Indra confirma un ciberataque de ransomware: el grupo The Gentlemen da 236 horas antes de filtrar los datos robados

El 30 de junio de 2026, la firma de inteligencia de amenazas Hackmanac alerto en redes sociales de que el grupo de ransomware The Gentlemen afirmaba haber vulnerado los sistemas de Indra Group, la tecnologica espanola presente en sectores estrategicos como defensa, sistemas electorales, administraciones publicas y transporte. Indra confirmo posteriormente a medios especializados que habia detectado la presencia de ransomware en una de sus filiales y que activo de inmediato a su Equipo de Respuesta a Incidentes de Seguridad Informatica (CSIRT). Segun la compania, el incidente ha tenido un impacto minimo, limitado a un entorno no critico, sin propagacion al resto de sociedades del grupo y sin afectar a la prestacion de servicios. Los atacantes, sin embargo, han activado una cuenta atras de aproximadamente 236 horas (unos 9-10 dias) antes de publicar o vender los datos que aseguran haber sustraido si no se cumplen sus exigencias. A fecha de publicacion de este articulo, no se han publicado muestras de los datos supuestamente robados ni se conoce el tipo de informacion comprometida.

‍

¿Que se sabe del ciberataque a Indra?

Los hechos documentados por El Economista, Escudo Digital, ADSLZone, RedesZone y Bit Life Media son los siguientes:

• Deteccion: Indra detecto la presencia de ransomware en una de sus filiales y activo de inmediato el CSIRT para el analisis, verificacion y revision de seguridad de los entornos potencialmente afectados.
• Alcance segun la compania: Indra ha descartado la propagacion del riesgo al resto de sociedades del grupo y ha confirmado que la actividad y la prestacion de servicios se han mantenido con normalidad en todo momento. La empresa califica el incidente como "minimo y limitado a un entorno no critico".
• Respuesta tecnica: el CSIRT desplego medidas de contencion, erradicacion y recuperacion, y la compania ha reforzado adicionalmente sus controles de seguridad para garantizar la proteccion de los sistemas y la continuidad del servicio.
• Actor de amenaza: el grupo The Gentlemen, un colectivo de habla rusa surgido a mediados de 2025 que ya se ha convertido en uno de los grupos de ransomware mas activos a nivel mundial, con mas de 250 victimas reivindicadas segun WeLiveSecurity. El grupo se caracteriza por operaciones dirigidas en lugar de ataques masivos, alta disciplina operativa, uso de herramientas impulsadas por IA y tecnicas de evasion altamente adaptables.
• Cuenta atras de extorsion: The Gentlemen incluyo a Indra en su pagina de filtraciones en la dark web con un plazo de 236 horas para el pago del rescate. La cifra solicitada no ha trascendido publicamente.
• Estado de verificacion: Hackmanac califica el estado del incidente como "pendiente de verificacion" en cuanto al alcance real de los datos comprometidos. Indra continua su investigacion para determinar el origen exacto del ataque.
• Sectores potencialmente expuestos: aunque Indra no ha confirmado que informacion especifica esta en riesgo, la compania opera en sectores sensibles como defensa, sistemas electorales, administraciones publicas y transporte terrestre y aereo, lo que eleva la relevancia del incidente mas alla del impacto tecnico inmediato.

‍

Por que Indra es un objetivo de primer nivel para un grupo de ransomware

Indra no es una empresa cualquiera dentro del tejido empresarial espanol. Es una de las pocas compania tecnologicas nacionales con presencia simultanea en sectores clasificados como infraestructura critica, lo que la convierte en un objetivo de alto valor para grupos de extorsion sofisticados:

1. Opera en sectores estrategicos con acceso a informacion sensible del Estado. Indra participa en programas de defensa, sistemas electorales y contratos con administraciones publicas espanolas y europeas. Un compromiso de sus sistemas, incluso limitado, plantea preguntas sobre la exposicion potencial de informacion vinculada a esos programas.
2. The Gentlemen es un actor con capacidad demostrada de operar a escala. Con mas de 250 victimas reivindicadas en menos de un ano, el grupo ha consolidado una metodologia repetible: acceso inicial, exfiltracion de datos sensibles, y extorsion con plazo antes de la publicacion. Indra es la ultima incorporacion a esa lista, no un caso aislado.
3. La segmentacion de sistemas es la variable que determina el alcance real del dano. El hecho de que Indra haya podido descartar la propagacion al resto del grupo, si se confirma en la investigacion en curso, indicaria que los controles de separacion entre entornos funcionaron como barrera de contencion. Esa es precisamente la diferencia entre un incidente limitado y una crisis que afecta a toda la organizacion.
4. La incertidumbre sobre el alcance real es en si misma un riesgo reputacional. Mientras el estado del incidente siga "pendiente de verificacion", clientes, socios y administraciones que trabajan con Indra deben operar con informacion parcial sobre que datos podrian estar comprometidos.

‍

Como operan grupos como The Gentlemen: de la intrusion a la extorsion con plazo

La metodologia de The Gentlemen, documentada por RedesZone y WeLiveSecurity, sigue un patron consistente con el modelo de doble extorsion que domina el panorama del ransomware en 2026:

1. Acceso inicial a los sistemas de la victima. El grupo obtiene acceso a la red de la organizacion objetivo mediante tecnicas de intrusion que aun no han sido confirmadas publicamente en el caso de Indra.
2. Exfiltracion de informacion sensible antes del cifrado. Una vez dentro, el objetivo prioritario es recopilar la mayor cantidad posible de datos confidenciales, no solo cifrar los sistemas. Esta fase silenciosa es la que determina el verdadero alcance del dano potencial.
3. Despliegue del ransomware y activacion de la cuenta atras. Con los datos ya exfiltrados, el grupo despliega el ransomware en el entorno comprometido y anade a la victima a su pagina de filtraciones en la dark web con un plazo de pago, en este caso 236 horas.
4. Doble presion: cifrado operativo y amenaza de publicacion. Si la victima no paga, el grupo amenaza con publicar o vender los datos robados a otras bandas organizadas que puedan monetizarlos, generando presion adicional mas alla del impacto operativo inmediato.

‍

Lecciones clave para empresas y directivos

El caso de Indra, incluso en su fase de investigacion pendiente de verificacion, ofrece lecciones directamente aplicables a cualquier organizacion con infraestructura compleja y multiples filiales:

• No pagar el rescate sigue siendo la recomendacion oficial de INCIBE. El Instituto Nacional de Ciberseguridad de Espana es explicito: pagar no garantiza recuperar el acceso a los datos ni evita que la informacion sea filtrada posteriormente. La decision debe basarse en el plan de respuesta a incidentes, no en la presion del plazo impuesto por los atacantes.
• La segmentacion entre filiales y entornos es una defensa que puede marcar la diferencia. El hecho de que Indra haya podido contener el incidente a un entorno no critico, sin propagacion al resto del grupo, subraya el valor de una arquitectura de red bien segmentada frente a un compromiso de gran escala.
• Activar el CSIRT de forma inmediata reduce la ventana de exposicion. La velocidad de respuesta entre la deteccion y la contencion es un factor determinante en el alcance final de cualquier incidente de ransomware. Contar con un equipo de respuesta a incidentes ya entrenado y con procedimientos definidos permite actuar en horas, no en dias.
• La comunicacion transparente con medios y clientes gestiona el riesgo reputacional. Indra ha optado por confirmar el incidente y detallar las medidas tomadas en lugar de guardar silencio, una estrategia que reduce la incertidumbre publica mientras continua la investigacion tecnica.
• Las organizaciones en sectores estrategicos son objetivos prioritarios independientemente de su tamano o sofisticacion tecnica. Empresas que operan en defensa, administraciones publicas, infraestructura critica o sistemas electorales deben asumir que grupos como The Gentlemen las tienen identificadas como objetivos de alto valor, y disenar su postura de seguridad en consecuencia.

‍

La ciberseguridad como prioridad estrategica

El ciberataque a Indra confirma que ningun sector, por crítico o sofisticado que sea tecnicamente, esta exento del riesgo de extorsion mediante ransomware. The Gentlemen ha demostrado en menos de un ano capacidad para comprometer a mas de 250 organizaciones con una metodologia repetible y disciplinada. Para las empresas espanolas, especialmente aquellas que operan en sectores estrategicos o gestionan datos sensibles de clientes y administraciones publicas, la pregunta de hoy es directa: si tu organizacion detectara un ransomware en uno de sus entornos manana, tienes un CSIRT capaz de contener el incidente en horas, y tu arquitectura de red esta segmentada para evitar que un compromiso limitado se convierta en una crisis a escala de todo el grupo?

‍

Apolo Cybersecurity: preparacion y respuesta ante incidentes de ransomware

En Apolo Cybersecurity ayudamos a organizaciones a prepararse frente a amenazas de ransomware como The Gentlemen: diseno y auditoria de planes de respuesta a incidentes con protocolos de activacion inmediata, evaluacion de la segmentacion de red entre filiales y entornos criticos, simulacros de contencion y recuperacion ante escenarios de doble extorsion, y asesoramiento en la gestion de comunicacion durante un incidente de seguridad activo.

Si tu organizacion no tiene un plan de respuesta a incidentes probado y actualizado, o no esta segura de como esta segmentada su red frente a un compromiso parcial, el caso de Indra es la senal para revisarlo antes de que ocurra.

‍