Ataques de ransomware con víctimas confirmadas: esa es la cuenta que casi nadie hizo este trimestre. Tres firmas contaron entre 2.627 y 2.928 organizaciones nombradas en sitios de filtración entre julio y septiembre, con subidas del 29 % al 39 %. Comparitech cruzó cada nombre con la propia víctima y solo 247 casos quedaron confirmados: el 9,4 % de su lista. El resto es un reclamo publicado por un grupo criminal, no una intrusión probada.
ReliaQuest publicó el informe del trimestre y su frase central desarma el titular fácil: el alza del 30 %, de 2.252 a unas 2.928 organizaciones nombradas, difícilmente refleja un aumento real de actividad. 43 grupos que nunca habían publicado antes aportaron el 93 % del crecimiento. Los grupos activos en el segundo y en el tercer trimestre sumaron apenas un 1 % más de nombres.
La base de comparación también engaña. El segundo trimestre de ReliaQuest había caído un 15 % frente al primero, así que el tercer trimestre queda solo un 10 % por encima del punto donde arrancó el año. Un repunte que recupera una caída previa se parece más a una oscilación que a un piso nuevo, y la firma lo escribe con esa frialdad en su propio documento.
Los patrones de publicación huelen a inventario acumulado. Global Secret Group nombró 48 víctimas y soltó 28 en un solo día. Otro nombre nuevo, crpx0, publicó 47 y metió 41 en una misma fecha, para no volver a aparecer desde agosto. Atacar 41 empresas en 24 horas pide una infraestructura enorme; publicar 41 nombres guardados pide una tarde. Storm repartió 71 víctimas en 20 días y apareció unas cinco semanas después del último mensaje de Stormous, activo desde 2022: un cambio de nombre es una posibilidad que ReliaQuest deja abierta sin confirmarla.
El caso ExfilSquad y la presión del nombre publicado
ExfilSquad resume el problema en un solo nombre. Sus muestras traían nombres de empleados, correos, teléfonos y datos de clientes, con campos vacíos y material de bajo riesgo. Nada probaba una red invadida. El análisis de ReliaQuest apunta a un actor que rastrea credenciales expuestas en GitHub y alcanza solo lo que esas cuentas permiten ver, para vestir ese acceso limitado con plazos de pago y amenazas de publicación.
Halcyon, en su informe del mismo trimestre, contó 2.766 víctimas reclamadas, un 39,1 % más, entre 111 grupos y 122 países, con más de 1.000 reclamos solo en agosto, su mes más alto en registro. The Gentlemen firmó 398 y Qilin 344. Estados Unidos reunió más de 1.100 reclamos, cerca de dos de cada cinco. Son cifras de anuncios en sitios criminales, con el límite que marca Comparitech: anunciar no es lo mismo que invadir.
El boletín Kernel Panic de WIRED presentó el trimestre como una ola empujada por la inteligencia artificial, y las dos voces más citadas matizan ese marco. Cynthia Kaiser, exsubdirectora de la división cibernética del FBI y responsable de investigación en Halcyon, atribuyó buena parte del crecimiento a ataques fuera de Estados Unidos y aceptó que la IA alimenta una parte del aumento. Allan Liska, analista de Recorded Future, ubicó los modelos de lenguaje en dos tareas concretas: correos de engaño mejor escritos y negociaciones de rescate. Los grupos que cobran siguen operados por personas.
Ese uso puntual sí deja rastros medibles. Halcyon documentó agentes que reunieron más de 2.100 conjuntos de tokens de Azure AD, el sistema de identidad de Microsoft, en más de 40 entornos en unas 34 horas. De 405 muestras de código malicioso vinculadas a IA, solo 12 llegaron a un equipo protegido, y las 12 fueron detectadas. El ransomware con IA en ataque híbrido documentado en escuelas británicas muestra ese mismo reparto: una persona elige los objetivos y un modelo carga con el trabajo mecánico de reintentar comandos.
Robar datos sale más barato que cifrar
Liska aportó otro dato que mueve la defensa: el conteo de Recorded Future en 2026 ya superó el total de 2025, y los ataques con cifrado pueden cerrar el año a la baja. Robar datos y amenazar con publicarlos pide menos herramientas que cifrar una red, y una copia de seguridad no deshace una filtración. Brandon Tirado, director de investigación de ReliaQuest, contó un grupo rastreado hasta un adolescente sin experiencia que reunió más de US$800.000 en menos de dos semanas. En Japón, Kaiser vio atacantes extranjeros escribiendo japonés convincente con modelos de lenguaje: una barrera que protegía ese mercado se cayó.
La geografía refuerza la lectura. Los nombres en Estados Unidos subieron un 9 %, y cerca del 85 % del crecimiento neto ocurrió fuera de ese país: su peso bajó del 55 % del primer trimestre al 41 % del tercero. La manufactura creció un 70 % en los reclamos, empujada por Qilin y The Gentlemen, con accesos por sistemas expuestos a internet y controladores vulnerables para apagar la detección.
Para una empresa nombrada en un sitio de filtración, el procedimiento que propone ReliaQuest es corto: tratar el anuncio como un reclamo sin verificar, revisar los registros propios y las muestras publicadas, y decidir con esa evidencia. Pagar por un anuncio falso financia la próxima ronda de anuncios. Ignorar uno verdadero deja datos expuestos circulando. El cuarto trimestre dirá si los 43 nombres nuevos siguen publicando o se apagan como crpx0: si se apagan, buena parte del famoso aumento del 30 % era papel.
Fuente: ReliaQuest
Top comments (0)