Así funciona The Gentlemen, el grupo de ‘ransomware’ que robó los datos de Ecopetrol

El reciente ataque cibernético contra Ecopetrol el pasado 17 de julio de 2026, la mayor empresa petrolera de Colombia, reveló el sofisticado modo de operar de uno de los grupos de ransomware (programa que bloquea archivos o equipos y exige dinero para liberarlos) más activos del mundo: The Gentlemen.

La compañía detectó el acceso irregular a sus sistemas y logró impedir el cifrado masivo de sus archivos, aunque no pudo evitar la filtración y descarga no autorizada de información de aproximadamente 3.300 cuentas de usuarios y datos almacenados en la nube de 15 empresas del grupo empresarial.

Cómo actúan los grupos de ransomware como The Gentlemen

La mecánica de estos ataques no se limita a irrumpir en los sistemas y pedir un rescate. El grupo realiza un mapeo previo de la infraestructura de la víctima utilizando herramientas como Advanced IP Scanner y Nmap. Esta fase les permite identificar los puntos débiles, así como los usuarios y cuentas con mayores privilegios dentro de la red.

Los expertos en ciberseguridad han documentado que el grupo suele acceder a través de dispositivos de administración remota mal protegidos o utilizando credenciales robadas. Una vez dentro, exploran la red interna y localizan los datos más sensibles, preparándose para la extracción y el cifrado.

En el ataque a Ecopetrol, los atacantes consiguieron descargar datos confidenciales antes de que la compañía pudiera bloquear el intento de ransomware. El grupo criminal sostiene que robó un terabyte de documentos corporativos, una cantidad que excede ampliamente la cifra oficial reconocida por la empresa.

Metodología y herramientas utilizadas por los hackers

La operación se caracteriza por su doble extorsión: primero, extraen los archivos y luego amenazan con publicarlos si la víctima se niega a pagar. Esta estrategia incrementa la presión sobre las empresas al poner en riesgo tanto su actividad diaria como su reputación y la privacidad de sus usuarios.

La ejecución del cifrado no es azarosa ni automática. Los atacantes esperan a obtener privilegios de administrador de dominio para poder comprometer la totalidad de la red empresarial y desplegar el ransomware en cuestión de minutos. Según el Grupo de Respuesta a Emergencias Cibernéticas de Colombia, una vez alcanzado ese nivel de acceso, los hackers pueden cifrar sistemas críticos con gran rapidez.

El malware desarrollado por The Gentlemen está programado principalmente en Go (lenguaje de Google) y cuenta con versiones para varios sistemas operativos empresariales, lo que les permite atacar desde servidores Windows hasta infraestructuras Linux, BSD y entornos virtualizados. Una característica distintiva es que su ejecución requiere una contraseña específica, lo que limita la propagación solo a quienes tienen autorización directa del grupo.

El modelo de negocio: ransomware como servicio

La organización funciona bajo el modelo de ransomware as a service (RaaS), en el que desarrolladores del malware alquilan su infraestructura a afiliados externos. Estos afiliados ejecutan los ataques y reciben hasta el 90% de cada rescate pagado, lo que convierte a The Gentlemen en uno de los grupos más atractivos para ciberdelincuentes con experiencia.

Para ingresar como afiliado, los aspirantes deben demostrar su capacidad aportando un botín mínimo de información confidencial previamente robada. Así, la estructura se expande de manera descentralizada y difícil de rastrear.

En los últimos meses, The Gentlemen ha sido responsable de ataques en más de 50 países, con víctimas en sectores como la manufactura, construcción, salud, finanzas y energía. Los reportes de firmas especializadas indican que el grupo ya representa cerca de un 10% de los ataques de ransomware a nivel global, solo superado por la organización criminal Qilin.

Técnicas de acceso y evasión de defensas

Una de las vías de entrada favoritas del grupo son las vulnerabilidades en redes VPN, especialmente las fallas no corregidas en dispositivos Fortinet FortiGate. Tras conseguir acceso, los hackers emplean tácticas avanzadas para desactivar antivirus y eliminar rastros de su actividad, lo que dificulta la detección y el análisis forense posterior.

La etapa final del ataque implica el robo de datos y su envío a servidores externos, todo ello encriptado para evitar la interceptación. A continuación, los atacantes borran cualquier registro de sus acciones y contacto, lo que complica tanto la atribución como la recuperación de la información sustraída.