Qilin y la explotación de Fortinet

Cadena de ataque y TTPs

La cadena de ataque atribuida a Qilin en el material consolidado tiene una estructura repetida. Primero aparece el acceso inicial. Las fuentes no muestran un único método, sino un patrón híbrido, con campañas de phishing, credenciales robadas, servicios remotos expuestos y explotación de appliances de borde. En el caso de Fortinet, Scrutex.ai, Paubox y Viakoo sitúan a CVE-2024-21762 y CVE-2024-55591 como las puertas de entrada más relevantes. La primera permite ejecución remota de código sobre SSL VPN. La segunda facilita el bypass de autenticación. Juntas, abren la posibilidad de automatizar intrusiones a gran escala contra firewalls FortiGate y FortiProxy que siguen expuestos o desactualizados.

Después del ingreso, las fuentes describen reconocimiento interno y movimiento lateral. LinkedIn, en el análisis sobre Qilin del 9 de junio de 2026, menciona RDP, SMB y WMI como mecanismos usados para expandirse dentro de la red. ProvenData agrega autenticaciones anómalas de VPN o RDP, actividad de dominio admin desde estaciones no administrativas, accesos masivos a LSASS correlacionados con movimiento lateral, eliminación en bloque de copias de sombra y terminación simultánea de servicios como señales de alto valor. El objetivo final es llegar a sistemas de mayor alcance, en especial hipervisores VMware ESXi, porque el cifrado del hipervisor derriba múltiples cargas de trabajo a la vez.

La extorsión se ejecuta en dos planos. El técnico, con cifrado multiplataforma sobre Windows, Linux y ESXi. Y el de presión pública, con robo previo de datos, amenaza de publicación o venta, contacto por correo y chats Tor, y aumento del precio tras 72 horas, según el material sobre Qilin en LinkedIn. Ese componente de doble extorsión explica por qué los sitios de filtración de datos son parte central del ecosistema. El daño no se mide solo por la indisponibilidad, sino por el riesgo de exposición y la monetización secundaria de la información.

FortiBleed introduce un segundo nivel táctico. Ya no se trata únicamente de explotar una vulnerabilidad en el perímetro, sino de comprometer credenciales de forma masiva para luego reutilizarlas. Bitsight habla de hashes SHA-256 heredados y cracking offline con 45 GPU. The Hacker News explica una estrategia automatizada en dos fases: primero probar combinaciones de usuario y contraseña conocidas, luego observar de manera pasiva el tráfico de autenticación que atraviesa el firewall para recolectar nuevas credenciales. Devel Group añade el uso de FortiGateSniffer, una herramienta en Go que abusa del comando diagnose sniffer packet, y la creación de cuentas administrativas fantasma con nombres que imitan componentes legítimos de Fortinet.

La relación entre Qilin y Fortinet es también estructural. La cobertura de Fortinet, CISA, el Centro Canadiense para la Ciberseguridad y Arctic Wolf muestra que el problema se expandió más allá de un caso puntual. Hay credenciales comprometidas, configuraciones expuestas, firewalls sin parches y ecosistemas de acceso inicial que se venden o comparten. Eso explica por qué grupos distintos, incluidos algunos vinculados entre sí como The Gentlemen y Securotrop, terminan convergiendo sobre la misma superficie de ataque.

Impacto regional

Panorama regional

El material disponible no permite reconstruir una métrica única para toda América Latina, pero sí deja ver un patrón de presión homogéneo. Chile aparece como el caso más medido, con 8,8 billones de intentos de ciberataque en 2025 y 58 incidentes registrados en apenas seis meses de 2026. Brasil figura como uno de los focos regionales de víctimas de ransomware y de exposición a campañas de phishing y compromiso de sistemas públicos. Paraguay y Bolivia aparecen en paneles de seguimiento de ransomware, aunque con menos detalle público sobre los nombres de las organizaciones afectadas. En paralelo, Colombia y Perú no tienen hechos verificables adicionales en el material aportado, lo que no implica ausencia de riesgo sino ausencia de evidencia consolidada en este corpus.

Argentina

No hay hechos verificables adicionales en el research para Argentina. El material no aporta víctimas, campañas, ni atribuciones confirmadas para este país dentro del corpus provisto.

Chile

Chile concentra la mayor densidad de datos y, por eso, funciona como el mejor termómetro del fenómeno. SEK, según G5 Noticias, registró 58 incidentes con impacto o exposición sobre organizaciones chilenas entre enero y junio de 2026. De esos casos, 18 fueron publicaciones en sitios de divulgación de ransomware y 40 publicaciones en foros de cibercrimen de la dark web. La proporción importa porque muestra que el problema ya no se reduce a intentos o detecciones, sino a exposición pública efectiva de datos y a procesos de extorsión que terminan en leak sites. Además, las publicaciones en DLS crecieron 50 por ciento frente al mismo período de 2025.

Qilin fue el actor más visible en ese subconjunto. G5 Noticias le asigna 11 de las 18 publicaciones de ransomware en DLS, un 61 por ciento del total. La lectura de La Tercera va en la misma dirección: Chile fue identificado como uno de los países donde operan activamente grupos internacionales de secuestro de datos y robo de credenciales que afectaron al sector público, infraestructura crítica, servicios financieros y grandes empresas. El propio artículo menciona a Qilin como un RaaS especializado en campañas automatizadas y abuso de configuraciones de nube mal gestionadas, y a The Gentlemen como otro actor activo en Chile, con foco en dobles extorsiones.

El mapa de Ransomware.live suma contexto operacional. La página de Chile reporta 74 víctimas asociadas a organizaciones del país, todas agregadas a partir de publicaciones en DLS. Entre las víctimas atribuidas a Qilin en 2026 aparecen Valbifrut, Graneles de Chile, Noi Hotels, SAAM Towage, Calidra y Comercial Echave Turri Limitada. La fecha de descubrimiento de estos casos se concentra entre enero y mayo de 2026, lo que refuerza la idea de una actividad sostenida y no de un evento aislado. En paralelo, Ransomware.live marca otros actores como LockBit5, Incransom y Anubis, confirmando que el entorno local está fragmentado entre varias familias y marcas de extorsión.

También hay señales sectoriales. El resumen del informe SEK, citado por G5 Noticias, ubica al Gobierno como principal objetivo con 10 incidentes combinados, seguido por Finanzas con 8, Educación con 6, Salud con 6 y Energía o Minería con 5. Eso no solo identifica sectores de alto valor, sino que permite inferir dónde están los sistemas expuestos y dónde el impacto podría ser más severo en caso de cifrado o exfiltración. La aparición de NOI Hotels amplía el alcance hacia turismo y hospitalidad, un segmento crítico por su dependencia de la disponibilidad operativa y de la protección de datos de huéspedes.

Una referencia de Care Telecom menciona una clínica en Chile entre las 15 nuevas víctimas reclamadas por Qilin en una ventana de 72 horas durante la primera semana de junio de 2026. La fuente no identifica a la clínica por nombre, por lo que no puede ir más allá de la inferencia de exposición del sector salud. Aun así, encaja con el resto del patrón regional, donde Qilin apunta a organizaciones que no siempre cuentan con controles robustos sobre accesos remotos, segmentación o recuperación ante incidentes.

Paraguay

Paraguay aparece en el corpus de dos maneras. La primera es institucional. Check Point Research reporta explotación activa de CVE-2026-50751 en gateways de acceso remoto y señala que al menos un caso estuvo vinculado a actividad de ransomware de Qilin. En el extracto indexado del informe aparece además la palabra Paraguay en ese contexto, aunque el material no permite atribuir una víctima concreta ni determinar si el país fue afectado por la misma campaña o si solo figura como referencia dentro del documento.

La segunda aparición es operativa. El panel de Ransomware.live para México incluye una entrada asociada a Qilin en la que se menciona a Healthcare S.A. como víctima y se la describe como una empresa de origen paraguayo fundada por una familia, con fecha de descubrimiento del caso el 15 de junio de 2026. El material no aclara si el incidente afectó operaciones en Paraguay, México o una estructura corporativa transnacional. Lo verificable es la presencia de la entidad en el tracker y su asociación con Qilin.

Legal-ISAC, por su parte, muestra en su tablero RansomWatch al menos una víctima asociada a Qilin en Paraguay, clasificada en el sector de tecnología de la información. Eso confirma que el país ya aparece en los radares de seguimiento de ransomware con actividad atribuida al grupo. A esa capa se suma una publicación no confirmada en Instagram que describe un ataque contra los sanatorios privados Migone, Grupo Británico y Reyva, con interrupciones en historias clínicas, turnos y facturación. Esa información no está corroborada por una fuente institucional, por lo que debe tratarse como indicio y no como hecho consolidado.

La Tribuna Paraguay informó además un ciberataque mediante ransomware atribuido por un grupo que se autodenomina CyberTeam contra InfoCheck, asociado a Equifax Paraguay. Esa pieza sí figura como confirmada en el corpus, aunque no establece relación con Qilin. El cuadro paraguayo, por tanto, muestra actividad de ransomware en el país, pero no permite afirmar que toda esa actividad pertenezca al mismo actor.

Bolivia

Bolivia aparece con menos volumen, pero con bastante claridad temática. Scrutex.ai reporta que Qilin encabezó las publicaciones en su leak site durante la semana analizada con 25 víctimas, equivalentes al 13 por ciento del total. Dentro de ese universo, Bolivia figura entre los países con entre una y tres organizaciones afectadas, sin que el informe publique nombres concretos. El mismo reporte ubica a Qilin como un actor que explota principalmente vulnerabilidades de borde, herramientas de gestión remota e hipervisores, y subraya explícitamente las fallas de Fortinet CVE-2024-21762 y CVE-2024-55591 como puertas de entrada.

El valor de esa mención no está solo en la presencia de Bolivia, sino en la similitud técnica con lo visto en Chile y en el resto de la región. Scrutex.ai cita a PRODAFT y ReliaQuest para afirmar que decenas de miles de dispositivos Fortinet permanecieron expuestos meses después del parche. Si el perímetro sigue abierto, el efecto de arrastre sobre países con menor visibilidad pública se vuelve difícil de medir pero no por eso menos real. Orbital Laika refuerza esa lectura al mencionar de forma explícita amenazas en Bolivia en el contexto del informe global FortiGuard de Fortinet.

El material aporta además dos publicaciones de LinkedIn que afirman, de modo no confirmado, que Krybit habría afectado a la Agencia de Infraestructura en Salud y Equipamiento Médico de Bolivia, AISEM. Ambas piezas describen una interrupción de infraestructura de salud y equipamiento médico, pero no hay comunicado oficial ni detalles técnicos del vector de acceso. Por eso deben leerse como señales de posible exposición, no como atribución cerrada.

Perú

No hay hechos verificables adicionales en el research para Perú. El corpus no aporta víctimas confirmadas, incidentes atribuidos ni datos técnicos específicos para ese país.

Colombia

No hay hechos verificables adicionales en el research para Colombia. El material no contiene víctimas ni campañas confirmadas asociadas al país dentro de las fuentes consolidadas.

Brasil

Brasil aparece como el otro gran punto de referencia regional junto con Chile. La Tercera, citando el estudio de Fortinet, señala que el país concentró cerca del 30 por ciento de las víctimas de ransomware de la región y registró 309 millones de intentos de phishing en 2025, equivalentes a 588 ataques por minuto. Ese dato está acompañado por una afirmación más amplia del mismo artículo: Brasil es uno de los países donde operan activamente grupos internacionales de secuestro de datos y robo de credenciales que afectan al sector público, infraestructura crítica, servicios financieros y grandes empresas.

En la dimensión técnica, Check Point Research publica una campaña de phishing en Brasil que abusa del agente legítimo NinjaOne para instalar un agente firmado en equipos corporativos, mediante portales en portugués y llamadas telefónicas de ingeniería social. Aunque el caso no se vincula directamente con Qilin, sí confirma que el país sufre un uso intensivo de acceso remoto legítimo para comprometer endpoints. En paralelo, el mismo informe menciona explotación activa de CVE-2026-50751 con un caso vinculado a Qilin, lo que refuerza la idea de que el grupo sigue de cerca las fallas de acceso remoto.

La recopilación de CM Alliance suma otro elemento. El 22 de junio de 2026, Brasil investigaba un posible ciberataque contra Defensa Civil Alerta, plataforma de la Secretaría Nacional de Protección y Defensa Civil, después de que se enviaran advertencias extremas falsas a miles de teléfonos móviles y se desconectara temporalmente el sistema. La fuente no atribuye el evento a Qilin, pero sí lo incorpora a un mes de junio especialmente activo para incidentes de alto impacto en el país.

En cuanto a ransomware, Red Piranha sitúa a Brasil dentro de un informe semanal en el que The Gentlemen lidera la actividad global y Qilin ocupa el segundo lugar. El mismo documento describe a Securotrop, una marca afiliada a Qilin, y registra actividad en Brasil y Chile. A eso se suma Care Telecom, que menciona una empresa del sector alimentario en Brasil entre las supuestas víctimas reclamadas por Qilin en una ventana de 72 horas durante la primera semana de junio. Esa referencia es no confirmada, pero encaja con el patrón regional de expansión de leak sites.

Estados Unidos

No hay hechos verificables adicionales en el research para Estados Unidos dentro de este bloque regional. Sí hay una referencia indirecta relevante: varios de los análisis técnicos de Qilin y FortiBleed mencionan campañas o clústeres de víctimas en firmas legales y consultoras de Estados Unidos, pero el corpus aquí provisto no desarrolló un bloque país con eventos específicos para esa jurisdicción.

Indicadores técnicos

No se publicaron IOCs clásicos, como hashes, dominios, IPs o rutas de archivo, en el material consolidado. Sí hay indicadores de comportamiento, versiones vulnerables y artefactos operativos relevantes para defensa y hunting.

Análisis para equipos de seguridad

La prioridad defensiva que surge del material no es ambigua. El acceso inicial sigue siendo el punto de quiebre, y en esta campaña el acceso inicial está muy ligado al perímetro. Si una organización expone FortiGate, FortiProxy o gateways de acceso remoto sin endurecimiento suficiente, la superficie se alinea con el patrón visto en Qilin y en el ecosistema FortiBleed. El hecho de que CISA, el Centro Canadiense para la Ciberseguridad y otros equipos nacionales hayan emitido alertas muy próximas en el tiempo indica que el problema ya trascendió una vulnerabilidad aislada.

A nivel operativo, lo primero es eliminar el supuesto de que el firewall o la VPN son solamente puntos de tránsito. En el material revisado, esos equipos aparecen como objetos de compromiso, de persistencia y de recolección de credenciales. Devel Group describe cuentas administrativas fantasma. The Hacker News habla de un ataque automatizado que primero prueba credenciales y luego captura tráfico de autenticación. Bitsight agrega que el robo puede sostenerse fuera de línea mediante cracking de hashes. En consecuencia, el hardening debe contemplar no solo el parcheo, sino también la higiene de cuentas, el recambio de secretos y la revisión de configuración histórica.

La siguiente capa es detección. ProvenData ofrece un conjunto útil de señales: autenticaciones anómalas de VPN o RDP desde horarios, ubicaciones o dispositivos inusuales, actividad de dominio admin desde hosts no administrativos, accesos masivos a LSASS, eliminación en bloque de copias de sombra, terminación coordinada de servicios y cargas de drivers no alineadas con la línea base del endpoint. En redes con Fortinet, Devel Group recomienda buscar ejecuciones anómalas de diagnose sniffer packet y auditar cuentas con nombres diseñados para pasar por soporte legítimo. Si el equipo de monitoreo no ve esos eventos, el primer objetivo debería ser habilitar telemetría suficiente para capturarlos.

En mitigación, las fuentes son muy consistentes. Rotación inmediata de contraseñas de administración y VPN, activación obligatoria de MFA, actualización de FortiOS a la última versión disponible, cierre de administración externa salvo necesidad real y restricción a hosts de confianza. Cuando sea posible, la administración externa debe eliminarse por completo. El Centro Canadiense para la Ciberseguridad y Fortinet, según la cobertura de The Hacker News, también sugieren terminar sesiones administrativas y de VPN comprometidas y asumir que credenciales previas podrían estar reutilizadas de incidentes anteriores. Esa hipótesis es clave porque FortiBleed no depende de un solo vector, sino del acoplamiento entre exposición técnica y credenciales ya filtradas.

Para Chile, la lectura de riesgo es aún más urgente. Los 58 incidentes entre enero y junio de 2026 y el incremento del 50 por ciento en publicaciones DLS frente al mismo período de 2025 muestran que el problema tiene continuidad. La combinación de sectores objetivo, Gobierno, Finanzas, Educación, Salud y Energía o Minería, sugiere que el adversario entiende dónde maximiza el efecto operacional y reputacional. Para organizaciones con dependencia de hipervisores ESXi, la defensa debe incluir segmentación, privilegios mínimos sobre herramientas de administración y planes de restauración ensayados. Qilin apunta a cifrar hipervisores porque eso acelera el daño a múltiples sistemas. Si ESXi no está protegido, el resto de la contención llega tarde.

Limitaciones del material

El corpus disponible permite construir una línea técnica y regional sólida, pero no autoriza a cerrar varias atribuciones específicas. Las menciones de ATCOM Chile, la clínica en Chile, la empresa alimentaria en Brasil, AISEM en Bolivia, Healthcare S.A. en Paraguay y los sanatorios privados paraguayos aparecen en fuentes de distinta confiabilidad, varias de ellas con lenguaje de atribución no confirmada. Por eso no se tratan como incidentes plenamente verificados en esta investigación.

Tampoco hay IOCs clásicos publicados en las fuentes consolidadas. No se entregaron hashes, direcciones IP, dominios de C2 ni URLs de DLS con valor operacional directo para caza técnica. Lo que sí hay son nombres de herramientas, comandos abusados, familias de vulnerabilidades y cuentas fraudulentas observadas por los investigadores citados.

Otra limitación es el desbalance geográfico. Chile concentra la evidencia más fuerte y cuantificable. Brasil aparece con bastante contexto, pero con menos atribución directa a Qilin en incidentes concretos. Paraguay y Bolivia cuentan con señales de exposición y seguimiento en plataformas de inteligencia, aunque sin la misma densidad de detalles. Argentina, Perú, Colombia y Estados Unidos no aportan hechos verificables adicionales dentro del bloque regional solicitado.

Finalmente, la información sobre FortiBleed es abundante pero heterogénea en sus estimaciones de alcance, con cifras que van desde más de 30.000 equipos hasta 86.644 dispositivos FortiGate comprometidos. Esa dispersión no invalida la campaña, pero sí obliga a tratar los números como estimaciones de diferentes equipos de investigación y no como un total único consolidado.