Los ataques de ransomware bajan, pero la amenaza se afila

Un nuevo informe trimestral de la firma de seguridad Halcyon trae un mensaje contradictorio para quien sigue las tendencias del ransomware: el volumen total de ataques está disminuyendo, pero las técnicas que usan los ataques que sí tienen éxito se están volviendo notablemente más difíciles de detectar y detener. El hallazgo principal es que los grupos de ransomware están empleando cada vez más las llamadas técnicas de «EDR kill», métodos para desactivar el software de detección y respuesta en endpoints antes de ejecutar el malware que cifra los archivos.

Las herramientas EDR son el software de seguridad en el que muchas organizaciones confían para detectar comportamientos sospechosos en portátiles, servidores y estaciones de trabajo antes de que se conviertan en una brecha completa. Cuando los atacantes pueden apagar o cegar sigilosamente ese software primero, ganan tiempo para moverse por la red, robar datos y cifrar sistemas con muchas menos posibilidades de ser descubiertos durante el ataque.

De truco especializado a práctica habitual

Según los datos del segundo trimestre de 2026 de Halcyon, lo que antes se consideraba una capacidad técnica muy específica y de alto nivel reservada a los grupos más sofisticados se ha convertido ahora en un paso rutinario de la cadena de ataque. Desactivar o eludir la seguridad en el endpoint ya no es la excepción; es cada vez más la norma para los grupos que llevan a cabo operaciones modernas de ransomware.

Este cambio es relevante porque el EDR ha sido una de las principales capas defensivas en las que las organizaciones invierten para detectar intrusiones de forma temprana. Si desactivar esa capa se convierte en un paso estándar y repetible, en lugar de una técnica rara hecha a medida, baja la barrera de habilidad para que grupos menos avanzados logren los mismos resultados que los operadores de élite. También implica que los indicadores clásicos de compromiso, como el disparo de una alerta de EDR, pueden simplemente no aparecer nunca, lo que deja a los equipos de seguridad con menos aviso antes de que los datos sean robados o los sistemas bloqueados.

La ironía que destaca el informe de Halcyon es que esto ocurre justo cuando el número bruto de ataques de ransomware está descendiendo. Menos incidentes no necesariamente significan menos riesgo. Puede significar que los ataques que aún suceden son más dirigidos, cuentan con más recursos y son más difíciles de parar una vez que comienzan, porque los atacantes han adaptado sus técnicas específicamente para vencer las herramientas en las que más confían los defensores.

Por qué esto es relevante para la privacidad, no solo para la seguridad informática

Es tentador tratar las técnicas de «EDR kill» como una preocupación puramente técnica de los departamentos de TI. Pero las consecuencias recaen directamente sobre las personas comunes cuyos datos están en las organizaciones atacadas. Los ataques de ransomware de hoy rara vez se limitan al cifrado; los grupos suelen primero extraer archivos confidenciales y amenazan con filtrarlos si no se paga el rescate. Cuando los atacantes pueden desactivar las herramientas de detección y operar sin ser molestados durante más tiempo, disponen de más margen para localizar y copiar justo el tipo de datos que más importa: registros de clientes, archivos de empleados, documentos financieros e información de negocio confidencial.

El caso reciente de Genlenmen Ransomware atacando Soja de Portugal, que acabó con la filtración de 491 GB de datos corporativos sensibles, es una muestra clara de cómo estos ataques se traducen en una exposición real para individuos y empresas. Sin importar si aquel incidente concreto involucró evasión de EDR, muestra la escala de datos que puede ser arrasada una vez que los atacantes logran un punto de apoyo y pueden operar con una interferencia mínima.

Qué significa esto para ti

Para la mayoría de los lectores, esto no es una llamada al pánico, sino un recordatorio de que las suposiciones de seguridad en las que se apoyan muchas organizaciones están cambiando. Si trabajas en TI o seguridad, las conclusiones de Halcyon subrayan que el EDR por sí solo ya no puede considerarse un sistema de alerta temprana garantizado; las defensas por capas, la monitorización de red y una planificación rápida de respuesta importan más que nunca. Si eres un particular cuyos datos personales están en manos de empresas, escuelas, proveedores de salud o plataformas de servicios, esta tendencia te recuerda que una brecha en cualquiera de esas organizaciones podría exponer tu información con menos advertencias que en el pasado, ya que los atacantes están mejorando en su capacidad de operar en silencio.

Medidas prácticas

Algunas acciones concretas pueden ayudar, sin importar tu rol:

  • Si gestionas infraestructura de seguridad, no te apoyes únicamente en las alertas del EDR; combínalas con monitorización a nivel de red y ejercicios periódicos de simulación que asuman que las herramientas de detección pueden ser desactivadas.
  • Impulsa y apoya políticas de seguridad que incluyan copias de seguridad sin conexión, ya que los grupos de ransomware que logran desactivar el EDR a menudo tienen más tiempo para atacar también los sistemas de respaldo.
  • Como persona particular, utiliza contraseñas únicas y activa la autenticación multifactor en todos los lugares donde se almacenen tus datos, así, aunque una empresa de la que dependas sufra una brecha, tus otras cuentas seguirán protegidas.
  • Presta atención a las notificaciones de brechas de las empresas con las que tienes relación y actúa rápido ante cualquier recomendación de cambio de contraseña u oferta de monitorización de crédito.

Puede que el ransomware esté bajando en cifras brutas, pero la sofisticación de las técnicas de «EDR kill» implica que los ataques que sí ocurren conllevan más riesgo para los datos que tocan. Mantenerse informado sobre cómo evolucionan estas amenazas es una de las maneras más sencillas de ir siempre un paso por delante.