Una empresa guatemalteca perteneciente al sector fintech, dedicada a brindar servicios de billetera digital, pagos y soluciones financieras para consumidores y empresas en América Latina, fue incluida recientemente en el Data Leak Site (DLS) del grupo de ransomware Dire Wolf como posible víctima de un ciberataque.
Sin embargo, al momento del análisis, en la publicación realizada por Dire Wolf no se observa evidencia de una filtración de información asociada con la organización. El registro disponible dentro del DLS contiene únicamente información general y descriptiva de la empresa fintech, sin muestras de archivos, capturas de sistemas internos, listados de documentos, volúmenes de información presuntamente exfiltrados o enlaces de descarga que permitan respaldar públicamente la afirmación del actor.
Este elemento es particularmente relevante desde una perspectiva de Cyber Threat Intelligence (CTI), ya que la aparición de una organización dentro de un sitio de filtraciones de ransomware no constituye, por sí sola, evidencia técnica suficiente de que se haya producido un compromiso exitoso. Algunos actores publican inicialmente información básica de sus objetivos como mecanismo de presión y posteriormente agregan pruebas, temporizadores de negociación o muestras de datos en caso de no alcanzar un acuerdo.
Por esta razón, el caso debe mantenerse actualmente bajo la clasificación de presunto compromiso o victim claim, evitando afirmar que se produjo una filtración o cifrado de infraestructura hasta que exista evidencia adicional o una confirmación independiente.
¿Quién es Dire Wolf?
Dire Wolf es un grupo de ransomware identificado públicamente desde 2025, cuya operación se encuentra orientada al compromiso de organizaciones de distintos sectores y regiones. El actor emplea tácticas asociadas con la doble extorsión, donde el objetivo no consiste únicamente en cifrar información, sino también en obtener datos sensibles que posteriormente puedan utilizarse como mecanismo adicional de presión.
En este modelo, los atacantes buscan que la víctima enfrente dos impactos simultáneos: la interrupción operacional provocada por el cifrado y el riesgo reputacional, financiero y regulatorio derivado de una posible publicación de información.
No obstante, en el caso de la empresa fintech guatemalteca actualmente publicada en su DLS, Dire Wolf no ha mostrado públicamente evidencia que permita determinar que esa segunda etapa de extorsión ya se haya materializado.
Un ransomware diseñado para generar impacto
El malware asociado con Dire Wolf ha sido documentado como una amenaza desarrollada en Golang (Go) y con capacidades orientadas a maximizar la interrupción de los sistemas afectados.
Durante el cifrado, el ransomware puede utilizar mecanismos criptográficos basados en Curve25519 y ChaCha20, agregando la extensión:
.direwolf
a los archivos afectados.
Asimismo, genera una nota de rescate denominada:
HowToRecoveryFiles.txt
que contiene instrucciones para establecer comunicación con los operadores.
Además del cifrado, Dire Wolf ha sido relacionado con actividades destinadas a dificultar la recuperación, incluyendo la detención de servicios, reconocimiento de archivos y directorios y acciones contra mecanismos de respaldo.
Desde MITRE ATT&CK, algunos comportamientos asociados con este tipo de actividad incluyen:
- T1486 – Data Encrypted for Impact: cifrado de información para afectar la disponibilidad.
- T1490 – Inhibit System Recovery: eliminación o afectación de mecanismos utilizados para recuperar sistemas.
- T1489 – Service Stop: detención de servicios que puedan interferir con el proceso de cifrado.
- T1083 – File and Directory Discovery: identificación de información y recursos disponibles dentro del sistema.
- T1070.004 – File Deletion: eliminación de archivos con fines operacionales o antiforenses.
El DLS como mecanismo de presión
El Data Leak Site de Dire Wolf forma parte de la infraestructura utilizada por el actor para hacer públicas sus afirmaciones de compromiso y ejercer presión sobre las organizaciones.
Generalmente, este tipo de portales puede evolucionar durante el proceso de extorsión. Una publicación puede comenzar únicamente con el nombre o descripción de una organización y posteriormente incorporar muestras de documentos, capturas de pantalla, tamaños de información exfiltrada, temporizadores o paquetes descargables.
En este caso, la publicación observada permanece en una etapa básica, mostrando únicamente información general relacionada con la compañía y su actividad dentro del sector fintech.
No se observan, por ahora:
- Archivos presuntamente robados.
- Capturas de sistemas internos.
- Bases de datos.
- Directorios de información.
- Información financiera o de clientes.
- Volumen declarado de datos exfiltrados.
- Enlaces para descargar información.
- Evidencia pública de cifrado.
- Pruebas técnicas que permitan confirmar acceso a la infraestructura.
Esto limita significativamente la capacidad de validar de manera independiente las afirmaciones realizadas por Dire Wolf.
Fintech: un objetivo de alto interés
La publicación resulta particularmente relevante debido al sector de la organización señalada.
Las empresas fintech pueden administrar información de usuarios, registros transaccionales, billeteras digitales, APIs, integraciones con entidades financieras, plataformas web y móviles y servicios relacionados con movimientos de dinero, elementos que pueden resultar atractivos para actores criminales.
En un escenario donde posteriormente se confirmara una extracción de información, el impacto podría extenderse más allá del ransomware y facilitar actividades como phishing dirigido, robo de identidad, credential stuffing, fraude financiero, Business Email Compromise, suplantación de clientes o proveedores e ingeniería social.
Sin embargo, ninguno de estos escenarios debe atribuirse actualmente a este caso específico, debido a que el DLS del actor no presenta evidencia pública de que información perteneciente a la empresa fintech haya sido efectivamente extraída.
Guatemala entra en el radar de Dire Wolf
La inclusión de una organización guatemalteca dentro del DLS de Dire Wolf representa un elemento relevante para el monitoreo regional de amenazas y demuestra el interés potencial de grupos internacionales de ransomware en organizaciones que operan dentro del ecosistema digital y financiero de Centroamérica.
Desde una perspectiva CTI, el siguiente punto de observación será determinar si Dire Wolf actualiza la publicación existente, incorpora muestras de información, agrega un temporizador de extorsión, declara un volumen de datos supuestamente comprometidos o publica archivos asociados con la organización.
Hasta que se produzca alguno de estos elementos o exista una confirmación oficial, el caso debe ser tratado como una afirmación de victimización realizada por Dire Wolf, y no como una filtración de información confirmada.
Actualmente, el DLS únicamente presenta información general de la empresa fintech y no evidencia una leak pública asociada con la organización.
