El panorama del ransomware sigue evolucionando con nuevos actores de amenazas que adoptan tácticas poco convencionales. Coinbase Cartel surgió en septiembre de 2025, logrando rápidamente 14 víctimas en su primer mes de operación. A diferencia de los grupos tradicionales de ransomware, este actor de amenazas se centra exclusivamente en la exfiltración de datos sin cifrar sistemas, lo que representa un cambio en las estrategias de los ciberdelincuentes. 

El panorama del ransomware sigue evolucionando con nuevos actores de amenazas que adoptan tácticas poco convencionales.

El Cartel de Coinbase surgió en septiembre de 2025, reclamando rápidamente 14 víctimas en su primer mes de operación. A diferencia de los grupos tradicionales de ransomware, este actor de amenazas se centra exclusivamente en la exfiltración de datos sin cifrar sistemas, lo que representa un cambio en las estrategias de los ciberdelincuentes.

Este enfoque hace que los ataques sean más silenciosos y rápidos de ejecutar, manteniendo al mismo tiempo influencia para exigir rescates. Las víctimas se enfrentan a un ultimátum simple: pagar para recuperar los datos robados o verlos publicados públicamente.

El grupo ataca a organizaciones de múltiples sectores, con ingresos que van desde millones hasta cientos de miles de millones de dólares.

Los analistas de Bitdefender identificaron al Cartel de Coinbase como uno de los 10 principales grupos de ransomware en septiembre y diciembre de 2025, con más de 60 víctimas reclamadas durante sus primeros meses.

Los sectores de salud, tecnología y transporte representan más de la mitad de los objetivos del grupo, con organizaciones sanitarias en los Emiratos Árabes Unidos (EAU) sufriendo impactos particularmente graves.

El enfoque del grupo en las instalaciones sanitarias de los EAU plantea preguntas sobre sus motivaciones subyacentes. Aunque el beneficio económico parece ser el objetivo principal, la concentración de ataques a 10 organizaciones sanitarias en un solo mes sugiere posibles consideraciones geopolíticas, posiblemente destinadas a desestabilizar la economía de los EAU.

Mecanismos de infección y extorsión

El Cartel de Coinbase emplea varios métodos para obtener acceso inicial a los sistemas objetivo. El ingeniería social sigue siendo un vector principal, junto con el apoyo de brokers de acceso inicial que proporcionan credenciales ya comprometidas. El grupo también adquiere credenciales expuestas a través de diversos canales clandestinos.

Una vez dentro de una red, los atacantes utilizan cuentas administrativas para manipular configuraciones del sistema y alterar archivos de registro, reduciendo las posibilidades de detección.

Los datos de interés se exfiltran de manera sistemática antes de que el grupo publique los nombres de las víctimas en su sitio de filtración de datos. Las víctimas reciben 48 horas para responder a través de una interfaz de chat designada, seguido de 10 días para realizar pagos en Bitcoin o negociar los términos del rescate.

La página de subastas del Cartel de Coinbase muestra la infraestructura del grupo para monetizar los datos robados a través de múltiples canales.

El grupo opera de manera independiente sin utilizar el modelo de Ransomware como Servicio (RaaS), sino que recluta directamente a ciberdelincuentes. El otoño pasado, solicitaron exploits de día cero con un presupuesto superior a 2 millones de dólares, lo que demuestra recursos financieros sustanciales y ambiciones.

Las organizaciones deberían implementar autenticación multifactor (MFA) en todas las cuentas, especialmente en las administrativas. La gestión regular de parches previene vulnerabilidades que los atacantes explotan para obtener acceso inicial.

Dado que el Cartel de Coinbase no cifra los datos, mantener copias de seguridad seguras protege contra la manipulación de información. Crear inventarios de datos críticos ayuda a identificar la información sensible que requiere mayor protección.

Las soluciones de inteligencia de amenazas proporcionan conciencia sobre tácticas en evolución, mientras que los servicios de detección y respuesta gestionada (MDR) ofrecen capacidades rápidas de detección y respuesta ante incidentes.