Conflicto de intereses de los negociadores de ransomware: lo que halló Krebs

Los externos a los que invitas a un incidente de ransomware lo ven todo (tus datos robados, tus plazos, tu disposición a pagar), normalmente con prisa y casi sin verificación, porque el reloj corre. KrebsOnSecurity informó el 19 de octubre de 2026 de que investigadores federales de EE. UU. sospechan que un directivo de una consultora con sede en EE. UU. ayudó a gestionar el sitio de extorsión de ShinyHunters, y de que los investigadores identificaron a directivos de dos empresas de negociación de ransomware con, en palabras de Krebs, «relaciones inusualmente estrechas» con ShinyHunters. Nada de esa información está probado contra ninguna persona con nombre, y el presunto operador del sitio ni tiene nombre ni ha sido acusado. Pero para los responsables de seguridad la lección incómoda se sostiene por sí sola: las personas que contratas para ayudarte a sobrevivir a un ataque de ransomware son en sí mismas una frontera de confianza.

Análisis independiente de terceros para CISO y responsables de respuesta a incidentes. PlayCISO no tiene relación con KrebsOnSecurity y no aporta aquí ningún hecho original. Cada afirmación de abajo se atribuye a la información de Krebs, que transmitimos con cuidado y no hemos verificado de forma independiente. Nos referimos a propósito a roles en lugar de nombrar a personas: las personas con nombre en la información de origen se enfrentan a acusaciones y cargos que no se han probado, y gozan de la presunción de inocencia. La lección de seguridad no depende de ningún nombre.

Qué se alega y qué no

Según Krebs, investigadores federales de EE. UU. sospechan que un directivo de una consultora con sede en EE. UU. ayudó a operar el sitio de extorsión y filtraciones de ShinyHunters. Krebs no nombra a ese directivo ni a la empresa, e informa de que no han sido acusados. Por otra parte, Krebs informa de que los investigadores identificaron a directivos de dos empresas de negociación de ransomware con «relaciones inusualmente estrechas» con ShinyHunters, y transmite la afirmación de una fuente de que esos directivos «a menudo conocían los detalles de las nuevas víctimas de ShinyHunters» antes que las propias víctimas.

Krebs también describe cargos y detenciones, publicados en otros medios, contra varias personas con nombre vinculadas a este mundo, presentados siempre como acusaciones («presuntamente», «según los documentos judiciales»), no como condenas. No repetimos esos nombres. La afirmación central de la historia (que una persona contratada para ayudar a las víctimas estaba en secreto en el otro lado) sigue siendo, en los propios términos de Krebs, una sospecha bajo investigación sobre una parte sin nombre. Trátala exactamente así.

Como contexto, Krebs informa de que ShinyHunters ha reivindicado decenas de grandes brechas de datos desde 2019, de que el FBI dice que el grupo ha extorsionado más de 70 millones de dólares este año y de que su sitio de extorsión llegó a listar cerca de 100 víctimas antes de desconectarse a mediados de octubre de 2026. Krebs señala también que el grupo no está sancionado actualmente por EE. UU. ni por ningún otro gobierno.

La historia real para los defensores: tus proveedores de respuesta a incidentes son una frontera de confianza

Quita los detalles y esto es una historia de riesgo de terceros. En un incidente de ransomware concedes rápidamente a partes externas algunos de los accesos más sensibles de la empresa: el alcance de la brecha, los datos exactos que se llevaron, tu exposición regulatoria, tus plazos y, sobre todo, tu disposición y tu capacidad de pagar. Lo concedes deprisa, a menudo en plena crisis, con frecuencia a una empresa que elegiste esa misma semana y, a veces, a una empresa del panel que tu aseguradora eligió por ti.

Krebs saca a la luz un motivo estructural por el que ese acceso puede ser peligroso incluso sin ninguna conducta delictiva: una figura del sector citada en el artículo (el CEO del grupo sectorial CyberAcuView) sostiene que los honorarios de los negociadores basados en un porcentaje crean un conflicto de intereses: una empresa que cobra una parte del rescate tiene un incentivo para empujar a la víctima a pagar y alejarla de negociar una rebaja. Krebs señala además que las empresas que se niegan a facilitar pagos a veces son sustituidas por otras que sí lo hacen. No necesitas creer que una empresa concreta está comprometida para ver el problema: los incentivos de quienes te asesoran pueden no estar alineados con tus intereses.

Diligencia debida sobre un negociador de ransomware o una empresa de respuesta a incidentes

Haz este trabajo antes de necesitarlo. Elegir un negociador durante un incidente en curso, con el reloj de la extorsión corriendo, es precisamente el momento en que no puedes hacer bien las comprobaciones.

1. Precalifica una lista corta, contratada por adelantado. Examina a las empresas de respuesta a incidentes y de negociación como harías con cualquier proveedor con acceso privilegiado a datos críticos: referencias de clientes con nombre, independencia demostrada y un contrato firmado antes de la crisis.
2. Exige transparencia en los honorarios y busca conflictos de incentivos. Entiende exactamente cómo se paga a la empresa. Unos honorarios estructurados como porcentaje del rescate son un conflicto que hay que examinar; los honorarios fijos o por tiempo alinean al asesor con resolver el incidente en lugar de maximizar un pago.
3. Exige declaraciones de conflictos de intereses y de relaciones. Pregunta, por escrito, qué relaciones tienen la empresa y sus responsables con ecosistemas de actores de amenazas, sitios de filtración de datos, «brókeres de recuperación» y otros negociadores. La acusación que describe Krebs es precisamente la relación que esta pregunta pretende sacar a la luz.
4. Mantén la decisión sobre sanciones dentro de casa. La decisión de pagar o no pagar, y el control de sanciones que hay detrás, te corresponde a ti y a tus abogados, no a un intermediario cuyos incentivos pueden favorecer un acuerdo rápido. Identifica de forma independiente a quién estarías pagando y compruébalo en las listas de sanciones (ver abajo).
5. Compartimenta y registra el acceso que concedes. Da a las partes externas solo la información que necesitan, controla lo que ven y evita que un único intermediario se convierta en tu única fuente de verdad sobre el atacante, los datos o la exigencia.
6. Incorpora a un abogado independiente y a tu aseguradora, pero verifica el panel. Las empresas designadas por la aseguradora pueden ser excelentes, pero el panel no sustituye a tus propias comprobaciones de conflictos y de competencia. Confirma quién está realmente en la sala.

Cómo encaja esto con la regla de la OFAC de «no pagar a una entidad sancionada»

La Office of Foreign Assets Control (OFAC) del Tesoro de EE. UU. advierte desde hace tiempo de que facilitar el pago de un rescate a una persona o un grupo sancionados puede ser en sí mismo una infracción de las sanciones, y por eso pagar un rescate es una decisión legal, no solo de negocio. Krebs señala que ShinyHunters en concreto no está sancionado actualmente y que pagar a hackers no es en sí ilegal en EE. UU., pero que pagar a un grupo sancionado conlleva riesgo legal.

Une los dos hilos: la parte mejor situada para decirte «a quién estarías pagando de verdad» suele ser el negociador, y un intermediario con conflictos u opaco es exactamente la fuente única equivocada para una determinación con peso legal. Tu proceso debe atribuir el actor de la amenaza y hacer el control de sanciones de forma independiente, para que un asesor comprometido o movido por incentivos no pueda ser nunca la razón por la que pagues sin saberlo a una entidad sancionada.

Entrena el músculo antes de necesitarlo

Nada de esto es teórico cuando llega una nota de extorsión. Estos recursos de PlayCISO te ayudan a ensayar la respuesta para que las decisiones de selección de proveedores y de triaje se tomen en condiciones de práctica, no de crisis:

• IR Playbook Lab: construye y pon a prueba el manual de respuesta a incidentes, incluido a quién llamas, en qué orden y qué revelas a cada parte externa.
• Ransomware Readiness Scorecard: puntúa siete dimensiones de preparación y obtén una banda y las carencias de mayor palanca que cerrar antes de que llegue una nota de extorsión.
• Ransomware Payment Decision Aid: trabaja la decisión de pagar o no pagar como último recurso sujeto a filtros legales, con la advertencia sobre las sanciones de la OFAC en primer plano (no es asesoramiento legal).
• Cómo dirigir un ejercicio de mesa de ransomware: ensaya toda la respuesta, incluidas las decisiones de selección de proveedores, en condiciones de práctica y no durante un incidente real.
• Cómo identificar una familia de ransomware: lee los indicadores y verifica de forma independiente, para que la atribución nunca dependa de la palabra de un único intermediario.
• Cómo hacer el triaje de una alerta del SOC: la disciplina previa: un flujo de triaje repetible para que la señal de ransomware se detecte, se acote y se escale con limpieza antes de que se informe a ningún tercero.

Para contexto sobre este y otros incidentes que hemos cubierto, consulta el índice de brechas de PlayCISO.

La conclusión para los responsables

No puedes verificar los hechos de una investigación federal en curso, y no deberías intentarlo: eso corresponde a los tribunales, y las personas nombradas en la información más amplia gozan de la presunción de inocencia. Lo que sí puedes hacer es tratar a tu equipo de respuesta a incidentes como una frontera de confianza controlada: precalificado, con control de conflictos, con honorarios transparentes y nunca como la única autoridad en una decisión (pagar a un atacante posiblemente sancionado) que puede exponer a tu organización a responsabilidad legal. El escenario que describe Krebs inquieta precisamente porque invierte la suposición que más quieres hacer en una crisis: que la persona que te ayuda está de tu lado. Construye un proceso que no te obligue a suponerlo.

Fuente

Este artículo transmite y analiza la información de KrebsOnSecurity; no origina ninguno de los hechos ni de las acusaciones subyacentes, que siguen sin probarse respecto a ninguna persona con nombre.

• KrebsOnSecurity — Feds Suspect Ransom Negotiator Ran ShinyHunters Extortion Site (19 de octubre de 2026)