Mercado Libre y The Gentlemen en julio de 2026

Timeline de la operación

Cadena de ataque y TTPs

La cadena técnica observable en el material es incompleta, pero suficiente para inferir un patrón operativo. El primer bloque es la publicación o reclamo en el leak site, acompañado por una amenaza de divulgación de datos sensibles. Eso ya coloca el caso en el terreno de la extorsión con datos, incluso si no hay evidencia pública de cifrado efectivo. El segundo bloque, cuando aparece, es la afirmación de exfiltración de archivos internos. Ese detalle se repite en varios reportes sobre Mercado Libre y en otros casos atribuidos al mismo grupo.

Lo que no aparece, al menos no de forma pública y verificable, es el vector inicial de acceso. No hay confirmación de phishing, explotación de vulnerabilidad, credenciales robadas, acceso a terceros o movimiento lateral documentado para este caso. Tampoco hay una familia de ransomware atribuida con validación independiente. Por eso, cualquier lectura sobre la secuencia completa debe mantenerse en el nivel de hipótesis apoyadas por el comportamiento general del actor, no como hecho probado.

El material sí permite sostener que The Gentlemen opera con lógica de doble o simple extorsión basada en datos. InCyber afirma que el grupo promocionó campañas en 2026 ofreciendo hasta 97 por ciento de los ingresos a afiliados sin necesidad de cifrar sistemas. Eso es coherente con la ausencia de evidencia pública de interrupción operativa en Mercado Libre. En otras palabras, el incidente puede haber estado enfocado en robo y presión, más que en indisponibilidad técnica visible.

La infraestructura defensiva del grupo también forma parte de su TTP. NetSecOps y Cybersecurity News describen el uso de GentleKiller como módulo para terminar procesos de EDR y antivirus, degradar detección y cegar herramientas de seguridad antes de la fase de cifrado y extorsión. Cybersecurity News añade que el grupo anunció mejoras técnicas en el locker, como desenganche de NTDLL, eliminación de breakpoints de hardware y parcheo de ETW. No existe un nexo forense publicado que demuestre que esas capacidades se usaron específicamente contra Mercado Libre, pero sí ayudan a entender la madurez del adversario.

En el plano de objetivos, el patrón del grupo es agresivo y masivo. Ransomware.live y Scrutex muestran una campaña con más de 320 víctimas reclamadas, más de 1.570 vinculadas por un C2 comprometido y 40 publicaciones en cuatro días durante la semana del 12 de julio. Eso sugiere una operación de alta cadencia, con fuerte dependencia del leak site como mecanismo de validación, negociación y coacción.

Impacto regional

Panorama regional

Mercado Libre funciona como un activo de alta centralidad en el ecosistema digital latinoamericano. El material lo describe como la principal plataforma de e commerce y fintech de la región, con integración de pagos y logística. Por eso, la aparición del caso en el leak site de The Gentlemen trasciende una posible brecha aislada y se convierte en un evento de interés regional. Aun sin confirmación pública de indisponibilidad, el mero señalamiento de un actor de este tamaño afecta la percepción de riesgo en Argentina y en mercados donde la marca opera de manera transversal.

El dato regional más importante no es un corte de servicio, sino la combinación de tres elementos, primero, la publicación de la víctima en el sitio del grupo, segundo, la falta de muestra pública que permita dimensionar el alcance, y tercero, la continuidad aparente de Mercado Libre, Mercado Pago y otros servicios al menos en los días posteriores. Ese triángulo sugiere una operación orientada a extracción y presión, con impacto potencial en reputación, confianza y gestión de incidentes más que en la continuidad visible de la plataforma.

También es relevante que el caso haya recibido cobertura en medios de América Latina y de fuera de la región con enfoques distintos. Algunos remarcan la inclusión en el leak site y la exfiltración de archivos internos. Otros subrayan que no había prueba pública de una intrusión exitosa. PwdFortress, además, introduce cifras atribuidas a coberturas especializadas sobre posible acceso a código fuente y datos de unos 300.000 usuarios, pero esas cifras siguen siendo dependientes de reportes secundarios y no de una publicación forense primaria. La lectura regional correcta, por tanto, es prudente, hay una reclamación de brecha y presión extorsiva, pero no una validación pública sólida del daño total.

Argentina

Argentina es el país donde el caso queda mejor anclado. Ransomware.live, Breach House, RecentBreaches, Galaxy Warden, Dexpose, HackerFeeds, BreachSense, Rankiteo, Fortuna y Poder, WCYB Digital Radio y Samithota convergen en que Mercado Libre fue listada por The Gentlemen entre el 6 y el 7 de julio de 2026. El dominio citado es mercadolibre.com.ar y el contexto empresarial es claro, una compañía argentina con alcance continental y con servicios de pagos, comercio y logística profundamente integrados.

La tensión entre la reclamación pública y la falta de verificación operativa es el rasgo más importante del caso en Argentina. Fortuna y Poder informa que al 9 de julio no existía evidencia pública de intrusión exitosa ni de afectación operacional, y que la empresa no había emitido un comunicado oficial confirmando ransomware o filtración. Rankiteo refuerza la misma idea al indicar que la web seguía operando sin perturbaciones visibles. Eso no descarta un acceso o exfiltración, pero sí baja la probabilidad de un impacto disruptivo amplio y visible en el corto plazo.

En paralelo, el perfil histórico del caso en RecentBreaches lo clasifica como severidad alta y lo describe como exfiltración de archivos internos. Esa clasificación, aunque no equivale a prueba forense, refleja cómo el ecosistema de monitoreo de brechas estaba tratando el evento en tiempo real. La combinación de leak site, ausencia de muestra pública, continuidad del servicio y posible filtración parcial del código fuente dibuja un escenario de riesgo mixto, donde la confidencialidad y la presión reputacional pesan más que la indisponibilidad.

Mercado Libre, Mercado Pago y Mercado Envíos son especialmente sensibles porque una intrusión de alcance parcial puede habilitar fraude, ingeniería social, abuso de información operativa o reutilización de artefactos internos en campañas posteriores. El material no demuestra que eso haya ocurrido, pero sí que el actor buscaba monetizar la exposición de activos de alto valor.

Estados Unidos

En la sección de Estados Unidos del material no hay una víctima estadounidense nueva vinculada al caso de Mercado Libre. Lo que sí aparece son múltiples fuentes, entre ellas Breach House, RecentBreaches, Ransomware.live, Galaxy Warden, PwdFortress, Fortuna y Poder, Rankiteo, Scrutex, Cybersecurity News y WCYB Digital Radio, todas de circulación o alcance internacional, que ayudan a reconstruir la cronología y el encuadre del incidente. Eso importa porque el caso no se agotó en la prensa local, sino que fue absorbido rápidamente por agregadores y medios de inteligencia de amenaza con audiencia global.

El ecosistema estadounidense aporta, además, la narrativa de victimología masiva de The Gentlemen. IntelFusions reporta 41 víctimas en un solo día. Cybersecurity News describe 1.570 víctimas vinculadas por el C2 comprometido. Dataminr, aunque sobre TKMS/Atlas Elektronik, muestra el mismo patrón operativo de reclamación en leak site con exfiltración de gran volumen y posterior contraste con la respuesta de la víctima. Todo eso refuerza la lectura de Mercado Libre como parte de una campaña de presión a escala internacional, no como un caso aislado de mercado local.

No se identifican hechos verificables adicionales para Chile, Paraguay, Bolivia, Perú, Colombia, Brasil o México en el material provisto.

Indicadores técnicos

No se publicaron IOCs técnicos verificables para este caso en el material consolidado. No hay hashes, IPs, dominios de mando y control, rutas de malware, muestras ni firmas específicas asociadas al incidente de Mercado Libre que hayan sido confirmadas por una fuente primaria dentro del research. Esa ausencia también es un hallazgo operativo, porque limita la posibilidad de detección retroactiva basada en indicadores y obliga a trabajar con telemetría de comportamiento, registros de acceso y correlación de exfiltración.

Lo único cercano a un indicador es el dominio afectado, mercadolibre.com.ar, pero eso identifica a la víctima y no constituye un IOC utilizable para defensa. En consecuencia, cualquier despliegue de hunting o detección debería basarse en patrones de actividad del actor, como publicaciones en leak sites, amenazas de extorsión, posible presencia de herramientas de evasión de EDR en entornos afectados y eventos de salida de datos inusuales.

Análisis para equipos de seguridad

El caso deja una lección técnica bastante concreta, cuando un grupo de ransomware publica a una víctima en su leak site sin acompañar el reclamo con muestras públicas, el evento no debe tratarse como ruido, pero tampoco como evidencia suficiente de compromiso total. La respuesta correcta es asumir un escenario intermedio, posible exfiltración parcial o total, verificación de acceso no autorizado, revisión de logs de autenticación, correlación de actividad de endpoints y validación de salidas de datos en ventanas temporales cercanas al 6 y 7 de julio de 2026.

En una organización como Mercado Libre, o en empresas con una superficie parecida, el foco debe ponerse en tres capas. La primera es identidad, revisión de cuentas privilegiadas, tokens, sesiones, accesos remotos, MFA y credenciales de servicio. La segunda es detección de exfiltración, con monitoreo de egress anómalo, compresión y transferencia fuera de horario, uso de canales no habituales y correlación con eventos de archivo. La tercera es resiliencia operativa, segmentación, capacidad de aislar entornos, verificación de integridad de pipelines de despliegue y protección de secretos, código fuente y repositorios internos.

El material también sugiere una lectura de actor. The Gentlemen parece privilegiar la extorsión con datos y la visibilidad pública de la víctima, más que la destrucción o el cifrado masivo visible. Eso obliga a no medir el impacto solo por disponibilidad. Una empresa puede seguir operando con normalidad y, aun así, haber sufrido exposición de código, chats internos, registros de usuarios o artefactos operativos. Esa es justamente la zona gris que aprovechan este tipo de grupos.

La filtración del backend Rocket del propio grupo es un insumo útil para defensa. El volumen de mensajes, la exposición de herramientas como EDRStartupHinder y gfreeze, y la descripción de GentleKiller como killer de EDR permiten reforzar hipótesis de comportamiento, no como IOC literal sino como guía de detección por técnica. En entornos corporativos, conviene revisar alertas sobre terminación anómala de procesos de seguridad, alteraciones en ETW, manipulación de NTDLL, creación de procesos sospechosos y cambios súbitos en la visibilidad del endpoint.

Desde la perspectiva de priorización, la amenaza se ubica alto en impacto reputacional y alto en riesgo de abuso secundario si efectivamente hubo exfiltración de datos internos o de código fuente. Si la información publicada por PwdFortress y otras coberturas sobre unos 300.000 usuarios afectados fuera confirmada, el riesgo de fraude, phishing dirigido y explotación de información de soporte sería material. Pero mientras eso no esté validado por una fuente primaria o una investigación forense, lo más responsable es trabajar sobre el supuesto mínimo verificable, hubo inclusión pública en un leak site, presión extorsiva y ausencia de detalles técnicos oficiales.

Limitaciones del material

El principal límite es la falta de una confirmación forense independiente de alcance y vector de intrusión. No hay en el material una línea técnica validada que explique cómo ingresaron, qué sistemas comprometieron, cuánto tiempo permanecieron dentro ni qué datos fueron realmente exfiltrados. La evidencia pública disponible se concentra en el leak site y en agregadores de brechas, no en una investigación post incidente publicada por la víctima.

Tampoco hay muestras de datos, hashes, dominios de comando y control, direcciones IP, nombres de archivos o artefactos explotables. Eso impide construir IOCs concretos. Del mismo modo, las afirmaciones sobre acceso a código fuente, datos de usuarios y el posible impacto en unos 300.000 usuarios aparecen en artículos secundarios y están marcadas por el propio material como derivadas de reportes periodísticos y declaraciones iniciales, no de una auditoría forense independiente.

La cronología tiene una fuerte consistencia entre fuentes, pero no todos los timestamps son equivalentes. Ransomware.live, Breach House, RecentBreaches, HookPhish y HackerFeeds trabajan con ventanas de descubrimiento y publicación, no con hora forense de compromiso. Esa diferencia es importante, porque la fecha de aparición en un leak site no prueba el momento exacto de acceso inicial ni la magnitud del robo.

Por último, el material disponible no permite confirmar si hubo cifrado, si el incidente se limitó a exfiltración o si se trató de una mezcla de ambas cosas. La ausencia de datos de muestra y la continuidad aparente de los servicios sugieren un evento de presión y filtración más que una interrupción operativa visible, pero esa inferencia sigue siendo provisional.