Ahorramas, víctima de Qilin: el ransomware de doble extorsió afecta la cadena madrilenya de 290 supermercats
Eric Serrano Bustos
El grup de ransomware Qilin ha publicat Ahorramas al seu portal de filtracions de la dark web (DLS) el passat 5 de maig de 2026. La cadena de supermercats madrilenya, amb més de 290 botigues repartides per la Comunitat de Madrid, Castella-La Manxa i Castella i Leó, ha confirmat oficialment l'incident de ciberseguretat. La investigació tècnica segueix oberta. Qilin, el grup de ransomware més actiu a Espanya el 2026, amença amb publicar la informació robada si l'empresa no negocia. El rellotge del RGPD ja està en marxa.
Què se sap de l'atac de Qilin a Ahorramas?
Llista al DLS de Qilin: publicat el 5 de maig de 2026. Hackmanac puntua l'incident amb ESIX 5,40.
Dades que Qilin afirma tenir: DNIs, registres financers, plànols de botigues i imatges de videovigilancia.
Confirmació oficial d'Ahorramas: l'empresa reconeix l'incident i indica que les dades potencialment compromeses són les dels empleats, als quals ha notificat sense dilació indeguda. Investigació oberta.
Doble extorsió activa: Qilin combina el robatori amb l'amenaça de publicació i un temporitzador cec al DLS que intensifica la pressió psicològica.
Antecedents de Qilin a Espanya: Asefa, Cambra de Comerç d'Àvila, Maset (cava, 17 GB), Ciutat Autònoma de Melilla.
Per què el sector retail és objectiu prioritari del ransomware
Volum massiu de dades personals. DNIs, comptes bancàries per a nòmines, registres de programes de fidelització — cada dada té valor al mercat negre i pes regulatori sota el RGPD.
Infraestructura distribuïda i complexa. 290 punts de venda, magatzems, sistemes POS, videovigilancia, ERPs i e-commerce sota una sola estratègia de seguretat és extraordinàriament complex.
Alta dependència de la continuitat operativa. La pressió per restaurar ràpidament els sistemes pot portar a pagar el rescat o a cometre errors en la gestió de l'incident.
Plànols i videovigilancia com a actius d'alt valor. Poden usar-se per preparar futurs atacs físics o d'enginyeria social dirigida.
Com opera Qilin: RaaS, afiliats, variant Rust i triple extorsió
Qilin va sorgir al juliol de 2022 com Agenda i va rebatejar-se el setembre del mateix any. Es va convertir en el grup més actiu del món en el primer trimestre de 2026 amb més de 400 incidents (ransomware.live).
RaaS amb xarxa d'afiliats. Els afiliats reben entre el 80 i el 85 % del rescat, fent el grup pràcticament inesgotable.
Variant Rust/Linux d'alta evasivitat. Més difícil de detectar que la versió anterior en Go; especialment rellevant per a sistemes POS Linux en retail.
Triple extorsió. Més enllà del xifratge: atacs DDoS i contacte directe amb clients o competidors de la víctima.
Assessorament legal als afiliats. La funció “Trucar a un advocat” permet pressionar les víctimes apel·lant a les seves obligacions regulatòries.
Vector d'entrada més freqüent: credencials VPN compromeses seguides de moviment lateral via RDP.
Lliçons clau i implicacions del RGPD: el checklist per a CISOs i responsables de TI en retail
Obligacions RGPD en les primeres 72 hores:
Art. 33 RGPD — Notificar a l'AEPD: obligatori en un màxim de 72 hores des del coneixement de la bretxa si comporta risc per als drets de les persones (DNIs, dades financeres i dades d'empleats hi cauen). El retard injustificat pot agreujar les sancions.
Art. 34 RGPD — Comunicar als interessats: si la bretxa comporta un risc alt (DNIs o dades bancàries exposades), cal comunicar-ho també als afectats (empleats i eventualment clients) sense dilació indeguda.
Sancions: fins a 10 M€ o el 2 % del volum de negoci global (Art. 83.4 RGPD); fins a 20 M€ o el 4 % si hi va haver fallades de seguretat prèvies.
Checklist accionable per a CISOs i SOC de retail:
Aïllar i contenir: desconnectar els sistemes afectats. No apagar-los — els logs en memòria són evidències forenses.
Preservar evidències primer: fer snapshots i exportar logs de VPN, RDP i firewall dels últims 30-90 dies abans de qualsevol remediació.
Avaluar les dades exfiltrades: revisar registres DLP, proxy i firewall per determinar el nivell de risc RGPD.
Activar el rellotge del RGPD: documentar el moment exacte del coneixement de l'incident. Les 72 hores de l'Art. 33 comencen llavors.
No pagar sense assessorament legal i forense previ: el pagament no garanteix l'eliminació de les dades, no eximeix de sancions regulatòries i pot implicar violations de sancions internacionals.
Contactar INCIBE-CERT: suport gratuït per a empreses espanyoles al 900 116 117.
Revisar credencials VPN i accessos privilegiats: canviar totes les contrasenyes VPN, deshabilitar comptes compromesos i activar MFA en tots els accessos remots.
La ciberseguretat com a prioritat estratègica
L'atac a Ahorramas demostra que el ransomware el 2026 ja no discrimina per mida ni per sector. Per a qualsevol cadena de distribució, el cas Ahorramas planteja una pregunta directa: està la teva organització preparada per gestionar un incident de ransomware de doble extorsió en menys de 72 hores complint simultàniament el RGPD, contenint la propagació tècnica i gestionant la crisi comunicativa? Si la resposta no és un “sí” rotund, és el moment d'actuar.
Apolo Cybersecurity: resposta davant ransomware de doble extorsió i obligacions del RGPD
A Apolo Cybersecurity ajudem empreses del sector retail i distribució a preparar-se i respondre davant incidents de ransomware de doble extorsió. Treballem en avaluació de superfícies d'atac en infraestructures distribuïdes, implementació de controls d'accés remot (VPN, MFA, RDP), monitoratge continu de credencials compromeses a la dark web, plans de resposta a incidents que integren els terminis i obligacions del RGPD, i suport en la comunicació amb l'AEPD i els afectats durant una bretxa activa.
Si la teva organització opera en retail o distribució i encara no té un pla de resposta a ransomware provat que contempli simultàniament la contenció tècnica i el compliment del RGPD, el cas Ahorramas és el senyal per actuar.
%402x.svg){kind=icon}
