Juego (grupo de hackers)

Play (también conocido como Play Ransomware o PlayCrypt ) es un grupo de hackers responsable de ataques de extorsión mediante ransomware contra empresas e instituciones gubernamentales. El grupo surgió en 2022 y atacó objetivos en Estados Unidos, ^{[ 1 ]} Brasil, ^{[ 2 ]} Argentina, ^{[ 2 ]} Alemania, ^{[ 3 ]} Bélgica ^{[ 3 ]} y Suiza. ^{[ 4 ]}

Los expertos en seguridad sospechan que el grupo tiene vínculos con Rusia, ya que las técnicas de cifrado utilizadas son similares a las utilizadas por otros grupos de ransomware vinculados a Rusia, como Hive y Nokoyawa . ^{[ 5 ]}

El nombre "play" proviene de la extensión de archivo ".play" que el grupo utiliza para cifrar los datos de sus víctimas, dejando un mensaje que contiene la palabra "PLAY" y una dirección de correo electrónico. ^{[ 2 ]}

En 2022, Play llevó a cabo un importante ataque contra el poder judicial argentino de Córdoba . ^{[ 6 ]}

En 2023, Play llevó a cabo una oleada de ataques contra Suiza. A finales de marzo, el periódico Neue Zürcher Zeitung fue atacado, lo que permitió la penetración de los sistemas de su proveedor de servicios, CH-Media . ^{[ 7 ]} Esto permitió a Play extraer las direcciones de más de 400.000 ciudadanos suizos residentes en el extranjero que se habían suscrito al periódico oficial para los expatriados suizos, Schweizer Revue . ^{[ 8 ]} En el mismo mes, una comunidad del cantón de Valais fue víctima. ^{[ 9 ]} En mayo/junio, se produjo un ataque informático masivo contra un proveedor de servicios informáticos de la administración federal suiza, en el que se robaron datos confidenciales, incluidos datos financieros e información fiscal, con fines de extorsión. Varias empresas estatales se vieron afectadas. ^{[ 10 ]}

En abril de 2025, el ransomware Play explotó una vulnerabilidad en el sistema de registro de Windows mediante ataques de día cero. El grupo de ransomware Play explotó una vulnerabilidad de alta gravedad en el Sistema Común de Archivos de Registro de Windows (CRFS) en ataques de día cero para obtener privilegios de SYSTEM e implementar malware en sistemas comprometidos.

La vulnerabilidad, identificada como CVE-2025-29824, fue etiquetada por Microsoft como explotada en un número limitado de ataques y parcheada durante una actualización de seguridad de abril de 2025. ^{[ 11 ]}