Ahorramas, víctima de Qilin: ransomware con doble extorsión afecta a la cadena madrileña de 290 supermercados

El grupo de ransomware Qilin ha publicado a Ahorramas en su portal de filtraciones de la dark web (DLS) el pasado 5 de mayo de 2026. La cadena de supermercados madrileña, con más de 290 tiendas repartidas por la Comunidad de Madrid, Castilla-La Mancha y Castilla y León, ha confirmado oficialmente la detección de un incidente de ciberseguridad mediante un comunicado en el que reconoce que los datos que pueden haberse visto comprometidos son, en su análisis preliminar, los de sus propios empleados. La investigación técnica sigue abierta. Qilin, el grupo de ransomware más activo en España en 2026, amenaza con publicar la información robada si la empresa no accede a negociar. El reloj del RGPD ya está corriendo.

‍

¿Qué se sabe del ataque de Qilin a Ahorramas?

Los hechos confirmados y reconstruidos a partir de fuentes como Escudo Digital, APD.cat, RedPacket Security, ransomware.live, Hackmanac y el comunicado oficial de la propia Ahorramas son los siguientes:

• Listado en el DLS de Qilin: el grupo publicó a Ahorramas en su portal de filtraciones de la dark web el 5 de mayo de 2026. Hackmanac cataloga el incidente con un nivel ESIX de 5,40 por la sensibilidad de la información afectada.
• Datos que Qilin afirma poseer: el grupo asegura tener acceso a DNIs, registros financieros, planos de tiendas e imágenes de videovigilancia de la compañía.
• Confirmación oficial de Ahorramas: la compañía ha emitido un comunicado reconociendo el incidente y señalando que, según su análisis preliminar, los datos que pueden haberse visto comprometidos son los de sus empleados. La empresa indica que ha alertado “sin dilación indebida” a todos los trabajadores afectados y mantiene abierta la investigación técnica.
• Doble extorsión activa: Qilin combina el robo de datos con la amenaza de publicación pública si la víctima no paga o negocia. Su DLS incluye un temporizador ciego (“blind countdown timer”) que oculta la identidad de la víctima hasta que expira, lo que intensifica la presión psicológica sobre la empresa.
• Antecedentes de Qilin en España: el grupo ya ha atacado previamente a la aseguradora Asefa, la Cámara de Comercio de Ávila, la bodega Maset (cava, 17 GB exfiltrados) y la Ciudad Autónoma de Melilla, entre otras entidades españolas.

‍

Por qué el sector retail es objetivo prioritario para el ransomware

El ataque a Ahorramas no es un incidente aislado. El sector minorista y de distribución es uno de los blancos más frecuentes del ransomware en Europa por cuatro razones estructurales:

1. Volumen masivo de datos personales. Una cadena de 290 supermercados gestiona datos de miles de empleados (DNIs, cuentas bancarias para nóminas, datos de contacto) y, en muchos casos, datos de programas de fidelización con millones de registros de clientes. Cada dato tiene valor en el mercado negro y peso regulatorio bajo el RGPD.
2. Infraestructura distribuida y compleja. Gestionar la ciberseguridad de 290 puntos de venta, almacenes logísticos, sistemas POS, cámaras de videovigilancia, ERPs y plataformas de e-commerce desde una misma estrategia de seguridad es extraordinariamente complejo. Cada nodo es una superficie de ataque potencial.
3. Alta dependencia de la continuidad operativa. Un supermercado no puede permitirse tener sus sistemas de pago o sus pedidos a proveedores caídos durante días. Esa presión por restaurar la operativa rápidamente lleva a decisiones de pago del rescate o a más errores en la gestión del incidente.
4. Planos técnicos e imágenes de videovigilancia como activos de alto valor. Lo que Qilin afirma haber robado a Ahorramas no son solo datos de empleados: planos de tiendas e imágenes de videovigilancia son información operativa y de seguridad física que puede venderse o usarse para preparar futuros ataques físicos o de ingeniería social dirigidos.

‍

Cómo opera Qilin: RaaS, afiliados, variante Rust y triple extorsión

Qilin es uno de los grupos de ransomware más profesionalizados del ecosistema criminal en 2026. Urgí en julio de 2022 bajo el nombre Agenda, renombrándose a Qilin en septiembre de ese mismo año. Desde entonces ha protagonizado más de 700 ataques en 2025, convirtiéndose en el grupo más activo del mundo en el primer trimestre de 2026 con más de 400 incidentes, según ransomware.live.

Su modelo operativo tiene cuatro elementos clave que lo hacen especialmente peligroso:

1. Ransomware como servicio (RaaS) con red de afiliados. Qilin no opera solo. Recluta afiliados a los que cede el acceso a su plataforma de ataque a cambio de un porcentaje del rescate de entre el 80 y el 85 %. Esto multiplica exponencialmente su capacidad de ataque y lo hace prácticamente inagotable: incluso si el grupo central es neutralizado, los afiliados continúan operando.
2. Variante Rust/Linux de alta evasividad. Qilin migró de una variante basada en Go a una variante basada en Rust, más difícil de detectar y de analizar por los motores antivirus tradicionales. La variante para Linux es especialmente relevante para entornos de servidor y sistemas POS basados en distribuciones Linux, comunes en el sector retail.
3. Triple extorsión. El modus operandi va más allá del cifrado y la amenaza de filtración: Qilin ofrece a sus afiliados la capacidad de lanzar ataques DDoS contra la infraestructura de la víctima y de contactar directamente con sus clientes o competidores para ampliar la presión. Esta “triple extorsión” convierte el incidente en una crisis pública de primer orden.
4. Asesoramiento legal a afiliados para maximizar la presión. Qilin incluye en su plataforma una función de asesoramiento legal (“Llamar a abogado”) para que sus afiliados puedan presionar legítimamente a las víctimas durante la negociación, apelando a sus responsabilidades regulatorias si no pagan.

El vector de entrada más frecuente documentado en ataques de Qilin es el acceso a través de credenciales VPN comprometidas y el uso de RDP para moverse lateralmente por la red hasta llegar a los servidores críticos antes de desplegar el ransomware.

‍

Lecciones clave e implicaciones RGPD: el checklist para CISOs y responsables IT en retail

El ataque a Ahorramas tiene implicaciones técnicas y legales que cualquier responsable de seguridad en el sector retail debe conocer. El RGPD establece obligaciones concretas ante una brecha de datos personales que se activan desde el momento en que la organización tiene conocimiento del incidente:

Obligaciones RGPD en las primeras 72 horas:

• Art. 33 RGPD — Notificación a la AEPD: si la brecha entraña un riesgo para los derechos y libertades de las personas físicas (y una brecha con DNIs, datos financieros y datos de empleados lo hace), el responsable del tratamiento está obligado a notificarlo a la Agencia Española de Protección de Datos (AEPD) en un máximo de 72 horas desde que tiene conocimiento de ella. El retraso injustificado puede agravar las sanciones.
• Art. 34 RGPD — Comunicación a los interesados: si la brecha conlleva un riesgo alto para los derechos y libertades de los afectados (como ocurre cuando se exponen DNIs o datos bancarios), la empresa debe comunicarlo también a los propios interesados (empleados, y eventualmente clientes) sin dilación indebida. Ahorramas ya ha tomado este paso con sus trabajadores.
• Sanciones: las infracciones del RGPD en materia de notificación de brechas pueden acarrear multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual global, lo que sea mayor (Art. 83.4 RGPD). Si existen fallos previos de seguridad que facilitaron la brecha, las sanciones pueden ascender hasta 20 millones de euros o el 4 % del volumen de negocio.

Checklist accionable para CISOs y SOC de retail ante un incidente de ransomware:

• Aislar y contener: desconectar los sistemas afectados de la red para detener la propagación lateral. No apagar los sistemas — los logs en memoria son evidencias forenses.
• Preservar evidencias antes de limpiar: hacer snapshots de los sistemas afectados, exportar logs de acceso VPN, RDP y firewall de los últimos 30-90 días antes de cualquier acción de remediación.
• Evaluar qué datos han sido exfiltrados: revisar los registros de transferencia de datos salientes (DLP, proxy, firewall) para determinar qué volumen y qué tipo de datos han salido. Esto determina el nivel de riesgo RGPD y si hay obligación de notificar a los interesados.
• Activar el reloj del RGPD: documentar el momento exacto en que la organización tuvo conocimiento del incidente. Las 72 horas del Art. 33 empiezan entonces, no cuando se publica la noticia.
• No pagar sin asesoramiento legal y forense previo: pagar el rescate no garantiza la eliminación de los datos robados, no está exento de sanciones regulatorias y puede implicar violaciones de sanciones internacionales si el grupo atacante está en listas de sanciones (Qilin está vinculado al ecosistema rusoparlante).
• Contactar con INCIBE-CERT: el servicio de respuesta a incidentes de INCIBE (900 116 117) ofrece soporte gratuito a empresas españolas durante la gestión del incidente.
• Revisar credenciales VPN y accesos privilegiados: cambiar todas las contraseñas de acceso VPN, deshabilitar cuentas comprometidas y activar MFA en todos los accesos remotos si no estaba ya implementado.

‍

La ciberseguridad como prioridad estratégica

El ataque a Ahorramas es una muestra de que el ransomware en 2026 ya no discrimina por tamaño ni por sector. Qilin, como grupo #1 de ransomware en España y Portugal, ha convertido el retail en uno de sus objetivos prioritarios junto con la industria, los servicios profesionales y las administraciones públicas.

Para cualquier cadena de distribución o empresa del sector consumo, el caso Ahorramas plantea una pregunta directa: ¿tu organización está preparada para gestionar un incidente de ransomware con doble extorsión en menos de 72 horas cumpliendo simultáneamente con el RGPD, conteniendo la propagación técnica y gestionando la crisis comunicativa? Si la respuesta no es un “sí” rotundo, es el momento de revisarlo.

‍

Apolo Cybersecurity: respuesta ante ransomware con doble extorsión y obligaciones RGPD

En Apolo Cybersecurity ayudamos a empresas del sector retail y distribución a prepararse y responder ante incidentes de ransomware con doble extorsión. Trabajamos en evaluación de exposición y superficies de ataque en infraestructuras distribuidas, implementación de controles de acceso remoto (VPN, MFA, RDP), monitorización continua de credenciales comprometidas en la dark web, planes de respuesta a incidentes que integran los plazos y obligaciones del RGPD, y soporte en la comunicación con la AEPD y los afectados durante una brecha activa.

Si tu organización opera en retail, distribución o cualquier sector con infraestructura física distribuida y aún no tiene un plan de respuesta a ransomware probado que contemple simultáneamente la contención técnica y el cumplimiento del RGPD, el caso Ahorramas es la señal para actuar.

‍