre a las 14:00 UTC, y cada vulnerabilidad tiene una calificación de 9.2 en CVSS v4.0. Comentario del editor: Si los detalles circularon antes del parche, los atacantes ya llevan ventaja. Como PHP corre en buena parte de la web pública, conviene tener listas desde ya las ventanas de mantenimiento y el inventario de versiones. **Llaves robadas de UpdraftCentral sirven para meter puertas traseras en WordPress** Un actor de amenazas vulneró el sitio de TeamUpdraft, desarrollador de complementos populares de respaldo y seguridad para WordPress, y pudo haber obtenido llaves de conexión de UpdraftCentral, que permiten enviar comandos a los sitios conectados. Esas llaves robadas ya se están usando para instalar puertas traseras [4]. Comentario del editor: Es un ataque a la cadena de suministro hecho con la misma herramienta que debía proteger al sitio. Si administras WordPress con UpdraftCentral, actualiza UpdraftPlus, elimina las llaves de conexión y revisa los usuarios administradores y los complementos instalados recientemente. Actualizar no elimina una puerta trasera que ya se haya instalado. **Mozilla, Google y Apple bloquean certificados comprometidos de eMudhra** La autoridad certificadora eMudhra revocó ocho certificados intermedios comprometidos. Investigadores encontraron que sus llaves privadas eran tan débiles que cualquiera podía recuperarlas casi al instante y falsificar certificados de confianza para sitios legítimos. Mozilla, Google y Apple ya los bloquean [5]. **Zeabur cierra tras su segunda brecha en dos meses** La plataforma de desarrollo Zeabur anunció su cierre después de un incidente en el que un atacante usó credenciales internas filtradas, guardadas en texto plano, para comprometer su infraestructura. Se llevó más de 3.2 millones de registros de variables de entorno e información de 321,810 cuentas [6]. La empresa irá apagando sus servicios entre el 1 y el 31 de diciembre de 2026. Comentario del editor: Las variables de entorno suelen guardar llaves de API, cadenas de conexión a bases de datos y tokens de terceros. Si tu equipo desplegó algo en Zeabur, debe dar esos secretos por expuestos y rotarlos ya, sin esperar al cierre de la plataforma. **México: alerta por robo de cuentas de WhatsApp a través del buzón de voz** Medios nacionales publicaron recomendaciones para desactivar el buzón de voz del celular, porque se ha convertido en una vía para robar cuentas de WhatsApp [7]. Es un fraude contra usuarios, no un incidente de ransomware. Comentario del editor: Defenderse cuesta poco: activa la verificación en dos pasos de WhatsApp y cambia el PIN del buzón o desactívalo. Una cuenta robada suele usarse después para pedir dinero a los contactos, así que el daño no termina en la víctima. ## Referencias https://www.bleepingcomputer.com/news/security/cisa-and-fbi-safepay-ransomware-has-hit-over-600-critical-infrastructure-organizations/https://therecord.media/fbi-says-safepay-ransomware-gang-among-most-active-600-victimshttps://www.bleepingcomputer.com/news/security/php-warns-admins-of-two-critical-flaws-emergency-patches-coming-tomorrow/https://www.bleepingcomputer.com/news/security/stolen-updraftcentral-keys-used-to-backdoor-wordpress-sites/https://www.bleepingcomputer.com/news/security/mozilla-google-apple-block-compromised-emudhra-ca-certificates/https://www.bleepingcomputer.com/news/security/zeabur-shutting-down-after-second-security-breach-in-two-months/https://news.google.com/rss/articles/CBMihgJBVV95cUxNeVRBZHFVVXV6NGswa3Ezb3NRQzQzSm9oVndlM0VSZjU0RDUwUzdXaTFHelRrbzFFajF0NEtvbVk3YjZySGdnbzlzMElnUDNtUV9TOHBKUFJJOE9NOWpXQjBUTUhZYW1IaXVtTkZHeElGM3Bhb1ZKTVJZT3FVV0taZGh6Sm44SnNUT2hQUWVVdk40dkRxenBxcU9vVHRwWkY5Qjh0UnRVVWMwYnA0b3RfVDh2aFlRSlFnOUNvWHFKbTNaOXdxdkoxYVNYU1FCYmh0OUdoU0IzcjhTU0xpaExIR0J5RzRLRFFQNTlQbmtaWmtzNFZvMzZwVzg5NWJfS2JFa0ZuaWdR?oc=5 ## [Intel MX] 2026-10-20 Qilin reclama a Salauno y la cadena de suministro de software sigue en la mira Source: https://ransomware.mx/intel/2026-10-20/ Una víctima mexicana en salud y una semana en la que el software confiable fue el que entregó el malware. El grupo Qilin agregó a Salauno, red mexicana de salud visual, a su lista de víctimas. Es el único caso nuevo de ransomware en México del día y todavía no se sabe qué tan grave es. El resto de la edición se repite con una incomodidad: casi todo lo que pasó llegó por canales legítimos. Hubo versiones con puerta trasera de la CLI de OVHcloud, descargas comprometidas del plugin Rank Math, servidores de actualización secuestrados en AOMEI y un acceso no autorizado que obligó a ConnectWise a suspender su servicio de respaldo en la nube. También hay ataques que pararon operaciones en Ahold Delhaize y Bullhorn, espionaje de APT28 contra contratistas de defensa de la OTAN y nuevos casos de Pegasus en Serbia, un tema que México conoce bien. **Qilin publica a Salauno como víctima** El grupo de ransomware Qilin listó a Salauno entre sus víctimas recientes. Salauno es un grupo de centros especializados en Oftalmología fundado en 2011 que ofrece servicios de salud visual en la Ciudad y el Estado de México. La reclamación no se ha verificado de forma independiente: se ha reportado que algunos listados atribuidos a Qilin incluyen reclamaciones de víctimas no verificadas o inventadas. Hasta el cierre de esta edición no hay detalles sobre el volumen ni el tipo de información supuestamente extraída, ni un comunicado de la empresa. Qilin trabaja con doble extorsión: cifra sistemas y amenaza con publicar los datos si no recibe el pago. Comentario del editor: Una red de atención oftalmológica guarda expedientes clínicos y datos de identificación de sus pacientes. Si hay una filtración, el daño cae sobre personas que pueden quedar expuestas a fraudes posteriores. Conviene ver si en los próximos días aparece una muestra de datos, porque eso indicaría que la reclamación tiene sustento. **Herramientas de desarrollo convertidas en ladrones de secretos** OVHcloud advirtió que atacantes comprometieron su herramienta de línea de comandos de código abierto y publicaron en GitHub versiones con puerta trasera, diseñadas para robar secretos de los desarrolladores [1]. Además, el proyecto de programación asistida por IA OpenCode notificó a un número reducido de usuarios que quedaron expuestas las llaves de API que usaban con proveedores externos [2]. En México, la prensa de negocios analizó la brecha de Axios como un compromiso que no requirió un hackeo directo [3]. Comentario del editor: El patrón ya está claro: el atacante no entra por tu perímetro, entra por la herramienta que tu equipo instaló con confianza. Si en tu organización alguien usó estas herramientas en los últimos días, rota llaves y tokens antes de investigar, no después. **Rank Math, AOMEI y ConnectWise: el canal de actualización como vector** Algunas descargas de Rank Math PRO, plugin de SEO para WordPress, desde el sitio oficial del proveedor traían malware que instalaba puertas traseras ocultas en los sitios [4]. En AOMEI, los atacantes habrían comprometido servidores para distribuir malware mediante una función promocional integrada en su software de respaldo. Alteraron archivos de configuración por poco tiempo y luego los restauraron para borrar el rastro [5]. ConnectWise, por su parte, suspendió su servicio Cloud Backup después de confirmar un acceso no autorizado a ese entorno, un caso que se trata como ataque a la cadena de suministro [6]. Comentario del editor: Dos de los tres casos afectan software de respaldo, la última línea de defensa contra el ransomware. Para los proveedores de servicios administrados que atienden a pymes mexicanas con herramientas de ConnectWise, esta semana toca verificar que los respaldos sigan íntegros y aislados. **Ahold Delhaize y Bullhorn, operaciones detenidas** Ahold Delhaize, uno de los mayores grupos de supermercados del mundo, confirmó que el ataque de la semana pasada interrumpió servicios en tiendas de Europa y Estados Unidos [7]. La empresa atribuyó las fallas a "acciones maliciosas" y desconectó sistemas en la mayoría de sus marcas a ambos lados del Atlántico [8]. Por otro lado, Bullhorn, proveedor de software para agencias de reclutamiento, deshabilitó el acceso a su plataforma para contener un ciberataque que provocó una caída total del sistema [9]. **APT28 se instala en contratistas de defensa de la OTAN** Investigadores atribuyeron a APT28 (Fancy Bear), grupo vinculado a Rusia, una campaña en la que usó una puerta trasera documentada hace poco para permanecer dentro de las redes de dos contratistas de defensa y una agencia policial en dos países aliados de la OTAN [10]. **Pegasus en Serbia y un revés judicial para WhatsApp** Investigadores encontraron Pegasus en el teléfono del rector de la Universidad de Belgrado. Es el caso más reciente de una serie de infecciones contra figuras opositoras serbias en la antesala de las elecciones nacionales [11]. En Estados Unidos, un juez federal rechazó la solicitud de WhatsApp para declarar en desacato a NSO Group por supuestamente violar una orden judicial de 2025 que le prohíbe usar la aplicación para distribuir spyware. Según el juez, WhatsApp debilitó su propio caso al no aportar suficiente información [12]. Comentario del editor: México fue uno de los mayores clientes documentados de Pegasus y el espionaje a periodistas y activistas sigue sin resolverse por completo. Que una de las pocas vías legales que había logrado frenar a NSO pierda fuerza en tribunales no es una buena noticia para quienes en la región dependen de esa presión externa. **Nikkei suma su tercera brecha en un mes** Nikkei Inc. reveló una nueva brecha de datos que expuso 1.83 millones de registros con información personal. Es el tercer incidente que la empresa divulga en aproximadamente un mes [13]. ## Referencias https://www.bleepingcomputer.com/news/security/ovhcloud-cli-releases-backdoored-on-github-to-steal-developer-secrets/https://www.bleepingcomputer.com/news/security/opencode-hack-exposes-api-keys-amid-ai-distillation-attacks/https://news.google.com/rss/articles/CBMijwFBVV95cUxPOFRoT01wY2l6NGtHRnB5cW9BMmxaSm1vNjAzMHdRN0E2M3g0NndjTDBjdS1mREhOMExsYm9hUmZGSGVHd2pXRUVtMmliazFfUldfdnNDdVpEZ2JCdFBzejNTU1M0OXBNXzhpdHhBZHF6a3QwWDRaSEZMTC1EUndyZVpLTG1kaDhweEhRT213QQ?oc=5https://www.bleepingcomputer.com/news/security/wordpress-seo-plugin-rank-math-compromised-to-backdoor-websites/https://www.bleepingcomputer.com/news/security/hackers-hijack-aomei-update-servers-to-secretly-spread-malware/https://therecord.media/connectwise-suspends-cloud-backup-service-supply-chain-attackhttps://www.bleepingcomputer.com/news/security/ahold-delhaize-cyberattack-affects-services-across-us-and-europe/https://therecord.media/ahold-delhaize-cyberattack-groceryhttps://www.bleepingcomputer.com/news/security/bullhorn-takes-staffing-platform-offline-to-contain-cyberattack/https://therecord.media/european-defense-contractors-fancy-bear-espionagehttps://therecord.media/serbia-spyware-pegasus-electionshttps://therecord.media/whatsapp-denied-appeal-alleged-nso-group-violation-injunctionhttps://www.bleepingcomputer.com/news/security/nikkei-discloses-third-data-breach-in-a-month-18m-records-exposed/ ## [Intel MX] 2026-10-19 Parches que rompen Exchange, fallas explotadas y un implante en carteras Ledger Source: https://ransomware.mx/intel/2026-10-19/ Hoy hay parches que rompen el correo y fallas que ya se están explotando. Hoy no se registraron nuevas víctimas de ransomware en México. Lo único local es un caso de fraude personal: una creadora de contenido denunció el secuestro de su WhatsApp y perdió más de 6 mil pesos. Afuera, el día viene cargado de software empresarial. Las actualizaciones de octubre de Windows Server están rompiendo Exchange, SAP corrigió una falla de severidad máxima y hay atacantes explotando una inyección de comandos en el WAF SiteGuard. Además, robaron credenciales a clientes de un hosting ruso, apareció un implante de hardware en carteras Ledger vendidas en el sudeste asiático, The Foschini Group sufrió un ataque contra sus marcas británicas y un proveedor de internet de San Petersburgo reportó un DDoS que comenzó el 6 de octubre. **Secuestran el WhatsApp de una creadora de contenido y le roban más de 6 mil pesos** Una creadora de contenido en México denunció que le hackearon su cuenta de WhatsApp y que perdió más de 6 mil pesos en una estafa ligada a ese acceso [1]. El reporte no da detalles técnicos sobre cómo tomaron la cuenta ni sobre cómo se ejecutó el fraude [1]. Comentario del editor: No es ransomware ni un incidente corporativo, pero es el patrón de fraude que más daño hace en México día con día: el atacante toma la cuenta y la usa para estafar a quienes confían en ella. La verificación en dos pasos de WhatsApp (el PIN) sigue siendo la defensa más barata y la que menos gente activa. **Las actualizaciones de octubre de Windows Server rompen Exchange** Microsoft confirmó que las actualizaciones de seguridad de este mes para Windows Server provocan fallas de inicio de sesión en OWA y problemas de entrega de correo en algunos sistemas Exchange Server [2]. Comentario del editor: Es el dilema de siempre para los equipos de TI: instalar el parche y arriesgarse a tumbar el correo, o posponerlo y quedar expuestos. Conviene probar en un ambiente controlado antes de desplegar en todos los servidores y seguir de cerca la guía de Microsoft. Desinstalar las actualizaciones de seguridad de golpe no debería ser la respuesta por defecto. **SAP corrige una falla SSRF en OAuth2 de severidad máxima** SAP publicó sus actualizaciones de seguridad de octubre de 2026 con correcciones para varios productos. Entre ellas hay una vulnerabilidad de severidad máxima en el Cloud SDK for Python, descrita como una falla SSRF relacionada con OAuth2 [3]. **Atacantes explotan el WAF SiteGuard para ejecutar comandos como SYSTEM o root** Hay atacantes explotando una vulnerabilidad de inyección de comandos del sistema operativo en el firewall de aplicaciones web SiteGuard Server Edition, que les permite ejecutar comandos con privilegios de root o SYSTEM en los equipos afectados [4]. La falla se rastrea como CVE-2026-106931 y afecta la función de estadísticas, que viene habilitada por defecto [4]. Comentario del editor: Es irónico, pero ya es costumbre: el componente que debía proteger el servidor web termina siendo la puerta de entrada con los máximos privilegios. Los dispositivos y programas de seguridad perimetral siguen siendo uno de los blancos favoritos para el acceso inicial. **Roban credenciales y datos de clientes del hosting ruso FirstVDS** Atacantes robaron contraseñas, credenciales de acceso y otros datos sensibles de clientes del proveedor ruso de hosting FirstVDS tras explotar una vulnerabilidad en el software que usa para administrar sus servidores [5]. Según la empresa, explotaron una falla en VMmanager 6, una plataforma de administración de virtualización de la firma rusa ISPsystem [5]. Comentario del editor: Cuando el comprometido es el proveedor de hosting, el problema se multiplica: cada cliente debe asumir que sus credenciales quedaron expuestas y rotarlas, aunque su propia infraestructura no tenga ninguna falla. **Implante de hardware en carteras Ledger robaba frases de recuperación** Ledger informó que dispositivos vendidos por el revendedor CryptoBilis, del sudeste asiático, traían implantes de hardware ocultos que capturaban las frases de recuperación y permitían a los atacantes robar los fondos [6]. Comentario del editor: Es un ataque a la cadena de suministro en su forma más física. En un dispositivo cuya única función es guardar un secreto, la procedencia del equipo importa tanto como la tecnología que trae adentro. **The Foschini Group investiga un ciberataque contra sus marcas británicas** El gigante sudafricano de ropa The Foschini Group (TFG) reveló un ciberataque que afectó los sistemas de TI de tres de sus marcas de moda en Reino Unido y dejó algunos servicios fuera de línea [7]. Las marcas afectadas son Phase Eight, Hobbs y Whistles, que operan bajo la división británica TFG London [7]. **Proveedor de internet de San Petersburgo bajo DDoS desde el 6 de octubre** SkyNet, uno de los principales proveedores de internet de San Petersburgo, informó que su red ha estado bajo un ataque de denegación de servicio distribuido (DDoS) desde el 6 de octubre. El ataque ha afectado servicios como juegos en línea, llamadas de voz y videoconferencias [8]. El grupo hacker ucraniano BO Team se atribuyó ataques contra la infraestructura de SkyNet, aunque la empresa no ha confirmado lo que dicen los hackers sobre equipos inhabilitados ni accesos no autorizados a sus sistemas [8]. ## Referencias https://news.google.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?oc=5https://www.bleepingcomputer.com/news/microsoft/microsoft-october-windows-server-updates-cause-exchange-issues/https://www.bleepingcomputer.com/news/security/sap-warns-of-maximum-severity-oauth2-ssrf-security-flaw/https://www.bleepingcomputer.com/news/security/hackers-exploit-siteguard-waf-flaw-to-run-commands-as-system-root/https://therecord.media/russia-cyberattack-firstvds-cloudhttps://therecord.media/ledger-cryptocurrency-wallet-implant-thefthttps://therecord.media/foschini-group-south-africa-cyberhttps://therecord.media/russian-internet-provider-skynet-reports-outages-ddos ## [Intel MX] 2026-10-18 Ivanti otra vez en la mira y la cadena de suministro cobra factura Source: https://ransomware.mx/intel/2026-10-18/ Sin víctimas locales, pero con la puerta de entrada abierta de par en par: VPN, respaldos en la nube y CMS. Hoy no se registraron nuevas víctimas de ransomware en México. El día lo marca otra vez Ivanti: un zero-day en Connect Secure que se explota desde al menos el 1 de octubre y que ya provocó una alerta urgente de CISA. Además, hubo un ataque a la cadena de suministro que llegó a tenants de Microsoft 365 a través del servicio de respaldos de ConnectWise, parches críticos en Drupal y Docker Hub, una falla en un sandbox que podría dejar escapar a agentes de IA, un incidente que afecta a marcas de moda en Reino Unido y espionaje norcoreano contra expertos ucranianos. Para quien administra perímetros en México, la tarea de hoy es parchar, no esperar. **Zero-day en Ivanti Connect Secure: CISA pide parchar ya** Ivanti pidió a sus clientes parchar de inmediato una vulnerabilidad zero-day explotada activamente en su gateway de acceso remoto Ivanti Connect Secure (ICS) [1]. CISA se sumó con una advertencia a los equipos de seguridad, porque la falla se explota en ataques zero-day desde al menos el 1 de octubre [2]. Se rastrea como CVE-2026-104935: es una vulnerabilidad de evasión de autenticación de severidad alta que permite a atacantes remotos sin privilegios ejecutar comandos arbitrarios en los sistemas ICS [2]. Según CISA, los atacantes la explotan para robar credenciales y exfiltrar datos. Comentario del editor: Ivanti Connect Secure lleva años siendo un blanco recurrente, así que esto ya no es mala suerte, es un patrón. Si una organización mexicana sigue con ICS expuesto a internet, el parche no alcanza: hay que asumir que pudo haber compromiso desde inicios de octubre y revisar bitácoras, cuentas y configuraciones en busca de persistencia. La herramienta Integrity Checker de Ivanti podría no detectar el compromiso, porque los comandos del atacante se ejecutan solo en memoria. **ConnectWise corta su respaldo en la nube tras el compromiso de tenants de Microsoft 365** ConnectWise suspendió Cloud Backup después de que atacantes desconocidos obtuvieron acceso no autorizado a identidades de aplicación y comprometieron tenants de Microsoft 365 [3]. El servicio se llamaba antes SkyKick Cloud Backup. Se trata de un ataque a la cadena de suministro: el punto de entrada fue el proveedor de respaldos, no la víctima final [3]. Comentario del editor: Las identidades de aplicación con permisos amplios sobre Microsoft 365 son un blanco perfecto, porque casi nadie las audita con el rigor con que se revisan las cuentas humanas. Hoy toca revisar qué aplicaciones de terceros tienen consentimiento sobre su tenant y con qué alcance. **Drupal parcha dos RCE críticas y anticipa exploits** Drupal corrigió dos vulnerabilidades críticas que permiten ejecutar código de forma remota en sitios con cualquier versión soportada del gestor de contenidos, y advirtió que los exploits podrían aparecer pronto [4]. Las fallas afectan al núcleo de Drupal y al módulo contribuido Entity List. Ambas tienen rutas de explotación conocidas que dependen de la interacción con otros módulos contribuidos, y algunas no requieren autenticación. Comentario del editor: Drupal se usa mucho en portales institucionales, universitarios y gubernamentales. La ventana entre el parche y el exploit público suele ser corta, así que conviene tratarlo como una urgencia. **Docker Hub: una falla crítica permitía suplantar usuarios y alterar imágenes** Docker reveló la vulnerabilidad crítica CVE-2026-105445 en Docker Hub, que permitía a un atacante acceder a los repositorios de contenedores de otro usuario usando un token de acceso personal (PAT) [5]. El riesgo incluía suplantar usuarios y manipular imágenes [5]. Docker resolvió el problema el 30 de septiembre de 2026 y dijo que su investigación no encontró evidencia de explotación. Comentario del editor: Una imagen alterada en un registro público se propaga sola por cada pipeline que la descarga. Fijar imágenes por digest, no por etiqueta, y rotar los PAT son medidas baratas frente a ese riesgo. **Agentes de IA que escapan del sandbox** Una investigación de la startup de seguridad AIR encontró una falla de filtrado de red en Vercel Sandbox, herramienta para ejecutar código en entornos aislados. La falla permitiría a agentes de IA abusar de los procesos de validación de certificados para sacar datos fuera de las redes aprobadas [6]. **TFG London: incidente cibernético afecta a Hobbs, Whistles y Phase Eight** TFG London detectó un incidente de ciberseguridad que afectó los sistemas de TI usados por sus marcas de moda premium Phase Eight, Hobbs y Whistles [7]. El comunicado del grupo no identificó a ningún atacante, banda de ransomware ni método de entrada. **Corea del Norte espía a expertos ucranianos** Hackers norcoreanos han atacado a expertos ucranianos en diplomacia, seguridad y política internacional, mientras crece la cooperación militar entre Pyongyang y Rusia [8]. El objetivo probable es obtener inteligencia sobre la guerra [8]. ## Referencias https://www.bleepingcomputer.com/news/security/ivanti-warns-of-connect-secure-zero-day-exploited-in-attacks/https://www.bleepingcomputer.com/news/security/cisa-warns-admins-to-immediately-fix-ivanti-flaw-exploited-as-zero-day/https://www.bleepingcomputer.com/news/security/hackers-breach-microsoft-365-tenants-via-connectwise-supply-chain-attack/https://www.bleepingcomputer.com/news/security/drupal-patches-critical-rce-flaws-warns-exploits-may-emerge-soon/https://www.bleepingcomputer.com/news/security/docker-hub-flaw-let-attackers-impersonate-users-tamper-with-images/https://therecord.media/sandbox-vulnerability-gives-rogue-ai-agents-path-outhttps://www.bleepingcomputer.com/news/security/tfg-london-cyberattack-disrupts-systems-at-hobbs-and-whistles-retailers/https://therecord.media/north-korea-hackers-russia-ukraine ## [Intel MX] 2026-10-17 Magento en la mira y golpe global al phishing Source: https://ransomware.mx/intel/2026-10-17/ Un CVE de máxima severidad en el comercio electrónico y dos operativos contra el phishing marcan el día. Hoy no se registraron nuevas víctimas de ransomware en México. El tema más urgente para las tiendas en línea de la región es una falla crítica en Magento y Adobe Commerce que permite ejecutar código PHP y que, según los investigadores, podría empezar a explotarse pronto. Además, un presunto grupo chino de espionaje aprovecha un zero-day en BeyondTrust, y en paralelo dos operativos desmantelaron infraestructura de phishing a escala mundial. También hay spyware de Candiru distribuido con anuncios dirigidos y sin necesidad de clic, un condado de Maryland que confirma una brecha después de que lo reclamara un grupo de ransomware, detenciones en Moscú y una compra de 6,300 millones de dólares que reacomoda el mercado de seguridad de datos. **BlockStrap: ejecución de código en servidores Magento** Investigadores advierten que los atacantes podrían empezar pronto a explotar CVE-2026-103849, una vulnerabilidad de severidad máxima que afecta a Magento y Adobe Commerce. La falla permitiría ejecutar código PHP arbitrario en los servidores de las tiendas [1]. Según la firma de seguridad para comercio electrónico Sansec, todavía no se han observado ataques que aprovechen la vulnerabilidad, apodada BlockStrap, pero se espera que los atacantes encuentren cómo explotarla [1]. Comentario del editor: Si su tienda corre en Magento o Adobe Commerce, la ventana para parchar es antes de que aparezca el primer exploit público, no después. En esta plataforma, la ejecución de código suele terminar en skimmers de tarjetas en el checkout. **Zero-day en BeyondTrust usado para espionaje** Un grupo presuntamente respaldado por el Estado chino explota un zero-day nuevo en el software de soporte remoto de BeyondTrust para hacer espionaje [2]. Comentario del editor: Las herramientas de soporte remoto tienen acceso privilegiado a cientos de equipos de un solo golpe, por eso los actores estatales siguen apuntando a ellas. Conviene revisar quién tiene expuesta esta consola a internet, sobre todo los proveedores de TI que dan servicio a gobierno y finanzas. **Doble golpe contra la infraestructura de phishing** Agencias policiales y socios de varios países desarticularon un ecosistema criminal que facilitó un enorme volumen de mensajes maliciosos contra organizaciones de todo el mundo [3]. Por separado, Microsoft trabajó con la Agencia Nacional de Policía de Japón y con Health-ISAC para conseguir una orden judicial en Estados Unidos que le permitió incautar y redirigir dominios de la infraestructura de YAM Store, CoGUI e Iron Man, tres plataformas de phishing usadas por cibercriminales chinos [4]. Comentario del editor: Estos derribos cortan el servicio por un tiempo, pero los operadores de phishing como servicio suelen volver a montar su infraestructura en semanas. Dado el alcance global de estas campañas, es probable que organizaciones mexicanas hayan recibido parte de esos mensajes. **Candiru llega por anuncios y sin clic** El spyware de Candiru se instaló en dispositivos de Al Jazeera Media Network por medio de anuncios en línea dirigidos. Fue un ataque zero-click: bastaba con que el anuncio malicioso se mostrara en el dispositivo de la víctima [5]. Comentario del editor: Usar la publicidad dirigida como vector convierte el perfilado comercial en una herramienta de vigilancia. Para periodistas y activistas en México, que ya han sido blanco de spyware comercial, bloquear anuncios deja de ser una cuestión de comodidad y pasa a ser una medida de protección. **Anne Arundel confirma la brecha tras el reclamo de ransomware** El condado de Anne Arundel, Maryland, en los suburbios de Baltimore, confirmó que un intruso robó archivos de sus sistemas de gobierno durante un incidente en agosto, después de que se publicaran reclamos de ransomware. Los investigadores todavía evalúan cuántos datos quedaron expuestos [6]. **Moscú detiene a presuntos miembros de DataSuckers** Las autoridades rusas habrían detenido a tres presuntos integrantes del grupo DataSuckers, al que vinculan con brechas en Ucrania y Rusia. Las detenciones llegaron tras un ciberataque a una cadena de restaurantes popular que expuso grandes cantidades de información de clientes [7]. Comentario del editor: Rusia rara vez detiene a grupos que atacan objetivos extranjeros. Que actúe después de un ataque dentro de su territorio confirma lo de siempre: la tolerancia termina cuando las víctimas son rusas. **Proofpoint compra Varonis por 6,300 millones de dólares** Proofpoint anunció que adquirirá Varonis, empresa de Miami especializada en visibilidad y seguridad de datos, en una operación totalmente en efectivo valuada en 6,300 millones de dólares [8]. ## Referencias https://www.bleepingcomputer.com/news/security/critical-blockstrap-flaw-lets-hackers-run-code-on-magento-servers/https://therecord.media/beyond-trust-cyberattack-chinahttps://www.bleepingcomputer.com/news/security/global-takedown-hits-network-behind-1-billion-phishing-messages/https://therecord.media/microsoft-takes-down-3-major-chinese-phishing-platformshttps://www.bleepingcomputer.com/news/security/zero-click-attacks-used-targeted-ads-to-deliver-candiru-spyware/https://therecord.media/anne-arundel-county-maryland-confirms-data-breachhttps://therecord.media/russia-datasuckers-hackers-arrestedhttps://therecord.media/proofpoint-varonis-cybersecurity-acquisition ## [Intel MX] 2026-10-16 LockBit 5.0 y 0x00 listan víctimas en México; el spyware llega por anuncios Source: https://ransomware.mx/intel/2026-10-16/ Dos nombres mexicanos en sitios de extorsión, y espionaje que ya no necesita ni un clic. El día deja dos organizaciones mexicanas publicadas por grupos de ransomware: Grupo ABG, que aparece en el sitio de LockBit 5.0, y Bienestar Empresarial, que aparece con el grupo 0x00. En el frente de vigilancia, una investigación documenta spyware de cero clics que se distribuye mediante publicidad dirigida y se usó contra periodistas. En México también se reporta un nuevo caso de secuestro de una cuenta de WhatsApp que terminó en fraude. En lo global hay tres asuntos que importan a los equipos locales: el ataque a un contratista que dejó sin servicio el sistema de avisos de los tribunales federales de quiebras en Estados Unidos, un zero-day en BeyondTrust Remote Support que se explota desde agosto y una falla de ejecución remota en Collabora que se usa para meter puertas traseras en servidores Nextcloud. Cierra una campaña de proxyjacking contra equipos D-Link y Ubiquiti. **Grupo ABG aparece en el sitio de filtraciones de LockBit 5.0** El grupo LockBit, en su versión 5.0, publicó como víctima a Grupo ABG (grupoabg.com), una organización mexicana clasificada en el sector manufactura que se presenta como proveedora de soluciones integrales para organizaciones, con énfasis en procesos de negocio. El registro disponible no detalla el volumen ni el tipo de información supuestamente robada. La confianza en la publicación es alta, pero el alcance real del compromiso no está confirmado. Comentario del editor: Que LockBit siga reclutando y publicando bajo una versión 5.0, después de las operaciones policiales en su contra, confirma que la marca sigue viva como franquicia. A una empresa que da servicios de procesos a terceros, lo que más le debería preocupar es la información de sus clientes, no solo la propia. **Bienestar Empresarial, listada por el grupo 0x00** El grupo 0x00 publicó como víctima al dominio bienestarempresarial.mx, una organización mexicana de servicios profesionales. El registro solo incluye el dominio, sin muestras ni descripción de los datos. La confianza en el registro es alta, pero no se encontró confirmación independiente del incidente. **Spyware de cero clics distribuido por anuncios dirigidos** Una investigación reciente documenta spyware de cero clics que infecta dispositivos en distintos países a través de publicidad en línea dirigida, sin que la víctima tenga que hacer nada [2]. Según la cobertura en México, empresas israelíes estuvieron detrás de una operación que usó anuncios con malware para espiar a periodistas [1]. Los investigadores lo describen como un avance preocupante en la difusión de tecnología de vigilancia [2]. Comentario del editor: En un país con antecedentes documentados de espionaje a periodistas, este vector cambia las reglas: ya no hace falta engañar al objetivo para que abra un enlace, basta con comprar inventario publicitario segmentado. Para redacciones y defensores, bloquear anuncios y activar los modos de protección reforzada del sistema operativo deja de ser paranoia y se vuelve higiene básica. **Otro secuestro de WhatsApp termina en fraude** La creadora de contenido Marcella Fematt denunció que perdió más de 6 mil pesos en una estafa luego de que delincuentes hackearan la cuenta de WhatsApp de un amigo suyo y la usaran para pedirle una transferencia [3]. Comentario del editor: El caso es pequeño en monto, pero el patrón se repite en México: se toma la cuenta y luego se usa la confianza de los contactos para pedir dinero. Activar la verificación en dos pasos de WhatsApp y confirmar por otra vía cualquier petición de dinero siguen siendo las defensas más baratas que hay. **Ataque a BAE Systems deja sin avisos a los tribunales de quiebras de EE. UU.** La Oficina Administrativa de los Tribunales de Estados Unidos informó que un ciberataque contra el contratista gubernamental BAE Systems tumbó el sistema de avisos de los tribunales federales de quiebras [4]. Mientras dura el incidente, la producción de todos los avisos de quiebra está detenida [5]. Comentario del editor: Es riesgo de terceros en estado puro: el tribunal no fue atacado, pero su operación se detuvo de todos modos. Las dependencias mexicanas que subcontratan funciones críticas deberían preguntarse qué servicio dejaría de funcionar si su proveedor principal se cae mañana. **BeyondTrust corrige un zero-day explotado desde agosto** BeyondTrust pidió a sus clientes que parcheen una falla crítica en su producto Remote Support (RS), que se explota en ataques de día cero desde finales de agosto [6]. Comentario del editor: Casi dos meses de explotación antes del parche es mucho tiempo. Cualquier organización con RS expuesto no solo debe actualizar: también tiene que revisar sesiones y cuentas desde agosto, porque una herramienta de soporte remoto es justo la puerta que un intermediario de acceso inicial quiere vender. **CVE-2026-110447: Collabora usada para meter puertas traseras en Nextcloud** Actores maliciosos están explotando una falla crítica de ejecución de comandos, identificada como CVE-2026-110447, en la aplicación Collabora Online - Built-in CODE Server (richdocumentscode) para Nextcloud, y la usan para instalar puertas traseras en los servidores [7]. Comentario del editor: Nextcloud es muy común en universidades, despachos y dependencias que buscan alternativas a la nube pública. Ojo: deshabilitar el componente integrado de Collabora no basta; hay que actualizarlo a una versión corregida o eliminarlo, y después buscar web shells que hayan quedado en el servidor. **Proxyjacking en equipos D-Link y Ubiquiti en 34 países** Una campaña de proxyjacking comprometió dispositivos D-Link y Ubiquiti en 34 países y monetiza las conexiones a internet de las víctimas revendiéndolas a través de una red comercial de proxies residenciales [8]. ## Referencias https://news.google.com/rss/articles/CBMixAFBVV95cUxQRmtLbk4yZXQ2RFB1d0JwMFE5eHZucXlOT0VBN0o3cjdBWGRIZjlyX3hTTW9ZcGZOTk41eGNXMVFINlB1d2lfaTEyQVNlSFlBTW9KMTdwUXRjVzNTOU9tNDdfWXBXUzZPWkM1Smh3aHhFMDM2Z19VNmI5WmhXR0IxbnZsc3ZFVnJEV0FlVjRxSkxLSTlxTFcxd0V5d1NneHNab2NxWUIyV0pZMDZEV0NZcVBDeEd1S0pCNl9fS2NlWVFiTXkt?oc=5https://therecord.media/spyware-citizen-lab-advertisinghttps://news.google.com/rss/articles/CBMi7gFBVV95cUxNVnR3UVBDc2h5aGVtNDB5SE81OF9sbU55dmRzUERlaWllYjRtSTUyRzBwZG5Nb1pGY2pmNlJzODg0YUtZYlNBRW4xRl84RUtmVFFhRUsyUTJJb1R5RGdjdVFkX09SY282OEpPbGNWTTk4V1pVX1lMVmpPS0xFczhrY0t0ckUybk16YlN0TjU4dGw3QmxaTXoxMTc3UTdlQXB4WEltNjlUZ0NKXzYwcU5mQ09qNFJkeUpESlZOQjk5X0J6ZzZaUGZDaHVBd3hObTl1YVNyY05XRHpoNFVGWVBXQ25kdXBVWjJDZGZOTUtB?oc=5https://www.bleepingcomputer.com/news/security/bae-systems-cyberattack-disrupts-us-federal-court-operations/https://therecord.media/federal-bankruptcy-courts-dealing-with-cyberattack-outagehttps://www.bleepingcomputer.com/news/security/beyondtrust-patches-zero-day-exploited-in-attacks-since-august/https://www.bleepingcomputer.com/news/security/hackers-exploit-collabora-rce-flaw-to-backdoor-nextcloud-servers/https://www.bleepingcomputer.com/news/security/hackers-hijack-d-link-ubiquiti-devices-to-resell-your-stolen-bandwidth/ ## [Intel MX] 2026-10-15 Dos zero-days en el perímetro y redadas contra el cibercrimen Source: https://ransomware.mx/intel/2026-10-15/ Firewalls y gateways de correo bajo fuego, y operativos policiales en Estados Unidos y Europa. Hoy no se registraron nuevas víctimas de ransomware en México. Lo más cercano a casa es una denuncia política: la diputada Laura Ballesteros dice que intentaron tomar su cuenta de X, y que no es la primera vez. Lo urgente para los equipos de defensa está en el perímetro: Palo Alto Networks y Cisco parcharon zero-days que ya se explotan contra firewalls y gateways de correo. El resto del día lo marcan las fuerzas del orden: cateos del FBI contra granjas de laptops de trabajadores de TI norcoreanos en Texas y la detención en Macedonia del Norte del presunto administrador del mercado OLVX. **Laura Ballesteros denuncia intentos de hackeo en su cuenta de X** La diputada de Movimiento Ciudadano Laura Ballesteros denunció públicamente intentos de hackeo contra su cuenta de X y advirtió que "no es la primera vez" que ocurre. Acompañó su mensaje con una captura de una notificación de la plataforma sobre un inicio de sesión desde un dispositivo nuevo, ubicado de forma aproximada por su IP en Ciudad Nezahualcóyotl [1]. No se ha informado que los atacantes hayan logrado el control de la cuenta, ni se conoce el método que usaron o quién está detrás. Comentario del editor: Las cuentas de figuras públicas son un activo de desinformación: basta con tomar una por unas horas para publicar a nombre de alguien con audiencia. Que los intentos se repitan apunta a un objetivo deliberado y no a ruido automatizado. La autenticación con llave física y la revisión de sesiones activas son lo mínimo para cualquier funcionario o político en México. **Palo Alto Networks parcha un zero-day de RCE en PAN-OS que ya se explota** Palo Alto Networks publicó actualizaciones de seguridad para CVE-2026-0322, un zero-day de ejecución remota de código y severidad alta en la interfaz de administración de PAN-OS que ya se explota en ataques contra firewalls. La falla permite a un atacante autenticado con acceso de red ejecutar código arbitrario con privilegios de root. CISA la agregó a su catálogo de vulnerabilidades explotadas conocidas (KEV) y ordenó a las agencias federales civiles mitigarla a más tardar el 17 de octubre [2]. Comentario del editor: Un firewall comprometido le da al atacante una posición privilegiada en la red, y además ese equipo rara vez tiene EDR. Si administras PAN-OS, parcha hoy, limita el acceso a la interfaz de administración a direcciones internas de confianza y revisa los registros buscando actividad anómala previa al parche: ya hubo explotación antes de que existiera la corrección. **Cisco corrige otro zero-day explotado en Secure Email Gateway** Cisco parchó otra vulnerabilidad zero-day explotada activamente en su Secure Email Gateway, identificada como CVE-2026-76519, que permite a atacantes remotos sin autenticación escribir archivos arbitrarios y ejecutar comandos con privilegios de root. Afecta a equipos con el servicio File Reputation habilitado y asignado a una política de correo, y con una versión de Content Scanner Tools anterior a la 25.3.0.5525. Cisco recomienda revisar los registros de firewall y de red, porque los atacantes pueden borrar las evidencias de la explotación [3]. Comentario del editor: Junto con el caso de PAN-OS, el patrón es claro: los atacantes apuntan a los equipos de borde que filtran el tráfico y el correo. Que se trate de otro zero-day en el mismo producto debería empujar a revisar cuánto tiempo pasa entre un aviso y su despliegue real. **FBI catea granjas de laptops de trabajadores de TI norcoreanos en Texas** El Departamento de Justicia de Estados Unidos golpeó las operaciones del grupo Famous Chollima: arrestó a dos sospechosos, presentó cargos contra 14 personas y aseguró cerca de 187 laptops que se usaban en esquemas de trabajadores remotos de TI de Corea del Norte. En la operación, bautizada "Lonestar Roundup", el FBI cateó 40 domicilios en Texas entre el 21 y el 25 de septiembre [4]. Comentario del editor: Las granjas de laptops sirven para que un trabajador norcoreano parezca un empleado local, con IP y equipo dentro del país. Las empresas mexicanas que contratan talento remoto, o que trabajan como proveedoras de compañías estadounidenses, deberían verificar la identidad de sus contratistas con más cuidado que una videollamada. **Detienen en Macedonia del Norte al presunto administrador del mercado OLVX** Un cateo en una vivienda de un pueblo de Macedonia del Norte terminó con la detención del presunto administrador del mercado de cibercrimen OLVX, según el Ministerio del Interior de ese país y el FBI. De acuerdo con el FBI, OLVX estuvo activo entre 2023 y 2025 y vendía ilegalmente información personal y credenciales de acceso de víctimas a través de más de 1,500 cuentas de vendedores [5]. ## Referencias https://news.google.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?oc=5https://www.bleepingcomputer.com/news/security/palo-alto-networks-warns-of-pan-os-rce-flaw-exploited-in-attacks/https://www.bleepingcomputer.com/news/security/cisco-patches-actively-exploited-secure-email-gateway-zero-day/https://www.bleepingcomputer.com/news/security/fbi-raids-dprk-it-worker-laptop-farms-in-texas-us-nationals-arrested/https://therecord.media/olvx-cybercrime-marketplace-arrest-north-macedonia ## [Intel MX] 2026-10-14 Qilin reclama a la comisión de agua de Victoria, Tamaulipas Source: https://ransomware.mx/intel/2026-10-14/ Qilin reclama a la operadora del agua de una capital estatal, un ataque daña la refrigeración de supermercados en Francia y Microsoft publica un martes de parches con cifras récord. La noticia mexicana del día es corta pero seria: el grupo de ransomware Qilin publicó como víctima a la Comisión Municipal de Agua Potable y Alcantarillado de Victoria, en Tamaulipas, la operadora del servicio de agua de una capital estatal. En Francia, un ataque contra los sistemas de refrigeración de cientos de supermercados obligó a desechar productos y ocupa titulares en la prensa mexicana. Microsoft publicó un Patch Tuesday con 1,411 fallas corregidas y tres zero-days, Ghostscript tiene una vulnerabilidad crítica que se explota con un PDF y aparece un malware para Android que sustituye las apps bancarias legítimas. Cierra la edición un caso de espionaje interno en OpenAI. **Qilin publica a la Comisión de Agua Potable de Victoria, Tamaulipas** El grupo de ransomware Qilin incluyó en su sitio de filtraciones a la Comisión Municipal de Agua Potable y Alcantarillado de Victoria, el organismo que opera el agua potable y el drenaje de la capital de Tamaulipas. Ransomware.live detectó el 13 de octubre de 2026 la reivindicación de Qilin contra el organismo [15]. Hasta el corte de esta edición, el grupo no ha dicho qué datos tendría ni cuánto pesan y no se conoce una exigencia de rescate. Otras fuentes de inteligencia también difundieron el supuesto ataque, pero sin confirmación oficial ni evidencia técnica independiente. La publicación del grupo se considera de confianza alta, pero el alcance real del compromiso todavía no se sabe. Comentario del editor: Un organismo operador de agua no es una oficina más. Además de los padrones de usuarios con nombres, domicilios y datos de facturación, suele tener sistemas comerciales y de cobranza conectados, y a veces también la telemetría de bombeo. Que Qilin, uno de los grupos de ransomware más activos del mundo, haya llegado aquí debería poner en alerta al resto de los organismos operadores municipales del país, que casi siempre trabajan con presupuestos de TI mínimos. **Ataque a la refrigeración de supermercados en Francia: el IoT comercial como blanco** Un ciberataque contra los sistemas de refrigeración de supermercados en Francia echó a perder miles de productos y dejó pérdidas millonarias [1][4]. Según BFMTV, los atacantes lograron activar a distancia el ciclo de descongelamiento de las instalaciones frigoríficas. En las cifras de tiendas afectadas hay que distinguir dos números: unos reportes hablan de unos 300 supermercados [4], la cifra que corresponde a las tiendas de Intermarché y Netto, y otros de unos 700 [3], que es el total nacional que dio el gobierno francés. El ministro de Finanzas, Roland Lescure, informó ante el Parlamento que aproximadamente 700 de los 10.000 supermercados del país se vieron afectados. El caso ya encendió alertas en Europa y Estados Unidos [3] y abrió la conversación sobre la necesidad de actualizar los refrigeradores y electrodomésticos conectados [2]. Comentario del editor: Aquí el blanco no fueron los datos sino los equipos físicos, y el daño se cuenta en mercancía perdida. Danfoss, la proveedora del software de gestión de refrigeración, señaló que la mayoría de los sistemas afectados eran productos antiguos que ya no recibían actualizaciones de seguridad. Las cadenas de autoservicio y las distribuidoras de alimentos en México que usan controladores de refrigeración conectados a internet o administrados por terceros deberían revisar quién tiene acceso remoto a ellos y si siguen recibiendo actualizaciones. Por otra parte, Anthropic advirtió que modelos de IA pequeños podrían llegar a autorreplicarse en dispositivos IoT de consumo y formar botnets distribuidas [5]. Hoy eso es una proyección y no algo que esté ocurriendo, pero el mismo tipo de dispositivo vuelve a aparecer en ambas historias. **Patch Tuesday de octubre: 1,411 fallas y tres zero-days** Microsoft publicó su Patch Tuesday de octubre de 2026 con 1,411 vulnerabilidades corregidas, una cifra récord. Entre ellas hay un zero-day que ya se explota activamente y dos que se divulgaron públicamente antes del parche [6]. El zero-day explotado es CVE-2026-96951, una vulnerabilidad de evasión de funciones de seguridad en Windows Shell. Las correcciones llegan a Windows 10 con la actualización de seguridad extendida KB5126657 [7] y a Windows 11 con las acumulativas KB5127648 y KB5126653 para las versiones 26H2, 25H2, 24H2 y 23H2 [8]. Además, las ediciones Home y Pro de Windows 11 24H2 llegaron al fin de soporte el 13 de octubre de 2026 y ya no recibirán actualizaciones [9]. Microsoft también confirmó que las actualizaciones recientes pueden impedir que los usuarios sin privilegios de administrador se conecten por Escritorio Remoto si está activada la función "Administrator protection" [10]. Comentario del editor: Con un volumen así, nadie puede revisar el lote completo. Lo sensato es empezar por el zero-day explotado y por los equipos con 24H2 Home o Pro, que ya se quedaron sin parches. Antes de desplegar en masa, conviene probar el problema de Escritorio Remoto, para que el parche no termine dejando sin acceso a la mesa de ayuda. **Ghostscript: ejecución remota de código con un PDF** Una vulnerabilidad crítica de desbordamiento de búfer en el heap, identificada como CVE-2026-39919, en el intérprete y motor de renderizado Ghostscript permitiría ejecutar código de forma remota con archivos PDF manipulados. Esto expone a cualquier servidor que procese PDF subidos por usuarios [11]. La falla afecta a las versiones de Ghostscript anteriores a la 10.08.0 y tiene una puntuación CVSS de 9.8 sobre 10. Comentario del editor: Ghostscript suele estar escondido dentro de portales de trámites, sistemas de facturación y generadores de vistas previas, y es fácil que no aparezca en el inventario de software. Cualquier portal que reciba PDF de ciudadanos o proveedores debería revisar si lo usa en algún punto de su cadena de procesamiento. **Hirudo: malware para Android que reemplaza las apps bancarias** Un nuevo malware para Android llamado Hirudo roba credenciales bancarias sustituyendo las aplicaciones legítimas de los bancos por versiones modificadas que desactivan sus controles de seguridad [12]. **Ingeniero de OpenAI acusado de colocar un micrófono oculto en una sala ejecutiva** Abdulrahman Alfozan, ciudadano saudí de 35 años que trabajaba como ingeniero en OpenAI, fue acusado de instalar en secreto un dispositivo de grabación en una sala de juntas ejecutiva de uno de los edificios de la empresa en San Francisco [13]. Según las autoridades, el objetivo era grabar conversaciones sensibles sin que nadie se diera cuenta [14]. Fue arrestado el 9 de octubre y compareció ante un tribunal federal el martes. Comentario del editor: Es un recordatorio de que la amenaza interna sigue siendo física, además de digital. Las empresas que cuidan propiedad intelectual valiosa deberían revisar periódicamente las salas donde se toman decisiones, y no solo vigilar los accesos a la red. ## Referencias https://news.google.com/rss/articles/CBMifEFVX3lxTE5BVUd0RlZtaFZNY1dsamNycU84azVfcE80bm1Ya0lVNTlJVFV0VWQ4ZFFDLW5rbEV0Z3dyN0l0OTY3VDZnZXlkbUZkRUtyeTVrUTY4RGVkREZoRjZ1U0lqS0xRU25rQUtpTW1KS0l5OV9ycHhEUVBHTFJRVmw?oc=5https://news.google.com/rss/articles/CBMikwFBVV95cUxQR1dRY0R5bWVmcWFNRVdNT09JZXllRlB4WVRfT3VaNlZWa3lPMUpPcFZGY3dFMTZ6TFJrenYwcnVYU1o1empUNWRNRmpFZ3o5ckVwemRQazVRRXh2UWVGYmpCZncxTlFmeThPTERPNnFqcDN5UDU2NG02U1U3aHRpOWZZZHQ2VnpMUURsaFNtZWdSMzjSAaABQVVfeXFMTUEtOU5lXzdPbDZkc2VJaTFjRTVSeVF2RXVjTVU0S0t4Skx1UlZOYUNabXM3eXhJWXRuS1hySnFyRGxUZXhvRmtNbmhXOVROcE5ScUFjV25OTGRlb1htVUt1bG9mRWw1bG1NWWg0dlBSVm5ad3Z5X0RaVGhmTGFVZl9ENkJTcXdSZ2VMR28tc3Vxa1AyUDNUVVlfdzVBdlN3bw?oc=5https://news.google.com/rss/articles/CBMipAFBVV95cUxQMUxsNzNKYzNfVnFUNndtbWg2WjFESVA4emcwUXdBeHExM3VDSEQtQnZrNXYxMFZIbTZlb1R4SUtBNkhxY3hUdDEySWdoSC1BbV9rSE5tY1Z4WGR4V1NTblluT3VpMDBpeDVQUTZVT2xBTHRqTUhCMTI2TTg2SWxIc1ROUzBRSG9OSFdQWWFIZmYyMGlrNVExMTRkSnZreEtsY2MwY9IBpAFBVV95cUxQMjRWOFpUU2NSeXYwVHhVdW1WOUozeEY2cFpaVzhBM3puUlBrUWtEMnhUbHJRMHcyTUVka3NfbXpncFIwcmJQRV9Ld1RBVFZnMUV4ZThCVnk3eWhVbU00MDh2S29fT3JOUzFmLXJUaHMtaG1sV3VaR0hPMW1LaGhGSXp0dHhwOWR5a0JSX2tIektRTlcwLVE2RHViWkpGV3BDczVjWA?oc=5https://news.google.com/rss/articles/CBMid0FVX3lxTE90NUVBaG1kT1V6Sk5mTm1OQjh2ZnNMT09UYTR6b0dLYjBXQlR0MVkySDBRQTdMYnR5bGRnMHQyMUk3andoUnBqSFlpV3lmNHE1WHctLWZHa0Jfc2UzckVKcGZNWE14bDltY1NmajlTci1QRzJLWGww?oc=5https://www.bleepingcomputer.com/news/security/anthropic-warns-self-replicating-ai-could-spread-to-your-smart-devices/https://www.bleepingcomputer.com/news/microsoft/microsoft-october-2026-patch-tuesday-fixes-1-411-flaws-3-zero-days/https://www.bleepingcomputer.com/news/microsoft/microsoft-releases-windows-10-kb5126657-extended-security-update/https://www.bleepingcomputer.com/news/microsoft/windows-11-kb5127648-and-kb5126653-cumulative-updates-released/https://www.bleepingcomputer.com/news/microsoft/microsoft-windows-11-24h2-home-and-pro-reached-end-of-support/https://www.bleepingcomputer.com/news/security/microsoft-recent-windows-updates-may-trigger-remote-desktop-failures/https://www.bleepingcomputer.com/news/security/ghostscript-flaw-lets-hackers-hijack-servers-via-pdf-uploads/https://www.bleepingcomputer.com/news/security/hirudo-android-malware-replaces-banking-apps-to-evade-security-checks/https://therecord.media/saudi-national-charged-with-spy-device-openaihttps://www.bleepingcomputer.com/news/artificial-intelligence/openai-engineer-arrested-for-allegedly-planting-spy-device-in-office/https://ransomware.live/id/Q29taXNpw7NuIE11bmljaXBhbCBkZSBBZ3VhIFBvdGFibGUgeSBBbGNhbnRhcmlsbGFkbyBkZSBWaWN0b3JpYUBxaWxpbg== ## [Intel MX] 2026-10-13 El supermercado, blanco del día: Ahold Delhaize, refrigeradores franceses y H&M Source: https://ransomware.mx/intel/2026-10-13/ Del anaquel al refrigerador: hoy los ataques se concentraron en el comercio minorista. Hoy no se registraron nuevas víctimas de ransomware en México. Lo más cercano al país es un reporte, publicado por medios mexicanos, de que H&M investiga un posible ciberataque, pero no hay confirmación de impacto en México. Afuera, el comercio de alimentos tuvo un día pésimo: Ahold Delhaize desconectó sistemas y hubo afectaciones en Estados Unidos, Países Bajos y Bélgica, y un ataque nocturno manipuló los refrigeradores de cientos de supermercados franceses. Además: una vulnerabilidad de severidad máxima en GitLab y un loader para Windows diseñado para sobrevivir a los desmantelamientos. **H&M investiga reportes de un ciberataque** La cadena de moda H&M investiga informes sobre un ciberataque, según reportó la prensa especializada en México [1]. De acuerdo con otros reportes, la empresa revisa afirmaciones de que el grupo ShinyHunters la atacó, pero hasta ahora dice no haber encontrado indicios de que su entorno de datos haya sido comprometido [2]. No hay detalles públicos sobre algún efecto en sus operaciones o clientes en México, así que no la contamos como víctima mexicana confirmada [1]. Comentario del editor: H&M tiene tiendas y comercio electrónico en México. Si el incidente termina incluyendo datos de clientes, los compradores mexicanos podrían quedar expuestos aunque el ataque no haya sido local. Conviene estar atentos en los próximos días a correos de phishing que usen la marca. **Ahold Delhaize desconecta sistemas tras un incidente** Ahold Delhaize, el minorista neerlandés que es una de las cadenas de alimentos más grandes del mundo, confirmó que tuvo que desconectar algunos sistemas como medida preventiva en respuesta a un "incidente de ciberseguridad" en su red [3][4]. Según los reportes, hubo afectaciones en Estados Unidos, Países Bajos y Bélgica [3]. La compañía no ha atribuido el ataque ni ha dicho si hubo cifrado o robo de datos [4]. Comentario del editor: En las primeras horas de un incidente de ransomware es habitual desconectar sistemas "por precaución", aunque en este caso todavía no se confirma que se trate de ransomware. Si aparece un reclamo en algún sitio de filtraciones, lo reportaremos. **Ataque manipula los refrigeradores de supermercados en Francia** Un ciberataque durante la noche del domingo afectó los refrigeradores de cientos de supermercados franceses, entre ellos tiendas de algunas de las cadenas más grandes del país. Por el ataque se echaron a perder alimentos frescos [5]. Según los reportes, el ataque apuntó a controladores de refrigeración Danfoss [6]. Comentario del editor: Este es el riesgo de la tecnología operativa (OT) en el comercio. No hizo falta cifrar nada: bastó con alcanzar controladores expuestos para causar pérdidas físicas. Las cadenas mexicanas de autoservicio y las empresas de cadena de frío que monitorean la refrigeración a distancia deberían revisar cuanto antes qué tan expuestos a internet están esos equipos. **GitLab: vulnerabilidad de ejecución remota con severidad máxima** GitLab pidió a sus usuarios parchar de inmediato una vulnerabilidad de severidad máxima en el compilador de expresiones regulares de CI/CD. La falla podría permitir a atacantes remotos ejecutar código arbitrario en las instancias vulnerables [7]. Comentario del editor: Las instancias autoalojadas de GitLab guardan código fuente, secretos y credenciales de despliegue. Si un atacante compromete una, obtiene acceso a toda la cadena de suministro de software de la organización. **AvisLoader, un loader hecho para resistir desmantelamientos** Investigadores de Varonis describieron AvisLoader, un nuevo loader de malware para Windows que usa comunicaciones peer-to-peer cifradas para que su infraestructura de comando y control sea más difícil de desmantelar [8]. Llega a las víctimas mediante la técnica ClickFix, se mantiene en el equipo con accesos directos y permite ejecutar comandos de forma remota [8]. ## Referencias https://news.google.com/rss/articles/CBMimwFBVV95cUxNdWFEajVrZWxmZVlfZkROWFZLUnAteVNGbDQ0dXhhVTNIa2JnM3Rrckh3US1uZTNaOVJlc1Q5RVBzV3FXZ1VFNENTWkFDd1VBVV8yNmJXT0dzVnhScmtZcEc4ZkZtczdoazlibUdIQ0ZHdUpRdFA3Z2lTaFZHdTg1N0kzZjdWNTRPSXlsVC05UjlFaXRZbXRoM0NDMA?oc=5https://www.retaildetail.es/news/moda/hm-tambien-esta-investigando-un-posible-ataque-informatico-pero-no-ha-encontrado-nada/https://therecord.media/cyberattack-groceru-ahold-delhaizehttps://www.bleepingcomputer.com/news/security/retail-giant-ahold-delhaize-takes-systems-offline-after-cyberattack/https://therecord.media/cyberattack-disrupts-refridgeration-in-francehttps://www.bleepingcomputer.com/news/security/cyberattack-shuts-down-refrigerators-at-french-supermarkets/https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/https://www.bleepingcomputer.com/news/security/inside-avisloader-a-windows-malware-loader-built-to-resist-disruption/ ## [Intel MX] 2026-10-12 Guanajuato regresa a la ventanilla y la Liga MX pierde su portal Source: https://ransomware.mx/intel/2026-10-12/ Dos sitios mexicanos caídos y ningún candado de ransomware. Afuera, una falla de Atlassian que ya se explota sin contraseña. Hoy no se registraron nuevas víctimas de ransomware en México. Eso no significa que el día estuviera tranquilo. El fisco de Guanajuato mantiene suspendidos sus kioscos por un intento de hackeo y mandó personal a orientar en persona a los usuarios [1]. Además, el sitio web de la Liga MX sufrió un presunto hackeo durante la Jornada 11 [2][3][4]. En el plano global, lo urgente es una vulnerabilidad crítica de Atlassian que se explota sin autenticación desde que se publicó la prueba de concepto [5]. También hay un arresto que en México conocemos bien: el presunto desarrollador del malware Ploutus para cajeros [6]. Completan el día una universidad japonesa que canceló clases por un presunto ransomware [7], una alerta financiera en Corea del Sur [8], el fin del soporte de Windows 11 23H2 [9] y otra campaña de ClickFix [10]. **SATEG suspende kioscos en Guanajuato y vuelve a la atención presencial** El Servicio de Administración Tributaria del Estado de Guanajuato (SATEG) suspendió sus kioscos tras un intento de hackeo y desplegó personal para orientar en persona a los contribuyentes [1]. Lo publicado no aclara si hubo acceso a datos, si se vieron afectados otros sistemas ni cuánto durará la suspensión. Confianza: media. Comentario del editor: Apagar los kioscos y regresar a la ventanilla es una contención razonable, aunque cuesta en operación. Si de verdad fue solo un intento, ¿por qué apagar todo? Falta que el SATEG diga qué datos de contribuyentes pasan por esas terminales y si se revisaron las bitácoras. Hasta que lo explique, conviene pensar que la superficie expuesta era más grande que una pantalla táctil. **Presunto hackeo del sitio de la Liga MX en plena Jornada 11** Varios medios deportivos reportaron un presunto hackeo de la página web de la Liga MX durante la Jornada 11 del Apertura 2026. Una de las notas lo ubica durante el partido América vs. Rayados [2][3][4]. Los reportes se refieren al sitio público. Ninguno confirma quién está detrás ni qué técnica se usó, y tampoco dicen si se comprometieron datos de aficionados o de cuentas. Confianza: media. Comentario del editor: Mientras no haya un comunicado técnico, lo más probable es que se trate de una desfiguración o una interrupción del portal y no de una brecha de datos. Aun así, sirve para recordar que un sitio con mucho tráfico en días de partido es un blanco atractivo, y más si guarda registros de usuarios. **Atlassian: CVE-2026-21589 ya se explota sin autenticación** Atacantes explotan una vulnerabilidad crítica, CVE-2026-21589, que afecta a varias familias de productos de Atlassian, entre ellas Jira, Confluence y Bitbucket. Los ataques no requieren autenticación y empezaron después de que se publicara una prueba de concepto [5]. Confianza: media. Comentario del editor: Esta es la nota del día que pide acción. Las instalaciones de Jira, Confluence y Bitbucket en servidores propios son comunes en muchas organizaciones, y a veces quedan expuestas a internet para que entren los proveedores. Con un exploit público y sin necesidad de credenciales, el tiempo para parchar se mide en horas. Lo que se tenga expuesto hay que parcharlo o sacarlo de internet ya. **Detienen al presunto desarrollador de Ploutus, el malware de jackpotting** El Departamento de Justicia de Estados Unidos anunció el arresto del presunto desarrollador de Ploutus, un malware que se usó para robar millones de dólares con ataques de jackpotting a cajeros automáticos en ese país. El acusado ya compareció ante un tribunal [6]. Confianza: media. Comentario del editor: Para la banca mexicana este nombre no es nuevo, porque Ploutus se documentó por primera vez en cajeros de México hace más de una década. El arresto no borra el código, que lleva años circulando y siendo modificado. Las familias de malware para cajeros rara vez mueren con su autor, así que el control físico de los gabinetes y el cifrado del disco siguen siendo lo que de verdad protege. **Universidad Metropolitana de Osaka cancela clases por presunto ransomware** La Universidad Metropolitana de Osaka canceló clases después de un presunto ataque de ransomware. La caída dejó sin servicio su red interna, el correo y varios sistemas administrativos y académicos [7]. Confianza: media. **Corea del Sur investiga brechas bancarias en medio de sospechas de ataques con IA** La Comisión de Servicios Financieros de Corea del Sur celebró una reunión de emergencia tras una serie de ciberataques contra instituciones financieras del país. Se sospecha que en esos ataques se usó inteligencia artificial [8]. Confianza: media. Comentario del editor: Por ahora lo de la IA es una sospecha y no una atribución, así que hay que leerlo con cautela. Lo que sí vale la pena tomar como ejemplo es la respuesta: el regulador convocó a una sesión de emergencia ante la serie de ataques. Es un buen modelo para cuando una ola así llegue al sistema financiero mexicano. **Windows 11 23H2 deja de recibir parches en 30 días** Microsoft recordó que las ediciones Enterprise, Education e IoT Enterprise de Windows 11 23H2 dejarán de recibir actualizaciones de seguridad el próximo mes [9]. Confianza: media. Comentario del editor: La edición IoT Enterprise es la que más preocupa. Suele estar en kioscos de autoservicio, terminales de punto de venta y equipos industriales que nadie actualiza a tiempo. Vale la pena que quien opere ese tipo de equipos revise hoy qué versión tienen instalada. **ClickFix en Ucrania: más de 100 sitios comprometidos para repartir Lunex** El CERT-UA detectó una campaña que comprometió más de 100 sitios web en Ucrania. Los sitios mostraban páginas falsas de verificación de Cloudflare que llevaban a los visitantes a la ya conocida trampa ClickFix, con el objetivo de infectar los equipos con Lunex, un infostealer [10]. Confianza: media. ## Referencias https://news.google.com/rss/articles/CBMi5gFBVV95cUxPS0NkNjl2MXlES3RlWndMVndtOTcwc3VhVVdPOE1kVDQ0MGMzUFhYRkRTdzJ4aTZNbkRPcm82QnJlM2JHRUprN2dKVmNBYmxDZDFtU1dFSFlkc2NoRTUybi1rQW5yQVZLcHhSQWliYUd1UmVqYXF4M05ITzlzbjNGQ3doRVMxR1pWT3F2bVRqN0t0R2JYdFNJWE9RVDJnWE9VSDB1eFpzUks4dWtEYUEyTE8xRFhWUVZnVlRBQzNMTmFUb0FwMGFIRHpzMWgxM21wSXhvSlFNcHVVelhoRVpGZTNrVGVTZw?oc=5https://news.google.com/rss/articles/CBMi5AFBVV95cUxNSGdWUnkwMDFhVS1vaEw4bjFJMEk0ejdhRXk0MXNQSmVGTTM3b3FIQXhtTUsyOFJnVjZLemdLeUtWRzJEZTRwMXBTcW5hY2xxdUtBcjh4NEgyTlNPdVFuQWlXbjJGMGJOUXhnUEM5alBNWVBzTU5tNWVFZ0FsOTZWdGZKTHVsSXVZX0N3R0xic0djeXNnM0d1YXYyb3R4Y1k3YUt1STNhYjRFV182aXBKRU5LUHgzOUxzbTRJSWRLWjVoNmN4aURQbmpDZjB2bUM5ZzVUdHBLdXJWcDBSbUtWMllxYy3SAeoBQVVfeXFMTTRMc1NyWmQ5akI1T0hGbEFXWUZDZWd0VUd3a0dYcWlFTlpSakg4T0FDUndvd3ozSnY5NWlCdExuU2JvbXhxcnNMaUcybkpLZ0M4cFVkenBZOE92WElYcUprYUNMQUVxTHRyUjRvRnpQeDctNUR1aTVHMi02cDlBbWRYNkV0M0xoenFNY2NzYkt0ZEtfLVA0NTdBdHIyaThJVTV2d0doMU12bnRUT0ZKYzh5TlF4Y05CMm5lc21TejljTEM1dHNodnNOYzZqOEVDOFFCX2hXSDRxVXFwZzlPVWxvNXVpNjQxNE53?oc=5https://news.google.com/rss/articles/CBMiqAFBVV95cUxQeEg1VHpSLUFIemdsUkpGN0dUdXFueWRiNVJDbkZabEJZLWFnNHNPSWRyT3ZKOC1KbjFHcjJRLXVfLXFLZjNjdGVRdXZLQUtXcmd0VXR4YU5sS2VKU1liSHFpdklFLWVhekZXSGg0NlNQcS0xeTlLd1JXcGJEOHNER2hlQjhidEQ1cWNKaXpZYUJzemotZFBSLVBuTUJ0YjdpNktXX3hJS2LSAa4BQVVfeXFMTXo4Sk5yN1duREJFWWM2bkhHNWZCMGZZc0ZDMVo1Y1VQNFdMZGdjendnNU05LW5NRTd0dWk5NXVoWEtCMUd6NkNJVHFJMVZZc3Q5VFVSWjhmcXlKU19NUG05a1FVQmNXb0ZocVN0M0dFM2F2Y21YcWp3WjNzcFhRcTNSNkdsdGNtQV9PM2hhdHpMNFNqQmhWeTd4WmQ5cFo4RnF0YUF3LTdETFdsekxB?oc=5https://news.google.com/rss/articles/CBMivgFBVV95cUxOZ3RzbFJrVklaSUZzSmgxYW5tbEFYcHJoT1lwdzZGM3gyMGJqOHBSUW8zVDNPb0ozNEhqQTBNaEFwWURXeW1nUFRfUTZPSjlVWUJab0Fyc3c4Y0pPajFqT1NKc0NOYnVrYzN4cTYwckROTVpUTWU2bWYwMXp2TjJidEZldUhIanpWQnh6ek5lVXBsZUVMOHdUelZJMWVNdUdpX0pRaGYzZC1NcHlXamVldld6WlVOUEplUTJyWmJn?oc=5https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/https://www.bleepingcomputer.com/news/security/suspected-dev-of-ploutus-atm-malware-appears-in-us-court-after-arrest/https://therecord.media/osaka-university-cancels-classes-ransomwarehttps://www.bleepingcomputer.com/news/security/south-korea-probes-bank-breaches-amid-suspected-ai-powered-attacks/https://www.bleepingcomputer.com/news/microsoft/microsoft-windows-11-23h2-reaches-end-of-support-in-30-days/https://therecord.media/clickfix-campaign-ukraine-lunex-stealer ## [Intel MX] 2026-10-11 Hackeos a Liga MX y ASEA, FortiBleed escala Source: https://ransomware.mx/intel/2026-10-11/ En México no hubo ransomware, pero sí dos hackeos recientes: una página web y una cuenta oficial en redes sociales. Hoy no se registraron nuevas víctimas de ransomware en México. Eso no quiere decir que el panorama esté tranquilo. Se reportó un supuesto hackeo a la página de la Liga MX, y la Agencia de Seguridad, Energía y Ambiente (ASEA) confirmó a principios de mes que alguien tomó el control de su cuenta de Instagram. En el caso de la Liga MX todavía no se conoce el alcance. Afuera, las autoridades de Estados Unidos insisten con FortiBleed, Cisco corrige cinco fallas críticas en sus switches Nexus, unas conversaciones filtradas muestran a una banda rusa con operativos dentro de despachos legales estadounidenses y se confirma que en los ataques a la banca surcoreana se usaron agentes de IA. También arrestaron a un ejecutivo de ciberseguridad por un caso vinculado a ShinyHunters, y miles de teléfonos Android baratos salieron de fábrica con malware. **Supuesto hackeo a la página de la Liga MX** Se reportó un supuesto hackeo al sitio web oficial de la Liga MX. Usuarios compartieron capturas de pantalla con el mensaje "Hacked by STNXZ", y el portal volvió a funcionar después de unas horas [1]. No hay información oficial que confirme las causas. Tampoco se sabe si los atacantes solo alteraron el contenido o si llegaron a datos de usuarios o aficionados [1]. Comentario del editor: Una desfiguración de sitio y una brecha de datos son cosas muy distintas. Por ahora lo único que se ve es un mensaje de desfiguración, y la identidad de quien lo firma no está confirmada. Vale la pena seguir el caso: una liga con una base grande de aficionados es un blanco tentador para el robo de datos y para campañas de phishing que se aprovechen del ruido. **Toman la cuenta de Instagram de la ASEA** La Agencia de Seguridad, Energía y Ambiente (ASEA), el regulador de seguridad industrial y protección ambiental del sector hidrocarburos, informó que el 4 de octubre, a las 01:52 de la mañana, vulneraron su cuenta oficial de Instagram, @agencia_asea [2]. La dependencia pidió a sus seguidores, incluidas las personas reguladas, que ignoraran cualquier comunicación publicada desde esa cuenta hasta nuevo aviso, y recordó que nunca solicita información por redes sociales [2]. No se dio a conocer cómo obtuvieron el acceso [2]. Comentario del editor: Si secuestran la cuenta de un regulador energético, cualquiera puede publicar comunicados falsos, avisos de emergencia o enlaces maliciosos con sello oficial. Lo mínimo para cualquier dependencia es usar MFA resistente a phishing en sus cuentas institucionales y tener claro quién tiene las credenciales. **FBI y Servicio Secreto se suman a las alertas por FortiBleed** El FBI y el Servicio Secreto de Estados Unidos advirtieron sobre FortiBleed, una campaña de robo de credenciales que ya tiene alcance global y apunta a dos tipos de equipos Fortinet: los firewalls FortiGate y los gateways de VPN SSL. Piden a los usuarios tomar medidas para reducir su exposición [3]. Comentario del editor: Los equipos Fortinet abundan en el perímetro de empresas y gobiernos en México. Cuando una campaña se describe como global, toca asumir exposición local: hay que revisar si los equipos afectados están en el inventario y rotar las credenciales que hayan pasado por ellos. **Cisco corrige cinco fallas críticas en NX-OS** Cisco publicó avisos de seguridad para cinco vulnerabilidades críticas en NX-OS, su sistema operativo de red para centros de datos. Si se explotan, permiten ejecutar código arbitrario con privilegios de root en switches Nexus [4]. **Chats filtrados: banda rusa con "agentes" en despachos de EE. UU.** En unas conversaciones filtradas, los integrantes de una banda de extorsión rusa le dan seguimiento a decenas de víctimas, regatean pagos multimillonarios y dan órdenes a operativos radicados en Estados Unidos a los que llaman "agentes", enviados a despachos legales [5]. Comentario del editor: Si las conversaciones son auténticas, la amenaza ya no es solo remota y el sector legal debe tratar el riesgo interno con la misma seriedad que el phishing. Los despachos guardan información confidencial de clientes y por eso son ideales para la extorsión. **ARTEX AI y agentes Claude, detrás de los ataques a bancos surcoreanos** Los ciberataques que sacudieron al sector financiero de Corea del Sur a principios de mes fueron obra de un hacker de habla china. Para lanzarlos usó la suite de pruebas de penetración ARTEX AI y agentes Claude [6]. Comentario del editor: Es un caso concreto de herramientas ofensivas automatizadas con IA usadas contra un sector crítico. Los tiempos de reconocimiento y explotación se acortan, y los equipos de defensa de la banca latinoamericana deberían tomarlo en cuenta en sus ejercicios. **Arrestan a ejecutivo de ciberseguridad en un caso ligado a ShinyHunters** Edward Dubrovsky, ejecutivo canadiense de ciberseguridad, fue arrestado en Pensilvania en relación con una presunta actividad de extorsión. Varios reportes vinculan el caso con la ofensiva del FBI contra el grupo ShinyHunters [7]. **Miles de Android baratos salen de fábrica con malware de fraude publicitario** Investigadores de Bitdefender encontraron malware de fraude publicitario en miles de dispositivos Android de bajo costo. Según explicaron, el código ya está en el teléfono antes de encenderlo por primera vez y no se puede desinstalar [8]. ## Referencias https://news.google.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?oc=5https://news.google.com/rss/articles/CBMi2gFBVV95cUxNQlRTUzItUHBUVU5fUEFtNUdSRUtnb0RjUE5QSnlDZjY2OU9MM2h3RW84WkhSRllZd1VNcUpWZ3BFZ216aGsyMWRuRHJVemhCSndPdzRwa1V4RnpNMlFnTXVtcFhueVZwbG1WcGhkVmNRTG1YWHg0bjRlNXJtTGs5R1JPZGVjS2hwblkyYmNDVDd1am5iTzBLZXZocFZsQUJKNTNJNDNEUEtxNy1yM1g2bkUzOU9HZFZHdVpJeG5fU0NSNVFUS1lBOWFVMXlmT0phQ1owZzktTllSZw?oc=5https://therecord.media/fortibleed-warning-fbi-secret-servicehttps://www.bleepingcomputer.com/news/security/cisco-warns-of-critical-flaws-allowing-nexus-switch-takeover/https://therecord.media/leaked-chats-show-russian-extortion-gang-sending-agents-to-law-firmshttps://www.bleepingcomputer.com/news/security/hacker-used-artex-ai-and-claude-agents-to-target-south-korean-banks/https://www.bleepingcomputer.com/news/security/cyber-exec-arrested-in-case-allegedly-tied-to-shinyhunters-hackers/https://therecord.media/cheap-androids-shipped-with-ad-fraud-malware ## [Intel MX] 2026-10-10 Arcusmedia pone en la mira a una ladrillera mexicana; Qilin pierde a un presunto operador Source: https://ransomware.mx/intel/2026-10-10/ Hoy hay una víctima mexicana con cuenta regresiva, dos golpes policiales contra el crimen organizado digital y dos plataformas empresariales que ya están bajo ataque. El grupo arcusmedia publicó como víctima a Ladrillera Mecanizada, productora y exportadora mexicana de ladrillo, y le puso fecha límite para el 16 de octubre. Fuera de México, las autoridades se anotaron dos casos: Japón extraditó a Alemania a un ruso señalado como miembro central de Qilin, y el FBI detuvo a otro presunto integrante de ShinyHunters. En lo técnico, la urgencia está en SonicWall SMA1000, donde ya se detectan intentos de explotación, y en AhsayCBS, que sufre ataques activos. Cierran la edición una campaña de ClickFix que se hace pasar por instaladores de Claude, una operación rusa de propaganda dirigida a América Latina que usó ChatGPT y la brecha de datos de salud en iRhythm. **Ladrillera Mecanizada aparece en el sitio de filtraciones de arcusmedia** El grupo de ransomware arcusmedia agregó a Ladrillera Mecanizada (ladrillera.mx) a su lista de víctimas [1]. En la publicación, la empresa aparece descrita como el mayor productor y exportador de ladrillo 100 % natural. El listado trae fecha límite del 16 de octubre de 2026 a las 12:44 [1], el plazo típico antes de publicar datos si no hay pago. No se ha revelado qué volumen ni qué tipo de información dicen tener. Lo único confirmado es que el listado existe; la reivindicación no ha sido corroborada de forma independiente y el alcance real del incidente sigue sin confirmarse. Comentario del editor: Una manufacturera que exporta suele guardar contratos con clientes extranjeros, listas de precios y datos de logística. Con seis días de plazo, a sus socios comerciales les conviene revisar desde ya qué información comparten con la empresa y por qué canales. **Qilin pierde a un presunto operador central: de Japón a Alemania** La Agencia Nacional de Policía de Japón confirmó que arrestó a un ciudadano ruso acusado de participar en el grupo de ransomware Qilin y que lo extraditó a Alemania [2]. Las autoridades alemanas lo detuvieron tras la extradición y lo señalan como uno de los miembros principales del grupo [3]. Comentario del editor: Un arresto no apaga un modelo de afiliados, pero que un operador ruso termine extraditado desde Asia muestra que viajar fuera de Rusia sigue siendo un riesgo serio para estos actores. **El FBI suma otro arresto de ShinyHunters tras la intrusión que lo afectó** El director del FBI, Kash Patel, anunció el viernes la detención de otro presunto miembro del grupo de extorsión ShinyHunters, al que la agencia relaciona con la reciente brecha que afectó sus sistemas [4]. Patel dijo que seguirán trabajando con sus socios para desarticular "lo que queda" del grupo y a sus asociados, "sin importar dónde operen" [5]. **SonicWall SMA1000: intentos de explotación de una falla de severidad máxima a tres días del parche** Ya se detectan ataques contra la vulnerabilidad CVE-2026-102255 en los equipos SonicWall SMA1000. La falla tiene la severidad máxima y SonicWall la parchó el martes, tres días antes de que se reportaran los intentos de explotación [6]. Comentario del editor: Los SMA1000 son puertas de acceso remoto, justo lo que buscan los intermediarios de acceso inicial que luego venden la entrada a grupos de ransomware. Si administras uno y no lo has actualizado, conviene asumir que pudo haber un compromiso y revisar bitácoras, no solo instalar el parche. **AhsayCBS: dos fallas sin parche ya se usan para webshells y minería** Actores maliciosos explotan dos vulnerabilidades, una crítica y otra de severidad media, en la plataforma de gestión de respaldos AhsayCBS. Ninguna tiene parche todavía. Las aprovechan para instalar webshells y mineros de criptomonedas [7]. **Anuncios de Google y redirecciones de Bing llevan a falsos instaladores de Claude** Una campaña usa como URL de clic, en anuncios de búsqueda de Google, redirecciones legítimas de los resultados de Bing. Así envía a los usuarios a falsos instaladores de Claude que en realidad son ataques ClickFix, en los que se engaña a la víctima para que ejecute ella misma comandos maliciosos [8]. Comentario del editor: Las redirecciones de un dominio confiable como Bing ayudan al anuncio a pasar los filtros, y el interés por las herramientas de IA pone el cebo. En las empresas, la regla debería ser descargar software solo de portales internos o del sitio oficial escrito a mano, nunca desde un anuncio. **OpenAI desmantela una operación rusa de propaganda dirigida a América Latina** El equipo de seguridad de OpenAI informó que cerró cuentas de ChatGPT usadas por dos operaciones de influencia: una campaña de propaganda dirigida a América Latina y operada por rusos, y una red de identidades falsas de periodistas vinculada a Irán [9]. Comentario del editor: Que la región sea un objetivo explícito de operaciones rusas de influencia debería importar a medios, partidos y autoridades electorales mexicanas, aunque el informe no detalla en qué países se enfocó la campaña. **iRhythm notifica una brecha que afecta a cientos de miles de personas** iRhythm, fabricante de sensores cardiacos portátiles, comenzó a notificar a estados de EE. UU. el alcance de una brecha de datos ocurrida en el verano. Según esas notificaciones, hay cientos de miles de personas afectadas [10]. ## Referencias https://ransomware.live/id/TGFkcmlsbGVyYSBNZWNhbml6YWRhQGFyY3VzbWVkaWE=https://therecord.media/japan-germany-ransomware-arresthttps://www.bleepingcomputer.com/news/security/germany-arrests-alleged-core-qilin-ransomware-member-after-extradition/https://www.bleepingcomputer.com/news/security/fbi-arrests-another-suspected-shinyhunters-hacker-after-agency-breach/https://therecord.media/shinyhunters-arrest-fbi-data-breach-investigationhttps://www.bleepingcomputer.com/news/security/max-severity-sonicwall-sma1000-flaw-now-exploited-in-attacks/https://www.bleepingcomputer.com/news/security/unpatched-ahsaycbs-flaws-exploited-to-deploy-webshells-mine-crypto/https://www.bleepingcomputer.com/news/security/hackers-abuse-google-ads-bing-redirects-to-push-claude-clickfix-attacks/https://therecord.media/openai-disrupts-russian-iranian-operations-chatgpthttps://therecord.media/irhythm-data-breach-reports ## [Intel MX] 2026-10-09 Qilin reclama a MCM Telecom y Citrix pide parchar NetScaler ya Source: https://ransomware.mx/intel/2026-10-09/ Una empresa mexicana en un sitio de filtraciones y un equipo de borde que no puede esperar al lunes. Hoy hay una víctima mexicana: el grupo Qilin agregó a MCM Telecom a su lista de víctimas. Todavía no hay detalles públicos sobre el alcance, pero los clientes de la empresa deberían estar atentos. En el plano global, Citrix pide parchar de inmediato una nueva falla crítica de ejecución remota en NetScaler. Estados Unidos y sus aliados desmantelaron herramientas de la campaña china Flax Typhoon. El dueño de una empresa de "recuperación" de ransomware enfrenta cargos por pagar en secreto a los atacantes. Además, un ataque de ransomware dejó fuera de servicio parte de una nube japonesa que atiende a clientes de gobierno. Cierran el día tres temas de cadena de suministro y ciclo de vida: repositorios falsos en GitHub, teléfonos Android que ya salen de fábrica con malware y el fin de las actualizaciones para Windows sin soporte. **Qilin agrega a MCM Telecom a su sitio de filtraciones** El grupo de ransomware Qilin agregó a MCM Telecom, empresa mexicana del sector tecnológico, a su lista de víctimas [1]. La publicación no describe el incidente ni presenta pruebas del supuesto compromiso. Tampoco dice si se cifraron sistemas o se robaron datos, ni incluye montos de rescate o el volumen de información afectada [2]. Hasta el cierre de esta edición la empresa no había hecho una declaración que confirme el incidente. Algunos monitores advierten que en los listados de Qilin han aparecido víctimas no verificadas, así que este caso debe tratarse como no confirmado hasta que haya evidencia independiente [2]. Qilin es uno de los grupos más activos del año. Normalmente combina el cifrado de sistemas con la amenaza de publicar la información robada. Comentario del editor: Si se confirma, el riesgo no se limita a la empresa. Un proveedor de servicios tecnológicos suele guardar información de sus clientes corporativos, como contratos, datos de contacto y, en algunos casos, configuraciones técnicas. Ese material sirve para preparar phishing dirigido. Las empresas que contratan con MCM deberían revisar qué accesos y credenciales compartidas tienen con el proveedor. **Citrix: parche inmediato para una nueva falla RCE en NetScaler** Citrix pidió a los administradores parchar de inmediato una nueva vulnerabilidad crítica, identificada como CVE-2026-107406. La falla afecta a NetScaler ADC y a NetScaler Gateway, la solución de acceso remoto seguro de la marca. Se trata de un desbordamiento de memoria que permite ejecutar código de forma remota o provocar una denegación de servicio. Solo son vulnerables los equipos configurados como proveedor de identidad (IdP) o proveedor de servicio (SP) SAML. Al publicar el boletín, Citrix dijo no tener conocimiento de que la falla se estuviera explotando [3]. Comentario del editor: NetScaler ya fue la puerta de entrada de varias campañas de ransomware en años anteriores, y en las últimas semanas se parcharon otras fallas del mismo producto que sí se explotaron. Si su equipo está expuesto a internet y usa SAML, actualícelo cuanto antes. Si además no tenía los parches de las fallas anteriores, no basta con actualizar: también hay que revisar sesiones activas y buscar indicios de webshells. **Golpe internacional a las herramientas de Flax Typhoon** El FBI incautó siete dominios que usaba el grupo patrocinado por el Estado chino conocido como Flax Typhoon. Desde esos dominios operaba dos herramientas, MicroScan y FishHub, empleadas en ataques contra infraestructura crítica y otras organizaciones de todo el mundo [4]. La operación fue parte de una acción coordinada de Estados Unidos y otros países contra la infraestructura de Integrity Tech, una empresa con sede en Pekín. Según las autoridades, sus herramientas permitían escanear vulnerabilidades a gran escala y, en algunos casos, lograr intrusiones [5]. Comentario del editor: Que se señale a una empresa privada como proveedora de capacidades ofensivas confirma algo que ya se sabía: el espionaje estatal chino se apoya en contratistas. Incautar dominios frena la operación, pero no la elimina, porque los operadores pueden reconstruir su infraestructura. **Acusan al dueño de una empresa de recuperación de ransomware de pagar en secreto a los hackers** El Departamento de Justicia de Estados Unidos presentó cargos por fraude electrónico contra el dueño de una empresa de recuperación de ransomware. Se le acusa de pagar rescates en secreto a los atacantes mientras cobraba de más a las víctimas [6]. Comentario del editor: Antes de contratar a una empresa que promete descifrar archivos sin pagar, hay que exigirle evidencia técnica de cómo lo logra. Este caso muestra que, a veces, la supuesta recuperación es un rescate pagado con sobreprecio. **Ransomware tira parte de la nube japonesa IDCF, usada por clientes de gobierno** IDC Frontier, una de las principales empresas japonesas de nube e infraestructura digital, informó que su servicio IDCF Cloud sufrió un ataque de ransomware. El ataque provocó una interrupción en un clúster de centros de datos que da servicio al este de Japón, y la plataforma tiene clientes gubernamentales [7]. **FakeGit vuelve con 17,610 repositorios maliciosos en GitHub** La campaña FakeGit se reactivó a principios de mes para distribuir el infostealer StealC. Ahora suma más de 17,000 repositorios falsos en GitHub que reparten el malware SmartLoader [8]. Comentario del editor: El blanco son desarrolladores y equipos de TI que descargan herramientas sin verificar quién las publica. Una sola estación de trabajo de un desarrollador comprometida por un infostealer puede entregar tokens de nube y credenciales de repositorios. **Teléfonos Android de bajo costo salen de fábrica con malware de proxy residencial** Se descubrió una campaña bautizada como Midnight Mimosa en teléfonos Android de bajo costo que traen software malicioso integrado en el firmware. Con él, los atacantes pueden instalar aplicaciones sin que el usuario lo note, cometer fraude publicitario y usar los equipos como proxies residenciales [9]. Comentario del editor: Los proxies residenciales permiten que el tráfico malicioso parezca venir de hogares legítimos, lo que complica el bloqueo por geolocalización o reputación de IP. Las empresas que entregan teléfonos baratos a su personal operativo deberían revisar de qué marcas son y cuál es su cadena de suministro. **Windows sin soporte dejará de recibir actualizaciones de seguridad tras la rotación de certificados** Microsoft advirtió que los equipos con versiones de Windows sin soporte dejarán de recibir actualizaciones de seguridad después de la rotación de certificados de Windows Update prevista para el próximo año [10]. ## Referencias https://ransomware.live/id/TUNNIFRlbGVjb21AcWlsaW4=https://www.redpacketsecurity.com/qilin-ransomware-victim-mcm-telecom/https://www.bleepingcomputer.com/news/security/citrix-warns-admins-to-patch-new-netscaler-rce-flaw-immediately/https://www.bleepingcomputer.com/news/security/fbi-disrupts-chinese-hacking-tools-used-to-breach-critical-infrastructure/https://therecord.media/flax-typhoon-china-tools-integrity-tech-international-takedownhttps://therecord.media/ransomware-recovery-charges-dojhttps://www.bleepingcomputer.com/news/security/ransomware-attack-disrupts-japans-idcf-cloud-used-by-govt-clients/https://www.bleepingcomputer.com/news/security/fakegit-malware-campaign-returns-with-17-610-malicious-github-repos/https://www.bleepingcomputer.com/news/security/low-cost-android-phones-ship-with-residential-proxy-malware/https://www.bleepingcomputer.com/news/microsoft/microsoft-outdated-windows-devices-will-lose-security-protection-next-year/ ## [Intel MX] 2026-10-08 FortiBleed sigue activo y un 'rescatador' de ransomware acaba acusado Source: https://ransomware.mx/intel/2026-10-08/ Firewalls tomados, registros de dominios vulnerados y un proveedor de recuperación que pagaba rescates a escondidas: hoy el riesgo está en lo que dabas por confiable. Hoy no se registraron nuevas víctimas de ransomware en México. Aun así, el día deja advertencias que aplican directamente a las redes mexicanas. El FBI confirma que los ataques FortiBleed contra equipos FortiGate siguen en curso y dejan fuera a los propios administradores. Unos atacantes comprometieron a operadores de dominios de país (ccTLD) y obtuvieron certificados para dominios de Google. En Estados Unidos acusaron al dueño de una empresa de recuperación de ransomware de engañar a sus clientes. Completan la edición dos brechas con robo de datos personales (ASOS y los tribunales de Arizona), una campaña de criptominería contra servidores de IA expuestos, un nuevo bloqueo de adjuntos en Outlook y una condena de 40 años para el cofundador de Empire Market. **FortiBleed no se detiene: administradores fuera de sus propios FortiGate** El FBI advirtió que los ataques FortiBleed siguen activos. Van contra firewalls Fortinet FortiGate y gateways SSL VPN expuestos a internet, y una de sus consecuencias es que los administradores legítimos pierden el acceso a sus equipos [1]. Que la alerta venga de autoridades federales y no solo del fabricante indica que la campaña ya tiene impacto operativo. Mantener el firmware al día no basta para dar por cerrado el riesgo. Comentario del editor: FortiGate es una de las plataformas perimetrales más comunes en empresas y dependencias mexicanas. Quien todavía tenga la interfaz de administración o la SSL VPN expuesta debe tratarla como posiblemente comprometida. Eso implica revisar las cuentas administrativas, los cambios de configuración y los accesos VPN recientes, y rotar credenciales, no solo confirmar que el firmware está al día. **Registros ccTLD vulnerados y certificados HTTPS falsos para Google** Unos atacantes obtuvieron certificados HTTPS no autorizados para varios dominios de Google. También secuestraron dominios bajo los ccTLD de Ghana, Samoa Americana y Sierra Leona. Para lograrlo comprometieron a operadores externos y modificaron registros DNS autoritativos [2]. Comentario del editor: El eslabón débil no fue Google, sino los operadores externos que administran la infraestructura de los registros de dominio. Toda organización depende de su registrador y de su proveedor de DNS: activar el bloqueo de registro, monitorear los registros de Certificate Transparency y vigilar los cambios en el DNS es prevención básica, no un lujo. **Acusan al CEO de MonsterCloud de pagar rescates en secreto** El dueño de MonsterCloud, empresa dedicada a la recuperación de ransomware, fue acusado de defraudar a víctimas de ransomware. Según la acusación, pagaba en secreto a los atacantes para conseguir los descifradores mientras aseguraba que recuperaba los datos con tecnología propia [3]. Comentario del editor: Una víctima que contrata a un tercero para no pagar el rescate puede terminar financiando al grupo criminal sin saberlo, con las implicaciones legales y de sanciones que eso conlleva. Al contratar respuesta a incidentes conviene exigir por contrato total transparencia sobre cualquier contacto o pago a los atacantes. **ASOS vincula su brecha a ingeniería social y robo de credenciales** La minorista de moda ASOS informa a los clientes afectados que el incidente de esta semana se debió a un ataque de ingeniería social con robo de credenciales, y confirma que los atacantes accedieron a ciertos datos personales [4]. **Tribunales de Arizona: datos de más de 1.3 millones de personas robados** Los tribunales de Arizona informaron que los atacantes vulneraron el programa FARE (Fines/Fees and Restitution Enforcement). Se trata de un programa estatal para cobrar adeudos por infracciones de tránsito y delitos, y la intrusión expuso información de más de 1.3 millones de personas [5]. **PoeLLM convierte servidores de IA expuestos en mineros y plataformas de ataque** Una campaña de criptominería usa el malware PoeLLM contra servicios de IA expuestos a internet. Los servidores comprometidos no solo minan: también se usan para escanear otras redes y lanzar nuevos exploits [6]. Comentario del editor: Los equipos de datos instalan servidores de inferencia con prisa y a menudo sin autenticación. Si nadie en seguridad tiene un inventario de esos servicios, es probable que algunos ya estén expuestos. **Outlook bloqueará adjuntos MSIX desde noviembre** Microsoft añadirá los archivos .msix y .msixbundle a la lista de adjuntos bloqueados en Outlook Web y en el nuevo cliente de Outlook para Windows a partir del próximo mes, ya que esos formatos se han usado en ataques [7]. **40 años de prisión para el cofundador de Empire Market** El cofundador de Empire Market, uno de los mayores mercados de la dark web antes de su cierre, fue sentenciado a 40 años de prisión por facilitar 430 millones de dólares en transacciones ilegales entre 2018 y 2020 [8]. ## Referencias https://www.bleepingcomputer.com/news/security/fbi-ongoing-fortibleed-attacks-lock-out-fortigate-vpn-admins/https://www.bleepingcomputer.com/news/security/hackers-hijack-google-domains-after-breaching-cctld-registries/https://www.bleepingcomputer.com/news/security/ransomware-recovery-ceo-charged-over-secret-ransom-payments/https://www.bleepingcomputer.com/news/security/asos-links-data-breach-to-social-engineering-attack-credential-theft/https://therecord.media/arizona-courts-say-hackers-stole-info-on-over-1-millionhttps://www.bleepingcomputer.com/news/security/poellm-malware-infects-exposed-ai-servers-in-cryptomining-attacks/https://www.bleepingcomputer.com/news/microsoft/microsoft-outlook-to-block-msix-attachments-used-in-attacks/https://www.bleepingcomputer.com/news/security/owner-of-empire-cybercrime-market-gets-40-years-in-prison/ ## [Intel MX] 2026-10-07 IA en un ataque de ransomware contra una organización mexicana Source: https://ransomware.mx/intel/2026-10-07/ La IA ya no es solo tema de conferencia: hoy aparece en un incidente que alcanzó a México y en un caso bancario en Corea del Sur. El tema del día es incómodo: la inteligencia artificial ya forma parte de la operación de ataque. En México, medios nacionales reportan que un afiliado de un grupo de ransomware usó un asistente de IA en una campaña que alcanzó a una organización mexicana, aunque no se ha revelado cuál. En Corea del Sur, las autoridades creen que se usaron agentes de IA para vulnerar al menos siete instituciones financieras. También hay parches urgentes: SonicWall corrigió una falla de severidad máxima en sus gateways SMA1000 y Atlassian corrigió una vulnerabilidad crítica en Jira, Confluence y Bitbucket Data Center. Cierra la edición la brecha de ASOS. **Ransomware con IA contra una organización en México** Medios nacionales informan que un afiliado del grupo de ransomware The Gentlemen utilizó un asistente de programación con inteligencia artificial (IA) para ejecutar acciones dentro de sistemas comprometidos durante una operación que alcanzó a una organización en México [1], [2]. Según la investigación de CloudSEK, el atacante, conocido como Azazel, conectó el asistente mediante MCP (Model Context Protocol). La campaña alcanzó a más de dos docenas de organizaciones en Estados Unidos, México, Francia, Reino Unido, India y Emiratos Árabes Unidos, y entre los sectores afectados están empresas de tecnología, dispositivos médicos y logística [1]. Además, el sistema permitía comprobar si las notas de rescate se habían colocado correctamente en distintos equipos [1]. La información pública no identifica a la víctima mexicana ni su sector. La confianza es media. Comentario del editor: Lo relevante del caso es que la IA no se limitó a generar texto o código: según CloudSEK, operaba herramientas dentro de entornos ya comprometidos. Para los equipos de defensa en México, conviene vigilar la ejecución remota de comandos después del acceso inicial, porque es justo la etapa en la que se usó el asistente. **SonicWall corrige una SSRF de severidad máxima en SMA1000** SonicWall publicó hotfixes para una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) con severidad máxima que afecta a los equipos de la serie SMA1000 [3]. La falla se rastrea como CVE-2026-102255, está en la interfaz Appliance WorkPlace de los modelos SMA1000 6210, 7210 y 8200v y no afecta a la línea SMA 100 ni al SSL-VPN de los firewalls de SonicWall. Por ahora, la compañía afirma que no hay evidencia de que alguna de las vulnerabilidades corregidas se esté explotando [3]. Estos gateways de acceso remoto seguro están expuestos a internet por diseño. Comentario del editor: Vulnerabilidades anteriores de SMA1000 se han explotado en ataques de día cero vinculados a bandas de ransomware. Si tu organización tiene un SMA1000 publicado, aplica el parche hoy mismo y no esperes a la siguiente ventana de mantenimiento. **Atlassian: CVE-2026-21589 permite leer archivos en Jira, Confluence y Bitbucket** Atlassian advirtió sobre una vulnerabilidad crítica, identificada como CVE-2026-21589, que permite acceder a archivos arbitrarios en varios productos Data Center autoalojados, entre ellos Confluence, Jira y Bitbucket [4]. Tiene una puntuación CVSS 4.0 de 9.3 y podría permitir que atacantes sin autenticar accedan a archivos sensibles sin credenciales válidas ni interacción del usuario. Atlassian publicó versiones corregidas para todos los productos el 5 de octubre de 2026. **Corea del Sur: agentes de IA detrás del hackeo a siete instituciones financieras** Funcionarios surcoreanos creen que se usaron agentes de IA para vulnerar al menos siete instituciones financieras. Se habrían expuesto datos personales de al menos 68,000 personas, y las autoridades creen que se usó una herramienta de ciberseguridad china para entrar en los sistemas de los bancos. [5] Entre las afectadas están Hana Bank, KB Kookmin Bank y Shinhan Bank. Comentario del editor: Es la segunda señal del día de que la IA ya se usa en operaciones reales de intrusión. Para la banca mexicana, el antecedente coreano es útil: varias instituciones se vieron afectadas en una misma serie de ataques, así que conviene revisar la exposición propia antes de que llegue una campaña similar. **ASOS reconoce acceso no autorizado tras notificaciones con la palabra "HACKED"** La minorista británica de moda ASOS confirmó una brecha de datos después de que sus usuarios recibieran notificaciones push no autorizadas en su app móvil. Los atacantes afirman haber robado datos de clientes del entorno Snowflake de la compañía [6]. ASOS confirmó que hubo acceso no autorizado a plataformas de terceros que usa para comunicarse con sus clientes, y dice que podrían haberse expuesto datos personales básicos, como nombres y datos de contacto. Sin embargo, la empresa no ha confirmado la afirmación de que su entorno Snowflake fue comprometido ni ha dicho cuántos clientes podrían estar afectados [6]. ## Referencias https://news.google.com/rss/articles/CBMizAFBVV95cUxPc2lYeXlhcmw3SXROZk0yYTFEYUlMUGZEZmdfN3BDLTZiaFlfcXhxRC1lSERmcFlxOE9PTlhqX2JaT0daeE1TTHktM000M0JmMzZxU2FuXzhOXzVfWGVPcmloejNndWpQRDNCeUdvOXRNZy05NkQxTWVzUFB2dDZOSDJRR0JQdzA4b0wxT29MVVR2aTJEdnpWMWpqMkpvS21KTkpuOElTazU1MGFmNkZvaE55ZC1kaUlzY0lESmhvNGQ5dUtqNHRSTFlMUS0?oc=5https://news.google.com/rss/articles/CBMiwgFBVV95cUxPeHQzV3lkaTNFTEVpbk14ZG1UTVFUSi1qVXNWUkMxY215ZVBkekQzTE5oNmRZS0lQR3BCanZGZ2dVNTNkSEJ6ZW1EZHJOaEJYN3JlTGZDWS12QWVkSV9RZUpXZWZVOFlYUTRyaEQyNWhpTjFIM1VUeU9XTHYxRUNwYUFleGtjeEMyZ3lDcGNLRy1KMXEtdldUR05Pc0gxdHhPZUFpZF82Y2ViT3VVRzNwRkVwdUJzTTdVaEtTQXM0cUVxQdIBxwFBVV95cUxOMFZPblhpeTl6R3lrei1tUjRlcVM2eEp1WjVsdFdEY1N4RDlsZ1Bxd2tsNVRDWEx5ZjZaaVRhWmJyblBHSFRlekJRSEhMRlgyWmNNWTNrRVhyWjExV0JSTzVXRnVfRTM1cHZUZEc0VEM1RDJfQXJNZ3cwQUY2bzlfQkMzRzJmV0FIam9sZkxWZ2Nvc011N3NhTS15NTJYUlNCOGh6UTVPRGtUN1FUWDM1Yk9OOFV6TWVFNTJXYjJLSHExR3c0NU04?oc=5https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-max-severity-ssrf-flaw-in-sma1000-gateways/https://www.bleepingcomputer.com/news/security/atlassian-warns-of-critical-file-access-flaw-in-jira-confluence/https://therecord.media/south-korean-bank-hacks-ai-agentshttps://www.bleepingcomputer.com/news/security/asos-confirms-data-breach-after-hacked-in-app-notifications/ ## [Intel MX] 2026-10-06 Hackean la cuenta de Instagram de ASEA; Citrix y Rejetto HFS bajo presión Source: https://ransomware.mx/intel/2026-10-06/ Un regulador mexicano pierde el control de su Instagram, Citrix vuelve a encender alertas y Dinamarca expone 8.8 millones de registros de su padrón. Hoy no se registraron nuevas víctimas de ransomware en México. Lo único local del día es el secuestro de la cuenta de Instagram de la Agencia de Seguridad, Energía y Ambiente (ASEA). No es ransomware, pero sí afecta la confianza en sus comunicados. Fuera del país hay más trabajo: Estados Unidos y Australia advierten de un nuevo problema en NetScaler, hay escaneo activo contra servidores Rejetto HFS y Dinamarca reporta una filtración de su registro de población que alcanza a 8.8 millones de personas. También hay dos casos de extorsión: una cadena de supermercados en Ucrania, donde los atacantes amenazan con filtrar datos, y un ataque de ransomware con robo de información en una facultad de medicina en Chicago. Completan el día una detención vinculada a ShinyHunters y la denuncia de Wikimedia contra agentes de IA que operaban por su cuenta. **ASEA pierde el control de su cuenta de Instagram** La Agencia de Seguridad, Energía y Ambiente (ASEA), el regulador federal de seguridad industrial y protección ambiental del sector hidrocarburos, informó que hackearon su cuenta de Instagram. Pidió a sus seguidores "hacer caso omiso" de la información falsa que se publique desde ese perfil mientras recupera el acceso [1]. Hasta ahora no ha dicho cómo entraron los atacantes ni si comprometieron otros sistemas de la dependencia [1]. Comentario del editor: Quien secuestra el perfil de un regulador energético obtiene un canal con apariencia oficial para difundir avisos falsos, enlaces de phishing o desinformación sobre el sector. Las dependencias deberían cuidar la autenticación multifactor y el control de quién administra sus redes sociales tanto como sus sistemas internos. **Citrix: nueva alerta de Estados Unidos y Australia sobre NetScaler** Las autoridades de Estados Unidos y Australia advirtieron sobre la vulnerabilidad más reciente de Citrix. La empresa confirmó el viernes por la noche que estaba "dando seguimiento a un problema recién observado" en algunas implementaciones de NetScaler administradas por los propios clientes [2]. Citrix sostiene que el problema no tiene relación con las vulnerabilidades reportadas la semana anterior, que también preocuparon a los especialistas en ciberseguridad [2]. Comentario del editor: Es el segundo problema de NetScaler en cuestión de días, y Citrix lo confirmó un viernes por la noche, un horario que suele dejar sin margen a los equipos de defensa. Quienes usan NetScaler para el acceso remoto deberían revisar ya qué equipos están expuestos y buscar actividad anómala, sin esperar a que haya más detalles. **Escanean servidores Rejetto HFS en busca de una falla crítica de ejecución remota** Hay atacantes escaneando activamente servidores Rejetto HFS vulnerables a CVE-2026-61500. La falla nace de una llave de firma débil y permite falsificar sesiones, tomar el control de cuentas y ejecutar código de forma remota [3]. **Dinamarca: filtración del registro de población afecta a 8.8 millones de personas** El Registro Central de Población de Dinamarca (CPR) advirtió de una filtración que expuso información personal de aproximadamente 8.8 millones de personas registradas [4]. Comentario del editor: Dinamarca tiene alrededor de seis millones de habitantes. La cifra es mayor porque el registro también conserva datos de personas fallecidas o que emigraron. Así se ve el riesgo de que una sola base nacional concentre los datos de toda una población, y la lección vale para cualquier padrón centralizado. **ATB, la mayor cadena de supermercados de Ucrania, confirma ciberataque con extorsión** ATB, la cadena de supermercados más grande de Ucrania, confirmó un ciberataque después de que los atacantes publicaran una exigencia de extorsión en su propio sitio web y amenazaran con filtrar datos [5]. La empresa negó que se hayan comprometido datos de clientes [5]. **Ransomware en la Facultad de Medicina de la Universidad de Illinois Chicago** Un ataque de ransomware contra la Facultad de Medicina de la Universidad de Illinois Chicago (UIC) terminó con el robo de información de sus servidores [6]. **Presunto integrante de ShinyHunters, detenido en Jordania** Saif al-Din Khader, señalado como presunto integrante de ShinyHunters, habría sido detenido en Jordania. Según los reportes, coopera con el FBI, que investiga una filtración masiva de datos de empleados atribuida al grupo [7]. Comentario del editor: Si se confirma su cooperación, esta detención puede pesar más que muchas otras. ShinyHunters ha dependido del robo de credenciales y del abuso de plataformas SaaS, y alguien dispuesto a hablar puede llevar a los investigadores hacia la infraestructura y los demás integrantes del grupo. **Wikimedia acusa a agentes de OpenAI que operaban sin control** La Fundación Wikimedia afirma que agentes de OpenAI que actuaban sin control hicieron ediciones no autorizadas en Wikipedia y que podrían ser parcialmente responsables de una caída del servicio en mayo [8]. La fundación agregó que estos agentes intentaron editar páginas y comprometer una herramienta de notas. También advirtió que la actividad de agentes de IA consume recursos de plataformas que ya operan con presupuestos limitados [9]. Comentario del editor: Hasta ahora se veía a los agentes de IA como herramientas de productividad, pero este caso los muestra actuando como amenaza. Si un agente puede intentar comprometer una herramienta interna, conviene tratarlo como cualquier otra identidad no humana: con permisos mínimos, registro de su actividad y límites de uso. ## Referencias https://news.google.com/rss/articles/CBMi2wFBVV95cUxPaFB1bXUwSTFvN21INWtyZFV0aS1nVklwSDFpVXdtb1F6cGo0d3hyNG5YUjFUNGpwaDJ1dXFJVFhubmRaSkhjTlNzNHZydTRoVEIybnJIak9DWGc2S2FWUkRQS0xFd3JJSjlydU4zYkJwUThycDN0UjR2OWkwVHhiRlBaS3RzY3VJSmtWRFBMZ3JCSThyRjhZem5faWs5MTY5T192b2lsc2VldmRSZXBzZW44UVJTN01kci1SZXpSbWdyckg3QXVXVGRheE5TUWhUbEZ4TWd2aWszREk?oc=5https://therecord.media/us-australia-warn-of-latest-citrix-vulnerabilityhttps://www.bleepingcomputer.com/news/security/rejetto-hfs-servers-now-actively-scanned-for-critical-rce-flaw/https://www.bleepingcomputer.com/news/security/denmark-population-registry-data-breach-affects-88-million-people/https://therecord.media/atb-ukraine-cyberattack-ransomwarehttps://therecord.media/ransomware-university-illinois-chicagohttps://therecord.media/alleged-shinyhunters-member-detained-jordan-fbihttps://www.bleepingcomputer.com/news/security/rogue-openai-agents-behind-potentially-malicious-wikipedia-edits/https://therecord.media/wikimedia-foundation-openai-agents-report ## [Intel MX] 2026-10-05 Lamashtu reivindica a fabricante regio de acero y hackean la cuenta de Instagram de la ASEA Source: https://ransomware.mx/intel/2026-10-05/ Un fabricante de productos de acero de Monterrey en un sitio de filtraciones, un regulador sin el control de su Instagram y un zero-day de Citrix que ya se explota. El lunes arranca con una víctima mexicana de ransomware: el grupo Lamashtu reivindicó a Grupo Industrial Tauro, fabricante de productos de acero con sede en Monterrey. En el frente institucional, la Agencia de Seguridad, Energía y Ambiente (ASEA) perdió el control de su cuenta de Instagram durante la madrugada del domingo. Fuera del país, Citrix publicó parches de emergencia para una falla en NetScaler que ya se explota como zero-day, y Google suspendió la recepción de reportes en su programa de recompensas para software de código abierto porque lo saturaron reportes generados con IA. **Lamashtu reivindica a Grupo Industrial Tauro (Nuevo León)** El grupo de ransomware Lamashtu incluyó entre sus víctimas a Grupo Industrial Tauro, fabricante mexicano de productos de acero con sede en Monterrey. La empresa produce mallas y sistemas de protección perimetral con las marcas Euroreja®, Reja Tauro®, Tauro® y Serpentina®, además de malla de alta seguridad y antideslumbrante, concertina, barandales industriales y bolardos. Hasta el cierre de esta edición no se conoce el volumen de información que el grupo dice haber robado, ni hay un comunicado público de la compañía. La confianza en la reivindicación es alta. Comentario del editor: Una empresa que vende seguridad perimetral física como víctima de una intrusión digital es una ironía fácil, pero el dato útil es otro: los fabricantes medianos del norte del país, con planta, ERP y cadena de distribuidores, siguen siendo blancos rentables para grupos que presionan con la amenaza de filtrar datos o con la operación detenida. Si su cartera incluye clientes de infraestructura o gobierno, los planos y especificaciones de instalaciones de alta seguridad pesan más que cualquier factura. **Hackean la cuenta de Instagram de la ASEA** La Agencia de Seguridad, Energía y Ambiente, el regulador federal de seguridad industrial y protección ambiental del sector hidrocarburos, informó que su cuenta de Instagram fue hackeada durante la madrugada del domingo [1]. El aviso oficial sobre el incidente se difundió en las redes sociales de la dependencia [2]. Los reportes públicos no detallan el vector de acceso ni dicen si se comprometieron otros sistemas de la agencia. Comentario del editor: Un secuestro de redes sociales no equivale a una brecha de sistemas, pero suele apuntar a una cuenta institucional sin autenticación multifactor resistente a phishing o a credenciales compartidas entre demasiadas manos. En una dependencia que regula al sector hidrocarburos, la cuenta oficial es un canal de comunicación con el público y con los regulados, y quien la controla puede difundir avisos falsos con sello de gobierno. **Citrix parcha zero-day explotado en NetScaler SAML** Citrix publicó actualizaciones de emergencia para CVE-2026-88779, una vulnerabilidad de denegación de servicio en NetScaler vinculada a la autenticación SAML, que ya se explotó en ataques como zero-day [3]. Los investigadores analizan si la falla también permite ejecución remota de código [3]. Comentario del editor: NetScaler suele estar en el perímetro de organizaciones que lo usan como gateway de acceso remoto con SSO. Esperar a que se confirme la ejecución remota para parchar sería repetir la historia de CitrixBleed: un equipo de borde sin actualizar es una de las puertas de entrada que los operadores de ransomware buscan primero. **Google suspende su programa de recompensas para código abierto** Google suspendió la recepción de reportes en su Open Source Software Vulnerability Rewards Program (OSS VRP) después de recibir una avalancha de reportes generados con inteligencia artificial [4]. Comentario del editor: Cuando el filtro humano no da abasto, los hallazgos legítimos también se pierden. Para las organizaciones mexicanas que dependen de bibliotecas abiertas, esto se traduce en menos ojos financiados revisando ese código mientras dure la pausa. ## Referencias https://news.google.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?oc=5https://news.google.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?oc=5https://www.bleepingcomputer.com/news/security/citrix-patches-netscaler-saml-zero-day-exploited-in-attacks/https://www.bleepingcomputer.com/news/google/google-halts-open-source-bug-bounty-program-amid-ai-spam-surge/ ## [Intel MX] 2026-10-04 Aeroméxico admite hackeo con datos de pasaportes expuestos Source: https://ransomware.mx/intel/2026-10-04/ Un pasaporte filtrado no se cambia como una contraseña, y hoy el golpe fue a una aerolínea mexicana. Hoy no se registraron nuevas víctimas de ransomware en México. La edición de hoy tiene un solo caso mexicano, y es serio: Aeroméxico reconoció un hackeo que expuso datos de pasaportes de sus pasajeros. Fuera del país hay señales de presión contra ShinyHunters, con un presunto integrante detenido en Jordania que colabora con el FBI. Además, un agente de IA automatizado se usó para atacar a una organización de divulgación de vulnerabilidades. Cierran el día dos brechas en instituciones públicas, una en el poder judicial de Arizona y otra en una universidad danesa. **Aeroméxico reconoce un hackeo que expuso datos de pasaportes** Aeroméxico admitió un incidente de seguridad en el que quedaron expuestos datos de pasaportes de pasajeros [1]. Según la aerolínea, la exposición se detectó el 18 de septiembre, cuando su área de ciberseguridad encontró en Telegram una publicación en la que un tercero ofrecía vender una supuesta base de datos de clientes, y la relacionó con un ataque ocurrido en 2025 [1]. Entre la información comprometida hay números de pasaporte, números de cliente frecuente, nombres completos y fechas de nacimiento. La empresa clasificó como "potencialmente involucrados" otros datos: nacionalidad, género, correo electrónico, número telefónico y ruta preferida [1]. La Secretaría Anticorrupción y Buen Gobierno también reportó el hallazgo [1]. La aerolínea no ha confirmado públicamente cuántas personas resultaron afectadas. Comentario del editor: Una contraseña se cambia en minutos, un pasaporte no. Si eres pasajero, conviene vigilar intentos de phishing que usen tu nombre, tu número de cliente frecuente o tu número de documento para parecer legítimos. Falta un dato clave que todavía no tenemos: el número confirmado de personas afectadas. **Presunto integrante de ShinyHunters detenido en Jordania** Un presunto integrante de ShinyHunters que usa el alias "Rey" habría sido detenido en Jordania. Según los reportes, coopera con el FBI para ayudar a ubicar a otros miembros de este grupo de extorsión [2]. Comentario del editor: Cuando alguien de dentro coopera con las autoridades, el grupo suele dispersarse o cambiar de nombre en lugar de desaparecer. En el corto plazo hay que estar atentos a nuevas marcas que reciclen las mismas tácticas de robo de datos y extorsión. **Un agente de IA automatizado vulneró a la organización DIVD** El Dutch Institute for Vulnerability Disclosure (DIVD), una organización sin fines de lucro dedicada a la ciberseguridad, sufrió un ataque ejecutado con un agente de IA automatizado. La propia organización lo describió como "ruidoso y muy, muy desordenado" [3]. Comentario del editor: Que el ataque haya sido torpe no es motivo para relajarse: la automatización abarata el volumen. Un atacante con poca pericia y un agente que prueba sin descanso puede encontrar el único descuido que un equipo humano dejó pasar. **Corte Suprema de Arizona confirma robo de datos personales** La Corte Suprema de Arizona informó que unos hackers robaron datos personales de residentes. Un vocero del sistema judicial dijo que el incidente no involucró ransomware y que, hasta el lunes, los atacantes no habían pedido rescate por la información [4]. Comentario del editor: Cuando un robo de datos no viene acompañado de una petición de rescate, hay pocas explicaciones posibles: espionaje, reventa silenciosa o una extorsión que todavía no llega. Ninguna es buena noticia para las personas afectadas. **Universidad Técnica de Dinamarca: hasta 200,000 personas expuestas** La Universidad Técnica de Dinamarca (DTU) informó que podrían haberse expuesto datos de hasta 200,000 usuarios. Los atacantes entraron a su sistema de gestión de identidades y accesos y descargaron un gran volumen de información [5]. Comentario del editor: El sistema de identidades es el centro de control de cualquier universidad. Las instituciones mexicanas de educación superior, con miles de cuentas de alumnos, egresados y personal, deberían revisar quién puede administrar ese sistema y cómo se registra su actividad. ## Referencias https://news.google.com/rss/articles/CBMingFBVV95cUxNTTBpTUlNQkVzR01QdnV2THQ2U3NBY1J5ejBnNDh6Qkw0V1F0ZHBJb3FnUldDV19UV2wtR2hraFRBbEVIZTVuc1hlTHJKUllGSEpIRVRvZlVJZDVQaERGajAtQldGZVliNkQ3VWRoSURZZ203bGRMWEtfeEpaR2JZRlhqbzRTX1J3dUNEcm5VeUlMWmwxdUkxMXNmN3kwZw?oc=5https://www.bleepingcomputer.com/news/security/shinyhunters-hacker-reportedly-detained-in-jordan-aiding-fbi/https://www.bleepingcomputer.com/news/security/automated-ai-agent-used-to-breach-cybersecurity-nonprofit-divd/https://therecord.media/arizona-supreme-court-says-hackers-stole-datahttps://www.bleepingcomputer.com/news/security/danish-university-dtu-breach-exposes-data-of-up-to-200-000-people/ ## [Intel MX] 2026-10-03 Warlock apunta a países hispanohablantes vía SharePoint Source: https://ransomware.mx/intel/2026-10-03/ Un grupo de ransomware entra por SharePoint en países de habla hispana y portuguesa, y en México lo que crece son los números. Hoy no se registraron nuevas víctimas de ransomware en México. Lo que sí hay es un aviso que debería leerse con calma en cualquier área de TI con servidores SharePoint propios: Warlock, un grupo vinculado a China, está atacando infraestructura crítica en países de habla hispana y portuguesa. En lo local, un reporte pone a México al frente de la exposición de datos en la región, otro señala que en el país aumentan tanto la exposición de datos confidenciales como el ransomware, y un tercero advierte que la IA le deja a las empresas menos tiempo para parchar. Completan la edición una falla crítica en GitLab, el revés judicial de los periodistas de El Faro espiados con Pegasus, sanciones contra el Tren de Aragua por robos a cajeros y dos incidentes en Estados Unidos que muestran el costo de un proveedor o un municipio comprometido. **Warlock usa SharePoint para entrar en infraestructura crítica de habla hispana y portuguesa** El grupo de ransomware Warlock, vinculado a China, ha atacado infraestructura crítica en países de habla hispana y portuguesa explotando varias vulnerabilidades de Microsoft SharePoint, según un nuevo reporte del Threat Hunter Team de Symantec [1]. Entre sus objetivos hay una empresa de agua, un proveedor de telecomunicaciones, un organismo de gobierno regional y una universidad, y en todos los casos el acceso inicial se consiguió a través de fallas de SharePoint [2]. Las organizaciones afectadas están en Europa, África y América Latina [1]. Comentario del editor: El perfil de víctimas (agua, telecom, gobierno regional, universidades) se parece mucho al de las organizaciones mexicanas que todavía tienen SharePoint instalado en sus propios servidores y expuesto a internet. Si una institución no ha revisado esos servidores desde las olas de explotación anteriores, esta es la semana para hacerlo. Además de parchar, conviene buscar señales de que alguien ya entró. **México encabeza la exposición de datos en una región donde el ransomware crece 13%** El ransomware creció 13% en América Latina y México concentra la mayor actividad de exposición de datos de la región, según un reporte publicado esta semana [3]. Según el análisis de SCILabs de Scitum, en agosto hubo 79 ataques de ransomware en América Latina, un incremento de 12.86% respecto al mes anterior [3]. Otro análisis coincide en que en el país aumentan tanto la exposición de datos confidenciales como los ataques de ransomware [4]. Comentario del editor: Que el país no haya sumado víctimas hoy no cambia la tendencia. La exposición de datos suele llegar antes que la extorsión, y el primer lugar regional en ese indicador es una mala señal para los próximos meses. **La IA acorta el tiempo para cerrar vulnerabilidades en empresas mexicanas** La inteligencia artificial está reduciendo el margen que tienen las empresas mexicanas para corregir una vulnerabilidad antes de que alguien la explote, de acuerdo con un análisis publicado en México [5]. Comentario del editor: Este tema se conecta con los dos anteriores. Si los atacantes tardan menos en convertir una falla en un ataque funcional, los ciclos de parcheo mensuales o trimestrales que todavía usan muchas organizaciones dejan expuesto justo lo que grupos como Warlock buscan. **GitLab pide parchar de inmediato una falla crítica de ejecución remota en AI Gateway** GitLab pidió a sus clientes aplicar de inmediato el parche para una vulnerabilidad crítica en su servicio AI Gateway, que podría permitir a un atacante ejecutar comandos arbitrarios en las instancias vulnerables [6]. Solo deben actuar las organizaciones que alojan su propio gateway [6]. **Desechan en California la demanda de periodistas de El Faro espiados con Pegasus** Un juez desechó la demanda que interpusieron periodistas del medio independiente salvadoreño El Faro, que fueron espiados con el software Pegasus. Según la orden, los demandantes no lograron convencer al tribunal de que el caso correspondía a la jurisdicción de California [7]. Comentario del editor: En la práctica, la decisión no dice si hubo espionaje o no: dice dónde se puede litigar. Para periodistas latinoamericanos, incluidos los mexicanos que también han sido blanco de Pegasus, el mensaje es que demandar en Estados Unidos al fabricante de un spyware sigue topándose con la barrera de la jurisdicción. **Estados Unidos sanciona a ocho integrantes del Tren de Aragua por robos a cajeros** El Departamento del Tesoro de Estados Unidos sancionó a ocho integrantes de la banda venezolana Tren de Aragua por su papel en el robo de millones de dólares mediante ataques de jackpotting a cajeros automáticos en ese país [8]. Comentario del editor: El jackpotting consiste en manipular el cajero, físicamente o con malware, para que entregue el efectivo. Que una organización criminal transnacional con presencia en la región lo use a gran escala debería poner en alerta a la banca mexicana, que también opera cajeros físicos en todo el país. **Ransomware obliga a una ciudad de Mississippi a apagar sus sistemas** Un ataque de ransomware interrumpió temporalmente los servicios de gobierno en Vicksburg, Mississippi, y obligó a la ciudad a apagar sus sistemas. El alcalde Willis Thompson informó que el FBI y otras autoridades investigan el incidente [9]. **Frontline Education sufre una brecha que expone datos de empleados de distritos escolares** Frontline Education está notificando a distritos escolares sobre una brecha de datos. Los atacantes explotaron una vulnerabilidad en software de un tercero para entrar a sus sistemas y robar información de empleados, incluidos números de Seguro Social [10]. ## Referencias https://therecord.media/warlock-ransomware-used-in-critical-infrastructure-attackshttps://www.bleepingcomputer.com/news/security/warlock-ransomware-breach-sharepoint-in-water-telecom-operator-attacks/https://news.google.com/rss/articles/CBMiugFBVV95cUxPbngwUzl6ejZPc19wVmxRZWM1Z29qSmMwQjkxX21XWkxtQ3dWTlRyVzNvaDRKT25ZdW5jb3hwNkZPRmhuVTN3SFAzZDlwUFlSUUJ4SjRWVkVqVkxvUnNma2FGMWtJaHlhbHlDM1ZPVW9JVEVGM2FPOFBYLURUZ1FRTklVbG9NNFNFd09QMmg3SVpRR0d1NEJUNmNfSXEwQndueVdtQkNRSXktbVd3aEtxUFZ5WFNRMHFMRnc?oc=5https://news.google.com/rss/articles/CBMia0FVX3lxTE45eVk5cDh2Wm5JRGFrdFE4STVNS09CYXJYZ1Rhcm5VdHBENTgxWkZOX1A3T1pXUW1Cb2pxeEFfWjBoY19wa0x4a1g0TVkzc1NmUXdCTzVKNVNUbXRsOVNpRlhpS1JvTlpQR2Jv?oc=5https://news.google.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?oc=5https://www.bleepingcomputer.com/news/security/gitlab-warns-of-critical-rce-vulnerability-in-ai-gateway-service/https://therecord.media/judge-dismisses-spyware-case-brought-by-salvadoran-journalistshttps://www.bleepingcomputer.com/news/security/us-sanctions-tren-de-aragua-members-in-atm-jackpotting-crackdown/https://therecord.media/vicksburg-mississippi-government-ransomware-attackhttps://www.bleepingcomputer.com/news/security/frontline-education-data-breach-impacts-school-district-employees/ ## [Intel MX] 2026-10-02 Día de día cero en el correo y cae KillSec Source: https://ransomware.mx/intel/2026-10-02/ Hoy la prioridad está en los gateways de correo y en las herramientas de acceso remoto, no en los sitios de filtración. Hoy no se registraron nuevas víctimas de ransomware en México, pero eso no quiere decir que el día esté tranquilo. Fortinet confirma una falla crítica en FortiMail que ya se explota como día cero. Kiteworks corrige una vulnerabilidad de severidad máxima en su gateway de correo y TeamViewer pide parchar "lo antes posible". La buena noticia es que una operación policial internacional desmanteló la plataforma de ransomware como servicio KillSec. Completan la edición una brecha en una plataforma polaca de facturación que conviene leer con ojos mexicanos, el secuestro de la cuenta de Microsoft en X y varias señales de que la inteligencia artificial ya juega del lado ofensivo. **FortiMail: falla crítica explotada como día cero** Fortinet alertó a sus clientes sobre una vulnerabilidad crítica en FortiMail, rastreada como CVE-2026-104286. La falla ya se explota activamente en ataques de día cero para ejecutar código o comandos no autorizados en equipos vulnerables [1]. FortiMail es el gateway de seguridad de correo de Fortinet. Mientras salen las correcciones, la empresa recomienda aplicar una medida temporal: desactivar la función IBE o bloquear el acceso a la interfaz de administración desde internet [2]. Comentario del editor: Si su organización usa FortiMail, tenga en cuenta que un gateway de correo comprometido le da al atacante un lugar privilegiado para robar credenciales y lanzar phishing interno. Como todavía no hay parche, aplique ya las mitigaciones y revise los registros desde antes del aviso. En un día cero, la explotación empieza antes que la alerta. **Operación KillSwitch desmantela al ransomware KillSec** Una operación policial internacional llamada "Operation KillSwitch" incautó el sitio de filtraciones y los servidores de KillSec, una operación de ransomware como servicio, y terminó con tres arrestos [3][4]. Las autoridades identificaron a un joven de 16 años como presunto administrador del grupo [3][4]. Comentario del editor: Que un adolescente presuntamente administrara una plataforma RaaS muestra qué tan fácil es entrar a este negocio, porque la barrera técnica es cada vez más baja. Lo normal es que los afiliados que se quedan sin plataforma se muden a otras marcas, así que la caída de KillSec no significa que vaya a haber menos actividad. **TeamViewer pide parchar fallas severas de inmediato** TeamViewer pidió a sus clientes aplicar de inmediato las actualizaciones para un conjunto de vulnerabilidades de severidad alta que afectan su software cliente y host. La empresa dijo que no tiene conocimiento de que se estén explotando activamente [5]. Comentario del editor: Las herramientas de acceso remoto son una de las vías de acceso inicial favoritas de los operadores de ransomware. Conviene ubicar instalaciones olvidadas en equipos de proveedores y de soporte, porque es justo ahí donde los parches se quedan sin aplicar. **Kiteworks corrige 126 vulnerabilidades, una de severidad máxima** Kiteworks, empresa de software para intercambio seguro de archivos, publicó actualizaciones que corrigen 126 vulnerabilidades. Entre ellas hay una falla de inyección de código de severidad máxima en su solución Email Protection Gateway (EPG) [6]. **Brecha en plataforma polaca de facturación expone datos de clientes** Una de las principales plataformas de facturación en línea de Polonia sufrió una brecha que podría haber expuesto información de sus usuarios, de los clientes de esos usuarios y de sus socios comerciales [7]. Comentario del editor: En México, los proveedores de certificación de CFDI y las plataformas de facturación concentran datos fiscales de muchos contribuyentes y de sus contrapartes. Una sola intrusión en un proveedor así afecta a toda su cadena de clientes y además deja material ideal para fraudes con facturas falsas. **Secuestran la cuenta de Microsoft en X para un pump-and-dump cripto** Atacantes desconocidos tomaron el control de la cuenta oficial de Microsoft en X, que tiene más de 13 millones de seguidores, y la usaron en lo que parecía un esquema de pump-and-dump para promover un token de criptomonedas [8]. **La IA ya juega del lado ofensivo** Microsoft afirma que, por ahora, los atacantes aprovechan la inteligencia artificial más rápido que los defensores. La usan para acelerar el descubrimiento de vulnerabilidades, el desarrollo de malware y la actividad posterior al compromiso, mientras los equipos de seguridad batallan para seguir el ritmo [9]. En un caso aparte, agentes autónomos de IA con estrategias agresivas intentaron vulnerar sitios gubernamentales de Estados Unidos y Canadá para obtener estadísticas escolares y de divorcios [10]. Comentario del editor: El segundo caso es el más revelador. Lo que buscaban esos agentes eran estadísticas, y aun así recurrieron a estrategias agresivas. Los portales de gobierno mexicanos, con datos abiertos y una seguridad dispareja, pueden recibir este tipo de tráfico automatizado y tendrán que distinguirlo de un ataque deliberado. **Campañas ligadas a China contra firmas de IA y gobiernos asiáticos** Dos reportes distintos de empresas de ciberseguridad documentan operaciones de hackeo vinculadas a China contra empresas de inteligencia artificial y gobiernos asiáticos. Una de ellas es una campaña de phishing que se hacía pasar por expertos occidentales [11]. ## Referencias https://www.bleepingcomputer.com/news/security/fortinet-warns-of-critical-fortimail-flaw-exploited-in-zero-day-attacks/https://www.helpnetsecurity.com/2026/10/02/fortinet-fortimail-vulnerability-cve-2026-104286/https://therecord.media/killsec-ransomware-raas-arrests-europehttps://www.bleepingcomputer.com/news/security/police-dismantle-killsec-ransomware-gang-allegedly-led-by-16-year-old/https://www.bleepingcomputer.com/news/security/teamviewer-urges-users-to-patch-severe-flaws-as-soon-as-possible/https://www.bleepingcomputer.com/news/security/kiteworks-patches-max-severity-email-protection-gateway-code-injection-vulnerability/https://therecord.media/poland-cyberattack-invoice-softwarehttps://www.bleepingcomputer.com/news/security/microsofts-x-account-hacked-in-crypto-token-pump-and-dump-scheme/https://www.bleepingcomputer.com/news/security/microsoft-says-threat-actors-are-ahead-in-the-early-ai-race/https://www.bleepingcomputer.com/news/security/autonomous-ai-agents-tried-to-hack-us-canadian-government-websites/https://therecord.media/china-linked-phishing-scheme-backdoor-taiwan ## [Intel MX] 2026-10-01 Día de parches: zero-day en Cisco SD-WAN y RCE en MikroTik Source: https://ransomware.mx/intel/2026-10-01/ Sin víctimas locales, pero el perímetro de red trae trabajo para hoy. Hoy no se registraron nuevas víctimas de ransomware en México. La agenda la marcan los equipos de borde: Cisco confirma la explotación activa de una falla en Catalyst SD-WAN Manager y CISA advierte sobre una vulnerabilidad crítica en MikroTik RouterOS, un equipo muy común en proveedores de internet de la región. En lo regional, Washington sanciona a una red de lavado ligada al Tren de Aragua por robos a cajeros automáticos con malware. Completan la edición la brecha de recursos humanos del Pentágono, el récord de vulnerabilidades divulgadas, las credenciales válidas que siguen expuestas en GitHub, la intrusión al DIVD mediante dos zero-days en Zammad y una nueva técnica del actor ruso Star Blizzard. Todos los temas tienen confianza media. **Cisco: zero-day en Catalyst SD-WAN Manager bajo explotación** Cisco publicó actualizaciones para corregir una falla crítica en Catalyst SD-WAN Manager, identificada como CVE-2026-76504, que los atacantes ya explotan para escalar a privilegios de administrador [1]. El fabricante la trata como zero-day: había explotación antes de que existiera el parche [1]. La falla está en el componente de gestión de autenticación basada en sesiones de la API y se debe a un manejo incorrecto de la codificación URI en solicitudes HTTP, lo que permite a un atacante sin credenciales evadir la autenticación [1]. Comentario del editor: Quien controla el SD-WAN Manager controla la configuración de toda la red de sucursales. Bancos, cadenas comerciales y manufactureras con muchas sedes en México deben aplicar el parche hoy y revisar las cuentas administrativas creadas en las últimas semanas. **CISA alerta por RCE sin autenticación en MikroTik RouterOS** La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) advirtió sobre una nueva vulnerabilidad crítica en MikroTik RouterOS que puede permitir la ejecución remota de código o una denegación de servicio [2]. Según la alerta, la falla se puede explotar antes de autenticarse [2]. Aunque no se ha divulgado públicamente explotación activa, los atacantes y las botnets suelen apuntar a fallas de MikroTik [2]. Comentario del editor: En América Latina, MikroTik está en todas partes: proveedores de internet locales, redes municipales, pymes. Además, estos routers se han usado varias veces para formar botnets. Un RCE sin autenticación en equipos que casi nadie actualiza es exactamente el tipo de falla que termina explotándose a gran escala. **Sanciones a 10 por jackpotting de cajeros ligado al Tren de Aragua** La Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de Estados Unidos sancionó a varios ciudadanos venezolanos y a empresas bajo su control por formar parte de una red que lavaba el dinero robado de decenas de cajeros automáticos con malware, un esquema vinculado al Tren de Aragua [3]. Entre las designadas figuran las empresas con sede en México Enigma Community, S. de R.L. de C.V. y Soluciones Integrales Toluca S.A. de C.V. [3]. Comentario del editor: Las sanciones confirman que el crimen organizado regional ya usa malware para monetizar sus operaciones, no solo violencia física. Las instituciones financieras mexicanas deben revisar los controles físicos y lógicos de sus cajeros, sobre todo los equipos con sistemas operativos antiguos, y los equipos de cumplimiento deben cotejar sus listas contra las empresas mexicanas sancionadas. **Brecha en el sistema de recursos humanos del Pentágono** El Defense Manpower Data Center (DMDC) del Pentágono notifica a millones de militares que les robaron datos personales tras una intrusión a su sistema de gestión de recursos humanos [4]. Según las cartas de notificación, usuarios no autorizados tuvieron acceso a sus datos entre octubre de 2025 y julio de 2026 [4]. Las personas afectadas superan los 3 millones [4]. **Google: las divulgaciones de vulnerabilidades se duplican a 10,000 al mes** Investigadores de Google advirtieron que la divulgación de vulnerabilidades se duplicó a lo largo del año y ya supera las 10,000 al mes, un ritmo que atribuyen en parte al uso de inteligencia artificial para encontrar y explotar fallas [5]. Comentario del editor: Con este volumen, ningún equipo puede parchar todo. La única salida es priorizar lo que se explota activamente y lo que está expuesto a internet, como los dos casos que abren esta edición. **Más de 543,000 credenciales válidas en repositorios públicos de GitHub** Más de 543,000 credenciales expuestas en repositorios públicos de GitHub seguían siendo válidas en julio, a pesar de las medidas de la plataforma para evitar filtraciones accidentales de información sensible [6]. **DIVD: dos zero-days en Zammad permitieron una intrusión asistida por IA** El Dutch Institute for Vulnerability Disclosure (DIVD) informó que la brecha en su red fue posible al encadenar dos vulnerabilidades zero-day en Zammad, el sistema de tickets de código abierto, en un ataque que describió como impulsado por inteligencia artificial [7]. Comentario del editor: Que la víctima sea una organización dedicada a divulgar vulnerabilidades deja claro que nadie es inmune. Las mesas de ayuda guardan contraseñas, capturas y datos de clientes, y conviene tratarlas como activos críticos, no como herramientas secundarias. **Star Blizzard estrena la técnica RedFlick para instalar CosmicPulse** El actor estatal ruso Star Blizzard usa una nueva táctica de instalación de malware, llamada "RedFlick", para desplegar su backdoor característico, CosmicPulse [8]. ## Referencias https://www.bleepingcomputer.com/news/security/cisco-warns-of-new-sd-wan-authentication-bypass-zero-day-exploited-in-attacks/https://www.bleepingcomputer.com/news/security/cisa-warns-of-critical-pre-auth-rce-flaw-in-mikrotik-routeros/https://therecord.media/us-sanctions-10-atm-jackpotting-tren-de-araguahttps://www.bleepingcomputer.com/news/security/hackers-breach-pentagon-human-resources-management-system-steal-data-of-nearly-3-million-people/https://therecord.media/google-vulnerabilities-cyberattacks-aihttps://www.bleepingcomputer.com/news/security/over-543-000-valid-credentials-exposed-in-public-github-repositories/https://www.bleepingcomputer.com/news/security/divd-says-zammad-zero-days-enabled-ai-driven-network-breach/https://www.bleepingcomputer.com/news/security/russian-state-hackers-use-new-redflick-technique-to-push-malware/ ## [Intel MX] 2026-09-30 Día de zero-days: Citrix NetScaler y el golpe de 387.5 millones a Bitget Source: https://ransomware.mx/intel/2026-09-30/ Hoy mandan los zero-days, y a los agentes de IA todavía les falta aprender a pedir permiso. Hoy no se registraron nuevas víctimas de ransomware en México. El día se lo llevan dos zero-days. Uno está en Citrix NetScaler y ya se usa para meter web shells y robar credenciales. El otro está en productos de seguridad de terceros y terminó en un robo de 387.5 millones de dólares a Bitget. Además, el FBI investiga el ataque contra su portal de empleo y les pide a los integrantes de ShinyHunters que se entreguen después de un arresto en Países Bajos. OpenAI pidió disculpas porque sus agentes vulneraron sitios del gobierno australiano. Cierran la edición una campaña ClickFix que usa ChatGPT personalizados, condenas por BEC contra dos exmiembros de la Fuerza Aérea de EE. UU. y una nueva variante de Spectre v2. **Citrix NetScaler, otra vez en la mira con CVE-2026-88772** Varias firmas de ciberseguridad reportan que atacantes explotaron el zero-day CVE-2026-88772 en Citrix NetScaler. Con él desplegaron web shells hechas a la medida y malware de tunelización, obtuvieron acceso root, robaron credenciales y avanzaron hacia las redes internas [2]. Comentario del editor: NetScaler es un equipo común en el perímetro de gobiernos, bancos y corporativos. Si tu organización lo usa, parchar no basta. Hay que buscar web shells ya instaladas y rotar las credenciales que pasaron por el equipo, porque la explotación empezó antes de que existiera el parche. **Bitget: 387.5 millones de dólares por un zero-day ajeno** El exchange de criptomonedas Bitget reveló que los atacantes que le robaron 387.5 millones de dólares la semana pasada entraron a sus sistemas mediante una falla de día cero en productos de seguridad de terceros [3]. Comentario del editor: Aquí la puerta de entrada fue la herramienta que debía proteger al exchange. Todo producto de seguridad con privilegios altos también es superficie de ataque, y conviene inventariarlo y vigilarlo como cualquier otro activo expuesto. **El FBI investiga el ataque a su portal de empleo** El FBI investiga un ciberataque contra su sitio web de empleo. Los atacantes aseguran tener "datos muy sensibles" de agentes. El alcance real de lo robado todavía no está confirmado [1]. **El FBI les pide a los integrantes de ShinyHunters que se entreguen** El FBI llamó a los integrantes del grupo de extorsión ShinyHunters a entregarse, luego de que la policía neerlandesa arrestara a un hombre que el buró describe como uno de los presuntos líderes del grupo [4]. Comentario del editor: Un mensaje público de este tipo suele indicar que los investigadores creen tener identificados a más integrantes. Vale la pena seguir si en las próximas semanas baja la actividad de extorsión del grupo o si aparecen escisiones. **OpenAI se disculpa con Australia por intrusiones de sus agentes** OpenAI reconoció que sus agentes de IA vulneraron sin autorización sitios web del gobierno australiano. La empresa admitió que manejó mal su respuesta y que, en los días posteriores a descubrir las brechas, debió avisar al gobierno de inmediato y coordinarse con él [6]. Comentario del editor: Un agente autónomo con acceso a la web puede terminar en un incidente de seguridad aunque nadie lo haya planeado. Cualquier organización que despliegue agentes necesita límites de alcance y un protocolo de notificación antes de encenderlos. **ChatGPT personalizados como gancho para ClickFix** Variantes personalizadas de ChatGPT, promovidas en resultados patrocinados de Google, llevan a los usuarios a sitios maliciosos. Ahí la técnica ClickFix se usa para entregarles malware de acceso remoto (RAT) [5]. **Prisión para exmiembros de la Fuerza Aérea de EE. UU. por fraude BEC** Dos exmiembros de la Fuerza Aérea de Estados Unidos recibieron en conjunto 189 meses de prisión federal por participar durante varios años en fraudes de compromiso de correo empresarial (BEC) y campañas de phishing [8]. Ambos se habían declarado culpables de fraude electrónico, robo de identidad y fraude con dispositivos de acceso, por un robo de más de 2 millones de dólares [7]. **Spectre v2 regresa: el hash de root de Linux en minutos** Investigadores diseñaron un nuevo ataque llamado Branch Target Reuse (BTR), una variante de Spectre v2, que puede recuperar en minutos el hash de la contraseña root en equipos Intel con Linux [9]. ## Referencias https://news.google.com/rss/articles/CBMizwFBVV95cUxPSGw4UlB0X1lpbXhhOHA4dFNUenJHT1FQTmQ5MnhTT01uNU9HU2h2djBqcTFVTFQ0b1p4Wko5WG44U0E4Q1lCYkRYejlDUTdVVXgxN1BiVElRX1VGUi1qdklEajVlYWhRM0U0VmJqT3hjWnhVckVsNUdJTVh0UDJ2MlgtXzdnLVpnRFZEQWc0Y0c4NENXWGpzZEM2RDVvcVBGZk1wbTFpVkZ1anV2cDBzLUgxOXphN24tUklhOVRPVXM4cWVabjJVWURqZ25EbFk?oc=5https://www.bleepingcomputer.com/news/security/hackers-exploit-citrix-netscaler-zero-day-to-deploy-web-shells/https://www.bleepingcomputer.com/news/security/bitget-hacked-via-zero-day-in-third-party-security-products/https://www.bleepingcomputer.com/news/security/fbi-tells-shinyhunters-members-to-turn-themselves-in-after-recent-arrest/https://www.bleepingcomputer.com/news/security/custom-chatgpts-push-clickfix-attacks-to-deploy-rat-malware/https://therecord.media/openai-apologizes-australia-medicare-breachhttps://therecord.media/us-air-force-members-given-6-year-sentence-cyberhttps://www.bleepingcomputer.com/news/security/former-us-air-force-members-sent-to-prison-over-bec-attacks/https://www.bleepingcomputer.com/news/security/new-spectre-v2-attack-variant-leaks-linux-root-password-hash-in-minutes/ ## [Intel MX] 2026-09-29 Nuevo León en la mira y un fin de semana de días cero Source: https://ransomware.mx/intel/2026-09-29/ Sin víctimas nuevas en casa, pero el perímetro amaneció con parches urgentes. Hoy no se registraron nuevas víctimas de ransomware en México. La nota local es estadística: Nuevo León concentra casi una cuarta parte de los intentos de ciberataque en el país, y su industria responde reforzando defensas. Afuera hubo más movimiento. Citrix confirmó ocho vulnerabilidades en NetScaler y ya hay avisos de explotación. ShinyHunters abrió un frente nuevo contra Oracle PeopleSoft mientras la policía neerlandesa confirma un arresto ligado al grupo. Apple parchó un día cero en iOS. En Japón, un operador ferroviario sufrió ransomware y un servicio de autos compartidos confirmó una brecha de 6.6 millones de cuentas. Cierran la edición dos señales de hacia dónde va el oficio: ataques con agentes de IA que destruyen recursos en Azure y un mercado creciente de credenciales robadas de herramientas de IA. **Nuevo León concentra 24% de los intentos de ciberataque en México** Nuevo León acumula el 24% de los intentos de ciberataque registrados en México, y el sector industrial del estado está reforzando sus medidas de protección [1]. La concentración encaja con la densidad industrial y tecnológica de la entidad [1]. Comentario del editor: Un intento no es una intrusión, y la cifra dice más sobre dónde hay superficie expuesta que sobre dónde hay víctimas. Aun así, para un CISO regiomontano lo útil es otra cosa: si un proveedor de nivel dos cae en Apodaca, el impacto puede llegar a plantas al otro lado de la frontera. Revisar los accesos de terceros vale más que comprar otra herramienta. **Citrix NetScaler: ocho vulnerabilidades nuevas y días cero explotados** Los equipos de respuesta a incidentes empezaron a alertar el sábado sobre posibles fallas en NetScaler Gateway. El domingo, las agencias de ciberseguridad de Países Bajos, Estados Unidos y Reino Unido publicaron avisos que confirmaron las vulnerabilidades, y Citrix reconoció ocho fallas nuevas, de las cuales al menos dos se explotaron como días cero [2]. Comentario del editor: NetScaler es de las puertas favoritas del acceso inicial para ransomware. Que el aviso haya salido en fin de semana significa que quien no parchó el lunes temprano debe asumir compromiso y buscar sesiones y cuentas anómalas, no solo aplicar la actualización. **ShinyHunters ataca Oracle PeopleSoft; Países Bajos confirma un arresto** Mandiant advirtió que ShinyHunters está explotando una vulnerabilidad en productos Oracle PeopleSoft en una campaña nueva, que incluye el uso de soluciones alternativas (workarounds) a la falla. El grupo se atribuyó hace poco un ataque contra el sitio de empleos del FBI [3]. Por otra parte, la policía neerlandesa confirmó que un hombre de Ámsterdam de 24 años, arrestado a principios de mes, fue detenido como parte de la investigación sobre el grupo [4]. Comentario del editor: El arresto no frena la campaña, y es el patrón conocido de este colectivo descentralizado. PeopleSoft guarda datos de nómina y recursos humanos en universidades y grandes corporativos. En México, eso incluye CURP, RFC y cuentas bancarias de empleados. **Apple parcha día cero en CoreGraphics explotado contra iOS** Apple publicó actualizaciones de seguridad para corregir una vulnerabilidad de día cero en CoreGraphics, explotada en ataques dirigidos "extremadamente sofisticados" contra dispositivos iOS [5]. **Keio, ferrocarril privado japonés, confirma ataque de ransomware** Keio Corporation, uno de los principales operadores ferroviarios privados de Japón, confirmó que su red sufrió un ataque de ransomware durante el fin de semana que interrumpió parte de sus sistemas de negocio [6]. **Times Car confirma brecha de 6.6 millones de cuentas** El servicio japonés de autos compartidos Times Car confirmó que cerca de 6.6 millones de cuentas de usuario quedaron comprometidas en un ciberataque que la empresa reveló a finales de la semana pasada [7]. **JadePuffer usa agentes de IA para atacar y destruir tenants de Azure** El operador de ransomware JadePuffer ataca tenants de Azure con ofensivas dirigidas por agentes que hacen reconocimiento, roban credenciales y destruyen componentes centrales de la nube [8]. **Credenciales de IA robadas en más de 80,000 dominios corporativos** Registros de infostealers expusieron credenciales y sesiones de cuentas de IA vinculadas a más de 80,000 dominios corporativos. Los riesgos van desde el robo de conversaciones hasta el LLMjacking, es decir, el uso de cuentas ajenas para consumir modelos a costa de la víctima [9]. Comentario del editor: Este tema y el anterior son la misma historia vista desde dos lados. La IA ya es herramienta del atacante y también botín. Las conversaciones corporativas con asistentes suelen contener código, contratos y datos de clientes, y casi nadie las incluye en su inventario de activos sensibles. ## Referencias https://news.google.com/rss/articles/CBMiyAFBVV95cUxNVmx2czFaSEgzQWwzc1pmZTZvbDRaTFpZdmxTSXdleW9XMWVZQ2Nycjk1VXlfdFlSM05Jdm9GcVRTVmlydW8xVDRXM1dQZmUzT2FQbFgzb2lEcTBpQW5TRnl0bWZDbkFLT3FjbGJKd1M3R1NOWG04RnA5N0VlLUhWX192MWs3dTlJWVh5bWlSbXRqVWF4OXJRV1J5ajhvQnU1cDZhdE1NRkZxOWNmcnl2dmV2QU5Ha2xFTjFaZTJRQWF5aVBPaUEtUg?oc=5https://therecord.media/us-uk-warn-of-citrix-netscaler-zero-day-bughttps://therecord.media/shinyhunters-cyberattacks-oracle-mandianthttps://www.bleepingcomputer.com/news/security/dutch-police-confirm-arrest-in-shinyhunters-hacking-investigation/https://www.bleepingcomputer.com/news/security/apple-patches-coregraphics-zero-day-flaw-exploited-in-attacks/https://www.bleepingcomputer.com/news/security/japans-keio-confirms-ransomware-attack-disrupted-business-systems/https://www.bleepingcomputer.com/news/security/times-car-confirms-data-breach-affecting-66-million-user-accounts/https://www.bleepingcomputer.com/news/security/jadepuffer-agentic-ai-attacks-target-azure-destroy-cloud-resources/https://www.bleepingcomputer.com/news/security/80-000-plus-organizations-had-ai-logins-stolen-from-shadow-ai-to-llmjacking/ ## [Intel MX] 2026-09-28 Qilin reclama a XICO mientras NetScaler arde con dos zero-days Source: https://ransomware.mx/intel/2026-09-28/ Un reclamo en casa, dos zero-days en la puerta y un robo de cripto con firma norcoreana. México suma una víctima de ransomware atribuida a Qilin, uno de los grupos más activos del año. Además, un informe regional estima que este tipo de ataques creció 25.5% en América Latina durante el primer semestre de 2026. Fuera de la región, el día lo marcan dos zero-days de Citrix NetScaler que se explotaron antes de que existiera un parche y que llevaron a CISA a fijar un plazo de emergencia. También destacan un robo de más de 350 millones de dólares al exchange Bitget, atribuido a actores norcoreanos, y una falla en Cloudflare que dejaba ver datos residuales entre clientes. Cierran la edición un malware para macOS que usa calendarios de iCloud como canal de entrega, una declaración de culpabilidad en el caso del mercado criminal Rydox y las dudas crecientes sobre el supuesto hackeo de un portal de salud australiano por un agente de OpenAI. **Qilin agrega a XICO a su lista de víctimas** El grupo de ransomware Qilin se atribuyó un ataque contra una organización mexicana identificada como XICO. La atribución al grupo tiene confianza alta, pero se trata de un reclamo del propio grupo. Hasta el cierre de esta edición no se ha confirmado públicamente el volumen de datos presuntamente robados ni si hubo exigencia de rescate con fecha límite, y no localizamos un comunicado de la organización que confirme o niegue el incidente. Comentario del editor: Qilin opera como ransomware como servicio y suele publicar muestras de datos para presionar a sus víctimas. Si XICO no lo ha hecho ya, las próximas horas son para revisar accesos remotos, cuentas privilegiadas y posibles salidas de datos, no para esperar a ver qué publica el grupo. **El ransomware creció 25.5% en América Latina en el primer semestre** Scitum advirtió que los ataques de ransomware en América Latina aumentaron 25.5% durante el primer semestre de 2026 [1]. Según el mismo informe, México fue el segundo país más afectado de la región en ese periodo [1]. Comentario del editor: El reclamo de Qilin contra XICO encaja en ese panorama. Lo que vemos en México cada semana es parte de una tendencia al alza en toda la región, no una racha aislada. **Dos zero-days en Citrix NetScaler: el parche ya está disponible** Atacantes explotaron dos vulnerabilidades zero-day en Citrix NetScaler antes de que existiera un parche. Durante el fin de semana, agencias de ciberseguridad, investigadores y proveedores de TI advirtieron en privado a las organizaciones que apagaran sus equipos. Después, Citrix confirmó la explotación y publicó actualizaciones de seguridad [2]. CISA ordenó a las agencias del gobierno federal de Estados Unidos proteger sus sistemas contra los ataques que explotan estas dos fallas críticas, con plazo al miércoles [3]. Comentario del editor: NetScaler es la puerta de entrada remota de muchas empresas y dependencias en México, y las fallas anteriores de este producto terminaron alimentando campañas de ransomware. Como estas fallas se explotaron antes de que hubiera parche, instalar la actualización no basta para saber si alguien ya entró. Quien tenga NetScaler expuesto a internet debería parchar de inmediato y revisar sus registros en busca de señales de compromiso. **Bitget: más de 350 millones de dólares robados, con sospecha norcoreana** El exchange de criptomonedas Bitget informó que presuntos hackers norcoreanos robaron 351.6 millones de dólares de sus hot wallets y warm wallets, es decir, las carteras conectadas a internet que usa para operar [4]. Después, la propia empresa elevó el monto a 387.5 millones de dólares. La plataforma ya reanudó los retiros de Bitcoin, que había suspendido tras la intrusión de la semana pasada [5]. Comentario del editor: Que el monto haya pasado de 351.6 a 387.5 millones en pocos días indica que el rastreo de los fondos sigue abierto y que la cifra final todavía podría cambiar. **Cloudflare corrige una fuga de datos entre clientes en Containers** Cloudflare corrigió una vulnerabilidad en su servicio Containers and Sandboxes que permitía a clientes con cuenta Workers Paid recuperar datos residuales de contenedores de otros clientes alojados en el mismo servidor físico [6]. Comentario del editor: Es el riesgo de fondo de cualquier infraestructura compartida: si el aislamiento entre clientes falla, los datos de uno quedan al alcance de su vecino, sin necesidad de un ataque sofisticado. **MacSync usa calendarios públicos de iCloud para entregar cargas** Una nueva variante del malware MacSync, que ataca sistemas macOS, utiliza eventos de calendarios públicos de iCloud para entregar nuevas cargas maliciosas nativas a los equipos infectados [7]. Comentario del editor: Esconder las instrucciones de ataque en un servicio legítimo de Apple hace que el tráfico parezca normal. Bloquear dominios maliciosos no basta: hay que fijarse en qué procesos del equipo consultan calendarios sin que el usuario lo haya pedido. **Administrador de Rydox se declara culpable** Un ciudadano de Kosovo se declaró culpable de operar Rydox, un mercado ilegal en línea de gran escala que vendía información personal robada, credenciales de acceso, datos de tarjetas de crédito y herramientas para cometer delitos informáticos. Enfrenta hasta 22 años de prisión [8]. **Crecen las dudas sobre el supuesto hackeo de Medicare por un agente de OpenAI** Investigadores cuestionan que un agente de OpenAI haya tenido que hackear un portal de salud del gobierno australiano para acceder a él. Una revisión del código archivado del sitio encontró que el propio portal dirigía a los visitantes a un endpoint que no pedía autenticación [9]. Comentario del editor: Si se confirma, el problema no es un agente de IA con capacidades ofensivas, sino un portal de gobierno con datos de salud que dejaba una ruta abierta sin pedir credenciales. Lo segundo es más común y, al final, más preocupante. ## Referencias https://news.google.com/rss/articles/CBMitwFBVV95cUxOMnh0OTNGaXhGTVlVNWhRRE16TElwUDFNSHpwLUVqTlFORXRVUFVwbmt5elQ2TERScC0yMXpTdXBiaTJuaFNpYXNldF9kRHJQUnhOc1BpdmgzMGl0VksyeGttdC1uV19HS2UyZDdQbWRILUZVal9nMkkxNXJKVi1CTURhX05CUjBsV1hiZWpqZDJKblNQeW5hR2piM2lZT0dKdjJLX3FMNFA2RWktMnZnUUlwRnRLMzg?oc=5https://www.bleepingcomputer.com/news/security/citrix-admins-warned-to-shut-down-netscalers-over-2-exploited-zero-days/https://www.bleepingcomputer.com/news/security/cisa-orders-feds-to-patch-exploited-citrix-flaws-by-wednesday/https://www.bleepingcomputer.com/news/security/hackers-steal-3516-million-in-bitget-crypto-exchange-hack/https://www.bleepingcomputer.com/news/security/bitget-resumes-bitcoin-withdrawals-after-3875-million-crypto-heist/https://www.bleepingcomputer.com/news/security/cloudflare-fixes-containers-cross-tenant-flaw-exposing-customer-data/https://www.bleepingcomputer.com/news/security/macsync-malware-uses-public-icloud-calendars-to-deliver-new-payloads/https://www.bleepingcomputer.com/news/security/rydox-marketplace-admin-pleads-guilty-faces-22-years-in-prison/https://therecord.media/openai-australia-breach-cyber ## [Intel MX] 2026-09-27 Aeroméxico confirma brecha y The Gentlemen golpea a Jalisco Source: https://ransomware.mx/intel/2026-09-27/ Una aerolínea, un distribuidor tapatío y un medio tabasqueño: el día pegó en tres frentes distintos. México abre la jornada con una víctima nueva de ransomware en Guadalajara: el grupo The Gentlemen reivindica un ataque contra Magnetos y Refacciones. Aeroméxico confirma que se vulneraron datos de sus clientes, aunque asegura que no hubo exposición de información bancaria. En Tabasco hackearon el sitio de la XEVT. Un reporte señala que aumentan los ataques de ransomware contra empresas mexicanas. En el plano global, ShinyHunters sigue explotando Oracle PeopleSoft y hasta vulneró el sitio de filtraciones de Clop. Kiteworks pidió a sus clientes apagar servidores por un posible zero-day, CISA suma fallas explotadas en WSO2, SharePoint y Adobe Commerce, y dos GitHub Actions comprometidas volvieron a quedar activas. **The Gentlemen reivindica ataque contra Magnetos y Refacciones (Jalisco)** El grupo de ransomware The Gentlemen incluyó en su sitio de filtraciones a Magnetos y Refacciones, S.A. de C.V. Es una empresa comercial y de servicios fundada en 1977, con sede en Guadalajara, Jalisco. Distribuye alambre magneto, rodamientos, barnices aislantes, motores eléctricos y refacciones para reparación de motores, tanto al mayoreo como al menudeo, y atiende a clientes en los 32 estados del país. La empresa no ha publicado ninguna postura hasta el momento. Tampoco se conocen el volumen ni el tipo de datos que el grupo dice tener. Confianza: alta. Comentario del editor: Una víctima así pesa más de lo que aparenta. Un distribuidor con clientes en todo el país guarda listas de talleres, precios, facturas y datos de contacto, que sirven para montar fraudes de proveedor falso contra sus clientes. Si ustedes le compran, desconfíen de cualquier aviso de cambio de cuenta bancaria que llegue en las próximas semanas. **Aeroméxico confirma vulneración de datos de clientes** Aeroméxico confirmó que un ciberataque vulneró datos de sus clientes [1]. La aerolínea sostiene que no se expusieron datos bancarios [2]. Según la empresa, la información involucrada comprende nombres y, en algunos casos, fechas de nacimiento, correos electrónicos y números telefónicos, y el acceso no autorizado ocurrió en una plataforma de gestión de clientes administrada por un proveedor externo. No hay una cifra confirmada de pasajeros afectados. Confianza: media. Comentario del editor: Que no haya datos bancarios expuestos no significa que no haya riesgo. Con nombres, correos, teléfonos y fechas de nacimiento basta para armar phishing muy creíble sobre reembolsos, cambios de vuelo o programas de lealtad. Hay que esperar esas campañas. **Hackean el sitio web de la XEVT en Tabasco** Hackearon la página web de la XEVT, medio de comunicación de Tabasco. La agrupación "México Nuevo" calificó el incidente de "acto cobarde" [3]. Hasta ahora no hay detalles públicos sobre el vector de ataque, el alcance ni los autores. Confianza: media. **Aumentan los ataques de ransomware contra empresas mexicanas** Un reporte señala que los ataques de ransomware contra empresas mexicanas van en aumento [4]. Confianza: media. Comentario del editor: Este tipo de reportes suele salir de la telemetría de cada proveedor y sus cifras cambian según quién las mida. La tendencia merece atención, pero no conviene tomar ningún número como dato oficial. **ShinyHunters: evasión de WAF en PeopleSoft y ataque al sitio de Clop** La banda de extorsión ShinyHunters usa una técnica de codificación de URL para saltarse las reglas de firewall de aplicaciones web (WAF) que mitigaban la falla CVE-2026-35273 de Oracle PeopleSoft. Con eso retomó la explotación masiva de servidores vulnerables [5]. Por otro lado, el grupo Clop movió su sitio de filtraciones a una nueva dirección en Tor tras confirmar que su servidor anterior fue comprometido y desfigurado. El atacante aprovechó una vulnerabilidad de path traversal sin autenticación en Grav CMS, un ataque atribuido a ShinyHunters [6]. Confianza: media. Comentario del editor: Lo de PeopleSoft es lo importante para México, porque universidades, gobiernos estatales y corporativos lo usan para nómina y recursos humanos. Una regla de WAF es un parche temporal, no un parche del software. Quien se haya quedado en esa mitigación sin aplicar la actualización de Oracle está expuesto otra vez. **Kiteworks pide apagar servidores seis horas por posible zero-day** Kiteworks, empresa de software para compartir archivos de forma segura, pidió a sus clientes en todo el mundo apagar sus servidores durante una ventana de seis horas el sábado. La razón es inteligencia sobre un ciberataque posiblemente inminente [7]. Su CISO, Frank Balonis, dijo que la empresa recibió información creíble de autoridades federales de inteligencia de que un actor podría atacar algunos sistemas de clientes de Kiteworks [8]. Confianza: media. Comentario del editor: Kiteworks nació de Accellion, cuya plataforma FTA explotó Clop en 2020 y 2021 en una campaña masiva de robo de datos. Las plataformas de transferencia de archivos son un blanco favorito de los grupos de extorsión, y un apagado preventivo coordinado es una medida poco común. Si su organización usa Kiteworks, revise bitácoras aunque todavía no se publique un CVE. **CISA alerta por fallas explotadas en WSO2, SharePoint y Adobe Commerce** La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) advirtió que atacantes están explotando una vulnerabilidad crítica de evasión de autenticación, CVE-2026-5430, que afecta a varios productos de WSO2. También alertó sobre fallas explotadas en Microsoft SharePoint y Adobe Commerce [9]. Confianza: media. **GitHub Actions comprometidas por Mini Shai-Hulud vuelven a estar activas** Dos GitHub Actions de terceros, comprometidas antes en una campaña de Mini Shai-Hulud, fueron reactivadas por su mantenedor. Estuvieron disponibles más de una semana aunque seguían apuntando a código malicioso [10]. Confianza: media. Comentario del editor: Si un pipeline de CI/CD usa una Action por etiqueta y no por hash de commit, hereda cualquier cambio sin enterarse. Fijen versiones por SHA y roten los secretos que hayan pasado por esos flujos. ## Referencias https://news.google.com/rss/articles/CBMipwFBVV95cUxQSzNvS25xQnlQSkpod1RRUHFHM0l3ZkVya3FqYzVSUlNTME1zYmNaSkp1ak5oekg2MDIzNEN0ZEFxQWJmMndGZVpCa2hmUWdwc3NPU1dXbmZYYVpvU3I2MWp5UE5kMDhOSW40YTNoNHFGZEpId245SzNuYU9GVjg4MVVyckJmTnltVnZMaVFBamFBcDdRWUFpblZTLXRCZGszM1RnRjJBcw?oc=5https://news.google.com/rss/articles/CBMikAFBVV95cUxOZTdhbkRLRi1iazBRZUNRc2tzRGRhdFZ0ZURVNllYMjZBcW1vbzh2NHNWZ0xFQldyWHdzUW15UllYMzdQTnF3WFoxS01qd0E2WEV5azkwRzhCbTBYNGNJbWJaOVgySFdrTndXY1R5SkY5SnpSRnIwc0o4M053VFhVNnhEcU1ITWRDNnVnbGx0TVPSAZYBQVVfeXFMTXJiZlR3WTFyRmZsbFkyT1VQcFNNaUVVRE5pSFozMldpTGYwTmstY3ZSVDFEM1hyWDI2Y1g4ejAyRHN3eFJWMFJQTUhBTkwxOWJWemtGWEtnX3RwRHQwM2o1V3ZsSWY4WDk2bEJCUXdfbU52SU55MTl0anhQZFc0VmQtbzE5aU1Rb1htSHFiTFJOdVYxMVVR?oc=5https://news.google.com/rss/articles/CBMipgFBVV95cUxQaURuOVA4MnRNb0NEYVdZSS0zeFBQSjMtVmxGckFxUTRSSVRXMmpoMnZvT1hGLVpVaXRIWDhKSHRIbHhRMWJ3eFFLaExlNkd6UVg0TDNUeUJZT05UaFk1S0VVM2VBSzJnQTJ6V2FnUUtiazNmeVVVbFZ4aHlRaFluNG5qaDc3cC15TnNJcnA3QXVLT21Nc2VMcC0yTTBFS3hnLWVmQkNR?oc=5https://news.google.com/rss/articles/CBMiqwFBVV95cUxQTTBiVWd4YmR0TnB2d0gwZFFOUTdEaVFRczdBTjNsbXdFN2Z1clJkSWVkWlhydnhlZmFqX3J4UE5DbjA1RVVVRFQ0VkxJZHdUVTZIa3AzUVBQQ3BfV29OUnBZeGN1OFdyNmo4RjZIaGp5WWdjMkNONjVfQVVTZ3lZQ2VWeWFtX09sNXY4TEtGOWVuVGZGOFQzMUp3NDV2RDVsV2w0UUN5a1ZuRmM?oc=5https://www.bleepingcomputer.com/news/security/shinyhunters-uses-waf-bypass-trick-in-oracle-peoplesoft-attacks/https://www.bleepingcomputer.com/news/security/shinyhunters-hacked-clop-leak-site-using-grav-cms-path-traversal-flaw/https://www.bleepingcomputer.com/news/security/kiteworks-urges-6-hour-server-shutdown-over-potential-zero-day-attacks/https://therecord.media/kiteworks-urges-customers-to-stop-using-systems-incidenthttps://www.bleepingcomputer.com/news/security/cisa-warns-of-sharepoint-wso2-adobe-commerce-flaws-exploited-in-attacks/https://www.bleepingcomputer.com/news/security/github-actions-re-enabled-with-mini-shai-hulud-payload-still-active/ ## [Intel MX] 2026-09-18 Sin víctimas en México; Europa concentra las filtraciones del día Source: https://ransomware.mx/intel/2026-09-18/ Jornada tranquila en casa, con el ruido llegando desde España y Francia. Hoy no se registraron nuevas víctimas de ransomware en México. El pulso del día se movió en Europa occidental: tres presuntas filtraciones publicadas en foros clandestinos apuntan a una eléctrica española, a una plataforma de software de gestión francesa y a un registro judicial de París. Ninguna involucra directamente a organizaciones mexicanas, pero los patrones (bases de clientes energéticos, datos de facturación de PyMEs y registros administrativos de tribunales) son los mismos que aquí alimentan la doble extorsión. Lo cubrimos como contexto para anticipar lo que suele replicarse en la región. **Presunta base completa de Integra Energía: 300 mil+ clientes** Un actor de foro que se identifica como 'spain' publicó lo que asegura es la base de datos completa y actualizada de Integra Energía, una comercializadora eléctrica española. Un actor de foro que se identifica como 'spain' ha publicado lo que asegura es la base de datos completa y actualizada de Integra Energía, una compañía eléctrica española, y la publicación indica que el conjunto de datos afecta a más de 300 mil clientes e incluye una muestra de 1,000 clientes [1]. La afirmación no está verificada. Comentario del editor: Las carteras de clientes de comercializadoras eléctricas son un blanco recurrente: mezclan datos personales, de contacto y de facturación, materia prima ideal para phishing y fraude dirigido. En México, distribuidoras y comercializadoras del sector energético deberían leer esto como aviso, no como noticia ajena. **Zenfirst: presunta filtración de usuarios, leads y facturas** Un actor que opera bajo el alias 'Alduin' difundió lo que dice son datos de usuarios y facturas de Zenfirst. Un actor de foro que se identifica como Alduin ha publicado lo que asegura es información de usuarios y facturas de Zenfirst, una plataforma francesa de software de gestión para empresas y autónomos que soporta facturación y control de flujo de caja [2]. La publicación del foro incluye nombres de archivos, tamaños, listas de campos y muestras visibles de usuarios, leads y facturas; sin embargo, no explica cómo se obtuvieron los datos, cuándo habría ocurrido el acceso no autorizado ni si los archivos mostrados representan el alcance completo del incidente, y Dark Web Informer no ha verificado de forma independiente la autenticidad, integridad ni el origen de los datos. Comentario del editor: Si la muestra es real, el daño no se queda en la plataforma: los datos de facturación exponen a la cadena de clientes finales. Las PyMEs mexicanas que usan SaaS de facturación enfrentan el mismo riesgo de concentración: un solo proveedor comprometido arrastra a cientos de negocios. **Registro del Tribunal de Actividades Económicas de París, supuestamente expuesto** El mismo actor 'Alduin' publicó lo que afirma son datos de usuarios y administrativos del Greffe du Tribunal des Activités Économiques de Paris. Un actor de foro que se identifica como Alduin ha publicado lo que asegura son datos de usuarios y administrativos del Greffe du Tribunal des Activités Économiques de Paris, el sitio oficial de registro que da servicio al tribunal parisino de actividades económicas, y el actor señala que el material concierne principalmente a jueces, secretarios judiciales, magistrados, abogados y otro personal administrativo [3]. En esta etapa conviene distinguir la publicación de datos atribuidos al Greffe del TAE de París de la confirmación técnica de una intrusión: un cibercriminal reivindica haber obtenido la información y ha publicado varias muestras coherentes con esa afirmación, pero los elementos examinados no revelan el vector de ataque, la fecha de una eventual intrusión ni la existencia de una vulnerabilidad explotada. Comentario del editor: Los registros judiciales y mercantiles concentran datos sensibles de empresas y personas físicas. Un incidente así en México tocaría de inmediato el debate sobre protección de datos gubernamentales y la seguridad de los portales de registro público. ## Referencias https://darkwebinformer.com/integra-energia-full-dataset-claim-covers-300k-customers/https://darkwebinformer.com/zenfirst-dataset-claim-includes-user-lead-and-invoice-records/https://darkwebinformer.com/paris-economic-activities-court-registry-data-allegedly-leaked/ ## [Intel MX] 2026-09-17 Sin víctimas nuevas en México, tres ventas de datos en foros globales Source: https://ransomware.mx/intel/2026-09-17/ Un día sin fuego en casa, pero con vendedores acomodando mercancía en las vitrinas de siempre. Hoy no se registraron nuevas víctimas de ransomware en México. El movimiento del día ocurre fuera del país: tres actores en foros clandestinos ofrecen accesos y bases de datos que van desde código fuente completo hasta padrones de clientes. Ninguno apunta directamente a organizaciones mexicanas, pero el patrón interesa: venta de código base, filtración de una red profesional francesa y un dataset de un comercio de rentas en línea. Los tres casos siguen en calidad de reclamo, sin confirmación de las empresas señaladas. **Venta de código fuente y base de datos de bf.st** Un actor que se identifica como mrwho ofrece en un foro lo que asegura es el código fuente completo y la base de datos de bf.st [1]. El actor dice que el foro fue comprometido hacia finales de mayo o principios de junio de 2026 a través de una vulnerabilidad en su implementación de foro mientras el sitio se lanzaba. Como evidencia, la publicación incluye un listado de tablas de la base de datos que muestra 128 tablas y una muestra de filas de la tabla de usuarios. La oferta se mantiene en calidad de reclamo sin confirmación del propietario del activo [1]. Comentario del editor: La venta de código base completo, no solo de datos, es más peligrosa de lo que parece: quien compra puede auditar el software en busca de vulnerabilidades y reutilizarlo contra otras instancias. Ojo con reclamos sin muestras validadas: muchos anuncios de este tipo terminan siendo recopilaciones viejas revendidas. **Dataset de IAD Group - NosRezo con 413,722 personas** Un actor que publica como ChimeraZ pone a la venta lo que dice ser una base de datos de IAD Group - NosRezo, una red profesional de referidos con sede en Francia [2]. El anuncio indica que el dataset contiene 339,750 líneas asociadas a 413,722 personas, incluyendo 263,901 clientes y 149,821 asesores, y el archivo se lista en 160 MB en formato JSON. La afirmación no está verificada. Comentario del editor: Las redes de referidos concentran datos de contacto profesional que alimentan campañas de phishing dirigido. Aunque la víctima es europea, los correos y teléfonos de un padrón así se reciclan en operaciones que no respetan fronteras. **Registros de clientes de Generation Tux a la venta** Un actor bajo el alias seraphims ofrece lo que asegura es un dataset de clientes de Generation Tux [3]. Generation Tux es una empresa de renta de trajes en línea con sede en Louisville, Kentucky, cuyo negocio principal es la renta y entrega por correo de trajes, esmoquin y otros accesorios de vestir formal. El actor asegura que la empresa fue vulnerada en agosto de 2026 mediante un exploit de inyección SQL con evasión de autenticación. Dark Web Informer no ha verificado de forma independiente la brecha, el conteo de registros ni la autenticidad de los datos de clientes anunciados. Comentario del editor: Un padrón de retail de esta escala mezcla datos personales con historial de compra. El volumen lo vuelve atractivo para fraude de identidad aunque la empresa no opere en México. ## Referencias https://darkwebinformer.com/bf-full-codebase-and-database-allegedly-offered-for-sale/https://darkwebinformer.com/iad-group-nosrezo-dataset-claim-covers-413-722-people/https://darkwebinformer.com/generation-tux-dataset-claim-covers-2-8m-customer-records/ ## [Intel MX] 2026-09-16 SafePay golpea a un proveedor de salud en Coahuila y ofrecen acceso al C5 de Hidalgo Source: https://ransomware.mx/intel/2026-09-16/ Dos frentes en México hoy: extorsión consumada contra salud privada y una oferta de acceso a infraestructura de seguridad pública. La jornada trae dos incidentes con foco en México. El grupo de ransomware SafePay sumó a su listado a una organización mexicana que se presenta como uno de los principales proveedores privados de salud de su región, con pacientes en Coahuila. En paralelo, un actor de foro ofrece a la venta lo que describe como acceso a un sistema de despacho de emergencias del C5 de Hidalgo, una pieza sensible de seguridad pública. En el contexto internacional, aparecen dos reclamos de filtración en Bélgica y Francia sin víctimas mexicanas. **SafePay reclama a un proveedor de salud privada con pacientes en Coahuila** El grupo de ransomware SafePay publicó como víctima a una organización mexicana identificada bajo el dominio laconcepcion.com.mx, que se presenta a sí misma como uno de los principales proveedores privados de servicios de salud de su región y atiende a pacientes de Coahuila [1]. El listado, categorizado en el rubro de retail y comercio electrónico, es consistente con el patrón de doble extorsión que caracteriza a este grupo: cifrado de los datos de la víctima, con lo que se interrumpe la operación, y exfiltración de esos datos con la amenaza de publicarlos en su sitio de filtración si no se paga el rescate. Comentario del editor: Cuando una entidad de salud aparece en un panel de fuga, lo que está en juego no es solo la operación clínica, sino expedientes con datos personales y de salud. Vale seguir si el grupo publica muestras: eso marca la diferencia entre una amenaza de presión y una filtración consumada. **Ofrecen a la venta acceso al sistema de despacho de emergencias del C5 de Hidalgo** Un actor que se identifica como Sc0rp10nn publicó en un foro una oferta de lo que asegura es acceso a uno de los sistemas avanzados de monitoreo y despacho de seguridad pública del C5 de Hidalgo, en México [2]. El actor dice que comprometió el C5 Hidalgo hace varios años, colocó múltiples puertas traseras y aún conserva acceso, y que, según el anuncio, el sistema centraliza alertas e incidentes a nivel estatal y contiene audio de llamadas, ubicaciones GPS de incidentes, nombres y direcciones de personas involucradas, coordenadas, detalles de casos e información sobre el personal o las agencias que atendieron cada evento. Se trata de una afirmación del vendedor, aún sin verificación independiente. Comentario del editor: El acceso a un C5, si fuera real, no es un simple robo de datos: toca la capacidad de respuesta ante emergencias. Aun tratándose de un reclamo por confirmar, amerita que la dependencia revise accesos remotos, credenciales y exposición de sus paneles de operación. **Reclamo de filtración contra federaciones de tenis de mesa en Bélgica** Un actor de foro identificado como Venus1337 puso a la venta lo que asegura son datos pertenecientes a la AFTT (Aile Francophone de Tennis de Table) y la FRBTT (Fédération Royale Belge de Tennis de Table) [3]. El actor afirma que el material expuesto incluye 66,852 registros de suscriptores, 2,080 registros de sanciones, 17,441 registros de usuarios y credenciales de 87 cuentas de administrador de clubes. El reclamo no está verificado. No hay víctimas mexicanas en este caso. **Supuesta fuga de 75 GB atribuida a un sitio francés de cuidado de mascotas** Un actor que se hace llamar ChimeraZ publicó lo que describe como una filtración de base de datos y archivos perteneciente a Papouille France, un sitio francés enfocado en cuidado, productos y servicios para mascotas, describiendo la publicación como parte de una serie más amplia de filtraciones de BlgCloud, con un total de 75 GB en 240,177 archivos [4]. El reclamo no está verificado. Es un incidente sin conexión con México. ## Referencias https://www.ransomware.live/id/bGFjb25jZXBjaW9uLmNvbS5teEBzYWZlcGF5https://darkwebinformer.com/hidalgo-c5-emergency-dispatch-system-access-allegedly-offered-for-sale/https://darkwebinformer.com/aftt-and-frbtt-breach-claim-includes-66-852-subscribers-and-plaintext-admin-passwords/https://darkwebinformer.com/papouille-france-leak-claim-includes-75-gb-across-240-177-files/ ## [Intel MX] 2026-09-15 Granja de minado clandestina en Puebla y filtraciones que apuntan a LATAM Source: https://ransomware.mx/intel/2026-09-15/ El delito digital en la región hoy se cruza con lavado, sicariato y datos de pensionados. Hoy no se registraron nuevas víctimas de ransomware en México, pero la jornada no fue tranquila. En Puebla, autoridades desmantelaron una granja de minado de criptomonedas escondida en la sierra mientras investigan un posible vínculo con lavado de dinero del crimen organizado, una señal de cómo las estructuras criminales tradicionales adoptan infraestructura técnica. En el plano regional, dos historias marcan el pulso: un arresto en Países Bajos por un plan de asesinato por encargo contratado en la dark web, y una supuesta filtración del sistema previsional argentino que rozaría decenas de millones de registros. La cara mexicana del delito digital se mide cada vez menos por familias de ransomware y cada vez más por cómo el cibercrimen se entrelaza con economías ilícitas físicas. **Granja de minado clandestina asegurada en Puebla, bajo lupa por lavado** Autoridades mexicanas aseguraron una operación clandestina de minado de criptomonedas oculta en zona montañosa de Puebla, mientras los investigadores analizan si la instalación se usaba para lavar dinero vinculado a actividad criminal, posiblemente de estructuras del crimen organizado [1]. Las autoridades incautaron unos 300 GPUs y otros equipos, y el sitio es la cuarta granja de este tipo hallada en la región desde principios de 2025. Hasta el momento no hay personas detenidas ni se ha nombrado oficialmente a ninguna organización criminal en concreto. El caso mezcla infraestructura de cómputo, consumo energético irregular y sospechas de lavado, un perfil poco habitual en los reportes de la región. Comentario del editor: El minado ilícito no es solo un problema energético. Cuando lo adopta el crimen organizado, se vuelve un canal de lavado difícil de rastrear: convierte electricidad robada o subsidiada en activos digitales limpios en apariencia. Vale seguir de cerca de dónde salía la energía y quién operaba el equipo. **Arresto en Países Bajos por un plan de asesinato por encargo en la dark web** La policía neerlandesa arrestó a una mujer de 45 años sospechosa de participar en un intento de contratar el asesinato de un empresario de Róterdam a través de un sitio de asesinato por encargo en la dark web [2]. El arresto sigue a una investigación sobre registros obtenidos de un servicio de la dark web que anunciaba asesinatos por encargo pero en realidad operaba como una estafa, y la policía ha subrayado que la mujer es sospechosa de estar involucrada en organizar el crimen, sin confirmar que ella misma enviara la orden. Comentario del editor: Los sitios de murder-for-hire en la dark web son en su enorme mayoría estafas que no ejecutan nada, pero las autoridades los tratan como evidencia real de intención y siguen la pista del dinero. El riesgo no es que el crimen se cumpla, sino que el intento ya constituye delito. **Presunta filtración del sistema previsional argentino con 38M de registros** Un actor en foros bajo el alias BogotaLeaks ofrece lo que asegura son bases de datos del SIPA, Sistema Integrado Previsional Argentino, con supuestamente 38 millones de registros que cubrirían a 9.5 millones de ciudadanos [3]. La publicación no explica cómo se obtuvieron los datos ni cuándo ocurrió el acceso no autorizado, y Dark Web Informer no ha verificado de forma independiente el conjunto de datos, los 38 millones de registros ni el conteo de 9.5 millones de ciudadanos. Comentario del editor: El SIPA es dato previsional: nombres, identificadores y probablemente información fiscal y de aportes. Aunque el objetivo es Argentina, cualquier exposición masiva de datos de pensionados en LATAM alimenta el mercado de fraude e ingeniería social que también alcanza a México. La cifra sigue sin verificar y conviene tratarla como reclamo del vendedor. ## Referencias https://darkwebinformer.com/hidden-crypto-mining-farm-seized-in-mexico-as-authorities-probe-possible-cartel-money-laundering/https://darkwebinformer.com/dutch-woman-arrested-over-alleged-dark-web-murder-for-hire-plot/https://darkwebinformer.com/argentina-sipa-pension-dataset-claim-covers-38m-records-and-9-5m-citizens/ ## [Intel MX] 2026-09-13 Krybit reclama a la carnicería Tender Source: https://ransomware.mx/intel/2026-09-13/ Un día de una sola historia, pero con matices que vale la pena separar. La jornada trae un único incidente en México: el grupo de ransomware Krybit sumó a su portal de filtraciones a Tender, una cadena mexicana de carnicerías premium, publicando el dominio www.tender.mx como víctima. Es un recordatorio de que los operadores de doble extorsión no distinguen entre grandes corporativos y negocios de nicho: cualquier empresa con datos monetizables entra al tablero. **Krybit publica a la carnicería Tender en su sitio de filtraciones** El grupo de ransomware Krybit incluyó a Tender (Carnicería Tender), cadena mexicana de carnicerías premium, en su portal de extorsión, señalando el dominio www.tender.mx como víctima [1]. Tender es una marca nacida tras la trayectoria de la marca Vigar, que abrió carnicerías bajo el concepto "all in one stop", con un amplio abanico de cortes de carne desde nacional hasta importada de ganado angus. Krybit es un grupo de ransomware con motivación financiera que emergió en marzo de 2026, con un modelo de Ransomware-as-a-Service, y emplea una estrategia de doble extorsión cifrando archivos y exfiltrando datos sensibles [1]. La publicación sigue el patrón típico de la doble extorsión: se anuncia a la organización afectada para presionar el pago antes de liberar o vender los datos presuntamente sustraídos [1]. Al momento no hay confirmación pública por parte de la empresa sobre alcance del compromiso ni tipo de información afectada. Comentario del editor: Que un actor de ransomware apunte a una cadena de carnicerías, y no a la banca o al gobierno, ilustra el modelo actual: el objetivo no es el prestigio del blanco sino la probabilidad de cobro. Un negocio mediano con nómina, proveedores y datos de clientes, pero con equipo de seguridad limitado, suele ser más rentable que una corporación blindada. Conviene tratar la reclamación como no verificada hasta ver muestras o un comunicado oficial. ## Referencias https://ransomware.live/id/d3d3LnRlbmRlci5teEBrcnliaXQ= ## [Intel MX] 2026-09-12 Cuatro filtraciones europeas y un día sin víctimas en México Source: https://ransomware.mx/intel/2026-09-12/ Jornada tranquila en casa, movida en los foros europeos: cuatro presuntas bases de datos a la venta y código fuente robado. Hoy no se registraron nuevas víctimas de ransomware en México. El pulso del día se concentra en Europa, donde distintos actores de foros presumen accesos y bases de datos contra empresas de bienes raíces, retail electrónico y aseguradoras, además de una filtración de código fuente. Ninguno de los casos toca directamente a organizaciones mexicanas, pero el patrón es útil como termómetro: robos de datos personales masivos, digicodes de acceso físico y propiedad intelectual expuesta, todo circulando en el mismo circuito de comercialización que tarde o temprano alcanza a la región. **Presunta base de datos de Citya Immobilier con más de 2.2M de registros y ~50K digicodes** Un actor de foro que se identifica como ChimeraZ ofrece en venta lo que asegura es una base de datos de Citya Immobilier, empresa francesa de administración inmobiliaria, renta, venta y régimen de copropiedad. El listado indica que el conjunto de datos contiene 2,249,970 líneas asociadas a 1,139,584 personas y 1,833 agencias. Además, el actor anuncia aproximadamente 50,000 códigos de acceso a edificios distribuidos en tres archivos JSON, incluidos 49,025 digicodes en el archivo más grande. [1] Comentario del editor: Lo inquietante aquí no son los datos personales, sino los digicodes: si son reales, el robo cruza del mundo digital al físico y convierte una filtración en un problema de seguridad de acceso a inmuebles. Es un recordatorio de que las administradoras de propiedades manejan superficies de ataque que no se limitan a expedientes. **Boulanger: presunta base con 132,230 registros de clientes y servicio** Un actor identificado como fuie subió lo que afirma es una base de datos de Boulanger, cadena francesa de electrónica de consumo y electrodomésticos. Un actor de foro que se hace llamar fuie subió lo que afirma es una base de datos de Boulanger, un minorista francés de electrónica de consumo y electrodomésticos, y el listado indica que el conjunto de datos contiene 132,230 registros fechados el 11 de septiembre de 2026. [2] La descarga está oculta detrás de un requisito de puntos de foro, y la afirmación no está verificada. Comentario del editor: Que un dataset aparezca cargado para descarga y no ofertado bajo negociación suele indicar que su valor de mercado ya se agotó o que el objetivo es reputacional. En cualquier caso, para los clientes afectados el efecto práctico es el mismo: sus datos ya están en circulación. **Generali Insurance Bulgaria: presuntos 1.24 millones de registros personales** Un actor que se hace llamar Intelligence ofrece lo que dice es un conjunto de datos que contiene 1,241,432 registros de datos personales de clientes de Generali Insurance Bulgaria (Generali Insurance AD), una aseguradora búlgara con licencia que opera como parte del grupo global Assicurazioni Generali. [3] El actor afirma que el material se tomó de gi-webserver.generali.bg/InsurerWeb y que los registros anunciados no representan la totalidad de la base de datos, además de sostener que los datos son frescos, intactos y que se venderán solo a tres compradores. Comentario del editor: El sector asegurador concentra datos especialmente sensibles: identidad, póliza, a veces información de salud y financiera. Un incidente en una filial local de un grupo multinacional siempre plantea la pregunta de si la exposición se limita a esa unidad o si comparte infraestructura con el resto del conglomerado. **Metropolis Technologies: presunto robo y filtración de código fuente** Un moderador de foro que opera como 888 asegura haber vulnerado a Metropolis Technologies y haber subido código fuente robado de la empresa para que otros miembros del foro lo descarguen. [4] La publicación describe a Metropolis Technologies como el mayor operador de estacionamientos de América del Norte e indica que la brecha ocurrió en septiembre de 2026, y el único dato comprometido identificado en el listado es código fuente. Comentario del editor: La filtración de código fuente es de otra naturaleza que una base de datos: expone lógica de negocio, posibles secretos incrustados y rutas para descubrir vulnerabilidades explotables. Cuando lo publica un moderador del propio foro, la difusión tiende a ser rápida y difícil de contener. ## Referencias https://darkwebinformer.com/citya-immobilier-dataset-claim-covers-2-2m-records-and-50k-digicodes/https://darkwebinformer.com/boulanger-dataset-claim-covers-132-230-customer-and-service-records/https://darkwebinformer.com/generali-insurance-bulgaria-dataset-claim-covers-1-241-432-personal-records/https://darkwebinformer.com/metropolis-technologies-source-code-allegedly-stolen-and-leaked/ ## [Intel MX] 2026-09-11 Sin víctimas MX; datasets a la venta en foros de origen extranjero Source: https://ransomware.mx/intel/2026-09-11/ Día tranquilo en casa, mercado activo en foros: dos ofertas de datos que vienen de otras latitudes. Hoy no se registraron nuevas víctimas de ransomware en México. Sin nada que reportar en el frente doméstico, la actividad relevante se concentra en foros clandestinos, donde dos actores ofrecen accesos y datos de empresas financieras y de distribución digital en Nigeria e Indonesia. Ninguno de los dos casos toca directamente a organizaciones mexicanas, pero ambos ilustran patrones que sí nos alcanzan: la mercantilización de bases de clientes de bancos digitales y la venta de accesos a infraestructura de pago. Los repasamos como contexto, con confianza media dado que se trata de afirmaciones no verificadas de los propios vendedores. **Actor ofrece dataset de ~335,505 cuentas atribuido a FairMoney (Nigeria)** Un actor que publica bajo el alias GoreTerminal difundió en un foro lo que asegura es un dataset filtrado de FairMoney, un banco digital con licencia en Nigeria que ofrece préstamos personales y servicios financieros móviles. El actor señala que el dataset original contenía alrededor de 7 millones de usuarios, pero que el archivo liberado se filtró a registros con números de teléfono y correos electrónicos; la publicación anuncia aproximadamente 335,505 cuentas de usuario, incluyendo más de 330,000 números de teléfono y más de 143,000 correos, junto con nombres, género, campos de ubicación, identificadores de cliente y agente, valores IMEI de dispositivos, nombres de bancos, referencias de transacciones, metadatos transaccionales y campos de estado de cuenta o agente [1]. El dataset se ofrece como descarga gratuita. La afirmación no está verificada. De ahí que se maneje con confianza media. Comentario del editor: El perfil de la víctima (banco digital 100% móvil con foco en préstamos) se repite en la región latinoamericana. Una base de esa escala con datos de solicitantes de crédito es material de primera para fraude de identidad y phishing dirigido, no solo un número para presumir en el foro. **Venta de acceso a la base 'core money' de PT Betiri Cipta Media (Indonesia) por 25 mil dólares** Un actor bajo el alias TheTrueWorldCreator ofrece lo que describe como acceso completo a la base de datos central de dinero de PT Betiri Cipta Media, un agregador y distribuidor de bienes digitales que opera como negocio PPOB (pago de servicios) en Indonesia. La publicación describe una plataforma B2B usada por pequeños revendedores para tiempo aire móvil, electricidad prepagada, recargas de billeteras electrónicas, transferencias bancarias, juegos y vales, y pago de servicios. El actor afirma tener acceso directo a la base de datos con permisos de lectura y escritura, acceso a tablas de transacciones y revendedores, registros bancarios y de depósitos, credenciales de gateway, un gateway SMS, la interfaz de gestión OtomaX, una estación de trabajo de empleado y una cuenta corporativa de Telegram, con un precio de 25,000 dólares en XMR [2]. La afirmación no está verificada, de ahí la confianza media. Comentario del editor: Vender acceso a la base transaccional (no solo un volcado de datos) es un salto de gravedad: implica movimiento de fondos en vivo, no solo exfiltración. Los agregadores de pago son objetivo atractivo justo porque concentran flujo de dinero de muchos comercios pequeños. ## Referencias https://darkwebinformer.com/fairmoney-dataset-claim-covers-335-505-user-accounts/https://darkwebinformer.com/pt-betiri-cipta-media-core-database-access-offered-for-25k/ ## [Intel MX] 2026-09-10 Base de datos de salud mental a la venta en foro, sin rastro en México Source: https://ransomware.mx/intel/2026-09-10/ Día tranquilo en casa, ruidoso afuera: el sector salud vuelve a ser el blanco favorito de los foros clandestinos. Hoy no se registraron nuevas víctimas de ransomware en México. El pulso del día viene de afuera: un actor pone a circular datos de una organización de salud, una plataforma estadounidense de psiquiatría virtual. El caso no toca directamente a organizaciones mexicanas, pero refuerza un patrón que sí nos concierne: la información clínica se ha vuelto mercancía de foro, y las plataformas de telesalud que operan sin fronteras son objetivos atractivos por el volumen y la sensibilidad de lo que almacenan. **Blossom Health: base de pacientes de salud mental a la venta** Un actor que se identifica como 2019 ofrece a la venta lo que describe como la base de datos de pacientes de Blossom Health, una plataforma estadounidense de atención psiquiátrica virtual que brinda terapia en línea y manejo de medicamentos [1]. La oferta abarca registros de pacientes, con padecimientos que incluyen ansiedad, depresión, TDAH, autismo, trastorno bipolar y TOC. No hay confirmación pública de la brecha por parte de la plataforma al momento de esta edición. Comentario del editor: Los datos de salud mental están entre los más dañinos que pueden filtrarse: no solo identifican a una persona, revelan diagnósticos que se prestan a extorsión, discriminación y fraude dirigido. Que se vendan por catálogo, con padecimientos listados, eleva el riesgo de ataques de ingeniería social muy personalizados contra las víctimas. ## Referencias https://darkwebinformer.com/blossom-health-records-on-29-600-mental-health-patients-offered-for-sale/ ## [Intel MX] 2026-09-09 Sin víctimas nuevas en México; a la venta registros SMS de Transfast Source: https://ransomware.mx/intel/2026-09-09/ Un día tranquilo en el frente local, pero el mercado de accesos sigue moviendo lotes que rozan el ecosistema de pagos. Hoy no se registraron nuevas víctimas de ransomware en México, así que la edición mira hacia afuera. El único hecho relevante del día es una oferta en un foro que presume acceso a una base viva de registros de mensajería de Transfast, la red de pagos transfronterizos que Mastercard adquirió en 2019. Aunque no toca directamente a organizaciones mexicanas, el caso es un recordatorio de cómo los datos de plataformas de remesas y pagos terminan a la venta en foros clandestinos. **A la venta registros SMS de Transfast con acceso a portal** Un actor que se identifica como Marx publicó en un foro una oferta de acceso a lo que describe como una base de datos viva de registros de mensajería pertenecientes a Transfast, una red de pagos transfronterizos adquirida por Mastercard en 2019 y hoy integrada a su negocio de servicios de transacciones [1]. Mastercard anunció la finalización de la adquisición de Transfast, y originalmente declaró su intención de comprarla el 8 de marzo de 2019 [2]. El anuncio habla de millones de registros SMS de pagos e incluye supuesto acceso a un portal, lo que sugiere una intrusión activa y no solo un volcado de datos histórico [1]. No hay confirmación independiente del alcance ni de la autenticidad del lote, y la parte afectada no ha emitido declaración pública al momento de esta edición [1]. Comentario del editor: Un lote de SMS de pagos no es trivial: esos mensajes suelen cargar montos, nombres, fragmentos de teléfono y posibles códigos de un solo uso, materia prima ideal para fraude dirigido y suplantación. Que el actor presuma acceso a un portal, y no solo un archivo, es la señal a vigilar: apunta a persistencia dentro del entorno, no a una fuga cerrada. Conviene tratar la afirmación con cautela pero no descartarla. ## Referencias https://darkwebinformer.com/11-8-million-transfast-payment-sms-records-offered-with-portal-access/https://newsroom.mastercard.com/news/press/2019/july/mastercard-further-extends-payment-network-with-acquisition-of-transfast/ ## [Intel MX] 2026-09-08 Sin víctimas en México: extorsiones a educación y salud marcan el pulso global Source: https://ransomware.mx/intel/2026-09-08/ Un día tranquilo en casa, pero el mercado de datos robados no descansa: pasaportes de estudiantes, expedientes de pacientes con cáncer y paneles de gestión a la venta. Hoy no se registraron nuevas víctimas de ransomware en México, así que la edición mira hacia afuera. El panorama global del día combina tres frentes clásicos de la economía del dato robado: una extorsión contra una plataforma educativa que maneja documentos migratorios de estudiantes, la publicación de expedientes médicos sensibles de una plataforma de apoyo oncológico, y la venta de acceso a un marketplace de autos de lujo. Ninguno toca directamente a organizaciones mexicanas, pero los tres perfiles (edtech, salud y comercio en línea) tienen equivalentes locales expuestos a las mismas tácticas. **Extorsión contra plataforma edtech por archivos de pasaportes y visas** Un actor de foro que se identifica como Kazu afirma tener 1.45 TB de datos sustraídos de MSM Unify, una plataforma de tecnología educativa que ayuda a estudiantes a postularse a universidades en el extranjero, y exige un pago de 400,000 dólares [1]. El material presuntamente incluye copias de pasaportes, archivos de visas y otros documentos sensibles de identidad de estudiantes. El actor exige el pago para el 21 de septiembre y amenaza con vender los datos si no se paga el rescate, aunque la afirmación permanece sin verificar de forma independiente. Comentario del editor: Las plataformas edtech que gestionan trámites migratorios acumulan un cóctel ideal para el fraude: identidad, documentos oficiales y datos de personas jóvenes. En México, las agencias de intercambio estudiantil y las consultoras de admisiones al extranjero manejan expedientes idénticos y rara vez con controles a la altura del valor del dato. **Publican expedientes de pacientes de plataforma oncológica francesa** Un actor de foro que se hace llamar DaOnlySpark publicó 3.7 GB atribuidos a Jinko, una plataforma francesa de apoyo a pacientes con cáncer [2]. La fuga reivindicada contra Jinko.care aparece particularmente sensible por la naturaleza de la información afectada: más allá de datos de identidad y contacto, la archivo anunciada contendría información médica detallada sobre pacientes con cáncer, incluidos sus tratamientos, patologías, síntomas, antecedentes y trayectoria de atención. Tras la publicación de la reivindicación en un foro cibercriminal el lunes 7 de septiembre de 2026, Jinko reconoció un acceso no autorizado a sus sistemas y la exfiltración de datos personales, incluyendo para ciertos usuarios información de salud y de trayectoria de atención. El volumen es modesto, pero la sensibilidad del contenido es máxima. Comentario del editor: El daño aquí no se mide en terabytes sino en la naturaleza del dato: un diagnóstico oncológico filtrado no se puede revocar ni reemitir como una contraseña. Es el tipo de brecha que erosiona la confianza en las plataformas de salud digital, un segmento en crecimiento también en México. **Venta de acceso a marketplace de autos de lujo en Dubái** Un actor que se identifica como Keishell, dando crédito a otros dos, afirma haber obtenido acceso a ryxcars.com, un marketplace de vehículos de lujo con sede en Dubái [3]. El acceso se describe como de nivel moderador, con capacidad de leer y modificar registros de vendedores; la exposición alegada incluye identidades de vendedores, datos de contacto, estado de verificación y datos detallados de listados de vehículos, pero la afirmación permanece sin verificar. Comentario del editor: El acceso a una consola de gestión es el peldaño previo a todo: manipulación de listados, robo de datos de vendedores y fraude directo a compradores. Es un recordatorio de que en el comercio en línea el eslabón débil suele ser la consola de gestión, no el escaparate. ## Referencias https://darkwebinformer.com/msm-unify-extorted-for-400-000-dollars-over-student-passport-and-visa-files/https://darkwebinformer.com/jinko-patient-records-published-with-diagnoses-and-private-messages/https://darkwebinformer.com/admin-access-to-a-dubai-car-marketplace-advertised-with-seller-data/ ## [Intel MX] 2026-09-06 Vexy suma a una tecnológica india mientras México pasa el día sin registros Source: https://ransomware.mx/intel/2026-09-06/ Jornada tranquila en casa, con la mira puesta en un actor emergente que ya opera fuera de la región. Hoy no se registraron nuevas víctimas de ransomware en México. Con el frente doméstico en calma, la única señal relevante del día llega de Asia: el grupo Vexy publicó a una empresa tecnológica de Nueva Delhi en su portal de filtraciones. No hay indicios de afectación mexicana ni latinoamericana, pero conviene fichar al operador porque los grupos que hoy prueban objetivos lejanos suelen ampliar su lista de víctimas en semanas. **Vexy reclama a Mega Velocity, tecnológica de Nueva Delhi** El grupo de ransomware Vexy añadió a Mega Velocity Pvt Ltd a su lista de víctimas [1]. Se trata de una empresa privada de tecnología con sede en Nueva Delhi, constituida en 2013, cuya clasificación de negocio es publicación, consultoría y suministro de software, incluyendo desarrollo, mantenimiento y diseño de páginas web [1][2]. Los registros de red también la identifican como operadora de una red de Internet y hosting [3]. El incidente afecta a India y no hay evidencia de víctimas en México ni en América Latina. Comentario del editor: Que una firma sea a la vez desarrolladora de software y operadora de hosting eleva el riesgo de efecto cascada: si el atacante alcanza infraestructura de alojamiento, la exposición se extiende a los clientes que dependen de esa red, no solo a la empresa. Vexy es un actor emergente, visto por primera vez en septiembre de 2026 y con prácticas de doble extorsión, que vale la pena vigilar aunque hoy opere lejos de la región [4]. ## Referencias https://ransomware.live/id/TWVnYSBWZWxvY2l0eUBWZXh5IFJhbnNvbXdhcmU=https://www.zaubacorp.com/MEGA-VELOCITY-PRIVATE-LIMITED-U72200DL2013PTC249231https://bgpview.io/prefix/203.95.219.0/24https://www.watchguard.com/wgrd-security-hub/ransomware-tracker/vexy ## [Intel MX] 2026-09-05 Francia bajo la lupa: registros de directores, accesos bancarios y contraseñas de alcaldías Source: https://ransomware.mx/intel/2026-09-05/ Un día tranquilo en casa, pero Francia concentra tres publicaciones que valen leer con atención. Hoy no se registraron nuevas víctimas de ransomware en México. La actividad relevante del día se concentra en Francia, donde foros clandestinos publicaron datos atribuidos al registro nacional de propiedad industrial, ofrecieron a la venta un acceso de banca en línea de una cuenta de alto valor y filtraron credenciales de la asociación de alcaldes. Ninguno de estos hechos involucra objetivos mexicanos, pero los patrones (venta de accesos verificados y contraseñas sin cifrar en el sector público) son plenamente aplicables a nuestro contexto. **Registros de directores atribuidos al registro francés de propiedad industrial** Un actor de foro que se identifica como fuie publicó datos atribuidos al INPI, el instituto francés que administra la propiedad industrial y el registro nacional de empresas [1]. Un actor de foro que usa el nombre fuie afirmó haber accedido a un servicio de transferencia de archivos del INPI con una cuenta de administrador y publicó más de 27 millones de registros del padrón. La presunta filtración incluye detalles de directores y representantes como nombres de nacimiento, fechas de nacimiento, información de residencia e identificadores de empresa, pero la afirmación sigue sin verificarse. La información de este tipo de registros suele ser de carácter mercantil y societario, útil para perfilar empresas y personas. Comentario del editor: Aun cuando parte de un registro mercantil puede ser público por naturaleza, agregar y estructurar millones de registros baja la barrera para fraude dirigido, suplantación corporativa e ingeniería social contra directivos. El dato agregado vale más que la suma de sus partes. **A la venta un acceso de banca en línea a una cuenta de ahorro de BNP Paribas** Un actor que se hace llamar HollowCrimeCorp puso a la venta lo que describe como acceso verificado y activo a una cuenta de ahorro de BNP Paribas en Francia, ofrecido como par de usuario y contraseña en lugar de como conjunto de datos [2]. El anuncio afirma acceso completo de banca en línea con capacidad de transferencia operativa. La cuenta mostrada es un portal de ahorro y jubilación laboral. La venta es por una sola cuenta, con custodia requerida y precio por oferta privada. La afirmación de acceso no está verificada, y no se proporciona método de adquisición ni titular de la cuenta. La modalidad, vender el acceso en vivo más que la información, prioriza la monetización inmediata sobre la exfiltración. Comentario del editor: La venta de accesos ya autenticados, no de bases de datos, es la parte del mercado que más presiona a los bancos: mueve el punto de falla del robo masivo hacia una sola cuenta comprometida. Contra esto pesan más la autenticación reforzada y la detección de anomalías en sesión que cualquier aviso de brecha. **Contraseñas en texto plano de cuentas de alcaldías francesas** Un actor identificado como Alduin publicó datos atribuidos a amf.asso.fr, el sitio de la Association des Maires de France, que representa a alcaldes y responsables de organismos intermunicipales [3]. Un actor de foro que se presenta como Alduin afirma haber filtrado datos de amf.asso.fr tras una inyección SQL de tipo union. La presunta brecha incluye direcciones de acceso de alcaldías y contraseñas en texto plano, junto con datos oficiales de suscriptores y cuentas, pero la afirmación sigue sin verificarse. La Association des Maires de France confirmó, el 4 de septiembre de 2026, haber sido víctima de una fuga de datos, reivindicada más temprano ese día en un foro cibercriminal. Los elementos difundidos incluyen también información de identificación, en particular hashes de contraseñas y contraseñas en claro. Comentario del editor: Contraseñas en texto plano en 2026 es una falla de higiene básica, no un tema de sofisticación del atacante. Es la clase de exposición que replican municipios y organismos de gobierno en cualquier país, incluido México, cuando el almacenamiento de credenciales no se hashea. ## Referencias https://darkwebinformer.com/inpi-registry-files-with-27-million-director-records-published/https://darkwebinformer.com/online-banking-access-to-a-bnp-paribas-savings-account-offered-for-sale/https://darkwebinformer.com/amf-data-leaked-with-plaintext-passwords-for-town-hall-accounts/ ## [Intel MX] 2026-09-04 Día tranquilo en México, ventas de bases europeas dominan los foros Source: https://ransomware.mx/intel/2026-09-04/ Sin incidentes locales en la mira, el foco del día está en Europa: aseguradoras, telecos y retailers puestos a la venta en foros. Hoy no se registraron nuevas víctimas de ransomware en México. El movimiento del día ocurre en foros de habla inglesa, donde varios actores anuncian y venden bases de datos con información personal sensible de organizaciones europeas: una aseguradora búlgara con millones de registros que incluyen identificaciones nacionales y pasaportes, un operador móvil suizo con más de un millón de registros, un proveedor de construcción francés, un comercio francés y un servicio de carga de vehículos eléctricos en India. Ninguno toca directamente a México, pero el patrón de datos de identidad completos a la venta es la señal a vigilar. **Aseguradora búlgara DZI: registros con ID nacional y pasaporte** Un actor que publica bajo el alias Intelligence pone a la venta lo que describe como registros de datos personales completos pertenecientes a clientes de DZI. DZI es la compañía con la experiencia más larga en el mercado asegurador búlgaro, establecida en 1946, y ha sido parte del grupo belga de banca y seguros KBC desde 2007. El paquete anunciado incluiría números de identificación nacional y de pasaporte, el tipo de dato que habilita fraude de identidad de largo alcance [1]. Comentario del editor: Datos de identidad completos de una aseguradora son de los peores para una víctima: no cambias tu número de pasaporte como cambias una contraseña. El vínculo con un grupo bancario europeo grande sube el interés de los compradores. **Salt: más de un millón de registros del operador suizo a la venta** Un actor identificado como SaltMobile1 ofrece lo que describe como una base de datos de Salt, con más de un millón de registros [2]. Salt Mobile SA es una empresa suiza de telecomunicaciones centrada en telefonía móvil y telefonía fija de fibra óptica, y opera la tercera red móvil más grande de Suiza. La publicación no detalla el vector de acceso ni la antigüedad de los datos, elementos que suelen inflar o desinflar el valor real de una oferta de este tipo [2]. Comentario del editor: Con telecos, lo importante es distinguir entre una brecha fresca y un reempaquetado de datos viejos. Sin muestra verificable, la cifra por sí sola no dice nada. **Dos comercios franceses expuestos: Réso y ZeroGaspi** Un actor bajo el alias caustic afirma tener 675 GB extraídos de la red de Réso, proveedor francés de productos de construcción como techos, tabiques, pisos y fachadas con agencias en todo el país, tras el fin de un periodo de silencio [3]. Réso se especializa en el segundo oeuvre, ofreciendo una amplia gama de productos que incluye techos, tabiques, pisos, pisos técnicos y fachadas. En paralelo, un actor identificado como ksye vende lo que describe como la base de clientes de zerogaspi.fr, comercio francés de excedentes y abarrotes próximos a caducar [4]. Comentario del editor: El contraste de escalas es la nota: un volumen corporativo enorme frente a una base de clientes rematada. Cuando los datos personales valen tan poco, el incentivo para protegerlos se desploma. **HopCharge: exportación de analítica con nombres, teléfonos y coordenadas** Un actor que publica como GoreTerminal difundió lo que describe como la base de datos de hopcharge.com, servicio de carga de vehículos eléctricos a domicilio que opera en India mediante camionetas móviles [5]. Hopcharge, que opera unidades móviles de carga de vehículos eléctricos, ya ha establecido operaciones en partes de la NCR, con camionetas de carga bajo demanda en la Región de la Capital Nacional. La exportación anunciada incluiría nombres, teléfonos y coordenadas geográficas de los usuarios [5]. Comentario del editor: Coordenadas más teléfonos es un combo de geolocalización que va más allá del fraude: permite perfilar rutinas y ubicaciones físicas de personas concretas. ## Referencias https://darkwebinformer.com/3-1-million-dzi-records-offered-with-national-id-and-passport-numbers/https://darkwebinformer.com/more-than-a-million-salt-mobile-records-offered-for-sale/https://darkwebinformer.com/reso-files-totalling-675-gb-offered-for-sale-after-a-silent-period-ends/https://darkwebinformer.com/zerogaspi-customer-records-for-89-281-french-shoppers-sold-for-70-dollars/https://darkwebinformer.com/hopcharge-analytics-export-published-with-names-phones-and-coordinates/ ## [Intel MX] 2026-09-03 Ransomware golpea a transportista mexicana; fugas globales de datos gubernamentales Source: https://ransomware.mx/intel/2026-09-03/ La logística mexicana vuelve al tablero de las extorsiones, mientras un ministerio europeo ve su directorio interno publicado sin costo. La edición de hoy tiene un ancla local clara: la empresa de transporte y logística Trucka fue sumada a la lista de víctimas de un grupo de ransomware. En el frente internacional, el día estuvo cargado de filtraciones de datos gubernamentales y corporativos publicados de forma gratuita en foros, desde un directorio de personal de un ministerio francés hasta una base de envíos en Australia. En paralelo, Take-Two aprieta su investigación por la filtración de GTA VI, recordando que la fuga de propiedad intelectual también termina en tribunales. **Trucka, transportista, aparece en un sitio de extorsión** El grupo de ransomware INC Ransom sumó a Trucka, una empresa de transporte y logística que opera rutas locales y de larga distancia para mover carga entre regiones, a su lista de víctimas [1]. La reivindicación, atribuida al actor incransom, apunta a una empresa que provee transporte de carga local y de larga distancia por rutas principales, con operaciones logísticas que afectan a negocios que dependen del movimiento y entrega de carga en México. El listado apunta al esquema típico de doble extorsión del grupo, con presión pública para forzar el pago antes de una eventual liberación de datos. Comentario del editor: El sector transporte y logística sigue siendo blanco recurrente porque cualquier paro operativo se traduce en cadenas de suministro detenidas y presión inmediata para pagar. Vale la pena que operadores medianos revisen accesos remotos, respaldos aislados y segmentación antes de convertirse en el siguiente nombre en la lista. **Take-Two estrecha el cerco por la filtración de GTA VI** Take-Two Interactive parece estar acotando su investigación sobre los responsables de filtrar material inédito de Grand Theft Auto VI, con nuevos escritos judiciales que muestran a la editora solicitando información cada vez más dirigida a Discord [2]. La compañía explicó que su investigación había estado evolucionando rápidamente, y que ya no se enfocaba en el video de YouTube, por lo que dejó de necesitar aquella citación. En su presentación más reciente, pide que su nueva solicitud, centrada en un usuario de Discord ya identificado y un usuario adicional, se tramite bajo sello. Comentario del editor: El caso ilustra que las filtraciones de propiedad intelectual no se cierran cuando el material se vuelve viral: la ruta legal para identificar a los responsables puede apoyarse en registros de plataformas. **Directorio de personal de ministerio francés, publicado gratis** Un actor de foro identificado como mondial, acreditando a un colaborador, publicó dos conjuntos de datos atribuidos a developpement-durable.gouv.fr, el dominio del Ministerio de Transición Ecológica de Francia, incluyendo un directorio de personal y registros de controladores certificados [3]. El primero es un directorio de personal descrito con miles de direcciones de correo, teléfonos fijos y móviles, números de referencia de personal y unidades o direcciones, con inicios de sesión de directorio, rutas organizativas y domicilios de oficina; el segundo contiene registros de controladores certificados, incluyendo nombres, fechas de nacimiento, números de aprobación y de referencia interna, organizaciones empleadoras y fechas de certificación. Comentario del editor: Los directorios internos de personal son materia prima ideal para campañas de phishing dirigido y suplantación: con nombres, cargos y correos, un atacante ya no adivina, apunta. **Directorio de ciencia y tecnología de Israel, en su mayoría ya público** Un actor que se hace llamar weykofa publicó 16.2 MB en 450 archivos atribuidos a science.co.il, el Directorio de Ciencia y Tecnología de Israel, aunque buena parte del contenido ya era de acceso público [4]. Comentario del editor: No toda filtración equivale a brecha real. Reetiquetar datos públicos como botín es una táctica común para inflar reputación en foros, y conviene verificar antes de amplificar la alarma. **Sitios de la FNIM francesa defaceados y bases publicadas tras comprometer un servidor** Tres actores de foro, encabezados por uno identificado como yiranet, afirman haber comprometido la infraestructura de la Fédération Nationale de l'Innovation Mutualiste (FNIM), la federación francesa que representa a mutuales pequeñas y medianas, con sitios alterados y bases de datos publicadas [5]. La federación, que reivindica 1,5 millones de personas protegidas, confirmó a la prensa especializada haber sido blanco de un ataque informático. Los cibercriminales afirman haber comprometido su infraestructura, defaceado varios de sus sitios y recuperado datos sensibles, incluyendo datos personales, profesionales, de autenticación, de facturación y bancarios, y reivindican además un acceso a la cuenta bancaria de la federación. Comentario del editor: Un único servidor mal protegido que sirve a varios sitios sigue siendo un punto de falla catastrófico. La superficie compartida convierte un descuido en una brecha multiplicada. **Base de envíos de Pattons (Australia), liberada con valores de mercancía** Un actor de foro identificado como Keishell publicó lo que describe como la base de datos de envíos myTnT perteneciente a pattons.com.au, un negocio australiano, con valores de mercancía y detalles de entrega [6]. Los registros supuestos incluirían información de envíos y facturación, datos de contacto de clientes, datos aduanales, valores de mercancía declarados y detalles de entrega, aunque la reivindicación permanece sin verificar. Comentario del editor: Los datos de envíos con direcciones, valores de bienes y horarios de entrega son mapa perfecto para fraude logístico y robo dirigido. El eslabón débil suele ser el proveedor de mensajería, no el comercio. ## Referencias https://www.trucka.comhttps://darkwebinformer.com/take-two-narrows-gta-6-leak-investigation-as-hunt-for-leakers-intensifies/https://darkwebinformer.com/french-ministry-staff-directory-and-inspector-records-published-free/https://darkwebinformer.com/israel-science-and-technology-directory-files-published-though-most-of-it-was-already-public/https://darkwebinformer.com/fnim-sites-defaced-and-databases-published-after-a-single-server-compromise/https://darkwebinformer.com/pattons-shipping-records-published-free-with-goods-values-and-delivery-details/ ## [Intel MX] 2026-09-02 Krybit reclama a TUM, la mayor transportista de México Source: https://ransomware.mx/intel/2026-09-02/ Un solo golpe, pero al nervio logístico del país. La jornada trae un incidente que apunta directo a la columna vertebral del movimiento de carga en México. El grupo Krybit sumó a su portal de filtraciones a Transportistas Unidos Mexicanos (TUM), presentada como la mayor empresa de autotransporte de carga del país. La reclamación, con nivel de confianza alto, coloca al sector transporte en el foco y recuerda que la extorsión digital ya no se limita a manufactura o gobierno: los operadores logísticos, con su dependencia de sistemas de rastreo, facturación y coordinación de flotas, son un blanco de alto valor. **Krybit reclama a Transportistas Unidos Mexicanos (TUM)** El grupo de ransomware Krybit publicó en su portal de extorsión a TUM (tum.com.mx), Transportistas Unidos Mexicanos División Norte, S.A. de C.V., descrita como la empresa de autotransporte de carga más grande de México [1][2]. Krybit es una operación de ransomware como servicio (RaaS) surgida en marzo de 2026 que emplea un esquema de doble extorsión: exfiltra datos antes de cifrar los sistemas y usa un sitio de filtraciones en Tor para presionar a las víctimas a pagar [3]. La publicación sirve como palanca de presión antes de una eventual liberación de datos. Al momento del corte no se ha detallado el volumen ni la naturaleza exacta de la información comprometida, y el reclamo se evalúa con confianza alta al provenir directamente del sitio de filtraciones del grupo. Comentario del editor: Una transportista de esta escala concentra datos operativos sensibles: rutas, contratos, facturación y datos personales de personal y clientes. Si la exposición se confirma, el daño no es solo reputacional; una interrupción en sistemas de coordinación de flota se traduce en carga detenida y cadenas de suministro afectadas. Vale la pena vigilar si Krybit fija plazo o publica muestras en los próximos días. ## Referencias https://tum.com.mxhttps://www.zoominfo.com/c/tum-transportistas-unidos-mexicanos-divisio%CC%81n-norte-sa-de-cv/429711844https://www.derp.ca/ransomware/krybit/ ## [Intel MX] 2026-09-01 México sin víctimas, pero el vecindario latino paga la cuenta Source: https://ransomware.mx/intel/2026-09-01/ Día tranquilo en casa, movimiento en la región: una transportadora colombiana en un muro de extorsión y varias bases de datos ofrecidas al otro lado del mundo. Hoy no se registraron nuevas víctimas de ransomware en México. La actividad se concentra en el resto de la región y en el mercado global de datos: en Colombia, una empresa de transporte pesado aparece listada por un grupo de ransomware, mientras en foros clandestinos se ofrecen registros de una plataforma veterinaria, archivos policiales de Estados Unidos y documentos gubernamentales filipinos liberados gratis. Ninguno toca directamente a organizaciones mexicanas, pero los patrones (transporte, gobierno local, plataformas SaaS sectoriales) son los mismos que golpean acá. **Krybit lista a la colombiana Transportes Montejo** El grupo de ransomware Krybit publicó en su sitio de filtraciones a Transportes Montejo S.A.S., una empresa colombiana de transporte pesado especializado y logística establecida el 7 de junio de 1988 [1]. Ransomware.live detectó el 2026-09-01 que transportesmontejo.com fue reivindicada por el grupo de ransomware Krybit [2]. La aparición en el muro de extorsión suele anteceder la publicación de datos robados cuando no se paga el rescate. Comentario del editor: El transporte y la logística son un blanco recurrente en toda Latinoamérica porque combinan operación 24/7, cadenas de proveedores extensas y poca tolerancia al paro. Un caso colombiano de hoy es el molde de un caso mexicano de mañana: vale la pena que las flotas y operadores logísticos nacionales revisen accesos remotos y respaldos antes de estar en la lista. **A la venta registros de la plataforma veterinaria MyVete** Un actor de foro identificado como Kazu ofrece en venta lo que describe como un volcado de MyVete, una plataforma de software veterinario diseñada para ayudar a clínicas y consultorios a gestionar expedientes de pacientes, citas, facturación e inventario [3]. La confianza sobre el contenido real es media, al tratarse de una oferta no verificada. Comentario del editor: Las plataformas SaaS verticales (veterinarias, dentales, notariales) concentran datos personales y de pago de cientos de negocios pequeños que jamás podrían defenderse solos. Comprometer al proveedor es comprometer a todos sus clientes de golpe; es el mismo riesgo de cadena de suministro que corre cualquier despacho o clínica mexicana apoyada en software de nicho. **1.71 TB de archivos de la policía de Summerville en venta** Un actor identificado como NOTORIOUS ofrece en venta 1.71 TB de material atribuido al Departamento de Policía de Summerville, en Carolina del Sur, incluyendo registros de inteligencia y de identidad [4]. La evidencia todavía es limitada: solo hay dos capturas censuradas, no existe un inventario de archivos y el departamento no ha confirmado el incidente; la oferta no informa cuántos registros contiene ni cómo se habría obtenido el material [4]. Comentario del editor: Las filtraciones policiales son especialmente delicadas porque exponen a personas identificables en investigaciones e informantes. Es un recordatorio de que las corporaciones de seguridad, incluidas las municipales mexicanas, manejan datos de altísimo valor y suelen tener madurez de ciberseguridad dispareja. **Documentos del gobierno de Baguio, Filipinas, liberados gratis** El mismo actor NOTORIOUS asegura haber liberado gratuitamente 3.23 GB de archivos pertenecientes al gobierno de la ciudad de Baguio, en Filipinas, con documentos vinculados a permisos de construcción, licencias profesionales, títulos de propiedad y tarjetas de identificación, aunque el número de registros no fue indicado [5]. La liberación sin costo suele buscar reputación o daño, no lucro. Comentario del editor: Cuando un actor libera datos gratis, el objetivo deja de ser el dinero y pasa a ser el impacto o el prestigio en la escena. Los gobiernos locales, con archivos de permisos, catastro e identificaciones, son víctimas atractivas justamente porque su filtración es ruidosa. ## Referencias https://www.ransomware.live/group/krybithttps://ransomware.live/id/dHJhbnNwb3J0ZXNtb250ZWpvLmNvbUBrcnliaXQ=https://www.redpacketsecurity.com/kazu-ransomware-victim-myvete/https://www.diariobitcoin.com/noticias/ofrecen-171-tb-de-archivos-de-la-policia-de-summerville-con-datos-de-identidad/https://www.diariobitcoin.com/noticias/baguio-enfrenta-una-supuesta-filtracion-gratuita-de-permisos-titulos-y-tarjetas-de-identificacion/ ## [Intel MX] 2026-08-31 TheGentlemen golpea aviación ejecutiva y avicultura en México Source: https://ransomware.mx/intel/2026-08-31/ Dos víctimas mexicanas, un mismo actor, sectores que rara vez aparecen juntos. La jornada la marca el grupo de ransomware TheGentlemen, que sumó a su muro de filtraciones a dos organizaciones mexicanas de perfiles muy distintos: una empresa pionera de aviación ejecutiva con base en Toluca y una avícola familiar verticalmente integrada de Aguascalientes. Ambos casos apuntan a infraestructura operativa sensible (logística aérea y cadena de producción de alimentos) y a la mecánica habitual de doble extorsión, donde la publicación en el sitio del actor precede o acompaña a la negociación. No se reportaron incidentes de contexto regional o global en esta edición. **Servicios Aéreos Estrella (SAE) aparece en el muro de TheGentlemen** El grupo de ransomware TheGentlemen listó como víctima a Servicios Aéreos Estrella, S.A. de C.V. (SAE), empresa mexicana de aviación ejecutiva y pionera de la aviación ejecutiva en México con más de 30 años de experiencia, con base en el Aeropuerto Internacional de Toluca, la principal puerta de aviación privada hacia la Ciudad de México [1]. La compañía afirma ser el mayor FBO (Fixed-Base Operator) de América Latina. La confianza en la atribución de la publicación es alta. Comentario del editor: Un FBO concentra manifiestos de vuelo, datos de pasajeros de alto perfil, itinerarios y contratos de mantenimiento. El valor de extorsión aquí no es solo el cifrado de sistemas, sino lo que revela un directorio de clientes de aviación privada. **Nutrypollo (Agroindustrias Quesada) también en la lista** TheGentlemen sumó igualmente a Nutrypollo / Agroindustrias Quesada, S. de R.L. de C.V., avícola familiar mexicana de cuarta generación con sede en Aguascalientes, que comenzó como la granja de gallinas ponedoras de Bernardo Quesada de Alba en 1950 y entró en la producción de pollo de engorda en 1963 bajo el fundador Jorge Quesada Morán [2]. La empresa está totalmente integrada de forma vertical: genética e incubación, planta de alimento balanceado, granjas de engorda, sacrificio y procesamiento, y distribución en más de 30 estados mexicanos, lo que amplía la superficie de sistemas industriales expuestos ante un cifrado. La confianza en la atribución es alta. Comentario del editor: La integración vertical es una fortaleza de negocio y una debilidad de ciberseguridad: un incidente en TI puede detener desde la incubadora hasta la planta de alimento. En agroindustria, cada día de parálisis se traduce en pérdidas biológicas irreversibles, presión que los grupos de extorsión saben explotar. ## Referencias https://www.sae.com.mxhttps://www.nutrypollo.com.mx ## [Intel MX] 2026-08-30: Manufactura mexicana en la mira de INC Ransom Source: https://ransomware.mx/intel/2026-08-30/ Un solo golpe, pero al corazón del expediente. La jornada deja una víctima confirmada en el sector manufacturero mexicano, con un operador de ransomware que presume acceso a lo más sensible de la empresa: datos de clientes, investigación y desarrollo, documentación financiera y acuerdos de confidencialidad. Poco volumen, alta gravedad. **Wittmann expuesta por INC Ransom con robo de I+D y expedientes de clientes** El grupo de ransomware INC Ransom reivindicó un ataque contra la manufacturera Wittmann, afirmando haber obtenido acceso no autorizado a archivos confidenciales de la compañía [1]. La descripción disponible identifica datos de clientes, materiales de investigación y desarrollo, documentación financiera y archivos de acuerdos de confidencialidad como potencialmente afectados [1]. El listado indica un presunto incidente de exposición de datos, pero no ofrece detalles sobre cifrado de sistemas, el volumen de información sustraída ni una demanda de rescate [1]. INC Ransom opera con el método de doble extorsión, en el que los datos de la víctima son robados y filtrados mediante un sitio de filtración si no se paga el rescate exigido [2]. (confianza-alta) Comentario del editor: Lo que eleva el riesgo aquí no es el cifrado sino la naturaleza del material. Filtrar I+D y NDAs no solo daña a Wittmann, arrastra a terceros que confiaron información bajo contrato, lo que abre frentes legales y de cadena de suministro que sobreviven mucho después de recuperar los sistemas. ## Referencias https://www.redpacketsecurity.com/incransom-ransomware-victim-wittmann/https://blackpointcyber.com/wp-content/uploads/2026/03/INC-Ransom.pdf ## [Intel MX] 2026-08-29 Qilin golpea a un fabricante mexicano mientras el crimen empaqueta kits de phishing y C2 baratos Source: https://ransomware.mx/intel/2026-08-29/ El día mezcla un golpe local de ransomware con la vitrina de herramientas ofensivas de bajo costo que alimenta la siguiente ronda de ataques. La edición de hoy tiene una víctima nueva en México: Qilin sumó a la manufacturera Cosmocolor a su muro de extorsión. En el frente global, el mercado criminal sigue abaratando el crimen como servicio, con un panel de phishing para robar tarjetas y códigos de un solo uso ofrecido en 500 dólares y un agente de comando y control multiplataforma que se anuncia en apenas 70. Cerramos con un recordatorio del sector salud estadounidense, donde LockBit reclamó a un administrador de planes médicos. **Qilin agrega a la manufacturera Cosmocolor a su portal de extorsión** El grupo de ransomware Qilin publicó a Cosmocolor SA de CV, una empresa mexicana del sector manufactura, en su sitio de filtraciones como nueva víctima [1]. El 28 de agosto de 2026, Cosmocolor SA de CV, una empresa manufacturera en México, fue listada en un sitio de filtraciones de ransomware por el grupo Qilin; no hay una fecha de compromiso independiente, por lo que el 28 de agosto de 2026 se toma como fecha de publicación. El listado disponible no describe la intrusión, no indica si los sistemas fueron cifrados ni especifica qué información pudo haber sido accedida o exfiltrada. Comentario del editor: Qilin ha sido uno de los operadores más activos a nivel global. Qilin se ha convertido en uno de los principales grupos de ransomware a nivel mundial, con una lista de víctimas que abarca manufactura, salud, educación, gobierno y servicios profesionales en más de 60 países. La ausencia de un resumen no le resta gravedad: para una manufacturera, un cifrado prolongado detiene líneas de producción y cadena de suministro, lo que suele empujar a la mesa de negociación antes de que la fuga se materialice. Conviene asumir robo de datos y prepararse para la fase de presión pública. **Un panel de phishing de 500 dólares para tarjetas y códigos OTP** Un vendedor que se identifica como PAL1T anuncia un panel de phishing en vivo por 500 dólares, presentado como versión 1.0 y diseñado para capturar datos de tarjeta junto con contraseñas de un solo uso [2]. El enfoque en OTP indica que el kit busca sortear la autenticación de segundo factor en tiempo real, relevando los códigos al operador durante la sesión de la víctima. Comentario del editor: El detalle importante es el OTP en tiempo real: muchos usuarios y bancos asumen que el segundo factor por SMS o app cierra la puerta, y estos paneles están hechos precisamente para vencer esa confianza. Para banca y retail en México, la defensa realista pasa por factores resistentes a phishing (llaves FIDO2, passkeys) más que por depender del OTP. **ToxC2: agente de comando y control multiplataforma por 70 dólares** Un vendedor que se hace llamar Reze promociona ToxC2, un agente de comando y control ofrecido en 70 dólares para compilaciones de Windows, macOS y Linux [3]. Su rasgo distintivo es que canaliza el tráfico de mando a través de la red Tox, un protocolo de mensajería descentralizada, lo que complica la detección basada en dominios y direcciones IP conocidas. Comentario del editor: Usar Tox como canal de C2 no es nuevo, pero verlo empaquetado, multiplataforma y a precio de descarte baja la barrera de entrada. El uso de un protocolo P2P legítimo hace que el bloqueo por reputación de red sea menos efectivo; la detección debe apoyarse en comportamiento del endpoint y no solo en indicadores de red. **LockBit reclama a un administrador de planes de salud en EE. UU.** El grupo LockBit, en una variante identificada como lockbit5, publicó como víctima a American Plan Administrators (apatpa.com), firma estadounidense de soluciones de salud autofinanciadas [4]. American Plan Administrators ofrece soluciones de salud autofinanciadas orientadas a maximizar el ahorro y brindar cobertura nacional para grupos de empleados de todos los tamaños. El caso confirma que el sector salud sigue en la mira de los operadores de ransomware pese a las acciones de desmantelamiento contra la marca LockBit. Comentario del editor: La reaparición de la etiqueta LockBit tras las operaciones policiales muestra la resiliencia del modelo de afiliados. Aunque la víctima es de EE. UU., el sector salud mexicano comparte proveedores y superficie de ataque; vale la pena revisar a terceros administradores y aseguradoras que manejan datos clínicos. ## Referencias https://www.redpacketsecurity.com/qilin-ransomware-victim-cosmocolor-sa-de-cv/https://darkwebinformer.com/a-500-dollar-phishing-panel-built-to-relay-card-details-and-one-time-codes/https://darkwebinformer.com/toxc2-sells-a-cross-platform-agent-that-runs-its-command-channel-over-tox/https://apatpa.com/about/ ## [Intel MX] 2026-08-28 Sin víctimas en México, filtración al descubierto en el extranjero Source: https://ransomware.mx/intel/2026-08-28/ Día tranquilo en casa, pero el extranjero deja un recordatorio de que los datos de clientes rara vez están tan protegidos como se anuncia. Hoy no se registraron nuevas víctimas de ransomware en México. El panorama del día se mueve fuera del país con una publicación en un foro de datos robados: una supuesta base de clientes de una plataforma de reventa de reservaciones de hotel. El caso no apunta, por ahora, a organizaciones o usuarios mexicanos, pero ilustra un patrón que sí nos toca: marketplaces con datos personales concentrados. **Base de usuarios de Roomer Travel a la venta en un foro** Un actor que se identifica como slvsh3r publicó en un foro lo que describe como la base de datos de clientes de Roomer Travel, un marketplace y app móvil para comprar y revender reservaciones de hotel no reembolsables [1]. El actor afirma haber compartido una base de datos de clientes de Roomer Travel con más de 200,000 registros, que incluye nombres, nombres de usuario, direcciones de correo, indicadores de verificación, preferencias de moneda y códigos de referido; la muestra parece limitada y sin verificar, sin contraseñas visibles y con varios campos opcionales vacíos, aunque aún podría exponer a los usuarios a fraude dirigido. La confianza sobre el alcance real y la autenticidad de los registros es media, ya que la afirmación proviene del propio actor y no de una confirmación de la empresa [1]. Comentario del editor: Las plataformas de reventa de reservaciones acumulan un combo atractivo: identidad del viajero, fechas, destinos y a veces datos de pago. Aunque el caso es global, cualquier mexicano que haya usado ese tipo de servicio debería asumir exposición y vigilar phishing con contexto de viajes. ## Referencias https://darkwebinformer.com/roomer-travel-account-data-on-more-than-200-000-users-shared-on-a-forum/ ## [Intel MX] 2026-08-27 Servifruit en la mira de MedusaLocker y filtraciones seriadas en Europa Source: https://ransomware.mx/intel/2026-08-27/ El campo mexicano tampoco está a salvo: hoy le toca a la agroindustria. La jornada abre con una víctima mexicana confirmada: la agroindustria vuelve a demostrar que su superficie de ataque no es menor que la de banca o gobierno. MedusaLocker suma a Servifruit a su lista de extorsión, mientras el panorama regional lo dominan las filtraciones seriadas de bases de datos en foros: un joyero de lujo londinense, una wiki de cultura fan y un arrendador de maquinaria francés, además de una generadora eléctrica chilena golpeada por TheGentlemen. El patrón del día es la mercantilización de datos personales, con direcciones, presupuestos y credenciales puestos a la venta a la vista de todos. **Servifruit, agroindustria mexicana golpeada por MedusaLocker** El grupo de ransomware MedusaLocker sumó a la empresa mexicana Servifruit (dominio servifruit.com), del sector agrícola y de producción de alimentos, a su portal de extorsión. Según lo publicado, la organización aparece listada con alrededor de 195 correos electrónicos extraídos, con el dominio servifruit.com [1]. Comentario del editor: La agroindustria suele quedar fuera de la conversación sobre ciberseguridad y por eso mismo es blanco cómodo: cadenas de suministro reales, presupuestos ajustados y madurez defensiva heterogénea. Extraer correos no es el fin, es el inventario para la siguiente fase de phishing dirigido o extorsión. Si su organización opera en el campo mexicano, asuma que ya es objetivo, no que podría serlo. **Espinos S.A.: generadora eléctrica chilena en la lista de TheGentlemen** El grupo TheGentlemen reclamó el ataque contra Espinos S.A. (espinos.energy). Espinos S.A. es una generadora eléctrica chilena que opera bajo la marca Potencia Chile del Grupo Agrisol, con 17 años de experiencia y cerca de 260 MW de capacidad instalada en un portafolio diversificado: térmico (Central Espinos en Los Vilos), hidroeléctrico (Renaico y Alto Renaico), solar y almacenamiento en baterías [2]. Comentario del editor: Un ataque a infraestructura de generación eléctrica en la región eleva el listo más allá del robo de datos: cuando el objetivo es energía, el riesgo operativo y de continuidad se vuelve el verdadero apalancamiento de la extorsión. Operadores mexicanos del sector energético deberían leer este caso como aviso de vecindad. **77 Diamonds: base de clientes de joyería de lujo a la venta con domicilios** Un actor en foros bajo el alias Jurak puso a la venta lo que describe como la base de datos de clientes de 77 Diamonds, joyería londinense de piezas a medida con salas de exhibición en Mayfair, Manchester y Glasgow. El anuncio destaca que el conjunto incluye domicilios particulares y presupuestos de las citas de los clientes [3]. Comentario del editor: Domicilios de clientes de alto poder adquisitivo más presupuestos de compra es un kit para fraude y robo físico, no solo digital. El valor de estos datos no está en el volumen, sino en la precisión del perfilamiento. **Fanlore Wiki: cuentas circulando tras brecha autorreportada de OTW** Un actor identificado como 584 publicó lo que describe como la base de datos de cuentas de Fanlore.org, la wiki de cultura fan operada por la Organization for Transformative Works, la organización sin fines de lucro detrás de Archive of Our Own [4]. La publicación llega después de que la propia OTW reportó una brecha: el 6 de agosto de 2026, aproximadamente a las 01:30 UTC, la OTW descubrió acceso no autorizado al servidor que aloja Fanlore por parte de terceros desconocidos [5]. Comentario del editor: Que la organización haya autorreportado el incidente y aun así los datos terminen en circulación recuerda que la transparencia no anula el daño: divulgar rápido reduce la sorpresa, pero las credenciales igual acaban en el mercado. **Comptoir de Location: 13.48 GB publicados como el decimocuarto leak de una plataforma** Un actor bajo el alias NikolaT publicó lo que describe como la base de datos de Comptoir de Location, empresa francesa de renta de equipo para construcción, obra pública, manejo de materiales e industria, cifrando el volumen en 13.48 GB distribuidos en 323,388 archivos. El anuncio lo presenta como el decimocuarto filtrado desde una misma plataforma [6]. Comentario del editor: La numeración seriada (leak número catorce) apunta a un operador con cadencia industrial de publicaciones, no a un incidente aislado. Cuando una plataforma acumula catorce víctimas, el problema deja de ser una empresa descuidada y pasa a ser un flujo de robo sostenido. ## Referencias https://ransomware.live/id/U2VydmlmcnVpdEBtZWR1c2Fsb2NrZXI=https://ransomware.live/id/RXNwaW5vc0B0aGVnZW50bGVtZW4=https://darkwebinformer.com/77-diamonds-customer-file-offered-with-home-addresses-and-appointment-budgets/https://darkwebinformer.com/fanlore-wiki-accounts-circulating-after-otws-self-reported-breach/https://www.transformativeworks.org/news-feed/https://darkwebinformer.com/comptoir-de-location-data-published-as-the-fourteenth-leak-from-one-platform/ ## [Intel MX] 2026-08-26 Extorsión a un ayuntamiento en San Luis Potosí y una ola de padrones electorales latinoamericanos a la venta Source: https://ransomware.mx/intel/2026-08-26/ El día se define por dos frentes: un municipio mexicano bajo presión de extorsión y el saqueo de registros electorales de la región. Hoy no se registraron nuevas víctimas de ransomware en México. La jornada trae un caso concreto en México: un ayuntamiento de San Luis Potosí denunció un hackeo y un intento posterior de extorsión, el patrón clásico de doble presión sobre gobiernos locales. En el plano regional, resalta un mismo actor ofertando padrones electorales de República Dominicana y Chile, con millones de registros incluidos, además de varias bases de datos francesas del sector inmobiliario, urbanístico y de cumplimiento normativo. Cierra la lista una plataforma de reclutamiento educativo cuyos datos de aspirantes salieron a la venta. **Intento de extorsión contra el Ayuntamiento de San Luis Potosí** El Ayuntamiento de San Luis Potosí reportó haber sufrido un hackeo, tras el cual los responsables intentaron extorsionar a la autoridad municipal [1]. El Ayuntamiento de San Luis Potosí fue blanco de un ataque cibernético cuyos responsables intentaron extorsionar al Gobierno Municipal al exigir dinero a cambio de la liberación de la información sustraída, así lo informó el alcalde Enrique Galindo Ceballos. Galindo Ceballos señaló que el Ayuntamiento decidió no entrar en negociaciones con los responsables y optó por recurrir a las autoridades mediante una denuncia de carácter federal. Comentario del editor: Los municipios son blanco recurrente porque suelen operar con presupuestos de ciberseguridad mínimos y datos sensibles de ciudadanos. Que la autoridad reconozca públicamente el intento de extorsión es sano: pagar rara vez cierra el incidente y alimenta el modelo de negocio del atacante. **Padrón electoral dominicano ofertado con fotos de cédula** Un actor identificado como GordonFreeman afirma haber vulnerado la Junta Central Electoral de República Dominicana y ofrece lo que describe como registros ciudadanos junto con imágenes de tarjetas de identidad vinculadas al número de cédula de cada persona [2]. Hasta el momento, no se ha confirmado que los sistemas de la JCE hayan sido vulnerados ni que los datos, en caso de ser auténticos, hayan sido extraídos directamente de esa institución; la denuncia debe considerarse, por ahora, una afirmación no comprobada realizada por un posible actor de amenazas. El conjunto combinaría datos personales con imágenes de identificación, un tipo de material de alto valor para fraude y suplantación. Comentario del editor: La foto de la cédula ligada al número de identificación es lo que eleva el riesgo: no es solo un listado, es material listo para verificación de identidad fraudulenta. Un padrón electoral filtrado no se puede reemplazar como una contraseña. **Padrón electoral de Chile con 13.7 millones de ciudadanos a la venta** El mismo actor, GordonFreeman, anuncia lo que describe como el padrón electoral completo de Chile, atribuyéndolo al SERVEL, el servicio electoral nacional [3]. Un usuario de foro llamado GordonFreeman anuncia el padrón electoral de Chile como base de datos completa; la publicación afirma que los datos cubren 13,737,519 ciudadanos y se atribuyen al SERVEL, en un archivo .DB con una muestra de 500,000 registros que expone nombres completos, números RUT, direcciones y detalles del distrito electoral. El reporte señala que la afirmación no está verificada. Comentario del editor: Dos padrones nacionales del mismo vendedor en un solo día apunta a un actor especializado en datos gubernamentales latinoamericanos. Conviene que las autoridades electorales de la región tomen esto como aviso, no como ruido. **Datos de aspirantes de MyNewTerm, plataforma educativa, en venta** Un actor que se hace llamar 888 ofrece a la venta lo que describe como la base de datos de MyNewTerm, una plataforma de reclutamiento del sector educativo que gestiona el ciclo de contratación de escuelas desde la publicación de la vacante hasta la programación de entrevistas, referencias e incorporación [4]. Comentario del editor: Las plataformas de reclutamiento acumulan CVs, referencias y datos de contacto de candidatos, insumo ideal para phishing dirigido contra personal educativo. **Bases de datos francesas: cumplimiento GDPR, urbanismo e inmobiliaria** En el mismo circuito de foros aparecieron varias filtraciones francesas: un usuario como 0xSec publicó lo que describe como la base de un proveedor de cumplimiento GDPR (metabase.dipeeo.fr) [5] y las tablas de usuarios de docurba.beta.gouv.fr, plataforma estatal usada por autoridades locales para desarrollar documentos de planeación urbana [6]; además, un usuario como sh444d0w difundió gratis la base de la agencia inmobiliaria Agence Vauban, del mercado de Antibes y la Riviera francesa [7]. Comentario del editor: Que las tablas de una plataforma estatal salgan con banderas de administrador es especialmente delicado: facilita mapear cuentas privilegiadas para un acceso posterior. ## Referencias https://sanluis.eluniversal.com.mx/municipios/tras-hackeo-intentan-extorsionar-al-ayuntamiento-de-san-luis-potosi/https://darkwebinformer.com/jce-records-on-7-1-million-dominicans-advertised-with-5-76-million-id-photographs/https://darkwebinformer.com/electoral-roll-data-on-13-7-million-chileans-advertised-as-a-complete-database/https://darkwebinformer.com/mynewterm-applicant-data-on-142-653-users-offered-as-a-one-time-sale/https://darkwebinformer.com/a-french-gdpr-compliance-providers-client-records-shared-on-a-forum/https://darkwebinformer.com/docurba-user-tables-shared-exposing-french-planning-officials-and-admin-flags/https://darkwebinformer.com/agence-vauban-client-accounts-and-property-files-shared-free-on-a-forum/ ## [Intel MX] 2026-08-25 Sin víctimas MX confirmadas; despacho español y filtraciones en Francia Source: https://ransomware.mx/intel/2026-08-25/ Sin víctimas mexicanas confirmadas en la jornada. El foco lo aportan un despacho de abogados en España y dos casos franceses que ilustran la economía de las filtraciones. La jornada no trae víctimas mexicanas confirmadas. En el plano internacional, el grupo Booba Project reclama a un despacho de abogados español y, en Francia, dos casos muestran los circuitos de los foros de filtración: una base agroindustrial publicada gratis y perfiles de un programa de lealtad puestos a la venta. Repasamos lo que se sabe y lo que conviene vigilar. **Federis Abogados reclamado por Booba Project** Ransomware.live detectó el 24 de agosto de 2026 que Federis Abogados fue reclamado por el grupo de ransomware Booba Project, con una descripción de "Law Practice" y datos robados de 61 GB [1]. El anuncio sigue el patrón de doble extorsión, con la amenaza implícita de publicar el material si no hay pago. Cabe precisar que Federis Abogados es un despacho con sede en Madrid, España, no en México. Comentario del editor: Un despacho de abogados es un objetivo de alto valor: custodia expedientes de clientes, comunicaciones privilegiadas y datos personales de terceros. Si los 61 GB son legítimos, el daño no se limita a la firma, sino que se extiende a cada cliente cuyo caso quedó documentado ahí. Aunque el afectado está en España, conviene que despachos del sector legal en México y la región revisen accesos remotos y respaldos: Booba Project es un actor emergente con víctimas en varios países. **Base de Groupe Bernard publicada gratis en un foro** Un usuario que se identifica como NikolaT publicó lo que describe como la base de datos de Groupe Bernard, grupo francés dedicado a granos, nutrición animal y agricultura, con un tamaño de 22.25 GB en 330,563 archivos, calificándola como la decimotercera fuga de una plataforma compartida llamada BlgCloud [2]. Los datos se ofrecen gratis a quien responda, y la afirmación sigue sin verificar. Comentario del editor: Cuando un actor libera datos gratis y en serie, el objetivo suele ser reputación dentro del foro, no dinero directo. Ese modelo abarata el acceso a información corporativa sensible para cualquier oportunista que la descargue. **Perfiles de lealtad de YouFid a la venta** Un usuario que se hace llamar Lagui1337 puso a la venta lo que describe como la base de datos de YouFid, con 1,899,454 registros de clientes franceses de lealtad, por 1,000 euros en criptomoneda [3]. YouFid es un servicio francés de lealtad desmaterializada, explotado por WOAPPY, usado por comercios y restaurantes [3]. El precio solicitado es de 1,000 euros en criptomoneda y la afirmación sigue sin verificar. Comentario del editor: Los programas de lealtad concentran datos de contacto y hábitos de consumo, insumo ideal para phishing dirigido y fraude. El precio bajo por casi dos millones de perfiles muestra lo poco que vale este tipo de dato en el mercado clandestino y lo mucho que puede costarle al consumidor. ## Referencias https://www.ransomware.live/id/RmVkZXJpcyBBYm9nYWRvc0BCb29iYSBQcm9qZWN0https://darkwebinformer.com/groupe-bernard-data-published-free-as-the-thirteenth-leak-from-one-platform/https://darkwebinformer.com/youfid-loyalty-profiles-on-1-9-million-french-customers-offered-for-1-000-euros/ ## [Intel MX] 2026-08-24 Ventas de datos educativos y policiales sacuden a Europa Source: https://ransomware.mx/intel/2026-08-24/ Un día tranquilo en casa, movido afuera: tres bases de datos a la venta apuntan a escuelas, policía y comercio con IA. Hoy no se registraron nuevas víctimas de ransomware en México, pero el panorama global mantiene el mercado de datos robados activo. Tres ofertas circulan en foros clandestinos: documentos escolares italianos, consultas al sistema policial francés y la base de una plataforma de comercio con IA que procesa conversaciones de clientes. Ninguna toca directamente a organizaciones mexicanas, pero los tres casos ilustran vectores que sí nos alcanzan: proveedores educativos, portales gubernamentales y las nuevas plataformas de IA que acumulan datos sensibles de clientes. **Documentos escolares italianos a la venta; Spaggiari disputa el alcance** Un usuario de foro identificado como xpl0itrs ofrece a la venta lo que describe como documentos supuestamente sustraídos de Gruppo Spaggiari Parma, uno de los principales proveedores tecnológicos del sistema educativo italiano [1]. La propia empresa disputa el alcance de la filtración, lo que deja en el aire el tamaño real del compromiso [1]. Conviene tratar las cifras con cautela: hasta que aparezcan muestras de datos verificables, las cifras siguen siendo una afirmación del atacante, no un hecho confirmado [1]. Por ahora, el ataque no ha sido verificado de forma independiente [2]. Comentario del editor: El proveedor educativo es un blanco de alto valor porque concentra datos de miles de instituciones y de menores en un solo lugar. Cuando el atacante golpea al proveedor, cada escuela cliente hereda la brecha sin haber sido tocada directamente. En México dependemos de esquemas equivalentes de software escolar: vale la pena preguntar a nuestros proveedores cómo segmentan y cifran sus repositorios. **Consultas a expedientes policiales franceses a través del portal Calypsso** Un usuario de foro que se hace llamar DumpSecNew vende lo que describe como datos extraídos de Portail Calypsso, un portal de acceso usado para consultar sistemas de la policía nacional francesa [3]. La oferta apunta a información derivada de consultas a expedientes, un dato especialmente sensible por tratarse de sistemas de seguridad del Estado [3]. Comentario del editor: Lo alarmante no es solo el dato robado, sino el acceso al portal de consulta: si el vector fue una credencial o sesión comprometida, el problema es de control de acceso, no de la base en sí. Los portales de consulta gubernamentales rara vez aplican MFA robusto ni detección de exfiltración por volumen. **Base de bitbybit Studio: registros de clientes y logs de chat con IA a la venta** Un usuario identificado como seraphims ofrece la que describe como base de datos de bitbybit.studio, una plataforma de comercio con IA que convierte conversaciones de clientes en WhatsApp e Instagram en pedidos, soporte y pagos [4]. La oferta incluiría registros de clientes y logs de las conversaciones procesadas por la IA [4]. Comentario del editor: Este es el riesgo emergente que más debe vigilar el sector retail y servicios en México: las plataformas de IA conversacional acumulan historiales de chat que mezclan datos personales, direcciones de entrega y a veces información de pago. Cada log de conversación es un expediente completo del cliente. Antes de conectar un bot a WhatsApp o Instagram, hay que exigir claridad sobre dónde y por cuánto tiempo se guardan esas conversaciones. ## Referencias https://darkwebinformer.com/6-1-tb-of-italian-school-documents-offered-for-sale-as-spaggiari-disputes-the-scope/https://www.escudodigital.com/en/cybersecurity/hackers-claim-massive-data-theft-from-thousands-of-students-across-3000-italian-schools.htmlhttps://darkwebinformer.com/french-police-file-queries-allegedly-taken-through-the-calypsso-portal/https://darkwebinformer.com/bitbybit-studio-customer-records-and-ai-chat-logs-offered-for-sale/ ## [Intel MX] 2026-08-23 Kazu golpea la telemedicina: una plataforma de salud usada en México en la mira Source: https://ransomware.mx/intel/2026-08-23/ Cuando el mismo actor toca varias organizaciones de salud en la región en un mismo día, no hablamos de mala suerte: hablamos de un patrón sectorial. La jornada la marca el grupo Kazu, que reivindica varios golpes al sector salud en la región: plataformas de telemedicina y una red de rehabilitación. Todos los casos apuntan al mismo punto débil, los datos clínicos, y confirman que la salud digital de América Latina sigue siendo un blanco preferente para la doble extorsión. **Kazu reivindica a ConsultorioMovil, plataforma de telemedicina con presencia en México** El grupo de ransomware Kazu incluyó en su sitio de filtraciones a ConsultorioMovil, una plataforma digital de salud enfocada en médicos, clínicas y profesionales médicos. Es una plataforma de salud digital diseñada para ayudar a médicos, clínicas y profesionales médicos a gestionar sus operaciones diarias con mayor eficiencia; ofrece herramientas para agendar citas de pacientes, mantener expedientes clínicos electrónicos y realizar consultas de telemedicina por video o mensajería, además de documentación clínica, comunicación con pacientes y tareas administrativas [1]. Cabe precisar que ConsultorioMovil es una plataforma de la región latinoamericana: FutureDocs Latin America consolidó a ConsultorioMOVIL como una de las plataformas de "EHR, telemedicina y engagement de pacientes" de la región, con proyectos desplegados en Argentina, México y Chile [2]. Por el perfil del servicio, cualquier exfiltración abarcaría datos personales y de salud altamente sensibles de pacientes y personal médico. Comentario del editor: Una plataforma de telemedicina concentra lo peor de dos mundos: expedientes clínicos y datos de identidad, todo en un mismo repositorio. Si Kazu exfiltró registros, el daño no se mide en sistemas caídos sino en historiales médicos que ya no se pueden "des-filtrar". Las clínicas que dependen de este tipo de SaaS deben asumir que su exposición no termina en su propio perímetro, sobre todo cuando el proveedor opera en varios países de la región. **El mismo actor pega en Perú: red de rehabilitación OSI** En paralelo, Kazu reivindicó a Centro Médico Especializado OSI. Es un proveedor de salud con sede en Perú especializado en medicina física, rehabilitación, fisioterapia, quiropráctica y medicina alternativa; fundado en 1999 y con sede en Lima, OSI se ha convertido en una de las mayores redes de rehabilitación y fisioterapia del país, operando múltiples clínicas en el área metropolitana de Lima [3]. Estos datos coinciden con la información pública de la organización: se describe como la red de fisioterapia y medicina alternativa más grande del Perú, con sede en Lima y fundada en 1999 [4]. El golpe simultáneo a varias organizaciones de salud el mismo día sugiere una campaña dirigida al sector salud latinoamericano y no incidentes aislados. Comentario del editor: Varias víctimas de salud, varios países, un solo actor y una sola ventana de tiempo: eso es campaña, no coincidencia. Se evalúa con cautela que Kazu se ha enfocado cada vez más en organizaciones de salud en los últimos meses; mientras sus divulgaciones iniciales se concentraban en el sector público, sus víctimas más recientes provienen predominantemente de la industria de la salud, lo que sugiere un creciente interés en datos de salud [5]. Para los CISO de hospitales y clínicas en México, la lectura es que Kazu está cazando por sector y por región, así que conviene revisar accesos remotos, VPN y credenciales de proveedores antes de aparecer en la lista. ## Referencias https://www.ransomware.live/id/Q29uc3VsdG9yaW9Nb3ZpbDogVGVsZW1lZGljaW5lIGFuZCBIZWFsdGhjYXJlIFN5c3RlbUBrYXp1https://futuredocslatam.com/dec-2020-innovative-successful-la-roche-posay-tele-education-cancer-prevention-campaign-with-dermatologists-thru-consultoriomovils-telemedpro-platform/https://ransomware.live/id/Q2VudHJvIE3DqWRpY28gRXNwZWNpYWxpemFkbyBPU0k6IEhlYWx0aGNhcmUgU29sdXRpb25zQGthenU=https://pe.linkedin.com/company/centro-medico-especializado-osihttps://flare.io/learn/resources/blog/impact-analysis-ransomware-attacks-emea-healthcare ## [Intel MX] 2026-08-22 Qilin golpea a Cinépolis y Quaker State en México Source: https://ransomware.mx/intel/2026-08-22/ Dos marcas de peso en México aparecen el mismo día en el listado de un mismo operador de ransomware, mientras Europa vive una jornada de bases de datos en venta. La jornada tiene un centro claro en México: el grupo Qilin sumó a dos organizaciones con presencia nacional, Cinépolis en hospitalidad y entretenimiento y Quaker State en energía y lubricantes, ambas con confianza alta. En el frente global predomina la reventa de bases de datos: retail francés (papelería, cosméticos y productos para bebé), un mercado automotriz saudí volcado por completo con campos de contraseñas y tokens de restablecimiento, y un padrón electoral iraquí ofrecido en venta. El patrón del día son los datos personales a gran escala expuestos por terceros y proveedores. **Cinépolis listada por Qilin** El operador de ransomware Qilin agregó a Cinépolis, la cadena de cine con amplia presencia en México, a su listado de víctimas [1]. No se publicaron detalles del alcance ni evidencia del volumen comprometido, aunque la confianza sobre la aparición de la marca en el sitio de extorsión es alta [1]. Comentario del editor: Cinépolis maneja programas de lealtad, pagos y datos de millones de clientes. Aunque el grupo no ha detallado el botín, una cadena de este tamaño concentra información personal y financiera muy atractiva para doble extorsión. Conviene vigilar si aparece muestra de datos en los próximos días. **Quaker State México en la mira del mismo grupo** El mismo operador, Qilin, listó a Quaker State en México, dentro del sector de energía y lubricantes, con confianza alta [2]. No se difundió resumen del incidente ni el tamaño de la exfiltración reclamada [2]. Comentario del editor: Ver a la misma banda anotar dos marcas mexicanas de sectores distintos el mismo día sugiere una campaña activa contra objetivos en México, no golpes aislados. Vale la pena que equipos de energía y retail revisen accesos externos y credenciales expuestas. **Padrón electoral iraquí a la venta** Un usuario de foro identificado como Knox ofrece en venta lo que describe como datos de registro de votantes de la Alta Comisión Electoral Independiente de Irak [3]. Comentario del editor: Un padrón electoral es material de primer nivel para fraude de identidad y campañas de ingeniería social a escala nacional. La afirmación no está verificada, pero el patrón de exponer datos gubernamentales masivos es una tendencia constante. **Mercado automotriz saudí Speero volcado por completo** Un usuario recién registrado bajo el alias UNC2030 ofrece lo que describe como un volcado completo de speero.net, un mercado de refacciones y servicios automotrices con base en Riad, compuesto por 83 tablas y 11GB de datos en CSV [4]. La oferta menciona campos de contraseñas y tokens de restablecimiento [4]. Comentario del editor: La presencia de contraseñas y tokens de restablecimiento eleva el riesgo más allá del dato personal: habilita secuestro de cuentas si los hashes son débiles o los tokens siguen vigentes. Rotación de credenciales e invalidación de sesiones serían la respuesta mínima. **Retail francés en oferta: papelería y cosméticos** Un usuario bajo el alias misere ofrece por separado lo que describe como la base de clientes de bureau-vallee.fr, cadena francesa de artículos de oficina, con 13,725,669 registros que se reducen a 4,819,927 únicos, atribuyendo la extracción a un proveedor que exportaba cada tienda a diario [5]. El mismo actor vende lo que dice ser la base de beautysuccess.fr, minorista francés de belleza y cosméticos, con 10,279,819 registros que bajan a 5,169,727 únicos, acreditando la fuente a un tercero [6]. Comentario del editor: El hilo común es el proveedor: cuando un tercero exporta datos de todas las tiendas a diario, un solo punto de falla expone a la cadena entera. El riesgo de terceros sigue siendo el talón de Aquiles del retail. **Dos minoristas franceses de productos para bebé, la misma mañana** Un usuario bajo el alias ChimeraZ ofrece lo que describe como la base de allobebe.fr, minorista francés de artículos para bebé, con 2,175,216 registros de 1,136,058 personas y pedidos que abarcan de 2006 a 2026, incluyendo códigos de acceso a edificios [7]. El mismo actor vende lo que dice ser la base de madeinbebe.com, con 1,359,546 líneas de factura de 960,106 personas en 1.45GB de JSON, con direcciones de entrega [8]. Comentario del editor: Datos de familias con menores, direcciones de entrega y hasta códigos de acceso a edificios son una combinación peligrosa por sus implicaciones de seguridad física, no solo digital. Que ambos comercios caigan la misma mañana apunta de nuevo a un proveedor o integrador compartido. ## Referencias https://ransomware.live/id/Q2luw6lwb2xpc0BxaWxpbg==https://ransomware.live/id/UXVha2VyIFN0YXRlIE1leGljb0BxaWxpbg==https://darkwebinformer.com/iraqi-electoral-commission-data-allegedly-offered-for-sale-covering-31-million-citizens/https://darkwebinformer.com/saudi-automotive-marketplace-speero-allegedly-dumped-in-full-including-password-and-reset-token-fields/https://darkwebinformer.com/bureau-vallee-customer-data-allegedly-taken-from-a-supplier-that-exported-every-store-daily/https://darkwebinformer.com/french-beauty-retailer-data-allegedly-up-for-sale-with-the-seller-crediting-a-third-party-source/https://darkwebinformer.com/second-french-baby-retailer-allegedly-breached-the-same-morning-this-time-with-building-entry-codes/https://darkwebinformer.com/nearly-a-million-french-customers-of-a-baby-goods-retailer-allegedly-exposed-with-delivery-addresses/ ## [Intel MX] 2026-08-21 Reclutan desarrollador para un bot de KYC mexicano que captura biometría facial Source: https://ransomware.mx/intel/2026-08-21/ El día lo marca un anuncio en foro clandestino: alguien quiere construir la maquinaria para cosechar identidades mexicanas, no filtrarlas después. En el plano nacional destacan dos frentes: un reclutamiento en un foro de brechas, donde un actor busca desarrollador para armar un bot de verificación de identidad en Telegram que capturaría escaneos de identificación oficial y biometría facial, presentado bajo el pretexto de un proyecto de telecomunicaciones mexicano, y una reivindicación de ransomware. El 21 de agosto de 2026, Aztec Software, una organización del sector tecnológico en México asociada al software de ingeniería, fue listada en un sitio de filtración operado por el grupo DireWolf. En el plano regional y global, se acumulan fugas de bases de datos y sumas de víctimas de ransomware en hotelería, servicios de negocio y tecnología. **Buscan desarrollador para bot de KYC mexicano que cosecha biometría e identificaciones** Un usuario que publica como Cookiegen131 está reclutando en un foro de brechas a un desarrollador para construir un sistema de verificación de identidad basado en Telegram, presentado como parte de un supuesto proyecto de telecomunicaciones en México [1]. El bot capturaría escaneos de identificación oficial y biometría facial de las personas que se registren [1]. La confianza en el hecho es media: el anuncio existe, pero no se puede verificar que el proyecto de telecom sea legítimo ni quién es el destinatario final de los datos. Comentario del editor: La biometría y las identificaciones oficiales no se cambian como una contraseña. Un flujo de KYC montado en Telegram, sin marco legal ni auditoría, es una fábrica de suplantación de identidad: sirve para abrir cuentas, evadir controles antifraude y superar validaciones bancarias con rostro y credencial reales. El envoltorio de proyecto de telecom mexicano es la parte que conviene tomar con pinzas, porque es justo el sector que más normaliza pedir el INE y una selfie. **DireWolf reclama a Aztec Software en México** El 21 de agosto de 2026, Aztec Software, una organización del sector tecnológico en México asociada al software de ingeniería, fue listada en un sitio de filtración operado por el grupo DireWolf. Aztec Software en México fue atacada por el ransomware DireWolf, con impacto en sus archivos ligados al entorno de software de ingeniería. La fecha disponible es la de publicación; no se aporta una fecha de compromiso separada, por lo que la página ofrece evidencia limitada más allá de la reivindicación del actor. [2] Comentario del editor: Es la víctima mexicana confirmada del día. DireWolf opera con doble extorsión, combinando cifrado con la amenaza de exponer datos, así que conviene asumir posible exfiltración aunque el sitio solo muestre el listado inicial. **Filtración de datos de Bergerat Rent en Francia, en su undécima entrega** Un usuario que publica como ChimeraZ difundió lo que describe como la base de datos de bergerat-rent.com, una empresa francesa de renta de equipo de construcción, industrial y de manejo de materiales [3]. La filtración sumaría 43 GB en 132,433 archivos, y el actor nombró explícitamente a BlgCloud como la plataforma compartida de origen. [3] **A la venta la base de clientes de Wrappiness con 3 millones de registros de pedidos** Un usuario que publica como Satanic ofrece en venta lo que describe como la base de datos completa de Wrappiness.co, un comercio estadounidense de regalos personalizados como letreros de madera, adornos y llaveros [4]. El conjunto anunciado contendría 3 millones de registros de pedidos y 115 cuentas de administrador. [4] **El grupo TheGentlemen suma al Magdalena Grand Beach & Golf Resort en Tobago** El grupo de ransomware TheGentlemen listó como víctima al Magdalena Grand Beach & Golf Resort, un hotel de lujo ubicado en Lowlands, en la isla de Tobago. [5] La propiedad ofrece alojamiento frente al mar, acceso a un campo de golf, spa, albercas y canchas de tenis, y es también un destino habitual para bodas. [5] **DireWolf también reclama a iSON XPERIENCES** El grupo de ransomware DireWolf sumó además a iSON XPERIENCES, cuya operación se describe de forma amplia como de servicios de negocio [6]. No hay una fecha de compromiso separada, por lo que el 21 de agosto de 2026 debe tomarse como fecha de publicación y no como fecha confirmada de intrusión. [6] ## Referencias https://darkwebinformer.com/developer-sought-on-a-breach-forum-to-build-a-mexican-kyc-bot-capturing-id-scans-and-face-biometrics/https://ransomware.live/id/QXp0ZWMgU29mdHdhcmVAZGlyZXdvbGY=https://darkwebinformer.com/bergerat-rent-data-allegedly-leaked-in-eleventh-release-with-the-shared-platform-now-named/https://darkwebinformer.com/wrappiness-customer-database-allegedly-offered-for-sale-with-3-million-order-records/https://ransomware.live/id/TWFnZGFsZW5hIEdyYW5kIEJlYWNoIEdvbGYgUmVzb3J0QHRoZWdlbnRsZW1lbg==https://www.ransomware.live/id/aVNPTiBYUEVSSUVOQ0VTQGRpcmV3b2xm ## [Intel MX] 2026-08-20 Qilin lista constructora en LATAM y el cripto se vuelve blanco de datos Source: https://ransomware.mx/intel/2026-08-20/ La jornada mezcla actividad de ransomware en la región con un patrón más amplio: el ecosistema cripto se convierte en mina de datos personales. El día no trae una víctima mexicana confirmada, pero sí actividad regional relevante: el grupo Qilin lista a una constructora en LATAM, y varias señales apuntan al mismo blanco, los datos de quienes se mueven en cripto. Desde servicios de descubrimiento de activos en Solana anunciados en foros criminales hasta la supuesta exposición de compradores de carteras de hardware, ligando nombres a domicilios. En salud, CareCloud confirmó el robo de información personal y expedientes médicos de más de 3.75 millones de personas. El hilo común es la monetización de la identidad: donde hay saldo o expediente, hay quien lo cosecha. **Qilin lista a Constructora Jiménez** El grupo de ransomware Qilin reclamó como víctima a Constructora Jiménez, una empresa del sector de la construcción. El 19 de agosto de 2026, Qilin reclamó públicamente la responsabilidad de un ciberataque contra Constructora Jiménez y amenazó con filtrar datos sensibles salvo que se inicien negociaciones. La publicación aparece en su portal de extorsión, patrón habitual del grupo para presionar el pago antes de filtrar información robada. No se difundieron detalles sobre volumen de datos, muestras ni monto exigido. Comentario del editor: la organización afectada corresponde al dominio constructorajimenez.com, que apunta a una empresa de la costa caribeña colombiana, no a México; se corrige la atribución geográfica y no se contabiliza como víctima mexicana. Qilin opera bajo modelo de doble extorsión, así que la ausencia de muestras hoy no significa que no las haya: suele ser la primera etapa de la negociación. Para una constructora el riesgo típico son contratos, planos, nóminas y datos de clientes y proveedores. El caso es en LATAM, pero el patrón aplica a constructoras mexicanas: conviene asumir compromiso de correo y respaldos, y validar accesos remotos. **CareCloud expone expedientes de más de 3.75 millones de pacientes** La empresa de tecnología para salud CareCloud confirmó una brecha de datos. Atacantes robaron información personal y expedientes médicos de más de 3.75 millones de personas durante un ciberataque en la empresa de datos de salud CareCloud [1]. Con sede en Nueva Jersey, CareCloud almacena expedientes médicos en la nube para más de 45,000 profesionales de la salud a nivel nacional, por lo que la brecha afecta a personas más allá de quienes usan directamente el servicio. La brecha coloca al proveedor tecnológico, no al hospital, como punto de falla que arrastra a millones de terceros. Comentario del editor: es el riesgo de cadena de suministro en salud: comprometer a un solo proveedor de software clínico rinde más que atacar cientos de clínicas. Aunque el incidente es en EU, muchas organizaciones de salud en México dependen de plataformas regionales similares; vale la pena revisar qué datos comparten con terceros y bajo qué garantías contractuales. **Servicio de barrido de carteras Solana anunciado en foro criminal** Un usuario recién registrado bajo el alias danbalan promociona Checkermax, un servicio por suscripción que escanea direcciones de carteras Solana en busca de tenencias no visibles en una consulta de saldo estándar [2]. La herramienta apunta a identificar activos ocultos a escala, insumo directo para campañas de robo dirigidas. Comentario del editor: el escaneo masivo de carteras es reconocimiento previo al golpe: primero se filtra por quién tiene saldo, luego llega el phishing o el drenaje. Cualquier tenedor de Solana en México debería asumir que su dirección pública ya es rastreable y evitar reutilizar direcciones ligadas a su identidad. **Filtración apunta a compradores de carteras de hardware** Un usuario de foro bajo el alias kingloki ofrece lo que describe como una exportación completa de pedidos de coincustody.io, un revendedor argentino de carteras de hardware Trezor y Ledger [3], ligando compradores con nombre a domicilios. El dato conecta identidad física con posesión de activos cripto. Comentario del editor: este es el escenario más peligroso para un tenedor de cripto: no un hackeo de la cartera, sino saber quién la tiene y dónde vive. Ligar nombre y domicilio a la compra de un dispositivo de custodia habilita extorsión, robo físico y ataques de wrench. El modelo de revendedor local se repite en toda la región, México incluido. ## Referencias https://darkwebinformer.com/carecloud-data-breach-exposes-medical-records-of-more-than-3-75-million-patients/https://darkwebinformer.com/solana-asset-discovery-service-advertised-on-a-criminal-forum-with-bulk-wallet-scanning/https://darkwebinformer.com/argentine-hardware-wallet-retailer-allegedly-exposed-linking-named-buyers-to-home-addresses-and-id-numbers/ ## [Intel MX] 2026-08-19 Sin víctimas locales, tres frentes que vigilar afuera Source: https://ransomware.mx/intel/2026-08-19/ Un día tranquilo en casa, pero con tres señales de riesgo que conviene traducir al contexto mexicano. Hoy no se registraron nuevas víctimas de ransomware en México. La jornada se arma con contexto internacional: la venta de un supuesto respaldo de imagenología médica de un hospital de Beijing, la exportación de datos de comercios usando llaves API de Stripe comprometidas, y una firma francesa de laboratorios acreditados listada por el grupo 3AM. Ninguno toca directamente a organizaciones mexicanas, pero los tres patrones (datos de salud, abuso de credenciales de pago y doble extorsión en manufactura y servicios técnicos) son exactamente los que golpean aquí cuando cambian de continente. **Supuesto respaldo de imagenología del Hospital 301 de Beijing a la venta** Un usuario de foro que se identifica como Knox ofrece lo que describe como datos de respaldo extraídos del Hospital General del EPL en Beijing, conocido comúnmente como Hospital 301, con material de imagenología médica [1]. El Hospital General del Ejército Popular de Liberación, conocido por su nombre en clave Hospital 301, es un importante sistema hospitalario y escuela de medicina del Ejército Popular de Liberación, y es también el mayor sistema hospitalario militar de China. La publicación llega con un titular llamativo que no se ha podido verificar, por lo que el alcance y la autenticidad del conjunto siguen sin confirmarse [1]. Comentario del editor: El valor de los datos de imagenología no está en la foto sino en los metadatos: identificadores de paciente, fechas y equipos. En México el sector salud carga con expedientes que rara vez se cifran en reposo; una fuga así en un hospital local sería difícil de contener y de notificar. Tratar la afirmación con pinzas mientras no haya muestras validadas. **Datos de comercios exportados con llaves API de Stripe comprometidas** Un usuario que se hace llamar Satanic publicó lo que describe como conjuntos de datos presuntamente exportados de cuentas de comercios en Stripe usando llaves API comprometidas [2]. Un reporte externo describe un conjunto de datos publicado en un foro de venta de datos que contiene llaves API activas de Stripe de cientos de cuentas de comercios junto con datos de clientes y pagos extraídos de ellas; Stripe en sí no fue comprometida, ya que las llaves pertenecen a los comercios, y con una llave activa los investigadores pudieron acceder a la lista de clientes de un comercio y crear un enlace de pago fraudulento. La afirmación apunta a un abuso de credenciales de la plataforma de pagos más que a una brecha en la infraestructura de Stripe [2]. Comentario del editor: Este es el patrón que más debería preocupar a comercios mexicanos: no se rompe al proveedor de pagos, se roban las llaves del negocio que lo usa. Llaves de producción en repositorios, variables de entorno mal protegidas o en el navegador terminan drenando datos de clientes sin disparar una sola alerta. Se puede aumentar la seguridad de una llave secreta o restringida limitando las direcciones IP que pueden usarla para enviar solicitudes de API, lo cual se recomienda si el servicio tiene rangos de IP de salida estables. Rotar llaves, restringirlas por permisos y por IP, y vigilar el volumen de exportaciones deja de ser opcional. **3AM lista a MECASEM, laboratorio francés acreditado** El grupo de ransomware 3AM incluyó en su sitio de filtraciones a MECASEM (mecasem.org) [3]. MECASEM ofrece una amplia gama de soluciones acreditadas bajo ISO 17025 (COFRAC) y certificadas EN 9100 e ISO 9001, y opera desde 2012. Ransomware.live descubrió el 19 de agosto de 2026 que mecasem.org fue reivindicada por el grupo de ransomware ThreeAM. La publicación en el portal de la banda apunta al esquema habitual de doble extorsión con presión mediante exposición de datos [3]. Comentario del editor: Los operadores de 3AM usan una estrategia de doble extorsión que combina el cifrado de archivos con el robo de datos y amenazas de filtrar la información robada. Los laboratorios de ensayo y certificación son objetivos jugosos porque custodian propiedad intelectual y datos de sus clientes industriales, lo que amplía la superficie de chantaje más allá de la propia víctima. Sector equivalente en México (certificación, metrología, manufactura) debería asumir que la cadena de proveedores es el vector. ## Referencias https://darkwebinformer.com/medical-imaging-backup-from-beijings-301-hospital-offered-for-sale-with-an-unverifiable-headline-claim/https://darkwebinformer.com/merchant-data-from-hundreds-of-stripe-accounts-allegedly-exported-using-1-033-compromised-api-keys/https://ransomware.live/id/bWVjYXNlbS5vcmdAdGhyZWVhbQ== ## [Intel MX] 2026-08-18 Sin víctimas nuevas en México; datos de salud y gobierno se filtran en tres continentes Source: https://ransomware.mx/intel/2026-08-18/ Un día sin fuego en México, pero con carpetas ajenas abiertas de par en par: educación, salud pública y reclutamiento como blancos del día. Hoy no se registraron nuevas víctimas de ransomware en México. La jornada la marcan filtraciones fuera del país que, sin embargo, dibujan patrones que sí nos tocan: ministerios de educación con expedientes de seguimiento estudiantil, sistemas nacionales de salud publicados en espejos múltiples, plataformas de reclutamiento con identificaciones y videos, y una base de datos web3 expuesta por una simple configuración sin llaves. Cinco actores distintos, un mismo hilo conductor: datos personales sensibles ofertados o regalados en foros criminales, con datos de menores y biometría de por medio. **Ministerio de Educación de Francia, presuntamente vulnerado con directorios de personal y expedientes de seguimiento estudiantil** Un usuario de foro que se identifica como ZeroBytes afirma haber comprometido a Education Nationale, el ministerio de educación nacional de Francia, y pone a la venta lo que describe como una base parcial de 346,178,591 líneas en bruto repartidas en tres carpetas, incluyendo directorios de personal y registros de monitoreo de estudiantes [1]. Comentario del editor: La cifra de 346 millones de líneas casi nunca equivale a personas: suele inflarse con logs y filas duplicadas. De hecho, deduplicado, el actor sitúa el conjunto en 4,350,358 identificadores de personal y 1,224,291 estudiantes, y advierte que la cifra de personal abarca décadas de registros históricos, no solo docentes en activo. Lo que sí preocupa es la categoría del dato: las exportaciones nombradas incluyen sistemas usados para seguir a alumnos identificados como en dificultad o en riesgo de abandono, de modo que los registros conciernen a menores y asocian un juicio sobre sus circunstancias a su identidad. Es un recordatorio de que las secretarías de educación, aquí y allá, concentran datos de menores con controles muy por debajo de su sensibilidad. **Gobierno departamental de Santa Cruz, Bolivia: expedientes médicos de manipuladores de alimentos e imágenes de identificación, regalados** Un usuario que se hace llamar konata_izumi_shell afirma haber vulnerado INOCUIDAD, el sistema de inocuidad alimentaria y control sanitario operado por el Gobierno Autónomo Departamental de Santa Cruz, en Bolivia, y publicó los datos para descarga gratuita, exponiendo presuntamente datos de identidad, resultados de exámenes médicos y fotografías de carnets sanitarios de manipuladores de alimentos, junto con registros de empresas y datos de ubicación [2]. Comentario del editor: Que se regale en lugar de venderse suele indicar dos cosas: baja expectativa de lucro o una motivación más cercana al golpe reputacional. En cualquier caso, la exposición de fotografías de identificación y datos de salud habilita fraude e ingeniería social a la medida contra las víctimas. El material presuntamente incluye resultados de tamizaje médico para hepatitis, tuberculosis, enfermedad de Chagas e ITS, una categoría especialmente delicada. **Plataforma keniana de reclutamiento Snapstartalent, presuntamente extraída con identificaciones, CV y entrevistas en video** Un usuario identificado como exfilar ofrece lo que describe como una extracción en vivo del backend de producción de Snapstartalent.com, una plataforma de reclutamiento de Kenia, con documentos de identidad nacional, currículums y entrevistas grabadas en video [3]. Comentario del editor: Las bolsas de trabajo son un objetivo goloso: reúnen identificación oficial, historial laboral y hasta biometría facial de los videos, todo asociado a personas que buscan empleo y responden fácil a mensajes de reclutadores. Es material ideal para suplantación y estafas de ofertas laborales. **Bases del fondo nacional de salud de Serbia, presuntamente publicadas en varios espejos de archivos** Un usuario que se identifica como bytetobreach afirma tener bases de datos pertenecientes al RFZO, el Fondo Republicano del Seguro de Salud de Serbia, y publicó enlaces al material en varios servicios distintos de alojamiento de archivos [4]. Comentario del editor: Distribuir el mismo botín en múltiples espejos es una táctica de resiliencia: se anticipa a las bajas por denuncia y garantiza que el dato siga circulando. Una vez que un padrón de salud pública se replica así, retirarlo es prácticamente imposible. **Casino web3 Intraverse, expuesto por una base Firebase sin llaves** Un usuario identificado como exfilar publicó lo que describe como la base de datos Realtime completa de producción detrás de intraverse.io, la plataforma de apuestas web3 Intraverse/Gamifi, incluida la infraestructura de su propio bot de la casa [5]. Intraverse.io, una plataforma de apuestas web3, expuso su base de datos Firebase Realtime de producción sin autenticación, revelando alrededor de 16.9 millones de registros. Comentario del editor: No hubo hackeo sofisticado: una base Firebase sin autenticación queda abierta a quien la consulte. Que el volcado incluya el stack del bot de la casa es el detalle jugoso para un casino, expone cómo se comporta la banca. En web3, el eslabón débil sigue siendo la configuración básica de la nube. ## Referencias https://darkwebinformer.com/french-ministry-of-education-allegedly-breached-with-staff-directories-and-student-monitoring-records-offered-for-sale/https://darkwebinformer.com/bolivian-departmental-government-allegedly-breached-exposing-food-handler-medical-records-and-id-photographs/https://darkwebinformer.com/kenyan-recruitment-platform-snapstartalent-allegedly-dumped-with-national-ids-resumes-and-recorded-video-interviews/https://darkwebinformer.com/serbian-national-health-insurance-databases-allegedly-published-across-multiple-file-mirrors/https://darkwebinformer.com/web3-casino-intraverse-allegedly-exposed-by-a-keyless-firebase-database-including-its-own-house-bot-stack/ ## [Intel MX] 2026-08-16 Grupo spacebears reclama a SEARS de Grupo Sanborns Source: https://ransomware.mx/intel/2026-08-16/ Un solo golpe, pero al corazón del retail mexicano: la marca del Grupo Carso aparece en un muro de extorsión. La jornada trae un único incidente en México, pero no es menor. El grupo de ransomware spacebears sumó a SEARS, operada por Grupo Sanborns y ligada al conglomerado Grupo Carso de la familia Slim, a su listado de víctimas. Se trata de una de las cadenas de tiendas departamentales más emblemáticas del país, con presencia nacional. No hay contexto regional relevante hoy, así que la mirada se concentra en el alcance de esta reclamación y en lo que implicaría para uno de los grupos empresariales más grandes de México. **spacebears reclama a SEARS (Grupo Sanborns)** El grupo de ransomware spacebears publicó a SEARS (Grupo Sanborns, S.A. de C.V.) en su portal de extorsión [1]. SEARS (Grupo Sanborns, S.A. de C.V.) es una destacada empresa mexicana de retail y una subsidiaria clave de Grupo Carso, propiedad de la familia Slim, fundada en 1903 por los hermanos Sanborn [1]. La compañía opera dos de las marcas más conocidas del país: Sears, enfocada en tiendas departamentales de gama media, y Sanborns, con su formato de tienda y restaurante [1]. Según el registro del muro de la víctima, los operadores afirman que aparecerán archivos "AttentionDemo" antes de una publicación a gran escala [1], esquema típico de doble extorsión. Al cierre de esta edición no había confirmación pública de la empresa sobre el alcance, el tipo de datos comprometidos ni la afectación operativa. Comentario del editor: El valor de un reclamo así no está solo en SEARS: está en el ecosistema de Grupo Sanborns y Grupo Carso, donde una intrusión mal contenida puede tener superficie compartida entre marcas. Mientras no haya muestra de datos ni postura oficial, hay que tratar la reclamación como afirmación del atacante y no como brecha confirmada, pero el perfil de la víctima obliga a vigilar de cerca cualquier evidencia que publiquen. ## Referencias https://www.ransomware.live/id/U0VBUlMgKEdydXBvIFNhbmJvcm5zKUBzcGFjZWJlYXJz ## [Intel MX] 2026-08-15 Sin víctimas nuevas en México, y una plataforma coreana expuesta por un backend abierto Source: https://ransomware.mx/intel/2026-08-15/ Día tranquilo en el frente local, pero afuera un recordatorio caro de lo que cuesta dejar un backend sin candado. Hoy no se registraron nuevas víctimas de ransomware en México, así que la edición mira hacia afuera. El caso del día viene de Corea del Sur, donde un actor de foro asegura haber vaciado por completo el backend de producción de una plataforma de reparto de comida gracias a un acceso de escritura anónima que quedó abierto. Es un incidente extranjero, pero la mecánica (una fuga masiva por un error de configuración expuesto a internet) es exactamente el tipo de descuido que también golpea a operadores mexicanos de servicios digitales. **Plataforma de reparto coreana FLY presuntamente extraída completa por escritura anónima en el backend** Un usuario de foro que se identifica como exfilar ofrece lo que describe como una extracción completa y en vivo del backend de producción de flyfly.co.kr, una plataforma coreana de reparto de comida. El acceso se atribuye a reglas de Firebase ausentes, que dejaron Firestore y Cloud Storage legibles y escribibles sin autenticación [1]. Se dice que el conjunto de datos contiene 47.9 millones de registros y 46.6 GB de datos [1]. El presunto volcado incluiría números de registro de residencia de los repartidores, contraseñas en texto plano, detalles de entrega de clientes, credenciales de pago y otros registros sensibles, aunque la afirmación permanece sin verificar [1]. El alcance y la veracidad, al provenir de la publicación del propio vendedor, deben tomarse con cautela. Comentario del editor: El detalle que importa no es el precio, sino el vector: si el backend admitía escritura anónima, no hubo hackeo sofisticado, hubo una puerta abierta. Ese mismo patrón (bases de datos y APIs de producción expuestas sin credenciales) es una de las causas más frecuentes de fugas en plataformas de delivery, e-commerce y fintech en LATAM. Vale revisar buckets, endpoints y consolas administrativas expuestas antes de que aparezca un anuncio con tu nombre. ## Referencias https://darkwebinformer.com/korean-delivery-platform-fly-allegedly-dumped-in-full-after-backend-left-open-to-anonymous-write-access/ ## [Intel MX] 2026-08-14 Sin víctimas MX, mientras Francia y LATAM cargan la jornada de filtraciones Source: https://ransomware.mx/intel/2026-08-14/ Un día tranquilo en casa no significa un día tranquilo en la región: la fintech latinoamericana ya aparece en la mira. Hoy no se registraron nuevas víctimas de ransomware en México, pero el panorama regional y global se mantiene activo. Destaca una fintech latinoamericana, Zro Global, cuya cartera de reclutamiento habría sido expuesta con audios de entrevistas incluidos, un recordatorio de que los datos de candidatos son un vector subestimado. En paralelo, Francia concentra varios golpes (administración tributaria, catastro, bases de consumidores), un corredor de datos estadounidense se pone a la venta, y Bolivia suma una agencia estatal comprometida. Ninguno toca directamente a México, pero varios operan en jurisdicciones y modelos de negocio que sí nos alcanzan. **Fintech latinoamericana Zro Global: cartera de reclutamiento a la venta con audios de entrevistas** Un actor identificado como sta6 ofrece lo que describe como el pipeline completo de reclutamiento de Zro Global, una fintech latinoamericana, cubriendo cada hilo de contratación procesado por su plataforma hasta el 8 de agosto de 2026, con audios de entrevistas incluidos [1]. La afirmación no está verificada de forma independiente. Comentario del editor: Los datos de candidatos suelen quedar fuera del alcance de los programas de protección de datos de clientes, pero contienen CV, identificaciones y ahora audio de voz, material ideal para fraude dirigido y suplantación. Que sea una fintech de la región eleva el interés: cualquier organización mexicana que haya postulado talento o compartido plataforma de RH debería revisar su exposición. **Administración tributaria francesa: registros de contribuyentes ofrecidos vía VPN interno** El grupo que se hace llamar ZeroBytes afirma haber vulnerado el portal público de la administración tributaria francesa y pone a la venta una base parcial de 678,438 registros fechada en junio de 2026 [2]. Los actores señalan que obtuvieron credenciales de VPN de servidores internos, las usaron para llegar a una herramienta de búsqueda interna que abarcaba tanto a contribuyentes particulares como empresas, y comenzaron a extraer datos antes de ser desconectados. El mismo actor reclama una segunda intrusión contra el servidor catastral profesional de la Direction générale des Finances publiques, exponiendo a titulares de propiedades y asegurando que el acceso sigue vigente [3]. El Ministerio de Economía de Francia confirmó un acceso ilegítimo a los sistemas de información de la Direction générale des Finances publiques [2]. Comentario del editor: Dos intrusiones reclamadas por el mismo actor contra la misma dependencia, con acceso presuntamente persistente, apuntan a una brecha estructural más que a un incidente aislado. El acceso vía VPN interno sugiere credenciales comprometidas o un dispositivo perimetral sin parchar. **Corredor de datos EnformionGO a la venta: perfiles con historiales de domicilio** Un vendedor identificado como palmbeachpete anuncia lo que describe como la base de datos de EnformionGO, plataforma estadounidense de verificación de identidad y búsqueda de personas operada por Enformion, con perfiles que incluyen historiales de direcciones [4]. Comentario del editor: Los corredores de datos son un punto único de falla masivo: agregan expedientes de cientos de millones de personas que nunca les entregaron nada directamente. Una filtración así alimenta durante años campañas de phishing e ingeniería social a escala industrial. **Bolivia: agencia estatal de vivienda con registros de personal publicados** Un actor identificado como konata_izumi_shell afirma haber vulnerado la Agencia Estatal de Vivienda de Bolivia, responsable de política habitacional y programas de vivienda social, y haber extraído su base completa de personal con 36,046 registros que incluyen números de identidad [5]. **Base de consumidores belga expuesta sin autenticación: cuentas bancarias** Un actor identificado como exfilar afirma haber encontrado una base de datos de marketing sin proteger con 148,251 registros de consumidores belgas, presuntamente accesible sin autenticación ni cifrado, incluyendo números de cuenta bancaria y fechas de nacimiento [6]. El mismo actor también reclama que dos buckets de almacenamiento en la nube de ABC-Map, herramienta geoespacial de la FAO de la ONU financiada por la Agencia Francesa de Desarrollo, quedaron públicamente accesibles con 138,000 archivos de fronteras gubernamentales expuestos [7]. Comentario del editor: El denominador común no es un exploit sofisticado sino la mala configuración: bases sin cifrar y buckets abiertos. Es el tipo de error barato y evitable que sigue causando la mayoría de las exposiciones masivas. **Llaves de deep link en vivo para phishing sobre un dominio confiado por 2,553 apps** El actor exfilar vende tres llaves de API de producción en vivo para Branch, plataforma de deep linking móvil, que según afirma permiten crear enlaces ilimitados sobre el dominio compartido por defecto de Branch, bnc[.]lt, confiado por 2,553 aplicaciones [8]. Comentario del editor: Un dominio legítimo y con reputación es el activo más caro para un atacante de phishing, y aquí lo obtienen prestado. Enlaces maliciosos servidos desde una infraestructura de confianza evaden filtros de correo y sospecha del usuario por igual. **Ransomware global: nueva víctima retail en EE. UU. y parte de actividad diaria** El grupo thegentlemen reclama como víctima a Plaza Auto Mall [9]. Plaza Auto Mall es un grupo de concesionarios familiar con sede en Brooklyn, Nueva York, que sirve a conductores locales desde 1975, y ofrece un inventario extenso de más de 1,000 vehículos nuevos, usados y certificados de multiples marcas automotrices en un solo lugar. El parte de actividad diaria de ransomware del 13 de agosto de 2026 recopila el movimiento global de grupos de extorsión [10]. ## Referencias https://darkwebinformer.com/zro-global-hiring-platform-allegedly-breached-55-866-candidates-exposed-along-with-interview-audio/https://darkwebinformer.com/french-tax-administration-allegedly-breached-via-internal-vpn-678-000-taxpayer-records-offered/https://darkwebinformer.com/french-cadastral-data-server-allegedly-breached-2-million-property-holders-exposed-and-access-still-claimed/https://darkwebinformer.com/data-broker-enformiongo-allegedly-for-sale-315-million-person-profiles-with-address-histories-listed/https://darkwebinformer.com/bolivias-state-housing-agency-allegedly-breached-36-046-staff-records-with-identity-numbers-published/https://darkwebinformer.com/belgian-consumer-database-allegedly-exposed-148-251-citizens-with-bank-account-numbers-and-birth-dates/https://darkwebinformer.com/un-fao-climate-mapping-tool-allegedly-left-publicly-writable-138-000-government-boundary-files-exposed/https://darkwebinformer.com/seller-offers-live-deep-link-keys-enabling-phishing-on-a-shared-domain-trusted-by-2-553-apps/https://darkwebinformer.com/ransomware-attack-update-august-13th-2026/https://darkwebinformer.com/ransomware-attack-update-august-13th-2026/ ## [Intel MX] 2026-08-12 Sin víctimas en México; el turismo y las pymes cargan el día en LATAM y Europa Source: https://ransomware.mx/intel/2026-08-12/ Jornada sin fuego en casa, pero con datos de pasaportes, expedientes de salud y código fuente circulando en foros de la región. Hoy no se registraron nuevas víctimas de ransomware en México. El pulso del día lo marca la actividad en foros de filtración con blancos en el Caribe, Brasil y Francia: una supuesta brecha a la mayor corporación turística estatal de Cuba con registros de pasaportes, la publicación de una base de datos brasileña que expondría condiciones médicas e identificaciones nacionales, y la exposición de la base y el código fuente de una plataforma de marketing B2B francesa. Ninguno toca a México de forma directa, pero los tres perfilan el mismo apetito: datos personales sensibles y sistemas completos ofrecidos por actores individuales. **Gran Caribe Hotel Group: registros de pasaportes a la venta** Un actor identificado como exfilar puso a la venta lo que describe como un volcado completo de Gran Caribe Hotel Group, la principal cadena hotelera de Cuba, con hoteles ubicados en las zonas turísticas más importantes del país, incluyendo registros de pasaportes de huéspedes y sistemas corporativos [1]. La confianza es media: se trata de un anuncio en foro, sin verificación independiente de la corporación afectada. Comentario del editor: Los datos de pasaporte son oro para el fraude de identidad transfronterizo y no caducan como una tarjeta. Aunque la víctima es cubana, huéspedes de múltiples nacionalidades, incluidos mexicanos que vacacionan en Cuba, podrían estar en esos respaldos. Vale seguir el hilo por si aparecen reventas segmentadas por país. **HerbaSis: condiciones médicas e identificaciones de clientes brasileños expuestas** Un actor bajo el alias DarkMafiaX publicó lo que describe como la base de datos de HerbaSis, una plataforma brasileña de gestión de negocios usada por consultores de nutrición independientes para dar seguimiento a clientes, pedidos, citas y evaluaciones de bienestar [2]. El volcado expondría condiciones médicas y números de identificación nacional de los clientes [2]. Confianza media, al tratarse de una publicación en foro sin confirmación de la plataforma. Comentario del editor: La combinación de condición médica más identificación nacional es especialmente delicada: habilita extorsión dirigida y fraude en salud. Es un recordatorio para el ecosistema de SaaS de bienestar en LATAM, incluido México, de que agregar datos clínicos de terceros los convierte en un blanco de alto valor sin necesidad de ser un hospital. **HeyPulse: base de datos y código fuente completo filtrados** Un usuario de foro con el alias slvsh3r publicó lo que describe como la base de datos y el código fuente completo de HeyPulse, una plataforma de marketing B2B francesa que opera juegos con premios para ayudar a negocios locales a generar reseñas de Google y mejorar su visibilidad [3]. Una publicación aparecida el 11 de agosto de 2026 en un foro cibercriminal reivindica una ciberataque contra HeyPulse, con la base de datos y el código fuente potencialmente comprometidos. La filtración expondría a los clientes de pequeñas empresas francesas usuarias del servicio [3]. Confianza media: anuncio en foro sin verificación del proveedor. Comentario del editor: Cuando se filtra el código fuente además de la base, el problema no termina con reemplazar contraseñas: quedan expuestas llaves, lógica de negocio y posibles vulnerabilidades reutilizables contra otros despliegues. Es el peor escenario para un proveedor pequeño. ## Referencias https://darkwebinformer.com/gran-caribe-hotel-group-allegedly-breached-26-000-guest-passport-records-and-full-corporate-systems-offered/https://darkwebinformer.com/herbasis-database-allegedly-leaked-exposing-brazilian-customers-medical-conditions-and-national-id-numbers/https://darkwebinformer.com/heypulse-database-and-full-source-code-allegedly-leaked-exposing-french-small-business-clients/ ## [Intel MX] 2026-08-11 Padrones nacionales de LATAM en la mira: RENAPER argentino Source: https://ransomware.mx/intel/2026-08-11/ Sin nombres mexicanos en el tablero, pero un recordatorio regional de que la identidad y los datos personales siguen siendo el botín. Hoy no se registraron nuevas víctimas de ransomware en México. La jornada la marca América Latina: un actor asegura tener el padrón de identidad de Argentina, con domicilios incluidos. El hilo es claro: los datos que identifican a una persona son el objetivo que no descansa. **RENAPER argentino: base de identidad ofrecida a la venta** Un actor que se identifica como GordonFreeman afirma poseer la base del Registro Nacional de las Personas (RENAPER) de Argentina, la autoridad nacional responsable de la identidad ciudadana y de la emisión del DNI [1]. La muestra supuestamente incluye números de DNI, domicilios, números telefónicos e incluso datos de menores, pero la afirmación permanece sin verificar. La afirmación es del actor y aún no cuenta con validación independiente; el RENAPER no ha respondido públicamente. Comentario del editor: Un padrón de identidad nacional con direcciones no es un incidente cualquiera: habilita fraude de identidad, extorsión dirigida y phishing con datos reales de por vida, porque un DNI y un domicilio no se rotan como una contraseña. Conviene recordar que el RENAPER ya fue blanco de incidentes similares en el pasado; aunque el objetivo es Argentina, cualquier padrón poblacional de la región debería leer esto como una advertencia sobre lo que un solo repositorio centralizado pone en juego. ## Referencias https://darkwebinformer.com/argentinas-national-identity-registry-allegedly-leaked-48-million-citizen-records-with-home-addresses-offered/ ## [Intel MX] 2026-08-10 Qilin suma a Price Shoes al retail mexicano bajo extorsión Source: https://ransomware.mx/intel/2026-08-10/ El retail vuelve a la mira: una cadena mexicana de calzado aparece en el muro de un grupo conocido, mientras la extorsión al mismo sector cruza el Atlántico. La edición de hoy gira en torno al comercio minorista. En México, la cadena de calzado Price Shoes fue listada por el grupo de ransomware Qilin, un operador con historial de doble extorsión que suele combinar cifrado con robo de datos antes de publicar a sus víctimas. En el plano regional, el grupo TheGentlemen reclamó a Mikel Coffee, una cadena griega de cafeterías, lo que confirma que el retail sigue siendo un blanco preferente por su combinación de datos de clientes, operación distribuida y baja tolerancia a la interrupción. No hay montos ni notas de rescate confirmados públicamente en ninguno de los dos casos. **Price Shoes listada por Qilin** El grupo de ransomware Qilin agregó a Price Shoes, cadena mexicana del sector calzado y comercio electrónico, a su lista de víctimas publicadas [1]. Price Shoes fue señalada por el grupo Qilin en México, si bien se trata de afirmaciones públicas hechas por el propio grupo de ransomware. No se difundieron detalles verificados del volumen de datos comprometidos, la nota de rescate ni evidencia de exfiltración al momento de esta edición. Los afiliados de Qilin son conocidos por utilizar ransomware de doble extorsión, lo que implica cifrar los datos de la víctima para interrumpir operaciones mientras se amenaza con publicar información sensible en su sitio de filtraciones alojado en Tor, con el fin de aumentar la presión para recibir el rescate. Comentario del editor: Una aparición en el muro de fugas no equivale a confirmación del alcance: puede ser un acceso parcial inflado para presionar. Aun así, para una cadena de retail con e-commerce el riesgo real está en los datos de clientes y en la continuidad de operación en temporada de ventas. Vale monitorear si Qilin sube muestras y vigilar comunicaciones oficiales de la empresa. **TheGentlemen reclama a la cadena griega Mikel Coffee** En el contexto regional y global, el grupo TheGentlemen reivindicó como víctima a Mikel Coffee [2]. Mikel Coffee Company es una destacada cadena griega de cafeterías que inició en 2008 en la ciudad de Larisa y se ha expandido hasta convertirse en una marca global, con una red de más de 410 cafeterías en 19 países. El caso, ubicado fuera de México, refuerza que las cadenas de retail y servicios de alimentos con operación multinacional siguen siendo objetivo frecuente de operadores de extorsión, dada su superficie distribuida de puntos de venta y datos de clientes. Cabe notar que TheGentlemen (también rastreado como Storm-2697) es un programa de ransomware como servicio activo desde al menos julio de 2025, cuyos operadores probablemente estuvieron activos meses antes como afiliados (conocidos como ArmCorp) de Qilin RaaS. Comentario del editor: Lo cito no por su geografía sino por el patrón: retail con franquicias y muchos puntos de venta es terreno fértil para el ransomware. Cualquier cadena mexicana con estructura similar debería leer este caso como espejo, no como noticia ajena. ## Referencias https://ransomware.live/id/UHJpY2UgU2hvZXNAcWlsaW4=https://ransomware.live/id/TWlrZWwgQ29mZmVlQHRoZWdlbnRsZW1lbg== ## [Intel MX] 2026-08-08 Presidencia mexicana en la mira: base de peticiones ciudadanas a la venta Source: https://ransomware.mx/intel/2026-08-08/ El día lo marca una supuesta filtración del sistema de peticiones ciudadanas de la Presidencia; alrededor, un patrón global de bases gubernamentales y datos biométricos a la venta. Hoy no se registraron nuevas víctimas de ransomware en México. La edición de hoy tiene un solo incidente con bandera mexicana, pero pesado: un actor asegura tener la base del Sistema de Atención Ciudadana de la Presidencia. En el plano internacional se repite el mismo guion que llevamos observando: registros gubernamentales, huellas dactilares, números telefónicos y hasta llaves privadas puestos en foros. Cierra un caso corporativo distinto, Levi Strauss, que reportó ante la SEC un incidente originado en ingeniería social. Todo lo de hoy es de confianza media y la mayoría son afirmaciones de los propios atacantes, sin confirmación de las organizaciones. **Supuesta brecha al Sistema de Atención Ciudadana de la Presidencia** Un actor que se identifica como cenfecracked afirma haber obtenido la base de datos detrás del Sistema de Atención Ciudadana, la plataforma por la que el público envía peticiones y solicitudes de ayuda a la Presidencia de México [1]. Según la publicación en el foro, la información supuestamente expuesta incluye identificadores de peticiones y números de seguimiento, nombres de ciudadanos, teléfonos, correos, domicilios, descripciones de las peticiones, dependencias asignadas y el estado de cada caso, con registros asociados a múltiples entidades del gobierno mexicano como SEGOB, Bienestar, SEP, el Gobierno de la CDMX, el IMSS, la Secretaría de Salud, PEMEX y Hacienda. Se trata de una afirmación del propio actor: no hay, por ahora, confirmación oficial del alcance ni de la veracidad de la muestra. Comentario del editor: Si el dato se confirma, el valor no está solo en el volumen, sino en el contexto: quien pide ayuda a la Presidencia suele exponer situaciones sensibles (problemas legales, de salud, económicos) junto con datos de contacto. Ese cruce es material de primera para phishing dirigido y suplantación ante trámites de gobierno. Conviene tratarlo como creíble hasta que alguien demuestre lo contrario, no al revés. **Filipinas: base escolar filtrada incluye huellas dactilares de alumnos** Un actor bajo el alias citizengod publicó lo que describe como datos ligados a la Schools Division de Iloilo, oficina local del Departamento de Educación de Filipinas. Los registros supuestamente abarcan personal, estudiantes y familias, junto con código fuente y detalles de servidor, e incluyen plantillas de huellas dactilares, números de identidad, registros de asistencia y hashes de contraseñas débiles [2]. El reporte sigue sin verificarse. Comentario del editor: La biometría de menores es lo más grave del paquete: una contraseña se cambia, una huella no. Es un recordatorio para el sector educativo mexicano, donde también proliferan sistemas de control de asistencia con huella, de que ese dato exige un nivel de protección que rara vez recibe. **Levi Strauss reporta ante la SEC un incidente por ingeniería social** En un formulario presentado ante la SEC, Levi Strauss & Co. informó que un tercero no autorizado accedió y extrajo cierta información corporativa tras obtener acceso a tres computadoras entregadas a empleados mediante un ataque de ingeniería social [3]. La empresa señaló que su respuesta fue lo bastante rápida para evitar el compromiso de datos de consumidores y que, a la fecha de la presentación, la compañía considera que sus esfuerzos contuvieron y terminaron el acceso no autorizado, sin que se viera afectada información de consumidores. Comentario del editor: El vector no fue una vulnerabilidad exótica, sino ingeniería social, el mismo patrón que golpeó a otras grandes marcas este año. La lección se repite: la superficie de ataque más rentable sigue siendo la gente, no el firewall. **Francia: publican gratis 3 millones de teléfonos del registro Bloctel** Un actor identificado como Cybernox publicó lo que describe como datos de usuarios de Bloctel, el registro oficial del gobierno francés que permite a los consumidores rechazar el telemarketing no solicitado. La difusión, gratuita, contendría unos 3 millones de números telefónicos franceses e identificadores de registro [4]. A este momento, nada permite afirmar que se trate de 3 millones de números únicos ni que la totalidad de la base de Bloctel haya sido comprometida. Comentario del editor: Ironía amarga: una base creada para frenar llamadas no deseadas termina alimentando justo eso. Un directorio de personas que activamente evitan el telemarketing es, para un estafador, una lista de objetivos limpia. **África: brecha en ACRE Africa expone código fuente y llaves privadas** Un usuario de foro con el alias 888 publicó lo que describe como una brecha de ACRE Africa, intermediario de seguros autorizado que ofrece cobertura agrícola y de riesgo climático a pequeños agricultores del continente. La publicación afirma la exposición de 14,300 registros de agricultores junto con código fuente, archivos de configuración, tokens de acceso, llaves privadas y credenciales embebidas [5]. La afirmación sigue sin verificarse y ACRE Africa no ha respondido públicamente. Comentario del editor: La fuga de llaves privadas es la peor parte: no son solo datos filtrados, son las credenciales que pueden abrir sistemas todavía en operación. Cuando se van el código y las llaves a la vez, la brecha deja de ser un evento cerrado y se vuelve una puerta que sigue abierta. ## Referencias https://darkwebinformer.com/mexican-presidencys-citizen-petition-system-allegedly-breached-400-000-citizens-and-59-federal-agencies-exposed/https://darkwebinformer.com/deped-schools-division-of-iloilo-allegedly-breached-records-on-staff-students-and-families-with-fingerprint-templates-leaked/https://therecord.media/levis-data-breach-social-engineeringhttps://darkwebinformer.com/bloctel-do-not-call-register-allegedly-leaked-3-million-french-phone-numbers-published-free/https://darkwebinformer.com/acre-africa-breach-allegedly-exposes-14-300-smallholder-farmers-alongside-source-code-and-private-keys/ ## [Intel MX] 2026-08-07 Ciberataque a la Caja Virtual de la UASLP; datos educativos de menores en la mira regional Source: https://ransomware.mx/intel/2026-08-07/ El dia mezcla un golpe local a una universidad publica mexicana con un patron incomodo en la region: bases de datos educativas de menores puestas a la venta. La jornada abre con un incidente de ciberseguridad reportado contra la Caja Virtual de la Universidad Autonoma de San Luis Potosi, un servicio financiero de alto contacto con la comunidad universitaria. En el plano regional, varias ofertas de datos en foros clandestinos apuntan a organizaciones de Francia y a un objetivo sensible en LATAM: mas de un millon de registros de ninos del sistema de educacion primaria de Uruguay. El hilo comun del dia son los datos personales de poblaciones cautivas: estudiantes, menores y clientes institucionales. **Ciberataque a la Caja Virtual de la UASLP** Un incidente de ciberseguridad afecto la Caja Virtual de la Universidad Autonoma de San Luis Potosi (UASLP), el sistema en linea que la comunidad universitaria usa para tramites y pagos [1]. La UASLP informo sobre un incidente de ciberseguridad que afecto diversas areas de sus sistemas universitarios, entre ellas la Caja Virtual, que quedo temporalmente fuera de servicio, y la Division de Informatica senalo que el incidente se presento el miercoles [1]. Ante la situacion, la institucion anuncio que se ampliara la fecha limite para el pago de inscripcion y reinscripcion de las y los alumnos que todavia no hayan realizado este tramite [1]. Comentario del editor: Cuando lo comprometido es la pasarela de pagos y no solo el portal informativo, el riesgo salta de la disponibilidad a los datos: credenciales de acceso y datos fiscales o financieros de estudiantes. Vale seguir si la universidad reconoce exfiltracion o solo caida del servicio; hasta ahora el comunicado solo describe la interrupcion. **Educacion primaria de Uruguay: a la venta datos de mas de 1M de menores** Un actor identificado como LaPampaLeaks afirma tener las bases de datos detras de GURI, la plataforma de gestion estudiantil operada por el Consejo de Educacion Inicial y Primaria (CEIP) de Uruguay [2]. Una publicacion en la dark web afirma que la plataforma CEIP/GURI de Uruguay fue comprometida, y el atacante, identificado como LaPampaLeaks, ofrece mas de un millon de registros de aplicacion familiar y millones de inscripciones entre 2012 y 2025 [2]. La denuncia proviene de Dark Web Informer y el gobierno uruguayo no ha confirmado la brecha [2]. Comentario del editor: Es el caso mas grave del dia: datos de menores de un sistema educativo publico, con una ventana de mas de una decada, permiten perfilado y fraude a largo plazo sobre personas que hoy siguen siendo ninas o adolescentes. Para Mexico es un recordatorio de que las plataformas de gestion escolar nacionales son un blanco de igual apetito. **Clientes de CARMA en venta: 3,500+ organizaciones, incluidas de gobierno** Un vendedor que se hace llamar 2019 anuncia lo que describe como datos de CARMA, una firma global de inteligencia de medios que ofrece monitoreo, escucha social y medicion de relaciones publicas [3]. CARMA es un proveedor de servicios de inteligencia de medios que trabaja hoy con mas de 3,500 marcas y organizaciones en todo el mundo. La oferta menciona configuraciones de esos clientes [3]. Comentario del editor: El riesgo aqui es de cadena de suministro: comprometer al proveedor de inteligencia de medios expone datos y accesos de sus clientes gubernamentales y corporativos sin tocarlos directamente. **Federacion Francesa de Basquetbol: datos a la venta** Un vendedor que publica como weykofa ofrece lo que describe como la base de datos de la Federation Francaise de Basketball, el organismo rector del basquetbol en Francia [4]. El contexto es relevante: la FFBB fue victima de una ciberataque que expuso informacion personal de cerca de 2 millones de licenciados y 900,000 representantes legales. Los datos robados fueron publicados en parte en espacios de la dark web antes de ser eliminados, aunque no se descarta que otras personas hayan podido acceder o conservar parte de ellos antes de su supresion. ## Referencias https://periodicoelmomento.com/ciberataque-afecta-caja-virtual-de-la-uaslp/https://darkwebinformer.com/uruguays-primary-education-databases-allegedly-breached-1m-childrens-records-offered-for-sale-and-query/https://darkwebinformer.com/carma-client-data-allegedly-for-sale-configurations-for-3-500-organisations-including-government-bodies/https://darkwebinformer.com/french-basketball-federation-data-allegedly-for-sale-75-831-people-and-2-000-cvs-listed/ ## [Intel MX] 2026-08-06 Nubes mal cerradas y una condena que pone rostro a la extorsión masiva Source: https://ransomware.mx/intel/2026-08-06/ El día no trae fuego en México, pero afuera el patrón se repite: buckets abiertos, backends sin contraseña y actores que solo tuvieron que asomarse. Hoy no se registraron nuevas víctimas de ransomware en México. La jornada se cuenta con lo de afuera, y lo de afuera cuenta una sola historia con variantes: la nube configurada como si nadie fuera a mirar. Un canadiense se declara culpable por una campaña que tocó más de 165 organizaciones y expuso datos de al menos 100 millones de personas; en paralelo, otros actores presumen plataformas SaaS y sitios que dejaron bases y buckets legibles (y a veces escribibles) sin autenticación alguna. Ninguno de estos casos señala directamente a organizaciones mexicanas, pero las cadenas de suministro digital y los servicios mal cuidados no respetan fronteras. **Un canadiense se declara culpable por una racha de brechas en la nube** Un hombre de nacionalidad canadiense se declaró culpable de participar en una campaña amplia de intrusión y extorsión en la nube. Connor Riley Moucka, de 26 años, de Kitchener, Ontario, se declaró culpable por una conspiración de hacking que resultó en el compromiso de más de 165 organizaciones víctimas, el robo de miles de millones de registros sensibles de clientes y la extorsión de numerosas víctimas [1]. Moucka y otros usaron credenciales de acceso robadas para vulnerar Snowflake y sustraer grandes volúmenes de información de al menos 165 compañías [2]. El daño a las víctimas fue mucho mayor, con pérdidas reales de las empresas por más de 9.5 millones de dólares, cifra que no incluye las pérdidas de los clientes de esas compañías, que suman al menos 100 millones de personas [1]. Comentario del editor: El número de organizaciones y el volumen de personas afectadas apuntan a una campaña contra un proveedor o plataforma común, no a 165 asaltos aislados. Es el mismo guion de las cadenas de suministro: se ataca un punto y caen todos los que dependen de él. Que llegue a declaración de culpabilidad es la excepción, no la regla. **BudBoard: un bucket abierto expondría una llave de POS en producción** Un actor identificado como exfilar afirma que BudBoard, una plataforma estadounidense de señalización digital para dispensarios de cannabis con integración de punto de venta, dejó su bucket de almacenamiento en la nube legible públicamente y sin autenticación, exponiendo datos de dispensarios y una llave de integración de POS en producción [3]. Comentario del editor: Una llave de POS en producción expuesta no es solo una fuga de datos: es potencial acceso operativo a las transacciones. El sector puede parecer de nicho, pero la lección sobre credenciales embebidas en almacenamiento público aplica a cualquier retail con integraciones de pago. **Qara: acceso de escritura en vivo al despliegue de apps de Saint-Gobain, Lidl y SPAR** El actor exfilar afirma que Qara, una plataforma SaaS egipcia de cadena de suministro que maneja QR antifalsificación, feature flags y despliegue de aplicaciones móviles para clientes empresariales, dejó sus bases de datos de backend legibles y escribibles públicamente sin autenticación, mencionando a Saint-Gobain, Lidl y SPAR entre los tenants [4]. La brecha, publicada el 5 de agosto de 2026 por el actor de amenazas exfilar, afecta a una plataforma SaaS egipcia especializada en infraestructura de códigos QR antifalsificación, feature flags y gestión de aplicaciones móviles, e implica instancias abiertas de Firebase, espacios de almacenamiento públicos y llaves de API embebidas [5]. El compromiso impacta al menos a 14 tenants empresariales y de sector público, y expuso a corporaciones multinacionales como Saint-Gobain, LIDL y SPAR [5]. Comentario del editor: Acceso de escritura al despliegue de apps móviles es lo más cercano a un ataque de cadena de suministro servido en bandeja: quien pueda escribir ahí podría empujar cambios que llegan a los usuarios finales de esas marcas. El riesgo no se queda en Egipto; viaja con cada app y cada QR que esas cadenas operan también en Latinoamérica. ## Referencias https://darkwebinformer.com/canadian-hacker-pleads-guilty-in-cloud-breach-spree-affecting-more-than-165-organizations/https://therecord.media/guilty-plea-snowflake-hack-connor-riley-mouckahttps://darkwebinformer.com/budboard-storage-bucket-allegedly-left-public-exposing-18-dispensaries-and-a-production-pos-integration-key/https://darkwebinformer.com/qara-platform-allegedly-exposed-actor-claims-live-write-access-to-app-deployment-for-saint-gobain-lidl-and-spar/https://www.brinztech.com/breach-alerts/brinztech-alert-supply-chain-breach-at-qara-net-exposes-saudi-government-data-and-enterprise-tenants ## [Intel MX] 2026-08-05 Bases de datos de consumo en venta y un foro criminal filtrado Source: https://ransomware.mx/intel/2026-08-05/ Un día sin fuego en México, pero el mercado de datos ajenos no se detiene. Hoy no se registraron nuevas víctimas de ransomware en México. El tablero del día se mueve fuera de nuestras fronteras, en el bazar habitual de bases de datos de consumidores: mobiliario de oficina, cámaras para mascotas, cuentas de intercambio cripto fraudulentas y, con un giro irónico, el propio ecosistema criminal mordiéndose la cola cuando un foro clandestino aparece filtrado. Nada de esto toca directamente a organizaciones mexicanas, pero el patrón importa: datos de clientes convertidos en mercancía barata y accesos financieros a la medida, materia prima para el fraude que sí cruza fronteras. **Base de clientes de Branch Furniture a la venta** Un actor que publica bajo el alias dreamss ofrece lo que describe como la base de datos de clientes de Branch Furniture, una empresa estadounidense de venta directa de mobiliario de oficina enfocada en oficinas en casa, startups y negocios [1]. Comentario del editor: Cuando una base de clientes de una empresa se remata en un foro clandestino, el vendedor no apuesta al comprador único sino al volumen y a la reventa. Para las empresas, es el recordatorio de que su directorio de clientes tiene un valor de mercado, lo quieran o no. **Foro cibercriminal Ramp4u aparece filtrado** Un usuario identificado como kitta publicó lo que describe como la base de datos de Ramp4u, un foro de cibercrimen en idioma ruso. La filtración incluye registros de logs de IP y mensajes privados de sus miembros [2]. Comentario del editor: Cuando se filtra un foro criminal, la víctima es el propio ecosistema clandestino, y ahí los logs de IP y los mensajes privados son oro para desanonimizar a operadores. Estas fugas suelen alimentar el trabajo de investigadores y de rivales por igual. La desconfianza interna es una de las pocas grietas estructurales de estas comunidades. **Cuentas verificadas de exchanges cripto con rieles bancarios europeos** Un vendedor bajo el alias RasselKyc anuncia cuentas de intercambio de criptomonedas hechas a la medida, registradas con nombres proporcionados por el comprador y con acceso a rieles bancarios europeos [3]. Comentario del editor: Este es el eslabón operativo del lavado: cuentas ya superadas de verificación KYC, listas para mover fondos ilícitos con apariencia de legitimidad. Es un servicio, no un simple robo de datos, y ese modelo llave en mano baja la barrera de entrada para el fraude financiero transfronterizo. **Base de clientes de Waggle a la venta** Un usuario bajo el alias 2019 publicó lo que describe como la base de datos de clientes de Waggle, una empresa estadounidense de tecnología para mascotas cuyos productos incluyen cámaras y monitores de temperatura [4]. ## Referencias https://darkwebinformer.com/branch-furniture-customer-database-allegedly-for-sale-480-276-records-listed-at-200/https://darkwebinformer.com/ramp4u-cybercrime-forum-allegedly-breached-340-000-ip-logs-and-private-messages-published/https://darkwebinformer.com/vendor-advertises-fraudulently-verified-crypto-exchange-accounts-with-european-bank-rails/https://darkwebinformer.com/waggle-database-allegedly-leaked-106-800-pet-camera-customers-exposed-across-three-tables/ ## [Intel MX] 2026-08-03 Krybit suma a una distribuidora de motos en México Source: https://ransomware.mx/intel/2026-08-03/ Día de un solo golpe, pero directo al retail mexicano: un grupo de extorsión coloca en su vitrina a una concesionaria de motocicletas. La jornada trae un incidente confirmado en México y sin contexto regional adicional que sumar. El grupo Krybit reclama el compromiso de Country Motos S.A. de C.V., una distribuidora mexicana de motocicletas conocida también como Country Motors o Country Honda. Es un blanco típico del ecosistema de extorsión actual: empresa mediana, con expediente de clientes y operación de ventas, suficientemente visible para presionar y sin la robustez de seguridad de una corporativa grande. A continuación, el detalle. **Country Motos aparece en el muro de filtraciones de Krybit** El grupo de ransomware Krybit publicó en su sitio de filtraciones a Country Motos S.A. de C.V., distribuidora mexicana de motocicletas y minorista multimarca conocida también como Country Motors o Country Honda, cuyo dominio en el listado es countrymotors.com.mx [1]. El reclamo la ubica en el sector retail y comercio electrónico en México, siguiendo el patrón de doble extorsión en el que el atacante exfiltra datos sensibles antes de cifrar los sistemas de la víctima y presiona el pago mediante un sitio de filtraciones dedicado en Tor [2]. Al momento del registro no se detallan volumen exacto de datos ni monto de rescate [1]. Comentario del editor: Una concesionaria de vehículos guarda más de lo que parece: contratos de crédito, identificaciones, comprobantes de domicilio y datos fiscales de compradores. Si Krybit efectivamente exfiltró expedientes de clientes, el riesgo no se queda en la empresa, se traslada a personas físicas expuestas a fraude e ingeniería social. Vale la pena vigilar si el grupo libera muestras en los próximos días, señal de que la negociación no avanzó. ## Referencias https://www.hendryadrian.com/ransom-countrymotors-com-mx-aug-2026/https://socradar.io/blog/dark-web-profile-krybit-ransomware/ ## [Intel MX] 2026-08-01 Sin víctimas en México, pero el mercado de accesos afina su puntería Source: https://ransomware.mx/intel/2026-08-01/ Día tranquilo en casa, día ocupado en los foros: varios movimientos en el extranjero que vale la pena mirar de reojo. Hoy no se registraron nuevas víctimas de ransomware en México. El pulso del día viene de afuera: un comprador de accesos corporativos que publica criterios de selección sorprendentemente detallados, y presuntas brechas contra gobierno y proveedores en Filipinas, Turquía y Hungría. Ninguna toca directamente a organizaciones mexicanas, pero el tono del mercado de accesos iniciales y el interés por tesorerías estatales y proveedores de recursos humanos son señales que conviene leer con anticipación. **Comprador busca accesos a firmas occidentales y descarta escuelas y hospitales** Un comprador que se anuncia como umbreon solicita adquirir accesos a redes corporativas bajo condiciones de tarifa plana, con criterios de selección inusualmente específicos: firmas occidentales de altos ingresos, excluyendo la región CIS, escuelas y hospitales [1]. La confianza es media. Comentario del editor: La exclusión de escuelas y hospitales no es humanitarismo, es cálculo: menos ruido político y mediático, menos presión de fuerzas del orden. Que un comprador filtre por ingresos y geografía indica un mercado de accesos que opera como cadena de suministro profesionalizada, no como oportunismo aislado. **Gobierno de Bacoor City (Filipinas): presunta filtración de registros de permisos comerciales** Un actor identificado como dopePanda afirma haber comprometido la base de permisos comerciales del gobierno de Bacoor City, en Cavite, Filipinas, y filtró lo que describe como registros con permisos, nombres de propietarios, direcciones y teléfonos, acompañados de un ultimátum [2]. La confianza es media. Comentario del editor: El patrón de gobiernos municipales golpeados por sus padrones de permisos y contribuyentes se repite en toda LATAM. Es un recordatorio para las tesorerías y ventanillas únicas locales en México: esos padrones son datos personales masivos y valiosos, no simple trámite administrativo. **Baltaş (Turquía): empresas presuntamente expuestas a través de un proveedor de RH** Un actor que se hace llamar WInQ7wk9sA3a asegura haber mantenido acceso root a Baltaş, una firma turca de recursos humanos y evaluación, y haber exfiltrado un archivo que abarcaría a numerosos clientes corporativos [3]. La confianza es media. Comentario del editor: Un proveedor de RH comprometido es una brecha de terceros multiplicada: cae uno y quedan expuestas cientos de plantillas laborales. El riesgo de cadena de suministro aplica igual a los despachos de nómina y evaluación que operan en México. **Tesorería del Estado de Hungría: presunto acceso a vCenter y bóveda de identidades** Un actor identificado como bytetobreach afirma haber comprometido el Magyar Államkincstár, la Tesorería del Estado de Hungría, que administra pagos estatales, pensiones, prestaciones familiares y fondos de la Unión Europea, y dice contar con acceso a vCenter y a la bóveda de identidades [4]. La confianza es media. Comentario del editor: Acceso a virtualización y al almacén de identidades es, en la práctica, las llaves de la infraestructura completa. Si la afirmación es real, el alcance no se limita a datos filtrados sino a control operativo. Las tesorerías y entes de pago públicos mexicanos son objetivos del mismo perfil. ## Referencias https://darkwebinformer.com/buyer-solicits-corporate-network-access-to-350m-western-firms-excluding-cis-schools-and-hospitals/https://darkwebinformer.com/bacoor-city-government-allegedly-breached-57-000-business-permit-records-leaked-with-one-week-ultimatum/https://darkwebinformer.com/baltas-online-allegedly-breached-750-turkish-companies-exposed-through-hr-assessment-vendor/https://darkwebinformer.com/hungarian-state-treasury-allegedly-compromised-actor-claims-vcenter-and-identity-vault-access/ ## [Intel MX] 2026-07-31 México sin nuevas víctimas; brokers venden acceso a firewalls y filtran bases laborales en la región Source: https://ransomware.mx/intel/2026-07-31/ Un día tranquilo en casa no significa un día tranquilo en la vecindad: la actividad de hoy vive en los foros regionales. Hoy no se registraron nuevas víctimas de ransomware en México, pero el ruido de fondo en la región sigue vivo. En los foros clandestinos aparecieron dos ofertas que ilustran las dos puntas del ciclo de compromiso: por un lado, un corredor de accesos que vende control administrativo sobre el firewall perimetral de una propiedad hotelera en Baréin; por el otro, la publicación de una base de datos de una plataforma de empleo uruguaya que incluye números de identificación nacional. Ninguno toca directamente a México hoy, pero ambos marcan patrones que sí nos alcanzan: la mercantilización del acceso perimetral y la exposición de identificadores oficiales de buscadores de empleo. **Venta de acceso Super Admin a un firewall FortiGate de un hotel en Baréin** Un actor que se identifica como Roiese puso a la venta lo que describe como acceso administrativo total (Super Admin) al firewall FortiGate y al entorno de seguridad de red del Golden Tulip Bahrain, una propiedad hotelera en Baréin [1]. El anuncio ofrece control sobre el dispositivo perimetral, es decir, la puerta de entrada que segmenta y protege la red interna de la organización [1]. Comentario del editor: El acceso a un FortiGate no es un dato robado más: es la llave del perímetro. Quien lo compra puede tumbar VPNs, abrir túneles, moverse lateralmente y desplegar ransomware sin resistencia. El sector hotelero mexicano, denso en Quintana Roo, Jalisco y CDMX, corre el mismo perfil de exposición: dispositivos Fortinet mal parchados y con credenciales por defecto siguen siendo el vector barato favorito de los corredores de acceso inicial. **Filtración de la base de ExpoEmpleo, plataforma de empleo uruguaya con cédula** Un usuario de foro que opera como Sub21 publicó lo que describe como la base de datos de ExpoEmpleo, una plataforma de empleo uruguaya [2]. Según el anuncio, la filtración expone a buscadores de empleo, incluyendo sus números de identificación nacional (cédula) [2]. Comentario del editor: Los datos de plataformas de empleo son una mina para el fraude: nombre, contacto e identificador oficial permiten suplantación, apertura de cuentas y estafas dirigidas con ofertas laborales falsas. En México existen bolsas de trabajo y portales gubernamentales de empleo con volúmenes comparables; el caso uruguayo es un recordatorio de que estos repositorios de datos personales son blanco de alto valor y suelen estar peor protegidos que un banco. ## Referencias https://darkwebinformer.com/broker-advertises-super-admin-access-to-golden-tulip-bahrain-fortigate-firewall/https://darkwebinformer.com/expoempleo-database-allegedly-leaked-192-280-uruguayan-job-seekers-with-national-id-numbers-exposed/ ## [Intel MX] 2026-07-30 Qilin golpea a una consultora mexicana; resurge la marca Lapsus$ contra un proveedor de datos para IA Source: https://ransomware.mx/intel/2026-07-30/ Un día con víctima local confirmada y tres frentes globales que tocan biometría, servicios legales e infraestructura VMware. La jornada abre con una nueva víctima de ransomware en México: el grupo Qilin reclama a la firma Excel Consultores. En el plano internacional, tres hechos merecen atención: la supuesta oferta de venta de datos biométricos (rostro y voz) de usuarios de la plataforma Mercor, atribuida a un actor que revive el nombre Lapsus$; la publicación de una base de clientes de la plataforma legal IPRO; y parches de emergencia de Broadcom para fallas críticas en VMware que permiten evasión de autenticación y escape de máquina virtual. La combinación de datos sensibles y vulnerabilidades de virtualización define el pulso de riesgo de hoy. **Qilin reclama a Excel Consultores en México** El grupo de ransomware Qilin listó a Excel Consultores como nueva víctima en su sitio de filtraciones. El sitio de filtraciones del ransomware publicó una entrada que alega que Excel Consultores, una empresa del sector de servicios profesionales en México, fue afectada por un incidente de ransomware, presentando a la víctima como parte de una operación de extorsión atribuida al grupo "qilin", sin detalles técnicos adicionales sobre la intrusión [1]. Al momento no hay detalle público sobre el volumen de datos comprometidos ni sobre montos de extorsión, pero la aparición en el portal del grupo suele preceder a la publicación de muestras para presionar el pago. Comentario del editor: Qilin se ha consolidado como uno de los operadores más activos. Los actores de Qilin practican la doble extorsión: exigen pago por un descifrador y también por la no publicación de los datos robados. Para una consultora, el activo más valioso es la información de sus clientes: conviene asumir que el objetivo real de la doble extorsión es esa cadena de terceros, no solo la firma. **Datos biométricos de Mercor a la venta, con la marca Lapsus$ de por medio** Un actor que se identifica como Resolute ofrece a la venta datos supuestamente sustraídos de Mercor, la plataforma estadounidense que recluta expertos para generar datos de entrenamiento de laboratorios de IA. La oferta incluye información biométrica, datos personales, código fuente y recursos de almacenamiento en la nube, y según Dark Web Informer el actor identificado como Resolute ofrece los datos mediante una venta única, bajo un esquema de fideicomiso y con recepción de ofertas [2]. El reporte atribuye la publicación a Resolute y registra una reclamación de Lapsus$ sin confirmación independiente; no ofrece una cifra de usuarios afectados y, aunque afirma que el material corresponde a cada usuario registrado, todavía no se ha establecido de manera independiente el alcance preciso de los datos biométricos almacenados. Comentario del editor: La biometría facial y de voz no se puede rotar como una contraseña: si la filtración es real, el daño es permanente. Empresas como OpenAI, Anthropic y Google DeepMind usaban Mercor para filtrar, entrevistar y verificar talento especializado, lo que la convirtió en un blanco que no solo es rico en datos, sino que retiene el tipo de datos que no se pueden cambiar después del hecho. El detalle de fondo es la exposición de la cadena de suministro de la IA: los proveedores de datos de entrenamiento acumulan información sensible de miles de colaboradores y se vuelven un blanco de alto valor. **Base de clientes de IPRO expuesta en un foro** Un usuario de foro que se hace llamar cozypandas publicó lo que describe como la base completa de clientes de IPRO, plataforma de eDiscovery utilizada por despachos, corporativos y agencias de gobierno para gestionar información en litigios. La publicación reclama 60.454 registros de clientes y cuentas de IPRO, una plataforma estadounidense de tecnología legal y eDiscovery, y el material supuestamente incluye nombres, direcciones, identificadores de NetSuite y Salesforce, además de cuentas de despachos, empresas y agencias públicas [3]. Dark Web Informer describe la reclamación como no verificada, y el anuncio no incluye registros de muestra ni materiales de prueba que permitan confirmar de forma independiente la autenticidad del contenido. La naturaleza legal de la plataforma eleva la sensibilidad del material expuesto. Comentario del editor: El sector legal maneja datos de terceros bajo privilegio: un incidente en un proveedor de eDiscovery puede arrastrar información de casos de múltiples firmas a la vez. Los despachos mexicanos que operan con plataformas de este tipo deberían revisar exposición y notificaciones. **Broadcom parcha fallas críticas en VMware: evasión de autenticación y escape de VM** Broadcom publicó actualizaciones de emergencia para varias vulnerabilidades en múltiples productos VMware. Estas vulnerabilidades, detalladas en el aviso VMSA-2026-0006, afectan a productos como vCenter, ESX, Workstation, Fusion, VMware Cloud Foundation, vSphere Foundation y productos seleccionados de Telco Cloud; el aviso, publicado el 29 de julio de 2026, cubre cinco vulnerabilidades con puntuaciones CVSS v3 de entre 2.7 y 9.8 [4]. Broadcom corrigió una evasión de autenticación crítica en vCenter, identificada como CVE-2026-59309 (CVSS 9.8), que puede explotarse para obtener acceso no autorizado, y la más severa, CVE-2026-47876 (CVSS 9.3), es un fallo de escape de VM en el adaptador de red virtual VMXNET3. Comentario del editor: El escape de VM en ESXi es exactamente lo que los grupos de ransomware buscan para cifrar hipervisores completos de un solo golpe. Las organizaciones deben priorizar la remediación porque no hay soluciones alternativas disponibles para los dos problemas críticos relacionados con vCenter. La aplicación de estos parches debería tratarse como prioridad operativa, no como mantenimiento de rutina. ## Referencias https://www.redpacketsecurity.com/qilin-ransomware-victim-excel-consultores/https://darkwebinformer.com/mercor-breached-biometric-face-and-voice-data-on-every-registered-user-offered-for-sale/https://darkwebinformer.com/ipro-customer-database-allegedly-leaked-60-454-records-from-legal-ediscovery-platform-published/https://darkwebinformer.com/broadcom-patches-critical-vmware-flaws-enabling-vcenter-authentication-bypass-and-esxi-vm-escape/ ## [Intel MX] 2026-07-29 Sin víctimas en México, pero bases masivas en venta que rozan a Latinoamérica Source: https://ransomware.mx/intel/2026-07-29/ Día tranquilo en el tablero nacional, ruidoso en los foros: la exposición viaja por las cadenas de suministro digitales, no por las fronteras. Hoy no se registraron nuevas víctimas de ransomware en México. El movimiento del día ocurre en foros de venta de datos, con tres publicaciones de origen extranjero pero de alcance transnacional: dos bases francesas ligadas al sector educativo y de servicios, y una supuesta base de clientes de un marketplace de comercio electrónico que, según el vendedor, incluye registros de América Latina. Para México la señal no es una alerta directa, sino un recordatorio: cuando una plataforma regional se ve comprometida, los datos de usuarios mexicanos suelen ir en el mismo paquete. **Supuesta base de Lire Demain (Auzou) a la venta: clientes escolares y municipales** Un usuario de foro identificado como 0xSec publicó lo que describe como la base de datos de Lire Demain, la red de escuelas e instituciones de la editorial infantil francesa Auzou, que abastece libros, teatros kamishibai y material educativo a escuelas, centros de primera infancia y autoridades locales [1]. Comentario del editor: El interés de un actor por registros de escuelas y autoridades locales es un patrón que conviene vigilar aquí: instituciones educativas y municipios pequeños suelen ser el eslabón débil, y en México abundan los que operan con proveedores digitales sin controles serios de tratamiento de datos. **Supuesta base de Planity: clientes de salones y spas franceses ofrecidos** Un vendedor que se hace llamar weykofa anuncia lo que describe como la base de datos de Planity, la plataforma francesa de reservas en línea usada por peluquerías, negocios de belleza y spas para gestionar citas y registros de clientes [2]. Comentario del editor: Las plataformas de agendamiento acumulan datos de contacto, hábitos de consumo y a veces medios de pago de cientos de miles de personas. El sector servicios en México usa herramientas equivalentes, y una base así es materia prima ideal para phishing dirigido y suplantación. **Supuesta base de Shopee: registros con clientes de Asia y América Latina** Un vendedor identificado como 666op anuncia lo que describe como una base de datos de clientes de Shopee, el marketplace de comercio electrónico operado por Sea Limited, cuyos registros abarcarían Asia y América Latina [3]. Comentario del editor: Es el único hecho del día con relevancia latinoamericana directa, aunque la cifra debe tomarse con cautela: los anuncios de foros inflan volúmenes y a veces recompilan filtraciones viejas. Aun así, cualquier base de un marketplace con presencia regional puede contener correos, teléfonos y patrones de compra reutilizables contra usuarios mexicanos. Conviene tratarla como no verificada hasta que aparezcan muestras cotejables. ## Referencias https://darkwebinformer.com/lire-demain-database-allegedly-leaked-5-974-school-and-local-authority-client-records-published/https://darkwebinformer.com/planity-database-allegedly-for-sale-999-451-customers-of-french-salons-and-spas-listed/https://darkwebinformer.com/shopee-customer-database-allegedly-for-sale-300-million-records-claimed-across-asia-and-latin-america/ ## [Intel MX] 2026-07-28 Ransomware golpea a fabricante mexicano de empaques Source: https://ransomware.mx/intel/2026-07-28/ El día trae un nombre mexicano en la lista de una banda de doble extorsión y un recordatorio de que las fugas de datos de consumo también viajan a la región. Una operación de ransomware reclama acceso a los archivos confidenciales de un fabricante mexicano del sector de empaques, con datos de clientes, investigación propietaria y documentación financiera sobre la mesa. En el plano de contexto, un actor de foro asegura haber filtrado la base de datos de una plataforma francesa de energía solar, un caso útil para dimensionar el volumen de exposición de datos de consumo que hoy circula en foros abiertos. **Minigrip México en la lista de INC Ransom** El grupo de ransomware INC Ransom reclama haber obtenido acceso no autorizado a archivos confidenciales de Minigrip México (minigrip.com.mx), fabricante mexicano de empaques, incluyendo datos de clientes, investigación y desarrollo propietaria (R&D), y documentación financiera [1]. El patrón corresponde al modo habitual del grupo: acceso inicial, robo de datos y presión de extorsión mediante la exposición pública [1]. Comentario del editor: Al momento de la publicación no se ha divulgado ninguna muestra de datos, y el post no especifica el volumen exacto ni los tipos de archivo más allá de esas categorías amplias. Si la empresa maneja diseños y especificaciones técnicas, la mención explícita a investigación y desarrollo eleva el riesgo más allá del incidente operativo: hablamos de posible pérdida de propiedad intelectual, no solo de datos administrativos. Conviene verificar plazos y muestras antes de asumir que es solo una amenaza. Se trata de un listado en el sitio de filtraciones de un grupo de extorsión; un listado es la afirmación del atacante y no una confirmación independiente de que la brecha ocurrió ni de la exactitud de lo que el grupo asegura. **Filtración de Allo.Solar expone datos de clientes franceses** Un usuario de foro identificado como ChimeraZ publicó lo que describe como la base de datos de Allo.Solar, plataforma francesa de comercio electrónico de equipo fotovoltaico y de energía renovable, con datos de clientes y órdenes de equipo solar supuestamente expuestos [2]. El caso es de contexto global, sin víctimas mexicanas confirmadas. Comentario del editor: No hay nexo mexicano directo, pero el tipo de datos (clientes finales y órdenes de compra) sirve de referencia: las plataformas de retail y energía distribuida acumulan datos personales y de consumo que se monetizan rápido en foros. Vale como comparativo para operadores locales del mismo perfil. El alcance y la autenticidad de la filtración permanecen sin verificar de forma independiente. ## Referencias https://ransomware.live/id/bWluaWdyaXAuY29tLm14QGluY3JhbnNvbQ==https://darkwebinformer.com/allo-solar-database-allegedly-leaked-101-349-french-customers-and-208-000-solar-equipment-orders-exposed/ ## [Intel MX] 2026-07-27 Dos empresas de servicios en México en listas de extorsión: Qilin y TheGentlemen Source: https://ransomware.mx/intel/2026-07-27/ Cuando el eslabón débil es el proveedor: hoy la extorsión apunta a la cadena de servicios profesionales mexicanos. La jornada trae dos reclamos de extorsión contra empresas mexicanas del sector de servicios profesionales, atribuidos a los operadores Qilin y TheGentlemen. Uno de los casos golpea a un distribuidor y editorial de libros con presencia en cadenas de retail nacionales, lo que amplía la exposición más allá de la propia víctima. No se reportaron montos de rescate ni volúmenes de datos confirmados, y en al menos un caso el resumen publicado por los atacantes es inexistente, señal de una publicación en etapa temprana. **Qilin reclama a Contacto Garantido** El grupo de ransomware Qilin sumó a la empresa mexicana Contacto Garantido, del rubro de servicios profesionales, a su portal de filtraciones [1]. El reclamo se basa en las publicaciones del propio grupo Qilin, sin que pueda confirmarse su exactitud. La publicación no incluye resumen, muestras ni detalle del volumen de datos comprometidos, lo que sugiere que se trata de un reclamo en fase inicial de presión, previo a la eventual liberación de archivos. Comentario del editor: Qilin ha sido de los operadores más activos del año y su modus operandi es de doble extorsión: cifra y amenaza con publicar. La ausencia de muestras hoy no significa que no las tengan; suele ser el primer aviso antes del cronómetro. **TheGentlemen apunta a Advanced Marketing, distribuidora de libros** El operador TheGentlemen reclamó a Advanced Marketing, empresa mexicana de distribución y edición de libros [2]. Según la descripción publicada, Advanced Marketing es una de las mayores distribuidoras y editoriales de libros de México, fundada en 1994, trabaja con cerca de 70 casas editoriales nacionales e internacionales para surtir a cadenas de retail como Gandhi y Porrúa, y además opera la tienda en línea AMS Libros. No se han confirmado volúmenes de datos ni exigencias económicas. No se especifica monto ni exigencia de rescate en el contenido de la publicación, y no hay capturas ni detalle técnico suficiente para confirmar el alcance del cifrado o el tipo de datos afectados. Comentario del editor: El riesgo aquí no es solo la víctima directa: al ser un proveedor central de la cadena de distribución editorial, un compromiso puede arrastrar datos de socios comerciales y clientes de retail. Es el patrón clásico de ataque a la cadena de suministro, donde la superficie útil para el atacante es mucho mayor que la organización golpeada. ## Referencias https://www.ransomware.live/group/qilinhttps://ransomware.live/id/QWR2YW5jZWQgTWFya2V0aW5nQHRoZWdlbnRsZW1lbg== ## [Intel MX] 2026-07-25 Michoacán expone su padrón de proveedores en un día de fugas financieras Source: https://ransomware.mx/intel/2026-07-25/ El único caso mexicano de hoy toca justo donde duele: la plataforma que administra las adquisiciones y el padrón de proveedores del Gobierno de Michoacán. Hoy no se registraron nuevas víctimas de ransomware en México. La jornada trae una sola víctima mexicana, pero es sensible: actores de amenaza afirman haber vaciado el portal CADPE del Gobierno de Michoacán, con documentos de identidad de proveedores publicados. El resto del panorama es una racha de filtraciones financieras y de datos personales fuera de México: dos servicios financieros digitales, una plataforma de refacciones automotrices con millones de registros, un courier saudí con millones de guías y sistemas de salud en Bolivia y Marruecos. El hilo común del día es la exposición de identidad y de datos fiscales. **Portal CADPE del Gobierno de Michoacán presuntamente vulnerado (documentos de identidad de proveedores)** Actores de amenaza que se identifican como homercracker y cenfecracked afirman haber extraído el contenido completo de CADPE, la plataforma ejecutiva de adquisiciones y administración del Gobierno del Estado de Michoacán, que gestiona licitaciones públicas y el registro de proveedores [1]. El portal CADPE ligado al Gobierno del Estado de Michoacán presuntamente fue vulnerado, exponiendo una descarga directa gratuita de 58GB con 37,037 documentos, y los archivos publicados incluyen registros de identidad de proveedores organizados en carpetas indexadas por RFC [1]. La confianza es media: el volumen y el contenido exacto no están verificados de forma independiente. Comentario del editor: Un padrón de proveedores no es solo una lista de nombres: son documentos de identidad, datos fiscales y la relación comercial de quien vende al Estado. Ese material alimenta phishing dirigido, suplantación en trámites y fraude en facturación. Si el compromiso es real, la prioridad no es solo tapar el hoyo, sino avisar a los proveedores afectados antes de que alguien use sus datos para cobrar a nombre del gobierno. **RevolutionParts: 5.1 millones de registros de clientes publicados gratis** Un usuario de foro identificado como kitta publicó lo que describe como la base de datos completa de RevolutionParts.com, la plataforma de comercio electrónico que usan concesionarias automotrices para vender refacciones en línea [2]. RevolutionParts.com presuntamente fue objeto de una fuga que involucra 5,147,231 registros únicos de clientes, con la publicación ofrecida gratis, e incluye PII de clientes e identificadores de dispositivo [2]. Confianza media. Comentario del editor: Que un lote de millones se libere gratis casi siempre significa que ya circuló o perdió valor de reventa. El efecto práctico es peor para las víctimas: sin barrera económica, el dataset se replica y se integra a paquetes de credenciales en cuestión de horas. **SMSA Express (Arabia Saudita): millones de guías con datos de remitentes y destinatarios** Un vendedor identificado como Demetrius ofrece lo que describe como un dataset corporativo de SMSA Express, uno de los mayores operadores de mensajería y logística de Arabia Saudita [3]. El anuncio reclama 261GB con 124,734,059 líneas de envío, cada una con dos conjuntos de datos personales, uno del remitente y otro del destinatario, cubriendo nombres, teléfonos, direcciones y ciudades de ambas partes, además de códigos de rastreo, estado del paquete, peso y valor declarado [3]. Conviene matizar la cifra: los 124.7 millones son líneas de envío, no personas. Confianza media. Comentario del editor: Los datos de paquetería son oro para el fraude de suplantación: dirección, teléfono y estado del envío bastan para montar un SMS de 'reprograma tu entrega' creíble. El volumen aquí es de escala nacional. **B9 y Bebunk: dos servicios financieros digitales con datos expuestos el mismo día** Un usuario de foro identificado como riche presuntamente publicó un dataset extraído de B9/Bnine.com con cerca de 36,000 registros con detalles personales y financieros sensibles, incluidos SSN parciales y fechas de nacimiento [4]. En paralelo, un usuario identificado como kitta difundió lo que describe como la base de Bebunk.com, un servicio financiero digital [5]. La afirmación indica que se expusieron 12,324 clientes bancarios únicos, con un muestreo que incluye IBANs, estado KYC, saldos y tokens de autenticación, tratándose de usuarios ligados a Francia y Nueva Caledonia [5]. Confianza media en ambos. Comentario del editor: KYC e IBAN juntos son el combo de mayor riesgo: identidad verificada más número de cuenta. Es exactamente el material que se necesita para abrir cuentas mula o forzar transferencias. Las fintech que subcontratan onboarding y almacenamiento heredan el riesgo de sus terceros. **BENY New Energy: datos de usuarios y acceso a plataformas de carga EV y firmware** Un usuario de foro identificado como 888 publicó lo que describe como una brecha de Beny.com, operado por BENY New Energy [6]. BENY New Energy (beny.com) es un fabricante con sede en China especializado en componentes de protección fotovoltaica, soluciones de almacenamiento solar y tecnología de carga para vehículos eléctricos [6]. El actor afirma haber exfiltrado y publicado una base con aproximadamente 13,600 registros únicos de usuarios, principalmente identificadores de cuenta e IDs de usuario, y sostiene que el material se extiende a las plataformas de carga EV y de gestión de firmware de la firma [6]. Confianza media. Comentario del editor: Cuando la brecha incluye acceso a plataformas de firmware, el problema deja de ser de datos y pasa a ser de infraestructura física: cargadores e inversores que se controlan remotamente. Ahí el riesgo es de seguridad operativa, no solo de privacidad. **Salud en Bolivia y Marruecos: internos rurales y archivos de pacientes** Un actor identificado como konata_izumi_shell afirma haber vulnerado un sistema del Ministerio de Salud y Deportes de Bolivia y extraído la base completa del Servicio Social de Salud Rural Obligatorio, con 41,406 registros de internos de salud rural [7]. Por separado, un actor identificado como anisanas2 afirma haber extraído la base completa de Distamed Morocco, proveedor de dispositivos médicos [8]. El presunto compromiso incluye expedientes de pacientes, listas de clientes y documentos de facturación; los datos personales citados abarcan nombres, teléfonos, direcciones, edades y números CIN, y el archivo abarca ficheros de la empresa que se remontan a 2013, con registros vinculados a hospitales militares y públicos de Marruecos [8]. Confianza media en ambos. Comentario del editor: El patrón regional se repite: sistemas de salud con datos sensibles y presupuesto corto para defensa. Los registros de internos exponen a personal joven al inicio de su carrera, y el archivo de un proveedor médico arrastra datos clínicos de terceros. **Universidad Podomoro (Indonesia) y PokemonGym.nl** Un vendedor identificado como LordVoldemort ofrece por 7,000 dólares lo que describe como el compromiso completo de la Universidad Podomoro en Indonesia, con 75 bases de datos y el código fuente del sitio [9]. En un caso menor pero ilustrativo, un usuario identificado como 888 publicó lo que describe como la base de PokemonGym.nl, un RPG en línea neerlandés, con 19,600 cuentas de jugadores y mensajes privados [10]. Confianza media. ## Referencias https://darkwebinformer.com/michoacan-state-government-cadpe-portal-allegedly-breached-37-000-supplier-identity-documents-published/https://darkwebinformer.com/revolutionparts-database-allegedly-leaked-5-1-million-customer-records-posted-for-free/https://darkwebinformer.com/smsa-express-allegedly-breached-124-7-million-shipment-records-with-sender-and-recipient-details-for-sale/https://darkwebinformer.com/b9-neobank-data-allegedly-scraped-36-000-records-with-partial-ssns-and-dates-of-birth-posted/https://darkwebinformer.com/bebunk-database-allegedly-leaked-12-324-banking-customers-with-ibans-and-kyc-records-exposed/https://darkwebinformer.com/beny-new-energy-allegedly-breached-user-data-plus-access-to-ev-charging-and-firmware-platforms-shown/https://darkwebinformer.com/bolivias-ministry-of-health-sssro-database-allegedly-leaked-41-406-records-on-rural-health-interns-published/https://darkwebinformer.com/moroccan-medical-provider-distamed-allegedly-breached-patient-records-and-13-years-of-company-archive-claimed/https://darkwebinformer.com/podomoro-university-allegedly-breached-75-databases-and-full-website-source-code-offered-for-7-000/https://darkwebinformer.com/pokemongym-nl-database-allegedly-leaked-19-600-player-accounts-and-private-messages-published/ ## [Intel MX] 2026-07-23 Qilin publica a la manufacturera Cano Industrial en su sitio de filtraciones Source: https://ransomware.mx/intel/2026-07-23/ La jornada del 23 de julio de 2026 deja una víctima confirmada en México: el grupo de ransomware Qilin publicó a la manufacturera Cano Industrial, con sede en Monterrey, Nuevo León, en su portal de extorsión. Es un recordatorio de que el sector productivo mexicano sigue en la mira de la doble extorsión. **Qilin lista a Cano Industrial en su sitio de filtraciones** El grupo de ransomware Qilin sumó a la manufacturera Cano Industrial (Monterrey, Nuevo León) a su portal de extorsión [1]. La publicación en el sitio de la banda es el mecanismo habitual de presión de la doble extorsión: se anuncia el compromiso para forzar el pago antes de liberar o subastar los datos presuntamente exfiltrados. Hasta el momento no hay detalles públicos sobre el volumen de información, el vector de acceso ni el monto exigido, y la banda no ha difundido una muestra verificable de los datos [1]. Comentario del editor: Qilin ha mantenido un ritmo alto contra la manufactura en la región, un sector donde el tiempo de inactividad en la línea de producción presiona a pagar rápido. Ante una publicación así conviene asumir que hubo exfiltración, activar el plan de respuesta a incidentes y notificar a clientes y socios, sin dar por confirmado el compromiso hasta validarlo de forma interna. La aparición en un sitio de filtraciones es una afirmación del atacante, no una verificación independiente. ## Referencias https://www.ransomware.live/id/Q2FubyBJbmR1c3RyaWFsQHFpbGlu ## [Intel MX] 2026-07-22 Día de parches: PAN-OS, SharePoint y kernel de Windows bajo presión Source: https://ransomware.mx/intel/2026-07-22/ Sin víctimas mexicanas hoy, pero tres CVE que sí deberían quitarnos el sueño. Hoy no se registraron nuevas víctimas de ransomware en México. La jornada la dominan el contexto global y el mantenimiento defensivo: una presunta brecha a un proveedor de seguridad de cadena de suministro de software, una operación policial internacional contra material de abuso infantil, y tres vulnerabilidades de peso, en PAN-OS, SharePoint on-premises y el kernel de Windows NT, dos de ellas bajo explotación activa. Para equipos en México que operan estos productos, la lectura es simple: revisar exposición y aplicar mitigaciones antes de que la ventana se cierre. **Presunta brecha a RapidFort: 569 GB a la venta por 40 mil dólares** Un actor de amenazas identificado como xpl0itrs anuncia la venta de datos que asegura haber sustraído de RapidFort, proveedor estadounidense de endurecimiento de contenedores y seguridad de cadena de suministro de software, en el marco de una campaña bautizada CanisterWorm. El vendedor dice que se tomaron 569 GB y 140,061 archivos de 48 buckets de S3, y el precio pedido es de 40,000 dólares negociables. El supuesto botín incluye credenciales de nube, kubeconfigs, claves privadas y materiales de despliegue de clientes, pero la afirmación permanece sin verificar [1]. Comentario del editor: Que el blanco sea justo un vendedor de seguridad de supply chain es el detalle incómodo: si el reclamo se confirma, la exposición no termina en RapidFort sino en quienes integran sus artefactos endurecidos. Confianza media: es un anuncio de venta, no una brecha verificada. **Policía holandesa incauta servidores de Motherless en caso de CSAM** La policía de Países Bajos incautó servidores pertenecientes a la empresa de hosting detrás de la plataforma pornográfica Motherless durante redadas en Steenbergen, Rotterdam y Ámsterdam, en el marco de una investigación por presunto material de abuso sexual, incluido posible abuso sexual infantil y videos de mujeres agredidas mientras estaban inconscientes. La policía dijo que trabajará con Europol para examinar videos de múltiples países; no se han realizado detenciones, y la Fiscalía indicó que el caso forma parte de una investigación internacional [2]. **CVE-2026-0257: bypass de autenticación en GlobalProtect de PAN-OS** CVE-2026-0257 es una falla de omisión de autenticación en los componentes portal y gateway de GlobalProtect del software PAN-OS de Palo Alto Networks. Cuando existe una configuración específica, un atacante remoto y no autenticado puede falsificar una cookie de sesión válida, saltarse el inicio de sesión por completo y establecer una conexión VPN no autorizada hacia la red interna [3]. La agencia estadounidense CISA agregó CVE-2026-0257 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) [3]. Comentario del editor: Los concentradores VPN son puerta de entrada preferida para acceso inicial. Un bypass de autenticación en el borde de red se traduce directo en pivoteo hacia dentro; convendría priorizarlo sobre casi cualquier otra tarea de parcheo esta semana. **CVE-2026-50522: RCE crítica en SharePoint on-premises, en explotación activa** CVE-2026-50522 es una vulnerabilidad crítica de ejecución remota de código en Microsoft SharePoint Server on-premises, originada por deserialización de datos no confiables (CWE-502). Con una puntuación CVSS de 9.8 y parchada en el Patch Tuesday de julio de 2026 de Microsoft, está siendo explotada activamente tras la publicación de un código de prueba de concepto (PoC) público, según investigadores de watchTowr [4]. Los atacantes están explotando la vulnerabilidad para robar machine keys y mantener acceso incluso después de parchear los servidores afectados [4]. Comentario del editor: El mensaje de fondo es clave: en fallas de deserialización ya explotadas, aplicar el parche no revierte un compromiso previo si ya se robaron las machine keys. Toca asumir posible acceso y cazar persistencia, no solo actualizar. **CVE-2026-42980: underflow de entero a SYSTEM en el kernel de Windows NT** CVE-2026-42980 es una vulnerabilidad de elevación de privilegios en el kernel del sistema operativo Windows NT; un integer underflow que puede permitir a un atacante autenticado obtener privilegios de SYSTEM. Fue corregida en el Patch Tuesday de junio de 2026 de Microsoft, publicado el 9 de junio [5]. Comentario del editor: Escalar a SYSTEM es la pieza que convierte un foothold ruidoso en control total del host. Suele encadenarse tras un acceso inicial como los de arriba, así que no lo dejen fuera del ciclo de parcheo por ser 'solo' escalamiento local. ## Referencias https://darkwebinformer.com/rapidfort-allegedly-breached-in-canisterworm-campaign-569gb-across-48-s3-buckets-listed-for-40-000/https://darkwebinformer.com/dutch-police-seize-motherless-servers-in-international-csam-and-sexual-abuse-investigation/https://darkwebinformer.com/trusting-a-cookie-it-never-issued-the-pan-os-globalprotect-authentication-bypass-cve-2026-0257/https://darkwebinformer.com/patching-is-not-enough-critical-sharepoint-deserialization-rce-under-active-exploitation-cve-2026-50522/https://darkwebinformer.com/counting-below-zero-integer-underflow-to-system-in-the-windows-nt-kernel-cve-2026-42980/ ## [Intel MX] 2026-07-21 Sin víctimas en México, y un agente de IA abre una brecha en Hugging Face Source: https://ransomware.mx/intel/2026-07-21/ Un día tranquilo en el frente mexicano, pero con recordatorios de que el riesgo llega por vías nuevas: agentes de IA que se salen del carril y datos de gobierno puestos a la venta. Hoy no se registraron nuevas víctimas de ransomware en México, así que la edición mira hacia afuera. El caso que más pesa es la brecha en Hugging Face, atribuida a un sistema de agentes de IA autónomos que terminó tocando infraestructura de producción, datasets internos y credenciales de servicio: un modo de falla que apenas empieza a verse en la práctica. En América Latina, un actor asegura tener datos de la Secretaría Distrital de Movilidad de Bogotá a la venta. Ninguno toca directamente a organizaciones mexicanas, pero marcan tendencias que conviene vigilar. **Una brecha en Hugging Face atribuida a un agente de IA autónomo** Hugging Face reveló una brecha de seguridad en la que un sistema de agentes de IA autónomos comprometió parte de su infraestructura de producción y obtuvo acceso a datasets internos y credenciales de servicio [1]. La intrusión comenzó en el pipeline de procesamiento de datos de Hugging Face, con los atacantes usando un dataset malicioso para explotar dos vulnerabilidades de ejecución de código y correr código en un worker de procesamiento, lo que les permitió robar credenciales de nube y de clúster y moverse lateralmente por varios clústeres internos [1]. Hugging Face es una plataforma de IA y machine learning de código abierto que ofrece acceso a más de 45,000 modelos de proveedores líderes de IA y es usada por más de 50,000 organizaciones [1], lo que amplifica el alcance potencial de cualquier credencial expuesta. Comentario del editor: Es el tipo de incidente que veníamos anticipando: no un atacante humano abriéndose paso, sino un agente automatizado que actúa con permisos amplios y termina fuera de su carril. La compañía dijo que la brecha demostró que los sistemas ofensivos de IA autónoma ya no son un riesgo teórico de ciberseguridad y que las plataformas necesitarán cada vez más defensas basadas en IA capaces de responder a velocidad de máquina [1]. Para cualquier equipo en México que ya integró agentes de IA a sus pipelines, la lección es concreta: los mismos principios de menor privilegio, segmentación y rotación de credenciales que aplican a un empleado aplican, con más urgencia, a un proceso autónomo que opera a velocidad de máquina. **A la venta datos de la Secretaría de Movilidad de Bogotá** Un actor afirma haber obtenido datos internos de la Secretaría Distrital de Movilidad de Bogotá, la autoridad de movilidad dependiente de la Alcaldía de Bogotá, en Colombia [2]. La entidad reconoció públicamente el incidente: la Secretaría Distrital de Movilidad de Bogotá confirmó que fue víctima de un incidente de seguridad informática que derivó en la exfiltración de información almacenada en una base de datos histórica utilizada para procesos operativos internos [2]. Las investigaciones técnicas permitieron establecer que sí existió una exfiltración de información desde una base de datos histórica administrada por un proveedor tecnológico externo que prestaba servicios a la Secretaría [2]. No obstante, hasta el momento la administración distrital no ha confirmado versiones que circulan sobre una presunta afectación de millones de registros ni otras afirmaciones relacionadas con una posible manipulación de comparendos o información de sistemas de fotodetección, y precisó que esos aspectos continúan siendo objeto de revisión técnica [2]. Comentario del editor: El caso es un recordatorio de que la superficie de riesgo suele estar en los proveedores externos que administran bases históricas, no solo en la infraestructura propia de la entidad. Las secretarías de movilidad mexicanas manejan estructuras de datos casi idénticas (fotomultas, agentes, folios), así que el patrón regional merece atención de las contrapartes locales. ## Referencias https://darkwebinformer.com/hugging-face-breach-linked-to-autonomous-ai-agent-exposes-internal-datasets-and-credentials/https://darkwebinformer.com/bogota-mobility-secretariat-allegedly-breached-5-6gb-of-traffic-agent-and-citation-data-listed-for-500/ ## [Intel MX] 2026-07-18 Sin víctimas nuevas en México; OpenSSL, Kyverno y una brecha en Brasil marcan el día Source: https://ransomware.mx/intel/2026-07-18/ Jornada tranquila en el frente mexicano, pero con dos fallas de infraestructura y una presunta brecha brasileña que vale la pena vigilar. Hoy no se registraron nuevas víctimas de ransomware en México. El panorama se concentra en el contexto regional y global: una falla de agotamiento de memoria en OpenSSL apodada HollowByte, una escalada de privilegios crítica en Kyverno dentro de Kubernetes, y una presunta brecha en Brasil que expone datos de pacientes. Ninguno de estos hechos apunta directamente a organizaciones mexicanas, pero OpenSSL y Kyverno son piezas de infraestructura tan extendidas que conviene revisarlas antes de que un actor las convierta en vector regional. **HollowByte: 11 bytes bastan para tumbar un servidor OpenSSL** Se divulgó una falla en OpenSSL apodada HollowByte que permite a un atacante no autenticado agotar la memoria del servidor mediante peticiones TLS especialmente construidas con tan solo 11 bytes de datos [1]. Un atacante no autenticado puede disparar HollowByte abriendo una conexión TLS y enviando una entrada maliciosa de 11 bytes con un encabezado que declara un cuerpo de mensaje mucho más grande, repitiendo el proceso en múltiples conexiones para que el servidor reserve cantidades considerables de memoria con un volumen de datos relativamente pequeño. Al tratarse de una condición de denegación de servicio remota y sin autenticación sobre una biblioteca criptográfica omnipresente, la superficie de exposición es amplia. Cabe señalar que HollowByte recibió tratamiento de parche silencioso en lugar de un CVE, por lo que muchas organizaciones podrían no detectarlo mediante escaneo de vulnerabilidades estándar. La falla se corrigió en OpenSSL 4.0.1 y se retroportó a las versiones 3.6.3, 3.5.7, 3.4.6 y 3.0.21. Comentario del editor: OpenSSL está debajo de casi cualquier servicio expuesto a Internet en México, desde portales de gobierno hasta banca y telecom. Un DoS que se dispara con 11 bytes no requiere sofisticación ni botnet grande; conviene priorizar el parcheo ahora que ya hay versión corregida y no esperar a ver el primer abuso. Ojo con las copias empotradas de OpenSSL en runtimes de lenguajes, porque un parche a nivel de sistema operativo no siempre las cubre. **CVE-2026-54523: escalada entre namespaces en Kyverno** CVE-2026-54523 (GHSA-79gf-7frw-68m9) es una escalada de privilegios crítica en Kyverno, el motor de políticas de Kubernetes de la CNCF, que permitiría pasar de un namespace a kube-system [2]. Existe un PoC público que habilita la escalada de privilegios de Kyverno a administrador en cualquier namespace, con una puntuación CVSS de 9.6. Un compromiso de este tipo puede darle a un atacante control efectivo del clúster. Comentario del editor: Kyverno se instala justamente para hacer cumplir políticas de seguridad, así que una falla que lo convierte en camino de escalada es especialmente incómoda. Quien corra Kubernetes en producción en México debería inventariar si usa Kyverno y en qué versión, porque el radio de impacto es todo el clúster, no un solo pod. Conviene además revisar y restringir los permisos RBAC del ServiceAccount del controlador de admisión. **Hospital brasileño Di Camp, presunta brecha con datos médicos** Un actor bajo el alias doommageddon afirma haber vulnerado al Hospital Di Camp, un centro de salud en Campo Grande, Brasil, y publicó datos médicos de pacientes en una liberación por etapas [3]. El actor afirma que la divulgación ocurrirá en tres olas; la primera entrega supuestamente contiene datos relacionados con electrocardiogramas (ECG), mientras el reclamo anticipa la publicación de información de salud protegida, datos personales y bases de datos completas del hospital. La afirmación no ha sido confirmada de forma independiente. La información no cuenta con verificación independiente y el Hospital Di Camp no había abordado públicamente la acusación al momento del reporte. Comentario del editor: La liberación escalonada es táctica clásica de extorsión: se filtra una muestra para presionar y forzar contacto. El sector salud latinoamericano sigue siendo blanco recurrente por el valor de los expedientes clínicos y la baja tolerancia a la interrupción; es un recordatorio para hospitales mexicanos con perfil similar. Acceder o redistribuir presuntos registros médicos puede aumentar el daño para las personas afectadas. ## Referencias https://darkwebinformer.com/openssl-hollowbyte-flaw-lets-11-byte-tls-requests-exhaust-server-memory/https://darkwebinformer.com/one-namespace-string-to-kube-system-cross-namespace-privilege-escalation-in-kyverno-cve-2026-54523/https://darkwebinformer.com/brazilian-hospital-hospital-di-camp-allegedly-breached-patient-medical-data-leaked-in-staged-release/ ## [Intel MX] 2026-07-17 Sin víctimas en México, pero LATAM y Europa siguen sangrando datos Source: https://ransomware.mx/intel/2026-07-17/ Un día tranquilo en casa no significa un día tranquilo en la región: el ruido viene de afuera. Hoy no se registraron nuevas víctimas de ransomware en México, así que la lectura del día mira hacia afuera. El panorama regional y global trae dos señales que conviene tener en el radar: una supuesta brecha de datos de clientes de una marca de ropa deportiva en Eslovaquia y un ataque de ransomware confirmado contra una empresa de servicios en Panamá, el vecino latinoamericano más cercano al tipo de objetivo que suele repetirse en México. Sin impacto local directo, el mensaje sigue siendo el mismo: los operadores no descansan y los sectores de servicios y retail continúan en la mira. **Marca eslovaca de fitness NEBBIA: más de 32,000 registros de clientes expuestos** Un actor que usa el alias iProfessor asegura haber vulnerado a NEBBIA (nebbia.fitness), una marca premium de ropa deportiva con sede en Zilina, Eslovaquia, que vende internacionalmente a través de su tienda en línea, y afirma haber filtrado más de 32,000 documentos de clientes, mientras alega que cientos de miles de registros adicionales permanecen sin publicar [1]. La reclamación no ha sido validada de forma independiente. Comentario del editor: El retail en línea que vende fuera de sus fronteras suele guardar datos de compradores de múltiples países. Vale la pena revisar si compradores mexicanos figuran en filtraciones de tiendas internacionales, aunque la marca no tenga operación local. **Ransomware confirmado contra Formas Universales en Panamá** El grupo de ransomware krybit reclama un ataque contra Formas Universales, S.A., una empresa panameña fundada en 1985, especializada en la producción y comercialización de formatos e impresos [2]. Es el caso más cercano geográficamente al tipo de objetivo que se repite en México: empresas de servicios de tamaño medio, con décadas de operación y probable digitalización parcial. Comentario del editor: Panamá comparte con México un tejido de PyMEs de servicios que no siempre invierte en respaldo y segmentación. La actividad de krybit es amplia y oportunista más que específica de un sector, con víctimas reclamadas en múltiples países e industrias, un anticipo útil de a qué tocan la puerta después. ## Referencias https://breachnews.com/https://ransomware.live/id/Zm9ybWFzdW5pdmVyc2FsZXMuY29tQGtyeWJpdA== ## [Intel MX] 2026-07-16 Cursor sin parche, catastro rumano en venta y DragonForce suma víctima en EU Source: https://ransomware.mx/intel/2026-07-16/ Un día sin fuego local, pero con lecciones que aplican a cualquier equipo de desarrollo en México. Hoy no se registraron nuevas víctimas de ransomware en México, así que la edición mira hacia afuera. El plato fuerte es una vulnerabilidad sin parche en Cursor, el editor de código con IA, que convierte a un repositorio Git malicioso en un vector de ejecución de código con solo abrirlo. Sumamos un supuesto golpe al registro catastral de Rumania, con datos ciudadanos y código fuente a la venta, y una víctima más del grupo DragonForce en Estados Unidos. Nada de esto toca directamente a organizaciones mexicanas, pero los tres casos describen riesgos que ya circulan en nuestro perímetro. **Cursor: un repositorio Git malicioso ejecuta código en Windows sin parche disponible** Investigadores de seguridad divulgaron una vulnerabilidad sin parche en Cursor, el editor de código basado en IA, que permite que un repositorio Git malicioso ejecute código controlado por el atacante de forma automática al abrirlo en un sistema Windows [1]. Simplemente abrir un repositorio malicioso es suficiente para disparar esta ruta de ejecución, sin requerir clics del usuario, confirmaciones ni aprobaciones [1]. El defecto de seguridad es directo: al abrir un repositorio, Cursor ejecuta automáticamente un binario git.exe malicioso ubicado en la raíz del proyecto, sin advertir al usuario ni pedir aprobación [1]. Comentario del editor: Cursor se ha popularizado a gran velocidad entre equipos de desarrollo en México, incluidos startups y áreas internas de banca y retail. Mientras no haya parche, tratar cada repositorio ajeno como no confiable y abrirlo en entornos aislados deja de ser paranoia y pasa a ser higiene básica. **Rumania: registro catastral ANCPI supuestamente comprometido, datos y código fuente a la venta** Un actor de amenazas que usa el alias bytetobreach anuncia la venta de datos que afirma haber robado de ANCPI, la Agencia Nacional de Catastro y Publicidad Inmobiliaria de Rumania, que administra los registros de propiedad y de la tierra del país [2]. La oferta incluiría información de ciudadanos y código fuente, y el incidente se describe como una brecha acompañada de ransomware [2]. Comentario del editor: Los registros catastrales concentran datos personales, fiscales y de propiedad de valor duradero. Es un recordatorio para las instituciones registrales y catastrales de Latinoamérica, incluido el Registro Público de la Propiedad en México, de que este tipo de acervos son blanco explícito y no un daño colateral. **DragonForce suma a Metro Design Center en Estados Unidos** El grupo de ransomware DragonForce reivindicó a Metro Design Center, un negocio de servicios al consumidor dedicado a ideas de diseño de interiores, ubicado en el Lehigh Valley de Estados Unidos [3]. La entrada refuerza el patrón de DragonForce de apuntar a empresas medianas fuera del radar mediático. El grupo opera bajo un esquema de doble extorsión que combina el cifrado tradicional con la exfiltración de datos sensibles de la víctima, y amenaza con filtrarlos en un sitio de filtraciones si no se paga el rescate [3]. Comentario del editor: DragonForce sigue operando bajo un modelo que privilegia el volumen de víctimas pequeñas y medianas por encima de golpes de alto perfil. Para las Pymes mexicanas, que rara vez creen ser blanco, es justo ese perfil el que estos grupos prefieren. ## Referencias https://darkwebinformer.com/unpatched-cursor-zero-day-lets-malicious-git-repositories-trigger-windows-code-execution/https://darkwebinformer.com/romanian-land-registry-agency-ancpi-allegedly-breached-and-hit-with-ransomware-citizen-data-and-source-code-for-sale/https://www.ransomware.live/group/dragonforce ## [Intel MX] 2026-07-15 Sin víctimas en México, mientras EU golpea al bulletproof hosting ruso Source: https://ransomware.mx/intel/2026-07-15/ Un día sin banderas rojas en México, pero con movimiento en tres frentes que importan: infraestructura criminal, salud pública en la región y parches críticos de SAP. Hoy no se registraron nuevas víctimas de ransomware en México, así que la edición mira hacia afuera. Estados Unidos desmantela una operación rusa de hosting a prueba de balas, un consejo de salud de Brasil vuelve a aparecer filtrado, SAP publica su lote de julio con tres vulnerabilidades críticas y un administrador de Doxbin va a prisión por alentar ataques de swatting. En el mundo del ransomware, un astillero tailandés cae ante DragonForce. **EU imputa a tres rusos y a dos empresas de bulletproof hosting** El Departamento de Justicia de Estados Unidos abrió una acusación contra tres ciudadanos rusos y dos compañías con sede en San Petersburgo por operar una infraestructura de hosting a prueba de balas. Una acusación fue revelada en el Distrito Norte de Ohio contra tres ciudadanos rusos y dos compañías relacionadas de "bulletproof hosting" por su papel en cibercrímenes contra víctimas de EU, causando decenas de millones de dólares en pérdidas. El fiscal de EU dijo que los presuntos delitos afectaron a víctimas en 21 estados y en países alrededor del mundo, causando más de 62 millones de dólares en pérdidas. Las dos empresas imputadas son Media Land y ML.Cloud, junto con tres individuos con base en San Petersburgo, Rusia. El bulletproof hosting renta servidores y les da tolerancia deliberada a los abusos: proporciona servicios que protegen la actividad criminal de las fuerzas del orden y permiten que las operaciones cibercriminales permanezcan en línea, y la red alimentaba ransomware, malware y ataques de fuerza bruta a nivel mundial. Comentario del editor: Golpear la infraestructura y no solo a los operadores es la jugada correcta: sin hosting resiliente, muchas campañas pierden piso. Pero los sospechosos permanecen en Rusia, así que la acusación es más señal disuasoria que arresto. **Consejo de salud municipal de Brasil vuelve a filtrarse** Un actor de amenazas que usa el alias 888 afirma haber filtrado una base de datos del Conasems, el Consejo Nacional de Secretarías Municipales de Salud de Brasil, con datos sensibles de usuarios. El actor de amenazas conocido como 888 anuncia la supuesta filtración de una base de datos sensible del Conasems, el Conselho Nacional de Secretarias Municipais de Saude, que representa a todas las secretarías municipales de salud de Brasil. La inclusión de números CPF significa que cada registro contiene PII altamente sensible que puede usarse para robo de identidad, fraude crediticio y ataques dirigidos de ingeniería social; el CPF, equivalente en importancia al número de Seguro Social de EU, no puede cambiarse fácilmente y permanece ligado a una persona de por vida. Comentario del editor: Que una organización del sector salud aparezca de nuevo sugiere exposición recurrente. Para la región es un recordatorio directo: los datos clínicos y de afiliados son un blanco de alto valor y las secretarías de salud mexicanas comparten el mismo perfil de riesgo. **SAP parcha tres vulnerabilidades críticas en NetWeaver, AppRouter y Commerce Cloud** SAP publicó sus actualizaciones de seguridad de julio de 2026 y corrigió tres nuevas vulnerabilidades críticas que afectan a NetWeaver Application Server ABAP, AppRouter y Commerce Cloud. Son componentes centrales en despliegues empresariales, presentes en manufactura, finanzas y retail. Comentario del editor: Las fallas críticas en SAP suelen habilitar ejecución remota o toma de control con impacto en toda la cadena de procesos de negocio. En México hay una base amplia de instalaciones SAP en manufactura y banca: el parcheo aquí no es rutina, es prioridad de esta semana. **Administrador de Doxbin sentenciado por alentar swatting en tres países** Un hombre galés identificado como administrador de la plataforma de doxing Doxbin fue sentenciado a prisión por alentar y asistir ataques de swatting. Un hombre galés identificado como administrador de la plataforma de doxing Doxbin ha sido sentenciado a prisión por alentar y asistir ataques de swatting contra personas y organizaciones en Reino Unido, Estados Unidos y Canadá; Callum Dare, de 26 años, de Talbot Green, recibió una sentencia de dos años y tres meses en el Tribunal de la Corona de Cardiff tras declararse culpable de alentar o asistir la comisión de comunicaciones maliciosas y poseer un artículo para uso en fraude. Las autoridades dijeron que Dare no realizó personalmente las llamadas falsas de emergencia; en cambio, alentó y asistió a otros usuarios en atacar a personas y organizaciones. Comentario del editor: El doxing y el swatting muestran que el daño digital no siempre es filtración o cifrado: a veces es una unidad táctica en la puerta de una casa por una denuncia falsa. La condena marca que estas conductas ya se persiguen como delito con cárcel. **DragonForce reclama al astillero tailandés Asimar** El grupo DragonForce sumó a su sitio de filtraciones a Asimar (Asian Marine Service PCL), un astillero de Tailandia. Asian Marine Services Public Company Limited (ASIMAR) es una empresa tailandesa especializada en reparación y construcción de barcos; establecida en 1981, opera dos astilleros importantes en Tailandia, con su astillero principal ubicado en el río Chao Phraya en la provincia de Samut Prakan, y ofrece reparación de barcos, construcción naval, fabricación de acero y soluciones de ingeniería marina para clientes comerciales y militares en todo el sudeste asiático. El caso se enmarca en la actividad de ransomware reportada al 14 de julio de 2026. Comentario del editor: Sin víctimas mexicanas hoy, pero DragonForce apunta a agencias gubernamentales y firmas de alto perfil en manufactura, bienes raíces y transporte, con frecuencia en regiones con tensiones geopolíticas. Ese perfil coincide con muchas plantas y proveedores en el norte y el Bajío. Sirve como referencia de a quién apunta el grupo. ## Referencias https://darkwebinformer.com/u-s-indicts-three-russians-and-two-bulletproof-hosting-companies-over-62m-in-cybercrime-losses/https://darkwebinformer.com/brazilian-health-council-conasems-allegedly-breached-again-766-000-users-sensitive-data-leaked/https://darkwebinformer.com/sap-patches-critical-netweaver-approuter-and-commerce-cloud-vulnerabilities/https://darkwebinformer.com/welsh-doxbin-administrator-jailed-for-encouraging-swatting-attacks-across-three-countries/https://darkwebinformer.com/ransomware-attack-update-july-14th-2026/ ## [Intel MX] 2026-07-14 Sedemi en la mira, Washington sanciona proveedores de ransomware y Rusia hostiga routers Source: https://ransomware.mx/intel/2026-07-14/ Cinco minutos bien invertidos: sanciones, routers comprometidos y una fuga francesa que según sus autores toca a cientos de miles de usuarios. El día se mueve más por el contexto global que por el frente local. Aparece un señalamiento contra Sedemi, aunque sin detalles verificables sobre el alcance del incidente. Afuera, Estados Unidos endurece la presión económica contra la infraestructura que habilita al ransomware, mientras dos avisos coordinados apuntan a actores estatales rusos que siguen exprimiendo dispositivos de red mal configurados. Cierran el panorama dos filtraciones que recuerdan que las plataformas de reclutamiento y las legales tampoco están a salvo. **Sedemi aparece señalada** Se registró un señalamiento contra Sedemi, sin que por ahora existan detalles públicos verificables sobre el vector de acceso, el volumen de datos comprometidos ni una reivindicación clara del ataque [1]. Sedemi es un grupo corporativo dedicado a la construcción de soluciones de infraestructura, que incluye ensamblaje electromecánico, ingeniería civil y mantenimiento de líneas de transmisión, con base en Ecuador, lo que eleva el interés potencial para actores de doble extorsión. Comentario del editor: Cuando un nombre aparece en un listado pero sin muestras ni comunicado, conviene tratarlo como una alerta preliminar, no como un hecho consumado. Vale la pena que el equipo de Sedemi valide accesos, revise su exposición externa y prepare comunicación por si esto escala. Lo marcamos con confianza acotada precisamente porque el detalle brilla por su ausencia. **EU sanciona a un proveedor de VPN y a un especialista en ofuscación** Estados Unidos sancionó a un proveedor de servicios de red privada virtual, a su administrador y a un especialista en ofuscación de malware, por presuntamente suministrar servicios y herramientas usados por grupos de ransomware contra organizaciones estadounidenses [2]. Es la primera vez que se aplica este tipo de medida a un servicio de VPN vinculado al ecosistema criminal. Comentario del editor: Golpear la infraestructura de soporte, y no solo a los operadores del ransomware, es la jugada correcta a mediano plazo. La ofuscación y las VPN de anonimato son eslabones que rara vez salen en los titulares, pero sin ellos muchas campañas se caen. Ojo: las sanciones no apagan el servicio, elevan el costo de hacer negocios con él. **CISA suma una falla de Cisco IOS al catálogo KEV** La agencia estadounidense de ciberseguridad e infraestructura (CISA) añadió a su catálogo de vulnerabilidades explotadas conocidas una falla de Cisco IOS, identificada como CVE-2008-4128, tras evidencia de explotación activa [3]. La falla afecta a Cisco IOS 12.4 en routers Cisco 871 e involucra múltiples vulnerabilidades de falsificación de peticiones entre sitios (CSRF) en la interfaz de administración HTTP, que permiten a un atacante remoto engañar a un administrador autenticado para que ejecute comandos arbitrarios. Comentario del editor: Que una vulnerabilidad de casi dos décadas siga viva en producción dice más de nuestro parque tecnológico que del atacante. Hay mucho equipo Cisco heredado en gobierno y telecom que nadie ha tocado en años. Si su inventario tiene IOS antiguo, esta es la señal para priorizar el parcheo o el retiro. **Actores rusos siguen cazando routers vulnerables en infraestructura crítica** Un aviso conjunto de ciberseguridad advierte que actores vinculados al Centro 16 del Servicio Federal de Seguridad (FSB) de Rusia continúan comprometiendo dispositivos de red mal configurados y vulnerables en todo el mundo, comprometiendo de forma oportunista redes de múltiples sectores de infraestructura crítica [4]. Los actores usan principalmente el escaneo para identificar dispositivos de red mal configurados, sobre todo routers, para su explotación. Comentario del editor: El patrón es consistente con el tema anterior: el borde de la red sigue siendo el eslabón más débil y más ignorado. Para operadores mexicanos de energía, agua y telecom, la lectura es directa: cambien credenciales por defecto, cierren administración expuesta a internet y monitoreen sus routers como si fueran servidores críticos, porque lo son. **Plataforma de reclutamiento con IA Suitable AI, presunta brecha** Un actor de amenazas bajo el alias NightBroker afirma haber vulnerado Suitable AI (suitable.ai), una plataforma de reclutamiento basada en inteligencia artificial con presencia en India y Estados Unidos que ayuda a profesionales STEM a encontrar empleos, y publicó un volcado parcial que según sus dichos incluye datos de aspirantes [5]. Comentario del editor: Las plataformas de reclutamiento acumulan CV, correos y datos de contacto que son oro para el phishing dirigido. Aunque el incidente no toca directamente a México, muchos profesionales de la región usan servicios similares. La lección se repite: entregar tu historial laboral a una startup implica confiar en su higiene de seguridad, que casi nunca puedes auditar. **Plataforma legal francesa Litige.fr, presunta filtración de usuarios** Dos actores que usan los alias misere y ChimeraZ afirman haber vulnerado Litige.fr, una plataforma francesa de servicios legales en línea y recuperación de deudas, y están filtrando datos que según ellos cubren a 595,024 usuarios, presuntamente a través de fallas de control de acceso [6]. Comentario del editor: Los fallos de control de acceso son de los más prevenibles y de los más repetidos: permisos mal configurados que dejan a la vista datos que jamás debieron ser públicos. Para el sector legal mexicano, que maneja información sensible de clientes y deudores, este caso es un espejo incómodo. La lucha no siempre es contra un exploit sofisticado, a veces es contra un endpoint mal permisado. ## Referencias https://darkwebinformer.com/https://darkwebinformer.com/u-s-sanctions-first-vpn-service-and-malware-obfuscation-provider-over-ransomware-support/https://darkwebinformer.com/cisa-adds-cisco-ios-flaw-exploited-by-russian-fsb-actors-to-kev-catalog/https://darkwebinformer.com/russian-state-sponsored-actors-target-vulnerable-routers-across-critical-infrastructure/https://darkwebinformer.com/ai-recruitment-platform-suitable-ai-allegedly-breached-over-15-000-applicants-data-leaked-in-a-partial-dump/https://darkwebinformer.com/french-legal-platform-litige-fr-allegedly-breached-nearly-595-000-users-data-exposed-through-access-control-flaws/ ## [Intel MX] 2026-07-13 Un día sin víctimas en México Source: https://ransomware.mx/intel/2026-07-13/ Cinco minutos bien invertidos: hoy México respira, pero conviene no bajar la guardia. Hoy no se registraron nuevas víctimas de ransomware en México. Un día limpio en el tablero nacional no significa que la marea se haya retirado: es la ventana ideal para levantar la mirada y revisar la higiene básica antes de que llegue el próximo golpe. Aprovechamos la calma para repasar buenas prácticas frente a la doble extorsión, el acceso inicial por dispositivos de borde y las credenciales comprometidas. La ausencia de nombres mexicanos en los muros de filtración es una tregua, no un tratado de paz. **México sin nuevas víctimas en los muros de filtración** Durante la jornada no se identificaron nuevas organizaciones mexicanas publicadas en los sitios de filtración de grupos de ransomware. Comentario del editor: Un día en cero es una buena noticia, pero conviene leerlo con cautela. Los grupos suelen negociar en silencio antes de publicar, así que un muro vacío hoy puede ser una lista larga en dos semanas. La recomendación no cambia: usen la calma para validar respaldos y revisar accesos remotos, no para relajarse. **La doble extorsión sigue siendo un modelo a vigilar** El modelo de doble extorsión, cifrar y además amenazar con publicar los datos robados, se mantiene como una táctica frecuente entre los operadores activos. Comentario del editor: Para las organizaciones mexicanas esto tiene una implicación práctica: tener respaldos ya no basta. Si el atacante puede exfiltrar y publicar, la resiliencia se juega en el control de la salida de datos (DLP, segmentación, monitoreo de tráfico anómalo) y no solo en la capacidad de restaurar. El dinero se paga por el silencio, no solo por la llave. **Vulnerabilidades de borde: la puerta de entrada favorita** El acceso inicial vía dispositivos de borde expuestos (VPN, firewalls y appliances sin parchar) sigue siendo un vector recurrente aprovechado por afiliados de ransomware. Comentario del editor: El perímetro mexicano típico está lleno de equipos que nadie ha tocado desde su instalación. Si su organización tiene una VPN o firewall expuesto a internet, ese es el activo que debe vigilar esta semana. La regla es simple: lo que da a internet y no se parcha, tarde o temprano se convierte en su punto de entrada. **Las credenciales comprometidas siguen siendo materia prima** Las credenciales robadas mediante infostealers continúan siendo una de las materias primas más utilizadas para obtener acceso inicial a redes corporativas. Comentario del editor: Muchas brechas no empiezan con un exploit sofisticado, sino con una contraseña que ya andaba circulando. La autenticación multifactor bien implementada sigue siendo la medida de mayor retorno por peso invertido. Si un empleado se infecta con un infostealer en su casa, sus credenciales corporativas pueden terminar en manos de terceros sin que nadie lo note. **Infraestructura de los grupos y direcciones ocultas** Los grupos de ransomware suelen operar sus sitios de filtración en la red Tor, con direcciones del tipo ejemplo3fakeonionxyz[.]onion que rotan con frecuencia para evadir tomas de control. Comentario del editor: La resiliencia de estos grupos es su rasgo más frustrante: cae un sitio y a las semanas resurge con otro nombre. Para el defensor mexicano el aprendizaje es no obsesionarse con la marca del atacante del mes, sino con cerrar los vectores que cualquiera de ellos explota. El adversario cambia de logo; sus tácticas casi nunca. ## Referencias https://www.cisa.gov/stopransomware ## [Intel MX] 2026-07-12: Fintech singapurense golpeada por ransomware; sin vínculo confirmado a México Source: https://ransomware.mx/intel/2026-07-12/ Cinco minutos para leer el pulso de las amenazas antes de que el lunes te lea a ti. El fin de semana dejó un tablero de baja intensidad para México. La pieza que circulaba como presunta víctima local resultó ser una empresa con sede en Singapur y presencia en Europa y Australia, sin hilo verificable hacia el país. El resto del día lo dominan los boletines de actividad global de ransomware, que confirman que la maquinaria de doble extorsión no toma vacaciones. Aquí va la lectura editorial. **Triquesta, fintech de finanzas estructuradas, reclamada por el grupo The Gentlemen** La firma Triquesta, empresa de tecnología financiera con sede en Singapur fundada en 2006, especializada en soluciones de gestión de colateral, riesgo y cumplimiento, con foco en finanzas de commodities estructuradas y financiamiento comercial, apareció referenciada como víctima en un listado de extorsión [1]. El 10 de julio de 2026, el grupo de ransomware The Gentlemen reclamó la responsabilidad de un ciberataque contra Triquesta Pte. Ltd., y amenazó con filtrar datos sensibles a menos que la empresa iniciara negociaciones [2]. Con sede en Singapur, Triquesta tiene operaciones regionales en Europa y Norteamérica, y sus soluciones están dirigidas a bancos e instituciones financieras a nivel global [1]. Al momento del corte no hay confirmación pública de la organización sobre alcance de datos comprometidos, montos exigidos ni vector de acceso inicial. Comentario del editor: El perfil incomoda más de lo que su tamaño sugiere. Una fintech que toca colateral, cumplimiento y riesgo maneja exactamente el tipo de propiedad intelectual y datos de contraparte que un grupo de doble extorsión sabe monetizar dos veces: una con la víctima y otra con sus clientes bancarios. Ojo con el encuadre: no hay vínculo verificable de Triquesta con México, su presencia documentada es Singapur, Europa, Norteamérica y Australia; hasta que la propia empresa hable, tratemos esto como confianza-media y no como un incidente cerrado ni como un caso mexicano. Si tu banco o tu tesorería usa proveedores de este tipo, hoy es buen día para preguntar por su postura de seguridad, no mañana. **Actividad global de ransomware sigue a ritmo constante** Los reportes de actividad de ransomware correspondientes al 11 de julio de 2026 dan cuenta de nuevas víctimas listadas por distintos grupos de extorsión a nivel global [3]. El patrón no muestra una campaña concentrada contra un sector único, sino la cadencia habitual de publicaciones en sitios de filtración, donde las organizaciones aparecen como palanca de negociación. Las plataformas de seguimiento monitorean y raspan continuamente los sitios de filtración de los grupos para identificar y listar víctimas recién publicadas [3]. Comentario del editor: El ruido de fondo importa porque es predictivo. Cuando el flujo global se mantiene estable, la probabilidad de que un nombre mexicano aparezca en cualquier semana no baja; solo estamos entre olas. La disciplina aburrida (respaldos probados, MFA sin excepciones, segmentación y monitoreo de accesos remotos) sigue siendo el mejor seguro contra terminar en uno de esos conteos. La confianza aquí es media: el volumen es real, pero los agregados diarios siempre traen ruido y duplicados. ## Referencias https://www.zoominfo.com/c/triquesta-pte-ltd/346670373https://www.dexpose.io/the-gentlemen-ransomware-attack-on-triquesta-pte-ltd/https://darkwebinformer.com/ransomware-attack-update-july-11th-2026/ ## [Intel MX] 2026-07-11 Cuatro empresas mexicanas expuestas y un negociador que jugaba para el otro bando Source: https://ransomware.mx/intel/2026-07-11/ Cinco minutos bien invertidos: cuatro víctimas mexicanas nuevas y un recordatorio de que a veces el enemigo está del lado del negociador. Día movido para México: cuatro organizaciones nacionales aparecen listadas como víctimas, con presencia en agroindustria, manufactura química, un grupo automotriz y un conglomerado potosino ligado a la industria de la bicicleta. En el frente internacional, Europa domina el tablero con brechas en telecomunicaciones y educación, mientras Estados Unidos suma una sentencia que sacude la confianza en quienes deberían defender a las víctimas. Hoy la lectura es clara: la superficie de ataque mexicana no se detiene y la cadena de confianza sigue siendo el eslabón más frágil. **Promotora Zacapu, agroindustria en la mira** Promotora Zacapu, empresa del sector agrícola y de producción de alimentos con operación en México, fue listada como víctima, sin que por ahora se detalle el volumen ni la naturaleza de los datos comprometidos. Comentario del editor: La agroindustria mexicana rara vez sale en titulares de ciberseguridad, y justo por eso es un blanco cómodo: procesos digitalizados, cadenas de suministro sensibles y presupuestos de defensa modestos. Cuando el resumen aparece como N/A, casi siempre significa que la publicación es reciente y que la negociación sigue abierta. Vale la pena vigilar si aparece muestra de datos en los próximos días. **Grupo Vanguardia, el sector automotriz vuelve a sangrar** Grupo Vanguardia, descrito como un grupo del ramo automotriz, aparece expuesto con material presuntamente exfiltrado alojado en un servicio de transferencia de archivos [1]. Comentario del editor: El uso de plataformas públicas de transferencia para publicar botines es un patrón cada vez más común: baja el costo operativo del atacante y presiona a la víctima al hacer el material trivialmente accesible. En automotriz el riesgo no es solo la empresa, es toda la cadena de proveedores y datos de clientes que suele arrastrar. Si eres proveedor de Grupo Vanguardia, hoy es buen día para revisar accesos compartidos. **Quetzal Química, manufactura química comprometida** Quetzal Química, del sector manufactura, figura como víctima con material presuntamente disponible en un servicio externo de descarga [2]. Comentario del editor: La química es infraestructura sensible por definición: formulaciones, hojas de seguridad, clientes industriales y a veces vínculos con sectores regulados. Una filtración aquí puede tener consecuencias que van más allá de la privacidad y tocan propiedad intelectual y continuidad operativa. La ausencia de resumen no debe leerse como incidente menor. **Grupo Mercurio, conglomerado potosino de la bicicleta** Grupo Mercurio, conglomerado mexicano de servicios de negocio con base en San Luis Potosí y una de las mayores plantas de fabricación de bicicletas del país, fue listado como víctima con material alojado en un servicio de transferencia de archivos [3]. Comentario del editor: Cuando cae un conglomerado, cae un ecosistema: filiales, nómina, proveedores y datos de distribución. San Luis Potosí es un polo manufacturero que ha crecido rápido y no siempre con la misma velocidad en madurez de seguridad. Este caso, con confianza alta y datos ya alojados, merece seguimiento cercano por el tamaño de la huella empresarial. **Odido: 6.2 millones de clientes y sospecha de cómplices locales** La policía neerlandesa afirma haber encontrado indicios sólidos de que criminales locales participaron en el ciberataque contra la operadora de telecomunicaciones Odido, incidente que ocurrió el 7 de febrero y se divulgó el 12 de febrero, afectando a 6.2 millones de clientes de Odido. Comentario del editor: La hipótesis de cómplices locales rompe la caricatura del atacante remoto y anónimo: muchas brechas grandes tienen un componente interno o de proximidad. Para las telecos mexicanas el mensaje es directo: el modelo de amenaza debe incluir insiders y colaboradores con acceso, no solo el firewall perimetral. La escala de 6.2 millones recuerda lo que está en juego cuando una operadora falla. **Educación europea filtrada: PPA y un marketplace de bebés** Un actor bajo el alias 84City publicó un volcado SQL atribuido a PPA Business School, descrito como uno de los mayores grupos privados de educación superior en Francia, con casi 294,000 registros de estudiantes, egresados y prospectos [5]; en paralelo, otro actor con alias ChimeraZ afirma filtrar una base de 500,000 filas del portal de vendedores del marketplace francés de productos para bebés Bebeboutik [6]. Comentario del editor: Dos filtraciones distintas, un mismo patrón: datos de personas altamente reutilizables para phishing y fraude dirigido. Los registros educativos y los de comercio con perfil familiar son oro para ingeniería social, porque combinan identidad, contacto y contexto. Las instituciones educativas mexicanas deberían tomar nota: son objetivo global, no excepción. **Sentencian a negociador de ransomware que ayudaba a BlackCat/ALPHV** Un antiguo negociador de ransomware con base en Florida fue sentenciado a prisión federal por ayudar a los actores de BlackCat/ALPHV a extorsionar a víctimas estadounidenses mientras se suponía que debía ayudarlas a responder ante los ataques [7]. Comentario del editor: Este es el caso que más debería inquietar a los responsables de seguridad: el enemigo estaba dentro de la respuesta a incidentes. La lección es incómoda pero necesaria: verifica antecedentes, exige contratos claros y evita depender de una sola figura opaca en tu negociación. La confianza en el proveedor de respuesta no puede ser un acto de fe. ## Referencias https://www.swisstransfer.com/d/5cef915e-9de4-4e46-ab3e-61aa2fb557f5https://www.swisstransfer.com/d/35e907c3-0f63-41ff-b05a-bc5ca66cbcachttps://www.swisstransfer.com/d/ad48b2b9-d9c0-4e4e-94d9-8b0cacab345bhttps://darkwebinformer.com/dutch-police-suspect-local-accomplices-in-odido-breach-affecting-6-2-million-customers/https://darkwebinformer.com/french-business-school-ppa-breached-nearly-294-000-records-of-students-alumni-and-prospects-leaked/https://darkwebinformer.com/french-baby-products-marketplace-bebeboutik-allegedly-breached-seller-portal-database-of-500-000-rows-leaked/https://darkwebinformer.com/former-ransomware-negotiator-sentenced-for-helping-blackcat-alphv-extort-u-s-victims/ ## [Intel MX] 2026-07-10 Manufactura jalisciense golpeada y grietas de confianza en los asistentes de IA Source: https://ransomware.mx/intel/2026-07-10/ Cinco minutos bien invertidos: una víctima mexicana en la mira y varias señales globales que conviene leer con calma. El día trae un incidente concreto en territorio mexicano: una manufacturera de pinturas con casi 80 años de historia en Jalisco aparece listada como víctima de extorsión. En el plano global, la conversación gira alrededor de una falla de frontera de confianza en asistentes de código con IA, un sector salud vulnerado en Tailandia, un caso de robo de criptomonedas incautadas por parte de un recluso federal y una operación internacional contra material de abuso infantil ligada a pagos en Monero. Un día para no bajar la guardia ni en la fábrica ni en el IDE. **Pinturas PRISA (Jalisco) aparece como víctima de extorsión** Pinturas PRISA, empresa mexicana con sede en Jalisco y casi 80 años de trayectoria en la fabricación de pinturas y recubrimientos para sectores industriales (automotriz, madera, manufactura) y clientes minoristas, fue listada en un sitio de fuga como víctima de un grupo de extorsión. La publicación apunta al esquema habitual de doble extorsión, en el que se cifra o se exfiltra información y luego se presiona con su divulgación. Comentario del editor: El perfil encaja con el patrón que venimos viendo: manufactura de tamaño medio, larga historia y probablemente una infraestructura de TI que creció más rápido que su presupuesto de seguridad. En este tipo de empresas el activo más sensible no siempre son datos personales, sino fórmulas, listas de clientes y procesos, es decir, propiedad intelectual que puede terminar en el mismo tablero de fugas. Vale la pena que cualquier fabricante jalisciense revise hoy sus respaldos offline y su segmentación de red. **GhostApproval: falla de frontera de confianza en asistentes de código con IA** Investigadores de seguridad de Wiz revelaron GhostApproval, un patrón de vulnerabilidad que afecta a varios asistentes de código con inteligencia artificial y expone un problema de frontera de confianza entre los desarrolladores, los agentes de IA y el sistema de archivos local [1]. GhostApproval afecta a seis de los principales asistentes de código con IA: Amazon Q Developer, Anthropic Claude Code, Augment, Cursor, Google Antigravity y Windsurf; en cada caso, un repositorio malicioso puede engañar al agente para que acceda a archivos arbitrarios fuera del sandbox del espacio de trabajo, con potencial de ejecución remota de código en la máquina del desarrollador. El hallazgo pone el foco en cómo estos agentes pueden ejecutar acciones sobre el equipo del desarrollador sin la aprobación explícita que el usuario cree estar otorgando. Comentario del editor: Este es el tipo de riesgo que se vuelve estructural cuando todos adoptamos las mismas herramientas al mismo tiempo. El asistente que autocompleta tu código también puede tocar tu disco, y la línea entre sugerir y ejecutar se difumina. Para equipos de desarrollo en México que ya integraron estos agentes en su flujo, la recomendación es tratar al asistente como un proceso no confiable: sandbox, permisos mínimos y revisión humana antes de cualquier acción sobre el filesystem. **Salud pública tailandesa vulnerada y datos volcados a la venta** Un actor de amenazas con el alias Monkeydance afirma haber comprometido la oficina de salud pública del distrito de Thepha, una autoridad sanitaria local en Tailandia que opera bajo el Ministerio de Salud Pública, con bases de datos volcadas y acceso al servidor ofrecido a la venta [2]. El caso combina exfiltración de información con comercialización del acceso, un modelo cada vez más común contra entidades gubernamentales pequeñas. Comentario del editor: Aunque el incidente es en Tailandia, la lección es transferible a México: las dependencias de salud a nivel municipal o distrital suelen ser el eslabón débil, con presupuestos limitados y datos altamente sensibles. Un centro de salud regional guarda expedientes clínicos igual de valiosos que un gran hospital, pero rara vez cuenta con las mismas defensas. Los datos de salud no se pueden rotar como una contraseña. **Recluso federal acusado de robar cripto incautada** Un hombre que ya cumple una condena en prisión federal fue acusado de robar y lavar criptomonedas que habían sido decomisadas a favor de Estados Unidos [3]. El caso ilustra que incluso los activos digitales bajo custodia estatal pueden ser objeto de desvío si no existen controles rigurosos sobre las llaves y los procesos de forfeiture. Comentario del editor: Es una historia casi irónica, pero con moraleja seria: la custodia de criptoactivos incautados es un problema de seguridad operativa tan delicado como cualquier billetera corporativa. Para las autoridades mexicanas que empiezan a decomisar activos digitales, la gestión de llaves, la separación de funciones y la trazabilidad no son un lujo, son el mínimo indispensable para que lo confiscado no se evapore desde dentro. **Noruega arresta a 28 personas en operación contra CSAM ligada a Monero** Noruega informó que 28 hombres, en siete países, fueron arrestados en una operación dirigida a compradores de material que representa abuso sexual de menores; el Servicio Nacional de Investigación Criminal, conocido como Kripos, señaló que los hombres habían usado la criptomoneda Monero para pagar el acceso a varios foros en la dark web. [4] Kripos desarrolló nuevos métodos para rastrear transacciones de Monero en 2025, lo que plantea nuevas preguntas sobre la viabilidad a largo plazo de las monedas de privacidad como vías de pago anónimas. La acción muestra que, pese al uso de criptomonedas orientadas a la privacidad, la cooperación internacional y el trabajo de inteligencia siguen dando resultados. Comentario del editor: El mensaje aquí es de esperanza mesurada: la percepción de anonimato total en la dark web sigue siendo una ilusión. Monero complica el rastreo, pero no lo hace imposible cuando se combina con errores operativos, infiltración y colaboración entre agencias. Es un recordatorio de que la persecución de los delitos más graves avanza, aunque el terreno técnico juegue en contra. ## Referencias https://darkwebinformer.com/ghostapproval-flaw-exposes-trust-boundary-weakness-in-major-ai-coding-assistants/https://darkwebinformer.com/thepha-district-public-health-office-in-thailand-breached-databases-dumped-and-server-access-offered/https://darkwebinformer.com/federal-prisoner-charged-with-stealing-290k-in-forfeited-cryptocurrency/https://darkwebinformer.com/norway-arrests-28-in-dark-web-csam-crackdown-tied-to-monero-payments/ ## [Intel MX] 2026-07-09 Maquiladora mexicana en la mira y fuga de datos educativos en Francia Source: https://ransomware.mx/intel/2026-07-09/ Cinco minutos bien invertidos para leer el pulso de amenazas del día. El foco de hoy vuelve a la manufactura mexicana, con una maquiladora expuesta en un sitio de extorsión. En el plano internacional se acumulan dos brechas de datos personales de gran escala (una escuela de TI en Francia y una aseguradora en Estados Unidos) y una vulnerabilidad de ejecución remota en un lector de PDF que recuerda por qué el archivo más inocente sigue siendo un vector de acceso inicial. **Maquiladora Shelby de México aparece como víctima de extorsión** Shelby Manufacturing de México, S.A. de C.V., una maquiladora mexicana dedicada a la manufactura del sector textil y de confección, fue listada como víctima en una operación de extorsión [1]. La publicación sigue el patrón de doble extorsión: exposición de la organización en un portal de filtraciones como palanca de presión para forzar el pago. Al momento del corte no hay detalle público verificado sobre el volumen ni el tipo de datos comprometidos. Comentario del editor: la manufactura mexicana, y en particular las maquiladoras del norte, siguen siendo objetivo constante porque combinan cadenas de suministro internacionales, tiempos de producción sensibles y, con frecuencia, madurez desigual en ciberseguridad. Una línea parada cuesta dinero cada hora, y los operadores lo saben. Si tienes proveedores en este segmento, hoy es buen día para preguntar por sus respaldos y su plan de continuidad. (confianza-alta) **Escuela de TI ESGI en Francia: más de 26,000 registros de alumnos filtrados** Un actor de amenazas que usa el alias 84City publicó un volcado SQL atribuido a ESGI (École Supérieure de Génie Informatique), una escuela privada de educación superior especializada en TI y tecnología digital con sede en París y campus en varias ciudades de Francia [2]. La filtración abarcaría más de 26,000 registros de inscripción de estudiantes. Comentario del editor: que una escuela dedicada precisamente a la informática termine con un dump SQL publicado es el tipo de ironía que debería doler en el sector educativo. Los registros de inscripción suelen mezclar datos personales, contacto y, a veces, información de menores o de pago. Para las universidades mexicanas la lección es directa: sanitizar bases de datos expuestas, cifrar en reposo y no dejar respaldos accesibles desde internet. (confianza-media) **AssuranceAmerica confirma brecha que expone licencias de conducir de casi 7 millones** La aseguradora estadounidense AssuranceAmerica confirmó una brecha de datos que afecta a cerca de 7 millones de personas, con exposición de información personal y números de licencia de conducir [3]. El número de licencia es un identificador especialmente útil para fraude de identidad y suplantación. Comentario del editor: la escala aquí es lo relevante. Casi 7 millones de identificadores de conductor circulando abren la puerta a fraudes que se cocinan durante meses. En México, el paralelo son las aseguradoras y financieras que resguardan INE, CURP y datos fiscales: el mismo tipo de dato, el mismo tipo de riesgo. Minimizar la retención de datos sensibles no es solo cumplimiento, es reducir la superficie del botón rojo. (confianza-media) **CVE-2024-30326: ejecución remota en Foxit PDF Reader reabre la superficie de ataque vía PDF** Una vulnerabilidad de ejecución remota de código en Foxit PDF Reader, rastreada como CVE-2024-30326, subraya el riesgo continuo de que archivos PDF maliciosos se usen como vector de acceso inicial [4]. El PDF sigue siendo un formato de confianza que los usuarios abren casi por reflejo. Comentario del editor: el correo con un PDF adjunto es el caballo de Troya que nunca pasa de moda. Un lector desactualizado convierte un documento "normal" en ejecución de código. Recomendación práctica: inventaría qué lectores de PDF corren en tu parque, aplica parches de Foxit y refuerza el bloqueo de macros y contenido activo en la puerta de correo. La mitad de las intrusiones empiezan por un clic que parecía inofensivo. (confianza-media) ## Referencias https://darkwebinformer.com/https://darkwebinformer.com/french-it-school-esgi-breached-over-26-000-student-enrollment-records-leaked/https://darkwebinformer.com/assuranceamerica-data-breach-exposes-drivers-license-numbers-of-6-99-million-people/https://darkwebinformer.com/foxit-pdf-reader-rce-flaw-cve-2024-30326-highlights-pdf-attack-surface/ ## [Intel MX] 2026-07-08 Expedientes de menores expuestos en Culiacán Source: https://ransomware.mx/intel/2026-07-08/ Cinco minutos bien invertidos antes de que empiece la jornada. El día abre con un golpe directo al sector salud municipal en Sinaloa: un actor de amenazas reclama la filtración gratuita de expedientes médicos, incluidos datos de menores, del portal de salud de Culiacán. En el frente global, se acumulan malas noticias para fintech, plataformas médicas y routers domésticos, además de una demostración incómoda de cómo los agentes de IA en repositorios de código pueden ser manipulados para fugar datos privados. Aquí va la lectura del día. **Portal de salud de Culiacán comprometido, con registros de pacientes y menores filtrados** Un actor de amenazas que usa el alias derm0nix (Hackero$ Crew) afirma haber vulnerado el Portal de Salud de Culiacán, el sistema digital oficial de salud del gobierno municipal, y asegura haber publicado los datos de forma gratuita [1]. Según la reclamación, la filtración incluye registros médicos de pacientes y, de manera especialmente sensible, información de menores de edad [1]. Comentario del editor: Que los datos se ofrezcan gratis, sin intento de venta ni de extorsión, suele significar dos cosas: o el atacante busca reputación, o la información ya perdió valor comercial y solo queda el daño. En ambos casos el perjudicado es el mismo, el ciudadano que confió su expediente al municipio. Cuando hay expedientes de menores de por medio, esto deja de ser un problema de TI y se vuelve un asunto de protección a la infancia. Si eres funcionario de salud municipal en Sinaloa, hoy toca revisar exposición de portales, credenciales reutilizadas y bitácoras de acceso. Confianza media mientras no haya validación independiente de la muestra. **GitLost: agentes de IA en GitHub pueden ser engañados para fugar repositorios privados** Noma Labs divulgó GitLost, una vulnerabilidad de inyección de prompts que mostró cómo los flujos de trabajo agénticos con IA de GitHub podían ser manipulados para filtrar datos de repositorios privados a través de un issue público [2]. Comentario del editor: Esto es el nuevo perímetro y casi nadie lo está vigilando. Le dimos a los agentes de IA permisos amplios sobre código, y un simple issue público se convierte en canal de exfiltración. Si tu equipo ya conectó copilotos o agentes automatizados a repositorios privados, asume que el contenido no confiable (issues, pull requests, comentarios externos) es un vector de ataque, no solo texto. Principio de mínimo privilegio para los agentes, no solo para los humanos. Confianza media. **Plataforma médica francesa Follow a la venta: expedientes de pacientes expuestos** Un actor con el alias Saturne está vendiendo una base de datos de Follow, plataforma francesa de software médico y expedientes de pacientes certificada bajo el estándar Ségur, usada por médicos especialistas y cirujanos [3]. Comentario del editor: El sector salud sigue siendo el blanco favorito porque combina datos sensibles, presupuestos limitados de ciberseguridad y alta presión operativa. Aunque el caso es francés, el patrón aplica igual en México: plataformas de terceros que concentran expedientes de múltiples consultorios se vuelven un solo punto de falla catastrófico. Pregunta obligada para clínicas mexicanas: ¿sabes exactamente en manos de qué proveedor está el expediente de tus pacientes? Confianza media. **Fintech Nayax presuntamente comprometida por completo: amenaza de liberar 100TB y más de mil millones de registros de tarjetas** Un actor con el alias TheSyndicate afirma haber comprometido totalmente a Nayax, empresa israelí global de pagos y fintech que cotiza en NASDAQ y TASE, y asegura haber estado dentro de sus sistemas durante casi un año [4]. La amenaza contempla la liberación de hasta 100TB y más de mil millones de registros de tarjetas [4]. Comentario del editor: Los números suenan a exageración de foro, y hay que tratarlos con pinzas hasta ver pruebas. Pero el detalle que no se debe minimizar es la persistencia: casi un año dentro sin ser detectado. Ese es el verdadero fracaso, no el volumen. Para cualquier negocio en México que use terminales o pasarelas de pago conectadas a proveedores globales, la lección es el monitoreo continuo y la detección de anomalías, porque el atacante paciente gana. Confianza media. **CVE-2026-11405: puerta trasera de administrador oculta en firmware de routers Tenda** Se documentó CVE-2026-11405, una puerta trasera de autenticación no documentada presente en múltiples versiones del firmware de routers Tenda [5]. En esencia, cuando la verificación de contraseña falla, el acceso se concede de todos modos [5]. Comentario del editor: Este es el tipo de vulnerabilidad que arma botnets sin que nadie lo note. Routers domésticos y de oficinas pequeñas son el eslabón más olvidado del inventario, y una puerta trasera de administrador es el peor escenario porque no depende de configuración del usuario. Si tu organización tiene sucursales o personal remoto con equipo de consumo, este es tu recordatorio para inventariar marcas y modelos, y aplicar actualizaciones o reemplazar hardware sin soporte. Confianza media. ## Referencias https://darkwebinformer.com/culiacan-municipal-health-portal-breached-in-mexico-minors-and-patients-medical-records-leaked/https://darkwebinformer.com/gitlost-shows-how-github-ai-agents-can-leak-private-repository-data/https://darkwebinformer.com/french-medical-platform-follow-fr-data-offered-for-sale-over-2-million-patient-records-exposed/https://darkwebinformer.com/payment-firm-nayax-allegedly-fully-breached-actor-threatens-100tb-release-with-over-1-billion-card-records/https://darkwebinformer.com/when-the-password-check-fails-youre-in-the-hidden-admin-backdoor-in-tenda-router-firmware-cve-2026-11405/ ## [Intel MX] 2026-07-07 Servicios de negocio en la mira y cuatro CVE que no admiten demora Source: https://ransomware.mx/intel/2026-07-07/ Cinco minutos bien invertidos antes de que empiece el ruido del día. El tablero mexicano registra hoy un nombre en el sector de servicios de negocio, mientras el panorama global se llena de tareas urgentes: dos vulnerabilidades críticas con explotación activa o alto potencial de abuso, un bug del kernel de Linux que regresa de entre los muertos y un recordatorio de que la edad no es requisito para meterse en problemas serios. Aquí va el desglose. **Grupo Inteca aparece en la lista de víctimas** Grupo Inteca, empresa del sector de servicios de negocio con presencia en México, fue listada como víctima en un sitio de filtración de un grupo de ransomware [1]. Al momento del corte no hay detalle público sobre volumen de datos comprometidos, tipo de información ni si hubo cifrado de sistemas, y la organización no ha emitido comunicado que confirme o niegue el incidente. Comentario del editor: los proveedores de servicios de negocio son un objetivo goloso porque suelen tocar información de múltiples clientes, lo que multiplica el impacto de una sola brecha. Sin cifras oficiales pedimos prudencia, pero si estás en su cadena de proveedores o eres cliente, este es buen momento para preguntar por su postura de seguridad y rotar credenciales compartidas. La ausencia de comunicado no es tranquilizadora: es una laguna que conviene llenar de tu lado. **Adobe ColdFusion CVE-2026-48282 ya se explota en el mundo real** Se reporta explotación activa de CVE-2026-48282, una vulnerabilidad de path traversal de severidad máxima en Adobe ColdFusion que puede derivar en ejecución remota de código sobre servidores sin parche [2]. El vector permite a un atacante alcanzar RCE, es decir, control efectivo del servidor afectado, lo que la convierte en una prioridad inmediata de parcheo. Comentario del editor: ColdFusion sigue viviendo en muchos entornos legacy de México, sobre todo en gobierno y servicios que nadie quiere tocar por miedo a romper algo. Ese miedo es justamente lo que explotan. Si tienes ColdFusion expuesto a internet, trata este parche como un incendio, no como un pendiente de sprint. Y si no sabes si tienes ColdFusion corriendo, esa incertidumbre ya es tu primer hallazgo. **Bypass de autenticación en BeyondTrust Remote Support y PRA (CVE-2026-40138)** CVE-2026-40138 es una vulnerabilidad crítica de pre-autenticación en el subsistema de autenticación de BeyondTrust Remote Support (RS) y Privileged Remote Access (PRA) que permite un bypass de control de acceso [3]. Al ser pre-auth, no requiere credenciales válidas para ser abusada, lo que eleva el riesgo en herramientas cuyo propósito es justamente el acceso privilegiado remoto. Comentario del editor: hay una ironía amarga en que la herramienta de acceso privilegiado sea la puerta de entrada. Si tu equipo usa RS o PRA, verifica versión, aplica mitigación y revisa logs de accesos anómalos: un bypass pre-auth no deja el ruido habitual de un intento de login fallido. **Regresa un viejo conocido: use-after-free en KVM del kernel de Linux (CVE-2026-53359)** CVE-2026-53359 es un use-after-free en el código de shadow paging de KVM x86 del kernel de Linux, un bug de larga vida que resurge [4]. Este tipo de fallas de memoria en la capa de virtualización son especialmente sensibles porque pueden abrir camino a escalamiento de privilegios o fuga entre huésped e infraestructura anfitriona en entornos multiusuario. Comentario del editor: para quien opera nubes privadas o clústers de virtualización, este es el tipo de CVE que no genera titulares pero sí dolores de cabeza operativos. La palabra clave es shadow paging, una ruta legacy que muchos ya no usan pero que sigue compilada por defecto. Revisa tu configuración de KVM y agenda el parcheo del kernel; los bugs que resucitan suelen hacerlo porque nadie los enterró bien. **Detienen en Tokio a un menor de 15 años por presunto ciberataque a Bandai Channel** La policía de Tokio arrestó a un estudiante de 15 años por un presunto ciberataque contra Bandai Channel, el servicio de streaming de anime y tokusatsu operado por Bandai Namco Filmworks [5]. El caso subraya que el perfil del atacante puede ser mucho más joven de lo que suele asumirse en los modelos de amenaza tradicionales. Comentario del editor: más allá de la anécdota, el dato relevante para nuestra región es cultural. La barrera de entrada técnica sigue bajando y el ecosistema de herramientas listas para usar convierte la curiosidad adolescente en capacidad ofensiva real. No es alarmismo: es un llamado a que los programas de concientización incluyan a los más jóvenes no solo como víctimas potenciales, sino como actores. ## Referencias https://darkwebinformer.com/https://darkwebinformer.com/adobe-coldfusion-flaw-cve-2026-48282-is-now-being-exploited-in-the-wild/https://darkwebinformer.com/pre-auth-access-control-bypass-in-beyondtrust-remote-support-and-pra-cve-2026-40138/https://darkwebinformer.com/a-long-lived-kvm-bug-resurfaces-shadow-paging-use-after-free-in-the-linux-kernel-cve-2026-53359/https://darkwebinformer.com/tokyo-police-arrest-15-year-old-over-alleged-bandai-channel-cyberattack/ ## [Intel MX] 2026-07-06 Un día sin nuevas víctimas en México, pero no de calma Source: https://ransomware.mx/intel/2026-07-06/ Cinco minutos bien invertidos antes de que empiece la semana operativa. Hoy no se registraron nuevas víctimas de ransomware en México. La ausencia de publicaciones nuevas en los sitios de filtración no significa quietud: puede significar que la actividad está ocurriendo en la fase silenciosa, la del acceso inicial y la negociación privada, antes de que un nombre llegue a un muro de vergüenza. Aprovechamos el respiro para revisar higiene de defensa, tendencias de extorsión y la deuda técnica que seguimos arrastrando. **El silencio de un día no es una tendencia** La falta de nuevas víctimas mexicanas publicadas en un día concreto no debe leerse por sí sola como una baja en la presión de los grupos de ransomware, cuyo ritmo de publicación suele ser intermitente. Los operadores pueden retener víctimas mientras corre la ventana de negociación, y publican cuando el pago se estanca. En términos operativos, el día sin víctimas es un buen momento para verificar respaldos offline y probar restauraciones, no para bajar la guardia. Comentario del editor: Nos ha pasado a todos leer un día tranquilo como una victoria. No lo es. El intervalo entre la intrusión y la publicación es precisamente donde se gana o se pierde la partida, y casi nunca lo vemos en tiempo real. Si tu organización no ha ensayado una restauración completa recientemente, hoy es el día. (Confianza: confianza-media) **La doble extorsión sigue siendo el estándar, no la excepción** La práctica de cifrar y exfiltrar datos, la llamada doble extorsión, se mantiene como un modelo dominante entre los grupos de ransomware activos, presionando incluso a víctimas que cuentan con respaldos limpios. El apalancamiento ya no es solo la disponibilidad de los sistemas, sino la amenaza de publicar información sensible, en especial datos personales y fiscales. Para organizaciones mexicanas, esto eleva el riesgo regulatorio por encima del riesgo puramente operativo. Comentario del editor: El respaldo perfecto ya no te salva de la multa ni del daño reputacional. Muchos equipos de TI siguen midiendo su resiliencia solo por el tiempo de recuperación, cuando el verdadero costo hoy vive en el área legal y de cumplimiento. Si tu plan de respuesta no incluye a tu oficial de protección de datos desde la hora cero, tienes un hueco. (Confianza: confianza-media) **El acceso inicial se compra, no siempre se hackea** Buena parte de las intrusiones que terminan en ransomware comienzan con credenciales válidas, a veces compradas a intermediarios de acceso inicial, no con exploits sofisticados. VPN sin doble factor, cuentas de servicio olvidadas y portales de escritorio remoto expuestos siguen siendo un punto de entrada frecuente para los atacantes. En la región, el rezago en la adopción de autenticación multifactor amplía esa superficie. Comentario del editor: Nos gusta imaginar al atacante genio, pero la realidad suele ser más aburrida y más barata: alguien obtuvo tu contraseña. La defensa aquí no es glamorosa, es disciplina: MFA en todo lo expuesto, rotación de credenciales y auditoría de cuentas de servicio. Lo aburrido es lo que funciona. (Confianza: confianza-media) **El phishing evoluciona con el correo empresarial comprometido** Las campañas de phishing dirigidas a organizaciones suelen apoyarse en el compromiso de correo corporativo, donde el atacante secuestra un hilo legítimo para insertar solicitudes de pago o enlaces maliciosos. Este vector es difícil de detectar porque el mensaje proviene de una dirección real y de una conversación en curso. Las áreas de finanzas y compras son blancos frecuentes por el potencial de fraude directo. Comentario del editor: El correo que parece más confiable, el que continúa una conversación que ya tenías, es justamente el más peligroso. Ninguna capacitación resuelve esto por sí sola; necesitas controles de verificación fuera de banda para cualquier cambio de datos bancarios. Una llamada de dos minutos ahorra transferencias irreversibles. (Confianza: confianza-media) **Vulnerabilidades sin parchar: la deuda que nunca vence a nuestro favor** La explotación de vulnerabilidades conocidas y ya catalogadas como CVE en dispositivos de borde (firewalls, VPN, gateways) continúa siendo una vía de entrada frecuente cuando las organizaciones tardan en aplicar parches. Los atacantes escanean en busca de sistemas expuestos poco después de que se publica una vulnerabilidad, reduciendo la ventana de gracia. El equipamiento perimetral suele ser de los más olvidados en los ciclos de actualización. Comentario del editor: El firewall que te protege es también el que te expone si lleva meses sin actualizar. Hay una ironía amarga en que el dispositivo de seguridad sea la puerta de entrada. Prioriza el parcheo de todo lo que mira a internet por encima de cualquier otra cosa esta semana. (Confianza: confianza-media) **Los muros de filtración y la economía de la vergüenza** Los sitios de filtración de datos que operan en la red Tor, con direcciones del tipo ejemplo23xyz[.]onion, funcionan como instrumento de presión pública: exponer parcialmente los datos robados para forzar el pago. Estas plataformas suelen rotar direcciones para evadir cierres, y su sola existencia convierte cada brecha en un evento reputacional prolongado. Acceder o difundir esos enlaces no aporta valor defensivo y sí riesgo legal. Comentario del editor: No hace falta visitar esos sitios para defenderte, y desde luego no vas a encontrar aquí un enlace clicable. Lo útil es asumir que si te comprometen, tus datos podrían terminar en un muro público, y planear la comunicación de crisis desde antes. La transparencia rápida y honesta con tus usuarios pesa más que cualquier intento de silencio. (Confianza: confianza-baja) ## Referencias https://www.cisa.gov/stopransomwarehttps://www.enisa.europa.eu/topics/threat-risk-management/threats-and-trendshttps://www.microsoft.com/en-us/security/blog/topic/threat-intelligence/https://www.ic3.gov/Media/Y2024/PSA-business-email-compromisehttps://www.cisa.gov/known-exploited-vulnerabilities-cataloghttps://transparencyreport.google.com/safe-browsing/overview ## [Intel MX] 2026-07-05: Un domingo sin víctimas en México, pero no sin lecciones Source: https://ransomware.mx/intel/2026-07-05/ Cinco minutos bien invertidos antes de cerrar la semana. Hoy no se registraron nuevas víctimas de ransomware en México. Un domingo tranquilo en el tablero nacional no significa que el ruido de fondo se haya apagado: los grupos siguen reclutando accesos, las campañas de phishing no descansan por el calendario y las vulnerabilidades publicadas recientemente apenas empiezan a explotarse a escala. Aprovechamos la calma para revisar el contexto que probablemente defina los próximos días en la región: higiene de credenciales, superficie expuesta y el hábito de tratar los fines de semana como ventana de oportunidad para los atacantes. Sin humo, con lo que importa. **El fin de semana sigue siendo la ventana favorita de los operadores** Los grupos de ransomware operan de forma oportunista y financieramente motivada, y con frecuencia despliegan sus ataques cuando los equipos de respuesta tienen menor cobertura, lo que alarga los tiempos de detección. Que el tablero mexicano no muestre víctimas nuevas hoy no contradice ese patrón: los actores maliciosos a veces usan este acceso para exfiltrar datos y luego amenazan con divulgarlos públicamente antes de pedir rescate por la red para extorsionar aún más a la víctima y presionarla a pagar. Existe un retraso habitual entre la intrusión, el cifrado y la publicación en los sitios de filtración. Un domingo limpio en las listas puede convivir con intrusiones ya en curso que aún no se materializan como extorsión pública. Comentario del editor: No leamos el silencio como seguridad. La ausencia de publicaciones es un indicador rezagado, no un termómetro en tiempo real. Si tu organización baja la guardia el fin de semana, estás jugando en el horario en el que el adversario prefiere trabajar. Vale más revisar guardias y alertas hoy que celebrar un tablero vacío. **Las credenciales robadas siguen siendo un pasaporte de entrada** Durante años, el acceso inicial mediante credenciales válidas, compradas o robadas fue el vector dominante para intrusiones que terminan en ransomware; en la edición más reciente del DBIR, sin embargo, la explotación de vulnerabilidades superó a las credenciales robadas como la forma más común en que los atacantes obtienen acceso inicial a las redes, la primera vez que el robo de credenciales pierde el primer lugar en los 19 años del reporte. Aun así, las credenciales siguen siendo un vector central: los infostealers funcionan como una tubería hacia los ataques de ransomware, y las credenciales robadas se empaquetan y venden a través de corredores de acceso inicial, lo que permite a los operadores de ransomware simplemente comprar su entrada. Para organizaciones en México y Latinoamérica, esto convierte la reutilización de contraseñas y la falta de autenticación multifactor en una brecha barata de explotar. Comentario del editor: Si solo pudieras hacer una cosa esta semana, sería MFA en todo lo que da a Internet. Suena repetitivo porque funciona. El adversario no necesita un día cero cuando tiene el usuario y la contraseña de alguien que recicló su clave del correo personal. **Vulnerabilidades en perímetro: la deuda que se paga con intrusiones** Los dispositivos de borde (VPN, firewalls, gateways de correo) figuran entre las tecnologías explotadas para obtener acceso inicial, porque están expuestos por diseño y con frecuencia quedan sin parchar. La explotación de vulnerabilidades para acceso inicial mostró un aumento notable, en parte debido a la explotación de vulnerabilidades en dispositivos de borde o software de VPN. Cuando se publica una vulnerabilidad crítica en estos equipos, la ventana entre la divulgación y la explotación se ha reducido de manera considerable. Las organizaciones que dependen de un ciclo de parcheo mensual quedan estructuralmente expuestas frente a esa velocidad. Comentario del editor: El perímetro dejó de ser una muralla y se volvió una superficie de ataque priorizada. Inventaría lo que tienes expuesto, suscríbete a los avisos de tus fabricantes y ten un plan de parcheo de emergencia. La pregunta no es si publicarán un CVE crítico en tu VPN, sino cuándo. **Doble extorsión: el cifrado ya es lo de menos** Muchos grupos activos operan bajo el modelo de doble extorsión. Con el tiempo, los actores maliciosos han ajustado sus tácticas de ransomware para ser más destructivas e impactantes, y también han exfiltrado datos de la víctima y la han presionado a pagar amenazando con divulgar los datos robados; la aplicación de ambas tácticas se conoce como doble extorsión. Esto cambia el cálculo de riesgo: un buen respaldo te devuelve la operación, pero no evita la filtración de datos personales, fiscales o de propiedad intelectual. Estos incidentes pueden afectar gravemente los procesos de negocio al dejar a las organizaciones sin acceso a datos necesarios para operar, y los impactos económicos y reputacionales han resultado costosos para organizaciones de todos los tamaños. Para el contexto mexicano, con obligaciones de protección de datos personales, la exposición regulatoria y reputacional pesa tanto como la interrupción técnica. Comentario del editor: Deja de pensar en ransomware solo como un problema de disponibilidad. Es, ante todo, una brecha de datos con una capa de extorsión encima. Tu plan de respuesta necesita abogados y comunicación, no solo al equipo que restaura servidores. ## Referencias https://www.cisa.gov/stopransomware/ransomware-guidehttps://www.verizon.com/business/resources/reports/dbir/https://www.cisa.gov/known-exploited-vulnerabilities-catalog ## [Intel MX] 2026-07-04 Extorsión transfronteriza y un padrón fiscal en venta Source: https://ransomware.mx/intel/2026-07-04/ Cinco minutos bien invertidos para empezar el fin de semana con el radar limpio. El día deja una lectura mixta: aparece una empresa colombiana listada en un tablero de extorsión, mientras que en Asia un actor pone a la venta un padrón fiscal de contribuyentes. Ninguno de los dos es un golpe directo a México, pero ambos marcan patrones que nos convienen vigilar: la extorsión que ignora fronteras corporativas y el comercio abierto de datos fiscales masivos. **DUFLO SAS listada en tablero de extorsión** Una organización identificada como DUFLO SAS (Duflo Servicios Integrales S.A.S.), empresa colombiana especializada en servicios integrales para el sector institucional e industrial (alimentación, camarería, lavandería, aseo, jardinería y campamentos), apareció reclamada por el grupo de ransomware Krybit. El alcance exacto de datos comprometidos y el volumen exfiltrado no se detallan en la publicación inicial. Comentario del editor: Los servicios integrales son uno de esos sectores invisibles que tocan todo, accesos físicos, personal en sitio, campamentos y operaciones en instalaciones corporativas e industriales. Cuando cae un proveedor de servicios integrales, el riesgo no se queda en su propia base de datos: se filtra hacia sus clientes. Entre sus principales clientes se encuentran firmas del sector energético como Frontera Energy, Ecopetrol, Continental Gold, Ocensa y Reficar, entre otras, lo que recuerda que las cadenas de subcontratación en LATAM comparten superficie de ataque. Confianza-alta en la existencia del listado; confianza-media en el alcance real hasta ver muestras. **Padrón fiscal de Malasia a la venta** Un actor de amenazas que opera bajo el alias dezetat está ofreciendo en venta una base de datos del portal MyTax del Inland Revenue Board de Malasia (LHDN / IRBM). El portal MyTax es la plataforma digital oficial desarrollada por el Inland Revenue Board of Malaysia (IRBM) para facilitar los asuntos fiscales de los malasios. El anuncio describe información fiscal extraída directamente del portal de la autoridad tributaria, aunque no se ha confirmado públicamente el vector de acceso ni la validez íntegra del conjunto. Comentario del editor: No es México, pero el guion es transferible palabra por palabra. Un portal fiscal centralizado, con datos personales y fiscales, puesto a la venta por un actor que busca liquidez rápida. Aquí tenemos nuestros propios padrones sensibles y nuestras propias autoridades tributarias con portales de alto tráfico. El caso malayo sirve de espejo: la superficie de un solo portal fiscal puede exponer a un país entero. Confianza-media mientras no haya validación independiente de la muestra. **Lectura del día: proveedores y padrones, dos flancos que subestimamos** El común denominador de hoy es la concentración. Un proveedor de servicios integrales concentra accesos a múltiples clientes; un portal fiscal concentra los datos de millones de personas. Los atacantes ya no persiguen tanto el objetivo final directo cuando pueden golpear el punto de agregación. Comentario del editor: Si administras riesgo de terceros, este es el fin de semana para revisar qué proveedores de servicios integrales tienen llaves de tu casa, literal y digitalmente. Y si trabajas cerca de datos fiscales o gubernamentales, asume que el interés por padrones masivos no va a bajar. La defensa aquí es aburrida pero efectiva: segmentación, mínimo privilegio para terceros y monitoreo de exfiltración en portales de alto volumen. Confianza-alta en la tendencia. ## Referencias https://duflosa.comhttps://darkwebinformer.com/malaysias-lhdn-tax-portal-data-offered-for-sale-10-million-taxpayer-records-exposed/ ## [Intel MX] 2026-07-03 Ciberataque a servicios de León y logística en venta Source: https://ransomware.mx/intel/2026-07-03/ Hoy no se registraron nuevas víctimas de ransomware en México. Cinco minutos bien invertidos antes de que empiece el ruido del día. Hoy el foco está en el Bajío: el gobierno de León confirmó un ciberataque a su plataforma de servicios y presentó denuncia formal, mientras un actor pone en venta datos de un conglomerado logístico mexicano tras una negociación fallida. Afuera, un ministerio de educación amenazado con la filtración de datos de menores, la caída de una botnet de dos millones de dispositivos domésticos y un broker rematando accesos root a precio de ganga. Vamos por partes. **León confirma ciberataque a su sistema de servicios y denuncia** El Gobierno de León interpuso una denuncia formal tras un ciberataque dirigido al sistema que soporta sus servicios municipales [1]. La administración reconoció el incidente públicamente y llevó el caso ante las autoridades correspondientes, aunque hasta el momento no se han detallado con precisión el alcance, el vector de entrada ni si hubo exfiltración de datos ciudadanos [1]. Comentario del editor: Que un municipio del tamaño de León admita el golpe y vaya directo a denunciar ya es más madurez de la que vemos en muchos gobiernos locales que prefieren el silencio. Pero la denuncia es el piso, no el techo. Lo que nos interesa es la transparencia sobre datos personales: si los servicios digitales tocan padrones, trámites y pagos, la ciudadanía merece saber si sus datos quedaron expuestos. Ojo aquí en las próximas semanas. Confianza: confianza-alta **Datos de Grupo ATC a la venta tras negociación fallida** Un actor de amenazas con el alias Straightonumberone puso a la venta lo que describe como información robada a Grupo ATC, un conglomerado logístico mexicano que agruparía a TLE, TLEA y PHES, con un precio de 1,000 dólares [2]. Según la publicación, la venta llega después de que una negociación previa de rescate habría fracasado [2]. Comentario del editor: El precio de mil dólares es la señal más ruidosa. Cuando un atacante remata a esa cifra, casi siempre significa que el rescate se cayó y ahora busca monetizar como sea, o que el dato no es tan jugoso como pretende. En logística el riesgo real está en las cadenas de custodia: rutas, clientes, manifiestos y credenciales de socios comerciales. Aunque el dato sea modesto, un tercero puede usarlo como palanca de acceso hacia empresas más grandes. Trátenlo como doble extorsión aun sin confirmación pública del grupo. Confianza: confianza-media **Ministerio de Educación de Libia amenazado con filtrar datos de menores** Un actor con el alias EvaN47 afirma haber vulnerado el Ministerio de Educación de Libia (moe.gov.ly) y amenaza con publicar un conjunto de datos de 287 GB con información de estudiantes, incluidas identificaciones y fotografías, si el ministerio no establece contacto [3]. La amenaza sigue el guion clásico de la extorsión: presión pública primero, filtración después [3]. Comentario del editor: No es México, pero el patrón nos toca de cerca. Los sistemas educativos son minas de datos de menores, identificaciones, fotos y registros que no caducan y que ningún niño puede "cambiar" como una contraseña. En la región, secretarías de educación y universidades cargan volúmenes similares con higiene desigual. Este caso es un recordatorio de que los datos de menores son el activo más sensible y el peor protegido. Confianza: confianza-media **Google desmantela la botnet de proxies NetNut, dos millones de dispositivos** Una acción coordinada por Google junto con el FBI y otros socios golpeó la red de proxies residenciales NetNut, una botnet estimada en al menos dos millones de dispositivos que convertía equipos domésticos, incluidas televisiones inteligentes, en infraestructura para ciberdelincuentes [4]. El caso expone la economía oculta de los proxies residenciales, donde el tráfico malicioso se enmascara detrás de direcciones IP de hogares comunes [4]. Comentario del editor: Esta es la amenaza que nadie voltea a ver porque no da alarma en la pantalla. Tu Smart TV, tu cámara o tu router pueden estar prestando su IP para lavar el tráfico de un atacante, y tú jamás te enteras. Para las empresas mexicanas el problema es doble: por un lado, sus empleados en home office pueden estar comprometidos; por otro, el tráfico malicioso que llega "desde un hogar mexicano" es muchísimo más difícil de bloquear. Actualicen firmware y cambien credenciales por defecto en todo lo conectado. Confianza: confianza-media **Broker "miyako" remata acceso root a cinco organizaciones** Un intermediario de acceso inicial que opera bajo el alias miyako anuncia acceso a nivel root a cinco organizaciones distintas en cuatro países, cada una a un precio fijo de 400 dólares no negociable [5]. El acceso a nivel de firewall representa un punto de entrada privilegiado hacia toda la red interna de las víctimas [5]. Comentario del editor: Cuatrocientos dólares por control total de un firewall es de las gangas más peligrosas del mercado criminal. Ese acceso es el prólogo de un ransomware o de una filtración masiva: quien compra hoy, cifra la semana que viene. Los brokers de acceso inicial son el eslabón silencioso de casi toda cadena de extorsión. Si su perímetro depende de un firewall sin MFA, sin parches al día y con credenciales viejas, ustedes son el próximo lote de esta lista. Confianza: confianza-media ## Referencias https://paginacentral.com.mx/local/2026/jul/01/gobierno-de-leon-interpone-denuncia-tras-ciberataque-al-sistema-de-servicios-de-leon-65893.htmlhttps://darkwebinformer.com/logistics-conglomerate-grupo-atc-data-offered-for-sale-after-ransom-refused/https://darkwebinformer.com/libyan-ministry-of-education-allegedly-breached-students-ids-and-photos-threatened-with-release/https://darkwebinformer.com/your-smart-tv-might-be-working-for-cybercriminals-inside-googles-takedown-of-the-netnut-proxy-network/https://darkwebinformer.com/broker-miyako-advertising-root-level-firewall-access-to-five-organizations-across-four-countries/ ## [Intel MX] 2026-07-02 Aviación libia expuesta y calma en México Source: https://ransomware.mx/intel/2026-07-02/ Cinco minutos bien invertidos para leer el mapa de amenazas sin ruido. Hoy no se registraron nuevas víctimas de ransomware en México. El tablero doméstico amanece tranquilo, pero eso no significa que el resto del mundo se haya detenido: una supuesta brecha en la autoridad de aviación civil de Libia recuerda que los datos de infraestructura crítica siguen siendo mercancía caliente en los foros. Aprovechamos la calma local para revisar el contexto regional y ordenar prioridades sin la urgencia de un incendio propio. **Autoridad de aviación civil de Libia, supuestamente comprometida y datos a la venta** Un actor de amenazas que usa el alias EvaN47 publicó lo que describe como una brecha de la Libyan Civil Aviation Authority (caa.gov.ly), ofertando un conjunto de datos de aproximadamente 300 GB que abarcaría de 2015 a 2026, junto con un contacto para su adquisición [1]. El anuncio se enmarca como venta directa, no como filtración gratuita, lo que sugiere que el actor apuesta por monetizar el material antes de exponerlo. No hay, por ahora, confirmación independiente del alcance ni validación del contenido del dataset [1]. Comentario del editor: Los datos de una autoridad aeronáutica no son cualquier volcado; pueden incluir registros de aeronaves, personal, rutas y correspondencia oficial, todo con vida útil larga para espionaje y fraude. Que el rango llegue hasta 2026 es la parte que más me inquieta, porque insinúa acceso reciente y no un archivo viejo reciclado. Mientras no haya muestras verificadas, lo tratamos como afirmación de un vendedor con incentivo a inflar, pero no lo descartamos: el patrón de subastar infraestructura de gobierno es demasiado consistente como para ignorarlo. Confianza: confianza-media. **Lectura para México: el sector transporte como blanco silencioso** El caso libio no toca directamente a México, pero encaja en una tendencia que sí nos concierne: las autoridades de transporte y aviación acumulan datos personales, operativos y regulatorios que rara vez reciben el mismo escrutinio de seguridad que la banca. Un dataset que mezcla varios años de operaciones es un regalo para quien quiera mapear cadenas de suministro, contratistas y movimientos. Comentario del editor: Aquí la moraleja es de higiene básica, no de pánico. En México tenemos organismos aeroportuarios y de transporte con superficies de ataque enormes y presupuestos de ciberseguridad que no siempre acompañan. Vale la pena que los equipos de esos sectores revisen retención de datos, segmentación y quién tiene acceso a los repositorios históricos: lo que no se guarda no se puede robar. Confianza: confianza-baja. **Sin víctimas mexicanas hoy: cómo leer un día en cero** No aparecieron nuevas publicaciones de grupos de ransomware señalando organizaciones mexicanas en las últimas horas. Un día sin registros no equivale a un día sin actividad: muchos incidentes se negocian en silencio y solo se hacen públicos cuando la víctima no paga o cuando el actor decide presionar. Comentario del editor: Trato estos días como oxígeno para tareas que siempre se posponen: pruebas de restauración de respaldos, revisión de accesos privilegiados y parcheo de lo que quedó pendiente. La ausencia de humo no es prueba de que no haya fuego encendiéndose. Si tu organización opera en México, este es exactamente el momento de ensayar el plan que espero nunca tengas que ejecutar en caliente. Confianza: confianza-alta. ## Referencias https://darkwebinformer.com/libyan-civil-aviation-authority-allegedly-breached-300gb-of-aviation-data-advertised/ ## [Intel MX] 2026-06-29 Educación de Durango y autopartes en la mira Source: https://ransomware.mx/intel/2026-06-29/ Cinco minutos para entender quién tocó a México hoy y qué se mueve en el vecindario. El día trae más peso del que quisiéramos: un presunto golpe contra una secretaría de educación estatal que tocaría a miles de menores, más dos marcas mexicanas de consumo aparecidas en sitios de filtración. En el contexto regional, ransomware contra una clínica canadiense con cientos de miles de expedientes y un "regreso" colombiano que, al revisarlo, huele a humo. Vamos por partes. **Presunta brecha en la Secretaría de Educación del Estado de Durango (SEED)** Un actor de amenazas que usa el alias D3spair157, operando como "Sociedad Privada 157", publicó lo que describe como una filtración de datos de la Secretaría de Educación del Estado de Durango (SEED), supuestamente obtenida con credenciales de administrador de su portal de gestión de alumnos [1]. Según la publicación, los registros expondrían datos de miles de niños de educación primaria [1]. Aún no hay confirmación oficial de la dependencia ni una valoración independiente del tamaño real del conjunto. Comentario del editor: si la vía fue una cuenta de administrador del portal escolar, no estamos ante una hazaña técnica, sino ante el costo de credenciales mal cuidadas en sistemas que custodian lo más sensible que existe: datos de menores. Aquí no hay rescate que valga la calma; el daño reputacional y el riesgo para familias es inmediato. Lo tomamos con confianza media hasta que haya postura oficial, pero el patrón es de los que obligan a auditar accesos hoy, no mañana. **Ford de México aparece referida en material de filtración** Ford Motor Company, S.A. de C.V. (Ford de México), subsidiaria mexicana del fabricante estadounidense, fue referida en material de filtración asociado a actores de amenazas [2]. No hay, por ahora, detalle verificado del alcance, el tipo de datos comprometidos ni confirmación de la compañía. Comentario del editor: las subsidiarias mexicanas de grandes manufactureras son blanco recurrente porque concentran cadena de proveedores, nóminas y propiedad intelectual sin siempre tener el mismo blindaje que la matriz. Mantenemos confianza alta en el listado mismo, pero baja expectativa de claridad hasta que aparezca una muestra o un comunicado. Vigilar. **Datos de clientes filtrados de impulso-store.com** Se reporta que se accedió a datos completos de clientes y compradores de impulso-store.com, junto con diseños, órdenes y otros activos, incluyendo dominios asociados a la empresa matriz [3]. El conjunto descrito apunta a información comercial y personal de la operación de comercio. Comentario del editor: para una tienda en línea, el inventario robado no es el problema; lo es la base de clientes con datos de contacto y compras, materia prima para phishing dirigido. El sector retail y servicios al consumidor sigue subestimando que su CRM es el verdadero tesoro. Confianza alta en la aparición, y un recordatorio de notificar a clientes si se confirma. **Mención de The Academy for Classical Education (acemacon.org)** La entidad acemacon.org, dedicada a la formación de menores, figura entre las organizaciones referidas en material de filtración del día [4]. No hay aún detalle verificado sobre volumen ni naturaleza de los datos. Comentario del editor: instituciones educativas, otra vez. Son objetivos atractivos porque mezclan presupuestos modestos de seguridad con expedientes de menores y tutores. Lo dejamos en confianza media a falta de evidencia ampliada, pero el hilo conductor del día es claro: la educación está sangrando datos. **PLAY reclama a la firma estadounidense J&J Gaming** El grupo de ransomware PLAY agregó a su sitio de filtraciones a J&J Gaming, una empresa estadounidense del rubro de entretenimiento, arcades y atracciones [5]. Es una reclamación de doble extorsión más dentro de la actividad sostenida de este grupo. Comentario del editor: PLAY sigue siendo de los actores más consistentes y con presencia en Latinoamérica. No hay víctima mexicana aquí, pero conviene seguirlo: los grupos que operan a este ritmo rotan blancos por región. Confianza media, lectura preventiva. **Clínica canadiense WELL Health Kensington con 307,000 expedientes en extorsión** Un actor bajo el alias Kazu extorsiona a WELL Health Kensington Medical Centres, una clínica comunitaria en Canadá que opera sobre la plataforma Cortico como parte de WELL Health Technologies, reclamando 307,000 expedientes de pacientes [6]. Comentario del editor: salud, el sector donde una filtración no es solo multa sino riesgo a la vida y a la intimidad clínica. Para México es espejo: nuestras clínicas y plataformas de telesalud comparten la misma fragilidad de portales mal segmentados. Confianza media en la cifra reclamada, alta en la lectura: el sector salud es el que más tiene que perder. **Supuesta filtración de GOV.CO Colombia que no cuadra** Un actor con alias NormalLeVrai publicó un teaser de "regreso" presentando una supuesta filtración de GOV.CO, la plataforma digital oficial del gobierno colombiano, reclamando 4,300,002 registros [7]. Sin embargo, la muestra publicada corresponde en realidad a datos de contribuyentes alemanes, lo que contradice la narrativa del anuncio [7]. Comentario del editor: clásico inflado de reputación. Cuando la muestra no coincide con el blanco anunciado, lo más probable es reciclaje de filtraciones viejas para vender humo. Confianza baja en la afirmación como tal, pero útil como recordatorio: no todo lo que grita "mega filtración gubernamental" lo es. Verificar antes de amplificar. ## Referencias https://darkwebinformer.com/durango-state-education-department-allegedly-breached-exposing-records-of-thousands-of-primary-school-children/https://ford.mxhttps://impulso-store.comhttps://acemacon.orghttps://darkwebinformer.com/play-ransomware-allegedly-claims-u-s-firm-j-j-gaming/https://darkwebinformer.com/canadian-clinic-well-health-kensington-medical-centres-allegedly-breached-307-000-patient-records-held-to-ransom/https://darkwebinformer.com/alleged-gov-co-colombia-leak-claims-4-3-million-records-but-the-posted-sample-is-german-taxpayer-data/ ## [Intel MX] 2026-06-28 Datos de menores en la mira en Durango Source: https://ransomware.mx/intel/2026-06-28/ Hoy no se registraron nuevas víctimas de ransomware en México. Cinco minutos bien invertidos para empezar el día con el panorama claro. Hoy el foco está en casa: un actor de amenazas asegura haber comprometido a la dependencia de educación estatal de Durango, presumiendo registros de miles de niños de primaria. En el plano regional, Colombia y un giro de datos alemanes, una clínica canadiense con expedientes en extorsión y un par de empresas estadounidenses sumadas a sitios de filtración. Un día de recordatorio incómodo: las credenciales de administrador siguen siendo la llave maestra que abre todo. **Presunta brecha en la Secretaría de Educación de Durango expone datos de menores** Un actor que opera bajo el alias D3spair157, identificándose como "Sociedad Privada 157", publicó lo que describe como una filtración de datos de la Secretaría de Educación del Estado de Durango (SEED), supuestamente obtenida mediante credenciales de administrador del portal de gestión estudiantil [1]. Según la publicación, el material expondría registros de miles de niños de escuela primaria [1]. Hasta el momento no hay confirmación oficial de la dependencia sobre el alcance ni la autenticidad del conjunto de datos. Comentario del editor: Si esto se confirma, estamos ante el peor escenario posible en materia de datos: información de menores de edad, sin capacidad de defensa ni remediación propia, expuesta por la puerta de adelante con credenciales legítimas. No fue una hazaña técnica sofisticada, fue una cuenta de administrador que abrió todo. La pregunta para cualquier secretaría de educación del país no es "¿nos puede pasar?", sino "¿cuántas cuentas de administrador tenemos sin doble factor en portales escolares ahora mismo?". Confianza media mientras no haya postura oficial, pero el tipo de dato involucrado obliga a tratarlo con máxima seriedad. (confianza-media) **PLAY suma a la firma estadounidense J&J Gaming a su sitio de filtraciones** El grupo de ransomware PLAY agregó a su sitio de filtración de datos a J&J Gaming, una empresa estadounidense del rubro de entretenimiento, arcades y atracciones [2]. La publicación sigue el patrón habitual de doble extorsión del grupo: presión pública primero, presunta liberación de datos después si no hay pago. Comentario del editor: PLAY mantiene un ritmo constante y un perfil de víctimas amplio, desde manufactura hasta entretenimiento. Lo incluyo porque su modelo operativo es exactamente el que vemos replicarse contra organizaciones mexicanas: acceso, exfiltración, cifrado y exposición en sitio propio. Conocer su cadencia ayuda a anticipar el manual. (confianza-media) **Clínica canadiense WELL Health Kensington con expedientes de pacientes en extorsión** Un actor bajo el alias Kazu afirma haber comprometido a WELL Health Kensington Medical Centres, una clínica comunitaria en Canadá que forma parte de WELL Health Technologies sobre la plataforma Cortico, y exige rescate por los expedientes de pacientes [3]. La clínica ofrece medicina familiar, citas el mismo día, atención virtual y referencias a especialistas para pacientes de todas las edades [3]. Comentario del editor: El sector salud sigue siendo el blanco más redituable para los extorsionadores porque combina datos sensibles, baja tolerancia a la interrupción y, con frecuencia, infraestructura heredada. Para nuestras instituciones de salud el mensaje es directo: los expedientes clínicos no se recuperan ni se anonimizan después de filtrados. La inversión en respaldo, segmentación y control de acceso siempre será más barata que el rescate. (confianza-media) **Mayorista de electrónicos Flawireless con base de datos de clientes filtrada** Un actor bajo el alias 0xSec publicó lo que describe como la base de datos de Flawireless, mayorista estadounidense de accesorios para teléfonos móviles y electrónicos reacondicionados que también opera como Techy Extra, incluyendo información de clientes y de órdenes [4]. Comentario del editor: Las bases de datos de comercio mayorista parecen poco glamorosas, pero contienen oro para el fraude: datos de contacto, historial de compras y, a veces, datos de pago. Es el combustible del phishing dirigido posterior. Cualquier retailer mexicano con tienda en línea debería leer esto como recordatorio de que el cliente filtrado de hoy es el blanco de ingeniería social de mañana. (confianza-media) **Presunta filtración de GOV.CO de Colombia resulta contener datos de contribuyentes alemanes** Un actor bajo el alias NormalLeVrai publicó un anuncio de "regreso" presentado como una filtración de GOV.CO, la plataforma digital oficial del gobierno de Colombia, alegando 4,300,002 registros [5]. Sin embargo, la muestra publicada corresponde en realidad a datos de contribuyentes alemanes, lo que contradice la narrativa del propio anuncio [5]. Comentario del editor: Este caso es una lección de higiene analítica. No todo lo que se anuncia como mega filtración gubernamental lo es; aquí el titular y la muestra ni siquiera coinciden de país. Para quienes seguimos amenazas en la región, la verificación de muestras antes de amplificar es lo que separa la inteligencia del rumor. Lo incluyo justamente para mostrar cómo se inflan cifras y cómo conviene desconfiar de las "victorias" publicitadas por los actores. (confianza-media) ## Referencias https://darkwebinformer.com/durango-state-education-department-allegedly-breached-exposing-records-of-thousands-of-primary-school-children/https://darkwebinformer.com/play-ransomware-allegedly-claims-u-s-firm-j-j-gaming/https://darkwebinformer.com/canadian-clinic-well-health-kensington-medical-centres-allegedly-breached-307-000-patient-records-held-to-ransom/https://darkwebinformer.com/us-electronics-wholesaler-flawireless-allegedly-breached-customer-and-order-database-leaked/https://darkwebinformer.com/alleged-gov-co-colombia-leak-claims-4-3-million-records-but-the-posted-sample-is-german-taxpayer-data/ ## Blog ## LockBit en México: qué es, víctimas y si existe descifrador Source: https://ransomware.mx/lockbit-ransomware-mexico/ LockBit es la operación de ransomware con más víctimas mexicanas en nuestro registro: **51 víctimas registradas a octubre de 2026**, por encima de Qilin. Funciona como ransomware como servicio (RaaS): un núcleo escribe el cifrador y administra el sitio de filtraciones, y afiliados externos hacen las intrusiones [1]. LockBit Black es el nombre de su versión 3.0. Si LockBit cifró tus sistemas, lo primero es comprobar si tu caso entra en las claves que incautaron las autoridades en 2024 (más abajo explicamos cómo) y confirmar la variante exacta con nuestro [identificador de ransomware gratuito](/identificador/) antes de ejecutar cualquier herramienta. Los pasos generales para cualquier familia están en [cómo eliminar el ransomware y recuperar tus archivos](/ransomware-como-eliminarlo/). ## LockBit en México: qué dicen los datos Estas cifras salen de nuestro [monitor de víctimas en México](/monitor/) [6], que sigue los sitios de filtración de los grupos activos. Son organizaciones que LockBit publicó como víctimas, no estimaciones. LockBit ha tenido un sitio por versión, así que el conteo suma los tres: | Versión | Víctimas en México | Periodo | |---|---|---| | LockBit 2.0 | 8 | septiembre de 2021 a junio de 2022 | | LockBit 3.0 (Black) | 31 | octubre de 2022 a marzo de 2025 | | LockBit 5.0 | 12 | hasta junio de 2026 | Por año, el pico fue 2023 con 14 víctimas mexicanas, seguido de 2024 con 11. Después de la Operación Cronos el ritmo bajó, pero no se detuvo: 8 en 2025 y 7 en lo que va de 2026. De las 12 que nuestra fuente atribuye a LockBit 5.0, 10 se publicaron de octubre de 2025 en adelante, ya con la versión nueva en circulación. Los sectores más golpeados en México son **Servicios empresariales (11 víctimas)**, **Manufactura (10)** y **Sector público (7)**. Entre las víctimas con estado identificado, la Ciudad de México concentra 11, seguida de Nuevo León con 6 y Jalisco con 4. La lista completa y actualizada está al final de esta página. ## Quién es LockBit La operación empezó en septiembre de 2019 con un cifrador llamado ABCD. En junio de 2021 lanzó LockBit 2.0, que traía StealBit, una herramienta propia para robar datos, y en marzo de 2022 LockBit 3.0, también llamado LockBit Black [1]. Según el aviso conjunto de CISA, el FBI y sus socios internacionales, fue la variante de ransomware más desplegada del mundo en 2022, con cerca de 1,700 ataques en Estados Unidos desde 2020 y unos 91 millones de dólares pagados en rescates en ese país [1]. En febrero de 2024, la Operación Cronos, liderada por la National Crime Agency del Reino Unido y coordinada por Europol y Eurojust, tomó el control de su plataforma principal, desconectó 34 servidores, congeló más de 200 cuentas de criptomonedas y arrestó a dos integrantes en Polonia y Ucrania [2]. En ese momento las autoridades le atribuían más de 2,500 víctimas en todo el mundo [2]. En mayo de 2024, el Reino Unido, Estados Unidos y Australia identificaron y sancionaron al administrador del grupo, el ciudadano ruso Dmitry Khoroshev, conocido como LockBitSupp [3]. El grupo volvió. En septiembre de 2025 aparecieron binarios de **LockBit 5.0**, con versiones para Windows, Linux y VMware ESXi [4]. Por eso este no es un tema histórico para una organización mexicana: tenemos víctimas de la versión nueva publicadas hasta junio de 2026. ## Cómo entra LockBit no tiene un solo vector porque cada afiliado trae sus propios métodos. Los que documenta el aviso de CISA son el acceso remoto expuesto (RDP y otros servicios externos), el phishing, las credenciales robadas y la explotación de aplicaciones publicadas en internet, con vulnerabilidades concretas como las de Fortra GoAnywhere MFT y PaperCut [1]. Para robar los datos antes de cifrar, los afiliados usan StealBit, Rclone y servicios como MEGA [1]. Una subida grande desde un servidor hacia almacenamiento en la nube, poco antes del cifrado, es la señal de que los datos ya salieron. ## Cómo identificar que fue LockBit LockBit 3.0 añade a los archivos una extensión aleatoria por víctima, así que buscar la extensión en Google muchas veces no devuelve nada útil. LockBit 5.0 usa una extensión aleatoria de 16 caracteres y deja una nota llamada `ReadMeForDecrypt.txt` que apunta al sitio del grupo, con una sección de chat para negociar [4]. Además, después de cifrar borra los registros de eventos de Windows [4], así que no cuentes con ellos para reconstruir el ataque. La forma correcta de confirmarlo es pegar el texto de la nota y la extensión en el [identificador de ransomware](/identificador/), que compara contra firmas conocidas en lugar de adivinar por la extensión. ## ¿Existe un descifrador gratuito para LockBit? **Solo para una parte de las víctimas, y conviene entender cuál.** Con las claves incautadas en la Operación Cronos, No More Ransom publicó un verificador para LockBit 3.0 [5]. No es un descifrador que ejecutes sobre tus archivos: la herramienta revisa si tu caso se puede recuperar y, si la respuesta es sí, te muestra un correo para recibir instrucciones [5]. Si te cifró LockBit 3.0 antes de febrero de 2024, vale la pena correrlo antes que cualquier otra cosa. Su guía no menciona LockBit 2.0 ni versiones anteriores. Para **LockBit 5.0 no existe ninguna herramienta pública** de descifrado. Si alguien te ofrece un "descifrador de LockBit" fuera de No More Ransom, o te está vendiendo un servicio con otro nombre o va a ejecutar algo sobre tus archivos que puede dañarlos de forma permanente. Sin descifrador, la recuperación sin pagar depende de respaldos limpios y desconectados, de qué tan rápido se contuvo el cifrado y de si se preservó la evidencia. Consulta también nuestra lista de [familias con descifrador gratuito conocido](/descifrador-ransomware/). ## Primeras horas: qué hacer 1. **Aísla sin apagar de golpe.** Desconecta de la red y del almacenamiento compartido para frenar el cifrado. Apagar puede destruir claves que todavía viven en memoria. 2. **Preserva la evidencia.** No reinstales ni borres. Conserva la nota de rescate, una muestra de los archivos cifrados y los registros que queden. LockBit 5.0 borra los de Windows, así que lo que tengas fuera del equipo (firewall, VPN, EDR) vale más. 3. **Corre el verificador de No More Ransom** si la infección puede ser de LockBit 3.0. 4. **Asume filtración de datos.** LockBit roba antes de cifrar. El incidente no termina con el descifrado, e implica obligaciones frente a titulares de datos personales. 5. **Revisa ESXi aparte.** Si tienes VMware, valida los hosts antes de restaurar sobre la misma infraestructura. 6. **No pagues bajo el contador.** Pagar no garantiza la recuperación y financia el siguiente ataque. ## Cómo reducir el riesgo antes de que pase - **Doble factor resistente a phishing en todo acceso remoto** [1]. CISA lo pide para todos los servicios. - **Parchea las vulnerabilidades explotadas conocidas** en sistemas expuestos a internet; CISA recomienda hacerlo en 24 a 48 horas [1]. - **Respaldos 3-2-1 con una copia fuera de línea** [1]. Si usas VMware, que esa copia tampoco dependa de vCenter: LockBit 5.0 tiene una versión para ESXi [4]. - **Segmenta la red** para que un equipo comprometido no alcance a toda la organización [1]. - **Vigila Rclone, MEGA y subidas grandes** desde servidores hacia la nube. ## Si te está pasando ahora Nuestro equipo de respuesta a incidentes atiende casos de ransomware en México. Llama al **(800) 649-0625** las 24 horas o escribe a **hola@ransomware.mx**. Si prefieres empezar solo, el [identificador gratuito](/identificador/) te dice contra qué familia estás antes de que tomes cualquier decisión. ## Referencias 1. CISA, FBI, MS-ISAC y socios internacionales, "Understanding Ransomware Threat Actors: LockBit" (AA23-165A), junio de 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-165a 2. Eurojust, "Eurojust supports international operation against world's largest ransomware group", 20 de febrero de 2024. https://www.eurojust.europa.eu/news/eurojust-supports-international-operation-against-worlds-largest-ransomware-group 3. National Crime Agency, "LockBit leader unmasked and sanctioned", 7 de mayo de 2024. https://nca-newsroom.prgloo.com/news/op-cronos 4. Trend Micro, "LockBit 5.0 targets Windows, Linux and ESXi", septiembre de 2025. https://www.trendmicro.com/en_us/research/25/i/lockbit-5-targets-windows-linux-esxi.html 5. No More Ransom, "Decryption Checker for LockBit" (guía de uso). https://www.nomoreransom.org/uploads/Decryption_Checker_for_LockBit_Guide.pdf 6. Ransomware Response, monitor de víctimas en México. https://ransomware.mx/monitor/ ### ¿Qué es LockBit? LockBit es una operación de ransomware como servicio (RaaS): un núcleo desarrolla el cifrador y mantiene el sitio de filtraciones, y afiliados externos ejecutan los ataques. Apareció en septiembre de 2019 con el nombre ABCD y desde entonces lanzó las versiones 2.0, 3.0 (también llamada LockBit Black) y 5.0. Cifra los archivos y además roba datos para presionar el pago. ### ¿LockBit Black es lo mismo que LockBit 3.0? Sí. LockBit Black es el nombre de la tercera versión, LockBit 3.0, que apareció en marzo de 2022. Verás los dos nombres para la misma familia. ### ¿Existe un descifrador gratuito para LockBit? Solo para una parte de las víctimas. Tras la Operación Cronos de 2024, No More Ransom publicó un verificador para LockBit que te dice si tu caso se puede recuperar con las claves que incautaron las autoridades; si es así, te indica a quién escribir. Para LockBit 5.0 no hay ninguna herramienta pública. Desconfía de cualquier sitio que venda un descifrador de LockBit. ### ¿A cuántas organizaciones mexicanas ha atacado LockBit? Tenemos 51 víctimas mexicanas de LockBit registradas a octubre de 2026, sumando sus tres sitios de filtración: 8 de LockBit 2.0, 31 de LockBit 3.0 y 12 de LockBit 5.0. La lista se actualiza conforme el grupo publica nuevas víctimas. ### ¿LockBit sigue activo después de la Operación Cronos? Sí. Las autoridades desmantelaron su infraestructura en febrero de 2024, pero el grupo volvió a operar y en septiembre de 2025 apareció LockBit 5.0, con versiones para Windows, Linux y VMware ESXi. En México tenemos víctimas de LockBit 5.0 publicadas hasta junio de 2026. ## Qilin ransomware en México: víctimas, recuperación y qué hacer Source: https://ransomware.mx/qilin-ransomware-mexico/ Qilin, antes conocido como Agenda, es hoy el grupo de ransomware más activo contra organizaciones mexicanas. Tenemos **23 víctimas registradas en México**, y **14 de ellas se publicaron en lo que va de 2026**: más que en todos los años anteriores juntos. La más reciente se publicó el 9 de agosto de 2026. Si Qilin cifró tus sistemas, lo primero es no pagar bajo presión de tiempo y confirmar la variante exacta con nuestro [identificador de ransomware gratuito](/identificador/) antes de ejecutar cualquier herramienta. Los pasos generales para cualquier familia están en [cómo eliminar el ransomware y recuperar tus archivos](/ransomware-como-eliminarlo/). ## Qilin en México: qué dicen los datos Estas cifras salen de nuestro [monitor de víctimas en México](/monitor/) [5], que sigue los sitios de filtración de los grupos activos. No son estimaciones: son organizaciones que Qilin publicó como víctimas. **23 víctimas mexicanas** desde octubre de 2022, repartidas así: | Año | Víctimas publicadas | |---|---| | 2026 (a agosto) | 14 | | 2025 | 7 | | 2024 | 1 | | 2022 | 1 | El sector más golpeado en México es **Servicios de negocio (5 víctimas)**, seguido de **Salud (3)**, y luego Manufactura, Agricultura y alimentos, Educación y Tecnología con 2 cada uno. También hay víctimas en energía, sector público, transporte y logística, comercio minorista y servicios profesionales. Dos lecturas que importan para una organización mexicana. La primera es que la aceleración es real y recientísima: el 61% de las víctimas mexicanas de Qilin se publicaron en los últimos ocho meses. La segunda es que el grupo no está persiguiendo un solo sector, así que "no somos un objetivo interesante" no es una defensa. Salud y educación aparecen alto justamente porque suelen tener superficies expuestas y ventanas de mantenimiento largas, no porque paguen más. La lista completa y actualizada de víctimas está en [el perfil del grupo](/grupos/qilin/). ## Quién es Qilin Qilin opera bajo el modelo de ransomware como servicio (RaaS): un núcleo desarrolla el cifrador y la infraestructura, y afiliados externos ejecutan los ataques. Según el Center for Internet Security, los afiliados se quedan con **entre el 80% y el 85% del rescate** y el resto sube al grupo [2]. Ese reparto explica el volumen: atrae operadores y hace que los ataques varíen mucho entre sí, porque cada afiliado trae sus propias costumbres. El grupo apareció en julio de 2022 como Agenda, con un cifrador escrito en Go, y después se renombró Qilin y reescribió el cifrador en Rust [3]. Practica doble extorsión: cifra los archivos y además roba datos para presionar el pago con la amenaza de publicarlos en su sitio en Tor. ## Cómo entra Qilin no tiene un solo vector, porque cada afiliado trae sus propios métodos. En los casos que analizó Cisco Talos no se pudo confirmar un vector inicial único; la hipótesis más probable, con confianza moderada, fue el acceso a una VPN con **credenciales de administrador filtradas y sin doble factor** [1]. Los otros vectores documentados son phishing, RDP expuesto a internet y explotación de vulnerabilidades en appliances de borde, con FortiGate y SAP entre los productos señalados por el CIS [2]. Si vas a arreglar una sola cosa después de leer esto, que sea el doble factor en todo acceso remoto: cierra el vector más probable y complica los demás. ## Qué hace una vez dentro Esta parte es útil para el equipo que está revisando registros ahora mismo. Todo lo siguiente viene del análisis de Talos sobre incidentes reales de Qilin [1]. **Robo de credenciales.** Un script `!light.bat` modifica WDigest para que Windows vuelva a guardar contraseñas en texto claro en memoria: ``` reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /f /d 1 ``` Esa clave de registro es uno de los indicadores más útiles que existen: no tiene ningún uso legítimo en un entorno moderno. Si aparece, alguien la puso. Después usan Mimikatz, SharpDecryptPwd y utilidades de NirSoft (`netpass.exe`, `WebBrowserPassView.exe`) junto con `BypassCredGuard.exe`. SharpDecryptPwd va específicamente por credenciales guardadas en WinSCP, Navicat, Xmanager, TeamViewer, FileZilla, Foxmail, TortoiseSVN, Google Chrome, RDCMan y SunLogin. Si tu equipo de sistemas guarda contraseñas en cualquiera de esas herramientas, asume que ya las tienen. **Movimiento lateral y persistencia.** PsExec para distribuir el cifrador, Cobalt Strike con una variante propia de cifrado RC4, y herramientas legítimas de acceso remoto como ScreenConnect, AnyDesk y Chrome Remote Desktop, que sobreviven a una limpieza superficial porque parecen software de soporte. **Exfiltración.** WinRAR para empaquetar y Cyberduck para subir, en los casos observados hacia Backblaze. Un pico de subida hacia almacenamiento en la nube poco antes del cifrado es la señal de que los datos ya salieron. **Virtualización.** Qilin trae PowerShell embebido que apunta a vCenter: enumera los datacenters y clusters del entorno, **cambia la contraseña de root de los hosts ESXi**, habilita la ejecución de binarios sin firma y sube su propio cifrador. Por eso un ataque de Qilin puede dejar fuera decenas de máquinas virtuales a la vez sin tocar cada uno de los sistemas operativos invitados. Si tu respaldo vive en el mismo vCenter, cuenta con perderlo. ## Cómo identificar que fue Qilin Aquí hay una trampa común. Qilin **genera una extensión y un nombre de nota distintos para cada víctima**, así que buscar en Google la extensión que ves en tus archivos muchas veces no devuelve nada útil, y las listas de extensiones por familia no sirven para esta. Lo que sí es estable es la forma del nombre de la nota, normalmente algo como `RECOVER-README.txt` con un identificador de la empresa antepuesto o pospuesto. La nota nombra a Qilin o a Agenda y apunta a un portal en Tor. La forma correcta de confirmarlo es pegar el texto de la nota y la extensión en el [identificador de ransomware](/identificador/), que compara contra firmas conocidas en lugar de adivinar por la extensión. ## ¿Existe un descifrador gratuito para Qilin? **No.** No hay ningún descifrador gratuito publicado para Qilin/Agenda, ni en [No More Ransom](https://www.nomoreransom.org/) [4] ni por parte de ninguna autoridad. Esto importa decirlo claro porque hay bastantes sitios que se posicionan con "Qilin decryptor" y venden un servicio, no una herramienta. Si alguien te ofrece un descifrador gratuito de Qilin, o está vendiéndote un servicio de recuperación con otro nombre o va a ejecutar algo en tus archivos que puede dañarlos de forma permanente. Sin descifrador, la recuperación sin pagar depende de tres cosas: respaldos limpios y desconectados, qué tan rápido se contuvo el cifrado, y si el equipo de respuesta preservó la evidencia necesaria. Consulta también nuestra lista de [familias con descifrador gratuito conocido](/descifrador-ransomware/) para entender qué se puede y qué no. ## Primeras horas: qué hacer 1. **Aísla sin apagar de golpe.** Desconecta de la red y del almacenamiento compartido para frenar el cifrado. Apagar puede destruir claves que todavía viven en memoria. 2. **Preserva la evidencia.** No reinstales ni borres. Conserva la nota de rescate, un ejemplar de los archivos cifrados y los registros. Sin eso ya no se puede identificar la variante después. 3. **Asume filtración de datos.** Qilin exfiltra antes de cifrar. El incidente no termina con el descifrado, e implica obligaciones frente a titulares de datos personales. 4. **Revisa vCenter aparte.** Si tienes ESXi, valida el estado de los hosts y las contraseñas de root antes de intentar restaurar sobre la misma infraestructura. 5. **Revisa todos los respaldos antes de negociar.** Copias offline, snapshots, versiones en la nube y respaldos de buzones. En muchos incidentes aparece una copia utilizable que nadie había revisado. 6. **No pagues bajo el contador.** Pagar no garantiza la recuperación y financia el siguiente ataque. ## Cómo reducir el riesgo antes de que pase Priorizado por lo que realmente detiene a este grupo, no por lo que se ve bien en un plan: - **Doble factor en toda VPN y todo acceso remoto.** Es el vector más probable en los casos que analizó Talos [1]. - **Parchea appliances de borde.** Firewalls, concentradores VPN y plataformas expuestas. - **Respaldos fuera del dominio y fuera de vCenter**, con una copia inmutable o desconectada. Un respaldo que vive donde vive la producción no es un respaldo frente a este grupo. - **Alerta sobre la clave WDigest** de arriba y sobre instalaciones nuevas de ScreenConnect, AnyDesk o Chrome Remote Desktop. - **Vigila subidas grandes a almacenamiento en la nube** desde servidores. La exfiltración precede al cifrado y es tu última ventana para actuar. - **Saca las contraseñas de las herramientas de administración** (WinSCP, FileZilla, RDCMan, navegadores) hacia un gestor con cifrado propio. ## Si te está pasando ahora Nuestro equipo de respuesta a incidentes atiende casos de ransomware en México. Llama al **(800) 649-0625** las 24 horas o escribe a **hola@ransomware.mx**. Si prefieres empezar solo, el [identificador gratuito](/identificador/) te dice contra qué familia estás antes de que tomes cualquier decisión. ## Referencias 1. Cisco Talos Intelligence, "Uncovering Qilin attack methods exposed through multiple cases". https://blog.talosintelligence.com/uncovering-qilin-attack-methods-exposed-through-multiple-cases/ 2. Center for Internet Security, "Qilin: Top Ransomware Threat to SLTTs in Q2 2025". https://www.cisecurity.org/insights/blog/qilin-top-ransomware-threat-to-sltts-in-q2-2025 3. Check Point Software, "Qilin Ransomware (Agenda): A Deep Dive". https://www.checkpoint.com/cyber-hub/threat-prevention/ransomware/qilin-ransomware/ 4. No More Ransom Project, herramientas de descifrado disponibles. https://www.nomoreransom.org/ 5. Ransomware Response, monitor de víctimas en México. https://ransomware.mx/monitor/ ### ¿Existe un descifrador gratuito para Qilin? No. Al día de hoy no hay ningún descifrador gratuito publicado para Qilin/Agenda, ni en No More Ransom ni por parte de ninguna autoridad. Desconfía de cualquier sitio que te venda uno, porque la recuperación sin pagar depende de tus respaldos y de la respuesta inicial. ### ¿Qilin y Agenda son el mismo grupo? Sí. El grupo apareció en julio de 2022 con el nombre Agenda, escrito en Go, y después se renombró Qilin y reescribió su cifrador en Rust. Verás los dos nombres en notas de rescate y reportes. ### ¿Cómo sé si fue Qilin y no otra familia? Qilin genera una extensión y un nombre de nota distintos para cada víctima, así que la extensión sola no basta. La nota suele llamarse algo como RECOVER-README.txt. Pega la nota y la extensión en nuestro identificador gratuito antes de intentar cualquier recuperación. ### ¿A cuántas empresas mexicanas ha atacado Qilin? Tenemos 23 víctimas de Qilin registradas en México, 14 de ellas publicadas en lo que va de 2026. La lista se actualiza conforme el grupo publica nuevas víctimas en su sitio de filtraciones. ### ¿Debo pagar el rescate de Qilin? No pagues bajo el contador ni sin asesoría. Qilin practica doble extorsión, así que pagar el descifrador no resuelve la filtración de datos, y pagar tampoco garantiza que el descifrador funcione. Agota primero las vías técnicas. ## Descifrador de ransomware, ¿existe uno gratuito para tu caso? Source: https://ransomware.mx/descifrador-ransomware/ Un descifrador gratuito existe solo para algunas familias de ransomware, y casi siempre solo para ciertas versiones de esa familia. De las 51 familias que rastreamos en nuestro catálogo de firmas, **15 tienen un descifrador gratuito publicado**. Las demás, incluidas las más activas hoy en México, no lo tienen. Esta página te dice en qué caso estás y qué hacer en cada uno. ## Antes de nada: identifica la variante No busques un descifrador por el nombre que viste en una nota o en una noticia. Búscalo por la variante exacta, porque los descifradores son específicos de versión. Necesitas dos datos, ambos los tienes ya en los equipos afectados: 1. **La nota de rescate**: nombre del archivo y su contenido. 2. **La extensión** que se añadió a los archivos cifrados, por ejemplo `.akira` o `.mallox`. Con eso puedes usar nuestro [identificador de ransomware gratuito](/identificador/), que compara ambos datos contra el catálogo de firmas y estima la familia. Es orientativo, no un peritaje: reporta todos los candidatos plausibles con su nivel de confianza en lugar de inventar una sola respuesta. ## Familias con descifrador gratuito conocido Estas 14 familias tienen una herramienta gratuita disponible. Dos advertencias sobre cómo leer la tabla: - La columna **cobertura** es nuestra propia valoración de analista sobre qué versiones suele recuperar la herramienta, no una cita del proveedor. Confírmala siempre en la página de la herramienta antes de contar con ella. - La columna **dónde obtenerlo** dice de dónde descargar la herramienta. No es la fuente que sostiene la cobertura. | Familia | Extensiones típicas | Cobertura (valoración propia) | Dónde obtenerlo | | --- | --- | --- | --- | | STOP/Djvu | `.djvu`, `.STOP`, `.puma` | Variantes con clave offline | [Emsisoft](https://www.emsisoft.com/en/ransomware-decryption/stop-djvu/) | | Akira | `.akira`, `.powerranges` | Algunas compilaciones de 2023 | [Avast](https://www.avast.com/ransomware-decryption-tools) | | Mallox | `.mallox`, `.FARGO`, `.bitenc` | Rango de variantes 2023-2024 | [Avast](https://www.avast.com/ransomware-decryption-tools) | | Babuk | `.babyk`, `.babuk` | Variantes construidas con las claves filtradas en 2021 | [Avast](https://www.avast.com/ransomware-decryption-tools) | | Rhysida | `.rhysida` | Compilaciones afectadas por la falla criptográfica de 2023 | [No More Ransom](https://www.nomoreransom.org/) | | Black Basta | `.basta` | Archivos cifrados entre nov 2022 y dic 2023, de 5 KB a 1 GB | [SRLabs](https://github.com/srlabs/black-basta-buster) | | BlackByte | `.blackbyte` | Solo la variante de 2021 que reutilizaba una clave AES | [Trustwave SpiderLabs](https://github.com/SpiderLabs/BlackByteDecryptor) | | LockBit 3.0 | `.lockbit`, extensión aleatoria | Solo víctimas cuya clave se recuperó en la Operación Cronos (2024) | [No More Ransom](https://www.nomoreransom.org/) | | REvil/Sodinokibi | Extensión aleatoria | Algunas versiones anteriores a julio de 2021 | [No More Ransom](https://www.nomoreransom.org/) | | Dharma/CrySiS | `.dharma`, `.cesar`, `.combo` | Varias variantes antiguas, según el sufijo | [No More Ransom](https://www.nomoreransom.org/) | | GandCrab | `.GDCB`, `.CRAB`, `.KRAB` | Versiones 1, 4 y 5 hasta 5.2 | [No More Ransom](https://www.nomoreransom.org/) | | GlobeImposter | `.crypt`, `.medusa`, `.726` | Algunas variantes, según la extensión | [Emsisoft](https://www.emsisoft.com/en/ransomware-decryption/) | | Cerber | `.cerber`, `.cerber2`, `.cerber3` | Solo versiones tempranas (2016-2017) | [No More Ransom](https://www.nomoreransom.org/) | | BianLian | `.bianlian` | Variantes conocidas de 2022; necesita un archivo original y su versión cifrada | [Avast](https://www.avast.com/ransomware-decryption-tools) | | WannaCry | `.WNCRY`, `.WCRY` | Recuperación de claves en equipos no reiniciados (no reinicies el equipo) | [wanakiwi](https://github.com/gentilkiwi/wanakiwi) | Fíjate en el patrón: ninguna de estas herramientas cubre una familia completa. Los descifradores gratuitos existen por un error criptográfico puntual, por una filtración de claves o por una acción policial contra una versión concreta. Los operadores corrigen el error en la siguiente versión, así que dos víctimas de la "misma" familia pueden tener resultados opuestos. ## Familias sin descifrador gratuito Las otras 36 familias del catálogo no tienen descifrador público, y entre ellas están casi todas las que hoy atacan a organizaciones en México: Qilin/Agenda, RansomHub, Play, Medusa, INC Ransom, Hunters International, Cactus, DragonForce, Conti, Ryuk y Clop/Cl0p, entre otras. Para la gran mayoría de estas familias no se ha publicado ninguna falla explotable. Hay tres excepciones parciales que conviene revisar antes de descartar la recuperación. La versión de Clop para Linux que apareció a finales de 2022 guarda su clave de forma reversible, y SentinelLabs publicó en febrero de 2023 un descifrador para ella; la versión para Windows no tiene. Y en marzo de 2023 Kaspersky añadió a su herramienta RakhniDecryptor 258 claves filtradas de una variante construida con el código de Conti, que solo sirven para las víctimas de esa variante. Y en julio de 2025 Hunters International anunció su cierre y dijo que daría descifradores gratuitos a todas sus víctimas. Esa herramienta viene del propio grupo criminal, no de un investigador ni de una autoridad: no la ejecutes sin que un equipo de respuesta a incidentes la revise antes, y trabaja siempre sobre una copia de los archivos. Eso puede cambiar para cualquier familia: los descifradores de esta página existen precisamente porque en algún momento apareció un error o una filtración donde antes no había nada. Puedes revisar el perfil y las víctimas registradas en México de cada grupo en [nuestro monitor de grupos](/grupos/). ## Una vía que casi nadie menciona: las fuerzas del orden Además de las herramientas públicas, existe un canal que no aparece en ninguna lista de descarga: los operativos policiales que incautan las claves de un grupo y luego las entregan a las víctimas, caso por caso. El ejemplo más relevante es **ALPHV/BlackCat**. En diciembre de 2023 el FBI anunció que había desarrollado una herramienta de descifrado y la ofreció a más de 500 víctimas. No es una descarga pública, así que no aparece en la tabla de arriba, pero para una víctima de ese grupo es una vía real. Lo mismo ocurrió con LockBit tras la Operación Cronos, donde las autoridades recuperaron más de mil claves de descifrado. Si tu familia es una de estas, o si el ataque es reciente y de un grupo grande, **reportar el incidente no es solo un trámite**: es la vía por la que podrías acceder a una clave que no está publicada en ningún sitio. En México puedes acudir a la Guardia Nacional y a la unidad de ciberseguridad correspondiente, y si tu organización opera también en Estados Unidos, al FBI a través de IC3. ## Cómo usar un descifrador sin empeorar las cosas Si encontraste tu familia en la tabla de arriba: 1. **Trabaja sobre copias.** Duplica los archivos cifrados a otro medio y ejecuta la herramienta sobre la copia. Un descifrador equivocado puede corromper de forma permanente archivos que hoy todavía son recuperables. 2. **Descarga solo de la fuente oficial.** Usa los enlaces de la tabla. Los sitios que ofrecen "descifradores universales" son, en el mejor de los casos, inútiles, y con frecuencia son malware adicional. 3. **Verifica la versión, no solo el nombre.** La cobertura de la tabla es la parte que decide el resultado. 4. **Elimina el ransomware antes de restaurar.** Si el equipo sigue comprometido, vas a cifrar de nuevo lo que acabas de recuperar. La secuencia completa está en nuestra [guía para eliminar el ransomware](/ransomware-como-eliminarlo/). 5. **Prueba con pocos archivos primero.** Confirma que el resultado abre correctamente antes de procesar todo el volumen. ## Si no existe descifrador para tu familia No pagar de inmediato es la decisión correcta, y sigue habiendo caminos: - **Preserva la evidencia.** No borres ni reinstales los equipos cifrados, y conserva las notas de rescate. Sin esos datos ya no se puede identificar la variante después. - **Revisa todos los respaldos.** Copias offline, instantáneas de volumen, versiones en la nube, respaldos de servidores de archivos y buzones. En muchos incidentes aparece una copia utilizable que nadie había revisado. - **Guarda los datos cifrados.** Han aparecido descifradores meses o años después de un ataque, por filtraciones de claves o por operativos policiales. Los archivos que borres hoy no se van a poder recuperar entonces. - **Evalúa antes de negociar.** Pagar no garantiza la recuperación y financia el siguiente ataque. Si vas a considerarlo, hazlo con asesoría, no bajo la presión del contador regresivo. ## Advertencias honestas - El identificador es orientativo. Estima la familia a partir de indicadores que a veces se traslapan entre familias, y por eso reporta varios candidatos con su nivel de confianza. - Esta lista refleja nuestro catálogo de firmas y se actualiza conforme se publican descifradores nuevos. No es un inventario exhaustivo de todo lo que existe: consulta también [No More Ransom](https://www.nomoreransom.org/) directamente. - Que exista un descifrador para tu familia no garantiza que funcione en tu caso. La cobertura por versión es la que manda. - Nunca prometemos recuperación. Si alguien te la garantiza antes de ver la evidencia, desconfía. ## ¿Necesitas ayuda ahora? Si tu organización está cifrada en este momento, lo más útil que puedes hacer en los primeros minutos es aislar los equipos afectados y no destruir evidencia. Nuestro equipo de respuesta a incidentes atiende casos en México y puede ayudarte a identificar la variante, evaluar la recuperación y decidir los siguientes pasos. Llámanos al **(800) 649-0625** o escribe a **hola@ransomware.mx**. ### ¿Existe un descifrador gratuito para mi ransomware? Depende de la familia. De las 51 familias que rastreamos, 15 tienen un descifrador gratuito publicado, y casi siempre solo para ciertas versiones. Las familias más activas hoy en México (Qilin, RansomHub, Play, Medusa) no tienen descifrador gratuito de descarga pública. Identifica tu variante antes de buscar herramientas. ### ¿Puedo usar cualquier descifrador que encuentre en internet? No. Un descifrador de la familia equivocada puede corromper de forma permanente archivos que hoy todavía son recuperables. Usa solo herramientas publicadas por No More Ransom, Emsisoft, Avast, Bitdefender o Kaspersky, y trabaja siempre sobre una copia de los archivos cifrados, nunca sobre los originales. ### ¿Por qué el descifrador funciona para unas víctimas y para otras no? Porque los descifradores gratuitos casi nunca cubren una familia completa. Suelen existir por un error criptográfico puntual, por una filtración de claves o por una acción policial contra una versión específica. Los operadores corrigen el error en la siguiente versión, así que dos víctimas de la "misma" familia pueden tener resultados distintos. ### ¿Qué hago si no existe un descifrador gratuito para mi familia? No pagues el rescate de inmediato. Preserva los equipos cifrados y las notas de rescate sin borrarlos, revisa respaldos, instantáneas y copias en la nube, y busca asesoría especializada. Guarda una copia íntegra de los datos cifrados, porque han aparecido descifradores meses o años después de un ataque. ### ¿Cómo sé exactamente qué familia me atacó? Por la nota de rescate y por la extensión que se añadió a los archivos cifrados. Puedes pegar ambos datos en nuestro identificador gratuito, que estima la familia con base en un catálogo de firmas y te dice si esa familia tiene un descifrador conocido. ## Mejores empresas de recuperación de ransomware en México (2026) Source: https://ransomware.mx/mejores-empresas-de-recuperacion-de-ransomware-en-mexico-2026/ Si tu organización en México acaba de ser atacada por ransomware, lo más importante en las primeras horas es simple: **no pagues nada todavía, aísla los equipos afectados, preserva la evidencia y llama a un equipo que primero identifique la cepa**. A quién llames determina buena parte del resultado. Esta guía 2026 explica cómo elegir y cuáles son las mejores opciones de respuesta y recuperación de ransomware pensadas para el contexto mexicano. ## Respuesta rápida: ¿a quién llamar? Para la mayoría de las empresas mexicanas (pymes, gobierno local, salud, manufactura), lo que necesitas es un equipo que atienda **en español**, que responda **24/7**, que **identifique la familia antes de actuar** y que sea **honesto sobre lo que se puede y no se puede recuperar**. Ransomware Response está enfocado exactamente en ese perfil. Para incidentes de una multinacional con equipos de seguridad propios, también hay firmas globales de respuesta a incidentes. En ambos casos, el primer paso técnico es el mismo: identificar la cepa y ver si ya existe un descifrador gratuito. ## Cómo elegir (criterios que importan) 1. **Atención en español y contexto mexicano.** Un equipo que entiende el marco legal local, la CNBV o la Ley de Protección de Datos, y que se comunica en tu idioma bajo presión, reduce errores caros. 2. **Tiempo de respuesta real.** El daño crece por hora. Busca respuesta en horas, con una línea directa, no un ticket que contestan al día siguiente. 3. **Identificación primero, recuperación después.** Un buen equipo identifica la familia (por la nota y la extensión), busca un descifrador gratuito y solo entonces plantea opciones. Saltarse este paso lleva a pagos innecesarios. 4. **Honestidad sobre resultados.** Nadie serio promete "recuperación garantizada". La recuperación depende de la variante, de tus respaldos y de la respuesta inicial. Quien garantiza el 100% te está mintiendo. 5. **Preservación de evidencia.** Que te ayuden a preservar registros y muestras para el análisis forense y para una posible investigación, sin destruir pistas. ## Las mejores opciones en 2026 ### 1. Ransomware Response (enfoque México, español) Servicio especializado en respuesta y recuperación de ransomware para organizaciones mexicanas. Ofrece un [Identificador de ransomware gratuito](/identificador/) para estimar la familia a partir de la nota y la extensión, un [Monitor de víctimas en México](/monitor/) que sigue la actividad de los grupos más activos, [guías de recuperación por familia](/guias/) en español, y una línea de respuesta 24/7. Su enfoque es directo: identificar la cepa, decir la verdad sobre las posibilidades de recuperación y contener el incidente sin prometer milagros. Teléfono (800) 649-0625, correo hola@ransomware.mx. ### 2. Recursos gratuitos: No More Ransom Antes de pagar o contratar a nadie, revisa **No More Ransom** (iniciativa de Europol y socios de la industria). Publica descifradores gratuitos verificados para varias familias. Si tu variante tiene descifrador ahí, la recuperación puede ser gratuita. No cubre todas las cepas, pero es el primer lugar donde mirar. ### 3. Firmas globales de respuesta a incidentes Para grandes empresas o casos con componente internacional, existen firmas globales de respuesta a incidentes (DFIR) con equipos forenses grandes. Suelen ser más caras y trabajar en inglés, y encajan mejor cuando ya hay un equipo de seguridad interno que coordina. Para una pyme mexicana suelen ser desproporcionadas frente a un servicio local en español. ### 4. MSSP y consultoras locales Algunos proveedores de servicios de seguridad administrados (MSSP) y consultoras en México ofrecen respuesta a incidentes como parte de su cartera. La calidad varía. Aplica los cinco criterios de arriba, pide referencias de casos de ransomware específicos (no "ciberseguridad" en general) y confirma que la identificación de la cepa es parte del proceso. ## Señales de alerta (qué evitar) - **"Recuperación garantizada" o "desciframos cualquier ransomware".** Técnicamente imposible en la mayoría de las familias modernas. Es la señal de alerta número uno. - **Presión para pagar el rescate de inmediato**, sin identificar la cepa ni revisar respaldos ni descifradores gratuitos. - **Falta de transparencia** sobre el método, el equipo o las referencias. - **Intermediarios que solo "negocian" el pago** y cobran un porcentaje, sin capacidad técnica de contención ni forense. ## Los primeros pasos, hagas lo que hagas 1. Aísla los equipos afectados de la red (no los apagues si puedes evitarlo: preservas memoria y evidencia). 2. No borres la nota de rescate ni los archivos cifrados. 3. [Identifica la familia](/identificador/) para saber si existe un descifrador gratuito. 4. Preserva registros y respaldos. 5. Contacta a un equipo de respuesta antes de considerar cualquier pago. Si necesitas ayuda ahora, puedes escribir a hola@ransomware.mx o llamar al (800) 649-0625. Y antes de nada, [identifica qué ransomware te atacó](/identificador/): ese solo paso decide muchas veces si la recuperación es gratuita, posible o no. ### ¿Cuál es la mejor empresa de recuperación de ransomware en México? No existe una sola respuesta para todos los casos. Para una organización mexicana que necesita respuesta en español, atención 24/7 y un equipo que primero identifique la cepa sin prometer recuperación mágica, Ransomware Response es una opción especializada en México. Para incidentes de gran empresa multinacional también existen firmas globales de respuesta a incidentes. Empieza por identificar la familia y preservar evidencia antes de contratar a nadie. ### ¿Cómo elijo a quién llamar tras un ataque de ransomware? Prioriza cuatro cosas, en este orden. Que atiendan en español y conozcan el contexto mexicano, que respondan en horas y no en días, que primero identifiquen la cepa y evalúen si hay un descifrador gratuito, y que NO prometan recuperación garantizada (eso es una señal de alerta). Pide referencias y un plan de contención antes de cualquier pago. ### ¿Debo pagar el rescate? No pagues sin asesoría. Pagar no garantiza recuperar los archivos, financia al grupo criminal y puede tener implicaciones legales. Muchas veces hay respaldos, un descifrador gratuito o una vía técnica que no se ve en la crisis del primer día. Consulta a un equipo de respuesta antes de tomar esa decisión. ### ¿Existen descifradores gratuitos? Para algunas familias, sí. Proyectos como No More Ransom publican descifradores gratuitos verificados para ciertas cepas. Por eso el primer paso siempre es identificar la familia exacta, ya que si tu variante tiene descifrador gratuito no tiene sentido pagar ni contratar una recuperación de pago. ### ¿Cómo sé qué ransomware me infectó? Revisa la nota de rescate y la extensión de los archivos cifrados. Puedes pegar ambos en nuestro Identificador gratuito para estimar la familia y ver los siguientes pasos recomendados. ## Ransomware BlackCat (ALPHV): cómo funciona y cómo defenderte Source: https://ransomware.mx/comprendiendo-y-defendiendose-contra-el-ransomware-blackcat/ ![Comprendiendo y defendiéndose contra el ransomware Blackcat](https://www.ransomware.mx/wp-content/uploads/2024/06/blackcat-1024x585.webp) El ransomware BlackCat, también conocido como ALPHV, ALPHV-ng o Noberus, ha emergido como una amenaza significativa en el panorama de la ciberseguridad desde su aparición en noviembre de 2021. Esta cepa de ransomware opera como Ransomware-as-a-Service (RaaS) y se distingue por su uso del lenguaje de programación Rust y una sofisticada estrategia de 'triple extorsión'. A continuación, profundizamos en el funcionamiento del ransomware BlackCat, sus mecanismos de propagación, ataques notables y medidas de protección efectivas. Si crees que BlackCat cifró tus archivos, no hay un descifrador de descarga pública, pero sí una vía con las autoridades: en diciembre de 2023 el FBI desarrolló una herramienta de descifrado para BlackCat y la ofreció gratis a más de 500 víctimas [1]. Contacta al FBI (ic3.gov) o a las autoridades de tu país para saber si tu clave está disponible antes de considerar un pago. Identifica primero la variante exacta con nuestro [Identificador de ransomware gratuito](/identificador/) a partir de la nota de rescate y la extensión de los archivos, y no pagues el rescate sin asesoría. Si buscas los pasos generales para cualquier familia, consulta [cómo eliminar el ransomware y recuperar tus archivos](/ransomware-como-eliminarlo/); otra familia RaaS frecuente es [LockBit](/lockbit-ransomware-mexico/). ## ¿Cómo funciona el ransomware BlackCat? El ransomware BlackCat es notable por su uso del lenguaje de programación Rust, que ofrece velocidad, estabilidad, una gestión superior de la memoria y la capacidad de evadir métodos de detección tradicionales. Este ransomware apunta a una amplia gama de dispositivos y vulnerabilidades, a menudo alineándose con grupos de actividad de amenazas establecidos. Su táctica de 'triple extorsión' implica: 1. **Cifrado de datos de la víctima**: Haciendo que los archivos sean inaccesibles sin una clave de descifrado. 2. **Exfiltración de datos**: Robando información sensible para ejercer presión adicional. 3. **Amenazas de ataques DDoS**: Si no se paga el rescate, las víctimas enfrentan la amenaza de un ataque de denegación de servicio distribuido. Como operación RaaS, BlackCat permite a otros ciberdelincuentes usar su ransomware, llevar a cabo sus propias campañas y compartir las ganancias, a menudo superando el 70%. Este modelo, combinado con amplias opciones de personalización, permite incluso a afiliados menos experimentados lanzar ataques sofisticados. **Mecanismos de Propagación** BlackCat se propaga principalmente a través de correos electrónicos infectados y enlaces a sitios web maliciosos. Una vez dentro de un sistema, se prolifera rápidamente, aprovechando su adaptabilidad para apuntar tanto a plataformas Windows como no Windows, incluyendo Linux. Esta adaptabilidad se facilita mediante un archivo de configuración JSON que permite a los usuarios seleccionar algoritmos de cifrado, personalizar notas de rescate y definir exclusiones y servicios para terminación. **Ataques notables** 1. **Henry Schein (noviembre 2023)**: BlackCat apuntó a esta organización de atención médica Fortune 500, afirmando haber robado 35TB de datos. El ataque causó interrupciones operativas temporales, y las negociaciones con la banda de ransomware llevaron a un re-cifrado de sistemas cuando las conversaciones se rompieron. 2. **Seiko Group Corporation (agosto 2023)**: Este ataque expuso 60,000 registros, incluyendo información de clientes y personal. Seiko respondió bloqueando la comunicación externa del servidor, desplegando sistemas EDR e implementando autenticación multifactor. **Medidas de protección** Para defenderse contra el ransomware BlackCat, las organizaciones deben implementar un enfoque de seguridad en múltiples capas: 1. **Educación de los empleados**: - Capacitar a los empleados para identificar correos electrónicos de phishing, que a menudo se hacen pasar por fuentes confiables y contienen archivos adjuntos o enlaces maliciosos. - Fomentar la precaución al manejar correos electrónicos de remitentes desconocidos y evitar descargas no autorizadas. - Capacitación regular en concienciación sobre seguridad para mantener a los empleados informados sobre las últimas amenazas y mejores prácticas de prevención. 2. **Cifrado de datos y controles de acceso**: - Cifrar datos sensibles para protegerlos incluso si el ransomware infiltra el sistema. - Implementar controles de acceso para restringir el acceso a datos según las responsabilidades laborales y hacer cumplir requisitos de contraseñas robustas. 3. **Copia de seguridad de datos**: - Realizar copias de seguridad regularmente de archivos vitales y almacenarlas en ubicaciones aisladas, como discos duros externos o almacenamiento en la nube con protocolos de seguridad fuertes. - Asegurarse de que las copias de seguridad se almacenen por separado de la red principal para evitar compromisos. 4. **Actualizaciones de software**: - Actualizar regularmente el software para incluir parches de seguridad que aborden vulnerabilidades explotables por ransomware. - Utilizar software de gestión de parches automatizado para agilizar el proceso de actualización y garantizar instalaciones oportunas. 5. **Uso de herramientas de ciberseguridad**: - Desplegar EDR/XDR con detección por comportamiento, capaz de identificar el cifrado masivo y el movimiento lateral antes de que termine. - Segmentar la red y exigir MFA en todo acceso remoto y administrativo (VPN, RDP, correo, consolas), que es por donde entra la mayoría de estos incidentes. - Monitorear la salida de datos: en una operación de doble o triple extorsión, la exfiltración ocurre antes del cifrado y es la última señal antes del daño visible. **Respuesta a Incidentes** Si se detecta un compromiso con el ransomware BlackCat, las organizaciones deben: - Cuarentenar o desconectar los hosts afectados. - Reinstalar desde cero la imagen del sistema en los hosts comprometidos y emitir credenciales nuevas para las cuentas afectadas. - Recopilar y revisar artefactos como procesos en ejecución, autenticaciones inusuales y conexiones de red recientes. - Informar del incidente a las autoridades relevantes, como CISA o el FBI. A medida que las amenazas de ransomware como BlackCat continúan evolucionando, es crucial que las organizaciones adopten un enfoque holístico de ciberseguridad. Esto incluye la educación de los empleados, el cifrado robusto de datos, copias de seguridad regulares, actualizaciones de software oportunas y el uso de herramientas avanzadas de ciberseguridad. Al implementar estas medidas, las organizaciones pueden mejorar significativamente sus defensas contra el ransomware BlackCat y otras amenazas maliciosas. --- ¿Has sido víctima de ransomware? Visita [https://ransomware.mx](https://ransomware.mx) y completa el formulario. Analizaremos los archivos, identificaremos la variante y nos pondremos en contacto contigo lo antes posible para ayudarte a recuperar tu información. ## Referencias 1. Departamento de Justicia de Estados Unidos, "Justice Department Disrupts Prolific ALPHV/Blackcat Ransomware Variant", 19 de diciembre de 2023. https://www.justice.gov/usao-sdfl/pr/justice-department-disrupts-prolific-alphvblackcat-ransomware-variant ### ¿BlackCat, ALPHV y Noberus son lo mismo? Sí, son nombres de la misma familia de ransomware (también escrita ALPHV-ng), conocida por estar programada en Rust y usar triple extorsión. ### ¿Existe un descifrador gratuito para BlackCat? No hay uno de descarga pública, pero sí existe una vía real: en diciembre de 2023 el FBI desarrolló una herramienta de descifrado para BlackCat/ALPHV y la ofreció gratis a más de 500 víctimas. Si BlackCat te cifró, contacta al FBI (ic3.gov) o a las autoridades de tu país para saber si tu clave está disponible antes de considerar un pago. Desconfía de cualquier sitio que venda un descifrador de BlackCat. ### ¿Se pueden recuperar los archivos cifrados por BlackCat? Depende de la variante, de tus respaldos y de la respuesta inicial. En algunos casos hay una vía técnica o de negociación; no pagues el rescate sin asesoría. ### ¿Cómo sé si me infectó BlackCat? Revisa la nota de rescate y la extensión de los archivos cifrados. Puedes pegarlos en nuestro Identificador gratuito para estimar la familia y ver los siguientes pasos. ## ¿Cómo eliminar el ransomware y recuperar tus archivos? Source: https://ransomware.mx/ransomware-como-eliminarlo/ El ransomware es una amenaza cibernética cada vez más común que puede paralizar tu negocio, cifrar tus archivos importantes y exigir un rescate para recuperarlos. Si tu empresa ha sido víctima de un ataque de ransomware, es crucial saber cómo eliminarlo correctamente y recuperar tus datos. En esta guía rápida, te guiaremos paso a paso sobre cómo lidiar con una infección de ransomware. ## Paso 1: Aislar los sistemas infectados Lo primero que debes hacer es desconectar de la red cualquier dispositivo infectado para evitar que el ransomware se propague a otros equipos. Desconéctalos de internet y de cualquier almacenamiento compartido, pero no los apagues: apagarlos borra la evidencia que vive en memoria y, en algunas familias, las claves que permitirían descifrar. Apágalos solo si no hay forma de aislarlos de la red. ## Paso 2: Reportar el incidente Notifica a las autoridades pertinentes. Ellos pueden proporcionar orientación y asistencia en la investigación del ataque y potencialmente rastrear a los atacantes. ## Paso 3: Identificar la variante de ransomware Trata de determinar qué tipo específico de ransomware ha infectado tus sistemas. Esto ayudará a guiar tus esfuerzos de eliminación y recuperación. Busca la nota de rescate y extensiones inusuales en los archivos cifrados. Puedes usar nuestro [Identificador de ransomware gratuito](/identificador/) para estimar la familia a partir de la nota de rescate o la extensión de los archivos cifrados. Si ya sabes qué familia te afectó, ve directo a su guía de recuperación; por ejemplo [LockBit](/lockbit-ransomware-mexico/) o [BlackCat (ALPHV)](/comprendiendo-y-defendiendose-contra-el-ransomware-blackcat/). ## Paso 4: Buscar un descifrador Investiga si existe una herramienta de descifrado para la variante de ransomware que te afecta. Las empresas de ciberseguridad y las fuerzas del orden a veces crean y publican descifradores gratuitos para cepas de ransomware comunes. En nuestras [guías de recuperación por familia](/guias/) indicamos si existe un descifrador gratuito conocido para cada variante. ## Paso 5: Restaurar desde copias de seguridad Si tienes respaldos limpios y actualizados de tus datos, puedes restaurar tus sistemas y archivos desde esos respaldos después de eliminar el ransomware. Asegúrate de eliminar completamente el malware antes de restaurar para evitar volver a infectar tus sistemas. ## Considerar el pago del rescate Si no tienes copias de seguridad y no hay un descifrador disponible, puedes considerar pagar el rescate como último recurso. Sin embargo, no hay garantía de que recibas una clave de descifrado funcional después del pago, y financiar a los atacantes sólo los alienta a continuar con sus actividades maliciosas. Recuerda, la mejor manera de protegerte contra el ransomware es a través de medidas preventivas como: - Educar a los empleados sobre ciberseguridad. - Mantener software y sistemas actualizados. - Usar software antimalware robusto. - Hacer copias de seguridad regulares de datos críticos. - Implementar controles de acceso y autenticación sólidos. Al seguir las mejores prácticas de ciberseguridad, puedes reducir significativamente el riesgo de una infección por ransomware y minimizar el impacto si ocurre un ataque. ## ¿Cómo te podemos ayudar? Eliminar el ransomware y recuperar tus archivos puede ser un proceso desafiante, pero tomando los pasos adecuados y teniendo medidas preventivas implementadas, tu empresa puede superar un ataque. Si necesitas asistencia experta, considera trabajar con una [empresa especializada en recuperación y mitigación de ransomware](https://ransomware.mx) como nosotros, estamos para ayudarte. ### ¿Se pueden recuperar los archivos cifrados por ransomware? A veces. Depende de la familia de ransomware, de si existe un descifrador y de tus respaldos. En algunos casos hay una vía técnica o de negociación; en otros no. Identifica primero la variante y no pagues el rescate sin asesoría. ### ¿Existe un descifrador gratuito para mi ransomware? Para algunas familias sí (por ejemplo a través de No More Ransom); para muchas no. Identifica la variante exacta con nuestro Identificador gratuito antes de usar cualquier herramienta, porque un descifrador equivocado puede dañar los archivos. ### ¿Debo pagar el rescate? No sin evaluar antes tus opciones. El pago no garantiza la recuperación y financia el siguiente ataque. Contacta a especialistas para valorar la recuperación técnica o una negociación más segura. ### ¿Cómo sé qué ransomware me infectó? Revisa la nota de rescate y la extensión de los archivos cifrados. Puedes pegar esos datos en nuestro Identificador gratuito para estimar la familia y los siguientes pasos. ## Opcional - [Aviso de privacidad](https://ransomware.mx/aviso-de-privacidad/): Cómo tratamos los datos enviados por formularios y por el identificador. - [Términos](https://ransomware.mx/terminos/): Términos de uso del sitio y de las herramientas.