El ransomware Everest reclama a Fiserv como víctima y amenaza con filtrar datos financieros

El grupo de ransomware Everest publicó a Fiserv en su sitio de filtraciones en la darknet entre el 3 y el 4 de mayo de 2026, reclamándola como su última víctima y fijando un plazo de 3-4 días antes de hacer públicos los datos robados si no hay negociación. Hasta el momento de publicar este artículo, no se había asociado ningún CVE con el vector de acceso inicial, y Fiserv no había emitido ningún comunicado oficial confirmando o desmintiendo la brecha.

Fiserv no es un objetivo de ransomware cualquiera. La compañía provee infraestructura bancaria central, procesamiento de pagos, plataformas de banca digital y servicios de adquirencia a miles de bancos, cooperativas de crédito y minoristas en todo Estados Unidos. Si la brecha es real y los datos comprometidos incluyen registros financieros de clientes, la exposición no se limita a Fiserv: se extiende a cada institución financiera que opere sobre sus sistemas.

Everest opera un modelo de doble extorsión clásico: primero exfiltra datos confidenciales, luego cifra sistemas y finalmente amenaza con publicación masiva si no se paga el rescate. El grupo ha atacado anteriormente a servicios nacionales de salud, contratistas gubernamentales y grandes cadenas minoristas. Un objetivo de la escala de Fiserv representaría uno de los ataques de ransomware más consecuentes de 2026 si se confirma la brecha.

Los datos supuestamente en riesgo incluyen registros financieros de clientes, bases de datos internas e información de tarjetas de crédito. La amplitud de esa descripción sugiere que los operadores de Everest creen haber accedido a sistemas más allá de una sola unidad de negocio.

Los equipos de seguridad de instituciones financieras que usen plataformas basadas en Fiserv deben tratar esto como una amenaza activa hasta que la empresa emita un comunicado definitivo. Pasos inmediatamente relevantes:

• Monitorizar los canales de avisos de Fiserv y los feeds del ISAC financiero para confirmar la brecha
• Auditar los registros de acceso en busca de eventos de autenticación anómalos que toquen sistemas integrados con Fiserv en los últimos 30-60 días
• Asegurarse de que los planes de respuesta a incidentes contemplan proveedores SaaS de terceros y de banca central, no solo la infraestructura interna
• Verificar que los acuerdos de intercambio de datos con Fiserv definen obligaciones y plazos de notificación en caso de brecha

El patrón general es preocupante. Los grupos de ransomware están escalando sistemáticamente en la cadena de suministro, desde organizaciones individuales hacia los proveedores de infraestructura de los que esas organizaciones dependen. Comprometer a un proveedor de banca central crea un punto de palanca único sobre cientos de instituciones dependientes simultáneamente.

El plazo de 3-4 días anunciado por Everest se agota aproximadamente el 7-8 de mayo. Habrá que estar atentos a la respuesta oficial de Fiserv antes de que cierre esa ventana.