Antes de llegar a Uruguay, Gunra ya había golpeado en Argentina. El 28 de abril de 2025 anunció a un laboratorio farmacéutico y difundió una muestra con planos y documentos de las áreas de depósito, mantenimiento y seguridad.
El 8 de abril de 2026 sumó a otra empresa argentina a su registro de víctimas, según los trackers que siguen la actividad del grupo.
Cómo opera el grupo según su propio sitio
Un ransomware es un programa que entra en la red de una empresa y cifra sus archivos: los deja ilegibles, como si estuvieran adentro de una caja fuerte cuya combinación tiene el atacante. Para recuperarlos hay que pagar un rescate.
Gunra se define en su propio sitio como un "sindicato privado de ransomware" y su promesa comercial es literal: "pagá y tus datos son restaurados". Dicen que su misión es "demostrar la fragilidad de la seguridad moderna" y forzar a las organizaciones a "enfrentar sus debilidades".
El método que declaran es el de la doble extorsión, la modalidad más común hoy. Además de cifrar, se llevan una copia de propiedad intelectual, registros financieros, bases de datos de clientes y correspondencia interna. Así hay dos amenazas al mismo tiempo: no podés trabajar y encima te publican todo.
Eso responde a una pregunta habitual: por qué no alcanza con tener respaldo. Según su web, atacan al mismo tiempo los servidores propios, la nube y los repositorios de backup, para que no quede "ningún camino de recuperación viable" sin comprarles la clave.
También aseguran usar software que evade los sistemas de detección que las empresas tienen instalados para vigilar comportamientos raros dentro de la red. Dicen generar un archivo distinto en cada ataque, justamente para que las defensas no lo reconozcan.
Las cuatro etapas y el modelo de franquicia
El grupo detalla su secuencia en su sitio web en la dark web, según pudo ver El Observador. Primero, reconocimiento y selección: eligen a quién atacar según el rubro y la exposición regulatoria, es decir, cuántas multas y problemas legales tendría esa empresa si sus datos se hicieran públicos. De eso deducen cuánto está dispuesta a pagar.
Segundo, acceso inicial. Dicen entrar con credenciales robadas, correos de phishing dirigidos a personas concretas de la empresa, o fallas que el fabricante del software todavía no conoce ni corrigió.
Tercero, movimiento lateral: se desplazan de una computadora a otra dentro de la red, van consiguiendo permisos más altos y juntan la información más comprometedora. Recién ahí, cuarto paso, disparan el cifrado y mandan el ultimátum con una prueba de que entraron.
La presión la sostiene un sitio de filtraciones en la red .onion, una parte de internet a la que solo se llega con un navegador específico y donde es más difícil rastrear quién publica. Ahí exhiben a las víctimas con cuenta regresiva, muestras de los archivos robados y publicación automática al vencer el plazo. El pago se pide en bitcoin.
El reclutamiento de afiliados: "proveemos un paraguas completo"
El otro negocio es el reclutamiento de afiliados, lo que se conoce como ransomware como servicio. Es decir, personas que se quieren unir al equipo cibercriminal y llevarse recompensas. Según describe el grupo, Gunra pone la herramienta, los servidores donde se filtran los datos y la negociación; el afiliado pone la puerta de entrada a la empresa víctima.
Ellos lo describen en términos de gestión: "No solo proveemos software: proveemos un paraguas operativo completo", dice el sitio, que les permite a los afiliados "escalar sus campañas sin escalar su riesgo".
En concreto, ofrecen un panel donde el afiliado configura el ataque como quien arma un producto: el tipo de cifrado, el texto de la nota de rescate, la persistencia dentro de la red. La extracción de los datos viaja después por túneles cifrados hacia sus servidores.
¿Cómo usan la IA? Dicen que la negociación con la víctima la maneja un sistema automatizado con inteligencia artificial, que fija el precio, entrega las pruebas y procesa el pago. El afiliado no habla nunca con la empresa a la que atacó.
El reparto es de 80% de cada rescate para el afiliado, pagado en monero —una criptomoneda más difícil de rastrear que el bitcoin—, con transferencias en horas y un panel de métricas que, prometen, no guarda registros. Lo resumen así: "sin KYC, sin huellas transaccionales", es decir, sin ninguna verificación de identidad.
A quiénes buscan también lo dicen: gente con campañas anteriores verificables. En el mundo de la ciberseguridad lo llaman brokers de acceso inicial –los que se dedican a vender usuarios y contraseñas ya conseguidas a redes corporativas– y profesionales de seguridad ofensiva con conocimiento de los sistemas que administran usuarios y permisos en las empresas. El aviso cierra con una frase: "Si tenés el acceso, nosotros tenemos el arsenal".
Y tienen reglas internas. Prohíben atacar hospitales, infraestructura crítica, instituciones educativas y organismos de gobierno de la CEI, el bloque de exrepúblicas soviéticas, por lo que puede ser un indicio de dónde provienen estos ataques. También prohíben revender los datos robados a terceros o publicarlos después de que la víctima pagó, bajo amenaza de expulsión.
El informe que hizo el FBI y otras agencias de seguridad sobre Gunra
El FBI y otras cinco agencias de seguridad publicaron el 10 de agosto de 2026 una alerta conjunta sobre Gunra, con un informe de 20 páginas. La alerta forma parte de #StopRansomware, un programa por el que las agencias estadounidenses publican fichas técnicas de cada variante de ransomware para que los responsables de seguridad de empresas de todo el mundo sepan qué buscar.
Los atacantes utilizan varias formas de golpear a sus víctimas. Según pudo saber la policía de Corea del Sur, en un caso entraron a un equipo de red usando credenciales de fábrica que nunca se cambiaron, en un aparato que además no tenía límite de intentos fallidos. En otro, encontraron una cuenta sin uso que tenía acceso a la red interna y a internet, y le modificaron la configuración para saltear el cambio de contraseña obligatorio.
Detectaron víctimas en América, Europa, Medio Oriente, África y Asia-Pacífico, en salud, finanzas, industria, transporte, gobierno, servicios públicos, academia, medios y comercio.
El FBI describe una rutina horaria. Gunra concentra su actividad maliciosa y el reconocimiento de la red interna entre las 22:00 y las 06:00, "para evadir la detección de los administradores". La ficha técnica lo clasifica como una técnica deliberada: "cronometraron estratégicamente su reconocimiento y sus actividades maliciosas de red a la noche o la madrugada para evitar ser detectados por la víctima".
Mientras se mueven, borran los registros del sistema y el historial de comandos, es decir, la lista de todo lo que fueron tecleando.
Antes de trabar nada, se llevan una copia de todo: documentos, bases de datos, información personal de clientes y correos internos. En un caso, decenas de terabytes.
¿Cuánta plata piden? Según el FBI, los atacantes "generalmente iniciaban las negociaciones con montos arbitrariamente altos, de más de decenas de millones de dólares". Pero ni el FBI ni la web de Gunra establecen cuánto dinero se pide de rescate o cuánto una víctima llegó a pagar. El FBI también observó que los atacantes escribían por correo a los gerentes de las empresas atacadas para presionar por el pago, "con éxito limitado".
El FBI no alienta a pagar. "Las agencias autoras no alientan el pago del rescate, dado que el pago no garantiza que los archivos sean recuperados". Y agrega que pagar "puede envalentonar a los adversarios a atacar a otras organizaciones".
