Luna Moth Files: chats de Silent Ransom Group y 207 millones

El martes 6 de octubre de 2026 apareció en un sitio onion creado a propósito, llamado «Luna Moth Files», un archivo de chats internos atribuido a Silent Ransom Group (SRG, también conocido como Luna Moth). El dato que ha sido noticia es el total de rescates registrado por el propio grupo: 206,95 millones de dólares pagados por 27 organizaciones en unos seis meses, sin cifrar un solo archivo. Es contabilidad criminal, no un dato verificado: ninguna de las organizaciones de la lista ha confirmado los importes.

Qué ha pasado

El archivo se comunicó primero a DataBreaches.net, según Security Affairs por la investigadora Tammy Harper. No se sabe quién lo publicó. El grupo aceptó una entrevista con DataBreaches.net, pero negó haber sufrido una brecha y calificó los archivos de falsos. DataBreaches.net publicó después, el 9 y el 11 de octubre, dos análisis: según el medio, los datos indican que el archivo es auténtico y la filtración no procede de un ciberataque contra el grupo, sino de otras circunstancias.

Qué contiene el archivo y qué está verificado

Según Insicurezza Digitale y Security Affairs, el archivo incluye 5.692 mensajes procedentes de dos servidores, del 27 de agosto de 2025 al 29 de septiembre de 2026: negociaciones con las víctimas, métodos de acceso, nuevos ataques, reparto y conversión de las ganancias.

En el registro interno, el estado «GOLD» indica un pago recibido. Las 27 entradas marcadas así se sitúan entre el 3 de abril y el 24 de septiembre de 2026, con una mediana de 6 millones de dólares, una media de unos 7,66 millones e importes entre 100.000 dólares y 30 millones. Las fuentes difieren en el alcance: para Security Affairs las 27 víctimas son todas despachos de abogados, mientras que Insicurezza Digitale habla de 27 organizaciones e indica los despachos de abogados como objetivo preferente.

Las confirmaciones disponibles son parciales:

• Análisis on-chain. Crystal Intelligence encontró transacciones compatibles con algunos chats. Los wallets analizados directamente recibieron unos 37 BTC (unos 3 millones de dólares), sobre todo cuotas de los operadores; un wallet de recogida habría recibido 344 BTC en seis semanas entre abril y mayo de 2026. Según Crystal, los datos confirman el orden de magnitud, no los rescates individuales ni el total.
• Notificaciones de brechas. Para 9 de las 27 organizaciones existen notificaciones públicas de incidentes con fechas compatibles: confirman que hubo incidentes, no los pagos.
• Incoherencias. DataBreaches.net, citado por Security Affairs, encontró entradas del sitio de filtraciones del grupo que no cuadran con los chats: en un caso una oferta sin rastro del pago «GOLD», en otro ninguna respuesta de la víctima en las conversaciones.

Detalles técnicos: extorsión sin malware

SRG, surgido tras la disolución de Conti según Insicurezza Digitale, practica la extorsión pura sobre los datos: entra, sustrae información y amenaza con publicarla, sin ransomware que cifre. El vector es la ingeniería social:

• callback phishing: facturas falsas que empujan a la víctima a llamar a un número controlado por el grupo;
• llamadas de falso soporte IT para convencer a los empleados de conceder un acceso remoto;
• visitas a las oficinas con identidades falsas, según el análisis de Crystal recogido por Insicurezza Digitale;
• en un incidente notificado públicamente, citado por Security Affairs, el atacante se hizo pasar por el IT interno y convenció a un abogado de subir archivos a un Google Drive externo; en otro, un empleado fue engañado hasta entregar sus credenciales.

Según nuestra lectura, las técnicas descritas corresponden a estas entradas de MITRE ATT&CK: Spearphishing Voice (T1566.004), Impersonation (T1656), Remote Access Software (T1219), Valid Accounts (T1078), Exfiltration to Cloud Storage (T1567.002) y Financial Theft (T1657). No hay CVE ni malware que detectar con firmas.

Los chats describen reglas contra el rastreo de las ganancias (una dirección nueva para cada pago, fondos de las víctimas separados), no siempre respetadas: el 22 de abril de 2026 un reclutador gastó juntos dos pagos distintos y los vinculó on-chain. La conversión pasaba por exchangers con abono en tarjetas bancarias rusas, un mensajero de efectivo en Moscú, un servicio Bitcoin-Zelle y, según Security Affairs, un mezclador cuando los fondos quedaban señalados. Muchos pagos menores acababan en exchanges regulados, con cuentas vinculadas a identidades verificadas: según Crystal, el punto más débil de la red.

Los indicadores del archivo, que Insicurezza Digitale recopila en su foro, deben usarse como contexto: aparecer en la filtración no prueba su uso en ataques.

Impacto para las empresas europeas e italianas

Despachos de abogados, asesores fiscales y consultores custodian datos confidenciales de sus clientes, y la amenaza de publicarlos genera una enorme presión reputacional: eso hace posibles rescates de este tamaño sin bloquear un solo servidor. Los despachos profesionales en general no son entidades NIS2, pero muchos de sus clientes sí lo son y, en Italia con el Decreto Legislativo 138/2024, deben evaluar la seguridad de sus proveedores. Según el RGPD, una sustracción de datos personales debe evaluarse para notificarla a la autoridad de control en 72 horas, se pague o no.

El caso muestra también los límites de los controles técnicos clásicos: si es un empleado quien abre el acceso o sube los archivos, el antivirus y el EDR pueden no ver nada anómalo.

Qué hacer ya

1. Una regla sencilla para todos: el IT nunca pide instalar programas de acceso remoto, entregar credenciales o subir archivos a nubes externas durante una llamada recibida. Cada petición se verifica llamando a un número que ya esté en la agenda.
2. Facturas con números a los que llamar: administración debe saber que las renovaciones y los cargos inesperados son un cebo típico del callback phishing.
3. Permite solo las herramientas de acceso remoto aprobadas y genera una alerta ante cada nueva instalación o ejecución de software de este tipo.
4. Bloquea o vigila las subidas a nubes personales y las transferencias salientes de gran volumen, sobre todo desde las carpetas de los clientes.
5. Verifica la identidad de quien se presenta en la oficina como técnico o proveedor, con la confirmación de un responsable interno antes de darle acceso a puestos o a la red.
6. Si te extorsionan, verifica antes de negociar: reconstruye con los logs qué ha salido realmente e implica enseguida a abogados y autoridades.

Cómo ayuda ARXDOME

ARX Sentry recoge el inventario de software y procesos de cada ordenador y, en las páginas del SOC dedicadas a las identidades, muestra los accesos por escritorio remoto, los accesos nocturnos y los cambios en las cuentas: un programa de acceso remoto que aparece tras una llamada se ve. ARX Shield te permite aislar de la red una máquina sospechosa con un clic, ARX Trace recoge las pruebas para reconstruir qué se ha sustraído y ARX Expose señala los dominios parecidos al tuyo y las cuentas de la empresa expuestas en brechas, útiles para quien prepara una suplantación.

Última actualización: 11 de octubre de 2026