El 15 de septiembre de 2025, el grupo de ransomware DragonForce anunció la formación de una alianza entre DragonForce, Qilin y LockBit a través de una publicación en un foro subterráneo ruso. Esta coalición representa una respuesta estratégica a la creciente presión de las operaciones de las fuerzas del orden internacionales que han interrumpido con éxito varias operaciones primarias de ransomware en los últimos años. El anuncio de la alianza se produce en un momento en que el panorama del ransomware se ha vuelto cada vez más peligroso para los operadores criminales. 

 Las operaciones de las fuerzas del orden no solo han desmantelado la infraestructura de los grupos, sino que también han identificado a los administradores colectivos y han emitido órdenes de arresto internacionales. 

 Esto ha creado un ecosistema de ransomware más fragmentado y menos cohesionado, lo que dificulta a los grupos el reclutamiento tanto de operadores nuevos como experimentados. La publicación indicaba específicamente que la coalición se formó para abordar los desafíos que plantea el ecosistema criminal del ransomware. Datos recientes indican que las reclamaciones de ransomware aumentaron un 61% año tras año, de enero a noviembre de 2025, en comparación con el mismo período de 2024. 

 Sin embargo, este crecimiento enmascara una crisis más profunda dentro del ransomware. Los principales grupos de ransomware ahora representan una proporción menor del total de ataques, que ha disminuido del 54,8% en 2024 al 53,1% en 2025. Este cambio indica que las operaciones criminales se están extendiendo a más grupos en lugar de consolidarse bajo actores dominantes.

 Los analistas de Yarix identificaron esta tendencia mientras monitoreaban las reclamaciones de ransomware a lo largo de 2025 para evaluar el riesgo potencial y la credibilidad del anuncio de la alianza. La investigación también reveló que las organizaciones víctimas se niegan cada vez más a pagar rescates. El rescate medio pagado disminuyó un 65% en el tercer trimestre de 2025 en comparación con el trimestre anterior, situándose en aproximadamente 140.000 dólares. Solo el 23% de las víctimas optaron por pagar rescates durante este período, una disminución significativa que refleja una mejor preparación organizativa y estrategias de copia de seguridad. Esta drástica reducción de los pagos ha obligado a los grupos de ransomware a reconsiderar sus modelos operativos y a buscar nuevos enfoques para mantener la rentabilidad. 

  Cambios en las Operaciones de Ataque y la Actividad del Grupo El análisis de la actividad del sitio de filtración de datos muestra patrones distintos entre los tres grupos aliados. Qilin surgió como el grupo de ransomware más activo en 2025, representando el 13,07% de todas las reclamaciones entre enero y noviembre. El grupo mostró un crecimiento constante a lo largo del año, con un pico de actividad en octubre de 2025, representando el 3,25% de las reclamaciones mensuales. Este aumento se produjo solo semanas después del anuncio de la alianza, lo que sugiere que la coalición puede haber ayudado a atraer a nuevos operadores o a crear un efecto de marketing que impulsó el reclutamiento. DragonForce demostró un crecimiento constante pero gradual, subiendo del noveno al octavo puesto entre agosto y octubre de 2025. 

 El grupo mantuvo la continuidad operativa a lo largo del año, con reclamaciones que oscilaron entre el 0,08% y el 0,45% mensual. Mientras tanto, LockBit mostró una trayectoria completamente diferente. A pesar de ser históricamente uno de los colectivos de ransomware más prolíficos, LockBit no publicó ninguna reclamación de junio a noviembre de 2025. Esta prolongada inactividad sugiere que el grupo no se ha recuperado de la Operación Cronos, la importante operación de las fuerzas del orden que interrumpió su infraestructura en febrero de 2024. La sincronización de estas tendencias plantea interrogantes sobre si la alianza representa una verdadera integración operativa o simplemente una estrategia de marca. 

 Los investigadores de Yarix señalaron que la inclusión de LockBit puede servir principalmente para preservar su reputación en lugar de contribuir con capacidades activas. La falta de señales operativas concretas de LockBit, combinada con el crecimiento autónomo de Qilin y DragonForce, indica que la coalición podría ser más simbólica que funcional. Sin embargo, el aumento de la actividad de Qilin tras el anuncio demuestra que incluso las alianzas simbólicas pueden tener efectos reales atrayendo a operadores criminales que buscan grupos activos y visibles para unirse a ellos. 

Fuentes:
https://cybersecuritynews.com/new-research-uncovers-the-alliance-between-qilin/