TERCA Zilli, operador logístico de Brasil, figura en una reivindicación atribuida a RansomHouse que ransomware.live detectó el 1 de octubre de 2026. La aparición en el registro no confirma por sí sola una intrusión, extracción de información o interrupción de servicios. En las fuentes institucionales consultadas al 21 de octubre no se encontró una confirmación independiente del alcance anunciado.
TERCA: qué organización identifica el registro
La ficha de TERCA en ransomware.live, incluida en el listado de Brasil, señala el dominio terca.com.br. El sitio oficial de TERCA Zilli presenta servicios de almacenamiento y logística e identifica la razón social Zilli Armazéns Gerais S.A. Su página de ubicación sitúa la operación en Cariacica, Espírito Santo. Esa información respalda el vínculo con Brasil, sin validar la reivindicación.
La detección figura a las 14:30 UTC del 1 de octubre. La fuente muestra además el 21 de agosto como fecha estimada del ataque; no es una fecha de intrusión confirmada. Tampoco permite verificar por separado cuándo apareció originalmente la publicación del grupo. El corte de esta revisión utiliza, por tanto, la detección de octubre y no presenta el supuesto ataque como un hecho ocurrido hoy.
La información pública revisada no permite establecer sistemas afectados, volumen de datos extraídos, duración de una eventual interrupción o consecuencias para clientes. Tampoco demuestra un impacto en Chile. El análisis se limita al registro y a fuentes públicas de contexto; no utiliza supuestos archivos robados como material de publicación.
RansomHouse: operación, afiliados y herramientas
RansomHouse es el nombre vinculado a esta reivindicación. Una investigación técnica original de Unit 42 describe su modelo de ransomware como servicio y denomina Jolly Scorpius al grupo operador que rastrea. Distingue a quienes mantienen la infraestructura de los afiliados que ejecutan intrusiones. El nombre de la operación no identifica automáticamente a una persona o afiliado responsable de un caso particular.
El mismo estudio documenta el cifrador Mario y la herramienta de administración MrAgent en entornos VMware ESXi. Son componentes de software con funciones distintas. Esta evidencia histórica no demuestra que TERCA utilice esa plataforma ni que esas herramientas hayan intervenido en el caso registrado.
En los catálogos oficiales de grupos y software de MITRE ATT&CK consultados no se verificaron perfiles G o S correspondientes a RansomHouse, Mario o MrAgent. No se asignan identificadores de actores o programas con nombres parecidos. Como mapeo analítico del comportamiento descrito por Unit 42, el cifrado de archivos para interrumpir su disponibilidad corresponde a T1486, Data Encrypted for Impact. No se atribuye esa técnica a TERCA sin evidencia específica.
Qué pueden comprobar las empresas
MITRE relaciona T1486 con M1053, Data Backup. La acción concreta es conservar copias protegidas fuera del sistema principal y probar su restauración. Para una empresa con sistemas virtualizados, conviene comprobar que la recuperación incluya las dependencias necesarias para operar y que el mismo acceso administrativo comprometido no permita destruir todas las copias.
Como recomendación de gestión de AllDefense, una prueba debería terminar cuando el proceso prioritario vuelve a funcionar y su responsable lo valida. Recuperar archivos sin verificar la aplicación o los accesos puede dejar una capacidad incompleta. La guía de copias de seguridad frente al ransomware desarrolla estas comprobaciones.
Para empresas chilenas que dependen de operadores logísticos, también resulta útil acordar un canal conocido para verificar avisos y revisar qué servicio propio depende del proveedor. Esta es una recomendación preventiva general: el registro no acredita que existan clientes chilenos afectados ni permite anticipar consecuencias operativas concretas.
