Una entidad gubernamental de EE. UU. presuntamente pagó cerca de un millón de dólares a Kairos en un caso de extorsión de datos

Una organización gubernamental estadounidense aparentemente pagó alrededor de un millón de dólares después de que unos atacantes amenazaran con publicar datos robados, según un nuevo estudio de caso del investigador de Ransom-ISAC Rakesh Krishnan. El análisis se basa en un chat de negociación filtrado y en el rastreo de criptomonedas realizado después del pago.

El incidente es notable porque el grupo que utilizaba el nombre Kairos no parece haber empleado tácticas de ransomware tradicionales. Krishnan afirmó que no encontró pruebas de cifrado de archivos, herramientas de descifrado ni un mecanismo de bloqueo. En cambio, la operación se centró en robar datos y presionar a la víctima para que no los divulgara públicamente.

El estudio no identificó a la víctima, pero los detalles del chat apuntan al condado de Union, Ohio. Entre los nombres de archivo del material figuraban referencias como Union.xlsx y union.rar, y el atacante señaló repetidamente una carpeta identificada como perteneciente a la fiscalía, lo que insinuaba que los documentos podrían ser especialmente perjudiciales si se exponían.

El condado de Union informó en mayo de 2025 que había detectado actividad de ransomware y posteriormente notificó a decenas de miles de residentes y empleados que se había robado información personal. Según los informes, los registros expuestos incluían números de la Seguridad Social, datos financieros, huellas dactilares e información de pasaportes. El condado no ha confirmado públicamente ningún vínculo con Kairos, y el grupo tampoco ha reconocido la conexión.

Cómo se desarrolló la negociación

Según el chat filtrado, la demanda de extorsión comenzó en 3 millones de dólares y pasó por varias rondas de negociación. Las ofertas del condado aumentaron de 100.000 a 255.000 dólares y posteriormente a 430.000 dólares, mientras que Kairos redujo su demanda a 2 millones antes de establecer una exigencia final de un millón de dólares.

El pago, realizado el 13 de junio de 2025, equivalía en ese momento a unos 9,44 bitcoins. Krishnan afirmó que los fondos se dividieron y transfirieron rápidamente a través de múltiples billeteras antes de llegar a direcciones asociadas con grandes plataformas de intercambio y un servicio ruso de criptomonedas.

El caso refleja un cambio más amplio en los ataques basados en la extorsión: algunos operadores ya ni siquiera se molestan en cifrar los sistemas y, en su lugar, recurren únicamente a los datos robados para forzar el pago. Los investigadores de seguridad han señalado que este modelo se ha vuelto cada vez más común en los últimos años.

• Presuntamente, Kairos amenazó con filtrar registros confidenciales del condado si no se efectuaba el pago.
• Se proporcionó un archivo de «prueba de eliminación», pero eso no verifica que los datos se hayan borrado realmente.
• Los investigadores afirman que medidas de protección como la autenticación multifactor y la segmentación siguen siendo fundamentales para los gobiernos locales.

Krishnan afirmó que el sitio público de filtraciones de Kairos ya no está activo, aunque, según los informes, la actividad de las billeteras vinculadas a la operación continuó hasta 2026.