Una investigación sobre ciberdelincuencia ha vinculado al administrador del ransomware Qilin con Aleksey Mikhailovich Yakovtsev, un hombre de 36 años que vive en San Petersburgo, Rusia.

Publicados por KrebsOnSecurity el 11 de noviembre de 2026, los hallazgos conectan la identidad en línea “Haise” con cuentas de foros más antiguas, registros de Telegram y bases de datos filtradas. La identificación sigue siendo un hallazgo de investigación, no un fallo judicial ni una acusación penal anunciada.

El informe llega mientras Qilin afirma tener al menos 365 organizaciones víctimas en tres meses. Citando a NCC Group, Krebs describió la operación como el programa de afiliados de ransomware más activo del mundo. Estas cifras representan víctimas declaradas, más que un recuento confirmado de brechas verificadas independientemente.

La investigación siguió un rastro de identidades reutilizadas. Según los registros de Intel 471 citados por Krebs, Haise solicitó unirse al foro ruso de ciberdelincuencia RAMP en junio de 2022. Mensajes privados mostraron que el administrador del foro se refería al solicitante tanto como Haise como por el nombre de usuario de Telegram Alexbigboss44.

Ese nombre de Telegram apareció en publicaciones realizadas durante 2020 por “Rjun” en los foros Exploit y XSS. Los investigadores conectaron la identidad del ransomware más reciente con cuentas activas años antes de que Qilin se convirtiera en una amenaza importante. Flashpoint describió a Alexbigboss44 como un comprador y comerciante frecuente de datos de cuentas robadas, tráfico en línea y acceso corporativo.

El administrador de Qilin Ransomware ha sido identificado como un hacker ruso

IntelHawk ayudó a conectar estas identidades a través de nombres de usuario históricos y otras señales. Su fundador, Leo Bogod, describió una progresión desde pequeños esquemas de fraude en 2018 y 2019 hacia una actividad más organizada que involucraba malware, botnets y sistemas de pago entre 2020 y 2023.

El siguiente vínculo provino de una dirección de correo electrónico utilizada para registrar cuentas de Rjun en varios foros criminales. SpyCloud encontró una contraseña histórica que contenía el alias Rjun. Constella Intelligence vinculó entonces el correo electrónico con registros filtrados de la plataforma de servicios gubernamentales Gosuslugi de Rusia, identificando a Yakovtsev, según el informe.

Comprobaciones adicionales incluyeron un identificador persistente de cuenta de Telegram, registros de contacto relacionados y datos de viajes filtrados. Flashpoint había registrado más de 5,000 mensajes asociados con esa identidad de Telegram desde 2018. Juntos, estos registros formaron la cadena de atribución reportada. Krebs dijo que los intentos de contactar a Yakovtsev para obtener comentarios no tuvieron éxito.

Operando desde septiembre de 2022, Qilin ejecuta un programa de ransomware como servicio (RaaS). Sus afiliados irrumpen en las redes de las víctimas y despliegan el ransomware a cambio de al menos el 80 por ciento de los pagos del rescate. El grupo utiliza la doble extorsión, robando archivos confidenciales antes de cifrar los sistemas y amenazando con publicar la información robada.

Su alcance técnico se extiende más allá de las estaciones de trabajo ordinarias. Informes anteriores examinaron ataques de Qilin dirigidos a VMware vCenter y ESXi, incluyendo herramientas de gestión remota, propagación por red y controladores vulnerables utilizados para desactivar productos de seguridad. Los ataques contra la infraestructura virtual pueden interrumpir múltiples sistemas empresariales a través de una sola capa de gestión comprometida.

Una cobertura separada sobre el uso de alojamiento "bulletproof" por parte de Qilin detalló la infraestructura que soporta su actividad de extorsión. Dichos acuerdos de alojamiento ayudan a que los servicios criminales permanezcan en línea a pesar de las denuncias por abuso y los esfuerzos para interrumpirlos.

La investigación resalta una debilidad en las operaciones criminales de larga duración. Cambiar un apodo no borra los vínculos con cuentas antiguas. Los detalles de contacto reutilizados y los identificadores persistentes de la plataforma pueden permitir que los investigadores conecten identidades separadas años después.

Sin embargo, los vínculos reportados no deben tratarse como prueba de culpabilidad, y la identificación de un presunto administrador no establece que las operaciones de ransomware de Qilin hayan terminado o que las víctimas enfrenten menos riesgo.