Boletín semanal de amenazas: 5 al 12 de octubre de 2026, América del Norte concentra el alza y surgen tres grupos nuevos

La semana en cifras

Entre el 5 y el 12 de octubre de 2026, los grupos de ransomware y extorsión reivindicaron 239 organizaciones en sus sitios de filtración, frente a las 237 de la semana anterior: un volumen estable en el agregado mundial. Las víctimas se repartieron por 40 países distintos.

Conviene recordar un matiz que vale para todo el boletín: estas cifras reflejan únicamente lo que los propios grupos deciden publicar. Muchas organizaciones negocian y pagan sin aparecer nunca en estos listados, por lo que el número real de incidentes es mayor que el registrado.

Grupos más activos

The Gentlemen volvió a encabezar la clasificación con 43 víctimas reivindicadas (35 la semana anterior), consolidando el crecimiento que viene mostrando a lo largo de 2026. Le siguieron Nightspire con 24 y Qilin con 23 (14 la semana anterior).

Lo más llamativo fue la aparición simultánea de varias operaciones sin actividad registrada la semana previa: Nightspire, N0n (18), Umbra (10) y Byod (8). Safepay (12) e INC Ransom (10) mantuvieron exactamente el mismo ritmo que siete días antes.

Nuestro análisis identifica tres marcas emergentes sin antecedentes documentados en bases públicas de inteligencia: Vypr, con su primera publicación el 27 de septiembre; Byod, estrenada el 5 de octubre; y Umbra, que publicó por primera vez el 6 de octubre. No hay evidencia de que sean cambios de nombre de grupos conocidos.

Regiones y países más afectados

América del Norte concentró 91 reivindicaciones (66 la semana anterior), seguida de Europa con 38 (37), Asia-Pacífico con 20 (27), América Latina y el Caribe con 12 (18), Oriente Medio con 7 (1) y África con 6 (4). El aumento global se explica casi por completo por el salto norteamericano.

Por países, Estados Unidos fue el más afectado con 82 víctimas (62 la semana anterior). A distancia aparecen Canadá y Alemania con 9 cada uno, Francia con 7, y Suiza, Egipto, Australia, India, Brasil, España, Taiwán e Italia en torno a las cuatro reivindicaciones. Egipto pasó de cero a cuatro, en línea con el repunte de Oriente Medio y el norte de África.

Sectores más afectados

Tecnología encabezó la semana con 27 víctimas, por delante de fabricación (24), servicios profesionales (23), construcción (19), educación (17) y sanidad (16). El perfil es coherente con el de los grupos dominantes: Qilin es especialmente activo en servicios profesionales, fabricación y construcción, mientras que The Gentlemen y Nightspire se concentran en industria y tecnología.

La presencia estable de educación y sanidad merece atención: son sectores con infraestructuras heterogéneas, muchos accesos remotos y escasa capacidad de parar operaciones durante una recuperación.

Casos destacados

Varias incidencias fueron recogidas por medios esta semana. El fabricante estadounidense H&L Manufacturing fue atacado por Interlock; la alemana T-Systems recibió un ultimátum de Safepay, según recogió la prensa alemana; los despachos Nelson Mullins Riley & Scarborough y Sheppard, Mullin, Richter & Hampton aparecieron reivindicados por Leakeddata en el contexto de demandas colectivas por filtración de datos; la asesoría B-accountants fue reivindicada por Everest; y Corby Rock Mill sufrió una interrupción de producción atribuida a Qilin, según el medio sectorial que lo publicó.

Entre las organizaciones conocidas, Black X reivindicó un ataque a la farmacéutica alemana Bayer y The Gentlemen uno contra Deloitte, ambos confirmados. Siguen sin verificación las reivindicaciones de The Gentlemen sobre KFC, de Leakeddata sobre Baker McKenzie, de Termite sobre Aon, de Byod sobre T-Mobile y de Redact sobre DexCom: son afirmaciones de los propios grupos, no hechos probados.

Qué hacer esta semana

Las medidas siguientes se derivan directamente del modo de operar de los tres grupos más activos, que comparten una misma puerta de entrada: el perímetro expuesto y las credenciales sin segundo factor.

• Revise y actualice sus dispositivos perimetrales. The Gentlemen, Nightspire y Qilin explotan fallos conocidos en Fortinet FortiOS/FortiGate (incluida CVE-2024-55591), equipos Cisco con Erlang/OTP SSH (CVE-2025-32433), Check Point Security Gateway (CVE-2026-50751) y WatchGuard Firebox (CVE-2025-14733).
• Exija autenticación multifactor resistente en VPN, RDP, correo web y Microsoft 365, y cierre o limite por IP las interfaces de gestión expuestas: la fuerza bruta contra RDP y las credenciales compradas a intermediarios siguen siendo vía de entrada habitual.
• Inventaríe y bloquee el software de acceso remoto no autorizado (AnyDesk, ScreenConnect, Splashtop, Atera, MeshAgent, Chrome Remote Desktop) mediante listas de permitidos; estos grupos abusan de herramientas legítimas para persistir sin levantar sospechas.
• Refuerce el Directorio Activo: gestión estricta de cuentas y de privilegios, parcheo de fallos antiguos aún explotados (Zerologon, MS17-010) y mitigación de retransmisión NTLM (CVE-2025-33073). Vigile el uso de Impacket, PsExec, NetExec o escáneres de red.
• Active la prevención de ejecución y las reglas de comportamiento en el endpoint, con protección contra controladores vulnerables (BYOVD): tanto GentleKiller como las utilidades que emplea Qilin buscan desactivar el EDR antes de cifrar.
• Proteja las copias de seguridad y el entorno de virtualización: copias inmutables y fuera de línea, credenciales separadas para Veeam y ESXi, y alertas ante transferencias masivas con Rclone, Restic, MEGAsync o FileZilla, que anteceden al cifrado en la mayoría de estos ataques.