El número de organizaciones mencionadas en los sitios de filtraciones de ransomware aumentó un 30% durante el tercer trimestre de 2026. Sin embargo, los investigadores advierten que esto no significa necesariamente que los ataques hayan crecido en la misma proporción, ya que gran parte del incremento proviene de grupos nuevos y no comprobados cuyas afirmaciones podrían ser falsas.

El número de organizaciones mencionadas en los sitios de filtraciones de ransomware aumentó un 30% en el tercer trimestre de 2026. Los investigadores afirman que esto no significa que los ataques hayan aumentado en la misma proporción. La mayor parte del crecimiento provino de grupos nuevos y no contrastados, y algunas de sus afirmaciones podrían ser falsas.

Los sitios de filtraciones son donde las bandas de ransomware publican los nombres de las víctimas para presionarlas a pagar. Los defensores han utilizado estas publicaciones durante mucho tiempo para contabilizar los ataques.

Las afirmaciones falsas o recicladas no son algo nuevo, y un caso pasado de demandas de extorsión falsas demostró que datos antiguos pueden hacerse pasar por una brecha reciente. Este trimestre, el problema parece ser mayor.

Analistas de ReliaQuest señalaron que 43 grupos que nunca habían publicado antes del tercer trimestre impulsaron el 93% del incremento. Los grupos activos tanto en el segundo como en el tercer trimestre solo añadieron un 1% más de organizaciones mencionadas.

El equipo afirmó que es realista que algunos ataques declarados sean acusaciones falsas. También indicó que los listados probablemente mezclan ataques nuevos, cambios de marca, datos reciclados y afirmaciones sin pruebas que las respalden.

Las bandas de ransomware reclaman un 30% más de víctimas

Los patrones de publicación de los nuevos grupos difieren mucho. Algunos publican constantemente cada semana. Otros vuelcan docenas de nombres a la vez.

Un grupo llamado “Global Secret Group” listó 48 víctimas, 28 de ellas en un solo día. Otro, “crpx0”, listó 47 víctimas, 41 en un solo día, y no ha vuelto a publicar desde agosto.

Los investigadores dicen que las liberaciones masivas no prueban que las afirmaciones sean falsas. Encajan mejor con datos recopilados con antelación que con muchas intrusiones separadas.

Otros grupos nuevos parecen operaciones más reales. “Storm” listó 71 víctimas en 20 días, más que nombres establecidos como DragonForce (69) y LockBit (62).

Pero Storm publicó por primera vez unas cinco semanas después de que un grupo con un nombre similar, “Stormous”, hiciera su última publicación. Ese tiempo hace posible un cambio de marca, aunque no está confirmado.

El ejemplo más claro de una afirmación dudosa es “ExfilSquad”, visto por primera vez en julio de 2026. Publicó muestras de datos con nombres de empleados, direcciones de correo electrónico, números de teléfono y ubicaciones de trabajo, además de campos vacíos y detalles básicos de relaciones con clientes.

ReliaQuest dice que se trata de datos personales de bajo riesgo. No prueba una brecha de red. Es probable que el grupo escanee GitHub en busca de credenciales expuestas y tome solo aquello a lo que esas cuentas pueden acceder.

Luego utiliza un sitio de filtraciones estilo ransomware para hacer que ese acceso limitado parezca una brecha importante. También publicó plazos de pago que no cumplió y listó algunos objetivos sin muestras de datos.

El daño real probable es el phishing dirigido contra los empleados mencionados, además del coste de investigar la reclamación. Por eso, los investigadores te aconsejan tratar cada publicación como una afirmación no verificada.

Casos recientes muestran la misma cautela, como la reclamación del grupo de ransomware Emperador contra AB InBev, que permaneció sin verificar y sin confirmación de la empresa.

Qué deben hacer los defensores cuando son nombrados

Cuando un grupo nuevo liste a tu organización, comprueba tres cosas: ¿Fue la organización realmente comprometida? ¿Coinciden las pruebas con la forma en que el grupo dice haber obtenido los datos? ¿Es el nombre un grupo distinto, un cambio de marca, un afiliado o un publicador oportunista? Pagar por una reclamación falsa es tirar el dinero y financiar el crimen.

Ignorar una reclamación real puede dejar los datos expuestos abiertos al phishing y al robo de cuentas. ReliaQuest te aconseja revisar los registros internos, los registros de acceso y cualquier muestra publicada. Si la evidencia muestra una intrusión, inicia la respuesta ante incidentes.

Si no es así, mantén la reclamación marcada como no verificada mientras buscas otras fuentes de exposición. Los equipos también deben registrar solapamientos en herramientas e infraestructura con grupos conocidos, lo que puede indicar un cambio de marca.

Debido a que los nombres nuevos no tienen historial ni indicadores públicos, la detección debe centrarse en el comportamiento compartido. Esto significa el abuso de servicios remotos, identidades robadas, movimiento lateral y robo de datos.

Grupos establecidos como Qilin y The Gentlemen muestran el porqué. Ambos explotaron sistemas orientados a internet, utilizaron controladores vulnerables para desactivar herramientas de seguridad de endpoints y cambiaron la configuración de las Directivas de Grupo para propagar el ransomware.

Juntos impulsaron aproximadamente una cuarta parte de las víctimas manufactureras listadas. Nuestro análisis anterior sobre el grupo de ransomware The Gentlemen cubre cómo este equipo impulsado por afiliados creció tan rápido.

Los defensores pueden bloquear gran parte de esta actividad. Deberían parchear y monitorear los dispositivos perimetrales, aplicar la lista de bloqueo de controladores vulnerables de Microsoft y alertar sobre cambios inesperados en las Directivas de Grupo.

La herramienta de controladores vulnerables GentleKiller muestra cómo los atacantes utilizan controladores firmados pero defectuosos para cerrar el software de seguridad.

Los equipos también deben auditar GitHub y otros repositorios de código en busca de claves y contraseñas expuestas, rotar cualquiera que encuentren y revisar los registros del sistema del cliente en busca de descargas masivas inusuales.

Los datos también muestran que el ransomware se está extendiendo más allá de los EE. UU. Los listados de EE. UU. crecieron un 9%, y aproximadamente el 85% de las víctimas añadidas estaban en otros lugares.

La cuota de EE. UU. de todas las víctimas listadas cayó del 55% en el primer trimestre al 49% en el segundo y al 41% en el tercero. Las víctimas de manufactura aumentaron un 70%, pero los servicios profesionales, científicos y técnicos siguieron siendo el sector principal por sexto trimestre consecutivo. Una clasificación más baja no significa un riesgo menor.