Categoría: Uncategorized

Según un informe de la Agencia Europea de Ciberseguridad (ENISA), nuestro país destinó en 2024 alrededor de 1.400 millones de euros a ciberseguridad, apenas el 0,11% del PIB, frente al 0,9% de Estados Unidos, que superó los 20.000 millones de dólares en inversión. Esta diferencia refleja una brecha que limita la capacidad española para desarrollar tecnología propia y reduce su autonomía estratégica.El talento especializado es otro gran reto. Otro estudio de la consultora ISC2 cifraba en más de 30.000 el déficit de profesionales en ciberseguridad en España en 2023. Este desajuste se agrava con un ritmo de formación insuficiente: aunque universidades como la UPM o Deusto ofrecen programas de máster, no alcanzan a cubrir la demanda real. En contraste, países como Reino Unido han impulsado centros de excelencia y programas de atracción de talento que forman a miles de especialistas cada año.

El Centro Criptológico Nacional (CCN) alertó de que en 2023 más del 70% de los incidentes detectados en España afectaron a infraestructuras críticas, como energía, telecomunicaciones y transporte. Un ataque coordinado en estos sectores podría paralizar parte del país en pocas horas.

Además, un informe del Real Instituto Elcano (2024) subraya que gran parte de las pymes españolas carecen de protocolos claros de ciberseguridad, lo que las convierte en eslabones débiles dentro de la cadena nacional.

España participa en iniciativas de la OTAN y la UE, pero su contribución en recursos humanos y tecnológicos sigue siendo limitada en comparación con Alemania o Francia, lo que reduce su influencia estratégica.

Además de lo señalado en estos informes, durante esta semana la seguridad digital también ha sido noticia por estas otras informaciones que hemos publicado en Escudo Digital:

¿Está España preparada para una ciberguerra? La respuesta es No y estas son las causas
España se encuentra en una posición de debilidad ante un eventual conflicto de gran escala en el ciberespacio. Aunque ha avanzado en organismos de seguridad digital y coordinación sectorial, sigue rezagada respecto a potencias como Estados Unidos, Reino Unido, Alemania o Francia en inversión, talento y tecnología.

Según ENISA, en 2024 España destinó unos 1.400 millones de euros a ciberseguridad (0,11% del PIB), muy por debajo de los más de 20.000 millones de dólares de EE. UU. (0,9% del PIB). Esta brecha limita la capacidad de innovación y refuerza la dependencia de proveedores externos. A ello se suma un déficit de más de 30.000 especialistas en ciberseguridad, lo que reduce la capacidad de respuesta frente a ataques complejos.

Las infraestructuras críticas son otro punto vulnerable: más del 70% de los incidentes detectados en 2023 afectaron a sectores como energía, transporte y telecomunicaciones. Aunque se han realizado simulacros, su escala es mucho menor que en Francia o Alemania.

En el ámbito internacional, España participa en programas de la OTAN y la UE, pero con una aportación limitada, lo que resta influencia en decisiones estratégicas. Los expertos advierten que reforzar inversión, talento y cooperación es urgente: la ciberguerra no es un riesgo futuro, sino un desafío del presente.

Leer noticia completa AQUÍ

Dos de cada tres empresas europeas no encuentran profesionales en ciberseguridad
El informe State of Cybersecurity 2025 de ISACA revela que dos de cada tres empresas europeas tienen dificultades para cubrir vacantes en ciberseguridad, mientras crece el volumen y la sofisticación de los ataques. El 39% de los profesionales afirma que su organización sufre más incidentes que hace un año, pero solo el 38% confía plenamente en la capacidad de respuesta de su empresa.

La escasez de personal sigue siendo uno de los grandes retos: el 58% de los encuestados señala falta de plantilla y más de la mitad considera insuficiente el presupuesto, a pesar de leves mejoras frente a 2024. Esta presión deriva en un entorno laboral estresante: el 68% cree que su trabajo es hoy más agotador que hace cinco años y más de la mitad denuncia cargas excesivas y falta de apoyo institucional.

Las dificultades para retener y contratar talento son notables: el 52% de las organizaciones sufre problemas de retención y casi la mitad tarda entre tres y seis meses en cubrir puestos, incluso de nivel inicial.

Por otro lado, la IA gana protagonismo: un 51% de los profesionales ya participa en la gobernanza de esta tecnología y el 46% en su implementación, especialmente en detección de amenazas, seguridad de endpoints y automatización.

Leer noticia completa AQUÍ

Estas son las startups españolas que revolucionan la ciberseguridad
La pasada semana, Sevilla fue sede del Al-Andalus Innovation Venture, un evento que reunió a más de 2.800 asistentes entre emprendedores, inversores y corporaciones, con un crecimiento del 33% respecto a la edición anterior. El congreso destacó por el scouting de startups, entre ellas cuatro enfocadas en ciberseguridad que presentaron sus proyectos ante firmas de capital riesgo y medios.

iCommunity apuesta por la tecnología blockchain para garantizar la integridad de datos empresariales y mejorar el cumplimiento normativo. Su plataforma Blockchain-as-a-service ofrece soluciones como Certyfirma, Certyfile o Certylabel, y ya colabora con entidades como Aenor, Lidl y el Ayuntamiento de Madrid.
Secur0, con una red de 600 hackers éticos, ofrece servicios de bug bounty y pentesting bajo un modelo basado en resultados. Con clientes como Telefónica y Monty Global Payments, busca democratizar la seguridad frente a auditorías costosas y estáticas.
GRK System, creada por el ex policía Manuel Borrego, desarrolla soluciones para infraestructuras críticas. Su herramienta más destacada es Cyberdroid, un IDS para móviles Android que analiza el tráfico en tiempo real con gran eficiencia.
Finalmente, SecretsVault propone un sistema de autenticación innovador: transformar imágenes en claves criptográficas, combinables con PIN o biometría, como alternativa a las contraseñas tradicionales.

Apple ha publicado actualizaciones de seguridad para iPhone, iPad y Mac con el fin de corregir una vulnerabilidad que podría provocar fallos en aplicaciones o incluso daños en la memoria del dispositivo.Si un documento, email o página web contiene una fuente manipulada de manera maliciosa, al abrirlo, el dispositivo puede experimentar un cierre inesperado de aplicaciones o, en el peor de los casos, corrupción de la memoria.

Pese a que no hay evidencias de que la vulnerabilidad se haya explotado de manera activa, Apple ha decidido actuar de manera preventiva.

¿Qué ‘cacharros’ de Apple están afectados?

Entre los dispositivos afectados están los iPhone e iPad con iOS 18 o posterior, los Mac con macOS Sonoma o posterior, Apple Watch y Apple TV.

La empresa de la manzana mordida ha lanzado actualizaciones para iPhone 11 y posteriores, iPad Pro de 12,9 pulgadas de tercera generación y posteriores, iPad Pro de 11 pulgadas de primera generación y posteriores, iPad Air de tercera generación y posteriores, iPad de octava generación y posteriores, y iPad mini de quinta generación y posteriores.

Los usuarios deberían actualizar sus dispositivos lo antes posible para evitar males mayores.

«Para la protección de nuestros clientes, Apple no divulga, analiza ni confirma problemas de seguridad hasta que se haya realizado una investigación y se hayan publicado parches o actualizaciones», advierte la firma de Tim Cook.

Google ha parcheado varias vulnerabilidades críticas en su modelo de inteligencia artificial Gemini que podían ser explotadas por atacantes para robar información sensible o engañar a los usuarios. Los fallos fueron descubiertos por la firma de ciberseguridad Tenable, que los bautizó como ‘The Gemini Trifecta’.

En este caso, los investigadores demostraron que era posible ‘envenenar’ distintos puntos de interacción con Gemini. El primero tenía que ver con los registros de actividad (logs) en Google Cloud. Un ciberdelincuente podía provocar que solicitudes maliciosas quedaran registradas allí y, posteriormente, al pedir a Gemini que analizara esos logs, el sistema interpretara las instrucciones escondidas, llegando a mostrar enlaces de phishing o a exponer datos internos.

El segundo vector de ataque se relacionaba con la personalización de búsquedas. Gemini utiliza el historial del usuario para ofrecer resultados adaptados. Los investigadores vieron que, si un atacante lograba manipular ese historial, el modelo podía acabar obedeciendo comandos maliciosos incrustados en él. En la práctica, el historial se convertía en un vehículo de ataque.

El tercer escenario afectaba a la herramienta de navegación de Gemini, que permite al modelo consultar páginas web o extraer contexto de pestañas abiertas. Mediante esta función, los investigadores comprobaron que era posible inducir a Gemini a recoger información sensible y enviarla a un servidor controlado por el atacante. En otras palabras, la propia capacidad de Gemini para interactuar con la web podía transformarse en un canal de exfiltración de datos.

¿Problemas resueltos?

Google ha confirmado que ya ha desplegado parches para corregir los tres problemas y ha reforzado las funciones implicadas. La compañía subraya que, gracias a la notificación responsable de Tenable, se pudo actuar con rapidez antes de que se detectaran ataques reales aprovechando estas técnicas.

El hallazgo pone de manifiesto una nueva frontera en la ciberseguridad: los modelos de inteligencia artificial no solo pueden ser víctimas de ataques directos, sino también de manipulaciones indirectas, donde instrucciones ocultas en lugares aparentemente inocuos terminan convirtiéndose en puertas de entrada para los delincuentes.

Los investigadores de seguridad han dado la voz de alarma sobre una campaña fraudulenta que se dirige a los usuarios más senior. Los ciberdelincuentes se han servido de grupos de Facebook que promueven actividades sociales para personas mayores para una nueva operación maliciosa.Sin embargo, los investigadores de la firma holandesa de ciberseguridad ThreatFabric identificaron más tarde docenas de grupos similares en la red social, muchos de ellos dependiendo del contenido generado por IA para incitar a las víctimas a descargar aplicaciones maliciosas. 

Pese a este uso evidente de la inteligencia artificial generativa el contenido ha despertado cientos de respuestas. Cuando las víctimas mostraban interés, rápidamente los estafadores trasladaban la conversación a WhatsApp o Messenger, donde compartían enlaces a sitios web de registro falsos. 

Al pinchar en el enlace a la descarga de la app se activaba la instalación de Datzbro, bien directamente o mediante un cuentagotas llamado Zoombinder, un dropper que puede eludir las protección de seguridad en disposisivos más nuevos.

Una amenaza mundial 

La amenaza se ha ido expandiendo a otros países, hallándose también en Singapur, Malasia, Canadá, Sudáfrica y el Reino Unido. 

En un informe que acaba de publicar ThreatFabric ha advertido de que el malware que está en el centro de la campaña, Datzbro, supone un riesgo global después de que su software de comando y control se filtrara online, poniéndolo a disposición de los cibermalos de todo el mundo. 

«Al centrarse en las personas mayores, los estafadores explotan la confianza y las actividades orientadas a la comunidad para atraer a las víctimas a instalar malware», subraya el informe. 

«Lo que comienza como una promoción de eventos aparentemente inofensiva en Facebook puede convertirse en la toma de control de dispositivos, el robo de credenciales y el fraude financiero», denuncia. 

El informe de ThreatFabric recoge que Datzbro combina capacidades de spyware, como grabación de audio, acceso a la cámara y robo de archivos con características de troyanos bancarios, incluido el acceso remoto, el registro de teclas y el phishing destinados a robar credenciales bancarias y de criptomonedas.

Por el momento la campaña no se ha atribuido a ningún grupo de cibermalos específico, pero la interfaz de comando y control y gran parte del código del malware contenían cadenas en chino, lo que sugiere que sus desarrolladores tienen su sede en el país mandarín. Esta teoría se refuerza porque en campañas anteriores se dirigieron a hablantes de chino. 
 

La compañía de ciberseguridad Kaspersky ha firmado un convenio marco de colaboración con el sindicato de la Policía Nacional JUPOL, con el objetivo de reforzar la capacitación de los cuerpos policiales en ciberseguridad y mejorar no solo su capacidad de respuesta frente al cibercrimen, sino también la atención a la ciudadanía en esta materia.

Esta alianza llega en un momento clave. Según datos del Instituto Nacional de Ciberseguridad (INCIBE), solo en 2024, España registró 97.348 incidentes de ciberseguridad, lo que supone un incremento del 16,6% respecto al año anterior. De ellos, 65.808 afectaron directamente a ciudadanos particulares, y las cifras no incluyen los ataques que fueron bloqueados antes de causar daños. «Este crecimiento evidencia la necesidad de reforzar tanto la formación policial como la concienciación ciudadana», subraya el comunicado.

En este contexto, el convenio busca impulsar una acción coordinada y efectiva frente a las crecientes amenazas digitales, promoviendo la cooperación público-privada y dotando a los agentes de los conocimientos necesarios para actuar con mayor eficacia en un entorno cada vez más digital y complejo. Asimismo, prevé la organización de jornadas y actividades formativas destinadas a difundir buenas prácticas y mejorar la preparación de los cuerpos policiales frente a los delitos informáticos.

«La transformación digital ha cambiado la naturaleza del delito, y es fundamental que nuestros agentes cuenten con los conocimientos y herramientas necesarios para hacer frente a las nuevas amenazas», ha señalado Aarón Rivero, secretario general de JUPOL.

Rivero también ha destacado que este convenio supone «un paso decisivo para reforzar la formación de los policías nacionales en un ámbito tan crucial como la ciberseguridad», y reafirma el compromiso de JUPOL con la profesionalización y la excelencia en el servicio público, «garantizando una policía más preparada, eficaz y capaz de proteger a la ciudadanía también en el entorno digital».

Por su parte, Óscar Suela, director general de Kaspersky Iberia, UK & Ireland, ha remarcado que «la colaboración entre JUPOL y Kaspersky no solo mejora la formación de los agentes, sino que también fortalece el trabajo conjunto entre el sector público y privado, permitiendo una respuesta más eficaz frente al cibercrimen y garantizando que los cuerpos policiales cuenten con los recursos y conocimientos necesarios para proteger y atender a la ciudadanía».

Dukaan, empresa de origen indio dedicada al ámbito del comercio electrónico y que compite con Shopify, ha sufrido una grave y prolongada brecha de seguridad. 

El agujero de seguridad permitía el acceso a tokens de autenticación, detalles de pedidos del usuario final, información sobre las tiendas visitadas, artículos comprados, nombres, direcciones de email, números de teléfono y domicilios.

Lo primero es especialmente preocupante porque pondría en manos de cualquiera tokens de autenticación para pasarelas de pago como Stripe, PayPal y RazorPay.  Estos podrían otorgar acceso directo a la cuenta del procesador de pagos de cada tienda online. 

Con este acceso los amigos de lo ajeno podrían recuperar la información de pago, incluyendo los números de tarjeta, fechas de vencimiento y códigos CVV, acceder a pagos falsos o reembolsos autorizados para drenar fondos de las cuentas y consultar historiales de transacciones para impulsar estafas financieras específicas. 

La instancia que estaba expuesta llevaba indexada públicamente desde agosto de 2023, así que los datos personales y financieros contenidos en ella habrían estado a expensas de los cibermalos durante más de dos años. 

Riesgos para los consumidores

Aunque la filtración de datos vinculados a cuentas financieras es la más peligrosa, la filtración de datos personales de millones de compradores también es problemática. Esta información podría ser usada para el robo de identidad, campañas de phishing dirigidas o intentos de doxing.

Dukaan da servicio a más de 3,5 millones de comerciantes y atiende a 16 millones de clientes únicos en todo el mundo. La compañía cerró la fuga el pasado 8 de octubre.

La agencia estatal rusa encargada de la agricultura y seguridad alimentaria, Rosselkhoznadzor, ha sido víctima de un ciberataque que habría ocasionado interrupciones en los envíos de alimentos por todo el país, según han informado medios locales.

El medio local Shopper´s asegura que la interrupción provocó graves retrasos en las entregas de alimentos después de que la plataforma de certificación veterinaria electrónica Mercury, que forma parte de VetIS, quedara inaccesible.

Dos importantes productores de lácteos y un fabricante de alimentos para bebés comentaron que no habían podido enviar productos durante varias horas el miércoles.

Desde Rosselkhoznadzor han comentado que no había «ninguna amenaza para la integridad o confidencialidad» de los datos almacenados en sus redes.

En el momento de escribir este artículo ningún grupo de ciberdelincuentes había reivindicado la autoría del ataque.

Otros ataques 

El ataque a Rosselkhoznadzor ha sido el cuarto incidente que ha afectado este año al sistema Mercury, la plataforma que gestiona la certificación veterinaria electrónica en Rusia.

En junio, un ataque similar ya había obligado a muchas empresas del sector lácteo a recurrir temporalmente a los certificados en papel, provocando importantes demoras logísticas y complicaciones en la distribución.

La agencia rusa ha negado los informes sobre las interrupciones prolongadas, indicando que el sistema Mercury funcionaba con normalidad tras una jornada de parón.

La consultora EY (Ernst & Young) habría dejado sin protección una copia de una de sus bases de datos subida a la nube de Microsoft. Cualquier persona con el correspondiente enlace podía acceder a ella. 
Se trataba de un archivo de 4 TB. Al principio no quedaba claro quién era el propietario. Sin embargo, al investigar más a fondo se hallaron documentos de una adquisición realizada en 2020 que estaban en un idioma europeo y al hacer una consulta DNS se vinculó el dominio a ey.com, confirmando la implicación de EY.

Neo Security descargó los primeros 1000 bytes del archivo, lo que le permitió dirimir que era un backup sin cifrar de SQL Server.  

Reaccionaron rápidamente

La empresa señala que se habían percatado hacía varios meses de esta potencial exposición y actuaron inmediatamente para remediarla.  EY también asegura que ningún dato de cliente, personal o confidencial, resultó afectado. 

Según ha revelado la consultora, el fallo no habría afectado a sus sistemas principales de su nube y tecnología, sino que ocurrió en una empresa italiana que habían comprado a través de su filial EY Italia. 

Desde Escudo Digital nos hemos puesto en contacto con la filial de EY en España para conocer más sobre lo sucedido. Actualizaremos la información si recibimos respuesta.

En 2023 EY también se vio salpicada por otro incidente de seguridad. La compañía fue una de las afectadas por la brecha de seguridad de la herramienta de transferencia de archivos MOVEit. 

Los cibermalos ya no consiguen desplumar tanto a las organizaciones como hace unos meses. Las empresas e instituciones estarían aflojándose el bolsillo mucho menos que a principios de año cuando se enfrentan a un incidente de ransomware.
Para los expertos de las fuerzas del orden, los defensores cibernéticos y los especialistas legales no solo es una buena noticia, sino también una evidencia de que sus esfuerzos contra los ciberdelincuentes están siendo fructíferos.

El informe comprende que el pago promedio de rescate en el Q3 fue de unos 377.000 dólares, lo que supondría una disminución del 66% en comparación con el cuarto anterior. Además, el pago de rescate mediano se redujo un 65% hasta los 140.000 dólares.

En el caso de incidentes de exfiltración de datos (sin cifrado, solo con la amenaza de divulgación pública), los pagos de rescate se precipitaron al 19 % en el tercer trimestre de 2025, otro mínimo histórico.

Coverware atribuye la caída a dos tendencias principales. La primera es que las grandes corporaciones se niegan cada vez más a pagar rescates después de ser blancos de los actores de amenazas. Las empresas comienzan a ser conscientes de que ‘pasar por caja’ frente a los amigos de lo ajeno para suprimir la proliferación de datos robados tiene ningún o escaso.

Además, las pymes y empresas de tamaño medio, que tienen más probabilidades de pagar después de que sus sistemas hayan sido atacados, aceptan pagar rescates bastante más modestos. Estas no pueden permitirse grandes rescates. No obstante, Coveware subraya que grupos como Akira y Qilin aprovechan cada vez más esta estrategia de alto volumen y baja demanda, según afirma Coverware.

«Los ciberdefensores, las fuerzas del orden y los especialistas legales deberían considerar esto como una validación del progreso colectivo. El trabajo realizado para prevenir ataques, minimizar su impacto y sortear con éxito una ciberextorsión: cada pago evitado priva a los ciberatacantes de oxígeno (es decir, Bitcoin). Contraer la economía de la ciberextorsión requiere una presión continua de todos los participantes del sector», recuerda la autora del estudio.

«Incluso los pagos pequeños perpetúan la economía de la extorsión. Cualquier recomendación de pagar un rescate como solución rutinaria o «molesta» debe analizarse críticamente y las organizaciones deben garantizar que todos los proveedores mantengan una postura alineada con las políticas sobre el impago», concluye Coverware.

Principales vectores de ataque

Los vectores tradicionales -acceso remoto, phishing/ingeniería social y explotación de vulnerabilidades de software- siguen siendo los pilares, aunque las líneas entre ellos se han difuminado. Las intrusiones modernas ya no se limitan a un correo de phishing o una VPN sin parchear, sino que combinan identidad, confianza y acceso entre personas y plataformas. Esto refleja cómo los ataques actuales buscan aprovechar tanto fallas técnicas como la interacción humana.

El acceso remoto se mantuvo como el vector dominante, con intrusiones a través de VPN, puertas de enlace en la nube e integraciones SaaS, incluso en entornos actualizados, gracias a configuraciones heredadas o credenciales sin rotar. La combinación de acceso remoto con ingeniería social permitió que los atacantes obtuvieran acceso convenciendo a otros usuarios para facilitarlo, utilizando tácticas como suplantar equipos de soporte o abusar de procesos OAuth.

Por otro lado, la explotación de vulnerabilidades de software creció de forma moderada, afectando principalmente a fallas conocidas en dispositivos de red y aplicaciones empresariales.

La ciberseguridad de Iberia sigue trayendo cola. El conocido grupo de ransomware Everest afirma haber comprometido 596 GB de datos internos de la empresa. 

En su página de filtraciones se jactan de haberse hecho con información que incluye nombres de clientes, detalles de contacto, fechas de nacimiento, información de viajes y reservas, datos de tarjetas enmascarados y perfiles de marketing. 

Por otro lado, el grupo asegura haber conseguido 430 GB de archivos .eml, que contendrían más de 5 millones de registros. Con estos serían capaces de visualizar la información de reservas, pero también editarla. 

Desde Cybernews han investigado la declaración y tienen indicios de que la banda no va de farol. Los archivos .eml se usan para almacenar mensajes de emails y en ellos las aerolíneas suelen incluir una parte significativa de los detalles de los vuelos en dichos correos. Everest, cuentan, podría modificar la información de las reservas fácilmente simplemente teniendo a mano un solo apellido y la referencia de la reserva. 

Los ciberdelincuentes han pedido un rescate de 6 millones de dólares a la compañía aérea, prometiendo que si reciben el pago no harán pública ni una sola reserva ni un solo dato personal.  

«Una  fuga de datos completa tendría consecuencias catastróficas tanto para clientes como para la compañía, abriendo las puertas a una ola masiva de spam y fraude», comentan los cibermalos para presionar al gigante español.

Los investigadores señalan que la banda podría incluso cambiar los itinerarios de los vuelos, lo cual le daría una gran capacidad de ‘negociación’ para pedir una cuantía tan alta. Los daños financieros a Iberia podrían ser muy grandes.

Hace unos días la empresa envió un correo electrónico para avisar a sus clientes de que se había dado un incidente de seguridad a través de un proveedor externo, asegurando que la credenciales de inicio de sesión no habían sido robadas. 

Lo hizo ocho días después de que Escudo Digital informara sobre una posible falla. Un actor de amenazas afirmaba a mediados de mes que había vendido 77 GB de datos internos por 150.000 dólares. En un post en un foro el pirata informático comentaba que había conseguido datos técnicos del A320/A321, archivos de mantenimiento de AMP, información del motor y otros documentos internos.

Teniendo en cuenta todo esto parece que Iberia no ofreció el panorama completo y el agujero de seguridad podría ser bastante más grave del identificado o comunicado inicialmente. 

Desde el departamento de Comunicación de Iberia nos comentan en relación con esta última demanda del grupo de ransomware Everest lo siguiente: «Efectivamente, tuvimos un acceso no autorizado a nuestros datos. Hemos ido avisando a todos los clientes afectados. También lo denunciamos ante la UCO, la Agencia de Protección de Datos e INCIBE. El acceso se produjo en repositorio de comunicación alojado y administrado por un tercero. La información contenida en ese sistema de intercambio de información es limitada y no es operacional, por lo que no se ha puesto en riesgo la seguridad de los vuelos. Hemos establecido medidas de seguridad adicionales, como un doble factor de autenticación para todos los afectados de manera que nadie (aparte de ellos) pueda modificar su reserva o hacer cualquier gestión a través de la APP, la web iberia.com o el call center. De momento, no hay constancia de que se haya realizado alguna actividad fraudulenta con estos datos».

El ascenso de Everest

Everest ha venido operando desde, al menos, diciembre de 2020. En sus inicios sse centraba más en la exfiltración de datos, con fines de extorsión. Pero con el tiempo fue evolucionando hacia un modelo de ‘doble extorsión’.

Desde al menos 2021 el grupo también actúa como un bróker de acceso inicial, dedicándose a conseguir accesos iniciales a redes corporativas vulneradas y, en ocasiones, vendiéndolos a otras bandas criminales para que realicen el ataque completo.

Aunque no se conoce con exactitud desde donde opera, sus víctimas suelen estar en occidente, teniendo en su punto de mira a compañías de infraestructuras críticas en EE.UU y en Europa. Se cree que algunos de sus miembros residen en países de la antigua Unión Soviética o hablan ruso. 

Entre sus víctimas están BMW, el Aeropuerto de Dublín y, más recientemente, la empresa de ropa deportiva Under Armour. Un informe publicado hace unos meses indicaba que Everest había comprometido más de 230 organizaciones desde su aparición.