GordonFreeman
GordonFreeman is a threat actor observed on VCert and cybercrime forums with multiple claims against Venezuelan organizations in 2026; several associated posts use the tags L4TAMFUCK3R/L4TAMFUCK3RS.
- Incidents
- 24
- High impact
- 0
- First seen
- Feb 10, 2026
- Latest seen
- Oct 17, 2026
Linked incidents
Alleged compromise of INTECH attributed to GordonFreeman
Alleged compromise of INTECH Instrumentos y Equipos, C.A., a Venezuelan supplier of industrial instrumentation and services, attributed to the alias GordonFreeman. VECERT lists “INTECH Venezuela (Intech-ie.net)” as case #12535, with a monitoring date of October 17, 2026. The alert supplied by the user alleges ransomware, 260 GB of corporate files and 25 GB of mail data; these details do not appear in the limited listing reviewed and remain unverified. Access, extraction, encryption and effects have not been confirmed, and the intrusion and original announcement dates are unknown. The volumes have not been measured and their possible overlap is unknown.
Presunta adquisición de datos del Carnet de la Patria atribuida a GordonFreeman
Un supuesto compromiso del sistema Patria y adquisición de una base del Carnet de la Patria fueron anunciados el 2 de septiembre de 2026. Una de las recapitulaciones atribuyó el reclamo a GordonFreeman. El conjunto se describió como 30.045.854 registros y 14,3 GB en formato .DB, con teléfonos, domicilios, correos y seriales; esas cifras y categorías no fueron autenticadas. La referencia a 2,3 millones de registros de extranjeros no se suma al total porque se desconoce su solapamiento. El acceso y la adquisición son alegaciones específicas de baja confianza; los tres monitores pueden derivar del mismo anuncio y no constituyen tres confirmaciones independientes. No se confirmó intrusión en 2026, origen, actualidad, personas únicas, contenido o autenticidad del actor. La oferta de unos 30 millones de registros atribuida a HvcKMvsoneria33 en 2025 permanece como antecedente de relación desconocida; similitud de cifras no demuestra identidad ni independencia del corpus. El 2 de septiembre fecha la difusión del reclamo, no el inicio de actividad.
Presunta oferta de una base del INEA atribuida a GordonFreeman
Una supuesta intrusión y oferta de datos del INEA, anunciada el 13 de julio de 2026, alegaba registros de gente de mar y empresas. El anuncio atribuyó al conjunto 114.265 registros de gente de mar y 13.485 empresas; 5,4 GB de imágenes/datos de usuarios, 102,36 GB de archivos empresariales y legales, y precio de USD 800. Una recapitulación del mismo día atribuyó explícitamente el reclamo a GordonFreeman / L4TAMFUCK3R$ / OpHecatombeVzla; el primer texto no nombró a ese actor. Otra publicación difundió una alegación compatible el 14. Las cifras, tamaños, precio, compromiso y exfiltración siguen alegados. Se registra una sola ficha del reclamo de intrusión y datos, con actividad subyacente desconocida. No se probó continuidad ni independencia respecto del título de venta INEA de junio de 2025; no se afirma nueva adquisición en julio ni se inspeccionaron muestras.
Oferta no verificada de datos de BANAVIH atribuida a cantpwn/L4TAMFUCK3R$
Una supuesta oferta de la base de datos completa de BANAVIH circuló el 23 y 24 de junio de 2026 en capturas del mismo reclamo. La principal muestra a cantpwn como autor, la etiqueta L4TAMFUCK3R$, aproximadamente 54 mil carpetas, 5,8 GB y un precio de 100 USD; menciona a GordonFreeman y otro miembro sin establecer su autoría directa. Otra captura enumera categorías personales, crediticias, de propiedad y administrativas, sin documentos o registros verificables. Una ficha adicional sigue inaccesible tras una verificación de seguridad. No se validaron existencia, autenticidad, procedencia, contenido, escala, acceso, exfiltración, venta o impacto.
Presunta divulgación de imágenes y datos de empleados del MPPSP atribuida a GordonFreeman
Una supuesta divulgación de imágenes y datos de empleados del sistema de registro del Ministerio del Poder Popular para el Servicio Penitenciario fue reivindicada por GordonFreeman el 22 de junio de 2026, bajo la etiqueta L4TAMFUCK3R$. El hilo alega 22,9 mil imágenes y datos personales de empleados y adjunta siete mosaicos con retratos y nombres de archivo aparentes; no se reproducen identidades. Una recapitulación repitió la alegación al día siguiente; otro aviso no tiene contenido inspeccionable que aporte corroboración. No se validaron la autenticidad, procedencia o escala del corpus, el sistema de origen, el acceso, la exfiltración, el vector o efecto operacional.
Presunta divulgación de datos del sector minero estatal atribuida a GordonFreeman
Un supuesto conjunto de datos de trabajadores del sector minero estatal venezolano fue publicado por GordonFreeman en un foro el 21 de junio de 2026, bajo la etiqueta L4TAMFUCK3R$. El hilo menciona ocho entidades —CVG, CVM, Minerven, Mibiturven, Carbozulia, Ingeomin, Senafim y Misión Piar—, alega 10.000 contratistas y contiene registros personales, laborales, domiciliarios, de traslado y vehículos aparentes; sus valores no se reproducen. Otras publicaciones repitieron el reclamo y una recapitulación dijo expresamente que no había evidencia técnica, muestra robada verificable, actor confirmado ni prueba de ataque exitoso. No se validaron autenticidad, procedencia, escala, acceso, exfiltración o efecto operacional.
Presunta extracción de datos de la Plataforma de Oro Soberano del BCV atribuida a GordonFreeman/L4TAMFUCK3R$
La presunta extracción de la base de datos de la Plataforma de Oro Soberano del Banco Central de Venezuela fue atribuida a GordonFreeman/L4TAMFUCK3R$ en un reporte de monitoreo y una nota periodística del 18 de junio de 2026. El reporte atribuye al actor 186.500 registros y datos personales, institucionales y financieros; el monitor calificó expresamente el estado como bajo investigación y no confirmado. La publicación original del actor no fue recuperada, las imágenes disponibles son capturas de la alegación y un grafo de inteligencia, y el BCV no había emitido confirmación. No se validaron el conjunto, el recuento, el acceso, el vector, la exfiltración o impacto operacional.
Presunta extracción de nóminas de Educación, Defensa y Salud atribuida a GordonFreeman
Un supuesto compromiso total de un sistema gubernamental y extracción de nóminas mediante una API de consulta fueron atribuidos a GordonFreeman/L4TAMFUCK3R$ en una publicación del 11 de junio de 2026 a las 21:06:59 UTC: 392.286 registros de Educación, 22.507 de Defensa y 9.459 de Salud, para 424.252. Los campos personales y salariales son alegados; no se inspeccionaron registros. La procedencia histórica del foro muestra una publicación del 12 de junio a la 01:37 sin zona horaria especificada; no es fecha de actividad. El relato presenta una extracción común alegada, sin arquitectura, sistema, acceso, datos, conteo o adquisición autenticados; no delimita tres incidentes. El portal MPPEDATOS no está vinculado a la extracción. MPPE de julio comparte temática y una cifra cercana, sin continuidad demostrada; el artículo ecuatoriano no valida o desacredita este evento venezolano. No se abrieron las imágenes o muestras.
Presunta divulgación de datos de usuarios de Digitel atribuida a GordonFreeman
La presunta divulgación de datos de 394.000 usuarios de Digitel Venezuela fue reclamada por GordonFreeman en DarkForums el 7 de junio de 2026, en un hilo titulado con la etiqueta L4TAMFUCK3R$. El cuerpo recuperable contiene un bloque muy extenso de registros aparentes con nombres, líneas, planes, saldos, correo e identificación; sus valores personales no se reproducen aquí. No se encontró confirmación de Digitel, corpus completo preservado, hash, cadena de custodia, prueba del origen, método de acceso, exfiltración o efecto operacional. El registro documenta una publicación con registros aparentes, no autenticidad, procedencia, escala, acceso, exfiltración o impacto confirmados.
Presunta divulgación de registros del INTT atribuida a GordonFreeman
La supuesta divulgación de 788.000 registros del Registro Nacional de Tránsito del INTT fue reivindicada por GordonFreeman en un foro el 7 de junio de 2026, bajo la etiqueta L4TAMFUCK3RS. El cuerpo recuperable contiene registros personales aparentes con identidad, contacto, domicilio, datos médicos básicos y licencia; sus valores no se reproducen. Un aviso fechado el 8 de junio no tiene contenido públicamente inspeccionable y no añade corroboración. No se encontró confirmación del INTT, corpus completo preservado, hash, cadena de custodia, prueba del origen, método de acceso, exfiltración o efecto operacional. El registro documenta una publicación con registros aparentes, no autenticidad, procedencia, escala, acceso, exfiltración o impacto confirmados.
Presunta divulgación de datos de clientes de Movistar Venezuela atribuida a GordonFreeman
La presunta divulgación de datos de clientes de Movistar Venezuela fue difundida por dos monitores el 15 de mayo de 2026; el hilo canónico de GordonFreeman en DarkForums muestra una línea de autor del 16 de mayo y alega 4,15 millones de registros, con una prueba de 5.000 filas. El cuerpo del foro expone numerosos registros personales aparentes; sus valores personales no se reproducen aquí. La firma también nombra a L4TAMFUCK3RS. Un índice listó después un título coincidente, otro conserva sólo un aviso inaccesible y un agregador agrupó republicaciones. No se encontró confirmación de Movistar, corpus completo preservado, hash, cadena de custodia, validación forense, prueba del método de acceso ni efecto operacional. La comparación de un monitor con una publicación de 2025 no demuestra que sea el mismo conjunto. El registro documenta un reclamo recuperable y registros aparentes, no autenticidad, procedencia, escala, acceso, exfiltración o impacto confirmados.
Presunto acceso y exposición de datos de CANTV ABA Ultra atribuidos a GordonFreeman
Un supuesto compromiso de un panel UISP/Ubiquiti de CANTV ABA Ultra en el oriente de Venezuela fue reivindicado por GordonFreeman el 15 de mayo de 2026, con datos alegados de 7.500 usuarios y 4.000 dispositivos OLT/GPON. El cuerpo expone numerosos registros aparentes de abonados y metadatos técnicos/de ubicación; sus valores no se reproducen. También amenaza con posible sabotaje físico, sin afirmar ni demostrar que ocurrió. La firma nombra a GordonFreeman, Izanagi, cantpwn, YoSoyGroot y L4TAMFUCK3RS. Dos avisos derivados repitieron el reclamo sin validación independiente. No se encontró confirmación de CANTV, conjunto completo preservado, hash, cadena de custodia, prueba forense del acceso ni efecto operacional. El registro documenta una publicación con registros aparentes, no autenticidad, procedencia, escala, exfiltración o sabotaje confirmados.
Presunta extracción de datos de SAIME, SAREN y Carnet Fronterizo en Operación Hecatombe
La supuesta extracción de datos de SAIME, SAREN y Carnet Fronterizo, denominada Operación Hecatombe Venezuela, fue atribuida a GordonFreeman, Izanagi y YoSoyGroot/L4TAMFUCKERS en una publicación del 8 de mayo de 2026 a las 22:25:07 UTC. El relato conecta SAIME, SAREN y Carnet Fronterizo mediante supuestas API/IDOR-BOLA y exfiltración por canales oficiales; otra fuente publicó una versión compatible el 9 de mayo. Una recapitulación informa 35 millones SAIME, 12,5 millones SAREN y 92.000 registros fronterizos; el primer anuncio informa 35,2 millones y 13,4 millones. Son cifras atribuidas distintas, no personas únicas o volúmenes autenticados. El hilo original tiene fecha del 9 de mayo, que no fija adquisición ni explica el orden de publicaciones. El relato presenta una operación conectada alegada, sin mecanismo, origen, escala, actor o impacto confirmados. Cashea queda fuera; no se examinaron muestras o imágenes con datos personales.
Presunta filtración de datos de Movilnet atribuida a GordonFreeman y otros usuarios
La presunta filtración de datos de Movilnet fue reclamada por GordonFreeman en DarkForums el 29 de abril de 2026, con un alegado acceso IDOR a un backend MongoDB, 200.000 números telefónicos y datos sensibles. El post nombra además a Izanagi, cantpwn y YoSoyGroot y muestra respuestas JSON aparentes con datos personales, de contacto, domicilio, línea, dispositivo, servicio y saldo. Esos valores personales no se reproducen aquí. El archivo enlazado de 10.000 teléfonos ya no está disponible. Una nota periodística y su publicación en X repitieron la alegación y el análisis de Giuseppe Gangi, pero no aportaron confirmación oficial o forense. La publicación y las muestras visibles prueban el contenido del reclamo, no su autenticidad, procedencia, escala, acceso, exfiltración o impacto.
Presunta divulgación de datos de IPSFANB atribuida a cantpwn y GordonFreeman
La presunta divulgación de una base de datos del Instituto de Previsión Social de la Fuerza Armada Nacional Bolivariana (IPSFANB) fue atribuida a cantpwn, en colaboración con GordonFreeman, en un reporte de monitoreo publicado en X el 25 de abril de 2026. Otra cuenta citó el reporte seis horas después y repitió sus alegaciones de aproximadamente 40 GB, 195.104 líneas alegadas, sin recuento de registros validado y categorías biométricas, de identidad, militares, financieras, familiares y residenciales. Ambos X exactos son visibles y su única imagen es una tarjeta de monitoreo OSINT; no contiene una muestra legible del supuesto conjunto. No se recuperó la publicación original del foro, archivo, hash, cadena de custodia, declaración oficial o análisis forense que confirme acceso, procedencia, autenticidad, volumen, exfiltración o impacto.
Presunta divulgación de datos de empleados de PDVSA atribuida a GordonFreeman
La presunta divulgación de aproximadamente 10.000 registros de empleados de PDVSA fue atribuida a un reclamo de GordonFreeman en un reporte del 22 de abril de 2026. El artículo enumera como alegados nombres, identificadores, RIF, usuarios, correos, teléfonos e indicadores de restablecimiento de contraseñas, y reproduce dos capturas de un foro: la primera muestra el alias, el título y un logotipo; la segunda presenta el texto del reclamo y una prueba de concepto completamente difuminada. El texto afirma que la extracción provino de una vulnerabilidad crítica en una entidad estatal venezolana, sin identificar el sistema o la vulnerabilidad. Una segunda nota republicó el mismo reporte y reconoce expresamente esa dependencia. No se recuperó el hilo original, muestra legible, archivo, hash, confirmación de PDVSA, vector verificable ni análisis forense que valide autenticidad, procedencia, volumen, exfiltración o impacto.
Presunta divulgación conjunta de nóminas del SEBIN y CICPC
Una supuesta divulgación gratuita conjunta de datos de personal del SEBIN y CICPC fue atribuida a GordonFreeman y Shukaku_Daemon en una publicación del 19 de abril de 2026 a las 20:45:33 UTC; el anuncio la presenta como resultado de pentesting. Alega 3.200 registros SEBIN y 22.000 CICPC: 25.200 es compatible con el redondeo de 25.000. Otra fuente publicó un relato compatible 35 minutos y 46 segundos después, sin referencia editorial explícita a la primera publicación y con reservas de autenticidad y posible agregación. Un informe de monitoreo de abril menciona esas agencias en foros, pero no identifica este corpus, actor o fecha. La divulgación conjunta alegada tiene confianza baja, sin autorización, acceso, datos, cantidades o adquisición común confirmados. SENIAT es antecedente atribuido, no otra víctima incluida en este episodio; no se inspeccionaron imágenes o datos personales.
Presunto acceso y exfiltración de 165 GB de Conviasa atribuidos a GordonFreeman y Shukaku_Daemon
El presunto acceso y exfiltración de datos de Conviasa fueron atribuidos a GordonFreeman y Shukaku_Daemon en un reporte de monitoreo publicado en X el 18 de abril de 2026. La publicación alegó 165 GB exfiltrados, acceso continuo a KIU y MAPAS-2, persistencia en equipos de red, neutralización de respaldos y una amenaza de interrupción; sus seis imágenes muestran capturas compuestas y difuminadas de un foro, topología, tablas, identificaciones aparentes y el mensaje de contacto. Un índice recogió el título del reclamo el 20 de abril y un informe de seguridad incluyó a Conviasa en una lista regional de datos que aparecieron en foros durante abril, advirtiendo que algunos casos son difíciles de verificar. No se recuperó el hilo original del actor, archivo, muestra legible, hash, telemetría, confirmación de Conviasa ni análisis forense que valide acceso, exfiltración, volumen, sistemas, datos, persistencia, respaldos o impacto operativo.
Presunta filtración de datos del SENIAT atribuida a GordonFreeman
La presunta filtración de datos del SENIAT fue reclamada por GordonFreeman en DarkForums el 15 de abril de 2026. El hilo muestra fragmentos aparentes de registros tributarios y ocho comprobantes RIF, además de una captura con miniaturas de documentos fiscales y de identidad. El autor reclama 12,3 millones de registros de personas naturales y 1,5 millones de entidades jurídicas, con información fiscal, de identidad, contacto, domicilio, representación y accionistas. Un monitor y una nota periodística difundieron el mismo reclamo. Los datos personales visibles en las muestras no se reproducen aquí. No se encontró confirmación oficial, corpus descargable, cadena de custodia ni validación forense de la autenticidad, procedencia, integridad, cifra total o método de adquisición.
Presunto acceso y control del SEN/CORPOELEC atribuidos a GordonFreeman y Shukaku_Daemon
El presunto acceso y control del Sistema Eléctrico Nacional (SEN) y CORPOELEC fueron reclamados en DarkForums el 14 de abril de 2026 por GordonFreeman, junto con el nombre Shukaku_Daemon. El texto alega persistencia, control SCADA/OT, manipulación de IEC 104/DNP3 y PLC, movimiento lateral, cargas capaces de causar fallas y exfiltración de secuencias de recuperación y lógica de protección. Las dos imágenes originales son un logotipo de CORPOELEC generado con Gemini y un esquema de la red eléctrica; no muestran acceso a sistemas. Una publicación secundaria reprodujo el mismo reclamo y capturas del hilo. No se encontró confirmación oficial, telemetría, archivo, captura de un sistema, prueba técnica independiente, alteración, exfiltración o interrupción. El registro documenta el reclamo público, no un compromiso confirmado.
Filtración limitada de nombres y fotos de unos 30.000 conductores de Yummy
La extracción no autorizada de nombres y fotos de perfil de conductores de Yummy fue detectada inicialmente como un intento la noche del 8 de marzo de 2026, y la empresa corrigió una vulnerabilidad no especificada. En una publicación del 9 de marzo, su cofundador Vicente Zavarce presentó el hecho inicialmente como un intento y negó exposición de datos financieros, documentos de identidad, teléfonos, direcciones, correos, contraseñas, viajes o transacciones. Horas después aclaró públicamente que sí se filtraron nombres y fotos de perfil de unos 30.000 conductores y que ese fue el límite de la información expuesta. Un monitor publicó por separado un reclamo atribuido a GordonFreeman; no se recuperaron el conjunto de datos, una muestra autenticada ni evidencia forense que permita confirmar al actor o el mecanismo técnico.
Presunta filtración de unos 5.000 registros de RAPIKOM atribuida a GordonFreeman
La presunta filtración de una base de datos de RAPIKOM con unos 5.000 registros de empresas fue atribuida al alias GordonFreeman en un reporte de monitoreo del 8 de marzo de 2026. Cinco notas posteriores repiten que el conjunto incluiría contraseñas, cuentas bancarias, teléfonos, correos, RIF, direcciones, geolocalización y datos de pagos o comisiones; todas dependen del mismo reclamo y su cobertura inicial y ninguna aporta validación forense independiente. La imagen del reporte reproduce sólo una vista bloqueada del reporte y una miniatura aparente del foro. No se recuperaron la publicación original completa, enlaces de muestra, archivos, cadena de custodia, confirmación de RAPIKOM, vector ni impacto operativo.
Presunta venta de 65.000 registros de Bancrecer atribuida a GordonFreeman
La presunta venta de 65.000 registros de Bancrecer Venezuela, con números de cuenta, teléfonos y nombres completos alegados, fue atribuida a GordonFreeman en un reporte de monitoreo fechado el 11 de febrero de 2026 y publicado en X el 12 de febrero. Una alerta derivada se publicó el 13 de febrero y Ringmast4r repitió el caso el 23 de febrero en GitHub y Substack; estas dos últimas fuentes pertenecen al mismo proyecto y no son corroboración independiente entre sí. No se recuperó la publicación original del foro, una muestra autenticada, cadena de custodia, confirmación de Bancrecer/SUDEBAN o validación técnica de acceso, exfiltración, actualidad, conteo o impacto.
Presunto acceso al correo web del BCV atribuido a GordonFreeman
El presunto acceso total al correo web del Banco Central de Venezuela (BCV) fue reclamado por GordonFreeman en DarkForums el 10 de febrero de 2026. El post expone un par de credenciales en texto claro y nueve capturas aparentes, entre ellas una bandeja GroupWise, formularios y registros internos, consultas de red y salidas de sistemas. Un monitor publicó ese mismo día una alerta que reproduce el reclamo y una captura del hilo. La publicación y los artefactos visibles acreditan un reclamo sustancial, pero no autentican las imágenes, demuestran que la credencial sea válida o prueban el acceso, la persistencia, la exfiltración o el impacto. La credencial no fue probada ni se reproducen sus valores o los datos personales visibles. No se encontró confirmación oficial o peritaje independiente.