El ransomware aprendió a tener paciencia. Durante años, su imagen estuvo asociada a ataques ruidosos, archivos bloqueados y mensajes de rescate que aparecían de un momento a otro. Hoy, esa lógica está cambiando. Los ciberdelincuentes pueden entrar a una organización, permanecer allí durante semanas, estudiar cómo funciona, identificar qué defensas podrían detenerlos y esperar hasta encontrar el momento más conveniente para actuar. El ataque ya no siempre comienza cuando vemos sus consecuencias; muchas veces, para entonces, lleva tiempo en marcha.
Ese cambio está transformando por completo la manera en que entendemos esta amenaza. El ransomware es cada vez menos impulsivo y más estratégico: selecciona mejor a sus víctimas, adapta sus técnicas a cada entorno y busca avanzar sin levantar sospechas. Los ataques masivos y poco selectivos están dando paso a operaciones mucho más calculadas, en las que el tiempo, la información y el conocimiento de la organización se convierten en parte de la estrategia.
Y pocos grupos representan mejor esa evolución que The Gentlemen, que de caballerosos tienen poco. Su forma de operar destaca precisamente por su paciencia y sofisticación: adapta sus técnicas a cada entorno, desarrolla herramientas propias y busca neutralizar las defensas de las organizaciones antes de ejecutar la fase más visible del ataque.
Su aparición también refleja un cambio más profundo en el panorama del ransomware: cifrar información y exigir un rescate ya no es necesariamente el único objetivo. Cada vez más, los atacantes roban información confidencial para utilizarla como mecanismo de presión y, en algunos casos, prescinden por completo del cifrado. También buscan desactivar las herramientas de seguridad que podrían detenerlos, despejando el camino antes de avanzar dentro de la organización.
Identificado por primera vez a mediados de 2025, The Gentlemen intensificó considerablemente sus operaciones a principios de este año. Según el informe de malware de Kaspersky correspondiente al primer trimestre de 2026, el grupo logró posicionarse rápidamente entre los tres principales actores de ransomware por el número de víctimas anunciadas en su sitio de filtraciones en foros clandestinos. Su alcance tampoco se limita a una industria en particular. Entre sus objetivos están organizaciones de manufactura, servicios de TI, salud, finanzas e infraestructura crítica en distintas partes del mundo.
Pero lo más relevante de The Gentlemen no es únicamente a quién ataca, sino lo que su forma de operar nos dice sobre el ransomware actual. Para cuando una organización descubre el incidente, es posible que los ciberdelincuentes ya hayan recorrido buena parte de su red, identificado activos críticos y entendido qué controles deben evitar o neutralizar. La fase visible del ataque puede ser apenas el último movimiento de una operación que comenzó mucho antes.
Esa evolución deja una lección clara para las organizaciones: si el ransomware se ha vuelto más profesionales, la manera de defenderse también debe hacerlo. Ya no basta con prepararse para detener el cifrado de información; es necesario identificar las señales que pueden revelar la presencia de un atacante antes de que llegue a esa etapa.
Esto implica prestar especial atención a comportamientos que podrían parecer aislados, pero que pueden ser las primeras señales de una intrusión: accesos desde ubicaciones inusuales, actividad inesperada en cuentas que llevaban tiempo inactivas o el uso de credenciales previamente comprometidas. En un escenario en el que el acceso a una red corporativa puede incluso comprarse a terceros, detectar estas anomalías a tiempo puede marcar la diferencia entre contener una amenaza y enfrentar un incidente de mayores dimensiones.
Las organizaciones también deben asumir que los atacantes intentarán neutralizar sus defensas. Por ello, depender de una sola barrera de protección ya no es suficiente. Una estrategia basada en múltiples capas, que combine una sólida protección de identidades, autenticación multifactor, control de cuentas con privilegios elevados y gestión de accesos, entre otras medidas— permite crear nuevos puntos de detección y contención incluso cuando una de las defensas es superada.
Pero protegerse también exige entender mejor al adversario. Contar con inteligencia de amenazas permite a los equipos de seguridad conocer las tácticas que utilizan los ciberdelincuentes y añadir contexto a las señales que observan dentro de su propia organización. Esa visibilidad resulta clave para identificar comportamientos sospechosos, evaluar riesgos con mayor rapidez y tomar decisiones antes de que una intrusión avance.
The Gentlemen puede representar una nueva generación de ransomware por su paciencia, precisión y sofisticación. Y precisamente por eso la respuesta de las organizaciones debe evolucionar en la misma dirección: anticiparse más, comprender mejor las amenazas y detectarlas con mayor rapidez. Porque frente al ransomware moderno, el momento más importante para detener un ataque ocurre mucho antes de que este se haga visible.
