El grupo de cibercrimen DragonForce se transforma en una plataforma de servicios ilegales en América Latina

Casi 600 empresas en más de 60 países han sido víctimas de la banda de extorsión digital DragonForce desde su aparición a finales de 2023. De acuerdo con una investigación técnica presentada por la firma de ciberseguridad ESET, esta agrupación superó el modelo tradicional de secuestro de datos por comisión para operar bajo la estructura de un cartel cibercriminal, ofreciendo infraestructura tecnológica a terceros sin exigirles que utilicen su marca original.

A nivel latinoamericano, la organización registra incidentes en Brasil, Argentina, Colombia, México, Costa Rica, Guatemala y República Dominicana. Esta mutación hacia un proveedor de servicios compartidos simplifica la logística del delito digital, permitiendo que células de atacantes con conocimientos técnicos básicos lancen campañas de extorsión complejas utilizando servidores, herramientas y auditorías de datos suministradas por la plataforma central.

En el sector empresarial colombiano es común ver que los presupuestos de defensa digital se enfoquen en bloquear la entrada de virus informáticos tradicionales, asumiendo que los ataques provienen de grupos aislados. Sin embargo, no es raro encontrar que los incidentes recientes respondan a redes de conspiración técnica altamente estructuradas. La consolidación de las amenazas de ransomware en Colombia mediante esquemas de marca blanca sugiere que las compañías locales podrían enfrentar un volumen mayor de intentos de extorsión, ejecutados por pequeños grupos pero respaldados por el soporte logístico de grandes plataformas criminales.

El modelo de marca blanca y la oferta de servicios para afiliados

El crecimiento de DragonForce se aceleró durante el año 2025, aprovechando el desmantelamiento de otras estructuras delictivas globales como LockBit. Para atraer a nuevos colaboradores, la organización empezó a ofrecer comisiones que alcanzan hasta el 80% del rescate cobrado, garantizando además un mayor nivel de anonimato para los ejecutores locales.

A diferencia del esquema tradicional de software como servicio (RaaS, por sus siglas en inglés), en el cual el afiliado debe operar bajo la denominación del desarrollador del virus, este nuevo modelo de marca blanca (White-Label) permite a otros atacantes mantener sus propios sellos o identidades visuales. Los afiliados obtienen acceso a:

• Paneles de administración: Interfaces para gestionar los equipos infectados y la velocidad de cifrado de la información.
• Sistemas de negociación: Canales de comunicación privada para pactar el pago con los representantes de las compañías afectadas.
• Sitios de filtración: Servidores en la red oscura diseñados para publicar archivos robados si la víctima rechaza la extorsión.
• Kits de presión personalizada: Dossiers con directorios telefónicos de ejecutivos y estimaciones del impacto regulatorio o legal que sufrirá la empresa si los datos se hacen públicos.

David González, investigador de seguridad informática de ESET Latinoamérica, explicó que la plataforma incluye un servicio de auditoría previa sobre el material sustraído. Mediante este análisis, los administradores del cartel identifican qué archivos contienen información sensible para confeccionar campañas de chantaje dirigidas con precisión a los directivos.

Dificultad en la atribución de ataques y aumento de la resiliencia criminal

La separación entre la infraestructura técnica y la marca visible del atacante dificulta las labores de investigación forensic. Dos células delictivas sin vínculo aparente entre sí pueden utilizar exactamente los mismos servidores de comando y paneles de control sin que las autoridades o las firmas de seguridad reconozcan inmediatamente que detrás existe una única plataforma operativa.

Esta descentralización vuelve al ecosistema delictivo más resistente ante las acciones policiales. Si una célula local es desmantelada, la infraestructura central permanece intacta y lista para ser arrendada por nuevos usuarios, reduciendo los tiempos de interrupción de los ataques.

Para el ecosistema corporativo en Colombia, el riesgo principal no radica únicamente en la proliferación de un nuevo código malicioso, sino en la masificación de un esquema de negocios que vuelve la extorsión digital escalable y accesible. La presencia de estos intermediarios exige a las organizaciones reforzar la autenticación en sus redes internas, segmentar el acceso a los archivos confidenciales y actualizar permanentemente sus planes de respuesta ante incidentes.