The Gentlemen amplía su foco en edge devices

Actualización 21 de agosto de 2026: Help Net Security agregó que The Gentlemen viene centrando sus intrusiones en edge devices como vector inicial antes de moverse lateralmente dentro de las redes corporativas. Ese dato refuerza la hipótesis previa sobre el abuso de gateways VPN, firewalls y herramientas de acceso remoto, con impacto marcado en entornos industriales y de manufactura.

The Gentlemen llevó adelante una campaña de doble extorsión contra empresas pequeñas y medianas en América del Norte, Europa y América Latina, con una concentración notable en Alemania, Estados Unidos e Italia. La muestra analizada por Security Arsenal también deja ver qué sectores quedaron más expuestos en esa actividad.

¿Qué sectores quedaron más expuestos?

En el grupo de víctimas revisado por Security Arsenal, manufactura y servicios profesionales fueron los sectores más representados. También aparecieron tecnología y SaaS, agricultura y alimentos, gobierno y defensa, retail, salud y casos no clasificados. Ese reparto muestra una campaña que no se limitó a una sola vertical, aunque sí tuvo una presencia más visible en empresas de producción y de servicios.

¿Cómo entraban los atacantes?

Security Arsenal atribuyó como vector primario más probable el abuso de dispositivos perimetrales, incluyendo VPN gateways, firewalls y herramientas de acceso remoto. Además, señaló como vector probable un CVE en Check Point Security Gateway. La combinación de estos elementos sugiere que los atacantes habrían buscado puntos de entrada expuestos hacia Internet para avanzar luego con la extorsión.

Help Net Security fue más allá y describió que The Gentlemen ha centrado sus intrusiones en edge devices como punto de entrada inicial, antes de desplazarse lateralmente dentro de las redes corporativas. La publicación diferenció ese enfoque del de otros grupos industriales, como Akira, que se apoyan principalmente en VPN comprometidas. Ese patrón refuerza el peso de los equipos expuestos en el borde de la red como una TTP clave del grupo.

¿Qué señales aparecieron en América Latina?

En los mapas públicos de Ransomware.live, México registró 283 víctimas y Argentina 182 víctimas. El dashboard público de Global Secret Group también muestra víctimas en Brasil. En ese mismo panel, los cinco sectores más frecuentes son tecnología, retail y e-commerce, servicios profesionales, manufactura y servicios financieros. La presencia de estos casos en paneles públicos ubica a la región dentro del radar de seguimiento de varias familias de ransomware, con una distribución sectorial que coincide parcialmente con lo observado en la campaña de The Gentlemen.