CyberCartel: Straiker vincula a México con el grupo

Actualización 23 de octubre de 2026: la cobertura nueva amplió el alcance atribuido a CyberCartel, que ahora aparece asociado a ataques contra más de 400 instituciones financieras de América Latina, no solo a objetivos financieros regionales. También sumó detalles técnicos sobre el repositorio, con 4.493 registros, y sobre el sistema CARLIY0S, con agentes de Claude, Grok y Kimi.

Straiker identificó a un grupo denominado CyberCartel que, presuntamente, utilizó modelos de inteligencia artificial para coordinar ataques contra más de 400 instituciones financieras de América Latina. El informe también mencionó posibles vínculos con México, una infraestructura llamada CARLIY0S y una base de datos financiera con referencias al SPEI, pero no confirmó públicamente bancos mexicanos afectados ni vulneraciones concretas a instituciones específicas.

¿Qué dijo el informe sobre CyberCartel?

Straiker describió al grupo como responsable de una campaña contra más de 400 instituciones financieras en la región, según la cobertura difundida por distintos medios. En esa atribución, el actor aparece también bajo los nombres AiPT-67 y Tr4nsHack Team, con una fachada llamada Hexagon Security Labs Mexico, pero esa nomenclatura no equivale a una atribución estatal ni a una identificación judicial.

La referencia a CARLIY0S forma parte de la infraestructura que el reporte asoció con la actividad atribuida a CyberCartel. La información disponible no agrega una validación externa independiente de esa relación, por lo que la mención debe leerse como parte del seguimiento técnico divulgado por la firma y no como una confirmación oficial.

¿Qué se encontró sobre México y el SPEI?

Una cobertura del informe señaló que una base de datos llamada FinancialSoft fue localizada el 24 de septiembre de 2026 y contenía registros financieros sensibles, además de información relacionada con el Sistema de Pagos Electrónicos Interbancarios, SPEI, de México. La misma fuente aclaró que no se puede establecer qué instituciones mexicanas habrían sido afectadas.

Ese punto deja una diferencia clave entre la presencia de referencias a México en el material y la confirmación de un impacto concreto. El reporte, tal como fue cubierto, no identificó públicamente bancos mexicanos comprometidos ni precisó si hubo una intrusión efectiva contra entidades concretas del país.

¿Qué tan firme es la atribución técnica?

La cobertura técnica atribuye a Straiker el seguimiento del actor bajo los nombres AiPT-67 y Tr4nsHack Team, y asocia a esa actividad una fachada denominada Hexagon Security Labs Mexico. Sin embargo, el propio material recuerda que esa denominación no alcanza para hablar de una atribución estatal ni de una identificación judicial.

Global Enterprise Roundtable agregó que el inventario incluía más de 270 informes de pruebas de penetración y más de 200 vulnerabilidades, algunas descritas por Straiker como zero-days. Aun así, en los resultados citados no aparece un CVE, una validación externa ni una notificación de fabricante que confirme esas vulnerabilidades.

La campaña, según la cobertura, involucró también el uso presunto de agentes de Claude, Grok y Kimi en la coordinación de ataques contra entidades financieras latinoamericanas. Ese detalle figura en varias de las fuentes disponibles, pero sigue siendo parte del reporte atribuido a Straiker y no de una confirmación independiente.

¿Qué otros detalles técnicos sumó la cobertura?

Las coberturas posteriores añadieron que un repositorio asociado al caso contenía 4.493 registros, entre ellos 2.911 correos electrónicos, 903 números CLABE, 391 claves de acceso a interfaces de programación y 67 contraseñas en texto claro. Esos datos amplían el alcance del material atribuido a la operación, aunque siguen dependiendo de la investigación reseñada por los medios.

Automater.ai describió además un sistema denominado CARLIY0S, con un agente coordinador basado en Claude ejecutado dentro de Cursor, agentes especializados para reconocimiento y generación de exploits, recolectores basados en Grok y modelos Kimi como alternativa ante negativas de otros modelos. Cybersecurity Times agregó tres cargas automatizadas asociadas al sistema: escaneo de bases Oracle, búsqueda de cadenas JDBC y claves SSH, y mapeo de subredes internas, incluido el ejemplo 172.30.2.x.

CybersecurityNews informó que los datos obtenidos por los agentes de Grok se habrían centralizado en una base denominada FinancialSoft y que Kimi habría funcionado como mecanismo de fallback cuando otros modelos rechazaban solicitudes ofensivas. Esa cobertura presentó ambos elementos como detalles técnicos adicionales atribuidos al reporte de Straiker.

¿Qué dijo la cobertura sobre México en esta etapa?

Infobae señaló indicios de una posible vinculación de la operación con México, pero no confirmó públicamente que todas las entidades afectadas estuvieran en ese país ni identificó víctimas específicas. Esa cautela mantiene abierta la diferencia entre una referencia técnica a México y la confirmación de un impacto concreto en instituciones mexicanas.

El resultado, por ahora, sigue siendo el mismo en ese punto central, la presencia de referencias al SPEI y a México en el material no alcanza para afirmar que hubo bancos mexicanos comprometidos de forma pública o verificada. La atribución permanece apoyada en la reconstrucción de Straiker y en la cobertura posterior que la amplió.