El correo llegó antes de que nadie de fuera supiera que había un incidente. Eso solo lo sabe quien ha estado dentro.
El 18 de agosto, el equipo de investigación de GuidePoint (GRIT) contó algo que llevaba viendo en varias respuestas a incidentes recientes: además del rescate de siempre, a la víctima le entraba un segundo correo. No del grupo que había cifrado, sino de un tercero que se presentaba como Ransom Busters LTD y se ofrecía a sacarla del lío.
Qué dice el correo
El texto que recoge GRIT empieza así: «Soy representante de un proyecto que asiste a víctimas de ciberataques. Llevamos más de tres años identificando vulnerabilidades e infiltrándonos en los servidores de grupos criminales». A partir de ahí, la oferta: dice haber entrado en los paneles de administración de la operación de ransomware, haber encontrado ahí los datos robados a tu empresa y estar dispuesto a borrarlos —y a facilitar la clave— por una cifra de entre 20.000 y 60.000 dólares.
GRIT hizo lo que hay que hacer con una afirmación así: preguntar. Y al preguntarle, Ransom Busters confirmó tener acceso al mismo conjunto de datos robados que el afiliado responsable de la intrusión. Su palabra, no una verificación independiente — pero encaja con todo lo demás.
Y del lado forense, las mismas huellas repetidas en los incidentes que analizó el equipo forense de GuidePoint: SoftPerfect Network Scanner para el reconocimiento interno, s5cmd para sacar los datos a almacenamiento de AWS, la herramienta de gestión remota Remotely desplegada con PowerShell, una cuenta local de puerta trasera creada con la contraseña Numlock!123 y siempre el mismo nombre de máquina del atacante, DESKTOP-BBETH6K. Actividad ligada a tres operaciones distintas: DragonForce, Settra y Anubis.
La conclusión de GRIT, con sus palabras y con su matiz —«con confianza moderada»—, es que Ransom Busters no es un justiciero ni un investigador: es un único afiliado que trabaja para varias operaciones de ransomware a la vez y que, teniendo acceso a los datos, ha decidido cobrar por su cuenta y dejar sin su parte a la banda que le da el programa. Un empleado robando de la caja.
Lo que cambia todo es la fecha del correo
Que aparezcan buitres alrededor de una víctima de ransomware no es nuevo, y conviene decirlo para no vender esto como algo inaudito. En 2019, el investigador Fabian Wosar (Emsisoft) se hizo pasar por cliente y le montó una encerrona a una firma escocesa de recuperación de datos; ProPublica lo publicó en junio. Mientras le decía al falso cliente que estaba «haciendo pruebas» para desbloquear los ficheros, la firma negociaba el rescate directamente con el atacante y luego le pasaba una factura de 3.950 dólares: cuatro veces el rescate pactado. Feo y caro, pero era un intermediario, y el cliente iba a buscarlo a él.
Aquí no. Aquí las víctimas recibieron el correo antes de que el incidente fuera público. No hay lista de la que sacarte, ni foro donde te acaban de publicar, ni periodista que lo haya contado. Solo hay una manera de saber que a esa empresa concreta la han cifrado ese día concreto: haber estado dentro.
Por eso el correo no es una oferta. Es evidencia. Si llega antes de que nada sea público, te está confirmando dos cosas que a lo mejor todavía estabas discutiendo internamente: que hubo exfiltración de verdad y que quien la hizo sigue teniendo los datos a mano.
Va dirigido a la persona, no al sistema
Fíjate en a quién pide hablar el correo: al director general o a quien manda en IT. No al equipo de respuesta, ni al buzón de seguridad. Y llega pronto, cuando aún no sabes el alcance, cuando llevas horas de pie y cuando lo que más quieres en el mundo es que esto se acabe hoy y sin que salga de casa. Está escrito para ese estado de ánimo. Ningún control técnico lo para, porque no ataca a ningún sistema ni explota ningún software: entra por el correo de siempre y lo único que explota es el cansancio de quien decide.
El efecto práctico es peor de lo que parece: abre una segunda negociación en paralelo a la primera, con alguien que no responde ante nadie —ni siquiera ante la banda para la que trabaja— y sin que las dos partes de dentro sepan la una de la otra. Si en tu empresa dos personas distintas hablan cada una con un interlocutor distinto, ya no estás gestionando un incidente: estás gestionando dos.
El protocolo de la primera mañana
Esto no se improvisa el día que pasa, porque el día que pasa nadie está para escribir procedimientos. Es media hora de reunión un martes cualquiera. Lo que pondríamos por escrito con un cliente antes de que haga falta:
- ✓Un canal fuera del perímetro, decidido antes. Si el correo corporativo puede estar comprometido, no es el sitio donde se coordina la respuesta. Un grupo en otro medio, con los móviles personales apuntados en papel. Suena tosco; el papel es lo único que no se cifra.
- ✓Un único portavoz hacia fuera, con nombre y apellidos. Escrito antes del incidente. Todo lo que llegue de un desconocido va a esa persona y no se contesta desde ningún otro sitio. Es lo que impide la negociación paralela.
- ✓No se responde «solo para ver qué dicen». Contestar confirma tres cosas gratis: que el buzón está vivo, que hay alguien asustado detrás y que hay margen para hablar de dinero. GRIT recomienda tratar estas ofertas con escepticismo serio y pasarlas al equipo de respuesta; nosotros lo diríamos más corto: no hay curiosidad barata en mitad de un incidente.
- ✓Se reenvía con las cabeceras completas y se anota la hora exacta de recepción. Es un dato de la línea temporal. Si el correo entró antes que la nota de rescate, o antes de que se supiera nada fuera, eso acota la ventana de exfiltración mejor que muchos registros.
- ✓La decisión de pagar no la toma quien recibe el correo. Nunca. Es de dirección, con asesoría legal y con la aseguradora si la hay, y con el dato encima de la mesa de si se puede restaurar sin ellos. Pagar por «que borren» tus datos es comprar una promesa sin nada detrás: GRIT lo dice tal cual —pagar a cualquier parte criminal no da ninguna garantía de que los datos robados se borren— y no hay forma de auditar un borrado que ocurre en el ordenador de un delincuente.
Lo que este protocolo NO te evita
Ninguno de los cinco puntos de arriba habría impedido la intrusión, y ninguno descifra un solo fichero. Un protocolo de comunicación ordena una mañana horrible; no la cancela. Si llegas al día del correo sin poder reconstruir por tu cuenta, tienes exactamente las mismas opciones malas que tenías, un poco mejor ordenadas.
Lo que decide si un rescate es una negociación o un trámite es si puedes levantar la casa sin ellos. Ya lo escribimos a propósito de el registro de la propiedad rumano al que le borraron hasta las copias: la palabra que importa es «inmutable», no «diaria». Y el otro lado del mismo asunto es tener un RTO y un RPO calculados de verdad, porque cuando alguien te pide 60.000 dólares por una promesa, la única respuesta con criterio es saber cuánto te cuesta a ti no pagarla.
Segunda advertencia, esta sobre los indicadores. La contraseña Numlock!123 y el nombre de máquina DESKTOP-BBETH6K sirven para buscar hacia atrás en tus registros: si aparecen, tienes una conversación muy distinta esta tarde. No sirven como defensa. Cambiar un nombre de máquina cuesta treinta segundos, y quien lo repitió en los incidentes de GuidePoint ya lo habrá cambiado. Lo que sí es estable es el patrón de en medio —escáner de red, herramienta de gestión remota que nadie instaló y una cuenta local nueva—, que es justo lo que un servicio gestionado tiene que ver cuando pasa. Nosotros ya contamos cómo se apaga un EDR con un simple reinicio en modo seguro: la fase de reconocimiento es el rato en que todavía se puede.
Cuándo esto no va contigo
Si tu empresa ya tiene un equipo de respuesta contratado con retén, un plan de comunicación de crisis probado y alguien que sabe qué hacer con un correo así, este artículo no te aporta gran cosa: reenvías, sigues y ya está. Decirte lo contrario sería venderte humo. El problema es que ese no es el caso de la mayoría de empresas del tamaño con el que trabajamos, donde el plan de crisis es una persona que coge el teléfono a las tres de la mañana y decide sola.
Qué haces con el correo de mañana
Hora de recepción, cabeceras completas, un portavoz, y la decisión donde toca. Eso es todo lo que hay que hacer con él el día que llegue. Alguien de dentro de la cadena que te atacó tiene tus datos delante y ha decidido cobrarlos dos veces, y su correo te lo está contando gratis. Y la conversación importante guárdala para otro día, uno tranquilo, en el que la pregunta sea cuánto tardas en volver a levantar la casa sin ellos.
Fuentes: texto de los correos, cifras de 20.000 a 60.000 dólares, indicadores forenses (SoftPerfect Network Scanner, s5cmd, Remotely, la contraseña Numlock!123 y el nombre de máquina DESKTOP-BBETH6K), operaciones implicadas (DragonForce, Settra, Anubis), la valoración «con confianza moderada» y la recomendación a las víctimas — «Beware the Ransomware Rescuer: Ransom Busters», GuidePoint Security (GRIT), 18-ago-2026, por Justin Timothy; confirmación de que los correos llegaron antes de que los incidentes fueran públicos — BleepingComputer y The Hacker News; el caso de 2019 de la firma de recuperación que negociaba el rescate y facturaba cuatro veces lo pactado — el sting de Fabian Wosar (Emsisoft), publicado por ProPublica el 24 de junio de 2019.
¿Quién coge el teléfono en tu empresa a las tres de la mañana?
En everyWAN damos soporte IT 24x7 y montamos el plan de disaster recovery que hace que un correo así se conteste con un reenvío y poco más. Media hora de reunión ahora vale más que cualquier cosa que podamos hacer aquel día — y si lo que ya tienes está bien, te lo diremos.
Hablar con everyWAN
Microsoft 365
ES 
CAT 
EN