La guerra del ransomware: cuando los ciberdelincuentes se atacan entre sí
Cuando pensamos en ciberseguridad, normalmente imaginamos a los buenos contra los malos. Pero la realidad acaba de dar un giro fascinante: ahora los «malos» también se enfrentan entre ellos en una guerra territorial que podría tener consecuencias serias para las empresas de todo el mundo.
El nuevo frente en la batalla del ransomware
Hace unos meses, gigantes del comercio minorista como Marks and Spencer, Harrods y Co-Op sufrieron ciberataques que pusieron en jaque sus operaciones. Detrás de estos ataques estaba DragonForce, un grupo de cibercriminales mayoritariamente rusos. Pero ahora, este mismo grupo ha iniciado una guerra contra uno de sus principales competidores: RansomHub.
No estamos ante simples riñas de patio de colegio. Esta batalla está ocurriendo en las profundidades de la dark web, donde ambos grupos compiten por dominar el lucrativo mercado del «Ransomware como Servicio» (RaaS). Y como dice Toby Lewis, jefe global de análisis de amenazas en Darktrace, «no hay honor entre ladrones» en el mundo del hacking.
El modelo de negocio detrás del caos
El ransomware como servicio funciona como un macabro negocio en la nube: estos grupos desarrollan el software malicioso y la infraestructura necesaria para los ataques, y luego venden estos «servicios» a otros criminales (conocidos como «afiliados») que son quienes realizan los ataques directos. Es una especie de franquicia del cibercrimen.
Entre estos afiliados destacan nombres como Scattered Spider, vinculado tanto al ataque a M&S como al reciente hackeo de la aerolínea australiana Qantas. Son los ejecutores materiales, pero las herramientas y el soporte técnico vienen de grupos como DragonForce o RansomHub.
Una disputa empresarial… pero sin reglas
La tensión entre estos dos grupos escaló cuando DragonForce se rebrandeó en marzo de 2025 como un «cartel», ampliando su oferta de servicios para atraer más afiliados. Casi inmediatamente, el sitio web de RansomHub fue atacado y derribado, apareciendo un mensaje que decía «R.I.P 3/3/25». Según expertos de Sophos, esto fue obra de DragonForce.
La respuesta no se hizo esperar: un miembro de RansomHub contraatacó desfigurando el sitio de DragonForce y etiquetándolos como «traidores». Sí, estamos hablando de una auténtica guerra de bandas, pero en el ciberespacio y con empresas globales como víctimas colaterales.
«DragonForce podría estar intentando atraer a los afiliados de RansomHub», explica Genevieve Stark, especialista de Google en análisis de cibercrimen. Y no solo han ido a por RansomHub; también se cree que han atacado a otros competidores como BlackLock y Mamona.
Doble extorsión: cuando las empresas pagan dos veces
Las consecuencias de esta guerra podrían ser devastadoras para las organizaciones. Imagina que tu empresa ya ha sido víctima de un ataque de ransomware, has negociado con los criminales y has pagado un rescate para recuperar tus sistemas. Y entonces, debido a este conflicto entre bandas, aparece un segundo grupo exigiendo otro pago.
Esto ya ha ocurrido. El año pasado, UnitedHealth Group sufrió una extorsión doble debido a una disputa similar. El grupo de hackers Notchy, tras ver cómo su socio original les robaba un rescate de 22 millones de dólares, se acercó a RansomHub para intentar extraer un segundo pago a la víctima.
Como me comentaba hace poco un experto en respuesta a incidentes: «El problema no es solo el primer ataque, sino que una vez que tus datos están comprometidos, cualquiera puede intentar sacar tajada». Y en un entorno sin reglas como este, las empresas quedan en una posición extremadamente vulnerable.
El coste real de esta guerra cibernética
Mientras estos grupos se pelean por el control del mercado criminal, los daños colaterales son enormes. Según Cybersecurity Ventures, el coste global del cibercrimen alcanzará los 10 billones de dólares en 2025, triplicando la cifra de 2015. Y una parte importante de ese incremento viene del ransomware.
Los números son impresionantes: DragonForce, identificado por primera vez en agosto de 2023, listó 82 víctimas en su sitio de la dark web en los siguientes 12 meses. Por su parte, RansomHub ha reportado aproximadamente 500 víctimas solo en 2024, según datos de Group-IB.
Esta escalada no parece tener fin. Como advierte Jake Moore, asesor global de ciberseguridad en ESET: «Recuerda que este es un entorno sin ley, donde las reglas normales de competencia simplemente no se aplican».
Las implicaciones para la defensa empresarial
En el mundo de la ciberseguridad estamos acostumbrados a actualizar constantemente nuestras defensas contra tácticas cada vez más sofisticadas. Pero este nuevo escenario añade una capa adicional de complejidad: ya no solo debemos defendernos de ataques directos, sino también prepararnos para las consecuencias de las guerras entre criminales.
Rafe Pilling, director de inteligencia de amenazas en Sophos, advierte que en el peor de los casos, este conflicto podría llevar a que ambos grupos ataquen simultáneamente el mismo objetivo. Es como si dos bandas de ladrones decidieran robar el mismo banco a la vez, solo que en este caso, el banco eres tú.
Preparándose para un escenario cambiante
El mensaje para las empresas es claro: en 2025, las estrategias de ciberseguridad deben contemplar no solo la protección contra ataques, sino también planes de contingencia para estos nuevos escenarios de conflicto entre grupos criminales.
La situación nos recuerda que el panorama de amenazas evoluciona constantemente, y que debemos estar preparados para lo inesperado. Porque si algo nos enseña esta guerra del ransomware, es que en el cibercrimen, como en cualquier negocio competitivo, las disputas por el mercado acaban afectando a los clientes. La diferencia es que, en este caso, los «clientes» son víctimas involuntarias de un juego cada vez más peligroso.
