A comienzos de julio, el Departamento de Justicia de EE.UU. dio a conocer que está investigando a un ex negociador de Ransomware por haber colaborado secretamente con grupos cibercriminales, recibiendo comisiones a cambio de facilitar pagos de rescate. La compañía afectada, DigitalMint, ya ha confirmado que el empleado fue despedido tras descubrir su conducta.
Esta noticia, filtrada junto con registros privados del grupo BlackCat (ALPHV), confirma algo que desde la ciberinteligencia técnica ya se sospechaba: existen actores intermedios que, lejos de representar a las víctimas, lucran deliberadamente con el crimen.
¿Por qué esto es crítico?
La dimensión crítica de este fenómeno radica en que rompe la confianza en uno de los momentos más sensibles de una crisis cibernética: la negociación del rescate. Desde CronUp Ciberseguridad, a lo largo de múltiples investigaciones y respuestas a incidentes, hemos identificado patrones que alertaban sobre posibles acuerdos no éticos entre negociadores e integrantes de grupos de ransomware. Entre estos indicios destacan prácticas como descuentos preestablecidos ofrecidos exclusivamente a ciertas “firmas de negociación”, paneles de comunicación personalizados diseñados por los propios operadores del ransomware para estos intermediarios, e incluso tiempos de respuesta sorprendentemente cortos que revelaban un nivel de coordinación inusual.
Este tipo de colaboración encubierta no solo alimenta el ecosistema delictivo, sino que también debilita gravemente los principios de integridad y transparencia que deben regir toda respuesta ante incidentes. Cuando los intereses del intermediario están alineados con los del atacante, la víctima queda doblemente expuesta: no sólo enfrenta una extorsión, sino que también puede ser guiada por recomendaciones contaminadas y decisiones que perpetúan el ciclo del cibercrimen.
Riesgo latente
El modelo en el que actores externos, incluso profesionales del ámbito de la ciberseguridad, colaboran de forma directa o indirecta con grupos de ransomware plantea riesgos éticos y operativos significativos. Una de las principales preocupaciones es la distorsión de los incentivos: cuando el “negociador” recibe comisiones proporcionales al monto del rescate, sus recomendaciones pueden dejar de estar guiadas por el interés del cliente y responder, en cambio, a un beneficio económico personal. Esto compromete la transparencia del proceso y fomenta la desinformación, además de validar indirectamente los esquemas de extorsión.
No obstante, según la experiencia profesional de CronUp Ciberseguridad, la integridad de las investigaciones forenses se mantiene intacta cuando son realizadas por equipos especializados.
Los analistas forenses actúan con total imparcialidad técnica, guiados exclusivamente por la evidencia. La integridad de esta evidencia se asegura mediante procedimientos estrictos, tales como la preservación adecuada de la misma, el cálculo y la verificación de los valores hash para garantizar que no ha sido modificada, la documentación detallada de los procesos y herramientas utilizados, y la capacidad de replicar los análisis realizados. El trabajo forense opera de manera independiente a la comunicación con ejecutivos o posibles negociaciones, lo que asegura la trazabilidad y validez de los hallazgos.
El verdadero riesgo se presenta en contextos menos profesionales, donde un mismo individuo asume múltiples roles, y la falta de controles o ética podría deteriorar la calidad de la investigación. Por ello, más que una mala práctica aislada, este tipo de dinámicas representan una amenaza estructural si no se gestionan con criterios técnicos y éticos sólidos.
Adicionalmente, los pagos por ransomware fomentan el subreporte de ataques, ocultando su verdadera escala y perpetuando el cibercrimen. Organizaciones pagan en silencio para evitar daños reputacionales, dejando incidentes invisibles y reduciendo la capacidad de rastrear patrones.
El informe State of Ransomware 2024 de Sophos confirma esto: el 63% de organizaciones sanitarias en el Reino Unido sufrieron ransomware en 2023, con accesos remotos como principal vulnerabilidad. Los rescates promedio subieron 500%, a 2 millones de dólares; más del 60% de demandas superaron el millón, y un 30% los cinco millones. Causas comunes: explotación de vulnerabilidades conocidas, destacando la necesidad de parches continuos. Datos 2025 de Sophos muestran que la mitad de compañías pagan, con mediana de 1 millón de dólares, aunque el 53% negocia menos. Black Kite advierte que prohibir pagos agrava el subreporte, y Chainalysis reporta un 35% menos en pagos cripto, pero muchos ataques siguen ocultos. Daños estimados: 57 mil millones en 2025. Este subreporte complica la inteligencia cibernética.
¿Cómo protegerse?
Para protegerse de estas dinámicas opacas y éticamente cuestionables, desde nuestra unidad especializada ATRc® en CronUp Ciberseguridad, recomendamos adoptar un enfoque riguroso y transparente en cualquier instancia de respuesta ante ransomware.
Es fundamental evitar la participación de intermediarios que no ofrezcan trazabilidad ni un marco contractual claro que resguarde los intereses de la organización, considerando no solo aspectos técnicos sino también criterios éticos y reputacionales. Asimismo, es clave validar con precisión el modelo de remuneración del proveedor: una estructura basada en comisiones sobre el monto del rescate puede generar incentivos perversos y decisiones sesgadas. Nuestra experiencia demuestra que la mejor defensa ante estos escenarios es trabajar con equipos DFIR que integren análisis forense, negociación ética e inteligencia táctica, capaces de comprender la estructura operativa de los grupos de ransomware y actuar con independencia. Como señala Germán Fernández, líder de ciberinteligencia en CronUp: “No se trata solo de negociar un rescate, sino de entender con quién se está hablando, cómo operan y qué otras señales están dejando en la infraestructura digital global”. Por eso, una respuesta efectiva debe apoyarse en la correlación de indicadores técnicos (IoCs), comportamientos de los actores y datos extraídos tanto de fuentes OSINT como de foros y mercados clandestinos. Solo así se logra una defensa sólida, informada y realmente alineada a los intereses de la víctima, no del atacante.
Reflexión Final
El caso DigitalMint no es una excepción, es una señal de alerta para todas las organizaciones que enfrentan incidentes críticos: la respuesta debe ser técnica, ética y por sobretodo, basada en evidencia.
En CronUp Ciberseguridad, la negociación ante un ataque de ransomware no es un “servicio” en sí mismo, sino una acción crítica dentro de una estrategia de contención y recuperación más amplia, siempre bajo estándares éticos, legales y técnicos. Entendemos profundamente los dolores de nuestros clientes: la presión de una operación interrumpida, la incertidumbre sobre el impacto reputacional y la angustia de tomar decisiones bajo amenaza. Por eso, no actuamos desde la reacción, sino desde la anticipación.
Nuestra prioridad es siempre anteponernos a los movimientos de los adversarios, reduciendo en todo lo posible los riesgos operacionales, legales y estratégicos. Cada decisión que tomamos en el proceso de respuesta está guiada por un principio intransable: proteger los intereses legítimos de la empresa, sus colaboradores, socios y clientes. No promovemos pagos innecesarios, no seguimos el juego del adversario, y no actuamos sin trazabilidad. A través de nuestras capacidades en DFIR, inteligencia táctica y análisis forense, ayudamos a las organizaciones a recuperar el control de forma segura, informada y responsable. Porque en momentos críticos, lo que se necesita no es solo técnica, sino un socio que comprenda el impacto humano, operativo y estratégico de cada acción.
Referencias:
- Bloomberg
- Bleeping Computer
- Sophos
- https://www.bleepingcomputer.com/news/security/doj-investigates-ex-ransomware-negotiator-over-extortion-kickbacks/
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
