Condenan al negociador de Karakurt el nuevo rostro de la extorsión digital que explota datos sensibles

La condena a 8,5 años de prisión impuesta en Estados Unidos al ciudadano letón Deniss Zolotarjovs marca un precedente en la lucha contra las redes de extorsión digital: fue sentenciado por su papel como negociador —un llamado “negociador de casos fríos”— dentro de la banda de extorsión Karakurt, un grupo asociado a antiguos líderes del ransomware Conti. Arrestado en Georgia en diciembre de 2023 y extraditado a EE. UU., Zolotarjovs reconoció su participación en una operación que, según documentos judiciales, usó datos robados para presionar a víctimas y reabrir negociaciones ya abandonadas por las organizaciones afectadas. Más detalles oficiales están disponibles en el comunicado del Departamento de Justicia aquí.

Este caso no es sólo una noticia judicial: revela una evolución táctica preocupante. Los extorsionadores no se limitan a cifrar sistemas; se especializan en investigación psicológica de las víctimas y en la explotación de datos sensibles —incluyendo, según la Fiscalía, información sanitaria infantil— para aumentar la presión y forzar pagos mucho tiempo después del ataque inicial. Los documentos presentados en el proceso y los cargos muestran cómo la exfiltración y la amenaza de divulgación se han convertido en herramientas permanentes del crimen organizado; puede consultarse la denuncia redactada en el expediente público aquí.

Las cifras parciales que maneja el gobierno estadounidense subrayan la magnitud: sólo un subconjunto de víctimas documentadas registró pérdidas por decenas de millones de dólares, y las autoridades estiman que las cifras reales podrían situarse en centenares de millones debido al subregistro de incidentes. Ese subregistro es clave: muchas empresas no informan por temor a la reputación o a sanciones regulatorias, lo que reduce la capacidad colectiva para comprender patrones y detener a los perpetradores.

La detención y condena de Zolotarjovs también ponen de manifiesto la importancia de la cooperación internacional y las extradiciones en delitos cibernéticos. Que sea el primer miembro de Karakurt juzgado y sentenciado en EE. UU. apunta a una estrategia de las autoridades para fragmentar y desmantelar redes que actúan desde múltiples jurisdicciones, y podría acelerar investigaciones contra otros integrantes de la organización y grupos satélite con los que trabajaba, como Conti, Royal y otros.

Para las organizaciones, la lección es doble: prevenir intrusiones y prepararse para la extorsión posterior a la filtración. Más allá de medidas técnicas —segmentación de redes, detección con EDR, autenticación multifactor y parches—, es imprescindible contar con copias de seguridad inmutables y fuera de línea, un plan de respuesta a incidentes probado, y canales legibles para preservación de pruebas y notificación a las autoridades competentes. El equipo legal y de comunicaciones debe integrarse en la respuesta desde el primer minuto para cumplir requisitos regulatorios, en particular cuando se manejan datos sanitarios o personales.

Si su organización sufre una intrusión, adopte una postura firme pero metódica: preserve registros y evidencias forenses, aísle sistemas comprometidos, evalúe la extensión de la exfiltración y contacte a un equipo de respuesta profesional y a las fuerzas del orden. La guía del gobierno para mitigar y responder al ransomware contiene recursos prácticos y recomendados; puede consultarla en el sitio de CISA StopRansomware. En el caso de datos de salud, además, existen obligaciones específicas de notificación que conviene revisar con asesoría experta y regulatoria.

La utilización deliberada de información sensible de menores por parte de los extorsionadores destaca también un componente ético y de riesgo reputacional que las organizaciones deben contemplar al diseñar su gobernanza de datos: la protección proactiva de datos personales y sanitarios debe dejar de ser un parche y convertirse en una prioridad estratégica, con controles de acceso, cifrado y minimización de retención.

En el plano global, la sentencia muestra que perseguir a los actores detrás de la extorsión digital es posible y puede tener impacto disuasorio, pero no sustituye a la necesidad de resiliencia empresarial. Las empresas deben invertir en prevención, en ejercicios de tabletop que incluyan escenarios de “casos fríos” y en acuerdos claros con proveedores de respuesta y seguros cibernéticos—siempre con criterios estrictos sobre la gestión de crisis y la toma de decisiones.

Finalmente, la seguridad es una responsabilidad compartida: informar incidentes a las autoridades facilita la acumulación de inteligencia que ayuda a atrapar a quienes operan estas redes y a proteger a otros potenciales blancos. Para más recursos sobre notificación y obligaciones en el ámbito sanitario, la web del Departamento de Salud y Servicios Humanos de EE. UU. ofrece orientación sobre la notificación de brechas en datos de salud aquí. La condena de Zolotarjovs es un recordatorio de que la lucha legal contra las bandas de ransomware avanza, pero la mejor defensa sigue siendo una estrategia integral de prevención, detección y respuesta.