Krybit
Un ransomware como servicio de 2026 que le deja 80 por ciento a sus afiliados y que ya tiene víctimas en México.
Quién es
Krybit es un ransomware como servicio que arrancó entre finales de marzo y principios de abril de 2026. Les deja a sus afiliados el 80 por ciento de cada rescate y les da cifradores para Windows, Linux y VMware ESXi. Las detecciones de antivirus ubican su código en la familia Babuk. No hay avisos de gobierno sobre él, solo reportes de empresas de seguridad, y es un grupo de apenas seis meses.
Cómo entra
No hay un método documentado públicamente: depende de cada afiliado.
Qué hace una vez dentro
Roba información, borra las instantáneas de Windows, cifra con la extensión .KRYBIT y negocia por un chat en Tor y su sitio de filtraciones. En abril de 2026 un grupo rival filtró su panel de administración y Krybit respondió exhibiendo que el rival inventaba víctimas.
A quién ataca
Es oportunista: servicios, manufactura, educación y tecnología en Alemania, México, Austria, España, Turquía, Tailandia, Japón y Estados Unidos. En nuestra base tiene 12 víctimas publicadas en México.
En México
13 víctimas publicadas en su sitio de filtraciones entre el 3-abr-2026 y el 24-oct-2026, en 7 sectores.
Cifra en agregado: no publicamos nombres de víctimas. Que una organización aparezca en un sitio de filtraciones es lo que dice el grupo, no una confirmación.
Villanos relacionados
Fuentes
- Picus Security, cómo funciona el ransomware Krybit (2026)
- CYFIRMA, reporte semanal de inteligencia (mayo de 2026)
- Base de Inteligencia de Amenazas QMA: víctimas publicadas en México
