El reciente ataque cibernético contra Ecopetrol el pasado 17 de julio de 2026, la mayor empresa petrolera de Colombia, reveló el sofisticado modo de operar de uno de los grupos de ransomware (programa que bloquea archivos o equipos y exige dinero para liberarlos) más activos del mundo: The Gentlemen.
La compañía detectó el acceso irregular a sus sistemas y logró impedir el cifrado masivo de sus archivos, aunque no pudo evitar la filtración y descarga no autorizada de información de aproximadamente 3.300 cuentas de usuarios y datos almacenados en la nube de 15 empresas del grupo empresarial.
PUBLICIDAD
Cómo actúan los grupos de ransomware como The Gentlemen
La mecánica de estos ataques no se limita a irrumpir en los sistemas y pedir un rescate. El grupo realiza un mapeo previo de la infraestructura de la víctima utilizando herramientas como Advanced IP Scanner y Nmap. Esta fase les permite identificar los puntos débiles, así como los usuarios y cuentas con mayores privilegios dentro de la red.
Los expertos en ciberseguridad han documentado que el grupo suele acceder a través de dispositivos de administración remota mal protegidos o utilizando credenciales robadas. Una vez dentro, exploran la red interna y localizan los datos más sensibles, preparándose para la extracción y el cifrado.
PUBLICIDAD
En el ataque a Ecopetrol, los atacantes consiguieron descargar datos confidenciales antes de que la compañía pudiera bloquear el intento de ransomware. El grupo criminal sostiene que robó un terabyte de documentos corporativos, una cantidad que excede ampliamente la cifra oficial reconocida por la empresa.
Metodología y herramientas utilizadas por los hackers
La operación se caracteriza por su doble extorsión: primero, extraen los archivos y luego amenazan con publicarlos si la víctima se niega a pagar. Esta estrategia incrementa la presión sobre las empresas al poner en riesgo tanto su actividad diaria como su reputación y la privacidad de sus usuarios.
La ejecución del cifrado no es azarosa ni automática. Los atacantes esperan a obtener privilegios de administrador de dominio para poder comprometer la totalidad de la red empresarial y desplegar el ransomware en cuestión de minutos. Según el Grupo de Respuesta a Emergencias Cibernéticas de Colombia, una vez alcanzado ese nivel de acceso, los hackers pueden cifrar sistemas críticos con gran rapidez.
PUBLICIDAD
El malware desarrollado por The Gentlemen está programado principalmente en Go (lenguaje de Google) y cuenta con versiones para varios sistemas operativos empresariales, lo que les permite atacar desde servidores Windows hasta infraestructuras Linux, BSD y entornos virtualizados. Una característica distintiva es que su ejecución requiere una contraseña específica, lo que limita la propagación solo a quienes tienen autorización directa del grupo.
El modelo de negocio: ransomware como servicio
La organización funciona bajo el modelo de ransomware as a service (RaaS), en el que desarrolladores del malware alquilan su infraestructura a afiliados externos. Estos afiliados ejecutan los ataques y reciben hasta el 90% de cada rescate pagado, lo que convierte a The Gentlemen en uno de los grupos más atractivos para ciberdelincuentes con experiencia.
PUBLICIDAD
Para ingresar como afiliado, los aspirantes deben demostrar su capacidad aportando un botín mínimo de información confidencial previamente robada. Así, la estructura se expande de manera descentralizada y difícil de rastrear.
En los últimos meses, The Gentlemen ha sido responsable de ataques en más de 50 países, con víctimas en sectores como la manufactura, construcción, salud, finanzas y energía. Los reportes de firmas especializadas indican que el grupo ya representa cerca de un 10% de los ataques de ransomware a nivel global, solo superado por la organización criminal Qilin.
Técnicas de acceso y evasión de defensas
Una de las vías de entrada favoritas del grupo son las vulnerabilidades en redes VPN, especialmente las fallas no corregidas en dispositivos Fortinet FortiGate. Tras conseguir acceso, los hackers emplean tácticas avanzadas para desactivar antivirus y eliminar rastros de su actividad, lo que dificulta la detección y el análisis forense posterior.
PUBLICIDAD
La etapa final del ataque implica el robo de datos y su envío a servidores externos, todo ello encriptado para evitar la interceptación. A continuación, los atacantes borran cualquier registro de sus acciones y contacto, lo que complica tanto la atribución como la recuperación de la información sustraída.
PUBLICIDAD
PUBLICIDAD
Más Noticias
Super Astro Luna hoy 5 de septiembre: revisa el número y signo ganador
El sorteo nocturno de esta reconocida lotería colombiana, arrojó los siguientes números y signo zodiacal como resultados ganadores
Robo a pasajeros de taxi en la avenida Boyacá, Bogotá, quedó registrado en video: delincuente habría disparado dentro del vehículo
Las imágenes muestran el momento en que el sujeto rompe una ventana, forcejea con uno de los ocupantes y escapa en una motocicleta junto a otro hombre
Sinuano Noche: Resultado y números ganadores del sorteo de este sábado 5 de septiembre
Conozca los números que resultaron victoriosos en el más reciente sorte
En video: chef habría asesinado a hombre que lo contrató para preparar una cena en Ubaté; recibió 30 heridas
La Fiscalía señaló a Diego Armando Rodríguez Mantilla como presunto responsable del crimen. El procesado no aceptó los cargos y deberá permanecer en prisión mientras avanza la investigación
Petro impulsó campaña contra Avianca tras cancelación de tiquetes por estar en la lista de la Ofac: “Hasta que cambie su posición”
La aerolínea canceló los vuelos que había reservado el expresidente para viajar a México y regresar a Bogotá. Advirtió que la decisión obedeció a regulaciones internacionales aplicables a la empresa
