Reclutamiento de afiliados de ransomware: el mercado laboral detrás de las marcas RaaS
Cuando aparece una nueva marca de ransomware, el código de cifrado rara vez es la noticia. Lo que una marca necesita primero son afiliados: operadores que aportan sus propias intrusiones en redes corporativas, dirigen sus propias negociaciones y entregan a la marca una parte de cada rescate. El rastro de reclutamiento que dejan esas marcas -hilos fijados en foros, páginas de reglas, canales de Telegram- es una de las partes mejor documentadas del ecosistema, y se lee menos como distribución de malware que como un mercado laboral.
Dónde se publican los anuncios
El escenario principal es un puñado de foros en ruso: Exploit, XSS y RAMP. Hablar de ransomware está formalmente prohibido en los foros de primer nivel, así que los anunciantes recurren al lenguaje cifrado. Flashpoint documentó el patrón en 2021: usuarios que ofrecían comprar accesos VPN, Citrix y RDP «por un porcentaje del beneficio» mientras se describían como «un equipo de pentesters experimentados»; uno citaba trabajo previo con DarkSide como credencial. El estudio de ReliaQuest de 2022 sobre el embudo de reclutamiento describe hilos fijados de RaaS en los que la palabra ransomware está prohibida en Exploit y XSS -los grupos dicen que «buscan pentesters»-, mientras que RAMP permite todo el detalle. Cuando RansomHub se lanzó, Recorded Future rastreó su primer anuncio hasta un usuario llamado koley, que lo publicó en RAMP a principios de febrero de 2024; para el momento del análisis, la marca había reclamado 45 víctimas en 18 países. Telegram transporta ahora gran parte del mismo tráfico. Un análisis de Cyfirma publicado en febrero de 2026 describe canales de ransomware que «anuncian programas de afiliados, exponen estructuras de comisiones, publican restricciones de objetivos» -regiones y sectores excluidos- junto a brokers de acceso que venden puntos de entrada VPN, RDP y en la nube. El resumen del informe sobre la división del trabajo: los foros aportan visibilidad, mientras que Telegram «gestiona la ejecución».El reparto ofrecido
Los porcentajes anunciados dan al afiliado la mayoría clara. LockBit pagaba en 2022 el 80 por ciento de cada rescate cobrado, según ReliaQuest. Recorded Future describe el 90 por ciento de RansomHub como «la parte alta del rango típico del 80-90 % visto en el mercado RaaS», una tarifa «probablemente capaz de atraer afiliados experimentados de otras plataformas». En 2025 la marca Anubis formalizó tres modalidades: RaaS clásico con una participación del 80 por ciento, un servicio de extorsión solo de datos y un esquema de provisión de acceso que paga el 50 por ciento del rescate a quien facilitó la entrada inicial. La parte residual del operador paga el paquete: el cifrador y el builder, el alojamiento del sitio de filtraciones, el apoyo en la negociación y un nombre de marca que añade presión a las conversaciones con las víctimas. Los extras forman parte del discurso. Recorded Future señala que Qilin introdujo a mediados de 2025 un servicio «Call Lawyer» que ofrece a los afiliados asesoría legal sobre cómo intimidar a las víctimas durante las negociaciones. LockBit, en su ofensiva de reclutamiento de 2022, ofreció 1.000 dólares a los usuarios de foros dispuestos a tatuararse el logo del grupo; al menos tres lo hicieron.El filtrado de los candidatos
El reclutamiento se filtra en varias etapas. Algunos sitios de filtraciones tienen un formulario «Contact Us» que ReliaQuest llama «el equivalente criminal de una carta de presentación»; otros solo enumeran contactos cifrados, lo que «puede servir como prueba previa de selección, eliminando a los candidatos más verdes». Quienes superan ese paso pasan a lo que el informe describe como probablemente una entrevista anónima, y el rechazo llega sin explicaciones. LockBit prescindió de anuncios y publicó en su lugar una página de reglas para afiliados de 2.376 palabras con la metodología de objetivos y el proceso de solicitud. En el lado de Telegram, Cyfirma señala que los reclutadores buscan «pentesters o socios de confianza» y a veces exigen reputación en foros o un depósito antes de cooperar.Caza de afiliados tras las caídas
Las listas de afiliados se reordenan cada vez que la aplicación de la ley golpea. Tras la incautación de la infraestructura de LockBit y la estafa de salida de ALPHV a comienzos de 2024, BlackBasta colapsó en febrero de 2025 tras una filtración de registros de chat, y RansomHub se disolvió de forma abrupta a finales de marzo de 2025 -según Recorded Future, el desenlace «dejó a las víctimas en mitad de una negociación y a los afiliados en desorden»-. Los afiliados fueron a parar a algún sitio: se evaluó que miembros de BlackBasta se mudaron a Akira, con quien ya tenían vínculos; Group-IB evaluó que algunos afiliados de RansomHub se unieron a Qilin, citando un pico de víctimas reclamadas; DragonForce afirmó haber absorbido la infraestructura y los afiliados de RansomHub bajo un modelo de «cártel» que permite a los afiliados conservar su propia marca.«Un grupo nuevo reemplaza al que ha dejado de operar, y a menudo acoge a los miembros del desaparecido.» - Securelist, de Kaspersky, sobre el mercado del malware como servicio, 2023