Los investigadores de SOCRadar han descubierto una rara mirada al interior de cómo trabajan los criminales. Un servidor abierto vinculado a afiliados de las operaciones de ransomware INC y The Gentlemen contenía 8.257 mensajes de IA con Claude y Kimi, 46 compilaciones de cifradores y 62 víctimas identificadas. El hallazgo es un ejemplo concreto de bandas de ransomware que utilizan asistentes de IA como parte de su rutina diaria, y ofrece lecciones útiles para particulares y pequeñas empresas.
El informe original es breve, por lo que este artículo se ciñe a lo que se ha publicado y evita especular sobre detalles que no se han hecho públicos.
Qué encontró SOCRadar en el servidor abierto
Según el resumen de los hallazgos de SOCRadar, el servidor quedó accesible abiertamente y estaba vinculado a afiliados de dos grupos de ransomware, INC y The Gentlemen. Tres cifras definen el descubrimiento:
- 8.257 mensajes de IA intercambiados con los asistentes Claude y Kimi
- 46 compilaciones de cifradores, es decir, versiones compiladas del malware que bloquea archivos y que están listas para desplegar
- 62 víctimas identificadas, organizaciones señaladas en el servidor
Un servidor expuesto de este tipo funciona como un taller con la puerta abierta. En lugar de ver solo el ataque terminado, los investigadores pueden ver herramientas, registros y las conversaciones de trabajo que hay detrás. Los errores operativos de los criminales, como dejar infraestructura sin asegurar, son una de las pocas formas en que los defensores obtienen este tipo de visibilidad.
Cómo usaron INC y The Gentlemen Claude y Kimi
El detalle más llamativo es el volumen de conversaciones con IA. Más de ocho mil mensajes sugieren que los asistentes no eran un experimento ocasional, sino una parte habitual del flujo de trabajo de estos afiliados. El material original confirma la presencia de los chats junto a las compilaciones de cifradores y los registros de víctimas. Sin embargo, con la información disponible aquí, no detalla cada tarea para la que se usaron los asistentes, por lo que no especularemos sobre indicaciones o resultados concretos.
Lo que sí demuestra la combinación es que las herramientas de chat con IA conviven con la maquinaria de una campaña de ataque: compilaciones de malware por un lado, una lista de víctimas por otro, y un largo registro de conversaciones con IA en medio. Para los defensores, la conclusión práctica es que la IA puede acelerar el trabajo rutinario de los criminales, lo que puede reducir el esfuerzo necesario para preparar y ejecutar ataques.
También importa que aparezcan dos asistentes distintos. Claude y Kimi provienen de desarrolladores diferentes, lo que sugiere que los afiliados no están atados a una sola herramienta y pueden alternar entre ellas.
Qué sugieren las 62 víctimas identificadas sobre la selección de objetivos
Sesenta y dos víctimas identificadas junto a 46 compilaciones de cifradores apuntan a una operación organizada y repetible, en lugar de una intrusión puntual. Tener muchas compilaciones listas sugiere que los atacantes preparan con antelación versiones personalizadas o variadas de su malware, lo que puede hacer menos fiable la detección simple basada en firmas.
La fuente no desglosa a qué sectores o regiones pertenecen las víctimas, por lo que sería erróneo sacar conclusiones firmes sobre la selección de sectores. Una lectura razonable es más limitada: los afiliados de ransomware mantienen listas de objetivos activas y preparan herramientas con antelación. Ese patrón es coherente con la tendencia más amplia de grupos que atacan a organizaciones más fáciles de presionar, un tema que exploramos en nuestro análisis sobre cómo las bandas de ransomware Qilin y Akira están intensificando los ataques a la cadena de suministro.
Qué significa esto para ti
Si tienes una pequeña empresa o gestionas tus propios dispositivos, la noticia puede parecer lejana, pero la lección es práctica. La asistencia de IA no inventa tanto nuevas formas de entrar como hace que los métodos existentes sean más rápidos de preparar. Eso significa que lo básico importa más, no menos.
- Particulares: Los atacantes siguen dependiendo de contraseñas robadas, software sin parchear y usuarios engañados. Inicios de sesión robustos y únicos, y dispositivos actualizados, siguen siendo barreras eficaces.
- Pequeñas empresas: Ser pequeño no es protección. Los afiliados mantienen listas de víctimas, y la preparación es barata cuando las herramientas ya están construidas.
- Todos: No des por sentado que puedes detectar un ataque por una redacción descuidada o una técnica torpe. La IA puede ayudar a pulir ambas cosas.
Cómo reducir tu riesgo de ransomware con copias de seguridad, parches y MFA
Tres hábitos hacen la mayor parte del trabajo contra el ransomware, sin importar quién o qué ayude al atacante:
- Mantén copias de seguridad sin conexión o inmutables. El ransomware está diseñado para bloquear tus archivos, y una copia de seguridad a la que los atacantes no puedan llegar convierte una crisis en un inconveniente. Prueba las restauraciones con regularidad, porque una copia de seguridad no probada es una suposición.
- Aplica parches con prontitud. Instala las actualizaciones de sistemas operativos, navegadores, dispositivos VPN y herramientas de acceso remoto tan pronto como puedas. Prioriza todo lo que esté expuesto a internet.
- Activa la autenticación multifactor (MFA). Actívala en el correo electrónico, el acceso remoto, las cuentas de administrador y los servicios en la nube. Así, las contraseñas robadas por sí solas resultan mucho menos útiles.
Añade algunos pasos de apoyo: limita los derechos de administrador, segmenta los sistemas importantes de los cotidianos y anota a quién llamar si te atacan.
Conclusión
El descubrimiento de SOCRadar es un recordatorio de que las bandas de ransomware que usan asistentes de IA ya operan a una escala medida en miles de mensajes, decenas de compilaciones de malware y decenas de víctimas. No puedes controlar lo que los criminales hacen con estas herramientas, pero sí puedes controlar lo preparado que estás. Configura copias de seguridad sin conexión, aplica parches rápidamente y activa MFA esta semana. Para entender la presión más amplia sobre las organizaciones, lee nuestro artículo sobre cómo las bandas de ransomware como Qilin y Akira están atacando las cadenas de suministro.
