El ransomware Qilin ha pasado de ser una operación criminal rápida a convertirse en una de las amenazas más visibles en el panorama global de la extorsión. El grupo se especializa en cifrar sistemas y robar datos para presionar a sus víctimas con la amenaza de filtrar la información públicamente, habiendo afectado a organizaciones de diversos sectores y países, causándoles graves daños operativos y reputacionales. Hasta la fecha, han reclamado un récord de 1.358 víctimas.

El ransomware Qilin ha pasado de ser una operación criminal rápida a convertirse en una de las amenazas más visibles en el panorama global de la extorsión.

El grupo cifra sistemas y roba datos, y luego presiona a las víctimas con el riesgo de filtraciones públicas. Sus campañas han perturbado a organizaciones de diversos sectores y países, causando daños tanto operativos como reputacionales.

Los grupos de ransomware dependen cada vez más de credenciales expuestas, software sin parches y conexiones de terceros de confianza para llegar a sus víctimas.

Qilin también ha demostrado la capacidad de moverse rápidamente a través de entornos comprometidos, incluyendo técnicas descritas en la cobertura sobre el abuso del historial de RDP de Qilin, lo que puede ayudar a los atacantes a identificar sistemas y cuentas dentro de una red.

Black Kite afirmó en un informe que Qilin se adjudicó 1.358 víctimas durante el período rastreado, un aumento del 443 por ciento respecto al año anterior.

Los analistas de Black Kite señalaron que el grupo operó en más de 50 países y representó aproximadamente una de cada cinco o seis víctimas de ransomware reveladas.

El panorama general del ransomware también está empeorando. Black Kite registró 7.551 víctimas reveladas públicamente entre abril de 2025 y marzo de 2026, un aumento del 24,9 por ciento interanual, mientras que solo en marzo se alcanzó la cifra de 861 víctimas, el total mensual más alto observado por los investigadores.

El ransomware Qilin se adjudica 1.358 víctimas

Las 1.358 víctimas reclamadas por Qilin lo sitúan en el centro de un mercado de ransomware saturado y cada vez más agresivo.

El ascenso del grupo ocurrió mientras el número de operaciones activas de ransomware se expandía a 146 para junio de 2026, lo que demuestra que los grupos criminales siguen entrando en el mercado incluso mientras las marcas más antiguas desaparecen.

El informe encontró que los cinco grupos de ransomware principales controlaban el 43,6 por ciento de las víctimas reveladas, pero ningún actor individual dominó el año de la manera en que lo hicieron los grupos líderes anteriormente.

Qilin destacó por la escala de su actividad, mientras que otros grupos se centraron en la explotación masiva, credenciales expuestas o regiones específicas.

La fabricación siguió siendo la industria más atacada, registrando 1.660 víctimas reveladas, seguida por los servicios profesionales, científicos y técnicos con 1.389.

Las organizaciones con ingresos entre 50 y 100 millones de dólares también pasaron a representar una parte mayor de las víctimas conocidas, lo que sugiere que las empresas medianas enfrentan una presión creciente junto con las grandes corporaciones.

El crecimiento de Qilin también refleja un cambio más amplio en el comportamiento de los atacantes. Informes recientes sobre el despliegue de fallos en PAN-OS muestran cómo los actores de amenazas pueden explotar debilidades de autenticación en sistemas orientados a Internet para establecer acceso y desplegar ransomware, haciendo que la aplicación rápida de parches sea esencial para la infraestructura expuesta.

La recuperación no elimina el riesgo

Los escaneos posteriores al incidente de Black Kite revelaron que muchas organizaciones seguían expuestas después de que sus casos de ransomware se hubieran cerrado.

Cerca del 43,5 por ciento de las víctimas aún tenían una vulnerabilidad crítica sin parchear, mientras que el 30,8 por ciento seguía presentando una vulnerabilidad explotada conocida que los atacantes podrían utilizar.

Estos hallazgos refuerzan la necesidad de tratar la recuperación como algo más que simplemente restaurar archivos cifrados.

Tú y tu organización deberían realizar revisiones externas estructuradas a los 30, 60 y 90 días después de un incidente, prestando atención a las credenciales robadas, las vulnerabilidades críticas y los sistemas enumerados en el catálogo de Vulnerabilidades Explotadas Conocidas.

Las aplicaciones de terceros también requieren una revisión más cercana. El informe destacó el abuso de tokens OAuth y el software conectado como una ruta de ataque importante, mientras que el incidente del robo de tokens de Salesloft Drift demostró cómo el acceso comprometido a una aplicación puede exponer datos alojados en entornos conectados.

Tus equipos de seguridad deberían priorizar los parches basándose en la explotación activa y la gravedad, en lugar de seguir calendarios de mantenimiento rutinarios.

También deberían hacer un inventario de las aplicaciones conectadas, revisar los permisos de OAuth, rotar las credenciales después de una actividad sospechosa y aplicar la autenticación multifactor en las cuentas internas y de proveedores.

Estas medidas ayudan a reducir las brechas que los operadores de ransomware explotan repetidamente.