México registró 60 víctimas de ransomware crítico

Actualización 3 de noviembre de 2026: el seguimiento sumó nuevos reclamos atribuidos a Qilin, Rhysida, SafePay y The Gentlemen contra organizaciones mexicanas. También incorporó una víctima adicional reclamada por Krybit, junto con más corroboraciones de monitoreo para algunos anuncios de Qilin, sin validar la intrusión.

Entel Digital registró 60 organizaciones de infraestructura crítica en México identificadas como víctimas de ransomware entre el 1 de enero de 2025 y el 21 de septiembre de 2026, según un informe citado por El Economista. La cifra se construyó a partir de publicaciones en sitios de filtraciones, no cuenta con confirmación independiente de cada caso y, por eso, está sujeta a subregistro.

¿Qué mostró el informe regional?

El seguimiento regional citado por El Economista ubicó a TheGentlemen con 26 víctimas de infraestructura crítica durante 2026 hasta el corte de septiembre y a Qilin con 25. Esos datos corresponden al conjunto de América Latina y no identifican víctimas mexicanas concretas.

La referencia sirve para dimensionar el peso de ambos grupos en la región, pero no permite atribuir esos reclamos a empresas o entidades de México. En el material disponible, la serie regional funciona como contexto para el informe de Entel Digital, no como un listado de incidentes verificados país por país.

¿Qué nuevos reclamos aparecieron en México?

Ransomware.mx agregó cuatro reclamos específicos de Qilin contra Farmacia I, Innoe Asesores, Grupo Ciosa SAPI de CV y Sistemas Visuales 360, además de publicaciones de Rhysida, SafePay y The Gentlemen sobre otras organizaciones mexicanas. En todos los casos, la fuente los presenta como reclamos de los grupos, sin verificación independiente del incidente.

La publicación de Ransomware.mx del 31 de octubre de 2026 también señaló que Rhysida afirmó tener expedientes de recursos humanos de una papelera ubicada en Puebla, con supuestos datos como CURP, RFC y números del IMSS. SafePay reclamó el dominio de la Universidad Autónoma de Aguascalientes y The Gentlemen añadió a una empresa de saneamiento de Ciudad de México a su lista de víctimas.

¿Qué aportan los rastreadores y el conteo agregado?

ScrutEx indicó que Qilin publicó siete víctimas mexicanas en el período analizado y que The Gentlemen publicó dos, además de una víctima mexicana atribuida a Rhysida, SafePay, DireWolf, Emperador y LockBit. Ese recuento agrega contexto sobre la actividad observada, pero no identifica por sí solo todas las víctimas ni confirma intrusiones.

SecurityArsenal registró cuatro publicaciones mexicanas de Qilin, entre ellas Sistemas Visuales 360, Farmacia I, Grupo Ciosa SAPI de CV e Innoe Asesores, y aclaró que su crawler corroboró la existencia de los anuncios, pero no la ocurrencia de una intrusión ni el compromiso de datos. HookPhish describió a Innoe Asesores y a Sistemas Visuales 360 como víctimas de Qilin, aunque sin aportar comunicado de la organización, indicadores de compromiso, TTPs ni datos verificables sobre el alcance.

Ransomware.live indexó a Grupo Ciosa, SAPI de CV como víctima reclamada por Qilin y mostró cifras de 5 empleados y 206 usuarios comprometidos. Esos números forman parte de la base de monitoreo y no están respaldados por confirmación de la empresa ni por evidencia técnica independiente.

¿Qué se sabe del caso de Grupo Euro Corporativo?

Ransomware.mx reportó que Krybit agregó a Grupo Euro Corporativo, un conglomerado empresarial de San Luis Potosí clasificado en manufactura, a su lista de víctimas. La publicación no aportó confirmación independiente del incidente ni detalles técnicos sobre tácticas, técnicas y procedimientos del grupo.

Ransomware.live indexó a grupoeuro.com.mx como una víctima reclamada por Krybit y consignó el 24 de octubre de 2026 como fecha estimada del ataque. El registro también mostró indicadores de exposición atribuidos a HudsonRock y ParanoidLab, pero no estableció que esos datos provengan del incidente de ransomware ni confirmó una intrusión.

Brandefense incluyó a grupoeuro.com.mx entre las víctimas listadas por Krybit, con país México, sector manufactura y datos supuestamente comprometidos no especificados. HookPhish reprodujo el reclamo y señaló que la organización no había publicado una confirmación independiente, mientras que RecentBreaches indicó que Grupo Euro Corporativo no había confirmado el reclamo y que no había observado públicamente los archivos supuestamente robados.

El material disponible deja un patrón común: múltiples sitios de seguimiento reprodujeron los reclamos contra organizaciones mexicanas, pero no aparece una validación independiente de los incidentes ni evidencia técnica propia en las fuentes consultadas. Tampoco se documentan TTPs, volumen de información comprometida ni impacto operativo.