NightSpire
Un grupo nuevo que entra por firewalls Fortinet sin parchar y que le da a sus víctimas plazos de dos días para pagar.
Quién es
NightSpire es un grupo de extorsión con motivación financiera que apareció a principios de 2025. Los investigadores lo ven muy probablemente como el cambio de nombre de un grupo más chico, Rbfs. Empezó solo robando datos y pasó a la doble extorsión. En 2026 anunció un modelo de afiliados. No hay avisos de gobierno sobre él, solo reportes de empresas de seguridad.
Cómo entra
Explotando firewalls y VPN expuestos a internet, en particular la falla CVE-2024-55591 de Fortinet FortiOS y FortiProxy, que da acceso de superadministrador. También por fuerza bruta contra escritorio remoto, reúso de contraseñas y phishing.
Qué hace una vez dentro
Roba credenciales con Mimikatz, busca archivos con Everything, los empaca con 7-Zip y los saca con WinSCP y MEGAcmd, apoyado en PowerShell y WMI. Luego cifra, con la extensión .nspire, y publica en su sitio a quien no paga, a veces con plazos de dos días.
A quién ataca
Es oportunista: empresas de todos los sectores y tamaños, sobre todo pequeñas y medianas, con la manufactura a la cabeza. Hay víctimas reportadas en varios países de América Latina. En nuestra base tiene 4 víctimas publicadas en México.
En México
4 víctimas publicadas en su sitio de filtraciones entre el 1-abr-2025 y el 5-abr-2026, en 4 sectores.
Cifra en agregado: no publicamos nombres de víctimas. Que una organización aparezca en un sitio de filtraciones es lo que dice el grupo, no una confirmación.
Vulnerabilidades que explota
| CVE | Producto | CVSS | KEV de CISA |
|---|---|---|---|
| CVE-2024-55591 | Fortinet FortiOS y FortiProxy | 9.8 | Sí |
Documentadas en los avisos y reportes de la sección Fuentes.
Villanos relacionados
Fuentes
- S-RM, Ransomware in focus: Meet NightSpire
- Barracuda, NightSpire (2026)
- Base de Inteligencia de Amenazas QMA: víctimas publicadas en México
