El grupo de ransomware Emperador reivindica un ataque contra la multinacional suiza Holcim
El grupo de ransomware Emperador reivindicó el 31 de octubre de 2026 un ataque contra Holcim, grupo industrial con sede en Suiza, y la firma de inteligencia SOCRadar informó del incidente al día siguiente. El caso confirma que este grupo, activo desde agosto, ya apunta a grandes multinacionales.
Qué ha pasado
El 31 de octubre de 2026 el grupo Emperador añadió a Holcim, multinacional del sector industrial con sede en Suiza, a la lista de víctimas de su sitio de filtración. El 1 de noviembre la firma de inteligencia SOCRadar publicó un informe sobre el ataque de ransomware contra la compañía, lo que respalda la reivindicación con una fuente externa.
Los datos disponibles no precisan qué información se habría robado, en qué volumen ni el alcance operativo del incidente, y no incluyen ningún comunicado de la empresa. Conviene, por tanto, esperar a información oficial antes de sacar conclusiones sobre el impacto.
Quién es el grupo
Emperador es un grupo de ransomware de doble extorsión que apareció en agosto de 2026; su primera publicación en el sitio de filtración data del 10 de agosto. Roba datos antes de cifrar los sistemas y amenaza con publicarlos, con plazos de unas dos semanas.
Según las reivindicaciones registradas por Orbitaley, sus víctimas se reparten por muchos países, entre ellos Estados Unidos, Brasil, Colombia, Filipinas, Italia y Albania, y por sectores como la administración pública, el transporte y la logística, la industria, la educación y la alimentación y bebidas. A finales de octubre afirmó haber robado 3,9 GB de datos de una cervecera multinacional, sin confirmación pública de la empresa.
No hay análisis técnicos publicados de su cifrador ni de sus vías de entrada. Los rastreadores de reivindicaciones señalan, no obstante, que buena parte de sus víctimas tenía credenciales expuestas por infostealers (programas que roban información).
Qué pueden hacer las organizaciones
Dado que el principal indicio sobre su acceso inicial apunta a credenciales robadas, las medidas más útiles se centran en la gestión de identidades y en limitar el daño de una posible intrusión.
- Exigir MFA (autenticación multifactor) en VPN, accesos remotos, correo y servicios en la nube.
- Vigilar la aparición de credenciales corporativas en filtraciones de infostealers y cambiar de inmediato las contraseñas afectadas.
- Reforzar la protección de endpoint, incluidos los equipos personales usados para teletrabajo, donde suelen actuar los infostealers.
- Mantener copias de seguridad aisladas de la red y probar su restauración con regularidad.
- Detectar transferencias de datos inusuales hacia el exterior, clave frente a la doble extorsión.
- Tener preparado un plan de respuesta a incidentes que incluya la comunicación con clientes y autoridades.
Fuentes
Sobre el grupo: Emperador
Reciba los avisos
Vulnerabilidades relevantes, víctimas notorias de ransomware, grupos nuevos y el boletín semanal, en cuanto se publican.
Las reivindicaciones las publican los propios grupos criminales y no están verificadas hasta que la organización o la prensa las confirman. Los nombres de personas físicas (autónomos, profesionales individuales) se anonimizan conforme al RGPD. Nunca enlazamos a sitios de filtración ni a datos robados. Para solicitar la retirada o anonimización de una entrada, contacte con el administrador del sitio.