ESET advierte sobre un nuevo modelo de robo información, silencioso y mucho más peligroso, que tiene a Latinoamérica dentro de sus objetivos. Se caracteriza por sus campañas dirigidas y adaptativas.
El ransomware The Gentlemen atacó a más de 250 víctimas de 17 países, entre los destacados se encuentran México, Colombia, Chile y Argentina, y representa una nueva era de ataques personalizados y ultra-adaptativos. A diferencia de otros grupos, este Ransomware as a Service (Raas) estudia las defensas específicas de su víctima y adapta sus herramientas durante la campaña para superar los controles existentes. ESET analiza el nuevo escenario de los grupos que secuestran información y advierte cómo esta organización disciplinada, detallista y altamente metódica derrumbó los esquemas tradicionales para ser una de las amenazas más activas desde julio de 2025.
“Es un grupo emergente de ransomware as a Service que irrumpió en la escena cibercriminal a mediados de 2025. A diferencia de otros grupos con estéticas más descuidadas o rústicas, The Gentlemen destaca por una identidad de marca pulida. Al punto que posee un sitio de filtraciones en la dark web con un logotipo profesional y un lema que refuerza su imagen de organización disciplinada y muy orientada al detalle. Este profesionalismo no es solo estético, sino que se refleja en la precisión de sus ataques y en la calidad técnica de sus herramientas.”, menciona Martina Lopez, investigadora de seguridad informática de ESET Latinoamérica.
Su modelo operativo se basa en la doble extorsión, táctica donde no solo se cifran los archivos de la víctima para bloquear el acceso, sino que también se exfiltran datos confidenciales antes del cifrado. Una vez que poseen la información, amenazan con publicarla en su sitio de filtraciones si no se paga el rescate. Esta estrategia ejerce una presión masiva sobre las empresas, especialmente aquellas que no pueden permitirse una brecha de datos pública.
Imagen 1. Sitio del ransomware The Gentlemen en la dark web. Fuente: @DailyDarkWeb.
Un ataque de ransomware a cargo de The Gentlemen suele comenzar aprovechando accesos expuestos en internet (sistemas con administración abierta) o utilizando credenciales previamente robadas. Una vez dentro, despliegan herramientas para explorar la red interna, entender cómo está organizada la empresa e identificar usuarios con permisos elevados, especialmente aquellos con acceso total a los sistemas.
Para moverse dentro de la red y escalar el ataque, utilizan herramientas que les permiten ejecutar acciones en múltiples equipos de forma remota y modificar configuraciones clave. De esta manera, logran distribuir el ransomware de forma simultánea en todos los dispositivos conectados, debilitando además los mecanismos de seguridad para facilitar el acceso y control remoto.
En la etapa final, combinan dos acciones críticas: por un lado, roban información sensible y la envían a servidores externos de forma cifrada; por otro, bloquean los sistemas mediante cifrado. Una vez completado el ataque, ejecutan procesos diseñados para borrar sus huellas: eliminan registros de actividad, conexiones remotas y cualquier evidencia que permita reconstruir lo ocurrido, dificultando así la investigación posterior.
Su primera víctima documentada se registró el 30 de junio de 2025 y desde entonces, su actividad no ha cesado. Afectó a sectores críticos como la manufactura, la construcción, la salud, los seguros y los servicios financieros.
Imagen 2. Detalle de las víctimas del The Gentlemen. Fuente: ransomware.live.
A nivel geográfico, su impacto es global, pero los países más afectados incluyen a Estados Unidos y Tailandia, seguidos por India, México, Colombia, España y Francia. Esta distribución sugiere que el grupo aprovecha oportunidades de acceso donde se presentan, sin una agenda geopolítica evidente.
Situación en Colombia
En Colombia, Los datos evidencian una tendencia sostenida en el crecimiento de este tipo de amenazas. Entre 2023 y 2025, el número de ataques aumentó de manera constante, alcanzando su punto máximo en 2025, el año con mayor cantidad de incidentes registrados.
Imagen 3. Victimas por mes en Colombia
“Lo que muestran los datos es que el ransomware en Colombia no es un fenómeno aislado, sino una tendencia sostenida en el tiempo. Este sostenimiento En 2025 y lo que va del 2026 se debe principalmente bajo el modelo de negocio con que operan los grupos de ransomware: Ransomaware-as-a-Service (RaaS). Destacando principalmente grupos como Gentlemen, Crysis, Magniber y Phobos”, explica David Gonzalez, Especialista en Seguridad Informática de ESET Latinoamérica.
Imagen 4. Víctimas acumuladas por mes en Colombia
En cuanto a 2026, si bien los primeros tres meses muestran una leve disminución respecto al año anterior, el promedio mensual se encuentra entre poco más de 7 mil detecciones únicas por mes, lo que deja en poco más de 200 detecciones únicas por día.
“Esta aparente baja no implica una mejora significativa. Por el contrario, estamos viendo una estabilización en niveles que siguen siendo elevados, lo que marca una nueva normalidad en el panorama de amenazas”, agregan desde la compañía.
Imagen 5. Top 10 de sectores afectados en Colombia
A mitad de marzo de 2026, The Gentlemen publicó en su sitio web el ataque a dos organizaciones de Colombia en las áreas de atención médica y medios de comunicación. Durante febrero, en Argentina atacó a un instituto de investigación científica gubernamental y, en marzo, reclamó el ataque a un organismo de Chile. Por otro lado, según el sitio ransomware.live también contabilizó víctimas en Brasil, Perú, Ecuador, Venezuela, Guatemala, República Dominicana, Costa Rica y Panamá.
Imagen 6. The Gentlemen informa en su sitio web del ataque a canal de televisión.
Desde ESET acercan un listado de recomendaciones para protegerse del ransomware The Gentlemen:
• Reducir la exposición en internet: revisar qué sistemas están accesibles desde afuera y cerrar cualquier acceso innecesario, especialmente paneles de administración o accesos remotos.
• Proteger las credenciales: utilizar contraseñas únicas y robustas, activando el doble factor de autenticación y monitoreando cualquier inicio de sesión sospechoso.
• Mantener todo actualizado: aplicar parches de seguridad en sistemas operativos, servidores y aplicaciones. Muchas de sus intrusiones explotan fallas ya conocidas.
• Detectar comportamientos anómalos: implementar soluciones que permitan identificar actividad inusual dentro de la red, como accesos fuera de horario o ejecuciones remotas inesperadas.
• Limitar privilegios: no todos los usuarios necesitan acceso total. Reducir permisos minimiza el impacto si una cuenta es comprometida.
• Segmentar la red: separar sistemas críticos evita que un atacante se mueva libremente y comprometa toda la infraestructura.
• Realizar backups: efectuar copias de seguridad periódicas, y almacenarlas de forma aislada, verificando que puedan restaurarse correctamente.
• Capacitar al equipo: el error humano sigue siendo una de las principales puertas de entrada. La concientización es clave.
“En un escenario donde los ataques ya no son masivos sino personalizados, la pregunta deja de ser si una organización puede ser objetivo, y pasa a ser cuándo. Entender cómo operan grupos como The Gentlemen es el primer paso para anticiparse a una amenaza que ya no avisa.”, concluye Lopez de ESET.