El grupo de ransomware The Gentlemen reivindica un ataque contra Deloitte
The Gentlemen, una operación de ransomware como servicio surgida en 2025, ha incluido a la consultora Deloitte entre sus víctimas el 9 de octubre de 2026. La reivindicación no está verificada, pero llega sobre una compañía que ya ha afrontado en prensa las consecuencias de un incidente anterior con acuerdos millonarios.
Qué ha pasado
El 9 de octubre de 2026, el grupo de ransomware The Gentlemen publicó una entrada en la que reivindica un ataque contra Deloitte, firma de servicios profesionales con sede en Estados Unidos. Como es habitual en este tipo de operaciones, el grupo afirma haber sustraído información corporativa y utiliza esa supuesta posesión de datos como palanca de presión.
Conviene subrayar que una reivindicación en un portal de extorsión no es un hecho probado. Según el propio grupo existiría un robo de datos, pero Orbitaley no ha verificado de forma independiente el alcance, la naturaleza de la información ni qué sistemas o filiales estarían implicados.
Lo que sí consta en prensa
La compañía ya ha sido objeto de cobertura periodística por incidentes anteriores. En diciembre de 2024, SecurityWeek informó de que Deloitte respondió públicamente a la reivindicación de un grupo de ransomware que aseguraba haber robado datos.
Por otra parte, varios medios han documentado las consecuencias económicas del ataque de ransomware de 2024 contra el sistema de prestaciones RIBridges, del estado de Rhode Island: Cybersecurity Dive informó en febrero de 2025 de un pago de 5 millones de dólares; Rhode Island Current y WJAR recogieron en abril de 2026 un acuerdo de 7 millones; e Insurance Journal cifró en mayo de 2026 en 12 millones el acuerdo total alcanzado con el estado. Estos hechos son anteriores e independientes de la reivindicación de octubre de 2026 y no la confirman.
Quién es The Gentlemen
The Gentlemen es una operación de ransomware como servicio de habla rusa, activa desde mediados de 2025 (Sophos sigue a sus operadores como GOLD SHERWOOD), que ofrece a sus afiliados el 90 % del rescate. Practica la doble extorsión: robo de datos y cifrado de sistemas Windows, Linux y ESXi, a menudo en unos dos días desde la intrusión.
Según las reivindicaciones registradas por Orbitaley, acumula más de 1.000 víctimas, 410 de ellas en los últimos 90 días, sobre todo en Estados Unidos, Francia, India e Italia y en fabricación, tecnología y comercio minorista. Pese a la filtración de su base de datos interna y sus chats en mayo de 2026 y a la escisión de un afiliado en octubre, sigue plenamente activo.
Qué pueden hacer las organizaciones
El punto de entrada típico de sus afiliados es el perímetro de red y las credenciales sin segundo factor. Estas medidas reducen el riesgo de forma directa:
- Parchear dispositivos expuestos: cortafuegos Fortinet FortiGate (CVE-2024-55591), equipos Cisco afectados por Erlang/OTP SSH (CVE-2025-32433), NTLM (CVE-2025-33073), GLPI (CVE-2025-24799), Zerologon (CVE-2020-1472) y MS17-010.
- Exigir MFA en VPN, OWA y Microsoft 365, y bloquear interfaces de gestión expuestas a internet frente a fuerza bruta.
- Vigilar herramientas de exfiltración como Rclone, Restic, FileZilla, MEGAsync o MinIO Client, y túneles tipo cloudflared, Chisel o Ligolo-ng.
- Detectar la carga de controladores vulnerables (BYOVD), técnica usada por su desactivador de EDR, y restringir AnyDesk, PsExec o Velociraptor a usos autorizados.
- Reforzar el Directorio Activo, aislar y endurecer los hosts ESXi y mantener copias de seguridad desconectadas y probadas.
Fuentes
- Insurance Journal: RI Settles With Deloitte for $12M Over 2024 Ransomware Attack on Benefits System
- WJAR: Rhode Island finalizes multimillion-dollar settlement with Deloitte after data breach
- Cybersecurity Dive: Deloitte pays $5M in connection with breach of Rhode Island benefits site
- SecurityWeek: Deloitte Responds After Ransomware Group Claims Data Theft
Sobre el grupo: The Gentlemen
Las reivindicaciones las publican los propios grupos criminales y no están verificadas hasta que la organización o la prensa las confirman. Los nombres de personas físicas (autónomos, profesionales individuales) se anonimizan conforme al RGPD. Nunca enlazamos a sitios de filtración ni a datos robados. Para solicitar la retirada o anonimización de una entrada, contacte con el administrador del sitio.