Una disputa de $48 mil en comisiones no pagas generó uno de los grupos de ransomware más agresivos de 2026. Y el propio grupo fue hackeado de vuelta. Gentlemen RaaS nació de una ruptura, escaló a 478+ víctimas en 66 países y expuso una verdad incómoda: casi 15 mil FortiGate permanecen sin patch meses después de que la corrección estuviera disponible.
El origen: $48 mil y una ruptura
El operador conocido como Hastalamuerte era afiliado (affiliate) de Qilin bajo el nombre en código ArmCorp. En julio de 2025, Qilin retuvo cerca de $48 mil en comisiones. Hastalamuerte se desvinculó y lanzó Gentlemen RaaS independiente.
El split de afiliados explica la escala: 90/10, contra el estándar de la industria de 80/20. Según Halcyon, solo RansomHub había igualado esa división anteriormente. Con el 90% del rescate quedándole al afiliado, Gentlemen atrajo rápidamente operadores experimentados. En menos de un año: 478+ víctimas listadas en el leak site, 66 países. Según Halcyon, una escala que rivaliza con LockBit 3.0 en el mismo período.
El vector de entrada: FortiGate sin corregir
El acceso inicial de Gentlemen es directo: firewalls FortiGate sin corregir. El CVE-2024-55591 (auth bypass, CVSS 9.6 según Fortinet) en FortiOS permite que los atacantes eludan la autenticación y obtengan acceso administrativo. Según Group-IB, el grupo mantiene cerca de 14.700 dispositivos FortiGate comprometidos y 969 credenciales VPN validadas obtenidas por brute force (fuerza bruta).
El patch público fue lanzado en enero de 2025 (las comunicaciones anticipadas a clientes ocurrieron en diciembre de 2024). Casi 15 mil dispositivos comprometidos a mediados de 2026 significan que el patching de perímetros sigue siendo el eslabón más débil de la cadena de seguridad corporativa. En Tech86 lo vemos repetidamente: el perímetro es donde más invertimos en firewalls y donde menos invertimos en mantenimiento.
El encriptador: de host único a worm auto-propagante
Microsoft publicó la disección técnica el 28 de mayo (tracking: Storm-2697). El encriptador tiene un argumento --spread que lo transforma de encriptador de host único en un worm auto-propagante. Cuando se activa, intenta 21 técnicas simultáneas de lateral movement (movimiento lateral): PsExec, WMI, scheduled tasks, services, PowerShell remoting, SMB shares y otras. Bloquear una no basta.
El cifrado es robusto: cada archivo recibe un par efímero Curve25519 + XChaCha20. Clave única por archivo. Según Microsoft, esto hace que la desencriptación sin la clave privada del operador sea funcionalmente imposible. Los archivos grandes se cifran parcialmente en chunks para velocidad: el objetivo es maximizar el daño en el menor tiempo posible.
El grupo corrige sus propios decryptors el mismo día en que se publican. El decryptor de Bedrock Safeguard funciona solo si capturó un dump de memoria durante el cifrado activo: explora el hecho de que Go no pone a cero la heap memory. No existe un decryptor universal.
La ironía: el extorsionador fue extorsionado
El 4 de mayo, la base de datos interna de Rocket.Chat del grupo se filtró: 16.22 GB, 3.366 mensajes. Según Check Point, que analizó los chats, la filtración expuso 9 operadores nominados, el pipeline de explotación FortiGate, desarrollo asistido por IA (LLMs "abliterated" con filtros de seguridad removidos para codificar ransomware y redactar negociaciones) y la identidad real del admin.
Según KrebsOnSecurity (10 de junio de 2026), una investigación de OSINT señala al administrador de Gentlemen como Alexander Andreevich Yapaev, 36 años, de Izhevsk, Rusia. La identificación se basa en la correlación de aliases en foros criminales, datos de databases gubernamentales rusas filtradas y perfiles en redes sociales: no hay, hasta el momento, confirmación por acción judicial o sanción gubernamental. Su LinkedIn lo lista como head de marketing B2B en Uralenergo Udmurtia. Construyó el panel de la RaaS en 3 días con asistentes de IA.
La simetría es el punto central: un grupo que erigió una operación sobre doble extorsión tuvo sus propias comunicaciones internas filtradas por extorsión. Rocket.Chat era el canal de coordinación y se convirtió en la mayor fuente de inteligencia sobre las operaciones del grupo.
La lección operacional
El patch del CVE-2024-55591 fue lanzado públicamente en enero de 2025. Casi 15 mil FortiGate comprometidos en 2026 sugieren que el patching de perímetros se trata como evento, no como proceso. En Tech86 tratamos el patching de perímetro como proceso continuo, no como evento puntual. Eso significa monitoreo continuo de vulnerabilidades en firewalls y dispositivos de borde, con alertas automáticas cuando CVEs críticos afectan el perímetro.
Gentlemen mostró que un grupo que nace de una disputa de comisiones puede rivalizar con operaciones establecidas cuando el incentivo financiero es alto y el vector de entrada es un patch que ya existe. La defensa no es compleja, es disciplinada. Aplique patches, exija MFA en las VPN, segmente la red y mantenga copias de seguridad (backups) inmutables. Lo que falta no es conocimiento, es ejecución.