Lo que los avisos #StopRansomware revelan sobre la economía del ransomware: pagos, sectores, afiliados
Los avisos conjuntos #StopRansomware que publican CISA, el FBI y organismos asociados se leen normalmente como material de respuesta a incidentes: indicadores de compromiso, mapas de tácticas, listas de mitigación. Leídos unos junto a otros, forman además un registro público insólito de cómo está organizada la economía del ransomware. Los avisos sobre ALPHV/Blackcat, Black Basta y Medusa describen, en un lenguaje deliberadamente sobrio, quién hace el trabajo, cómo se compra el acceso a las redes y cómo se empuja a las víctimas a pagar.
Un mercado laboral, no una sola banda
El aviso sobre Medusa (AA25-071A, publicado por primera vez en marzo de 2025 y actualizado en agosto de 2026, también disponible en el FBI) es el más explícito con el dinero. Señala que los desarrolladores de Medusa reclutan intermediarios de acceso inicial en foros de cibercrimen, ofreciendo pagos de entre 100 y un millón de dólares a los IAB, además de la oportunidad de trabajar en exclusiva para Medusa, y advierte de que la mayoría de los IAB trabaja a la vez para varias variantes de ransomware. El acceso a las redes es la mercancía; la marca que lo compra es en gran medida intercambiable. El mismo aviso describe un modelo de afiliados por niveles: Medusa empezó como una operación cerrada en junio de 2021 y pasó a comienzos de 2023 a una estructura de ransomware como servicio, en la que los afiliados reciben distintos niveles de confianza según su experiencia y rentabilidad. Con los afiliados más nuevos, la negociación del rescate puede estar controlada centralmente por los desarrolladores. El aviso sobre ALPHV/Blackcat y el aviso sobre Black Basta describen a sus protagonistas del mismo modo: operaciones RaaS en las que afiliados con nombre propio llevan a cabo la intrusión y la extorsión bajo las condiciones que fija el grupo central. El sitio de filtraciones como mecanismo de pago
Los avisos tratan los sitios de filtraciones como parte del proceso de pago, no como publicidad. El sitio .onion de Medusa enumera víctimas con cuentas atrás; una víctima puede pagar 10.000 dólares en criptomonedas para añadir un solo día al temporizador. Los actores ofrecen una tarifa reducida por tiempo limitado a quien paga rápido y, según el aviso, fijan sus demandas según los ingresos públicamente declarados de la víctima. El documento también recoge lo que puede ocurrir tras el pago: una víctima que había pagado fue contactada de nuevo para abonar otros media demanda, presuntamente por un 'descifrador verdadero', y los autores señalan que no existe forma de verificar que los datos robados se eliminen de verdad. El aviso sobre Black Basta describe un mecanismo paralelo: las notas de rescate dan a las víctimas entre 10 y 12 días antes de publicar los datos en el sitio Tor 'Basta News' del grupo. La actualización de ALPHV documenta el otro extremo del mercado: algunos afiliados extorsionan solo con los datos robados, sin llegar a desplegar ransomware. Objetivos oportunistas, sectores recurrentes
Ninguno de los tres grupos aparece descrito como selectivo. Los actores de Medusa operan de forma oportunista atacando a víctimas con software sin parchear; aun así, la sanidad ha sido una víctima frecuente, y a abril de 2026 el aviso contabiliza más de 500 víctimas de Medusa en sectores de infraestructura crítica. Los afiliados de Black Basta habían afectado a más de 500 organizaciones en todo el mundo a mayo de 2024, en al menos 12 de los 16 sectores de infraestructura crítica, con la sanidad señalada como atractiva por su dependencia de la tecnología y por la disrupción que un ataque provoca en la atención al paciente. La actualización de ALPHV indicaba que, de casi 70 víctimas filtradas desde mediados de diciembre de 2023, el sector sanitario fue el más golpeado, un periodo que siguió a que el administrador del grupo instara a atacar hospitales tras la acción policial contra su infraestructura. Pagos a la baja, riesgo de sanciones vigente
En materia de pagos, la posición publicada por el Gobierno es regulatoria más que estadística. El aviso actualizado de OFAC sobre pagos de rescate, emitido en septiembre de 2021, señala que el Gobierno de EE. UU. desaconseja encarecidamente a todas las empresas y ciudadanos privados pagar rescates o demandas de extorsión, advierte de que los facilitadores —entidades financieras, aseguradoras cibernéticas, empresas de respuesta a incidentes— pueden afrontar sanciones civiles bajo el principio de responsabilidad estricta, y recoge una presunción de denegación para las licencias que impliquen pagos de rescate a partes sancionadas. Ese mismo documento, anunciado junto con la designación del exchange Suex por facilitar ingresos de ransomware, explica a las víctimas que notificar el ataque con prontitud a la policía judicial o a la CISA puede reportar crédito por divulgación voluntaria y una mitigación significativa, con la cautela de que no hay garantía de recuperar el acceso a los datos. Los datos de mercado muestran la presión en el lado del pago. Chainalysis cifró los pagos de ransomware de 2024 en unos 813,55 millones de dólares, un 35 por ciento por debajo del récord de 1.250 millones de 2023 y el primer descenso desde 2022; en menos de la mitad de los incidentes registrados se llegó a pagar, y un negociador citado en el informe estima que alrededor del 30 por ciento de las negociaciones terminan en pago. Chainalysis también observó que los pagos finales se agrupan entre 150.000 y 250.000 dólares al margen de la demanda inicial: la negociación, no la cifra de apertura, acaba fijando el precio final. Por qué los avisos nombran a los afiliados
El detalle recurrente en estos documentos es estructural: quien compromete la red, quien negocia, quien mantiene el ransomware y el servicio que mueve el dinero son partes distintas, a menudo en jurisdicciones distintas. Por eso los avisos nombran afiliados, intermediarios de acceso inicial y facilitadores en lugar de una sola marca. La aplicación de la ley sigue a los roles, como cuando el Tesoro designó en 2021 al exchange Suex, el primer intercambio de divisas virtuales designado por facilitar ingresos de ransomware, vinculado a al menos ocho variantes, sin atribuir una conexión sancionadora a ninguna variante concreta de RaaS. Para quienes siguen los sitios de filtraciones, la conclusión práctica es la que recogimos en nuestra pieza sobre cómo funcionan los sitios de filtraciones de ransomware en .onion: la cuenta atrás es un mecanismo de pago, y la maquinaria que la rodea —precios de los brokers, afiliados por niveles, riesgo de sanciones para facilitadores— es lo que estos avisos están documentando.
