DragonForce es una banda de ransomware en proceso a transformarse en una infraestructura que permita a grupos cibercriminales lanzar ataques bajo sus propias marcas, impulsando una nueva etapa del cibercrimen organizado.
A nivel regional, en Latinoamérica, esta banda contabiliza ataques en Brasil, Argentina, Colombia, México, Costa Rica, Guatemala y República Dominicana. ESET analiza cómo DragonForce evolucionó hasta convertirse en una plataforma criminal para múltiples grupos afiliados, cómo potencia al ecosistema del cibercrimen y qué alertas levanta para las empresas.
“DragonForce pasó de ser un grupo de ransomware as a service a adoptar un modelo que sus operadores describen como un «cártel». Esto representa la consolidación de una tendencia: el paso del ransomware como malware al ransomware como plataforma de servicios criminales”, comenta David González, Investigador de Seguridad Informática de ESET Latinoamérica.
DragonForce apareció en la escena del cibercrimen durante la segunda mitad de 2023 como un grupo de ransomware as a service. Su primera actividad registrada data de diciembre de 2023, y a partir de esa fecha (y hasta el momento), acumula casi 600 víctimas en más de 60 países según los registros públicos recopilados por ransomware.live.
Para 2025, tras las operaciones de desmantelamiento de LockBit y otros grupos de ransomware, DragonForce elevó su perfil con una estrategia agresiva para reclutar afiliados. Esto lo logró al ofrecer no solo el malware y la infraestructura necesarios para lanzar ataques, sino también mejores porcentajes de ganancia (cercanos al 80% en algunos casos) y mayores niveles de anonimato. En 2025, DragonForce comenzó a autodefinirse como un cártel, lo que se trató de una evolución profunda, que además contribuyó a redefinir el panorama del ransomware.
Entre los servicios que ofrece se destacan el análisis de datos para extorsión -una especie de auditoría de toda la información robada a las víctimas- y la entrega de un «kit de extorsión» con listas de contactos telefónicos para presionar a directivos y detalles sobre el posible impacto regulatorio que podría sufrir la empresa si no paga el rescate.
En el nuevo ecosistema del ransomware, las bandas ya no solo compiten por víctimas y afiliados, sino también por la reputación y el control de la infraestructura. Según ESET, DragonForce busca posicionarse como un cártel que proporciona todo lo necesario para sostener a múltiples grupos de ransomware, pero sin que estos pierdan su identidad.
Esto se traduce en que un afiliado puede utilizar los servidores, aprovechar el panel de negociación, beneficiarse del sitio de filtración de datos o apoyarse en el soporte técnico, pero sin la necesidad de firmar sus ataques como DragonForce. Así, la víctima puede no advertir que detrás del ataque está la infraestructura de DragonForce.
“El verdadero riesgo de DragonForce no es la aparición de un nuevo ransomware, sino de un modelo de negocio criminal, que convierte al ransomware en un servicio escalable, descentralizado y mucho más difícil de desmantelar. Si bien el ransomware de la última década estuvo dominado por grandes bandas, la próxima etapa podría estar definida por plataformas criminales capaces de sostener a decenas de grupos distintos. DragonForce es, probablemente, el ejemplo más claro de esa transformación”, concluye David González de ESET.
Fuente: ESET
