México y Brasil bajo intrusiones con IA

Actualización 13 de septiembre de 2026: The Hacker News agregó un nuevo alias para CL-CRI-1163, Breeze Comet, también referido como Plump Spider y SHADOW-AETHER-064. La cobertura refuerza que la campaña en Brasil apunta al sector financiero y busca abusar de infraestructura de pagos para hacer transacciones ilegales con fines de lucro.

Palo Alto Networks Unit 42 informó dos campañas activas dirigidas a organizaciones en América Latina. Una apuntó al sector transporte en México y alcanzó además ministerios del gobierno federal mexicano y servicios municipales de agua en México y Ecuador. La otra se centró en el sector financiero de Brasil. En paralelo, otros reportes de inteligencia describieron actividad de ransomware en la región, con México entre los países más afectados.

¿Qué detectó Unit 42 en México y Brasil?

Unit 42 observó servidores web vulnerables previamente reportados, phishing temático de empleo, herramientas personalizadas de acceso remoto y un proxy SOCKS5 basado en Go con nombres de archivo iterativos. También documentó acceso inicial mediante un adjunto de phishing con temática de currículum en febrero de 2026. La actividad fue atribuida al clúster CL-CRI-1163, sin que el resumen disponible la presentara como atribución definitiva a una familia específica de ransomware.

La actualización oficial del 3 de septiembre de 2026 aclaró que CL-CRI-1131, en México y Ecuador, es una intrusión con exfiltración de datos y uso de IA como apoyo operativo, no un ataque de ransomware. En esa campaña, los operadores intentaron repetidamente extraer SAM y NTDS.dit y terminaron recurriendo a copias de volumen sombra y scripts por lotes reescritos de forma iterativa durante la intrusión.

Cloud Security Alliance amplió esa lectura y señaló dos clústeres separados pero tácticamente superpuestos, CL-CRI-1131 y CL-CRI-1163. Según esa nota técnica, el primero afectó transporte en México, ministerios federales mexicanos y una empresa de agua municipal en Ecuador, mientras el segundo se concentró en el sector financiero de Brasil con señuelos de currículum. CSA Labs añadió que ambos clústeres usaban grandes modelos de lenguaje comerciales como apoyo operativo durante las intrusiones.

Machine Speed coincidió en que CL-CRI-1131 y CL-CRI-1163 empleaban modelos de lenguaje comerciales dentro de su cadena de ataque. Esa iniciativa también ubicó las campañas contra organizaciones de transporte, ministerios federales y servicios de agua en México y Ecuador, además de entidades financieras en Brasil. CSA recomendó a organizaciones de gobierno, transporte, agua y servicios financieros en esos países revisar indicadores de compromiso como dominios de C2, direcciones IP y hashes de archivos publicados por Unit 42 contra su propia telemetría.

Coberturas técnicas posteriores sumaron que los operadores usaron una instancia autoalojada de NextChat conectada a Claude y GPT-4.1, y que scripts generados por IA quedaron expuestos en la propia infraestructura adversaria. También se describió un patrón de prueba y error, con reescritura sucesiva de comandos hasta lograr un método funcional de copia vía snapshots.

Grid the Grey añadió que ambas campañas compartían relés SOCKS5 y que los atacantes usaron LLM comerciales junto con despliegues propios de NextChat para planificar y orquestar fases del ataque. Esa lectura ubicó CL-CRI-1131 en México y Ecuador, con foco en transporte y gobierno, y CL-CRI-1163 en Brasil, con foco en el sector financiero.

The Hacker News sumó ahora que CL-CRI-1163 también circula en la comunidad bajo los nombres Breeze Comet, Plump Spider y SHADOW-AETHER-064. Esa publicación lo describe como un grupo de ciberdelincuencia que infiltra sistemas financieros brasileños para abusar de la infraestructura de pagos y realizar transacciones ilegales con fines de lucro.

¿Qué muestran los otros reportes sobre ransomware en la región?

El resto de los reportes dibuja un mercado regional más amplio y con varios actores en actividad. Insomnia informó una campaña atribuida con alta confianza a BlackCat/ALPHV, con víctimas en 22 países y técnicas como spearphishing, explotación de infraestructura expuesta, uso de cuentas válidas, exfiltración a almacenamiento en la nube, cifrado de datos y desfiguración externa.

Ese análisis indicó además que las campañas observadas contra BlackCat/ALPHV afectaron salud, energía, manufactura, legal y SaaS. El acceso inicial varió entre spearphishing, explotación de appliances perimetrales no parchados y credenciales válidas compradas o robadas.

En el plano regional, El Economista citó un informe de SCILabs que registró 290 ataques de ransomware entre enero y junio de 2026 en América Latina, vinculados con 50 variantes distintas. El mismo reporte señaló que los incidentes crecieron 25.5% frente al período anterior y que México concentró 17.93% de la actividad regional, equivalente a unos 52 casos, detrás de Brasil.

SCILabs también detalló que el sector servicios concentró 19.66% de los incidentes, unos 57 casos, seguido por gobierno con 11.72% y manufactura con 8.28%. En cuanto a variantes, [The Gentlemen](/noticias/argentina-mira-gentlemen) quedó como la más activa en América Latina con al menos 49 ataques, por delante de Qilin con 46 y LockBit 5.0 con 43.

BlackFog agregó un caso puntual de impacto en gobierno local con un incidente de ransomware contra el municipio de San Luis Potosí, México, donde se confirmó la exfiltración de información de empleados antes de un intento de extorsión. En otro frente, Acronis señaló a The Gentlemen como el grupo más activo en julio de 2026 con 162 víctimas conocidas, seguido por Qilin con 128, un salto respecto de junio.

También apareció un actor emergente. Darkfield documentó a Vexy Ransomware y registró a Engefitas, una empresa brasileña ligada a sectores industriales, como víctima bajo el vertical de energía y utilities. El perfil indicó que Vexy había sumado ocho víctimas públicas entre el 3 y el 6 de septiembre de 2026 y que su foco en energía y utilities en Brasil merece monitoreo por las implicancias para infraestructura crítica.