Cada tanto circula una lista de “empresas hackeadas en México” y cada quien la lee a su conveniencia: el que aparece entra en pánico, el que no aparece respira tranquilo. Ambos se equivocan. Este artículo pone la foto en su sitio: quién está activo contra México, en qué sectores está pegando y —lo más importante— por qué no aparecer en la lista no significa estar a salvo.
Quién está activo contra México
Según el rastreo de reclamos publicados en los sitios de filtración (leak sites) durante la ventana, el ranking contra México lo encabeza Qilin, seguido de LockBit5 y TheGentlemen, con actividad adicional de grupos como Krybit, DragonForce, Akira e Incransom. Una aclaración de método que casi nadie hace: esto son reclamos del atacante, no brechas confirmadas por la víctima — útiles como señal de tendencia, no como veredicto sobre una empresa en particular.
TheGentlemen completa el podio como grupo en ascenso con presencia notable en víctimas mexicanas y de la región. El patrón común: no son genios del 0-day, son operadores eficientes que compran accesos y explotan lo que dejaste expuesto.
Dónde está pegando
Las víctimas mexicanas de la ventana se reparten entre prácticamente todos los sectores productivos. Los más golpeados:
Si tu empresa produce, vende, mueve o almacena algo, estás en un sector que ya fue tocado. El ransomware dejó de ser un problema “de las grandes”: la mediana empresa es el blanco cómodo — tiene algo que perder y defensas más delgadas.
¿Y el sector financiero?
Aquí hay que ser preciso, porque es donde más se malinterpreta el dato. En la ventana no aparece ningún banco ni casa de bolsa como víctima de cifrado público en los leak sites. Pero “servicios financieros” sí tiene víctimas —principalmente aseguradoras y financieras—, así que nadie en el gremio debería leer esto como “estamos limpios”.
La trampa del dato: que un banco o una casa de bolsa no esté en un leak site no significa que no lo estén intentando. Significa que, si hubo compromiso, o se contuvo, o se resolvió en silencio, o el atacante aún no publica. En un sector regulado, la exposición rara vez entra por la puerta ruidosa del cifrado masivo.
Por qué “no estar en la lista” no es estar a salvo
// el leak site es la PUNTA: el acceso real entra por credenciales, VPN sin parchar y terceros — mucho antes de que aparezca tu nombre
El leak site es la punta del iceberg: solo muestra a quien no pagó o a quien el grupo quiso presionar públicamente. Debajo hay víctimas que pagaron en silencio, incidentes contenidos a tiempo y accesos ya vendidos que todavía no detonan. Y casi siempre el inicio es el mismo, sin importar el sector: una credencial corporativa robada por un infostealer, una VPN o un servicio en el borde sin parchar, o un proveedor comprometido. Por eso el banco “ausente de la lista” y la PyME que “nunca saldría en una noticia” comparten el mismo riesgo real.
Qué hacer con esto
- MFA resistente a phishing en todo lo expuesto (VPN, correo, paneles). Una contraseña robada sin MFA es una transferencia de llaves.
- Monitorea credenciales filtradas de tu dominio en mercados e infostealers — si tu acceso ya está a la venta, quieres saberlo antes que el atacante lo use.
- Parchea el borde primero: VPN, firewalls y servicios expuestos a internet son la vía #1. Prioriza por lo que ya se explota, no por el score teórico.
- Revisa a tus terceros: tu proveedor de TI y tus integraciones son parte de tu superficie. Su descuido es tu brecha.
- Backups probados y plan de respuesta: la diferencia entre un susto y una quiebra es tener respaldos que de verdad restauran y saber a quién llamar en la primera hora.
La lectura de dueño: no gestiones tu riesgo por si saliste o no en una lista. Gestiónalo por tu superficie expuesta real. Las empresas que monitorean sus credenciales, parchean su borde y vigilan a sus terceros no necesitan la lista para saber si están en la mira — ya lo saben, y actúan antes.
// ¿Sabes si tus credenciales ya están a la venta?
En Haak monitoreamos tu exposición en dark web e infostealers, mapeamos tu superficie expuesta y validamos tu borde con pentesting. Inteligencia de amenazas y respuesta, para que no te enteres por un leak site.
Ver servicios de ciberseguridad →