Brasil debutó en el 3er lugar global de ransomware. Junio de 2026. Según Ransomware.live, fueron 23 ataques en un mes, solo detrás de Estados Unidos (199) y Alemania (49). Primera vez que Brasil entra al Top 10 desde que Ransomware.live empezó a publicar datos. Seguimos la curva ascendente a lo largo de 2026 y la señal es clara: no es un pico puntual, es un síntoma estructural.
El grupo detrás del salto: The Gentlemen
El grupo detrás del salto se llama The Gentlemen. Según Ransomware.live, surgió a mediados de 2025 como una disidencia de Qilin. En un año pasó de cero a 580 víctimas en 77 países. En el segundo trimestre de 2026 lideró el ranking global de grupos de ransomware.
El método es lo que lo diferencia. Según la documentación de la operación, el grupo mantiene una base de datos curada de 14.700 dispositivos FortiGate precomprometidos. La explotación usa el CVE-2024-55591, un bypass de autenticación con CVSS 9.8. Cuando quieren atacar una empresa, eligen un FortiGate ya comprometido de la lista y entran con acceso de superadministrador. No hay phishing inicial, no hay fuerza bruta: la puerta ya estaba abierta.
Según Ransomware.live, Brasil es el cuarto país más apuntado por The Gentlemen, con 19 víctimas confirmadas en el primer trimestre de 2026. La concentración de FortiGate vulnerables en la infraestructura brasileña es el motivo.
El costo de esto: Pix, BMP y BTG Pactual
Los casos reportados en el ecosistema de pagos brasileño muestran la dimensión. C&M Software, julio de 2025: acceso al sistema de pagos Pix, pérdidas estimadas en más de 1.000 millones de reales. BMP perdió sola 541 millones de reales. BTG Pactual, marzo de 2026: 100 millones de reales desviados vía Pix, operación suspendida temporalmente.
No presentamos estos casos como incidentes de ransomware específicamente: son compromisos de sistema de pagos vía Pix, relacionados con el ecosistema más amplio de amenazas financieras. Pero el patrón es el mismo: acceso indebido, dwell time prolongado, detección tardía.
Según el IBM Cost of a Data Breach 2025, el costo promedio de un data breach en Brasil es de 7,19 millones de reales. Según el Sophos State of Ransomware 2025, el 73% de las empresas brasileñas ya fueron víctimas de ransomware. Brasil ya no es un objetivo secundario: es uno de los tres primeros.
FortiBleed y la Recomendación 12/2026 del CTIR Gov
Según el CTIR Gov, la Recomendación 12/2026 emitida el 24 de junio señala 39 dominios brasileños afectados y 309 credenciales comprometidas. La campaña FortiBleed expuso 73.932 dispositivos FortiGate a nivel global. Brasil en el puesto 11 con 1.737 dispositivos.
La correlación con el salto de The Gentlemen es directa. El grupo elige objetivos donde hay un FortiGate vulnerable. Brasil tiene FortiGate vulnerables. La matemática es simple, y el resultado aparece en el ranking.
Lo que Tech86 implementa
Implementamos cinco capas de defensa que cubren exactamente el kill chain de The Gentlemen:
- EDR de comportamiento con respuesta automatizada, aísla el host en segundos cuando detecta comportamiento de cifrado. No espera una firma: observa el comportamiento.
- SOC 24/7 con MDR, según el IBM Cost of a Data Breach 2025, el dwell time promedio en Brasil es de 241 días. El SOC lo reduce a horas correlacionando alertas que se pierden en el ruido.
- Pentest anual obligatorio, lo exige la Resolución 5.274 de la BACEN. El pentest encuentra la brecha antes que el criminal. El CVE-2024-55591 debió haberse encontrado internamente.
- Concientización con simulación de phishing, la mayoría de los ataques comienza con un error humano. El phishing es el vector número 1 del ransomware.
- WAF con Virtual Patching, cierra la puerta principal mientras el parche oficial no llega. Crítico para el CVE-2024-55591, donde el ciclo de parches de Fortinet puede retrasarse.
Conclusión
Brasil entró al ranking por culpa de FortiGate vulnerables y 241 días de dwell time. Los atacantes eligen objetivos fáciles. Brasil está fácil. Mientras el promedio global de detección baja, el brasileño se mantiene en 241 días: ocho meses de ventana para que el atacante mapee, exfiltre y posicione el ransomware. Ayudamos a las empresas a cerrar esa ventana antes de que The Gentlemen elija el próximo FortiGate de la lista.