Los ataques de ransomware rara vez comienzan con el cifrado. Mucho antes de que los sistemas se bloqueen y aparezca una nota de rescate, los atacantes pueden ya tener las credenciales que necesitan para entrar en la red de una organización. Ese es el mensaje central de un artículo reciente de Security Boulevard basado en el Informe de Investigaciones de Violaciones de Datos (DBIR) de Verizon de 2026, y replantea cómo deberíamos pensar en los ataques de ransomware con credenciales robadas: el bloqueo es el acto final, no el movimiento inicial.

El extracto disponible de esa cobertura del informe es breve, por lo que esta publicación se ciñe a lo que este afirma y a lo que vpn.social ya ha reportado. La conclusión sigue siendo clara y práctica tanto para individuos como para organizaciones.

Cómo las credenciales robadas se convierten en un punto de entrada para el ransomware

Ayuda imaginar el ransomware como una cadena de suministro en lugar de un evento único. Diferentes actores manejan diferentes etapas. Un grupo obtiene los inicios de sesión, otro los compra o los usa para entrar en una red, y el ransomware en sí llega después, una vez que el acceso está asegurado.

Esto importa porque un nombre de usuario y una contraseña válidos parecen actividad normal. Un atacante que inicia sesión con credenciales reales no necesita atravesar un cortafuegos ni explotar una vulnerabilidad de software. Simplemente inicia sesión, y es posible que las herramientas de seguridad no señalen nada inusual al principio.

Para cuando comienza el cifrado, el atacante puede llevar algún tiempo dentro. La demanda de rescate es el momento en que la víctima se entera, no el momento en que comenzó el ataque.

Dónde comienza la cadena de suministro de credenciales: infostealers e inicios de sesión filtrados

Entonces, ¿de dónde vienen las credenciales? Una fuente importante es el malware infostealer, que recopila silenciosamente los inicios de sesión guardados, los datos de sesión y otros secretos de los dispositivos infectados. Los datos robados suelen agruparse en "logs" que los delincuentes pueden intercambiar o vender.

vpn.social ha cubierto este cambio en detalle. Como reportamos, los logs de infostealer han superado al phishing como causa principal de brechas, y los investigadores señalan el malware infostealer como una forma cada vez más común en que los atacantes entran en las redes corporativas. Eso encaja con la imagen de la cadena de suministro: la recolección de credenciales es un paso distinto que alimenta cualquier ataque posterior, incluido el ransomware.

Un solo portátil personal infectado puede ser suficiente. Si un empleado guarda un inicio de sesión de trabajo en un navegador en un dispositivo comprometido, esa credencial puede acabar en un mercado criminal sin que el empleador lo sepa jamás.

Qué dice el DBIR de 2026 sobre el acceso del ransomware

El DBIR de Verizon es uno de los estudios anuales más citados sobre cómo ocurren las brechas. Según la cobertura de la edición de 2026, los atacantes pueden ya tener las credenciales que necesitan antes de que un ataque de ransomware se haga visible. El enfoque sitúa las credenciales al frente de la cadena de ataque en lugar de tratar el cifrado como el punto de partida.

No pondremos cifras a esa conclusión aquí, porque el extracto de la fuente no las proporciona. Los lectores que quieran cifras exactas deberían consultar el informe mismo. La dirección, sin embargo, es coherente con la tendencia más amplia del robo de credenciales impulsando el acceso inicial.

La implicación práctica es un cambio de enfoque. Defenderse contra el ransomware no se trata solo de copias de seguridad y protección de endpoints al final de la cadena. También significa reducir el número de inicios de sesión válidos y expuestos que los delincuentes pueden recoger al principio.

Qué significa esto para ti: pasos prácticos para reducir los inicios de sesión expuestos

No puedes detener todos los infostealers, pero puedes hacer que los inicios de sesión robados sean mucho menos útiles. Considera estos pasos:

  • Usa una contraseña única para cada cuenta. Si una credencial se filtra, no debería desbloquear nada más.
  • Adopta un gestor de contraseñas. Hace que las contraseñas únicas y largas sean realistas, y evita almacenar los inicios de sesión de forma descuidada en un navegador en un dispositivo en el que no confías plenamente.
  • Activa la autenticación multifactor (MFA). Una contraseña robada por sí sola entonces no basta para iniciar sesión. Prefiere métodos basados en aplicaciones o hardware cuando estén disponibles.
  • Mantén los dispositivos limpios. Instala actualizaciones, evita las descargas de software no oficiales y elimina los programas que no reconozcas, ya que los infostealers a menudo llegan de esa manera.
  • Separa el uso laboral y el personal. Evita iniciar sesión en cuentas de trabajo en dispositivos personales o compartidos.
  • Cambia las contraseñas tras una infección sospechada o un aviso de brecha. Hazlo desde un dispositivo que sepas que está limpio, y cierra las sesiones activas.

Si gestionas un equipo, la misma lógica se amplía: exige MFA, limita quién tiene acceso privilegiado y revisa qué cuentas todavía tienen acceso que ya no necesitan.

Corta la línea de suministro

La lección central de la cobertura del DBIR de Verizon de 2026 es que los ataques de ransomware con credenciales robadas comienzan mucho antes de que alguien vea una nota de rescate. La defensa más eficaz es hacer que tus inicios de sesión sean difíciles de robar y menos valiosos si lo son.

Empieza hoy con una auditoría sencilla: enumera tus cuentas importantes, comprueba si hay contraseñas reutilizadas y activa MFA siempre que se ofrezca. Luego traslada tus inicios de sesión a un gestor de contraseñas con credenciales únicas para cada servicio. Para una mirada más profunda a cómo se recolectan las credenciales en primer lugar, lee nuestro informe sobre los logs de infostealer superando al phishing como causa principal de brechas. Un poco de higiene ahora puede romper el primer eslabón de la cadena.