Qilin ha dejado de ser solo un grupo más de ransomware. Su capacidad destructiva, su adopción por actores estatales y su impacto en servicios críticos de salud lo posicionan hoy como una amenaza de nivel estratégico. En menos de un año, ha demostrado poder interrumpir cadenas de suministro médico, afectar infraestructura gubernamental y cruzar fronteras geopolíticas. Los recientes ataques al NHS en Reino Unido y al Instituto de Salud Pública de Chile confirman su enfoque en blancos de alta sensibilidad.
Disrupción a infraestructura sanitaria y logística
Desde el 27 de junio de 2025, el Instituto de Salud Pública (ISP) de Chile enfrenta un ataque atribuido al ransomware Qilin. La intrusión dejó fuera de servicio su sitio web y sistemas internos, afectando operaciones clave como:
- Interoperabilidad con Aduanas, lo que ralentizó procesos de importación de productos médicos.
- Interrupción del Sistema Integral de Atención Ciudadana (SIAC).
- Riesgo de exfiltración de información crítica, con potencial exposición pública de datos sensibles.
Aunque el ISP ha declarado que no hay riesgo inmediato para la salud pública, el incidente ha evidenciado la fragilidad de la continuidad operativa en servicios sanitarios críticos en LATAM. Cabe destacar que este ataque provendría de infraestructura ubicada en Reino Unido, lo que introduce nuevas complejidades en su atribución.
«Según nuestro seguimiento de amenazas, algunos operadores de 𝗕𝗹𝗮𝗰𝗸 𝗕𝗮𝘀𝘁𝗮 se movieron a 𝗤𝗶𝗹𝗶𝗻, por lo tanto, es posible que algunos TTPs, herramientas y C2 sean muy parecidos (o los mismos)». Germán Fernández, Director de Cyber Threat Intelligence en CronUp
Qilin también fue responsable del ataque al proveedor de patología Synnovis en Reino Unido (junio de 2024), afectando a más de 10.000 atenciones médicas, postergando 1.710 cirugías y contribuyendo indirectamente al fallecimiento de un paciente. Este caso sentó un precedente global sobre el potencial letal de un ataque ransomware bien ejecutado contra sistemas sanitarios.
“Estamos profundamente consternados al saber que el ciberataque criminal del año pasado ha sido identificado como uno de los factores que contribuyeron a la muerte de este paciente. Nuestro más sentido pésame a la familia afectada.”
Mark Dollar, CEO de Synnovis.
Una amenaza en expansión y mutación
Qilin opera bajo un modelo Ransomware-as-a-Service (RaaS) con capacidades técnicas avanzadas:
- Payloads escritos en Rust (Windows) y C (Linux/ESXi).
- Cifrado híbrido con ChaCha20, AES y RSA-4096.
- Funciones como borrado de logs, propagación lateral, uso de impresoras y optimización de I/O en entornos virtualizados.
Sus operadores ofrecen además soporte legal, mediático y técnico para facilitar la presión durante negociaciones. Su red incluye afiliados provenientes de grupos disueltos como Black Basta, lo que explica la similitud en TTPs, herramientas y servidores de comando y control.
Microsoft reportó que desde febrero de 2025, el grupo estatal norcoreano Moonstone Sleet ha comenzado a utilizar Qilin en sus operaciones ofensivas. Es la primera vez que un actor estatal identificado emplea malware RaaS en lugar de desarrollar sus propias herramientas. Este hecho confirma una convergencia peligrosa entre crimen organizado y espionaje geopolítico, elevando el nivel de sofisticación y opacidad de las amenazas.
Ransomware en Salud: Sector bajo asedio
Como reportamos en 2024, tras el incidente de ciberseguridad que afectó al Instituto FALP, el informe «US Healthcare at Risk» de Microsoft Threat Intelligence ya advertía una preocupante evolución: hasta al menos 2020 existía una especie de regla tácita entre actores de amenazas de no atacar escuelas, niños, infraestructura crítica ni organizaciones de atención médica.
Esa contención ha quedado atrás. Ataques recientes del grupo Qilin demuestran que el sector salud se ha convertido en uno de los blancos prioritarios para el ransomware, debido al alto valor de los datos que manejan y la presión por restablecer operaciones rápidamente ante cualquier interrupción.
El informe State of Ransomware 2024 de Sophos confirma esta tendencia: el 63% de las organizaciones sanitarias en el Reino Unido fueron víctimas de ransomware durante 2023, siendo el acceso remoto seguro una de las principales preocupaciones de ciberseguridad en el sector.
Este tipo de organizaciones enfrenta no solo un aumento en la frecuencia de los ataques, sino también en su impacto financiero. El mismo documento revela un incremento del 500% en el monto promedio de rescates pagados, alcanzando los 2 millones de dólares, frente a los 400.000 del año anterior. Más del 60% de las demandas superaron el millón de dólares, y un 30% superó los cinco millones. La causa raíz más común en estos casos fue la explotación de vulnerabilidades conocidas, lo que refuerza la necesidad de contar con una gestión activa y continua de parches y configuraciones.
Análisis de CronUp Ciberseguridad
Desde nuestra perspectiva de Alerta Temprana de Riesgos, Qilin representa una amenaza de:
- Disrupción crítica multisectorial, particularmente en salud, gobierno y logística.
- Riesgo de filtración de datos con consecuencias reputacionales y legales.
- Escalada geopolítica, al ser adoptado por actores estatales.
Además, se recomienda ejecutar simulaciones Red Team avanzadas que repliquen escenarios de ransomware persistente, utilizando TTPs documentados de Qilin y exmiembros de Black Basta, para evaluar la capacidad real de detección y contención. La integración automatizada de indicadores de compromiso (IoC) y técnicas, tácticas y procedimientos (TTP) en plataformas defensivas como firewalls de nueva generación, EDR y SIEM, resulta clave para reducir la ventana de exposición. Asimismo, es imprescindible realizar auditorías técnicas periódicas orientadas a validar configuraciones defensivas, políticas de segmentación y respuestas ante escenarios de ataque no convencionales.
Normativa sí, pero con capacidad operativa real
El ataque al Instituto de Salud Pública de Chile no solo expuso debilidades técnicas, sino también un vacío crítico: la distancia entre normativa vigente y su aplicación efectiva. Chile cuenta hoy con un marco legal robusto, donde conviven la Ley Marco de Ciberseguridad (21.663), la Ley de Delitos Informáticos (21.459) y la nueva Ley de Protección de Datos Personales (21.719), pero los eventos recientes muestran que la legislación, sin presupuesto, gobernanza y control, pierde su capacidad preventiva y protectora.
Desde Cronup Ciberseguridad observamos tres desafíos clave que deben resolverse con urgencia:
- Presupuesto y gobernanza efectiva: Sin asignaciones específicas, responsables designados ni facultades de fiscalización claras, los controles quedan en el plano declarativo.
- Cultura de continuidad y resiliencia: La ciberseguridad aún se percibe como un gasto, cuando en realidad es un habilitador de operaciones críticas, especialmente en sectores como salud, logística o servicios básicos.
- Controles medibles, auditables y simulables: No basta con el cumplimiento formal; se requiere ejecutar auditorías técnicas, ejercicios de crisis y simulaciones Red Team que traduzcan la ley en defensas efectivas.
Recomendamos priorizar:
- Fortalecer auditorías técnicas y legales con foco en sectores críticos.
- Asignar presupuesto y responsables para cada control exigido por ley.
- Ejecutar simulacros de crisis y ataques tipo ransomware en entornos reales.
Solo así será posible convertir la normativa en una capacidad operativa concreta, capaz de garantizar la prevención, detección y respuesta frente a amenazas como Qilin, que ya han demostrado su impacto potencial en vidas humanas y servicios esenciales.
¿Está tu organización preparada para enfrentar una amenaza como Qilin? En CronUp Ciberseguridad te ayudamos a anticipar, detectar y responder con inteligencia accionable.
Referencias
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
