Más de 130 víctimas en menos de un año: así opera The Gentlemen
The Gentlemen, el grupo de ransomware que emergió en julio de 2025, ya superó las 130 organizaciones víctimas confirmadas a principios de 2026, con proyecciones que alcanzan más de 320 víctimas según telemetría de infraestructura comprometida. Lo que distingue a este actor no es solo su velocidad de escalado, sino su modelo de negocio Ransomware-as-a-Service (RaaS) que ofrece a afiliados hasta el 93% de las ganancias en esquemas de extorsión solo con datos, eliminando barreras de entrada para cibercriminales menos experimentados.
Para founders y equipos técnicos, esto significa que el perfil de riesgo cambió: ya no solo las grandes corporaciones son objetivo. Startups con infraestructura cloud mal segmentada, backups sin inmutabilidad o acceso RDP expuesto son blancos rentables para afiliados que buscan víctimas rápidas con defensas débiles.
¿Qué es The Gentlemen y por qué creció tan rápido?
The Gentlemen es una operación de doble extorsión: primero exfiltran datos sensibles de la red comprometida, luego cifran los sistemas y amenazan con publicar la información robada en su sitio de filtraciones en la dark web si no se paga el rescate. Esta táctica presiona a las víctimas desde dos frentes: la paralización operativa por el cifrado y el riesgo reputacional/legal por la filtración de datos.
👥 ¿Quieres ir más allá de la noticia?
En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.
👥 Unirme a la comunidadSegún análisis de Cybereason y Trend Micro, el grupo apareció públicamente en el tercer trimestre de 2025, pero evidencia investigativa sugiere que las operaciones comenzaron earlier en el año. En sus primeros dos meses de actividad visible (septiembre-octubre 2025), ya habían publicado 48 víctimas. Para febrero de 2026, el conteo confirmado superaba las 130 organizaciones en más de 17 países, abarcando sectores como manufactura, construcción, salud y seguros.
Lo que acelera su crecimiento es el modelo RaaS: los operadores principales proveen la infraestructura, el malware y el soporte, mientras que afiliados independientes ejecutan los ataques. El reparto de ganancias es excepcionalmente alto para el mercado underground:
- 90% para el afiliado / 10% para operadores en ataques con cifrado
- 93% para el afiliado / 7% para operadores en extorsión solo con datos
Este incentivo masivo atrae a actores con menos sofisticación técnica pero con acceso a redes vulnerables, escalando el volumen de ataques sin que el núcleo del grupo necesite ejecutar cada operación directamente.
La identificación por OSINT: del alias "hastalamuerte" al operador real
Brian Krebs, periodista de investigación en ciberseguridad, utilizó técnicas de OSINT (Open Source Intelligence) para vincular la operación con un individuo que operaba bajo el alias "hastalamuerte" en foros clandestinos. Este tipo de atribución se basa en correlación de múltiples señales:
- Reuso de infraestructura: dominios, paneles de control, servidores C2 y wallets de criptomonedas que aparecen en múltiples campañas
- Huella lingüística y temporal: patrones de horarios de publicación, idioma utilizado y estilo de comunicación en foros underground
- Solapamiento de servicios: búsquedas previas del mismo actor para acceder a otras plataformas RaaS como Qilin, Embargo, LockBit, Medusa y BlackLock antes de desarrollar su propia operación
- Correlación de alias: el mismo nombre de usuario o variaciones cercanas en diferentes mercados clandestinos
Es importante señalar que, aunque la investigación periodística apunta a una atribución específica, en inteligencia de amenazas las identidades reales de operadores ransomware rara vez son confirmadas oficialmente por autoridades. La atribución OSINT es valiosa para entender patrones y TTPs (tácticas, técnicas y procedimientos), pero debe tratarse con el nivel de certeza que las fuentes permiten.
Uso de IA y sofisticación técnica en 2026
Si bien no hay confirmación directa de que The Gentlemen use IA de forma específica, la tendencia general del ecosistema ransomware en 2025-2026 muestra que los grupos RaaS están adoptando herramientas de inteligencia artificial para escalar operaciones, no para crear malware "más inteligente" en sentido criptográfico.
Los usos prácticos de IA que se observan en el panorama actual incluyen:
- Generación de phishing personalizado: redacción de correos señuelo más convincentes, adaptados al contexto de la víctima
- Traducción y localización: campañas en múltiples idiomas sin necesidad de hablantes nativos
- Automatización de reconocimiento: identificación rápida de tecnologías expuestas y vulnerabilidades potenciales
- Soporte a afiliados: asistencia en tiempo real para operadores menos experimentados, reduciendo la barrera de entrada
The Gentlemen, por su parte, demuestra sofisticación en otras áreas: uso de drivers legítimos para evadir detección, manipulación de Group Policy, herramientas anti-AV personalizadas, compromiso de cuentas privilegiadas y canales cifrados para exfiltración. Su locker está escrito en Go, lo que le permite ser multiplataforma (Windows, Linux, ESXi, NAS, BSD), y usa cifrado XChaCha20/Curve25519, considerado robusto y sin vulnerabilidades conocidas.
¿Qué significa esto para tu startup?
Para founders hispanohablantes, especialmente en LATAM y España donde los equipos de seguridad suelen ser pequeños o inexistentes en etapas tempranas, The Gentlemen representa un riesgo existencial. No se trata solo del rescate: el costo real de un incidente incluye parada operativa, recuperación de sistemas, forense digital, notificaciones legales, multas regulatorias y daño reputacional.
Una startup promedio tiene características que la hacen vulnerable:
- Pocos empleados: un solo compromiso de credenciales puede dar acceso total
- Backups inmaduros: copias en la misma red, sin inmutabilidad ni pruebas de restauración
- Acceso remoto expuesto: RDP o VPN sin MFA, directamente accesibles desde internet
- Segmentación nula: una vez dentro, el atacante se mueve lateralmente sin obstáculos
- Dependencia de SaaS: interrupción de herramientas críticas (Slack, GitHub, AWS) paraliza operaciones
El modelo RaaS significa que no necesitas ser un objetivo de alto valor: los afiliados buscan víctimas rápidas y rentables, y una startup con defensas débiles es más atractiva que una empresa grande con equipo de seguridad dedicado.
7 acciones concretas que debes implementar esta semana
No esperes a ser víctima. Estas medidas tienen el mayor impacto por esfuerzo invertido:
- Elimina RDP expuesto a internet: si necesitas acceso remoto, usa VPN con MFA obligatorio. Nunca expongas puertos de administración directamente
- Implementa MFA resistente al phishing: no solo SMS. Usa aplicaciones autenticadoras (Authy, Google Authenticator) o llaves físicas (YubiKey) para todo acceso administrativo
- Backups inmutables y offline: la regla 3-2-1 (3 copias, 2 medios distintos, 1 fuera del sitio) con al menos una copia inmutable que no pueda ser cifrada o borrada
- Segmenta tu red: separa producción, administración y backups. Un compromiso en un segmento no debería dar acceso automático a los demás
- Inventario de activos críticos: sabe qué sistemas, datos y dependencias SaaS son esenciales para operar. No puedes proteger lo que no conoces
- EDR/XDR en todos los endpoints: soluciones que detecten comportamiento sospechoso, no solo firmas de malware. Alertas sobre abuso de drivers, desactivación de AV o cifrado masivo
- Prepara un runbook de incidente: documenta pasos de aislamiento, corte de credenciales, preservación de evidencia y contactos de respuesta antes de que ocurra un incidente. En medio del caos, no hay tiempo para decidir
El contexto global: no estás solo en esto
The Gentlemen prohíbe explícitamente atacar organizaciones en Rusia y países de la CEI, un indicador fuerte de que los operadores principales son de habla rusa. Esto no protege a empresas en LATAM o España: de hecho, la ausencia de restricciones en estas regiones las hace objetivos válidos.
Según FortiGuard Labs, a inicios de 2026 el sitio de filtraciones del grupo listaba más de 200 organizaciones en más de 50 países, abarcando todos los continentes principales. La actividad se concentra en manufactura, construcción, salud y seguros, pero ningún sector es inmune.
La conexión con ecosistemas ransomware anteriores (DevMan, Qilin) sugiere que operadores experimentados de grupos disbanded están detrás de esta operación, lo que explica la madurez técnica y la velocidad de escalado.
Conclusión
The Gentlemen no es una amenaza teórica: es una operación activa, en crecimiento y con un modelo de negocio diseñado para escalar rápidamente mediante afiliados. Para founders, la lección es clara: la seguridad no es un lujo para cuando "crezcas", es un requisito desde el día uno. Un incidente ransomware puede ser existencial para una startup, y las defensas básicas (MFA, backups inmutables, segmentación, sin RDP expuesto) están al alcance de cualquier equipo con priorización correcta.
La atribución OSINT de Krebs demuestra que, aunque los operadores intentan mantener anonimato, los patrones dejan huella. Pero para ti como founder, lo importante no es quién está detrás, sino qué puedes hacer hoy para no ser la próxima víctima en su sitio de filtraciones.
Fuentes
- Who Runs the Ransomware Group 'The Gentlemen?' - Krebs on Security
- Gentlemen Ransomware: Tactical Analysis - Proven Data
- License to Encrypt: "The Gentlemen" Make Their Move - Cybereason
- Unmasking The Gentlemen Ransomware - Trend Micro
- The Gentlemen Threat Actor Profile - Analyst1
👥 ¿Quieres ir más allá de la noticia?
En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.
👥 Unirme a la comunidad
