Una nueva generación de ransomware cambia las reglas del juego en ciberseguridad. Ya no se trata de ataques masivos y poco sofisticados. Ahora, los grupos criminales estudian a cada víctima y ajustan sus herramientas en tiempo real. Ese es el caso de The Gentlemen, una operación activa desde 2025 que ya acumula más de 250 víctimas en 17 países y pone a Latinoamérica en el radar. La advertencia llega desde ESET, que analiza este modelo como una evolución clara hacia campañas dirigidas, silenciosas y mucho más efectivas. Países como México, Colombia, Chile y Argentina aparecen entre los más impactados por The Gentlemen en la región, aunque el alcance es global.
Un ransomware que estudia a su víctima antes de atacar
A diferencia de otros grupos que operan con tácticas repetitivas, The Gentlemen adapta cada ataque según el entorno que encuentra. No lanza el mismo malware de forma indiscriminada. Primero analiza la infraestructura, identifica debilidades y luego ajusta sus herramientas para superar las defensas específicas.
Martina Lopez, investigadora de seguridad informática de ESET Latinoamérica, explica el fenómeno:
“Es un grupo emergente de ransomware as a Service que irrumpe a mediados de 2025. A diferencia de otros grupos con estéticas más descuidadas, The Gentlemen destaca por una identidad de marca pulida… Este profesionalismo se refleja en la precisión de sus ataques y en la calidad técnica de sus herramientas”.
Ese detalle no es menor. El grupo incluso mantiene un sitio en la dark web con diseño profesional, donde publica filtraciones de datos de sus víctimas. Este nivel de organización muestra que el ransomware ya opera como una industria.
Doble extorsión: el modelo que presiona a las empresas
El esquema que utiliza este grupo se basa en la doble extorsión. Primero bloquea los sistemas de la víctima mediante cifrado. Luego amenaza con publicar la información robada si no se paga el rescate.
Este enfoque aumenta la presión sobre las organizaciones. Ya no se trata solo de recuperar acceso a los sistemas. También está en juego la reputación, el cumplimiento legal y la protección de datos sensibles.
Empresas de sectores como manufactura, salud, seguros, construcción y servicios financieros ya figuran entre los afectados. Son industrias donde una filtración puede tener consecuencias críticas.
Cómo operan los ataques paso a paso
El proceso que sigue The Gentlemen es metódico. Todo comienza con accesos expuestos en internet o credenciales previamente robadas. Esto incluye sistemas de administración abiertos o cuentas comprometidas.
Una vez dentro, los atacantes se mueven con cautela. Analizan la red interna, identifican usuarios con privilegios elevados y estudian la arquitectura de la empresa. El objetivo es entender cómo escalar el ataque sin ser detectados.
Luego utilizan herramientas que permiten ejecutar acciones de forma remota en múltiples equipos. Con esto logran distribuir el ransomware de manera simultánea en toda la red. Al mismo tiempo, debilitan los sistemas de seguridad para mantener el control.
En la fase final ejecutan dos acciones clave:
- Roban información sensible y la envían a servidores externos de forma cifrada
- Bloquean los sistemas mediante cifrado para exigir el rescate
Después, eliminan rastros. Borran registros, conexiones remotas y evidencias que puedan ayudar a reconstruir el ataque. Esto complica las investigaciones forenses y retrasa la respuesta.
Latinoamérica en el mapa del ransomware
Aunque el impacto de The Gentlemen es global, Latinoamérica aparece como una región activa dentro de su operación. No hay evidencia de una motivación geopolítica específica. El grupo aprovecha oportunidades donde detecta vulnerabilidades.
Datos recientes muestran actividad en varios países:
- Colombia: ataques a organizaciones de salud y medios de comunicación en marzo de 2026
- Argentina: ataque a un instituto científico gubernamental en febrero
- Chile: intrusión en un organismo público reportada en marzo
Además, registros de plataformas como ransomware.live reportan víctimas en Brasil, Perú, Ecuador, Venezuela, Guatemala, República Dominicana, Costa Rica y Panamá.
Fuera de la región, Estados Unidos y Tailandia encabezan la lista de países más afectados, seguidos por India, España y Francia.
Una amenaza activa desde 2025
La primera víctima documentada de este grupo aparece el 30 de junio de 2025. Desde entonces, la actividad no se detiene. En menos de un año, logra posicionarse como una de las operaciones de ransomware más activas.
Este crecimiento rápido refleja una tendencia más amplia en el cibercrimen. Los ataques evolucionan hacia modelos más organizados, con estructuras similares a empresas. El ransomware como servicio (RaaS) permite que distintos actores utilicen la misma plataforma para lanzar ataques.
Qué pueden hacer las empresas para protegerse
Ante este escenario, la prevención se vuelve clave. No hay una única solución. Se requiere una combinación de medidas técnicas y operativas.
ESET recomienda:
- Reducir la exposición en internet. Revisar qué sistemas están accesibles y cerrar accesos innecesarios
- Proteger credenciales. Usar contraseñas únicas, activar autenticación en dos factores y monitorear accesos
- Mantener sistemas actualizados. Muchos ataques explotan vulnerabilidades conocidas
- Detectar comportamientos anómalos. Identificar accesos fuera de horario o actividad inusual
- Limitar privilegios. Reducir accesos minimiza el impacto de una cuenta comprometida
- Segmentar la red. Evita que un atacante se desplace libremente
- Realizar copias de seguridad. Deben estar aisladas y probadas regularmente
- Capacitar al personal. El error humano sigue siendo una puerta de entrada
Estas medidas no eliminan el riesgo, pero reducen significativamente la superficie de ataque.
El cambio de paradigma ya está en marcha
El caso de The Gentlemen confirma una transformación en el ransomware. Los ataques dejan de ser ruido masivo y pasan a ser operaciones quirúrgicas. El atacante ya no golpea a miles esperando resultados. Ahora selecciona, estudia y ejecuta con precisión.
Martina Lopez lo resume con claridad:
“En un escenario donde los ataques ya no son masivos sino personalizados, la pregunta deja de ser si una organización puede ser objetivo, y pasa a ser cuándo”.
La ciberseguridad entra así en una nueva etapa. Una donde la anticipación y la visibilidad interna marcan la diferencia. Porque cuando el ataque finalmente ocurre, muchas veces ya es tarde.
