El ecosistema del ransomware está viviendo uno de sus momentos más inestables. Si tú trabajas en temas de TI o en cualquier organización que dependa de sus sistemas digitales, este panorama te afecta directamente. Durante el tercer trimestre de 2025, se registró un récord histórico: 92 grupos de ransomware y extorsión operando al mismo tiempo. Nunca antes habíamos visto un escenario tan fragmentado, tan volátil y tan difícil de anticipar.
Desde TecnetOne hemos seguido de cerca esta tendencia. Lo que parece un “caos criminal” en realidad es una reconfiguración profunda del mercado del ransomware, marcada por nuevas marcas, viejos actores reagrupados y un crecimiento notable en países como México.
En este contexto tan agitado, Qilin, también conocido como Agenda, se está posicionando como uno de los grupos emergentes más activos en el país, justo cuando otro gigante, LockBit, anuncia su regreso.
Puede parecer contradictorio, pero el colapso de grandes organizaciones criminales no ha frenado la actividad delictiva; la ha multiplicado. Durante este trimestre se registraron 1,712 víctimas en 92 sitios de filtración distintos. Lo interesante es que:
Esto significa que el ransomware se ha descentralizado. Si antes podías monitorear a LockBit, Conti o BlackCat como los grandes referentes, hoy debes prestar atención a decenas de células pequeñas que operan con el mismo daño, pero con mayor imprevisibilidad.
Y todo esto tiene un origen claro: el colapso reciente de organizaciones como RansomHub, 8Base y BianLian. Sus afiliados se reacomodaron rápidamente en grupos más pequeños, dando lugar a 18 nuevas “marcas” de ransomware en un solo trimestre.
La policía ha logrado derribar infraestructura, pero no a los operadores. Mientras los servidores caen, los delincuentes se reproducen, cambian de nombre y vuelven a operar.
En este mercado clandestino, incluso los delincuentes dependen de la reputación. Si un grupo no puede “cumplir” su promesa de entregar claves de cifrado, pierde clientes. Por eso, con tantas nuevas células pequeñas, la tasa de pagos se ha desplomado a 33%. Sí, incluso las víctimas ya no confían en que recuperarán sus datos.
Sin embargo, esta caída de confianza también abre la puerta a algo preocupante: el regreso de un actor que históricamente sí cumplía.
Lee más: ¿El Gobierno Mexicano Está Siendo Hackeado por sus Propios Empleados?
Después del golpe que sufrió en 2024 con la Operación Cronos, muchos creían que LockBit había quedado debilitado. Pero en septiembre reapareció con LockBit 5.0, una versión más rápida, más agresiva y con:
En solo su primer mes de actividad, ya se adjudicó al menos 15 ataques confirmados.
Su administrador, LockBitSupp, volvió a aparecer en foros clandestinos afirmando que la organización está reconstruida. Y aunque no podemos verificar estas afirmaciones, el impacto es inmediato: decenas de afiliados están tentados a regresar a un grupo con estructura, reputación y pagos confiables.
Si LockBit logra reagrupar a quienes quedaron “huérfanos” tras la caída de otras bandas, podríamos ver una nueva ola de ataques coordinados.
Mientras los titanes intentan reconstruirse, Qilin está creciendo rápidamente. Y lo preocupante es que su presencia en México ya es confirmada.
Este grupo:
Este trimestre, Qilin se colocó entre los grupos más activos del mundo por sus ataques en Corea del Sur, pero su expansión en Latinoamérica también avanza.
En nuestro país, los ataques registrados incluyen:
Estas intrusiones muestran algo claro: Qilin está probando terreno en México y diversificando sectores estratégicos. Ya no hablamos solo de grandes empresas internacionales; las organizaciones mexicanas están dentro del radar, y la tendencia apunta a un crecimiento rápido.
Desde TecnetOne lo vemos con claridad: monitorear “nombres de grupos” ya no es suficiente. Lo que importa hoy es rastrear:
Este fenómeno se compara con tecnologías descentralizadas como las criptomonedas o los proyectos de código abierto: muchos actores distintos contribuyen a un mismo ecosistema, pero sin una cabeza visible.
También podría interesarte: Ciberataques en México: Hackers Veloces vs Gobierno Lento
La fragmentación del ransomware no está disminuyendo el volumen de ataques. Al contrario:
Si LockBit atrae afiliados nuevamente, el panorama podría cambiar hacia campañas más grandes y mejor organizadas.
Los grupos utilizan los mismos vectores de entrada que hemos observado durante años:
La realidad es simple: México se ha convertido en un mercado atractivo para los grupos de ransomware, especialmente porque muchas organizaciones siguen sin aplicar medidas básicas de seguridad.
La recomendación principal sigue siendo: no pagar rescates.
Las autoridades y los especialistas coinciden en que esto solo fortalece el negocio criminal.
Pero más allá de eso, es fundamental:
En TecnetOne insistimos: el ransomware evoluciona tan rápido como tu estrategia también debería hacerlo.