El alcance de “The Gentlemen” es considerable. El grupo ha reclamado más de 320 víctimas en total, con una aceleración notable de 240 ataques solo en los primeros meses de 2026. Datos de Ransomware.live elevan esta cifra a 504 víctimas hasta la fecha, evidenciando una concentración geográfica en el Sudeste Asiático, Sudamérica y Europa Occidental.
A nivel global, el panorama del ransomware es alarmante. Entre abril de 2025 y marzo de 2026, se registraron 7,551 víctimas de ransomware, lo que representa un incremento del 24.9% en comparación con el período anterior. Para junio de 2026, el ecosistema de amenazas ya contabilizaba 146 grupos activos. Un dato preocupante es que el 56% de los ataques de ransomware logran cifrar los datos de las víctimas, con un pago medio de rescates que fue de 115,000 dólares en 2025, aunque Sophos reportó un promedio que asciende a 1 millón de dólares.
Latinoamérica es un epicentro de esta actividad maliciosa. En 2025, los ataques en la región se dispararon un 78%, pasando de más de 250 en 2024 a más de 450. El número de variantes de ransomware dirigidas a la región casi se duplicó, de 48 a 79. Kaspersky indicó que Latinoamérica tuvo la mayor proporción de organizaciones con ataques de ransomware detectados en 2025, alcanzando un 8.13%. La región soporta un promedio de 2,640 ciberataques por semana, un 35% por encima de la media global, con costos anuales que superan los 90 millones de dólares. Brasil, por ejemplo, concentró aproximadamente el 30% de todas las víctimas en LatAm en 2025.
Análisis de la tendencia
La estrategia de “The Gentlemen” se distingue por su enfoque profesional y altamente técnico. Operando bajo un modelo de Ransomware-as-a-Service, el grupo desarrolla un conjunto de herramientas personalizadas que incluye una backdoor escrita en Go, diseñada para la recolección de información y el control persistente de los sistemas comprometidos. Complementariamente, utilizan variantes de ransomware también en Go y C, capaces de operar en diversas plataformas como Windows, Linux, NAS, BSD y ESXi, lo que demuestra una versatilidad considerable.
El arsenal del grupo también contempla herramientas "EDR-killer" como "GentleKiller", que tienen la capacidad de desactivar soluciones de seguridad endpoint. Han sido detectados incluso intentando desinstalar productos de seguridad legítimos, como los de Kaspersky, utilizando utilidades propias del sistema como kavrmvr.exe.
Su metodología de ataque se inicia explotando servicios expuestos a internet, credenciales comprometidas o, posiblemente, a través de la colaboración con Initial Access Brokers (IABs). Una vez dentro, realizan movimientos laterales extensivos en la red mediante scripts PowerShell y PsExec para expandir su control. Sin embargo, la característica más distintiva y preocupante es la exfiltración de datos sensibles antes de proceder con el cifrado. Esta táctica permite a “The Gentlemen” ejercer una doble extorsión, donde la amenaza de la publicación de información confidencial ejerce una presión adicional, tanto reputacional como regulatoria, sobre las organizaciones víctimas.
Expertos de Kaspersky (GReAT) subrayan que este enfoque representa un cambio en el ecosistema de ransomware hacia modelos de extorsión "orientados a los negocios", donde el robo de datos y sus repercusiones tienen un peso igual o mayor que la interrupción operativa. Jakub Souček, investigador de seguridad de ESET, ha calificado a "The Gentlemen" como uno de los grupos RaaS "más técnicamente ágiles" por su eficiencia en la operacionalización de exploits, lo que les permite adaptarse rápidamente a nuevos entornos y vulnerabilidades.
Contexto regional
Latinoamérica se ha consolidado como una región objetivo principal para el ransomware, y el ascenso de grupos como “The Gentlemen” agrava esta situación. La rápida digitalización en la región, impulsada por la necesidad de competitividad y acceso, a menudo avanza a un ritmo superior a la madurez de sus controles de seguridad, marcos de gobernanza y mecanismos legales. Esta asimetría crea un caldo de cultivo ideal para la ciberdelincuencia.
La regulación en materia de ciberseguridad en Latinoamérica es, en muchos casos, fragmentada. Países como Argentina, Brasil, Chile, México y Uruguay implementan modelos híbridos, pero persisten deficiencias. A menudo, faltan leyes robustas que exijan a las empresas críticas implementar medidas de ciberseguridad obligatorias o que impongan la notificación obligatoria de incidentes, lo que dificulta la transparencia y la coordinación en la respuesta a las amenazas. Esta brecha regulatoria deja a muchas organizaciones vulnerables y con pocas herramientas legales para mitigar el impacto de un ataque.
Incidentes recientes ilustran esta vulnerabilidad: en agosto de 2026, el Ministerio de Justicia de Colombia fue víctima de un ataque, sumándose a incidentes previos contra entidades como la DIAN y Ecopetrol. En México, el estado de Nuevo León concentra el 24% de los ciberataques, según cifras recientes. Arturo Torres, estratega principal de inteligencia de amenazas para Latinoamérica en FortiGuard Labs de Fortinet, observa que la actividad maliciosa en Colombia, por ejemplo, se está concentrando y automatizando a gran escala.
Rafael Melanda de Recorded Future enfatiza que, por necesidad, los equipos de seguridad en LatAm suelen ser reactivos, lo que se traduce en altos costos en tiempo de inactividad, pérdida de datos y erosión de la confianza. Propone un enfoque de seguridad basado en inteligencia proactiva como la solución para revertir esta tendencia.
Perspectiva a futuro
Los expertos de Kaspersky GReAT advierten que "The Gentlemen" está ganando rápidamente reputación y refinando sus capacidades, lo que podría traducirse en cadenas de ataque más estables y escalables en el futuro cercano. Este grupo es un claro ejemplo de la evolución en el ecosistema de ransomware hacia modelos de extorsión "orientados a los negocios", donde el robo de datos y la presión reputacional y regulatoria adquieren un rol central, incluso superando el cifrado disruptivo.
Para Latinoamérica, la tendencia de ser un objetivo preferente persistirá, exacerbada por la disparidad entre su acelerada digitalización y la todavía incipiente madurez de sus controles de ciberseguridad. Es imperativo que las organizaciones en la región incrementen la inversión en infraestructura de seguridad, desarrollen planes de respuesta a incidentes robustos, implementen copias de seguridad segmentadas y fortalezcan la formación continua de su personal en prácticas de higiene cibernética. La adopción de soluciones avanzadas como EDR (Endpoint Detection and Response) y XDR (Extended Detection and Response) se vuelve cada vez más crucial.
Rafael Melanda de Recorded Future recalca la necesidad de que los equipos de seguridad en LatAm transiten de una postura reactiva a una proactiva, apalancada en inteligencia de amenazas, para mitigar los elevados costos asociados con los ciberataques. El Foro Económico Mundial, por su parte, reconoce que, si bien las políticas de ciberseguridad en la región están en etapas iniciales, las naciones latinoamericanas están intensificando sus esfuerzos para combatir el ransomware, aunque la implementación efectiva y la colaboración transfronteriza serán decisivas. La vigilancia constante y la capacidad de anticipar nuevas tácticas serán factores clave para protegerse contra adversarios tan ágiles y sofisticados como "The Gentlemen".
