El ransomware ya no se trata solo de cifrado

Durante años, el consejo estándar para combatir el ransomware se centró en una cosa: hacer copias de seguridad de tus datos para no tener que pagar nunca un rescate. Ese consejo sigue siendo importante, pero según un análisis reciente de la firma de formación en concienciación de seguridad KnowBe4, ya no captura el panorama completo de cómo operan realmente las campañas modernas de ransomware.

El ransomware ha evolucionado hacia lo que KnowBe4 describe como un modelo de disrupción empresarial, construido menos sobre malware de fuerza bruta y más sobre identidades robadas e ingeniería social. En lugar de simplemente bloquear archivos y exigir un pago a cambio de una clave de descifrado, los atacantes se centran cada vez más en infiltrarse en una organización utilizando credenciales legítimas y robadas, y luego usar ese acceso de confianza para causar el máximo daño operativo antes de que alguien lo note.

Este cambio es importante para la privacidad tanto como para la seguridad informática. Cuando los grupos de ransomware roban identidades para entrar, los datos personales vinculados a esas identidades —inicios de sesión de empleados, registros de clientes, comunicaciones internas— pasan a formar parte de la superficie de ataque. Un incidente de ransomware hoy rara vez es solo un evento de cifrado; a menudo es también un evento de exposición de datos.

Por qué las identidades robadas son el nuevo punto de entrada

La imagen tradicional de un ataque de ransomware implica un archivo adjunto de correo malicioso o un servidor vulnerable sin parches. Esos vectores no han desaparecido, pero cada vez más se complementan o se reemplazan por tácticas más simples: phishing para robar credenciales, engañar a los servicios de asistencia para que restablezcan contraseñas, o explotar configuraciones débiles de autenticación multifactor para obtener acceso como un usuario de confianza.

Una vez dentro, los atacantes no necesitan "hackear" nada en el sentido tradicional. Inician sesión como cualquier otro empleado, se mueven silenciosamente por la red e identifican los sistemas y datos cuya interrupción causará más dolor y, por tanto, más influencia para una demanda de rescate. Esto es lo que KnowBe4 quiere decir al describir el ransomware como un modelo de disrupción empresarial: el objetivo no es solo cifrar datos, sino hacer que las operaciones de una organización se detengan por completo hasta que se realice el pago.

Este enfoque se hace eco de lo que se ha observado en el ecosistema del ransomware como servicio en general. Grupos como la operación detallada en nuestra cobertura de LockBit 5.0 y la vida después de la Operación Cronos muestran cómo los afiliados del ransomware han profesionalizado sus operaciones, tratando cada ataque menos como un golpe rápido y más como una negociación empresarial calculada, con tácticas de presión y amenazas a la reputación.

Repensar las defensas contra el ransomware ante una amenaza centrada en la identidad

Si el robo de identidad y la ingeniería social son ahora la principal vía por la que el ransomware se afianza, entonces las defensas construidas únicamente en torno a la seguridad del perímetro de red y las herramientas antivirus están abordando el problema de ayer. El enfoque de KnowBe4 sugiere que las organizaciones necesitan tratar la verificación de identidad y el comportamiento humano como partes centrales de la defensa contra el ransomware, no como algo secundario.

En la práctica, esto significa procesos más sólidos de verificación de identidad para restablecimientos de contraseñas y recuperación de cuentas, autenticación multifactor resistente al phishing en lugar de códigos SMS fácilmente evadibles, y formación continua de los empleados que trate la ingeniería social como una amenaza activa y en evolución, no como un ejercicio de cumplimiento de una sola vez. Las copias de seguridad y la segmentación de la red siguen siendo esenciales, pero ahora son la segunda línea de defensa en lugar de la primera.

Los riesgos en torno a este cambio también están atrayendo la atención a nivel político. Como hemos informado, los gobiernos están evaluando una prohibición de pagos de rescate en medio de ataques impulsados por IA, una señal de que los reguladores reconocen que el modelo de defensa actual —pagar para que el problema desaparezca— no es sostenible a medida que los ataques se vuelven más rápidos y convincentes.

Qué significa esto para ti

Ya seas un responsable de decisiones de TI o simplemente alguien cuyo empleador guarda tus datos personales, esta evolución en las tácticas de ransomware tiene consecuencias reales. Si los atacantes entran robando identidades en lugar de explotar fallos de software, entonces la seguridad de tus propias credenciales de inicio de sesión, y lo cuidadosamente que tu organización verifica la identidad antes de conceder acceso, afecta directamente a lo vulnerable que es esa organización ante una interrupción costosa.

Para las personas, esto refuerza un punto conocido pero cada vez más urgente: las contraseñas reutilizadas, la autenticación multifactor débil y las respuestas casuales a solicitudes inesperadas de restablecimiento de contraseña no son solo riesgos personales; son posibles puntos de entrada para ataques que pueden extenderse y afectar los datos de miles de personas. Para las empresas, significa que la defensa contra el ransomware debe entenderse como un problema de identidad y comportamiento humano tanto como técnico.

Conclusiones prácticas

  • Activa la autenticación multifactor resistente al phishing siempre que sea posible y evita depender únicamente de códigos SMS.
  • Desconfía de las solicitudes inesperadas de restablecimiento de contraseña o verificación de cuentas, incluso las que parecen venir de servicios de asistencia internos.
  • Las organizaciones deben auditar cómo funciona la verificación de identidad para la recuperación de cuentas, ya que este es un punto de entrada cada vez más común para el ransomware.
  • Trata la formación periódica en concienciación de seguridad como una necesidad continua, no como una casilla de verificación de una sola vez, ya que las tácticas de ingeniería social evolucionan rápidamente.
  • Mantén copias de seguridad probadas y sin conexión como segunda línea de defensa, entendiendo que detener las intrusiones basadas en identidad es tan importante como recuperarse del cifrado.

La evolución del ransomware hacia un modelo de disrupción empresarial impulsado por la identidad no significa que la lucha sea imposible de ganar. Significa que la lucha se ha movido. Las defensas que antes se centraban exclusivamente en malware y copias de seguridad ahora deben tener en cuenta lo fácil que una identidad robada puede abrir la puerta a toda una red, y eso comienza por tratar la seguridad de la identidad como inseparable de la propia defensa contra el ransomware.