ScarlettGroup es una nueva banda de ciber-extorsión que ha comenzado a publicar nombres de empresas en un sitio de filtraciones de la dark web. El grupo utiliza temporizadores de cuenta regresiva para presionar públicamente a las organizaciones, amenazando con liberar datos presuntamente robados antes de que las brechas de seguridad sean verificadas de forma independiente. Sus actividades fueron detectadas en los registros de monitoreo de amenazas alrededor de septiembre de 2026.

ScarlettGroup, una banda de ciber-extorsión observada recientemente, está nombrando empresas en un sitio de filtraciones de la dark web y utilizando temporizadores de cuenta regresiva para amenazar con la publicación de datos presuntamente robados.

La operación ejerce presión pública sobre las organizaciones antes de que sus declaraciones de brecha de seguridad hayan sido verificadas de forma independiente. El grupo comenzó a aparecer en los registros de monitoreo de amenazas alrededor de septiembre de 2026 y se volvió más visible durante octubre.

Sus listados abarcan tecnología, educación, gobierno y entretenimiento, pero la evidencia disponible no muestra un enfoque claro en una sola industria ni confirma la escala de su actividad.

Investigadores de Foresiet documentaron la actividad de ScarlettGroup en un informe publicado el 21 de octubre de 2026. La investigación de inteligencia de amenazas de Foresiet describe una operación de extorsión emergente, no una familia de malware confirmada. Los investigadores no han establecido cómo los atacantes obtienen acceso ni si despliegan ransomware que encripte archivos.

Una nueva banda de extorsión está nombrando empresas en la Dark Web

El sitio de filtraciones de Tor de ScarlettGroup muestra presuntas víctimas junto con fechas de publicación, etiquetas de industria, estado de divulgación y temporizadores de cuenta regresiva. Estos detalles convierten una reclamación de brecha no verificada en una fecha límite visible.

El objetivo parece ser empujar a las organizaciones seleccionadas a contactar con ellos antes de que el grupo publique la información que afirma poseer.

El enfoque se asemeja a la presión vista en la presunta brecha de BMW por parte de Everest, donde una cuenta regresiva en el sitio de filtraciones acompañaba las afirmaciones sobre registros internos robados.

Esa comparación se refiere únicamente a la táctica de presión pública; no establece ninguna conexión entre Everest y ScarlettGroup ni prueba las afirmaciones de ninguno de los dos grupos.

ScarlettGroup describe un proceso con tres etapas: listado público, una ventana de negociación y el cierre o la divulgación. Durante las negociaciones, una organización puede comunicarse con los operadores.

El grupo afirma que un acuerdo conduce a la eliminación del listado y al borrado de los datos, mientras que el hecho de no llegar a un acuerdo puede provocar la publicación. Esas promesas siguen siendo afirmaciones hechas por criminales.

Foresiet señala que no hay ninguna garantía independiente de que la información sea borrada después de un acuerdo. Por lo tanto, la eliminación de un listado no debe tratarse como prueba de que ya no existen copias o de que cualquier posible acceso a la red haya terminado.

Lo que los investigadores han observado realmente

Foresiet documentó la actividad de ScarlettGroup en PwnForums, incluyendo anuncios de presuntas brechas y ofertas de datos. Los vínculos reportados que involucran a BreachForums y DarkForums aún requieren verificación.

Las publicaciones en foros pueden difundir alegaciones más allá de un solo sitio de filtraciones, aumentando la atención y, al mismo tiempo, dando a los defensores pistas para realizar más comprobaciones.

La falta de cifrado confirmado es importante. En el ataque separado de PAYLOAD sin cifrado, los atacantes utilizaron políticas de dominio de Windows y datos robados para crear presión.

La actividad conocida de ScarlettGroup es diferente: sus amenazas públicas están documentadas, pero no se han establecido detalles técnicos comparables sobre sus métodos de intrusión.

El informe no identifica una vulnerabilidad explotada, una carga útil de malware ni una ruta verificada hacia las redes de las víctimas. Tampoco proporciona un recuento confirmado de víctimas.

Tratar esos vacíos como evidencia de un método de ataque particular iría más allá de los hallazgos y podría confundir a los equipos de seguridad que investiguen una alerta.

Foresiet recomienda contrastar las afirmaciones criminales con evidencia independiente, preservar el material forense y monitorear descargas y transferencias de datos inusuales.

Una empresa nombrada en el sitio debe investigar un posible acceso no autorizado sin presentar el listado en sí mismo como confirmación de que ocurrió una brecha.

Los controles de acceso siguen siendo fundamentales para la prevención. La cobertura del robo de credenciales en la nube de Pink muestra cómo otra operación de extorsión se dirigió a cuentas y archivos en la nube.

Ese caso es independiente de ScarlettGroup, pero subraya el valor del consejo de Foresiet de fortalecer la autenticación multifactor, limitar los permisos de las cuentas y revisar las credenciales expuestas.

Las organizaciones también deben evaluar los sistemas orientados a internet y mantener listos los procedimientos de respuesta a incidentes. Monitorear los sitios de filtraciones y las discusiones clandestinas puede ayudar a identificar reclamaciones tempranamente, pero la inteligencia útil requiere contexto.

La prioridad es establecer qué sucedió, qué información puede estar afectada y si la actividad no autorizada continúa. Por ahora, la evidencia más clara se refiere al proceso de extorsión pública de la banda, no a sus herramientas.

Esa distinción es importante para los defensores: un temporizador puede forzar decisiones urgentes, pero no puede establecer el origen, la antigüedad o la propiedad de los registros anunciados.

Los investigadores necesitan evidencia de sus propios sistemas antes de juzgar el alcance de la reclamación, vincularla a un incidente de seguridad más amplio y planificar una respuesta. La fecha límite en sí misma no es evidencia forense.

Indicadores de compromiso (IoCs):-

Tipo	Divulgación de la fuente
SHA u otros hashes de archivo	No publicado
Nombres de archivos de malware o muestras	No publicado
Direcciones IP o dominios	No publicado
Dirección del sitio de filtraciones de Tor	No publicado
Nombre del actor de la amenaza	ScarlettGroup
Actividad en foros	Documentada en PwnForums; otras asociaciones no verificadas

Nota: Las direcciones IP y los dominios han sido neutralizados intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o los hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/a-new-extortion-gang/