Una entidad gubernamental de EE. UU. pagó aproximadamente 1 millón de dólares para evitar que se filtraran archivos robados, según un nuevo estudio de caso de Rakesh Krishnan para Ransom-ISAC, basado en un chat de negociación filtrado y el rastro de blockchain que dejó el pago.

La parte extraña: el grupo que tomó el dinero se hace llamar Kairos, pero es posible que no sea una banda de ransomware en absoluto. Krishnan no encontró indicios de que hubieran bloqueado una sola máquina: ni cifrador, ni bloqueador, ni demanda de clave de descifrado. La amenaza era más simple: robar los archivos y luego cobrarle a la víctima para no publicarlos.

Krishnan no nombra a la víctima, pero el chat apunta al condado de Union, Ohio. Los archivos de prueba de robo llevan nombres como Union.xlsx, 1 union co psi template.doc y un archivo final llamado union.rar. La víctima se describe como un condado pequeño con recursos limitados. El atacante se apoya en una carpeta en particular, marcada como "oficina del fiscal", advirtiendo que filtrarla ayudaría a los criminales a evadir cargos.

Las pistas encajan con un caso real. En mayo de 2025, el condado de Union, Ohio, dijo haber detectado ransomware en su red y más tarde notificó a 45.487 residentes y personal que sus datos habían sido robados, afectando a la mayoría del condado, que cuenta con unos 70.000 habitantes. Los registros robados iban desde la Seguridad Social y detalles financieros hasta huellas dactilares y números de pasaporte.

Ni el condado ni Kairos han confirmado la conexión. Pero si se mantiene, un gobierno del condado pagó un rescate de siete cifras que nunca ha revelado públicamente. The Hacker News se ha puesto en contacto con la Oficina de Comisionados del Condesdo de Union para obtener comentarios. Esta historia se actualizará con cualquier respuesta.

La negociación duró aproximadamente un mes. Kairos abrió la oferta en 3 millones de dólares y afirmó que poseía más de 2 terabytes de datos, unos 1,6 millones de archivos. El condado comenzó en 100.000 dólares, subió a 255.000 y luego a 430.000. Kairos bajó a 2 millones y luego fijó un número final innegociable: 1 millón de dólares, pagar antes del viernes o los archivos se hacen públicos.


El pago en la cadena: aproximadamente 9,44 BTC aterrizan en la billetera vinculada a Kairos.

Utilizó las palancas habituales: un temporizador de cuenta regresiva, plazos estrictos y amenazas de publicar primero las carpetas más sensibles. El condado pagó el 13 de junio de 2025, diez veces su primera oferta.

El pago fue de aproximadamente 9,44 bitcoins, valorados en unos 1 millón de dólares en aquel momento. Krishnan rastreó el dinero desde allí. En pocas horas, se dividió en dos y se envió a través de una cadena de billeteras hacia direcciones de depósito vinculadas a los exchanges de criptomonedas Bybit, OKX y un servicio ruso llamado BELQI.

Ese tipo de rastreo da pistas a los investigadores, no nombres. Y el dinero no compró nada sólido. Kairos envió un archivo de "prueba de eliminación", pero una lista de nombres de archivos solo demuestra que el atacante tuvo los archivos en algún momento, no que los originales fueran borrados. Pagar para que desaparezcan datos robados es un acto de fe, y el recibo lo escribe el ladrón.


El condado de Union llamó ransomware a lo que le sucedió, la palabra que todo el mundo usa, pero en el caso de Kairos, nada fue bloqueado. Ese es el cambio real: gran parte de lo que todavía se llama ransomware ahora omite el cifrado y utiliza los propios datos robados como punto de presión.

Sophos informó en 2025 que solo alrededor de la mitad de los ataques de ransomware todavía implican algún tipo de cifrado, la tasa más baja en seis años. Algunos grupos lo han abandonado por completo. Silent Ransom Group, una rama de Conti, ha pasado años ejecutando extorsiones puras de robo de datos contra firmas legales y financieras de EE. UU. sin usar ningún cifrador.

El chat de Kairos también encaja en un patrón de negociación familiar. Cuando se filtraron los chats internos de Black Basta en febrero de 2025, un análisis de los mensajes reveló un acuerdo que fue desde una demanda de 1,5 millones de dólares, pasando por una contraoferta de 100.000 dólares, hasta un pago de 1 millón; casi la misma trayectoria. Esos chats, y las filtraciones de Conti antes que ellos en 2022, es como los investigadores reconstruyen ahora la forma en que realmente se cierran estos tratos.

El propio Kairos ha guardado silencio. El sitio de filtraciones está caído y su última víctima conocida apareció en junio de 2026. Pero una billetera vinculada a la operación seguía moviendo dinero hasta mayo de 2026, un recordatorio de que un sitio de filtraciones oscuro no es lo mismo que un equipo muerto.

Para cualquiera que gestione una red gubernamental pequeña, las lecciones son tediosas y familiares, que es precisamente el punto. Activa la autenticación de múltiples factores, ya que Kairos afirmó que entró simplemente adivinando una contraseña.

Vigila los intentos fallidos de inicio de sesión repetidos, las transferencias masivas de datos salientes y los enlaces de intercambio de archivos temporales como las direcciones temp.sh que Kairos utilizó para mover los archivos. Mantén los registros legales, de RR.HH. y de ciudadanos aislados del resto de la red. Ten listo un plan de declaración pública antes de que lo necesites. Y trata cualquier promesa de eliminar datos robados como si no valiera absolutamente nada.

Fuente:
THN