Por qué importa

El fallo contradice la narrativa oficial de que pagar rescates nunca es una solución. La condena de Martino muestra cómo el ecosistema de respuesta a ataques —negociadores, seguros, intermediarios— es vulnerable a la infiltración. Si un empleado de confianza puede volverse un agente doble, cualquier empresa que contrate estos servicios corre un riesgo adicional.

Entre líneas

El caso involucra a tres exempleados de DigitalMint y Sygnia que trabajaron como afiliados de BlackCat entre abril y noviembre de 2023. Los detalles clave:

  • Martino, Ryan Goldberg y Kevin Martin acordaron dividir los rescates, pagando un 20% a los administradores de BlackCat.
  • En un ataque exitoso, extorsionaron a una empresa por 1,2 millones de dólares.
  • El grupo también atacó a una firma financiera que pagó 25,6 millones y a una organización sin fines de lucro que pagó 26,7 millones.
  • Goldberg y Martin fueron sentenciados a cuatro años cada uno en mayo de 2026.

Martino no solo participó como atacante: mientras trabajaba como negociador para cinco víctimas, compartió con BlackCat datos sobre sus pólizas de seguro y posturas internas. Los fiscales lo calificaron como un "agente doble" que maximizó el daño a sus clientes.

Lo que cambia

La sentencia de Martino —la más larga de los tres— refleja el peso de la traición profesional. El gobierno incautó más de 10 millones de dólares en bienes comprados con el dinero de los rescates. Esto envía una señal a la industria de respuesta a incidentes: los controles internos y la supervisión de los negociadores pueden volverse un requisito legal, no solo una buena práctica.

El estado de las cosas

BlackCat (también conocido como ALPHV) operó como un servicio de ransomware que afiliados alquilaban para lanzar ataques. El FBI vinculó a la banda con más de 60 incidentes entre noviembre de 2021 y marzo de 2022, y estimó que recaudó al menos 300 millones de dólares de más de 1.000 víctimas hasta septiembre de 2023. El grupo se desmanteló después de un sonado ataque a Change Healthcare en febrero de 2024, que expuso datos de más de 192 millones de personas.