Qilin y Securotrop en el segundo trimestre de 2026

Timeline de la operación

Cadena de ataque y TTPs

El material permite reconstruir una cadena de ataque parcial, no un playbook completo. El punto de partida verificado es la explotación de CVE-2026-50751 en dispositivos Check Point con configuraciones IKEv1 heredadas. Esa condición técnica es importante porque acota el universo de víctimas potenciales a organizaciones que mantuvieron acceso remoto legacy, no exigieron certificado de máquina y expusieron sus gateways VPN hacia internet. Una vez dentro, la sesión remota se establecía sin credenciales válidas, lo que evitaba la etapa típica de robo o fuerza bruta de contraseñas.

Después del acceso inicial, Check Point observó intentos de descargar payloads ELF desde infraestructura controlada por el atacante. Eso sugiere una fase de post-explotación orientada a sistemas Linux. La referencia no permite identificar con precisión el binario descargado ni su función exacta, pero sí habilita la lectura de que el atacante no se limitó a obtener una sesión interactiva. Había intención de ejecutar o preparar carga útil adicional desde servidores propios.

Red Piranha añade una pieza útil para el análisis de comportamiento de Qilin. En un sample analizado en ANY.RUN el 4 de junio de 2026, el ransomware ejecuta el comando `vssadmin delete shadows /all /quiet` para borrar copias sombra en Windows y genera logs bajo la ruta `QLOG\ThreadId(1).LOG`. Esa combinación es consistente con objetivos de ransomware clásicos, donde el borrado de shadow copies busca dificultar la recuperación y el log interno sirve para seguimiento de ejecución o depuración operativa. El hallazgo no prueba por sí mismo la autoría del incidente en ATCOM ni en otras víctimas locales, pero sí encaja con la identidad operacional de Qilin.

La atribución de Securotrop merece una lectura aparte. Red Piranha lo describe como un grupo establecido a principios de 2025 que opera dentro de la red de afiliados de Qilin, mantiene un Data Leak Site propio y utiliza el software de Qilin sin alterar el código original. Esa última frase, reportada como declaración pública del propio grupo, es una señal de marca afiliada. No se trata de una familia de malware distinta, sino de una etiqueta operativa que comparte tooling y, probablemente, infraestructura de extorsión. El solapamiento de onion addresses entre el DLS de Securotrop y un enlace de extorsión de Qilin, confirmado por trackers independientes, refuerza la relación.

TTPs observadas o atribuidas

Impacto regional

Panorama regional

El material regional muestra una actividad de Qilin distribuida y heterogénea, no una única campaña homogénea en América Latina. Chile concentra el mayor volumen de referencias públicas, tanto por la discusión sobre ATCOM como por el mapeo de otras víctimas atribuidas al grupo. Argentina aparece en reportes de terceros y en la cobertura de la campaña de VPN, pero sin trazabilidad pública suficiente para reconstruir un caso individual con IOCs. Bolivia figura en los reportes semanales de Scrutex como uno de los países con víctimas reclamadas por Qilin en el período del 8 al 14 de junio. Perú muestra casos aislados y estadística agregada, y Colombia queda más asociada a alertas sectoriales del sistema financiero que a un expediente completo de intrusión. Brasil y Paraguay no aportan hechos verificables adicionales en el material provisto.

Argentina

En Argentina, el material útil es breve pero consistente en un punto. DeXpose indicó el 11 de junio que Qilin habría atacado a Axionlog, descrita como un proveedor líder de servicios logísticos en el país, y advirtió sobre la posible exposición de datos sensibles. Esa afirmación queda clasificada como atribuida por la fuente y no como confirmación independiente, porque el material no aporta IOCs, vectores ni evidencia técnica para sostenerla por sí sola.

El segundo elemento relevante es más amplio y proviene de Check Point Research, que en su informe del 15 de junio incluyó referencias a organizaciones afectadas en varios países, entre ellos Argentina, dentro de la campaña de CVE-2026-50751. No se nombran en el material disponible otras víctimas argentinas asociadas a esa explotación, pero la inclusión del país confirma que la campaña tuvo alcance regional y no se limitó a Estados Unidos o a Europa.

El artículo de CM-Alliance publicado el 1 de julio refuerza esa lectura geográfica al ubicar a Argentina dentro de su cobertura de los mayores ciberataques de junio y resumir el vínculo entre el zero day de VPN y Qilin. No agrega detalles nuevos sobre víctimas ni vectores, pero sí muestra que la campaña siguió siendo relevante al cierre del mes.

Chile

Chile es el país con más densidad de hechos en el corpus. El 18 de junio, FalconFeeds.io informó que ATCOM Chile, empresa de outsourcing y staffing con sede en el país, habría sido víctima de Qilin. Al día siguiente, Cyber News Live, Undercode News, Hendry Rahardja y el usuario chum1ng0 replicaron versiones similares, algunas basadas en reclamos del propio grupo y otras en menciones de dark web o en un supuesto listado de filtración. El patrón es claro, pero la evidencia sigue siendo de atribución abierta y no de confirmación técnica completa.

ATCOM resulta relevante por el tipo de empresa que es, no solo por el nombre. Las fuentes la describen como un actor de outsourcing, staffing y reclutamiento que coloca trabajadores en todo el país. En ese contexto, un incidente de ransomware impacta sobre datos personales, continuidad operativa y servicios tercerizados a clientes múltiples. Sin embargo, en el material disponible no aparecen IOCs, muestras de malware ni una nota forense que permita ir más allá del reclamo público. Por eso la nota debe mantener la etiqueta de presunto o alegado cuando se refiere a ATCOM.

El caso se vuelve más interesante cuando se lo cruza con el mapa de ransomware.live para Chile y con el análisis “Chile bajo presión RaaS”. El mapa, actualizado a finales de junio, registró 74 víctimas para el país y listó a Comercial Echave Turri Limitada como atribuida a Qilin con fecha de descubrimiento 2026-05-17. En la misma página aparecen otras organizaciones chilenas asociadas a grupos como Qilin, LockBit5 y Anubis, entre ellas Noi Hotels, Graneles de Chile y Copec S.A., aunque el nivel de detalle público no permite verificar cada asociación.

El artículo en LinkedIn Pulse del 24 de junio da un paso adicional al caracterizar a Qilin como un grupo de ransomware-as-a-service de doble extorsión con motivación financiera y, para el contexto chileno, listar como víctimas vinculadas a Qilin a Valbifrut, Ducasse, Conectados Chile, Graneles y Noi Hotels. Esa pieza también sostiene que la presión sobre el ecosistema chileno responde al modelo clásico de doble extorsión, con cifrado y amenaza de publicación de datos. La ausencia de TTPs específicas para cada caso obliga a tratar esa relación como un marco analítico de mayor nivel, no como confirmación individual de cada ataque.

El vínculo de infraestructura entre Qilin y Securotrop también adquiere relevancia en Chile porque ayuda a interpretar la reutilización de marcas y de la maquinaria de extorsión. Si Securotrop opera como afiliado dentro de Qilin, el hecho de que distintas fuentes mencionen a Qilin o a un reclamo en su sitio de filtración no contradice necesariamente una misma cadena operativa. Puede ser la misma economía criminal, presentada con distintas marcas públicas según el afiliado o el momento del ciclo de extorsión.

Paraguay

No hay hechos verificables adicionales en el material provisto para Paraguay. La ausencia de registros no debe interpretarse como ausencia de actividad, sino como falta de soporte documental dentro del corpus entregado.

Bolivia

Scrutex registró Bolivia dentro de un conjunto de 30 países que tuvieron entre una y tres víctimas reclamadas en la semana del 8 al 14 de junio de 2026. En ese mismo período, Qilin encabezó la actividad con 25 publicaciones en su sitio de filtraciones y 45 países afectados, según el recuento del informe. El dato es útil porque muestra alcance regional y confirma que Bolivia no quedó al margen del ciclo semanal de reclamaciones del grupo.

Scrutex añade un matiz metodológico: investigadores de PRODAFT y ReliaQuest vincularon el repunte global de actividad de Qilin con la explotación continuada de una vulnerabilidad en dispositivos VPN. El informe no atribuye esa técnica a las víctimas bolivianas en particular, ni identifica incidentes concretos en el país. Por eso la lectura más prudente es que Bolivia apareció en el radar de las reclamaciones públicas de Qilin durante la misma semana en que la campaña de VPN estaba en plena circulación, sin más precisión.

Perú

El informe de Red Piranha del 2 al 8 de junio señaló incidentes aislados de ransomware con víctimas en Perú, equivalentes a aproximadamente el 0,74 por ciento de los casos globales del período. El documento no especifica qué grupos estuvieron implicados, lo que obliga a tratar ese dato como contexto estadístico y no como atribución a Qilin.

Aun así, el mismo reporte ayuda a ubicar a Securotrop dentro del ecosistema de Qilin y a extender la lectura técnica al entorno regional. Red Piranha describe a Securotrop como grupo afiliado, con DLS propio y uso del software original de Qilin, y sostiene que la dirección onion del sitio de filtración de Securotrop también aparece como enlace de extorsión de Qilin en un tracker público. En otras palabras, el entorno operativo que impacta a Perú no se reduce a un único nombre, sino a un conjunto de marcas y sitios de filtración conectados.

Red Piranha también aporta una pieza técnica útil sobre el comportamiento de Qilin. En un análisis de muestras fechado el 4 de junio, documentó la ejecución del comando vssadmin delete shadows /all /quiet y la generación de archivos de log QLOG\ThreadId(1).LOG. Esa evidencia no apunta a una víctima peruana específica, pero sí muestra el tipo de ejecución que puede esperarse en una intrusión atribuida a la familia Qilin o a su red afiliada.

Colombia

Colombia aparece en el material desde un ángulo sectorial y de inteligencia compartida. Ransomware.live mantiene una página dedicada al país donde rastrea presuntas víctimas y fechas de descubrimiento, incluyendo actividad atribuida a Qilin. El corpus no aporta, sin embargo, el detalle de cada entrada colombiana, por lo que la mención funciona más como señal de seguimiento público que como expediente técnico completo.

La otra línea informativa proviene del sector financiero. Chrysalis Ciberseguridad informó el 9 de junio que el CSIRT Financiero de Asobancaria de Colombia compartió información sobre un “riesgo cibernético” que afecta a un proveedor crítico del sector financiero colombiano. Una publicación de Alberto Flores Merino del 16 de junio reforzó esa referencia y la contextualizó con hashtags como #ransomware, #vpn, #checkpoint, #cisa y #zerotrust. El material no afirma de forma explícita que el caso sea Qilin, pero la asociación contextual con la campaña de Check Point y la urgencia regulatoria es clara.

Ese patrón tiene relevancia operativa. Las alertas del ecosistema financiero colombiano aparecen en el mismo rango temporal en el que CISA y Check Point estaban publicando avisos sobre CVE-2026-50751. Aunque el material no permite unir de forma directa el caso colombiano con un incidente confirmado de Qilin, sí sugiere que la exposición de proveedores críticos a VPN con IKEv1 heredado era un problema compartido en la región.

Brasil

No hay hechos verificables adicionales en el material provisto para Brasil. La subsección se deja de forma explícita para respetar la estructura requerida y evitar inferencias sin sustento.

Estados Unidos

Estados Unidos funciona en este corpus como centro regulatorio y de observación técnica. El 9 de junio, CISA ordenó a las agencias FCEB parchear CVE-2026-50751 antes del 11 de junio, después de confirmar su explotación en ataques de día cero por afiliados de Qilin. Esa orden se apoyó en la incorporación del fallo al catálogo KEV, lo que aceleró su priorización en entornos regulados.

El aviso de CISA citado por BleepingComputer explicó que el bug permitía a atacantes remotos no autenticados eludir la autenticación y establecer una conexión VPN de acceso remoto en dispositivos Check Point Mobile Access/SSL VPN, Remote Access VPN o Spark. Rapid7 añadió que el fallo estaba restringido a despliegues con IKEv1 heredado, sin certificado de máquina, y que la exposición operativa se había limitado a unas pocas decenas de organizaciones hasta principios de junio.

SecurityWeek complementó ese panorama al informar que al menos un ataque había sido confirmado como realizado por un afiliado de Qilin y que Check Point evaluaba con confianza media la relación del actor con esa familia. BleepingComputer y CybersecurityDive subrayaron la respuesta coordinada, que incluyó parches de emergencia, revisión de logs y desactivación de IKEv1. The Register, por su parte, fijó la cronología en un inicio el 7 de mayo y un incremento visible a comienzos de junio.

El material también menciona a Securotrop en un caso estadounidense aún no confirmado. Hendry Rahardja publicó sobre Charisma Media, una organización en Estados Unidos, como posible víctima de Securotrop, con 808 GB de datos reclamados. El caso permanece pendiente de confirmación y no debe mezclarse con los hechos confirmados vinculados a la campaña de Check Point.

Indicadores técnicos

No se identificaron, dentro del material provisto, dominios operativos adicionales, direcciones onion completas, IPs concretas ni muestras binarias con hash suficiente para ampliar la lista de IOCs más allá de lo ya citado por las fuentes. El corpus sí menciona que Check Point publicó bloques de IP asociados a la campaña, pero en el texto consolidado no aparecen los valores completos, por lo que no deben inventarse.

Análisis para equipos de seguridad

La primera lectura operativa es directa. Si una organización mantiene Check Point Remote Access VPN o Mobile Access con IKEv1 habilitado y sin exigencia de certificado de máquina, la exposición no es teórica. El material muestra explotación en la vida real, asociación con actividad de ransomware y respuesta de emergencia del ecosistema de defensa. La prioridad debe ser revisar si existen despliegues legacy, confirmar la aplicación de parches, deshabilitar IKEv1 y validar que los clientes remotos no dependan de ese protocolo.

La segunda lectura es de detección. Check Point recomendó revisar logs en busca de conexiones VPN no autenticadas. A ese punto conviene sumar la búsqueda de patrones de post-explotación, especialmente intentos de descarga de payloads ELF desde infraestructura controlada por el actor. En entornos Linux o mixtos, ese detalle puede marcar el paso de acceso inicial a ejecución remota. En entornos Windows, la presencia de borrado de shadow copies mediante vssadmin delete shadows /all /quiet sigue siendo una señal útil de actividad ransomware posterior.

La tercera lectura es de priorización. The Register y Rapid7 indican que la campaña afectó a unas pocas decenas de organizaciones a escala global, pero eso no reduce el riesgo para quienes quedaron dentro de la superficie vulnerable. El perfil de objetivos, VPN expuestas y controles de perímetro únicos, es típico de afiliados de ransomware. Eso significa que la exposición no solo compromete acceso remoto, también abre una puerta para exfiltración, movimiento lateral y extorsión con doble presión.

Para equipos que monitorean América Latina, el caso chileno debe leerse en dos planos. Uno es el de las víctimas públicamente reclamadas, donde ATCOM aparece como presunto objetivo y otros nombres, como Graneles de Chile y Noi Hotels, figuran en trackers o análisis de terceros. El otro es el plano de infraestructura y marcas, donde Securotrop opera como afiliado de Qilin con un Data Leak Site propio. Si la organización ve menciones a Qilin, Securotrop o reclamos en trackers de filtraciones, debería asumir que el fenómeno puede estar compartiendo capacidades, no compitiendo entre sí.

En sectores regulados, especialmente financiero y de servicios críticos, la presencia de alertas de CSIRT y de referencias a VPN, Check Point y CISA debería activar revisión prioritaria de controles perimetrales. Los indicios de Colombia muestran que esa presión ya llegó al perímetro de proveedores críticos. El riesgo principal no es solo el cifrado, sino el acceso inicial persistente antes de la detección, con posibilidad de exfiltración previa y extorsión posterior.

Limitaciones del material

El corpus disponible mezcla fuentes de confianza alta con publicaciones marcadas explícitamente como no confirmadas, sobre todo en el caso ATCOM y en varios reclamos difundidos por redes sociales y sitios de agregación. Eso obliga a distinguir entre un incidente respaldado por confirmación técnica y un reclamo público repetido por terceros. En particular, ATCOM Chile aparece citado como presunta víctima de Qilin en FalconFeeds.io, Cyber News Live, Undercode News, Hendry Rahardja y chum1ng0, pero el material no incluye una validación independiente que permita cerrar atribución.

Tampoco hay, para Chile, Argentina, Bolivia, Perú o Colombia, un paquete uniforme de IOCs, binarios o telemetría forense. El reporte se sostiene en fuentes de inteligencia de amenazas, trackers públicos y publicaciones de analistas. Eso sirve para mapear tendencias, no para reconstruir un timeline forense completo de cada víctima. En varios casos, el nivel de detalle se reduce a nombres de organizaciones y supuestas reclamaciones en sitios de filtración.

En el plano de Securotrop, Red Piranha aporta una tesis robusta sobre afiliación e infraestructura compartida, pero el propio informe distingue entre técnicas CONFIRMED y ATTRIBUTED. No existe todavía un incidente de Securotrop que haya sido documentado de forma independiente con el mismo nivel de granularidad que la campaña de CVE-2026-50751. Por eso no corresponde extender sin matices todas las TTPs de Qilin a cada mención de Securotrop.

Finalmente, el material consolidado no ofrece vínculos verificables entre un supuesto caso local y la explotación de CVE-2026-50751 en todos los países mencionados. Argentina aparece en el informe de Check Point Research, Colombia en alertas sectoriales y Bolivia o Perú en estadísticas semanales, pero no hay una línea única que conecte cada país con un mismo incidente técnico. Esa fragmentación es una limitación del corpus, no del fenómeno.