Qilin

Ficha

Qilin es una operación de ransomware como servicio (RaaS) que opera mediante afiliados y que en 2026 se situó como el segundo grupo con más incidentes observados por Cisco Talos, solo por detrás de The Gentlemen. Según Talos, el grupo está incorporando inteligencia artificial para aumentar la eficiencia de sus operaciones. Microsoft Threat Intelligence sigue desde abril de 2025 a un afiliado identificado como Storm-2570 que trabaja con varios ecosistemas RaaS, entre ellos Qilin, con un modo de operar muy uniforme basado en herramientas de acceso remoto legítimas y en la exfiltración de datos hacia servicios en la nube. Las víctimas asociadas a ese afiliado abarcan sanidad, educación, administración pública, finanzas, energía y servicios públicos, comercio minorista, tecnología, agroalimentario, organizaciones sin ánimo de lucro, farmacéutico y químico, y construcción, en Estados Unidos, Canadá, Reino Unido, España, Países Bajos y Puerto Rico. Su rasgo distintivo es el modelo de afiliados compartidos: un mismo operador puede desplegar Qilin u otras familias de ransomware manteniendo las mismas tácticas y herramientas.

Activo desde: 2022-10

Herramientas

Atera, MeshAgent, ScreenConnect, Splashtop, Remotely

Qué vigilar

• Vigilar la instalación o ejecución no autorizada de herramientas de acceso remoto (Atera, MeshAgent, ScreenConnect, Splashtop, Remotely) y mantener una lista blanca de las soluciones RMM realmente aprobadas en la organización.
• Supervisar las transferencias masivas de datos hacia servicios de almacenamiento en la nube, una técnica recurrente del afiliado seguido por Microsoft antes del cifrado.
• Dado que un mismo afiliado opera con varias familias de ransomware, conviene detectar por comportamiento y herramientas (TTP) y no solo por indicadores asociados a la marca Qilin.
• El volumen de incidentes de Qilin en 2026 y el uso de IA para agilizar sus operaciones aconsejan reforzar la detección temprana y los tiempos de respuesta, además de verificar copias de seguridad aisladas y restaurables.
• Los sectores afectados son muy diversos (sanidad, educación, sector público, finanzas, energía, industria), por lo que ninguna vertical debería considerarse fuera del alcance del grupo.

Mitigaciones prioritarias

Mitigaciones de MITRE ATT&CK que cubren más técnicas de las que usa este grupo.

1. Gestión de cuentas de usuario (11 técnicas cubiertas)
2. Gestión de cuentas privilegiadas (10 técnicas cubiertas)
3. Prevención de ejecución (10 técnicas cubiertas)
4. Prevención de comportamientos en el endpoint (7 técnicas cubiertas)
5. Configuración del sistema operativo (6 técnicas cubiertas)
6. Auditoría (6 técnicas cubiertas)
7. Formación de usuarios (5 técnicas cubiertas)
8. Restringir permisos de ficheros y carpetas (5 técnicas cubiertas)

Técnicas MITRE ATT&CK

Víctimas recientes

Fuentes analizadas

• Beyond the ransomware: Tracking Storm-2570’s consistent tradecraft across deployments (Microsoft Threat Intelligence, 24/9/2026)
• Ransomware incidents in Japan in the first half of 2026: Investigation of The Gentlemen’s infrastructure and evidence of Qilin's AI use (Cisco Talos, 17/9/2026)