Brasil concentra víctimas de ransomware listadas

Actualización 1 de noviembre de 2026: la nota suma el recuento regional de 1.080 víctimas de ransomware en América Latina y el Caribe, con 31,3% en infraestructura crítica, y agrega nuevos hallazgos técnicos sobre n0n, incluyendo víctimas confirmadas, objetivos y tácticas.

Brandefense/ATLAS registró 601 organizaciones de Brasil listadas como víctimas de ransomware en sitios de filtración. El monitoreo ubica a consultoría, educación e investigación, tecnología, gobierno y sector público, y retail entre los sectores más representados. Entre los grupos con víctimas brasileñas aparecen LockBit, The Gentlemen y RansomHub, según el tablero consultado el 29 de octubre de 2026.

¿Qué muestran los registros sobre Brasil?

ATLAS documentó además una actividad reciente que deja a Brasil en el centro de varios perfiles de ransomware. En septiembre de 2026, Brandefense registró 24 víctimas listadas en el país, equivalentes al 2,8% de las víctimas globales observadas en ese período. La cifra corresponde a monitoreo de sitios de filtración y reclamos publicados por los propios grupos.

En el recorte por víctimas recientes, ATLAS listó al Partido Liberal, reclamado por Whitearmor; GTL Concreto e Logística y MPI LTDA, reclamadas por Emperador; Prafesta, reclamada por N0n; Hospital Sírio-Libanês, reclamado por The-seven-deadly-sins; y Universidade de Passo Fundo y CLIMEDI, reclamadas por The Gentlemen. Los registros incluyen sectores como organizaciones sin fines de lucro, manufactura, construcción, salud y educación e investigación.

¿Qué dice ATLAS sobre Arcus Media y N0n?

ATLAS identificó a Brasil como el país con mayor proporción de víctimas de Arcus Media, un grupo de ransomware-as-a-service que emplea doble extorsión. La fuente documenta el uso de cifrado ChaCha20 más RSA-2048 y señala víctimas en manufactura, salud, retail y servicios empresariales. Para Brasil, tecnología fue el sector más representado, seguido por manufactura, consultoría, educación e investigación, y retail.

En el caso de N0n, ATLAS describió técnicas asociadas con acceso mediante Remote Desktop Protocol y cuentas válidas, ejecución mediante comandos, persistencia mediante autostart, ofuscación, staging de datos, inhibición de la recuperación, cifrado de datos y detención de servicios. Brasil representaba el 53,4% de las víctimas listadas por el grupo en el perfil consultado.

¿Qué otras víctimas y tácticas aparecen en el monitoreo?

ATLAS también registró a Eclipse con una víctima brasileña en retail, dipecarr.com.br, publicada el 8 de octubre de 2026. En paralelo, otras coberturas sobre N0n lo describieron como un grupo de extorsión emergente detectado por primera vez el 18 de septiembre de 2026, con organizaciones afectadas en Brasil entre otros países.

Cyberint lo caracterizó como un actor motivado financieramente, centrado en robo de datos y extorsión. Según esa observación, no se había visto cifrado de archivos y los reclamos del sitio de filtraciones se referían al robo de datos. El informe registró 120 víctimas en 28 países al 19 de octubre de 2026 y demandas de rescate de entre 2,4 y 25 millones de dólares.

Mallory, en una investigación atribuida a hallazgos de SOCRadar sobre un espacio de trabajo expuesto de operadores de N0n, mencionó scripts de ataque, código de un cifrador, infraestructura de extorsión y un entorno de programación asistido por IA. También advirtió que cuatro de 23 organizaciones implicadas solo mostraban intentos de acceso sin resultado demostrado. Cyware, por su parte, reportó credential stuffing, exfiltración de datos y cifrado, además de indicadores como el directorio C:\Users\Public\n0n\ y archivos con extensión .n0n.

¿Qué amplía el nuevo informe regional?

Una cobertura que cita datos de FortiRecon reportó 141 víctimas confirmadas de ransomware en Brasil, 69 en México, 50 en Argentina y 41 en Colombia durante 2025. En el plano regional, el informe de infraestructura crítica citado por Diario Financiero contabilizó 1.080 víctimas de ransomware en América Latina y el Caribe entre enero de 2025 y septiembre de 2026, con 31,3% de los casos en infraestructura crítica.

En ese recuento regional, los sectores con más organizaciones identificadas fueron gobierno, con 81; salud, con 78; y transporte y logística, con 68.

¿Qué agrega la investigación sobre n0n?

Cyberint reportó que n0n tenía 120 víctimas listadas en 28 países al 19 de octubre de 2026, aunque indicó que no había observado cifrado de archivos y que las publicaciones del sitio de filtraciones se referían únicamente a datos robados. Las demandas observadas oscilaron entre US$2,4 millones y US$25 millones.

SOCRadar identificó al menos 23 organizaciones involucradas en la operación de extorsión de n0n, distribuidas en 14 países, e incluyó entre los casos señalados a un ministerio argentino y un proveedor de servicios de Internet venezolano. Un análisis basado en esos hallazgos dijo además que n0n apuntó mediante credential stuffing a 305 dispositivos FortiGate SSL-VPN y también buscó servicios RDP expuestos. Ese recuento distinguió entre 93 víctimas publicadas en el sitio de filtraciones y 23 organizaciones objetivo confirmadas por la investigación.

SOCRadar informó que un espacio de trabajo expuesto asociado con n0n contenía scripts de ataque, código de cifradores, infraestructura de extorsión y un entorno de programación asistido por inteligencia artificial. Cuatro de 23 organizaciones presentaban únicamente intentos de acceso sin éxito demostrado, según ese análisis. SecurityArsenal añadió como TTPs asociados a n0n el acceso inicial mediante bordes o VPN, la ejecución de scripts y macros, el movimiento lateral con PsExec/WMI y la preparación de datos antes del cifrado, incluyendo eliminación de shadow copies, enumeración masiva y staging.

¿Qué se sabe de The Gentlemen?

Un perfil técnico de The Gentlemen identificó técnicas que incluyen propagación mediante Group Policy y vinculó al actor con los nombres Storm-2697, según Microsoft, y GOLD SHERWOOD, según Sophos. Ese material aporta contexto general sobre el actor, pero no confirma su responsabilidad en el incidente de Oldelval.