Incolur figura en un registro de ransomware.live atribuido a The Gentlemen, detectado el 26 de agosto de 2026. Se trata de una reivindicación recogida por el rastreador, no de una confirmación independiente de intrusión, robo de información o impacto operativo.

Qué se conoce del registro y la organización

La ficha remite a incolur.cl. El sitio oficial de Incolur identifica a Ingeniería y Construcciones INCOLUR S.A. y describe obras civiles, movimiento de tierras y montaje electromecánico, con contacto en Santiago. Para contextualizar la actividad se usa esa fuente corporativa, no la descripción automática del rastreador, que presenta una caracterización comercial distinta.

La discrepancia de descripción exige cautela: el nombre y el dominio permiten reportar la referencia, pero no asumir que todos los detalles agregados sean correctos. El registro revisado no confirma qué empresa jurídica, contrato, faena o plataforma habría sido alcanzada. Tampoco ofrece evidencia suficiente para afirmar interrupciones o pérdida de documentación de ingeniería. Esos extremos requieren corroboración adicional.

La fecha usada es la de detección por ransomware.live. No se verificó una fecha separada de publicación original de la reivindicación ni la fecha efectiva de la posible intrusión. La revisión se realizó al 14 de septiembre de 2026: no se presenta este antecedente histórico como un ataque ocurrido hoy.

The Gentlemen: comportamiento documentado y límites

Unit 42 identifica a The Gentlemen, también Storm-2697, como un programa ransomware como servicio. Operadores, afiliados y malware cumplen funciones distintas; el listado no identifica al afiliado del caso.

No se encontró un perfil propio verificable G o S en los catálogos oficiales de grupos y software de MITRE. Las asociaciones siguientes son un mapeo analítico a ATT&CK desde investigación técnica original; no atribuyen esas conductas al caso chileno.

La investigación de Check Point sobre la operación describe accesos mediante sistemas expuestos y credenciales. Su análisis del ransomware documenta acciones contra copias de recuperación. No son hallazgos forenses de esta organización.

• T1190 — Exploit Public-Facing Application: explotación de servicios expuestos.
• T1078 — Valid Accounts: abuso de cuentas válidas.
• T1490 — Inhibit System Recovery: acciones que obstaculizan la recuperación.

Mitigaciones verificadas en MITRE ATT&CK

Las páginas oficiales de cada técnica vinculan las mitigaciones indicadas. Su aplicación debe ajustarse al entorno y comprobarse; no garantizan por sí solas evitar un incidente.

• M1051 — Update Software: para T1190, priorizar actualizaciones de servicios accesibles desde internet y verificar su instalación.
• M1032 — Multi-factor Authentication: para T1078, exigir autenticación multifactor en accesos compatibles y comprobar que no existan rutas que la eludan.
• M1053 — Data Backup: para T1490, separar las copias del sistema original y ensayar restauraciones con responsables del servicio.

Una prioridad práctica para el sector

En empresas de ingeniería y construcción, un ejercicio preventivo puede verificar cómo se recuperan versiones aprobadas de planos y documentos de obra. El punto no es solo volver a abrir archivos, sino comprobar su integridad, vigencia y acceso por las personas autorizadas. También conviene revisar las cuentas de contratistas al cerrar un proyecto y los permisos entre oficinas y faenas. Estas medidas no describen deficiencias demostradas en Incolur.

El caso ilustra por qué una noticia de ransomware necesita verificar la identidad antes de completar contexto con datos de terceros. La reivindicación merece seguimiento, pero no justifica mezclar entidades de nombre parecido ni atribuir al incidente la secuencia técnica de otras campañas del mismo actor.

Las imágenes de portada e interior son referenciales, generadas con IA. Las fuentes enlazadas permiten distinguir información institucional, registro de la reivindicación y análisis preventivo; no se reproducen datos sustraídos.

Rodrigo Zamora

Difor figura en un registro de ransomware.live atribuido a Qilin, detectado el 23 de agosto de 2026. Se trata de una reivindicación recogida por el rastreador, no de una confirmación independiente de intrusión, robo de información o impacto operativo.

Qué se conoce del registro y la organización

La ficha identifica a Difor y remite a difor.cl. La comunicación pública de Difor Chile enlaza ese dominio y sus sucursales de venta de vehículos. Esa referencia permite situar el caso en el sector automotor chileno. No determina qué sucursal, aplicación o línea de negocio estaría involucrada en la afirmación.

En el comercio automotor, una revisión preventiva puede abarcar cotizaciones, agendamiento de servicios y documentación de ventas. Son ejemplos de procesos a proteger, no una lista de sistemas afectados en Difor. El registro consultado no precisa datos sustraídos, una vía de acceso ni interrupciones comprobadas. Tampoco permite concluir que información de compradores o de entidades financieras haya sido comprometida.

La fecha usada es la de detección por ransomware.live. No se verificó una fecha separada de publicación original de la reivindicación ni la fecha efectiva de la posible intrusión. La revisión se realizó al 14 de septiembre de 2026: no se presenta este antecedente histórico como un ataque ocurrido hoy.

Qilin: comportamiento documentado y límites

MITRE ATT&CK documenta Qilin, también denominado Agenda, como software S1242. Está asociado a un modelo ransomware como servicio. El identificador corresponde al malware, no a un grupo G ni a un afiliado específico. El nombre de una reivindicación no identifica por sí solo quién habría ejecutado una intrusión.

MITRE identifica a los operadores del servicio como Water Galura, G1050, también GOLD FEATHER. Esto no identifica al afiliado del caso. Las conductas siguientes proceden del perfil del malware; no son hallazgos de esta reivindicación.

• T1566.002 — Spearphishing Link: distribución mediante enlaces maliciosos en correos dirigidos.
• T1490 — Inhibit System Recovery: acciones que dificultan la recuperación, como eliminar copias de sombra.
• T1486 — Data Encrypted for Impact: cifrado de información para impedir su uso.

Mitigaciones verificadas en MITRE ATT&CK

Las páginas oficiales de cada técnica vinculan las mitigaciones indicadas. Su aplicación debe ajustarse al entorno y comprobarse; no garantizan por sí solas evitar un incidente.

• M1017 — User Training: para T1566.002, entrenar la detección y el reporte de correos sospechosos; habilitar un canal sencillo para consultar antes de abrir enlaces.
• M1018 — User Account Management: para T1490, limitar las cuentas que pueden administrar respaldos y revisar periódicamente que esos permisos sigan siendo necesarios.
• M1053 — Data Backup: vinculada con T1486 y T1490, mantener copias fuera del sistema y probar su restauración; una tarea de respaldo exitosa no prueba recuperabilidad.

Una prioridad práctica para el sector

Para concesionarios y talleres, conviene separar las cuentas de atención comercial de las que administran infraestructura. Otra comprobación útil es ensayar cómo se valida un cambio de instrucciones de pago y quién puede autorizarlo. No basta con que un mensaje mencione una cotización real. Estas son medidas de prevención de fraude que AllDefense propone para el sector; no se atribuyen a Qilin como técnicas observadas en este registro.

Los clientes deben preferir canales conocidos para verificar comunicaciones inesperadas. Las empresas, por su parte, necesitan registros y una capacidad de restauración probada. Con la información revisada, la aparición de Difor en ransomware.live sigue siendo una reivindicación atribuida al actor, no una prueba suficiente del impacto sobre personas o servicios.

Las imágenes de portada e interior son referenciales, generadas con IA. Las fuentes enlazadas permiten distinguir información institucional, registro de la reivindicación y análisis preventivo; no se reproducen datos sustraídos.

Rodrigo Zamora

Layher Chile figura en un registro de ransomware.live atribuido a The Gentlemen, detectado el 23 de agosto de 2026. Se trata de una reivindicación recogida por el rastreador, no de una confirmación independiente de intrusión, robo de información o impacto operativo.

Qué se conoce del registro y la organización

El registro usa el nombre Layher y el dominio layher.cl. El sitio local de Layher Chile ofrece sistemas de andamios, diseño, capacitación y soporte logístico, con contactos en Santiago y otras ciudades del país. La referencia al dominio chileno no permite extender automáticamente una presunta afectación a la matriz internacional ni a todas sus operaciones.

Ransomware.live incorpora una estimación del 21 de agosto como posible fecha de ataque. En esta noticia se conserva como referencia de detección el 23 de agosto y no se presenta aquella estimación como un hecho establecido. La ficha no confirma afectación de proyectos, diseños o servicios en terreno. Tampoco acredita una conexión técnica con otros listados publicados el mismo día.

La fecha usada es la de detección por ransomware.live. No se verificó una fecha separada de publicación original de la reivindicación ni la fecha efectiva de la posible intrusión. La revisión se realizó al 14 de septiembre de 2026: no se presenta este antecedente histórico como un ataque ocurrido hoy.

The Gentlemen: comportamiento documentado y límites

Unit 42 identifica a The Gentlemen, también Storm-2697, como un programa ransomware como servicio. Operadores, afiliados y malware cumplen funciones distintas; el listado no identifica al afiliado del caso.

No se encontró un perfil propio verificable G o S en los catálogos oficiales de grupos y software de MITRE. Las asociaciones siguientes son un mapeo analítico a ATT&CK desde investigación técnica original; no atribuyen esas conductas al caso chileno.

El informe DFIR de Check Point Research documenta uso de AnyDesk y recursos administrativos de Windows en otra intrusión, y analiza el cifrador. Ese trabajo respalda el mapeo, sin demostrar la misma secuencia aquí.

• T1219.002 — Remote Desktop Software: abuso de software legítimo de acceso remoto.
• T1021.002 — SMB/Windows Admin Shares: utilización de recursos administrativos de Windows en el despliegue remoto.
• T1486 — Data Encrypted for Impact: cifrado para afectar disponibilidad.

Mitigaciones verificadas en MITRE ATT&CK

Las páginas oficiales de cada técnica vinculan las mitigaciones indicadas. Su aplicación debe ajustarse al entorno y comprobarse; no garantizan por sí solas evitar un incidente.

• M1038 — Execution Prevention: para T1219.002, permitir únicamente herramientas de soporte aprobadas mediante controles de aplicaciones.
• M1037 — Filter Network Traffic: para T1021.002, restringir SMB mediante cortafuegos de host a las comunicaciones que realmente necesita la operación.
• M1053 — Data Backup: para T1486, disponer de copias protegidas fuera del sistema de origen y comprobar que una aplicación prioritaria se puede restaurar.

Una prioridad práctica para el sector

Las empresas que arriendan o administran equipamiento para obras pueden ensayar el acceso a documentación técnica y a registros de entrega si una herramienta queda indisponible. Ese ejercicio debe preservar la trazabilidad de versiones y las autorizaciones. No corresponde reemplazar instrucciones técnicas o controles de seguridad física con información improvisada. Para los accesos de soporte, conviene verificar permisos temporales y la posibilidad de revocarlos sin dejar conexiones alternativas desconocidas.

La continuidad tecnológica y la seguridad en obra requieren coordinación, pero no son lo mismo. Este registro no demuestra un problema de seguridad de los productos ni una interrupción operacional. Las medidas propuestas buscan reducir exposición general mientras se espera evidencia independiente sobre el alcance de la reivindicación.

Las imágenes de portada e interior son referenciales, generadas con IA. Las fuentes enlazadas permiten distinguir información institucional, registro de la reivindicación y análisis preventivo; no se reproducen datos sustraídos.

Rodrigo Zamora

Espac figura en un registro de ransomware.live atribuido a The Gentlemen, detectado el 23 de agosto de 2026. Se trata de una reivindicación recogida por el rastreador, no de una confirmación independiente de intrusión, robo de información o impacto operativo.

Qué se conoce del registro y la organización

La referencia incluye espac.cl. El sitio oficial de Espac describe fabricación y distribución de productos para la edificación, con dirección en Pudahuel, Santiago. Su catálogo incluye equipamiento y accesorios para obras. Ese contexto ayuda a evaluar dependencias de pedidos y despachos, pero no confirma que la producción o la logística hayan sido alteradas.

La ficha muestra además una fecha estimada de ataque del 21 de agosto. No se adopta como fecha comprobada: una estimación del rastreador no reemplaza evidencia de la organización o una investigación. Tampoco se puede inferir una relación técnica con otras empresas mencionadas en la misma jornada. Compartir fecha de registro o vínculos comerciales no demuestra un único incidente ni una propagación entre ellas.

La fecha usada es la de detección por ransomware.live. No se verificó una fecha separada de publicación original de la reivindicación ni la fecha efectiva de la posible intrusión. La revisión se realizó al 14 de septiembre de 2026: no se presenta este antecedente histórico como un ataque ocurrido hoy.

The Gentlemen: comportamiento documentado y límites

Unit 42 identifica a The Gentlemen, también Storm-2697, como un programa ransomware como servicio. Operadores, afiliados y malware cumplen funciones distintas; el listado no identifica al afiliado del caso.

No se encontró un perfil propio verificable G o S en los catálogos oficiales de grupos y software de MITRE. Las asociaciones siguientes son un mapeo analítico a ATT&CK desde investigación técnica original; no atribuyen esas conductas al caso chileno.

La investigación de Check Point sobre la operación describe accesos mediante sistemas expuestos y credenciales. Su análisis del ransomware documenta acciones contra copias de recuperación. No son hallazgos forenses de esta organización.

• T1190 — Exploit Public-Facing Application: explotación de servicios expuestos.
• T1078 — Valid Accounts: abuso de cuentas válidas.
• T1490 — Inhibit System Recovery: acciones que obstaculizan la recuperación.

Mitigaciones verificadas en MITRE ATT&CK

Las páginas oficiales de cada técnica vinculan las mitigaciones indicadas. Su aplicación debe ajustarse al entorno y comprobarse; no garantizan por sí solas evitar un incidente.

• M1051 — Update Software: para T1190, priorizar actualizaciones de servicios accesibles desde internet y verificar su instalación.
• M1032 — Multi-factor Authentication: para T1078, exigir autenticación multifactor en accesos compatibles y comprobar que no existan rutas que la eludan.
• M1053 — Data Backup: para T1490, separar las copias del sistema original y ensayar restauraciones con responsables del servicio.

Una prioridad práctica para el sector

Para una empresa que abastece obras, una prueba de continuidad puede seguir un pedido desde su aceptación hasta su despacho, identificando las aplicaciones y autorizaciones necesarias. Si falta un sistema, ¿quién valida cantidades, destino y documentación? Esa pregunta permite preparar una alternativa controlada sin improvisar durante una crisis. La recomendación es sectorial y preventiva: no afirma que Espac haya perdido esas capacidades ni que un proceso concreto esté afectado.

Separar accesos de bodega, administración y soporte reduce dependencias innecesarias. Conviene acompañar esa separación con respaldos recuperables y registros de cambios. El valor de la alerta consiste en contrastar información y revisar controles, manteniendo clara la diferencia entre la reivindicación y los hechos que puedan confirmarse después.

Las imágenes de portada e interior son referenciales, generadas con IA. Las fuentes enlazadas permiten distinguir información institucional, registro de la reivindicación y análisis preventivo; no se reproducen datos sustraídos.

Rodrigo Zamora

AGUNSA figura en un registro de ransomware.live atribuido a Qilin, detectado el 16 de agosto de 2026. Se trata de una reivindicación recogida por el rastreador, no de una confirmación independiente de intrusión, robo de información o impacto operativo.

Qué se conoce del registro y la organización

La ficha asocia el nombre AGUNSA con agunsa.com. Su sitio oficial presenta soluciones logísticas, marítimas, portuarias y aéreas, con presencia en Chile y otros países. La referencia permite situar el interés para la cadena logística chilena, sin atribuir automáticamente el alcance de una reivindicación a todas las sociedades, oficinas o instalaciones del grupo.

Una mención a un operador logístico genera preguntas sobre intercambio documental, planificación y coordinación con contrapartes. La fuente de descubrimiento no demuestra que esas funciones hayan fallado ni permite identificar una filial afectada. Tampoco contiene evidencia suficiente para afirmar que se comprometieron plataformas de terceros. El nombre comercial y el dominio son puntos de partida para contrastar información, no un inventario de activos afectados.

La fecha usada es la de detección por ransomware.live. No se verificó una fecha separada de publicación original de la reivindicación ni la fecha efectiva de la posible intrusión. La revisión se realizó al 14 de septiembre de 2026: no se presenta este antecedente histórico como un ataque ocurrido hoy.

Qilin: comportamiento documentado y límites

MITRE ATT&CK documenta Qilin, también denominado Agenda, como software S1242. Está asociado a un modelo ransomware como servicio. El identificador corresponde al malware, no a un grupo G ni a un afiliado específico. El nombre de una reivindicación no identifica por sí solo quién habría ejecutado una intrusión.

MITRE identifica a los operadores del servicio como Water Galura, G1050, también GOLD FEATHER. Esto no identifica al afiliado del caso. Las conductas siguientes proceden del perfil del malware; no son hallazgos de esta reivindicación.

• T1219.002 — Remote Desktop Software: abuso de software legítimo de acceso remoto.
• T1021.002 — SMB/Windows Admin Shares: utilización de recursos administrativos de Windows en el despliegue remoto.
• T1486 — Data Encrypted for Impact: cifrado para afectar disponibilidad.

Mitigaciones verificadas en MITRE ATT&CK

Las páginas oficiales de cada técnica vinculan las mitigaciones indicadas. Su aplicación debe ajustarse al entorno y comprobarse; no garantizan por sí solas evitar un incidente.

• M1038 — Execution Prevention: para T1219.002, permitir únicamente herramientas de soporte aprobadas mediante controles de aplicaciones.
• M1037 — Filter Network Traffic: para T1021.002, restringir SMB mediante cortafuegos de host a las comunicaciones que realmente necesita la operación.
• M1053 — Data Backup: para T1486, disponer de copias protegidas fuera del sistema de origen y comprobar que una aplicación prioritaria se puede restaurar.

Una prioridad práctica para el sector

Para empresas conectadas con operadores logísticos, conviene conocer qué procesos dependen de un portal y cuáles pueden continuar por un canal alternativo autorizado. La prueba debe incluir validación de documentos y prevención de instrucciones fraudulentas. En el ámbito técnico, revisar cuentas de intercambio y accesos remotos permite limitar permisos al servicio contratado. Estas decisiones son preventivas y deben coordinarse con el proveedor, sin suspender conexiones críticas basándose únicamente en un listado de extorsión.

La pregunta de negocio es qué evidencia y qué canal de respuesta se requieren ante una alerta. La guía de objetivos de recuperación ofrece una forma de evaluar dependencias. Ninguna de estas recomendaciones constituye confirmación de interrupciones o pérdida de información en AGUNSA.

Las imágenes de portada e interior son referenciales, generadas con IA. Las fuentes enlazadas permiten distinguir información institucional, registro de la reivindicación y análisis preventivo; no se reproducen datos sustraídos.

Rodrigo Zamora

Servicios Marítimos Miguel García figura en un registro de ransomware.live atribuido a MS13089, detectado el 15 de agosto de 2026. Se trata de una reivindicación recogida por el rastreador, no de una confirmación independiente de intrusión, robo de información o impacto operativo.

Qué se conoce del registro y la organización

Ransomware.live identifica el caso por el dominio servmarmg.cl. El sitio oficial lo vincula con Servicios Marítimos Miguel García, con contacto en Valparaíso y actividades de transporte y apoyo portuario en Chile. Esto respalda la contextualización de la entidad, pero no confirma el alcance de la afirmación del actor.

La coordinación de embarcaciones y servicios portuarios depende de información oportuna y contactos confiables. Para empresas del sector, una alerta sobre un proveedor plantea preguntas de continuidad y validación de instrucciones. No debe interpretarse como evidencia de que una nave, un puerto o un sistema de navegación haya sido comprometido. La información pública examinada tampoco permite establecer robo de datos o interrupciones en este caso.

La fecha usada es la de detección por ransomware.live. No se verificó una fecha separada de publicación original de la reivindicación ni la fecha efectiva de la posible intrusión. La revisión se realizó al 13 de septiembre de 2026: no se presenta este antecedente histórico como un ataque ocurrido hoy.

MS13089: comportamiento documentado y límites

La plataforma registra al actor como MS13089. No se encontró un perfil propio verificable en los catálogos oficiales de grupos y software de MITRE ATT&CK. Tampoco se obtuvo investigación técnica primaria suficiente para atribuirle una familia de malware, un modelo de afiliados o una secuencia habitual de ataque.

Por esa limitación, no corresponde inventar un identificador G o S ni sustituirlo por otro grupo. Lo que sigue son escenarios generales de ransomware y abuso de credenciales, no técnicas atribuidas a MS13089 ni observadas en este caso.

• T1078 — Valid Accounts: escenario general de abuso de credenciales válidas.
• T1486 — Data Encrypted for Impact: escenario general de pérdida de disponibilidad por cifrado.
• T1490 — Inhibit System Recovery: escenario general de interferencia con la recuperación.

Mitigaciones verificadas en MITRE ATT&CK

Las páginas oficiales de cada técnica vinculan las mitigaciones indicadas. Su aplicación debe ajustarse al entorno y comprobarse; no garantizan por sí solas evitar un incidente.

• M1032 — Multi-factor Authentication: para T1078, activar MFA en accesos compatibles, empezando por correo, administración y conexiones remotas.
• M1053 — Data Backup: para T1486 y T1490, mantener copias fuera del sistema de origen y probar su restauración.
• M1018 — User Account Management: para T1490, limitar quién puede administrar o eliminar respaldos y retirar permisos que ya no se justifiquen.

Una prioridad práctica para el sector

Un ejercicio concreto para operadores marítimos es comprobar que pueden confirmar una instrucción crítica por un canal alternativo previamente acordado. Si un correo solicita cambiar datos de pago, destinatarios o condiciones de un servicio, la validación debe usar contactos conocidos, no los que trae el mensaje. Es una recomendación propia de prevención de fraude y continuidad: no se presenta como técnica de MS13089 ni como un comportamiento observado en Servicios Marítimos Miguel García.

La incertidumbre sobre el actor no impide preparar la recuperación. Conviene asignar responsables para pedidos, documentación operativa y comunicaciones, y ensayar una restauración controlada. La guía de RTO y RPO ayuda a convertir esa necesidad en objetivos comprobables, sin afirmar que exista aquí una paralización confirmada.

Las imágenes de portada e interior son referenciales, generadas con IA. Las fuentes enlazadas permiten distinguir información institucional, registro de la reivindicación y análisis preventivo; no se reproducen datos sustraídos.

Rodrigo Zamora

CONTAC Ingenieros figura en un registro de ransomware.live atribuido a The Gentlemen, detectado el 10 de agosto de 2026. Se trata de una reivindicación recogida por el rastreador, no de una confirmación independiente de intrusión, robo de información o impacto operativo.

Qué se conoce del registro y la organización

La referencia incluye contac.cl. El sitio de CONTAC describe servicios de ingeniería, automatización e información en tiempo real, con contacto en Santiago. Su actividad permite entender por qué una mención de este tipo interesa a organizaciones industriales. No acredita, por sí sola, acceso de un atacante a clientes ni compromiso de instalaciones operacionales.

En servicios de ingeniería, el riesgo que conviene evaluar incluye las conexiones de soporte y los repositorios de proyectos. Son dependencias habituales que cada empresa debe identificar en su propio entorno, no activos que el registro permita declarar afectados en CONTAC. La ficha consultada no presenta una cronología técnica validada, una atribución independiente ni consecuencias confirmadas sobre la continuidad de sus servicios.

La fecha usada es la de detección por ransomware.live. No se verificó una fecha separada de publicación original de la reivindicación ni la fecha efectiva de la posible intrusión. La revisión se realizó al 13 de septiembre de 2026: no se presenta este antecedente histórico como un ataque ocurrido hoy.

The Gentlemen: comportamiento documentado y límites

Unit 42 identifica a The Gentlemen, también Storm-2697, como un programa ransomware como servicio. Operadores, afiliados y malware cumplen funciones distintas; el listado no identifica al afiliado del caso.

No se encontró un perfil propio verificable G o S en los catálogos oficiales de grupos y software de MITRE. Las asociaciones siguientes son un mapeo analítico a ATT&CK desde investigación técnica original; no atribuyen esas conductas al caso chileno.

El informe DFIR de Check Point Research documenta uso de AnyDesk y recursos administrativos de Windows en otra intrusión, y analiza el cifrador. Ese trabajo respalda el mapeo, sin demostrar la misma secuencia aquí.

• T1219.002 — Remote Desktop Software: abuso de software legítimo de acceso remoto.
• T1021.002 — SMB/Windows Admin Shares: utilización de recursos administrativos de Windows en el despliegue remoto.
• T1486 — Data Encrypted for Impact: cifrado para afectar disponibilidad.

Mitigaciones verificadas en MITRE ATT&CK

Las páginas oficiales de cada técnica vinculan las mitigaciones indicadas. Su aplicación debe ajustarse al entorno y comprobarse; no garantizan por sí solas evitar un incidente.

• M1038 — Execution Prevention: para T1219.002, permitir únicamente herramientas de soporte aprobadas mediante controles de aplicaciones.
• M1037 — Filter Network Traffic: para T1021.002, restringir SMB mediante cortafuegos de host a las comunicaciones que realmente necesita la operación.
• M1053 — Data Backup: para T1486, disponer de copias protegidas fuera del sistema de origen y comprobar que una aplicación prioritaria se puede restaurar.

Una prioridad práctica para el sector

Para un integrador o su cliente, revisar el acceso de soporte significa comprobar quién lo solicita, quién lo habilita, durante cuánto tiempo y con qué privilegios. Una cuenta compartida dificulta reconstruir acciones y revocar solo lo necesario. Una prueba práctica consiste en cerrar una sesión autorizada, retirar su permiso temporal y verificar que no quede un canal alternativo abierto. Debe realizarse de forma coordinada, sin intervenir sistemas ajenos ni interrumpir procesos productivos.

Esta reivindicación no demuestra un incidente de cadena de suministro. Sí ofrece una ocasión para revisar los límites de confianza entre proveedor y cliente. El simulacro de ciberseguridad permite ensayar esa coordinación sin confundir un escenario preventivo con lo que realmente ocurrió.

Las imágenes de portada e interior son referenciales, generadas con IA. Las fuentes enlazadas permiten distinguir información institucional, registro de la reivindicación y análisis preventivo; no se reproducen datos sustraídos.

Rodrigo Zamora

Las Cenizas figura en un registro de ransomware.live atribuido a The Gentlemen, detectado el 31 de julio de 2026. Se trata de una reivindicación recogida por el rastreador, no de una confirmación independiente de intrusión, robo de información o impacto operativo.

Qué se conoce del registro y la organización

El registro remite a cenizas.cl. El Grupo Minero Las Cenizas describe operaciones de minería del cobre en Chile, entre ellas Cabildo y Taltal. Ese contexto sectorial está documentado por la compañía. En cambio, la aparición de su nombre en un rastreador no demuestra que una faena se haya detenido ni que sistemas de control industrial hayan sido alcanzados.

Para una operación minera, los servicios corporativos y los de planta pueden tener dependencias distintas. La indisponibilidad de compras, planificación o comunicaciones merece preparación, incluso sin un impacto directo sobre equipos industriales. Esa es una consideración preventiva: la ficha revisada no proporciona evidencia suficiente para reconstruir una intrusión en Las Cenizas, cuantificar pérdidas ni identificar los sistemas presuntamente involucrados.

La fecha usada es la de detección por ransomware.live. No se verificó una fecha separada de publicación original de la reivindicación ni la fecha efectiva de la posible intrusión. La revisión se realizó al 13 de septiembre de 2026: no se presenta este antecedente histórico como un ataque ocurrido hoy.

The Gentlemen: comportamiento documentado y límites

Unit 42 identifica a The Gentlemen, también Storm-2697, como un programa ransomware como servicio. Operadores, afiliados y malware cumplen funciones distintas; el listado no identifica al afiliado del caso.

No se encontró un perfil propio verificable G o S en los catálogos oficiales de grupos y software de MITRE. Las asociaciones siguientes son un mapeo analítico a ATT&CK desde investigación técnica original; no atribuyen esas conductas al caso chileno.

La investigación de Check Point sobre la operación describe accesos mediante sistemas expuestos y credenciales. Su análisis del ransomware documenta acciones contra copias de recuperación. No son hallazgos forenses de esta organización.

• T1190 — Exploit Public-Facing Application: explotación de servicios expuestos.
• T1078 — Valid Accounts: abuso de cuentas válidas.
• T1490 — Inhibit System Recovery: acciones que obstaculizan la recuperación.

Mitigaciones verificadas en MITRE ATT&CK

Las páginas oficiales de cada técnica vinculan las mitigaciones indicadas. Su aplicación debe ajustarse al entorno y comprobarse; no garantizan por sí solas evitar un incidente.

• M1051 — Update Software: para T1190, priorizar actualizaciones de servicios accesibles desde internet y verificar su instalación.
• M1032 — Multi-factor Authentication: para T1078, exigir autenticación multifactor en accesos compatibles y comprobar que no existan rutas que la eludan.
• M1053 — Data Backup: para T1490, separar las copias del sistema original y ensayar restauraciones con responsables del servicio.

Una prioridad práctica para el sector

La prioridad preventiva para una empresa minera es conocer qué accesos remotos unen oficinas, contratistas y faenas. Antes de cambiar conexiones o instalar parches en sistemas sensibles, TI y operaciones deben acordar pruebas y ventanas de mantenimiento. La continuidad y la seguridad física necesitan una evaluación conjunta. También conviene confirmar que exista una vía de comunicación y una copia recuperable de la documentación necesaria para operar durante una interrupción tecnológica.

La segmentación de red ayuda a limitar conexiones innecesarias, pero no reemplaza la investigación de un caso concreto. No hay base en el registro para atribuir a esta empresa las técnicas históricas descritas ni para presentar la reivindicación como una paralización confirmada.

Las imágenes de portada e interior son referenciales, generadas con IA. Las fuentes enlazadas permiten distinguir información institucional, registro de la reivindicación y análisis preventivo; no se reproducen datos sustraídos.

Rodrigo Zamora