QILIN
El que más creció en México: casi todas sus víctimas mexicanas son de 2025 y 2026, con casos en el sector salud. Es el villano de EP.006, el que vive adentro.
Quién es
Qilin, antes Agenda, es un ransomware en renta activo desde 2022. Sus operadores, a los que MITRE ATT&CK sigue como Water Galura (G1050), rentan el malware a afiliados reclutados en foros rusos, negocian los rescates, publican lo robado y se quedan con una parte de cada pago. MITRE cataloga el ransomware como S1242, con variantes en Go y Rust para Windows, Linux y ESXi. En mayo de 2026 la policía de Japón detuvo en un hotel de Osaka a un ruso de 28 años señalado como uno de sus cabecillas, y en octubre fue entregado a Alemania sin que exista un tratado de extradición entre los dos países.
Cómo entra
Por accesos remotos sin segundo factor y por aplicaciones expuestas a internet. En el caso que documentó Sophos en 2024, los atacantes entraron por una VPN con una cuenta válida y sin MFA, esperaron dieciocho días sin tocar nada y luego usaron una política de grupo para llevarse, durante más de tres días, las contraseñas guardadas en Chrome de cada equipo del dominio.
Qué hace una vez dentro
Apaga las herramientas de defensa, borra respaldos y rastros, y cifra servidores Windows, Linux y ESXi. Después publica a la víctima en su portal y amenaza con soltar los datos si no paga. En Londres, su ataque de 2024 a Synnovis dejó el laboratorio de varios hospitales al 10 % de su capacidad: se pospusieron 10,152 consultas y 1,710 procedimientos, y el gobierno británico reconoció en 2026 que el ataque contribuyó a la muerte de un paciente.
A quién ataca
Salud, servicios profesionales, manufactura y tecnología, en muchos países. En México, el Banco de México registró en febrero de 2026 un banco atacado con Qilin, con 91.76 millones de pesos de afectación y sin daño a clientes. Su portal de filtraciones lista víctimas mexicanas de casi todos los sectores, la gran mayoría publicadas en 2025 y 2026.
En México
52 víctimas publicadas en su sitio de filtraciones entre el 26-oct-2022 y el 7-nov-2026, en 16 sectores.
Cifra en agregado: no publicamos nombres de víctimas. Que una organización aparezca en un sitio de filtraciones es lo que dice el grupo, no una confirmación.
Técnicas de MITRE ATT&CK
Acceso inicial 3
Ejecución 7
Escalada de privilegios 1
- T1548.002Bypass User Account Control
Sigilo 9
Debilitamiento de defensas 6
Acceso a credenciales 1
- T1003.001LSASS Memory
Descubrimiento 13
- T1007System Service Discovery
- T1012Query Registry
- T1016System Network Configuration Discovery
- T1018Remote System Discovery
- T1057Process Discovery
- T1069.002Domain Groups
- T1082System Information Discovery
- T1083File and Directory Discovery
- T1087.001Local Account
- T1087.002Domain Account
- T1135Network Share Discovery
- T1673Virtual Machine Discovery
- T1680Local Storage Discovery
Impacto 5
Fuente: MITRE ATT&CK v20, software S1242.
En video
Qilin: 18 días adentro antes de moverse | EP.006 El que vive aquí | Zero Day Universe
Villanos relacionados
Fuentes
- MITRE ATT&CK v20, software S1242
- MITRE ATT&CK, software S1242 Qilin
- MITRE ATT&CK, grupo G1050 Water Galura
- Group-IB, infiltración del panel de afiliados de Qilin (2023)
- Sophos, Qilin roba las contraseñas guardadas en Chrome (2024)
- NHS England, cifra final del ataque a Synnovis (2024)
- Parlamento del Reino Unido, respuesta escrita 13479 (2026)
- Banco de México, incidentes cibernéticos en el sistema financiero (2026)
- Agencia Nacional de Policía de Japón, detención y entrega (2026)
- Jiji Press, la detención en Osaka (2026)
- ZDF, Renania del Norte-Westfalia anuncia la entrega (2026)
- Cybernews, entrega sin tratado de extradición (2026)
- Base de Inteligencia de Amenazas QMA: víctimas publicadas en México