El ransomware The Gentlemen atacó a más de 250 víctimas de 17
países, entre los destacados se encuentran México, Colombia, Chile y Argentina, y representa una nueva
era de ataques personalizados y ultra-adaptativos. A diferencia de otros grupos, este Ransomware as a
Service (Raas) estudia las defensas específicas de su víctima y adapta sus herramientas durante la
campaña para superar los controles existentes. ESET, compañía líder en detección proactiva de
amenazas, analiza el nuevo escenario de los grupos que secuestran información y advierte cómo esta
organización disciplinada, detallista y altamente metódica derrumbó los esquemas tradicionales para ser
una de las amenazas más activas desde julio de 2025.
“Es un grupo emergente de ransomware as a Service que irrumpió en la escena cibercriminal a mediados
de 2025. A diferencia de otros grupos con estéticas más descuidadas o rústicas, The Gentlemen destaca
por una identidad de marca pulida. Al punto que posee un sitio de filtraciones en la  dark web  con un
logotipo profesional y un lema que refuerza su imagen de organización disciplinada y muy orientada al
detalle. Este profesionalismo no es solo estético, sino que se refleja en la precisión de sus ataques y en la
calidad técnica de sus herramientas.”, menciona Martina Lopez, investigadora de seguridad informática
de ESET Latinoamérica.
Su modelo operativo se basa en la doble extorsión, táctica donde no solo se cifran los archivos de la
víctima para bloquear el acceso, sino que también se exfiltran datos confidenciales antes del cifrado.
Una vez que poseen la información, amenazan con publicarla en su sitio de filtraciones si no se paga el
rescate. Esta estrategia ejerce una presión masiva sobre las empresas, especialmente aquellas que no
pueden permitirse una brecha de datos pública.

Imagen 1. Sitio del ransomware The Gentlemen en la dark web. Fuente: @DailyDarkWeb.

ESET -Nota de Prensa

Un ataque de ransomware a cargo de The Gentlemen suele comenzar aprovechando accesos expuestos
en internet (sistemas con administración abierta) o utilizando credenciales previamente robadas. Una
vez dentro, despliegan herramientas para explorar la red interna, entender cómo está organizada la
empresa e identificar usuarios con permisos elevados, especialmente aquellos con acceso total a los
sistemas.
Para moverse dentro de la red y escalar el ataque, utilizan herramientas que les permiten ejecutar
acciones en múltiples equipos de forma remota y modificar configuraciones clave. De esta manera,
logran distribuir el ransomware de forma simultánea en todos los dispositivos conectados, debilitando
además los mecanismos de seguridad para facilitar el acceso y control remoto.
En la etapa final, combinan dos acciones críticas: por un lado, roban información sensible y la envían a
servidores externos de forma cifrada; por otro, bloquean los sistemas mediante cifrado. Una vez
completado el ataque, ejecutan procesos diseñados para borrar sus huellas: eliminan registros de
actividad, conexiones remotas y cualquier evidencia que permita reconstruir lo ocurrido, dificultando así
la investigación posterior.
Su primera víctima documentada se registró el 30 de junio de 2025 y desde entonces, su actividad no ha
cesado. Afectó a sectores críticos como la manufactura, la construcción, la salud, los seguros y los
servicios financieros.

Imagen 2. Detalle de las víctimas del The Gentlemen. Fuente:  ransomware.live.

A nivel geográfico, su impacto es global, pero los países más afectados incluyen a Estados Unidos y
Tailandia, seguidos por India, México, Colombia, España y Francia. Esta distribución sugiere que el grupo
aprovecha oportunidades de acceso donde se presentan, sin una agenda geopolítica evidente.
A mitad de marzo de 2026 publicó en su sitio web el ataque a dos organizaciones de Colombia en las
áreas de atención médica y medios de comunicación. Durante febrero, en Argentina atacó a un instituto
de investigación científica gubernamental  y, en marzo, reclamó el ataque a un organismo de Chile. Por
otro lado, según el sitio ransomware.live también contabilizó víctimas en Brasil, Perú, Ecuador,
Venezuela, Guatemala, República Dominicana, Costa Rica y Panamá.

ESET -Nota de Prensa

Imagen 3. The Gentlemen informa en su sitio web del ataque a canal de televisión.
Desde ESET acercan un listado de recomendaciones para protegerse del ransomware The Gentlemen:
 Reducir la exposición en internet: revisar qué sistemas están accesibles desde afuera y cerrar
cualquier acceso innecesario, especialmente paneles de administración o accesos remotos.
 Proteger las credenciales: utilizar contraseñas únicas y robustas, activando el doble factor de
autenticación y monitoreando cualquier inicio de sesión sospechoso.
 Mantener todo actualizado: aplicar parches de seguridad en sistemas operativos, servidores y
aplicaciones. Muchas de sus intrusiones explotan fallas ya conocidas.
 Detectar comportamientos anómalos: implementar soluciones que permitan identificar actividad
inusual dentro de la red, como accesos fuera de horario o ejecuciones remotas inesperadas.
 Limitar privilegios: no todos los usuarios necesitan acceso total. Reducir permisos minimiza el
impacto si una cuenta es comprometida.
 Segmentar la red: separar sistemas críticos evita que un atacante se mueva libremente y
comprometa toda la infraestructura.
 Realizar backups: efectuar copias de seguridad periódicas, y almacenarlas de forma aislada,
verificando que puedan restaurarse correctamente.
 Capacitar al equipo: el error humano sigue siendo una de las principales puertas de entrada. La
concientización es clave.
“En un escenario donde los ataques ya no son masivos sino personalizados, la pregunta deja de ser si una
organización puede ser objetivo, y pasa a ser cuándo. Entender cómo operan grupos como The
Gentlemen es el primer paso para anticiparse a una amenaza que ya no avisa.”, concluye Lopez de ESET.