Grupos y familias de ransomware

La familia es el malware: el programa de cifrado y sus herramientas, normalmente con el nombre del código o de la nota de rescate, como LockBit o Akira. El grupo es la organización criminal que lo desarrolla y lo gestiona, incluidos el sitio de filtraciones, el proceso de pago y los negociadores. Un afiliado es un equipo criminal aparte que alquila el malware al grupo y realiza las intrusiones en sí, a cambio de una parte del rescate, a menudo la mayor. Esto importa a quien defiende porque la misma familia puede llegar por vías muy distintas según el afiliado que la use, mientras que un afiliado puede cambiar de familia de un mes a otro. Por eso los avisos gubernamentales describen ambas cosas: los indicadores de la familia y las técnicas observadas en sus afiliados. Cuando un informe dice que un grupo atacó a una empresa, normalmente significa que lo hizo uno de sus afiliados.

El ransomware como servicio es un modelo de negocio en el que los desarrolladores alquilan su ransomware a afiliados, que realizan los ataques y reparten con ellos lo obtenido. Los desarrolladores aportan el software de cifrado, un panel de control, un sitio de filtraciones para publicar datos robados, la gestión de pagos y a veces negociadores y soporte. Los afiliados aportan el acceso a las víctimas, a menudo comprado a intermediarios de acceso inicial, y hacen el trabajo de intrusión. El modelo explica varias cosas que notan las pequeñas empresas: el ransomware ya no se limita a atacantes expertos, los ataques son frecuentes y oportunistas en lugar de dirigirse solo a nombres conocidos, y la misma marca puede aparecer con técnicas muy distintas. La mayoría de las familias de los avisos recientes de CISA y el FBI, como LockBit, ALPHV, RansomHub y Medusa, se describen así. Desmantelar a los desarrolladores afecta a muchos afiliados a la vez, por eso las fuerzas del orden suelen ir a por la plataforma.

La doble extorsión significa que los atacantes cifran sus sistemas y además roban una copia de sus datos, y luego exigen pago por dos cosas: la clave de descifrado y la promesa de no publicar los datos. Se extendió hacia 2020 y hoy es lo habitual: los avisos de CISA y el FBI la describen en la mayoría de los grupos actuales, como Black Basta, Akira, Play y Rhysida. Algunos grupos prescinden por completo del cifrado y extorsionan solo con los datos robados, como describe el aviso sobre BianLian a partir de 2024. La consecuencia práctica es que unas buenas copias de seguridad resuelven solo la mitad del problema: le permiten volver a funcionar, pero no cambian nada respecto a los datos robados, que pueden obligar a notificar según el RGPD y generar deberes frente a los clientes. También significa que el robo ocurre antes del cifrado, a menudo durante varios días, lo que da a los defensores un margen. Las grandes transferencias salientes a destinos desconocidos son una de las señales que NetSenX marca en todos los planes.

Un sitio de filtraciones es una web gestionada por un grupo de ransomware, normalmente accesible solo a través de la red Tor, donde enumera las empresas que dice haber atacado y publica sus datos robados si no pagan. Una entrada suele empezar con el nombre de la empresa, una cuenta atrás y una muestra de archivos, como presión durante la negociación. Estos sitios también son publicidad: muestran el alcance del grupo a posibles afiliados. Algunas claves para una empresa que aparece en uno. Una entrada es una afirmación, no una prueba; los grupos a veces exageran o vuelven a publicar datos antiguos, así que compruebe qué se llevaron realmente. Aun así, es un indicio fuerte de que los datos salieron de la red, lo que importa para la notificación según el RGPD. Las operaciones policiales suelen sustituir estos sitios por un aviso de incautación, como ocurrió con LockBit en febrero de 2024 y con BlackSuit en julio de 2025. Los servicios de vigilancia y los CERT nacionales siguen estos sitios; no los visite desde dispositivos de la empresa.

Empiece por las fuentes gubernamentales, que son gratuitas, fechadas y prudentes en lo que afirman. La agencia estadounidense CISA, con el FBI y agencias asociadas, publica la serie de avisos conjuntos StopRansomware, cada uno sobre un grupo, con sus técnicas conocidas, indicadores de compromiso y defensas recomendadas; cada aviso tiene un identificador, como AA24-131A, y una fecha. En Europa, consulte su CERT nacional o su agencia de ciberseguridad, que publica alertas en su idioma, el informe anual Threat Landscape de ENISA para las tendencias y Europol para desarticulaciones y detenciones. El proyecto No More Ransom recopila herramientas de descifrado gratuitas. Los informes de los fabricantes de seguridad añaden detalle pero también marketing, así que contraste sus cifras con una fuente oficial. Al leer un aviso, mire primero la fecha y el historial de actualizaciones: los grupos cambian de herramientas y los indicadores antiguos pierden valor rápido, mientras que las técnicas descritas suelen seguir vigentes mucho más tiempo.

No More Ransom es una web gratuita lanzada en julio de 2016 por el Centro Europeo de Ciberdelincuencia de Europol, la policía neerlandesa y empresas de seguridad, que reúne herramientas de descifrado de ransomware. En su sexto aniversario, en julio de 2022, Europol informó de 136 herramientas gratuitas para 165 variantes de ransomware. Su página Crypto Sheriff permite subir una nota de rescate o dos archivos cifrados para comprobar si existe una herramienta. Merece la pena comprobarlo, pero con expectativas realistas: hay herramientas sobre todo para familias antiguas, para familias cuyas claves incautó la policía y para familias con fallos en su cifrado. Para la mayoría de los grupos profesionales actuales no existe un descifrador gratuito. No suba archivos con datos personales sensibles sin valorar sus obligaciones del RGPD, guarde copias de los archivos cifrados por si aparece una herramienta más adelante y pida asesoramiento antes de ejecutar cualquier descifrador en sistemas de producción.

A veces mucho, a menudo menos de lo que sugieren los titulares. Cuando la policía incauta los servidores de un grupo, puede recuperar claves de descifrado: en la operación contra Hive anunciada en enero de 2023, el FBI dijo haber entregado claves a más de 300 víctimas que estaban siendo atacadas y a más de 1.000 víctimas anteriores, y la operación Cronos contra LockBit, en febrero de 2024, obtuvo más de 1.000 claves. Las víctimas pueden preguntar a su policía nacional si existen claves para su caso, y No More Ransom suele publicar herramientas después. Los datos incautados también pueden frenar nuevas filtraciones. Pero un desmantelamiento rara vez elimina a las personas: los afiliados pasan a otras plataformas y, en varios casos, los miembros reaparecieron con otro nombre en pocos meses. Para las empresas aún no atacadas cambia poco. Las mismas técnicas siguen bajo otras marcas, así que las defensas recomendadas en los avisos siguen siendo las que hay que aplicar.

Sobre todo para escapar de la presión. Un nombre conocido atrae a las fuerzas del orden, las sanciones y las listas de bloqueo, y muchas aseguradoras y empresas se niegan a pagar a grupos sancionados, así que un nombre nuevo puede facilitar el cobro a los delincuentes. Un cambio de marca también puede seguir a una escisión interna, a una filtración de los chats del grupo o a una operación policial. Las fuentes oficiales documentan varios cambios así: la actualización de agosto de 2024 del aviso de CISA sobre Royal indica que BlackSuit es un cambio de marca de Royal, y el aviso de CISA de agosto de 2024 sobre RansomHub señala que la operación se conocía antes como Cyclops y Knight. Tras la filtración de los chats internos de Conti en 2022, sus miembros se dispersaron en otras operaciones. Para los defensores la lección es sencilla: el nombre de la nota de rescate cambia más rápido que las técnicas que hay detrás. Siga las técnicas, que cada aviso enumera con referencias a MITRE ATT&CK, no solo los nombres de marca.

Léalo como una lista de comprobación, no como una noticia. Cada aviso StopRansomware de CISA termina con una sección de mitigaciones, y casi toda repite el mismo puñado de medidas: aplicar rápido los parches en los sistemas expuestos a internet, sobre todo VPN y acceso remoto; exigir autenticación multifactor en el acceso remoto, el correo y las cuentas de administrador; mantener copias de seguridad desconectadas y probadas; segmentar la red para que un equipo infectado no llegue a todo; limitar los derechos de administrador y el uso del escritorio remoto; y vigilar el tráfico interno y saliente inusual. Marque lo que ya hace y corrija primero el punto más débil. Después lea la sección de acceso inicial: si el grupo explota un producto que usted utiliza, compruebe hoy mismo su nivel de parches. Los indicadores de compromiso, como direcciones IP y hashes de archivos, son útiles para su proveedor de TI o sus herramientas de seguridad, pero envejecen rápido. No necesita entender cada detalle técnico para aplicar las mitigaciones.

LockBit es una operación de ransomware como servicio que apareció en 2019 y fue la variante de ransomware más desplegada del mundo en 2022, según el aviso conjunto AA23-165A publicado por CISA, el FBI y socios internacionales el 14 de junio de 2023. Sus afiliados entraban por servicios de escritorio remoto expuestos, phishing, credenciales robadas y vulnerabilidades en sistemas expuestos a internet; otro aviso, el AA23-325A de noviembre de 2023, describía la explotación del fallo Citrix Bleed. El 20 de febrero de 2024, la operación Cronos, dirigida por la National Crime Agency británica con el FBI y Europol, tomó el control de la infraestructura y del sitio de filtraciones de LockBit y obtuvo más de 1.000 claves de descifrado. La marca intentó reanudar su actividad después, con mucho menos alcance. Las lecciones de los avisos siguen vigentes: parchear rápido los dispositivos perimetrales, exigir MFA en el acceso remoto y vigilar el movimiento lateral y las grandes transferencias salientes antes del cifrado.

ALPHV, también conocido como BlackCat, fue una operación de ransomware como servicio activa desde finales de 2021, conocida por estar escrita en el lenguaje Rust y por cifrar tanto servidores normales como hosts de virtualización. CISA y el FBI la describieron en el aviso AA23-353A, publicado el 19 de diciembre de 2023 y actualizado en febrero de 2024: para entonces sus afiliados habían comprometido más de 1.000 entidades en todo el mundo, a menudo tras engañar a servicios de ayuda y personal de TI para obtener credenciales. En diciembre de 2023 el FBI anunció que había desbaratado al grupo y entregado una herramienta de descifrado a más de 500 víctimas. ALPHV reanudó brevemente su actividad y cerró en marzo de 2024, en lo que muchos investigadores describieron como una estafa a sus propios afiliados. Los afiliados no desaparecieron; muchos se pasaron a otras plataformas. La lección clave del aviso para las pequeñas empresas: formar al servicio de ayuda para verificar la identidad antes de restablecer cualquier contraseña o MFA.

Black Basta es una operación de ransomware como servicio detectada por primera vez en abril de 2022. En el aviso conjunto AA24-131A, publicado el 10 de mayo de 2024, CISA, el FBI y agencias asociadas informaron de que sus afiliados habían afectado a más de 500 organizaciones en todo el mundo, incluidos 12 de los 16 sectores de infraestructura crítica de EE. UU., mediante doble extorsión: cifrar sistemas y robar datos. El acceso inicial solía llegar por spear phishing y la explotación de vulnerabilidades conocidas; el aviso describe también a afiliados que usaban herramientas legítimas de acceso remoto y transferencia de archivos, credenciales robadas y escritorio remoto para moverse entre equipos. Los investigadores informaron ampliamente de que los registros de chat internos del grupo se filtraron en febrero de 2025, tras lo cual su actividad disminuyó. Las recomendaciones del aviso son una buena base para cualquier empresa: sistemas parcheados, MFA resistente al phishing, formación para reconocer el phishing, copias de seguridad desconectadas y control del software de acceso remoto permitido.

Akira es una operación de ransomware detectada por primera vez en marzo de 2023 que ataca a empresas e infraestructuras críticas en Norteamérica, Europa y Australia. CISA, el FBI, el centro de ciberdelincuencia de Europol y el NCSC de los Países Bajos la describieron en el aviso conjunto AA24-109A del 18 de abril de 2024: a 1 de enero de 2024 había afectado a más de 250 organizaciones y obtenido unos 42 millones de dólares. Una actualización del 13 de noviembre de 2025 elevó la cifra a unos 244 millones de dólares a finales de septiembre de 2025 y citó la industria manufacturera, la educación, las TI, la sanidad, los servicios financieros y la alimentación y agricultura entre los sectores más afectados. Los afiliados de Akira suelen entrar por cuentas de VPN sin autenticación multifactor y por fallos conocidos en productos de VPN y cortafuegos, y la actualización menciona entre ellos una vulnerabilidad de SonicWall; roban datos antes de cifrar. El consejo se deduce directamente: MFA en todas las cuentas de VPN, parches rápidos en los dispositivos perimetrales y copias de seguridad desconectadas.

Play, también llamado Playcrypt, es un grupo de ransomware activo desde junio de 2022. CISA, el FBI y el Australian Cyber Security Centre lo describieron en el aviso conjunto AA23-352A del 18 de diciembre de 2023, que entonces contaba unas 300 entidades afectadas; una actualización de junio de 2025 indicó que el FBI conocía aproximadamente 900 a mayo de 2025. Play usa la doble extorsión, pero su nota de rescate no indica ninguna cantidad: se pide a las víctimas que contacten por correo, y la actualización señala que algunas también recibieron llamadas amenazantes. El acceso inicial suele venir de cuentas válidas robadas o compradas y de vulnerabilidades en sistemas expuestos a internet, como servicios de escritorio remoto y cortafuegos. El grupo recompila su malware para cada ataque, así que los hashes de archivos sirven de poco. El comportamiento es más fiable: robo de credenciales, movimiento entre máquinas internas y datos reunidos y enviados antes del cifrado, algo que la monitorización de red puede ver.

Royal fue una operación de ransomware activa desde aproximadamente septiembre de 2022, y BlackSuit es su sucesora. CISA y el FBI describieron Royal por primera vez en el aviso AA23-061A del 2 de marzo de 2023; una actualización de noviembre de 2023 contaba más de 350 víctimas conocidas desde septiembre de 2022, y una actualización de agosto de 2024 indica que BlackSuit es un cambio de marca de Royal y que las demandas de rescate sumaban más de 500 millones de dólares, con una demanda máxima de 60 millones. El phishing era la vía de entrada más habitual, seguido del escritorio remoto, la explotación de aplicaciones públicas y el acceso comprado a intermediarios. En julio de 2025, una operación internacional coordinada a través de Europol y dirigida por Homeland Security Investigations de EE. UU. incautó los servidores y dominios de BlackSuit, según anunció el Departamento de Justicia estadounidense en agosto de 2025. No se informó de detenciones, y los investigadores observaron a miembros pasar a nuevas operaciones. Las defensas del aviso siguen siendo válidas, sea cual sea la marca.

Rhysida es un grupo de ransomware como servicio que apareció en mayo de 2023. CISA, el FBI y el MS-ISAC lo describieron en el aviso conjunto AA23-319A del 15 de noviembre de 2023, señalando que atacaba de forma oportunista en educación, sanidad, industria, TI y administración pública, con doble extorsión. Según el aviso, sus actores entraban sobre todo por servicios remotos externos como las VPN, a menudo con credenciales robadas donde no se exigía autenticación multifactor, por phishing y en algunos casos explotando la vulnerabilidad Zerologon en controladores de dominio. Una vez dentro, usaban herramientas de administración integradas y escritorio remoto para moverse, el patrón living off the land que se ve en muchos grupos. Para una pequeña empresa, el mensaje del aviso es conocido pero importante: exigir MFA en cada vía de acceso remoto, parchear los controladores de dominio, restringir el escritorio remoto y segmentar la red para que un solo punto de apoyo no lo exponga todo.

Medusa es una operación de ransomware como servicio identificada por primera vez en junio de 2021, que no debe confundirse con la familia MedusaLocker, sin relación, ni con un malware para móviles también llamado Medusa. CISA, el FBI y el MS-ISAC la describieron en el aviso conjunto AA25-071A del 12 de marzo de 2025, que contaba más de 300 víctimas a febrero de 2025 en sectores de infraestructura crítica como el sanitario, la educación, el jurídico, los seguros, la tecnología y la industria; una actualización de agosto de 2026 eleva la cifra a más de 500 víctimas a abril de 2026. Sus desarrolladores y afiliados entran mediante phishing para robar credenciales y explotando vulnerabilidades sin parchear, y el aviso describe un uso intensivo de software legítimo de acceso remoto y herramientas de administración integradas. Medusa mantiene un sitio de filtraciones con cuentas atrás y ofrece retrasar la publicación a cambio de un pago. Las mitigaciones son las conocidas: parchear sistemas operativos, software y firmware; autenticación multifactor en todos los servicios; segmentación de red; copias de seguridad desconectadas; y limitar las herramientas de escritorio y acceso remoto a las que realmente usa.

RansomHub fue una operación de ransomware como servicio que apareció en febrero de 2024 y creció rápido captando afiliados de otras plataformas, también tras el colapso de ALPHV y el desmantelamiento de LockBit. CISA, el FBI, el MS-ISAC y el departamento de salud de EE. UU. la describieron en el aviso conjunto AA24-242A del 29 de agosto de 2024: para entonces había cifrado y robado datos de al menos 210 víctimas, en sectores como agua, TI, servicios públicos, sanidad, servicios de emergencia, alimentación, servicios financieros y comunicaciones. El aviso señala que la operación se conocía antes como Cyclops y Knight y usa la doble extorsión. Los afiliados solían entrar por phishing, password spraying y la explotación de vulnerabilidades conocidas en sistemas expuestos a internet. Los investigadores informaron de que su infraestructura dejó de estar disponible en abril de 2025 y de que muchos afiliados se fueron a otro sitio. El patrón es la lección: las marcas van y vienen rápido, mientras que las técnicas de entrada y las defensas recomendadas siguen siendo las mismas.

Cl0p, también escrito Clop, es una operación de ransomware y extorsión que las agencias de seguridad asocian a un grupo criminal identificado como TA505. Es conocido sobre todo por robos masivos de datos a través de fallos en software de transferencia de archivos más que por el cifrado clásico. CISA y el FBI describieron su explotación de una vulnerabilidad de día cero, CVE-2023-34362, en el producto MOVEit Transfer en el aviso conjunto AA23-158A del 7 de junio de 2023: desde finales de mayo de 2023 el grupo robó datos de un gran número de organizaciones a través de ese único producto y luego exigió pago por no publicarlos. Campañas anteriores habían usado fallos parecidos en otros productos de transferencia gestionada de archivos. Para una pequeña empresa las lecciones son concretas: sepa qué aplicaciones de transferencia de archivos y otras expuestas a internet utiliza, incluidas las que gestionan proveedores en su nombre, parchéelas en cuanto aparezca un aviso y vigile volúmenes inusuales de datos que salgan de esos servidores. No hace falta cifrado para causar un daño grave.

BianLian es un grupo criminal que empezó como operación de ransomware en junio de 2022 y pasó a una extorsión basada solo en el robo de datos. CISA, el FBI y el Australian Cyber Security Centre lo describieron en el aviso conjunto AA23-136A del 16 de mayo de 2023; el aviso indica que el grupo pasó a una extorsión principalmente basada en la exfiltración hacia enero de 2023, y una actualización de noviembre de 2024 dice que pasó a hacerlo exclusivamente hacia enero de 2024. Sus actores suelen entrar con credenciales válidas de escritorio remoto, a menudo compradas a intermediarios de acceso inicial u obtenidas por phishing, y luego usan herramientas integradas y software de acceso remoto para explorar la red y copiar datos hacia fuera antes de exigir el pago. Como no se cifra nada, una víctima puede enterarse del ataque solo por el mensaje de extorsión. Por eso la vigilancia de los datos salientes es especialmente relevante: el robo es el ataque. El aviso recomienda limitar estrictamente el escritorio remoto, auditar las herramientas de acceso remoto y controlar de cerca las cuentas de administración.

Hive fue una operación de ransomware como servicio activa desde junio de 2021 hasta principios de 2023. En el aviso conjunto AA22-321A del 17 de noviembre de 2022, CISA, el FBI y el departamento de salud de EE. UU. informaron de que había atacado a más de 1.300 empresas en todo el mundo y recibido unos 100 millones de dólares en rescates, con un impacto especial en la sanidad. Sus afiliados entraban por cuentas de escritorio remoto y VPN sin MFA, por phishing y por vulnerabilidades conocidas en servidores expuestos a internet. El 26 de enero de 2023, el Departamento de Justicia estadounidense anunció que el FBI llevaba infiltrado en secreto en la red de Hive desde julio de 2022 y había entregado claves de descifrado a más de 300 víctimas que estaban siendo atacadas y a más de 1.000 víctimas anteriores, antes de incautar sus servidores con apoyo de la policía alemana y neerlandesa y de Europol. Hive muestra lo que un desmantelamiento puede aportar a las víctimas y también sus límites: los investigadores informaron después de que código de Hive se reutilizó en una nueva marca de ransomware.

Conti fue una de las operaciones de ransomware más activas entre 2020 y 2022. En el aviso conjunto AA21-265A del 22 de septiembre de 2021, CISA, el FBI y la NSA informaron de más de 400 ataques contra organizaciones de EE. UU. e internacionales, con afiliados que entraban mediante spear phishing, credenciales de escritorio remoto robadas o débiles, descargas falsas de software y vulnerabilidades conocidas; el aviso se actualizó después con más indicadores. Conti funcionaba más como una empresa que como una red informal, con personal pagado, algo que quedó a la vista en febrero de 2022, cuando se filtraron decenas de miles de sus mensajes de chat internos. La marca cerró hacia mediados de 2022 y sus miembros se repartieron por otras operaciones de ransomware y extorsión. Para los defensores, el material filtrado confirmó lo que decían los avisos: la mayoría de las intrusiones se apoyaban en debilidades corrientes, como la falta de MFA, el acceso remoto expuesto y los parches lentos, no en exploits exóticos.

Phobos es una familia de ransomware como servicio activa aproximadamente desde 2019, y 8Base fue uno de los grupos que usaban una variante de Phobos. CISA, el FBI y el MS-ISAC describieron Phobos en el aviso conjunto AA24-060A del 29 de febrero de 2024: sus afiliados atacaban a administraciones locales, servicios de emergencia, educación, sanidad y otras infraestructuras críticas, y solían entrar por servicios de escritorio remoto con contraseñas débiles o robadas, o mediante phishing. Los investigadores de seguridad señalan que Phobos se ha usado sobre todo contra organizaciones pequeñas y medianas, no contra grandes empresas. El 11 de febrero de 2025, Europol anunció una operación internacional coordinada en la que se detuvo a cuatro personas sospechosas de dirigir 8Base; según el Departamento de Justicia de EE. UU., se desbarataron más de 100 servidores vinculados a la red. El consejo para las pequeñas empresas es claro: no exponga el escritorio remoto a internet, exija contraseñas robustas y MFA para el acceso remoto y mantenga copias de seguridad desconectadas.

Ghost, también conocido como Cring y con otros varios nombres, es una operación de ransomware con motivación económica que CISA, el FBI y el MS-ISAC describieron en el aviso conjunto AA25-050A del 19 de febrero de 2025. Según el aviso, sus actores empezaron los ataques hacia principios de 2021 y han comprometido organizaciones en más de 70 países, en sectores que incluyen infraestructuras críticas, colegios y universidades, sanidad, administración, industria y muchas pequeñas y medianas empresas. Obtienen el acceso sobre todo explotando vulnerabilidades conocidas, a menudo de hace años, en software expuesto a internet como cortafuegos, servidores web y servidores de correo, para las que existían parches desde hacía tiempo. También cambian a menudo los nombres de archivo de su ransomware y las notas de rescate, lo que dificulta seguir la marca. La lección es contundente: parchear los sistemas expuestos frente a vulnerabilidades conocidas y sustituir los dispositivos que ya no reciben actualizaciones es la defensa principal que recomienda el aviso.

Interlock es una operación de ransomware observada por primera vez en septiembre de 2024 que ataca a empresas e infraestructuras críticas de Norteamérica y Europa. CISA, el FBI, el departamento de salud de EE. UU. y el MS-ISAC la describieron en el aviso conjunto AA25-203A del 22 de julio de 2025. A diferencia de muchos grupos, Interlock entra a menudo mediante descargas drive-by desde sitios legítimos comprometidos, incluidas falsas actualizaciones del navegador, y mediante la técnica ClickFix, en la que un falso CAPTCHA o mensaje de error convence al usuario de pegar y ejecutar un comando. Usa la doble extorsión y cifra tanto ordenadores normales como máquinas virtuales. Las defensas recomendadas responden a esa vía de entrada: filtrado DNS y web para bloquear sitios maliciosos, navegadores y protección de endpoints actualizados y una plantilla que sabe que ninguna web real pide pegar comandos, además de los habituales parches, MFA y segmentación de red. Tras el acceso inicial, el tráfico de control remoto y el movimiento lateral son las fases que la monitorización de red puede ver.