Los villanos del Zero Day Universe
Cada adversario de este catálogo tiene un actor real detrás y evidencia que lo sostiene: víctimas publicadas en México, técnicas mapeadas a MITRE ATT&CK y las vulnerabilidades que usó para entrar. La ficción es la puesta en escena. Los datos no.
Catálogo de adversarios
GOLDVEIN
Dejó de cifrar archivos cuando entendió que basta con llevárselos. Entró por dos días cero de Oracle E-Business Suite y lleva veinticinco empresas mexicanas publicadas.
THE GENTLEMEN
Grupo joven con portal propio de filtraciones. Veintidós víctimas publicadas con México como país entre junio de 2025 y septiembre de 2026, tres de ellas el mismo día. Es el adversario del tercer episodio.
VOID MANTICORE
La amenaza que no negocia. Borra datos e impide la recuperación, así que un pago no compra nada. Todavía sin víctimas mexicanas publicadas.
DARKWEB SYNDICATE
El antagonista de fondo (personaje de ficción). No aparece en cuadro porque no es una persona: es quien le vende accesos, herramientas e infraestructura a todos los demás.
SCATTERED SPIDER
No rompe la puerta: llama a la mesa de ayuda y convence a quien contesta.
DOUBLE DRAGON
Trabaja para un Estado de día y roba por su cuenta de noche, con la misma infraestructura. Veintidós CVE con su nombre en la atribución, casi todos probables, en quince fabricantes que cualquiera tiene en su inventario.
LOCKBIT
La franquicia. Cincuenta y siete víctimas publicadas con México como país en cinco años, el número más alto de nuestro rastreo, y tres versiones de la marca que sobrevivieron al desmantelamiento.
QILIN
El que más creció en México: casi todas sus víctimas mexicanas son de 2025 y 2026, con casos en el sector salud. Es el villano de EP.006, el que vive adentro.
APT29
Sin portal de filtraciones ni nota de rescate. Entra, se queda y mide su éxito en meses de silencio. Es de los adversarios con más capítulos del universo.
SHINYHUNTERS
No cifra nada: se lleva expedientes de personal, nómina y alumnos, y cobra por no publicarlos. Se le atribuye una campaña contra Oracle PeopleSoft que expuso expedientes de personal y nómina.
LAZARUS GROUP
Detrás del borrado de Sony Pictures en 2014 y, bajo su paraguas, del robo por SWIFT al Banco de Bangladesh en 2016. Es el adversario de los episodios 004 y 005.
APT1
La unidad del Ejército Popular de Liberación que Mandiant expuso en 2013 por robar propiedad intelectual a cientos de empresas de habla inglesa.
APT3
Un grupo ligado al Ministerio de Seguridad del Estado de China que se hizo conocido por usar vulnerabilidades de día cero en navegadores.
BlackByte
Un grupo de ransomware que entra por servidores expuestos, como Exchange, y que el FBI señaló por atacar infraestructura crítica en Estados Unidos.
Brain Cipher
El ransomware hecho con el constructor filtrado de LockBit que paralizó el centro nacional de datos de Indonesia en 2024.
CoralRaider
Un grupo de Vietnam que roba credenciales, datos de tarjetas y cuentas de redes sociales de empresas con una cadena de infostealers.
DarkHydrus
Un grupo de espionaje que ataca gobiernos y universidades de Medio Oriente con herramientas libres y una puerta trasera propia.
Dragonfly
La unidad del FSB ruso que lleva más de una década metiéndose en empresas de energía y en los sistemas que controlan la infraestructura crítica.
DragonForce
La operación de ransomware que en 2025 se presentó como un cártel y que estuvo detrás de los ataques a Marks and Spencer, Co-op y Harrods.
El Corredor
El broker de accesos sin rostro de Zero Day Unit: entra, se queda y le vende la puerta a quien llegue después.
Equation Group
El grupo que podía reescribir el firmware de los discos duros y cuyas herramientas filtradas, como EternalBlue, terminaron en WannaCry y NotPetya.
Famous Chollima
Los operativos norcoreanos que consiguen empleo remoto en empresas de tecnología con identidades falsas, y que también reclutan desarrolladores con entrevistas trampa.
FIN7
Un grupo con motivación financiera que empezó robando tarjetas desde las terminales de cobro de restaurantes y hoteles, y que desde 2020 opera ransomware contra empresas grandes.
HAFNIUM
El grupo chino detrás de la explotación masiva de Microsoft Exchange en 2021, rápido para convertir en arma cualquier falla de equipos de borde.
Hunters International
El ransomware que heredó el código de Hive tras su desmantelamiento, que priorizaba robar datos y que cerró en 2025 para seguir como World Leaks.
KillSec
Un grupo que se presenta como hacktivista pero que vive de extorsionar, con ransomware propio y un servicio para afiliados desde 2024.
Kimsuky
El grupo de espionaje norcoreano que persigue a expertos en política exterior, programa nuclear y sanciones, con el arsenal de técnicas más amplio de MITRE.
Krybit
Un ransomware como servicio de 2026 que le deja 80 por ciento a sus afiliados y que ya tiene víctimas en México.
Lace Tempest
El operador de Cl0p que explota de golpe vulnerabilidades de día cero en software de transferencia de archivos, como MOVEit, para robar datos de miles de organizaciones.
LAPSUS$
Un grupo de extorsión sin ransomware que entraba a grandes tecnológicas sobornando empleados y engañando a mesas de ayuda, y que empezó en Brasil.
LofyGang
Un grupo brasileño que publicó cientos de paquetes maliciosos en npm para robar tarjetas y cuentas, y que volvió en 2026 con un ladrón disfrazado de truco de Minecraft.
Magecart
No es un grupo sino una familia de bandas que esconden un lector de tarjetas en la página de pago de las tiendas en línea.
NightSpire
Un grupo nuevo que entra por firewalls Fortinet sin parchar y que le da a sus víctimas plazos de dos días para pagar.
NoEscape
El ransomware como servicio que en 2023 sumó ataques de denegación de servicio a la extorsión y que desapareció de golpe a fin de año.
REvil
El ransomware como servicio detrás del ataque a la cadena de suministro de Kaseya en 2021, heredero de GandCrab.
Rhysida
El ransomware que debutó contra el Ejército de Chile y que después se llevó los datos de la Biblioteca Británica y del puerto de Seattle.
Royal
Un ransomware que apareció en 2022 con gente de Conti, que cifra por partes para ir más rápido y que después cambió su nombre a BlackSuit.
SafePay
Un grupo de ransomware cerrado, sin afiliados, con más de 600 víctimas, que pide un porcentaje de lo que factura la empresa y llama por teléfono para presionar.
Sandworm
La unidad del GRU ruso que apagó la red eléctrica de Ucrania, soltó NotPetya sobre el mundo y atacó los Juegos Olímpicos de Invierno.
Storm-0558
El grupo chino que en 2023 falsificó llaves de Microsoft para leer el correo de la Secretaria de Comercio y del Departamento de Estado de Estados Unidos.
Storm-0978
Un grupo ruso que mezcla espionaje sobre Ucrania con ransomware, y que ataca con vulnerabilidades de día cero de Office, Firefox y WinRAR.
TA505
Un grupo criminal que marcó tendencia en la distribución masiva de malware por correo y que después llevó el ransomware Clop.
TeamTNT
Un grupo que busca servidores en la nube y contenedores mal configurados para minar criptomonedas con los recursos de la víctima.
Turla
El grupo de espionaje del FSB ruso que lleva veinte años dentro de embajadas y ministerios de más de 50 países con su malware Snake.
En el radar
Grupos con evidencia en nuestra base que todavía no tienen ficha. Las cifras salen de CISA KEV, MITRE ATT&CK y del registro de víctimas publicadas en México.
De dónde sale esta información
El conteo de víctimas mexicanas viene del rastreo continuo que hace Blacktrace sobre los portales de filtración de los grupos de ransomware, cruzado con muestras de malware, indicadores en circulación y el catálogo de vulnerabilidades explotadas de CISA. Se publica por sector y por año, nunca con el nombre de la empresa afectada.
Las técnicas se nombran con su identificador de MITRE ATT&CK para que cualquier equipo pueda llevarlas a su propia detección sin traducción de por medio. Cuando la atribución no alcanza, se dice: aquí la atribución probable va marcada como probable.
Si quiere saber cuáles de estos grupos publicaron víctimas de su sector en México y qué controles suyos tocan sus técnicas, esa conversación se tiene con datos, no con generalidades.
Hablar con el equipo QMA