La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) emitió el 10 de agosto de 2026 una alerta formal sobre Gunra, un ransomware-as-a-service (RaaS) activo desde 2025 que opera bajo un esquema de doble extorsión: cifra los datos de sus víctimas y amenaza con publicarlos en un sitio de filtraciones dedicado si no se paga el rescate. Los sectores afectados incluyen gobierno, infraestructura crítica y otras organizaciones.
Gunra surgió como variante independiente en 2025 y escaló a modelo RaaS a lo largo de 2026, lo que significa que sus operadores reclutan afiliados externos que ejecutan los ataques a cambio de una porción del rescate cobrado. Este modelo reduce la barrera técnica de entrada para actores maliciosos y amplía significativamente la superficie de ataque. La alerta de CISA fue publicada bajo el programa #StopRansomware, que sistematiza avisos técnicos sobre amenazas activas para facilitar la respuesta de organizaciones públicas y privadas.
Doble extorsión: cifrado más exfiltración confirmada
El vector que distingue a Gunra es la combinación de cifrado de datos con exfiltración previa y amenaza de publicación. Los afiliados no solo inutilizan los sistemas de la víctima: antes de activar el cifrado, extraen información sensible y la alojan en un dedicated leak site (DLS) propio. Esto convierte cada ataque en un incidente de privacidad potencial, independientemente de si la organización logra restaurar sus sistemas desde respaldos. Según se informó en la alerta de CISA, los objetivos prioritarios son entidades gubernamentales e infraestructura crítica, categorías que en América Latina incluyen organismos de salud pública, energía, agua y sistemas financieros regulados.
Datos confirmados
- Gunra apareció por primera vez como variante de ransomware en 2025.
- La expansión a modelo RaaS se confirmó en 2026.
- Opera con doble extorsión: cifrado + publicación de datos exfiltrados en DLS propio.
- Sectores objetivo declarados: gobierno, infraestructura crítica y otras organizaciones.
- La alerta fue emitida por CISA el 10 de agosto de 2026 bajo el programa #StopRansomware.
La alerta de CISA no detalla el número de víctimas confirmadas ni especifica países afectados fuera de Estados Unidos. Tampoco se informó el monto promedio de rescate exigido ni los vectores de acceso inicial utilizados por los afiliados. Estos datos permanecen sin confirmar al cierre de esta nota.
Para las organizaciones en América Latina, el esquema RaaS de Gunra tiene implicancias directas en materia de notificación de brechas. En Brasil, la Lei Geral de Proteção de Dados (LGPD) obliga a notificar a la Autoridade Nacional de Proteção de Dados (ANPD) en un plazo razonable cuando hay exfiltración de datos personales. En Argentina, la Ley 25.326 y las disposiciones complementarias de la AAIP establecen la obligación de reportar incidentes de seguridad. En México, el INAI exige notificación bajo la LFPDPPP cuando datos personales bajo custodia de responsables privados son comprometidos. En todos estos casos, el modelo de doble extorsión activa automáticamente las obligaciones de reporte, incluso si la organización decide no pagar el rescate: la exfiltración ya ocurrió.
Las organizaciones en la región con infraestructura crítica o datos gubernamentales bajo custodia deben verificar hoy si sus planes de respuesta a incidentes incluyen protocolos de notificación a autoridades de protección de datos ante exfiltración confirmada, no solo ante cifrado.
