Qilin, que la firma de ciberseguridad NCC Group sitúa como la operación de ransomware como servicio más activa del mundo, se atribuyó al menos 365 organizaciones víctimas solo en los últimos tres meses. Ahora, una investigación de KrebsOnSecurity sostiene que una década de errores de seguridad operativa de su administrador, conocido como "Haise", apunta a un hombre de 36 años que vive en San Petersburgo, Rusia. No ha sido acusado formalmente y no respondió a los intentos de contacto por correo y teléfono.
Así opera Qilin. Activa desde septiembre de 2022, Qilin recluta afiliados para entrar en empresas y desplegar ransomware, y les ofrece al menos el 80 % de cada rescate. Practica la doble extorsión: roba datos sensibles antes de cifrar los sistemas y amenaza con publicarlos. A diferencia de la mayoría de grupos rusos, colabora con afiliados angloparlantes y su líder ha dicho en Telegram que ha trabajado con Scattered Spider y RansomHub.
El rastro de los alias. Según la plataforma de inteligencia Intel 471, Haise pidió entrar en el foro ruso RAMP en junio de 2022. Los mensajes del foro, incautado por el FBI en enero de 2026, muestran que el administrador aprobó la solicitud y lo vinculó al usuario de Telegram Alexbigboss44. Ese mismo alias lo había compartido en 2020 un usuario llamado Rjun en los foros Exploit y XSS.
Del fraude al ransomware. Flashpoint afirma que la cuenta Alexbigboss44 compraba en masa registros de Facebook y cuentas de Google Ads para alimentar fraudes publicitarios y de apuestas. La conexión la compartió primero IntelHawk, una plataforma de desanonimización basada en IA. Su fundador, Leo Bogod, describe una evolución desde estafador con tarjetas en 2018-2019 hasta organizador de ciberdelitos complejos en 2020-2023.
Las filtraciones cierran el círculo. Intel 471 indica que Rjun se registró en varios foros con una misma dirección de mail.ru. Los datos indexados por Constella Intelligence muestran ese correo en registros de Gosuslugi, el portal de servicios estatales ruso, hackeado a finales de 2025, que lo asocian a un vecino de San Petersburgo de 36 años. Registros de vuelos y educativos filtrados aportan más detalles. La cuenta anónima GangExposed llegó a conclusiones similares.
Por qué importa
La huella siempre queda. El caso demuestra que los propios rastros de los ciberdelincuentes, desde correos reutilizados hasta foros incautados y bases de datos estatales filtradas, pueden delatar a quienes están detrás de grandes bandas. Pero para las empresas, el ritmo de Qilin deja claro que la amenaza sigue ahí.
- Da por hecho que robarán datos antes de cifrar: las copias de seguridad no frenan la extorsión.
- Protege los accesos remotos con autenticación multifactor, porque se compran y venden en foros.
- Ten copias offline probadas y un plan de respuesta a incidentes.
Fuente: Krebs on Security
Deja una respuesta