Para entender la amenaza que representan los carteles de cibercrimen, la clave radica en identificar cómo grupos como DragonForce han transformado el secuestro de datos tradicional en una infraestructura descentralizada bajo el modelo de marca blanca. Estas organizaciones ya no se limitan a desarrollar malware; ahora alquilan paneles de control, sitios de filtración, servicios de auditoría de datos robados y kits de extorsión telefónica a terceros, permitiendo que actores sin experiencia técnica operen sus propios sellos criminales y amplíen los ataques en América Latina.
La consolidación de los carteles de cibercrimen marca el inicio de una etapa crítica para la seguridad corporativa. Este fenómeno se traduce en una profesionalización acelerada del delito digital, donde la infraestructura operativa se independiza de la marca pública del atacante, complicando los procesos de atribución y la respuesta ante incidentes en la región.
La metamorfosis de DragonForce: De banda aislada a cartel cibercriminal
Surgido a finales de 2023 bajo el esquema clásico de Ransomware como Servicio (RaaS), DragonForce ha registrado cerca de 600 víctimas en más de 60 países. Si bien Estados Unidos concentra la mayor cantidad de incidentes, su presencia en América Latina ha impactado de forma directa a organizaciones en Colombia, Brasil, Argentina, México, Costa Rica, Guatemala y República Dominicana.
Tras las operaciones policiales internacionales que desarticularon a grupos competidores como LockBit, la organización redefinió su estrategia. El grupo comenzó a autodefinirse de forma explícita como un cartel de cibercrimen, ofreciendo a sus afiliados comisiones de hasta el 80% y un nivel de anonimato superior.
David González, Investigador de Seguridad Informática de ESET Latinoamérica, señala el impacto de esta transición:
«DragonForce pasó de ser un grupo de ransomware as a service a adoptar un modelo que sus operadores describen como un ‘cartel’. Esto representa la consolidación de una tendencia: el paso del ransomware como malware al ransomware como plataforma de servicios criminales. Hoy ofrecen toda la infraestructura para que otros grupos operen bajo su plataforma: paneles de administración, sitios de filtración, sistemas de negociación y soporte técnico.»
El modelo de «Marca Blanca» en los carteles de cibercrimen
A diferencia del modelo RaaS tradicional, donde los afiliados debían firmar el ataque bajo el nombre de la banda principal, el modelo de negocio estructurado por los carteles de cibercrimen introduce el concepto de White-Label o marca blanca.
[Cartel de Cibercrimen (DragonForce)]
│
┌─────────────────────────┼─────────────────────────┐
▼ ▼ ▼
[Grupo Afiliado A] [Grupo Afiliado B] [Grupo Afiliado C]
(Marca propia/Local) (Marca propia/Local) (Marca propia/Local)
│ │ │
└─────────────────────────┼─────────────────────────┘
▼
[Infraestructura Compartida]
• Servidores C2 y Paneles de Negociación
• Kits de Extorsión Telefónica
• Análisis de Datos Robados
Esta estructura descentralizada permite que una célula delictiva pequeña utilice los servidores, paneles de negociación y canales de extorsión del cartel manteniendo su propia identidad visual o atacando de forma anónima. Para la víctima y los equipos de respuesta a incidentes, determinar qué actor ejecutó el ataque se vuelve una tarea sumamente compleja, ya que la infraestructura subyacente es compartida por decenas de grupos independientes.
Herramientas de extorsión avanzadas proporcionadas por el cartel
Para maximizar las probabilidades de cobro, estos carteles de cibercrimen entregan a sus afiliados un «kit de extorsión» integral que incluye:
-
Auditoría de datos exfiltrados: Análisis automatizado de la información robada para identificar el material más sensible de la víctima.
-
Inteligencia para presión regulatoria: Informes detallados sobre las multas y sanciones legales que enfrentaría la empresa víctima si la filtración se hace pública.
-
Directorios de presión directa: Listados de contactos de directivos y accionistas para realizar llamadas de acoso telefónico en tiempo real.
Implicaciones para la ciberseguridad empresarial en América Latina
La proliferación de los carteles de cibercrimen altera el análisis de riesgo para las organizaciones por tres factores principales:
-
Reducción de la barrera de entrada: Un actor malicioso con bajos conocimientos técnicos puede fundar su propia «marca» de ransomware de inmediato, utilizando la tecnología alquilada al cartel.
-
Resiliencia del ecosistema criminal: Si las autoridades logran desmantelar un grupo afiliado, la infraestructura central del cartel permanece intacta para dar soporte a nuevas células.
-
Mayor agresividad en la extorsión: La combinación de secuestro de datos con presión regulatoria y acoso directo eleva la severidad del impacto financiero y reputacional.
Como concluye David González, «el verdadero riesgo no es la aparición de un nuevo ransomware, sino de un modelo de negocio criminal que convierte al ransomware en un servicio escalable, descentralizado y mucho más difícil de desmantelar. La próxima etapa del cibercrimen estará definida por plataformas capaces de sostener a decenas de grupos distintos».
Le puede interesar: Enlaces de pago: cómo verificarlos y usarlos de forma segura
