El sistema médico sin ánimo de lucro AnMed, que opera cuatro hospitales y clínicas en Georgia y Carolina del Sur, sufrió el secuestro de su página de Facebook el 11 de agosto, dos semanas después de que un ataque cibernético desactivara sus sistemas IT el 27 de julio. El grupo The Gentlemen publicó mensajes reclamando 6 terabytes de datos exfiltrados, incluyendo registros sobre asaltos sexuales, salud mental, abortos e incidentes de acoso. AnMed removió el contenido rápidamente y desactivó el acceso a la plataforma, pero aún no ha confirmado el alcance del robo ni verificado las aseveraciones.
Por qué importa: The Gentlemen es uno de los grupos de ransomware-as-a-service (RaaS) más activos desde su aparición a mediados de 2025. Según CheckPoint, ejecutó 332 ataques en los primeros cinco meses de 2026, posicionándose como el tercero más prolífico en el segundo trimestre con 125 ataques a infraestructuras industriales.
Lo esencial
- AnMed ha mantenido 10 instalaciones cerradas al menos hasta el 10 de agosto, dos semanas post-ataque, mientras restaura sistemas.
- The Gentlemen afirma haber robado datos médicos altamente sensibles pero no ha proporcionado pruebas que validen la exfiltración de 6TB.
- El grupo utiliza herramientas sofisticadas para deshabilitar tecnología EDR (endpoint detection and response) y accede típicamente a través de dispositivos perimetrales como firewalls y VPN.
Métodos de ataque del grupo The Gentlemen
El grupo accede inicialmente mediante fuerza bruta contra paneles web o VPN, explotación de vulnerabilidades conocidas, o compra de acceso a través de brokers especializados. Una vez dentro, busca comprometer cuentas administrativas y desactivar herramientas de seguridad antes de exfiltrar información e implementar el ransomware. Su arsenal incluye utilidades avanzadas específicamente diseñadas para neutralizar defensas EDR, lo que les permite mantener presencia sin detección.
Estructura de incentivos que acelera su expansión
The Gentlemen opera con una estructura de comisiones inusualmente generosa: destina 90% de los rescates a los afiliados que ejecutan los ataques. Este modelo ha atraído a múltiples operadores, incluyendo supuestamente al fundador, quien usa el alias "hastalamuerte" y aparentemente fue afiliado anterior del grupo Qilin. La generosidad de términos acelera el reclutamiento y ejecución de campañas en masa.
