Un perfil recién publicado de un actor de amenazas está arrojando luz sobre Qilin, una operación de ransomware que ha construido su negocio en torno a un modelo de asociación y una implacable estrategia de doble extorsión. En lugar de lanzar ataques por sí mismo, Qilin proporciona a sus afiliados herramientas de ransomware y soporte técnico, y luego se lleva una comisión del rescate que esos afiliados logren extraer de sus víctimas. Se trata de una estructura cada vez más común en el mundo del ransomware, y entender cómo funciona es el primer paso para proteger tus propios datos.

Cómo Funciona el Modelo de Afiliados de Qilin

Qilin opera como un proveedor de Ransomware como Servicio (RaaS). En lugar de que un solo grupo lleve a cabo cada ataque, Qilin construye el software malicioso y la infraestructura de soporte, y luego lo licencia a afiliados que realizan la intrusión real. Esos afiliados identifican objetivos, obtienen acceso a las redes y despliegan el ransomware, y luego reparten los beneficios con Qilin una vez que la víctima paga.

Esta división del trabajo es lo que hace que las operaciones de RaaS sean tan persistentes y difíciles de desmantelar. Incluso si las fuerzas del orden interrumpen a un afiliado o derriban una pieza de infraestructura, el grupo central y su conjunto de herramientas pueden seguir operando, y nuevos afiliados pueden intervenir para lanzar ataques frescos. También significa que el grupo de personas capaces de ejecutar un ataque al estilo Qilin es más amplio que el de una banda de hackers tradicional, ya que los afiliados no necesitan construir ransomware desde cero; solo necesitan acceso a una red y la disposición para desplegar la herramienta que se les proporciona.

El Manual de la Doble Extorsión

Lo que diferencia a Qilin del ransomware más antiguo y simple es su enfoque de doble extorsión. En un ataque de ransomware tradicional, los archivos se cifran y se pide a la víctima que pague por una clave de descifrado. Qilin añade una segunda capa de presión: antes de cifrar los archivos de la víctima, sus afiliados roban silenciosamente datos confidenciales de la red. Si la víctima se niega a pagar, o incluso después de hacerlo, los atacantes amenazan con publicar esos datos robados públicamente o venderlos a otros delincuentes.

Esta táctica eleva drásticamente las apuestas para las víctimas. Incluso las organizaciones con sistemas de copias de seguridad sólidos, aquellas que podrían restaurar los archivos cifrados sin pagar un rescate, aún enfrentan la amenaza de una filtración de datos perjudicial. Esa presión es exactamente la razón por la que la doble extorsión se ha convertido en el manual predeterminado en todo el ecosistema del ransomware. Hemos visto dinámicas similares en otros incidentes recientes, como el intento de ransomware de Ecopetrol que expuso miles de cuentas y la reclamación de 700 GB del grupo de ransomware Genesis contra una agencia de personal. En ambos casos, la amenaza de datos expuestos, no solo los archivos bloqueados, fue el verdadero punto de presión.

Por Qué los Datos Robados Siguen Apareciendo en Otros Lugares

Una vez que los datos son exfiltrados en un ataque de doble extorsión, no necesariamente permanecen con los atacantes originales. Los registros robados a menudo terminan circulando en foros de la dark web o son reempaquetados por otros actores de amenazas que buscan seguir lucrando. Es un patrón que se repite en incidentes como el conjunto de datos de clientes de Iliad Italia que apareció a la venta en un foro de la dark web, donde la información comprometida encontró una segunda vida mucho después de la brecha inicial. También vale la pena señalar cuán agresivos se han vuelto algunos grupos para presionar a las víctimas, como se vio cuando el grupo ShinyHunters escaló su campaña Canvas desfigurando portales de inicio de sesión de escuelas para forzar el pago. El modelo de Qilin encaja perfectamente dentro de esta tendencia más amplia: primero robar, luego cifrar y usar la amenaza de exposición pública como palanca mucho después de la intrusión inicial.

Qué Significa Esto para Ti

Si eres un particular, Qilin y operaciones de ransomware similares son un recordatorio de que tus datos personales suelen ser daños colaterales en ataques dirigidos a las organizaciones con las que haces negocios, empleadores, proveedores de atención médica, escuelas y empresas de servicios. Por lo general, no puedes detener estos ataques por ti mismo, pero puedes limitar el daño que una brecha te causa a nivel personal minimizando los datos confidenciales que compartes, usando contraseñas únicas para cada cuenta y monitoreando señales de que tu información ha aparecido en una filtración.

Si gestionas TI para una empresa, la naturaleza basada en afiliados y de doble extorsión de Qilin significa que la prevención debe ocurrir antes de que los datos abandonen tu red. La segmentación de la red limita hasta dónde puede moverse un atacante después de una brecha inicial, reduciendo la cantidad de datos disponibles para robar incluso si un sistema se ve comprometido. Cifrar los datos confidenciales en reposo y en tránsito añade otra capa de protección, ya que los datos robados que están correctamente cifrados son mucho menos útiles para los atacantes que amenazan con publicarlos.

Conclusiones Accionables

Segmenta tu red para que un solo dispositivo o cuenta comprometida no otorgue acceso a toda tu infraestructura. Mantén copias de seguridad fuera de línea y probadas para que el cifrado por sí solo no fuerce una decisión de pago. Cifra los archivos confidenciales para que los datos robados tengan menos valor incluso si son exfiltrados. Y trata con seriedad cualquier notificación de un proveedor de servicios sobre un incidente de ransomware, ya que los grupos de doble extorsión como Qilin cumplen rutinariamente sus amenazas de filtración. Mantenerse informado sobre cómo operan grupos como Qilin es uno de los pasos más prácticos que puedes tomar para proteger tus datos antes de que se conviertan en parte de la próxima filtración.