El grupo Redact reivindica un ataque contra la empresa sanitaria estadounidense DexCom
El grupo de extorsión Redact, vinculado al actor que Google Threat Intelligence rastrea como UNC6671, ha publicado el 10 de octubre de 2026 una reivindicación contra la compañía sanitaria estadounidense DexCom. El caso es relevante porque este actor no usa ransomware: entra por llamadas telefónicas que suplantan al soporte informático.
Qué ha pasado
El 10 de octubre de 2026, el grupo de extorsión conocido como Redact incluyó a DexCom, compañía estadounidense del sector sanitario, entre sus víctimas reivindicadas. Se trata, por el momento, de una afirmación del propio grupo: una reivindicación no equivale a un incidente verificado ni confirma por sí sola el alcance de los datos supuestamente obtenidos.
La prensa especializada ya había recogido una mención pública al caso. El 2 de octubre de 2026, el medio Cybernews publicó que un nuevo sitio de extorsión atribuido a la marca ShinyHunters listaba supuestas brechas en O'Reilly y Dexcom. Esa cobertura confirma la existencia de la reclamación pública, no los hechos técnicos alegados por los atacantes.
Orbitaley no reproduce ni enlaza ningún material presuntamente filtrado.
Quién es el grupo
Redact es una de las marcas de extorsión del actor que Google Threat Intelligence rastrea como UNC6671, activo desde enero de 2026 y conocido antes como BlackFile. Tras el supuesto cierre de BlackFile en mayo de 2026, el grupo presentó Redact el 27 de junio alegando que la marca anterior había quedado comprometida por un afiliado. Google considera que se trata del mismo actor, que además opera las marcas Pink, Helix y Falcon con infraestructura compartida.
El grupo no cifra sistemas. Llama por teléfono a empleados, a menudo a su móvil personal, haciéndose pasar por soporte informático con pretextos como el registro urgente de claves de acceso (passkeys) o migraciones de seguridad, y los dirige a portales de inicio de sesión falsos con técnica de intermediario (AiTM) que capturan credenciales y tokens de MFA. Después extrae datos de Microsoft 365, Okta o Google Workspace con scripts en Python y PowerShell, borra alertas de seguridad y exige rescates de entre uno y tres millones de dólares. Sus víctimas publicadas están en Estados Unidos y en 2026 se centra en servicios financieros y despachos jurídicos.
Qué pueden hacer las organizaciones
Las medidas más eficaces frente a este actor son organizativas y de identidad, no antivirus.
- Formar al personal y al servicio de asistencia: ningún soporte legítimo pide por teléfono registrar passkeys, aprobar MFA ni introducir credenciales en un enlace enviado al móvil personal.
- Establecer un procedimiento verificado de restablecimiento de contraseñas y de MFA, con doble comprobación de identidad y canal de devolución de llamada conocido.
- Adoptar MFA resistente al phishing (FIDO2/passkeys vinculadas al dominio), que neutraliza los portales falsos AiTM.
- Vigilar inicios de sesión desde proxies residenciales y VPN comerciales, y aplicar acceso condicional por dispositivo gestionado.
- Alertar sobre descargas masivas vía API o SDK en Microsoft 365, SharePoint, Okta y Google Workspace, y sobre borrado o alteración de registros de seguridad.
- Inventariar aplicaciones sin SSO, donde el atacante suele forzar restablecimientos de contraseña desde cuentas ya comprometidas.
Fuentes
Sobre el grupo: Redact
Reciba los avisos
Vulnerabilidades relevantes, víctimas notorias de ransomware, grupos nuevos y el boletín semanal, en cuanto se publican.
Las reivindicaciones las publican los propios grupos criminales y no están verificadas hasta que la organización o la prensa las confirman. Los nombres de personas físicas (autónomos, profesionales individuales) se anonimizan conforme al RGPD. Nunca enlazamos a sitios de filtración ni a datos robados. Para solicitar la retirada o anonimización de una entrada, contacte con el administrador del sitio.