El 23 de octubre de 2026, The Hacker News informó de que investigadores de SOCRadar descubrieron infraestructura expuesta de afiliados de los grupos de ransomware INC y The Gentlemen1. Según la evaluación de los investigadores, un operador de habla rusa empleaba el framework Phantom: una persona daba una instrucción adaptada a cada víctima y revisaba cada paso, mientras las intrusiones se ejecutaban mediante OpenCode con modelos comerciales alojados en OpenRouter1. Si los modelos se negaban, las peticiones se reescribían como una «evaluación autorizada de red team»1. Según SOCRadar y los registros del operador, el acceso inicial se obtenía explotando fallos en FortiClient EMS, SimpleHelp, cPanel y pasarelas VPN1. SOCRadar señaló la reutilización de contraseñas como principal multiplicador: en un caso, una sola contraseña reutilizada abrió la VPN, servidores, RMM, copias de seguridad y plataformas de gestión de seguridad1. Se estima que hubo 62 organizaciones objetivo, cuatro de ellas publicadas en sitios de filtraciones1. El resultado de los rescates se desconoce: no se hallaron monederos ni registros de pago1. Conclusión nuestra, no del origen: conviene actualizar a tiempo los sistemas perimetrales y evitar reutilizar contraseñas.

  1. [1] Exposed Infrastructure Reveals How Ransomware Affiliates Used AI Agents to Execute IntrusionsThe Hacker News