José ZegarraTable of Contents
Resumen
DragonForce impulsa un modelo white-label que permite a diferentes grupos operar campañas de ransomware con infraestructura compartida, identidad propia y servicios avanzados de extorsión.
ESET advierte que el grupo evoluciona hacia una plataforma white-label capaz de sostener múltiples marcas criminales. DragonForce es una operación de ransomware que evolucionó desde el modelo Ransomware as a Service hacia una plataforma criminal white-label. Proporciona infraestructura, negociación, filtración de datos, gestión de víctimas y soporte técnico para que grupos afiliados lancen ataques bajo sus propias marcas.
Aspectos clave
- DragonForce comenzó a operar como Ransomware as a Service durante la segunda mitad de 2023.
- Registros públicos citados por ESET le atribuyen casi 600 víctimas en más de 60 países.
- La operación se autodenomina “cartel” y ofrece infraestructura compartida a otros grupos.
- Sus afiliados pueden conservar su propia identidad mediante un modelo white-label.
- La plataforma incluye negociación, sitios de filtración, administración de víctimas y soporte técnico.
- ESET registra actividad vinculada con DragonForce en siete países de Latinoamérica.
- El nuevo modelo reduce las barreras técnicas de entrada y dificulta la atribución de los ataques.
DragonForce lleva el ransomware hacia un modelo de plataforma criminal
Buenos Aires, Argentina, 30 de julio de 2026.— El ransomware ya no depende únicamente de bandas que desarrollan su propio malware, seleccionan víctimas y administran cada etapa de una operación. El ecosistema está evolucionando hacia plataformas que ofrecen infraestructura, herramientas y servicios especializados a grupos afiliados.
DragonForce es uno de los ejemplos más claros de esta transición. De acuerdo con el análisis de ESET, la organización busca convertirse en una base operativa desde la cual múltiples actores puedan lanzar campañas de extorsión bajo sus propias marcas. Esta transformación lleva el modelo del ransomware más allá del malware y lo aproxima a una industria criminal organizada como servicio.
DragonForce pasó de ser un grupo de ransomware as a service a adoptar un modelo que sus operadores describen como un «cartel». Esto representa la consolidación de una tendencia: el paso del ransomware como malware al ransomware como plataforma de servicios criminales. DragonForce hoy ofrece toda la infraestructura para que otros grupos cibercriminales operen bajo su plataforma: paneles de administración, sitios de filtración, sistemas de negociación y herramientas para administrar víctimas. También cuentan con soporte técnico para afiliados” , comenta David González, investigador de Seguridad Informática de ESET Latinoamérica.
De Ransomware as a Service a infraestructura compartida
DragonForce apareció durante la segunda mitad de 2023 bajo el modelo Ransomware as a Service —RaaS—, mediante el cual los operadores proporcionan malware y herramientas a afiliados encargados de vulnerar organizaciones y desplegar los ataques.
Su primera actividad registrada se remonta a diciembre de 2023. Desde entonces, los registros públicos recopilados por ransomware.live y citados por ESET contabilizan casi 600 víctimas en más de 60 países. Estados Unidos concentra cerca de 300 incidentes, aunque también existen registros en Canadá, Australia, Reino Unido y otros mercados.
En Latinoamérica, ESET identifica actividad en:
- Brasil;
- Argentina;
- Colombia;
- México;
- Costa Rica;
- Guatemala;
- República Dominicana.
Estas cifras deben entenderse como registros públicos asociados principalmente con publicaciones de víctimas y sitios de filtración. No necesariamente representan la totalidad de los ataques ni confirman por sí solas todos los detalles de cada incidente.
El reclutamiento de afiliados acelera la expansión
Durante 2025, DragonForce elevó su perfil después de las operaciones policiales que afectaron a LockBit y otras organizaciones de ransomware. Su estrategia se centró en captar afiliados mediante infraestructura lista para operar, mayores niveles de anonimato y porcentajes de ganancia que, según el análisis de ESET, podían aproximarse al 80% en determinados casos.
La caída o interrupción de una banda no elimina necesariamente el mercado criminal. Los afiliados pueden trasladarse a otra plataforma, adoptar una nueva identidad o reutilizar procedimientos y herramientas. Esta capacidad de recomposición explica por qué el ransomware continúa operando incluso cuando algunos de sus grupos más visibles son desmantelados.
¿Por qué DragonForce se autodenomina “cartel”?
La denominación no significa necesariamente que DragonForce funcione como un cartel tradicional ni constituye una clasificación jurídica. Es el término que sus operadores utilizan para describir una estructura que agrupa infraestructura, servicios y organizaciones afiliadas.
La diferencia principal frente al RaaS convencional es que los afiliados ya no están obligados a utilizar exclusivamente el ransomware ni la identidad de DragonForce.
DragonForce dejó de exigir a sus afiliados que utilicen su ransomware, y comenzó a ofrecerles un paquete mucho más completo: toda una infraestructura para que los grupos puedan operar bajo su plataforma, con paneles de administración, sitios de filtración, sistemas de negociación, herramientas para administrar víctimas y hasta soporte técnico”, detalla González.
Este modelo convierte a DragonForce en un proveedor criminal de infraestructura, mientras sus afiliados conservan autonomía operativa y visibilidad propia.
El modelo white-label oculta la infraestructura común
La estrategia se apoya en un modelo white-label o de marca blanca. En el mercado legítimo, este concepto describe productos o servicios desarrollados por una organización que otras empresas comercializan bajo su propia identidad.
DragonForce traslada esa lógica al cibercrimen: un afiliado puede utilizar servidores, herramientas de negociación, sitios de filtración, paneles administrativos y soporte técnico sin firmar sus ataques con el nombre de DragonForce.
La víctima puede enfrentarse aparentemente a un grupo independiente, aunque la infraestructura utilizada pertenezca a una plataforma mayor. Para los equipos de inteligencia de amenazas y las autoridades, esto complica la atribución porque distintas marcas criminales pueden compartir servidores, herramientas y procedimientos.
La extorsión se convierte en un servicio especializado
DragonForce no se limita a proporcionar un cifrador. Entre los servicios descritos por ESET se encuentran el análisis de la información robada y la preparación de materiales destinados a aumentar la presión sobre las organizaciones afectadas.
El denominado “kit de extorsión” puede incluir:
- Identificación de directivos y responsables;
- Listas de contactos telefónicos;
- Evaluación de la información sustraída;
- Estimación del daño reputacional;
- Referencias a posibles consecuencias regulatorias;
- Herramientas para administrar la negociación.
Los sitios de filtración también forman parte central de esta estrategia. Su finalidad es publicar muestras de información robada o amenazar con divulgarla para aumentar la presión sobre la víctima, incluso cuando esta dispone de copias de seguridad y puede restaurar sus sistemas.
Menores barreras de entrada para nuevos grupos
La infraestructura como servicio permite que actores con conocimientos técnicos limitados puedan crear una marca de ransomware sin desarrollar desde cero el malware, los servidores, las páginas de filtración o los sistemas de negociación. Esto amplía la cantidad potencial de operadores y acelera la profesionalización del cibercrimen. Una plataforma puede proporcionar capacidades complejas a afiliados especializados únicamente en determinadas fases del ataque, como conseguir accesos, extraer información o negociar rescates. La amenaza deja así de depender de una sola banda. Si uno de los grupos afiliados desaparece, la infraestructura puede continuar disponible para otros actores.
La atribución se vuelve más compleja
En una operación tradicional, determinados códigos, servidores, mensajes y métodos podían ayudar a relacionar un ataque con una organización concreta.
El modelo white-label debilita esa correspondencia. Dos grupos con nombres diferentes pueden:
- Utilizar la misma infraestructura;
- Compartir herramientas;
- Recurrir al mismo sitio de filtración;
- Emplear procesos similares de negociación;
- Recibir soporte del mismo operador.
Para las empresas, esta complejidad significa que la defensa no debe depender exclusivamente de reconocer una marca criminal conocida. La prioridad debe ser identificar comportamientos, accesos anómalos, movimientos laterales, exfiltración de datos y actividades de cifrado, independientemente del nombre utilizado por el atacante.
Qué implica para las empresas latinoamericanas
La presencia regional demuestra que el ransomware organizado no se limita a los grandes mercados. Brasil y México estuvieron también entre los países latinoamericanos más afectados por ransomware durante el primer trimestre de 2026, aunque ESET registró incidentes en otros países de la región, incluido Perú, atribuidos a diferentes operaciones criminales.
La industrialización del ransomware puede incrementar el riesgo para empresas que:
- Mantienen sistemas sin actualizar;
- Poseen accesos remotos expuestos;
- Carecen de autenticación multifactor;
- No segmentan sus redes;
- Conservan copias de seguridad conectadas permanentemente;
- No prueban sus planes de recuperación;
- Dependen de un número reducido de especialistas.
La capacidad de recuperación adquiere tanta importancia como la prevención. El pago de un rescate no garantiza la restauración de los sistemas ni evita que los datos sean publicados o reutilizados.
Cómo fortalecer la resiliencia frente al ransomware
Ante plataformas distribuidas y afiliados intercambiables, las organizaciones necesitan una defensa multicapa que abarque prevención, detección, contención y recuperación.
Las prioridades deberían incluir:
- Autenticación multifactor, especialmente para correo, VPN, servicios remotos y cuentas privilegiadas.
- Gestión de vulnerabilidades y parches, priorizando fallas explotadas activamente.
- Segmentación de redes, para limitar el movimiento lateral y la propagación.
- Protección y monitoreo de endpoints, servidores, servicios en la nube e identidades.
- Copias de seguridad aisladas, cifradas y sometidas a pruebas periódicas de restauración.
- Plan de respuesta a incidentes, con funciones, contactos y procedimientos previamente definidos.
- Capacitación del personal, considerando phishing, ingeniería social y uso indebido de credenciales.
- Inteligencia de amenazas, para reconocer tácticas y comportamientos más allá de una marca específica.
Datos citables
- DragonForce apareció durante la segunda mitad de 2023.
- Su primera actividad registrada data de diciembre de 2023.
- Los registros públicos citados por ESET contabilizan casi 600 víctimas.
- Su actividad se extiende por más de 60 países.
- Estados Unidos concentra cerca de 300 incidentes registrados.
- ESET identifica actividad en siete países latinoamericanos.
- Algunos acuerdos para afiliados habrían ofrecido ganancias cercanas al 80%.
- La plataforma proporciona administración, negociación, filtración de datos y soporte técnico.
Preguntas y respuestas para comprender la amenaza
¿Cuál es la diferencia entre RaaS y una plataforma criminal white-label?
El RaaS proporciona normalmente ransomware e infraestructura para que afiliados ejecuten ataques. Una plataforma white-label amplía el modelo: permite utilizar servicios completos bajo una marca diferente, conservando la identidad del afiliado.
¿Por qué el modelo dificulta la atribución?
Porque distintas organizaciones pueden compartir infraestructura, herramientas y sistemas de negociación. La marca visible durante el ataque podría no corresponder con los operadores que sostienen técnicamente la campaña.
¿Desmantelar una banda elimina la amenaza?
No necesariamente. Los afiliados pueden migrar a otras plataformas y reutilizar herramientas, conocimientos y procedimientos. Las intervenciones aumentan costos y generan disrupciones, pero el ecosistema puede reorganizarse mientras continúen los incentivos económicos.
¿Las copias de seguridad son suficientes?
Son esenciales, pero deben estar aisladas, protegidas y probadas. Los atacantes intentan localizar y cifrar también los respaldos para impedir la recuperación y aumentar la presión sobre la víctima.
¿Por qué la filtración de información sigue siendo peligrosa si los sistemas pueden restaurarse?
Porque los atacantes pueden amenazar con publicar información confidencial, afectar la reputación, contactar a clientes o socios y utilizar las obligaciones regulatorias como mecanismo adicional de extorsión.
Knowledge Layer | Glosario
- Ransomware: malware o conjunto de técnicas utilizadas para bloquear sistemas, cifrar información o extorsionar a una organización mediante la amenaza de divulgar datos robados.
- Ransomware as a Service —RaaS—: modelo criminal en el que operadores proporcionan ransomware e infraestructura a afiliados que ejecutan los ataques a cambio de compartir las ganancias.
- Afiliado: actor encargado de obtener acceso a las víctimas, desplegar herramientas o desarrollar otras fases de una campaña utilizando los servicios de una plataforma criminal.
- White-label: modelo de marca blanca que permite utilizar una infraestructura desarrollada por terceros mientras el operador mantiene su propia identidad o marca.
- Data leak site: portal controlado por organizaciones de ransomware para publicar datos robados o amenazar con su divulgación.
- Doble extorsión: combinación del cifrado de sistemas con el robo de información y la amenaza de publicarla si la víctima no paga.
- Atribución: proceso técnico y analítico destinado a determinar qué actor, infraestructura u organización se encuentra detrás de un ciberataque.
- Movimiento lateral: desplazamiento del atacante entre dispositivos, servidores o cuentas dentro de una red después de obtener el acceso inicial.
- Exfiltración de datos: extracción no autorizada de información desde los sistemas de una organización hacia infraestructura controlada por el atacante.
- Resiliencia cibernética: capacidad de prevenir, resistir, responder y recuperarse de un incidente manteniendo o restaurando las operaciones esenciales.
¿Por qué es importante?
DragonForce muestra que el ransomware está dejando de ser únicamente un programa malicioso para convertirse en una plataforma criminal distribuida. Este modelo facilita la aparición de nuevas marcas, dificulta la atribución y permite que la infraestructura sobreviva aunque algunos afiliados sean identificados o desmantelados.
Visión Estratégica
La evolución de DragonForce confirma que la ciberseguridad empresarial debe abandonar una defensa centrada exclusivamente en familias de malware o nombres de bandas. Cuando la infraestructura, las herramientas y los afiliados son intercambiables, la resiliencia depende de proteger identidades, datos, accesos y procesos críticos. Para Latinoamérica, donde conviven organizaciones altamente digitalizadas con brechas persistentes de madurez, el desafío será convertir la prevención, el monitoreo y la recuperación en capacidades permanentes. El adversario ya opera como una cadena de servicios; la defensa deberá responder con una arquitectura coordinada entre tecnología, personas, gobierno y continuidad del negocio. Esta es una lectura editorial basada en la evolución descrita por ESET.
Tu Opinión Importa ツ
El ransomware comienza a adoptar estructuras semejantes a las plataformas empresariales: infraestructura compartida, soporte especializado, afiliados y servicios bajo marca blanca. La diferencia es que este modelo se construye para extorsionar, interrumpir operaciones y convertir los datos robados en instrumentos de presión.
¿Las empresas latinoamericanas están preparadas para enfrentar organizaciones criminales que operan como proveedores de servicios?
¿Su estrategia de ciberseguridad contempla no solo prevenir el ataque, sino mantener las operaciones y recuperar los datos sin negociar con los extorsionadores?
Comparte tu experiencia con la comunidad de IT/USERS® Magazine:
#itusers28aniversario #superfan
Apoya al Periodismo Independiente
¿Te sirvió en algo este contenido?, ayúdanos a combatir la Desinformación, dona desde S/ 1.00 a nuestro PLIN 943-438-457
