KRYBIT amplía su ola a Colombia

Actualización 6 de septiembre de 2026: Security Arsenal precisó que KRYBIT publicó 14 víctimas en 24 horas, repartidas en 9 países y más de 8 sectores, y CYFIRMA sumó a Colombia y Chile como objetivos de la ola. Además, CyberRakshak Labs pidió tratar varias entradas como un cluster de reclamaciones de extorsión, no como brechas plenamente confirmadas.

KRYBIT, EMPERADOR, THEGENTLEMEN e INCRANSOM publicaron nuevas víctimas en ventanas de 24 a 72 horas, con casos confirmados en México y Estados Unidos y señales de expansión hacia América Latina. Security Arsenal vinculó a KRYBIT con 14 víctimas en un día, incluyendo dos en México, y a THEGENTLEMEN con 16 víctimas en 24 horas, de las cuales cerca del 31% correspondieron a LATAM.

¿Qué muestran los posteos recientes de KRYBIT?

KRYBIT mostró una actividad concentrada y multirregional, con 14 víctimas publicadas en 24 horas, distribuidas en 9 países y más de 8 sectores, según Security Arsenal. CYFIRMA agregó a Colombia y Chile como países objetivo en su Weekly Intelligence Report del 4 de septiembre de 2026, lo que amplía la huella LATAM más allá de México.

Ese monitoreo también indicó una concentración de víctimas en India, México y Estados Unidos, con distribución adicional en otros países. En paralelo, el grupo listó el dominio tum.com.mx y también uicc.org en su leak site el 1 de septiembre de 2026, lo que refuerza la idea de una campaña simultánea contra varias organizaciones.

Investigaciones externas sobre tum.com.mx identificaron a la víctima como Transportistas Unidos Mexicanos División Norte, S.A. de C.V., uno de los mayores operadores de transporte por carretera de México. Otras fuentes de seguimiento de fugas, en cambio, clasificaron el dominio como educación, una divergencia sectorial que no cambia el dato central, la presencia de una víctima mexicana atribuida a KRYBIT.

¿Qué sectorialización se vio en esta ola?

La nueva tanda de publicaciones de KRYBIT abarca una taxonomía sectorial más amplia, con retail, e-commerce, alimentos, salud o diagnóstico, manufactura, construcción, biotecnología, tecnología o servicios y automotriz o transporte, según CYFIRMA. Security Arsenal, por su parte, señaló que las víctimas se concentraron en healthcare, education, professional services y technology, además de otros sectores corporativos.

Fuentes técnicas de monitoreo de víctimas también muestran que varias entradas del 1 de septiembre de 2026, entre ellas seashellhospital.com y uicc.org, quedaron asociadas al sector salud. Esos registros encajan con una secuencia de publicaciones iniciada en abril de 2026 y con picos visibles entre el 1 y el 3 de septiembre de 2026.

¿Qué se sabe de la técnica y la infraestructura de KRYBIT?

KRYBIT opera con un modelo de doble extorsión, un sitio de filtración dedicado sobre Tor y canales como Tox para comunicarse con víctimas y afiliados, según un análisis técnico de Picus Security. Ese mismo trabajo ubica al grupo en servicios empresariales, servicios al consumidor, manufactura, educación y tecnología, con focos geográficos en Alemania, México, Tailandia, España y Austria.

La cadena TTP atribuida al grupo incluyó explotación de edge devices, preparación de herramientas de acceso remoto, movimiento lateral con PsExec y WMI, preparación de datos, borrado de shadow copies y cifrado. El reporte no menciona víctimas en América Latina para este lote, pero sí muestra un esquema técnico consistente y un foco claro en infraestructura expuesta.

En su revisión de septiembre, CyberRakshak Labs matizó además la narrativa de brechas confirmadas: aunque varias organizaciones aparecen listadas en leak sites, en muchos casos no hay evidencia pública suficiente de los datos robados ni de la naturaleza exacta de los conjuntos exfiltrados. Por eso, el informe recomienda describir el fenómeno como un cluster de reclamaciones de extorsión.

¿Dónde golpeó THEGENTLEMEN?

THEGENTLEMEN publicó 16 víctimas en 24 horas y cerca de un 31% de esos posteos correspondió a América Latina, con casos en México, Brasil, Puerto Rico y Argentina, según Security Arsenal. El mismo análisis ubicó víctimas en transporte, salud, energía y utilities, agricultura y producción de alimentos, y retail y e-commerce.

Entre los casos listados aparece Northwest Trophy, una víctima de retail en Estados Unidos que también fue registrada por agregadores de incidentes y trackers de brechas como un caso aún no confirmado por la empresa ni por reguladores. Los portales especializados señalaron fechas técnicas de descubrimiento y de ataque estimado, pero mantuvieron el incidente en estado de claim sin validación corporativa.

¿Qué aporta INCRANSOM a este mapa?

INCRANSOM sumó cinco nuevas víctimas en 72 horas y el conjunto incluyó casos en México, Estados Unidos y Sudáfrica, con víctimas estadounidenses en energía y utilities, servicios profesionales y tecnología, de acuerdo con Security Arsenal. En LATAM, el seguimiento de víctimas atribuyó a INCRANSOM el ataque contra la empresa mexicana Wittmann, clasificada como manufactura.

Ese cruce de fuentes amplía la foto regional del actor, que aparece activo en fabricación y energía, con presencia documentada en México. En paralelo, su última tanda de publicaciones refuerza que el grupo operó sobre más de una geografía al mismo tiempo, en una ventana corta de exposición pública en leak sites.