{"id":1420,"date":"2026-07-04T14:22:14","date_gmt":"2026-07-04T14:22:14","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/04\/entidad-del-gobierno-de-ee-uu-pago-a-kairos-1-millon-en-un-caso-de-extorsion-por-robo-de-datos-cyberdefensa-mx\/"},"modified":"2026-07-04T14:22:14","modified_gmt":"2026-07-04T14:22:14","slug":"entidad-del-gobierno-de-ee-uu-pago-a-kairos-1-millon-en-un-caso-de-extorsion-por-robo-de-datos-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/04\/entidad-del-gobierno-de-ee-uu-pago-a-kairos-1-millon-en-un-caso-de-extorsion-por-robo-de-datos-cyberdefensa-mx\/","title":{"rendered":"Entidad del gobierno de EE. UU. pag\u00f3 a Kairos $1 mill\u00f3n en un caso de extorsi\u00f3n por robo de datos \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Una entidad del gobierno de EE. UU. pag\u00f3 alrededor de 1 mill\u00f3n de d\u00f3lares para evitar que se filtraran archivos robados, seg\u00fan un nuevo informe. estudio de caso de Rakesh Krishnan para Ransom-ISAC<\/a>construido sobre un chat de negociaci\u00f3n filtrado y el rastro de blockchain que dej\u00f3 el pago.<\/p>\n

Lo curioso: el grupo que se llev\u00f3 el dinero se autodenomina Kair\u00f3s<\/b>pero puede que no sea una banda de ransomware en absoluto. Krishnan no encontr\u00f3 se\u00f1ales de que alguna vez hubiera bloqueado una sola m\u00e1quina: ni cifrador, ni casillero, ni solicitud de clave de descifrado. La amenaza era m\u00e1s sencilla. Roba los archivos y luego cobra a la v\u00edctima por no publicarlos.<\/p>\n

krishnan<\/a> no nombra a la v\u00edctima, pero el chat apunta al condado de Union, Ohio. Los archivos de prueba de robo llevan nombres como Union.xlsx, 1 union co psi template.doc y un archivo final llamado union.rar. La v\u00edctima se autodenomina un condado peque\u00f1o con recursos limitados. El atacante se apoya en una carpeta en particular, marcada como \u00abfiscal\u00eda\u00bb, y advierte que filtrarla ayudar\u00eda a los delincuentes a evadir cargos.<\/p>\n

Las pistas encajan en un caso real. En mayo de 2025, el condado de Union, Ohio, dijo que detect\u00f3 ransomware en su red<\/a> y luego notific\u00f3 a 45,487 residentes y al personal que se hab\u00edan tomado sus datos, lo que afect\u00f3 a la mayor parte del condado de aproximadamente 70,000 habitantes. Los registros robados iban desde la Seguridad Social y detalles financieros hasta huellas dactilares y n\u00fameros de pasaporte.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Ni el condado ni Kairos han confirmado la conexi\u00f3n. Pero si se mantiene, el gobierno de un condado pag\u00f3 alrededor de $1 mill\u00f3n que nunca revel\u00f3 p\u00fablicamente. The Hacker News se ha puesto en contacto con la Oficina de los Comisionados del Condado de Union para solicitar comentarios. Esta historia se actualizar\u00e1 con cualquier respuesta.<\/p>\n

La negociaci\u00f3n dur\u00f3 aproximadamente un mes. Kairos abri\u00f3 a 3 millones de d\u00f3lares y afirm\u00f3 que conten\u00eda m\u00e1s de 2 terabytes de datos, unos 1,6 millones de archivos. El condado comenz\u00f3 con $100,000, subi\u00f3 lentamente hasta $255,000 y luego $430,000. Kairos baj\u00f3 a 2 millones de d\u00f3lares, luego fij\u00f3 una cifra final estricta: 1 mill\u00f3n de d\u00f3lares, pago antes del viernes o los archivos se har\u00e1n p\u00fablicos.<\/p>\n\n\n\n\n
\"\"<\/a><\/td>\n<\/tr>\n
El pago en cadena: alrededor de 9,44 BTC llegan a la billetera vinculada a Kairos.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Utiliz\u00f3 las palancas habituales: un cron\u00f3metro de cuenta regresiva, plazos ajustados y amenazas de deshacerse primero de las carpetas m\u00e1s confidenciales. El condado pag\u00f3 el 13 de junio de 2025, diez veces su primera oferta.<\/p>\n

El pago fue de aproximadamente 9,44 bitcoins, con un valor aproximado de 1 mill\u00f3n de d\u00f3lares en ese momento. Krishnan rastre\u00f3 el dinero desde all\u00ed. En cuesti\u00f3n de horas, se dividi\u00f3 en dos y se empuj\u00f3 a trav\u00e9s de una cadena de billeteras hacia direcciones de dep\u00f3sito vinculadas a los intercambios de cifrado Bybit, OKX y un servicio ruso llamado BELQI.<\/p>\n

Ese tipo de rastreo de manos lo llevan los investigadores, no los nombres. Y el dinero no compr\u00f3 nada s\u00f3lido. Kairos envi\u00f3 un archivo de \u00abprueba de eliminaci\u00f3n\u00bb, pero una lista de nombres de archivos muestra s\u00f3lo que el atacante alguna vez tuvo los archivos, no que los originales fueron eliminados. Pagar para hacer desaparecer los datos robados es un acto de fe y el recibo lo escribe el ladr\u00f3n.<\/p>\n

\"\"<\/a><\/div>\n

El condado de Union llam\u00f3 a lo que le sucedi\u00f3 ransomware, la palabra que todos buscan, pero en el caso Kairos, nada estaba bloqueado. Ese es el verdadero cambio: gran parte de lo que todav\u00eda se llama ransomware ahora omite el cifrado y utiliza los datos robados como punto de presi\u00f3n.<\/p>\n

Sophos inform\u00f3 en 2025 que solo alrededor de la mitad de los ataques de ransomware todav\u00eda implican cifrado, la tasa m\u00e1s baja en seis a\u00f1os. Algunas tripulaciones lo han abandonado por completo. Silent Ransom Group, una filial de Conti, ha pasado a\u00f1os ejecutando extorsi\u00f3n por robo de datos contra firmas legales y financieras estadounidenses sin ning\u00fan tipo de cifrado.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El chat Kairos tambi\u00e9n se ajusta a un patr\u00f3n de negociaci\u00f3n familiar. Cuando los chats internos de Black Basta se filtraron en febrero de 2025, un an\u00e1lisis de los mensajes revel\u00f3 un acuerdo que iba desde una demanda de 1,5 millones de d\u00f3lares hasta una contrapartida de 100.000 d\u00f3lares y un pago de 1 mill\u00f3n de d\u00f3lares, casi el mismo arco. Esas conversaciones, y las filtraciones de Conti que tuvieron lugar en 2022, son la forma en que los investigadores ahora reconstruyen la forma en que realmente se cierran estos acuerdos.<\/p>\n

El propio Kairos se ha quedado en silencio. El sitio de la fuga no funciona y su \u00faltima v\u00edctima conocida apareci\u00f3 en junio de 2026. Pero una billetera vinculada a la operaci\u00f3n todav\u00eda mov\u00eda dinero en mayo de 2026, un recordatorio de que un sitio de fuga oscuro no es lo mismo que una tripulaci\u00f3n muerta.<\/p>\n

Para cualquiera que dirija una peque\u00f1a red gubernamental, las lecciones son aburridas y familiares, y ese es el punto. Active la autenticaci\u00f3n multifactor, ya que Kairos afirm\u00f3 que accedi\u00f3 simplemente adivinando una contrase\u00f1a.<\/p>\n

Est\u00e9 atento a los repetidos inicios de sesi\u00f3n fallidos, grandes transferencias de datos salientes y enlaces para compartir archivos grabadores, como las direcciones temp.sh que Kairos us\u00f3 para mover los archivos. Mantenga los registros legales, de recursos humanos y de ciudadanos separados del resto de la red. Tenga listo un plan de declaraci\u00f3n p\u00fablica antes de que lo necesite. Y trate cualquier promesa de eliminar datos robados como si no valiera nada.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Una entidad del gobierno de EE. UU. pag\u00f3 alrededor de 1 mill\u00f3n de d\u00f3lares para evitar que se filtraran archivos robados, seg\u00fan un nuevo informe. estudio de caso de Rakesh Krishnan para Ransom-ISACconstruido sobre un chat de negociaci\u00f3n filtrado y el rastro de blockchain que dej\u00f3 el pago. Lo curioso: el grupo que se llev\u00f3 […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[2135,24,627,70,3517,895,1018,3518,1483,1293,127,47],"class_list":["post-1420","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-caso","tag-cyberdefensa-mx","tag-datos","tag-del","tag-entidad","tag-extorsion","tag-gobierno","tag-kairos","tag-millon","tag-pago","tag-por","tag-robo"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1420","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1420"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1420\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1420"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1420"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1420"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}