Los ataques de identidad superan a los exploits como principal causa del ransomware

Durante años, las bandas de ransomware fueron más conocidas por explotar software sin parches, el tipo de vulnerabilidad que mantiene a los equipos de TI luchando para aplicar actualizaciones de seguridad. Esa ya no es la forma principal en que comienzan estos ataques. Según nuevos hallazgos reportados por Dark Reading, el phishing y el correo electrónico malicioso representan ahora la mitad de todos los ataques de ransomware, superando oficialmente a las vulnerabilidades de software como el principal punto de entrada.

Aún más notable: la autenticación multifactor (MFA, por sus siglas en inglés), considerada durante mucho tiempo como una de las defensas más sólidas contra el robo de credenciales, ya estaba implementada en el 97% de los ataques basados en credenciales estudiados. En otras palabras, los atacantes no están teniendo éxito porque las organizaciones hayan omitido las prácticas básicas de higiene de seguridad. Están triunfando porque han encontrado maneras de eludirlas.

Este cambio es importante porque modifica dónde se encuentra el verdadero riesgo. Aplicar parches a los servidores y cerrar las brechas de software sigue siendo importante, pero los datos sugieren que los atacantes han redirigido su energía hacia engañar a las personas en lugar de romper el código. Un correo electrónico convincente, una página de inicio de sesión falsa o una llamada telefónica en el momento oportuno pueden hacer ahora lo que solía hacer un exploit de día cero.

Por qué la MFA por sí sola no está deteniendo a los atacantes

Durante años, la MFA se ha comercializado como una salvaguarda casi infalible contra el robo de credenciales. La idea es simple: incluso si se roba una contraseña, un atacante aún necesita un segundo factor, como un código enviado a un teléfono o a una aplicación de autenticación, para acceder. Esa lógica se mantiene frente a los ataques básicos de adivinanza de contraseñas. No se sostiene tan bien contra los kits de phishing modernos.

Los atacantes se han adaptado con técnicas diseñadas específicamente para derrotar la MFA. Los proxies de phishing en tiempo real pueden interceptar tanto una contraseña como un código de un solo uso en el momento en que la víctima los ingresa, y luego transmitir esa información al sistema de inicio de sesión real antes de que el código expire. Otros métodos apuntan directamente a los tokens de sesión, lo que permite a los atacantes secuestrar una sesión ya autenticada sin necesidad del segundo factor en absoluto. El hecho de que la MFA estuviera presente en el 97% de los ataques de ransomware basados en credenciales en este conjunto de datos demuestra que tener la MFA activada ya no es suficiente por sí solo. Cómo se implementa, y si resiste específicamente al phishing, importa tanto como su mera existencia.

Esto no significa que la MFA sea inútil. Todavía bloquea un gran volumen de ataques automatizados y de bajo esfuerzo. Pero las organizaciones e individuos que confían en ella como una única solución milagrosa están operando con un modelo de amenaza obsoleto.

Cómo se compara esto con el panorama general de las brechas

Esta tendencia específica del ransomware se sitúa junto a un cambio relacionado pero distinto documentado en otras partes de la industria. Como se cubrió en el análisis de vpn.social sobre el Informe de Investigación de Brechas de Datos de Verizon 2026, las fallas de software han superado a las contraseñas robadas o débiles como el principal punto de entrada para las brechas en general. A primera vista, eso parece contradecir los hallazgos sobre el ransomware, pero los dos conjuntos de datos están midiendo cosas diferentes. El DBIR analiza las brechas en todas las categorías e industrias, mientras que esta investigación sobre ransomware se enfoca específicamente en cómo los operadores de ransomware obtienen su punto de apoyo inicial.

En conjunto, la imagen que emerge es una de especialización. Algunos atacantes están refinando la explotación automatizada de vulnerabilidades de software a gran escala, mientras que las bandas de ransomware en particular están redoblando la ingeniería social dirigida a las personas, probablemente porque ofrece un camino más rápido y confiable hacia el tipo de acceso privilegiado necesario para desplegar ransomware a través de una red. Ambas tendencias pueden ser ciertas simultáneamente, y ambas apuntan a la misma realidad subyacente: los atacantes van a donde el camino de menor resistencia los lleve, y ese camino cambia constantemente.

Lo que esto significa para ti

Si usas el correo electrónico en absoluto, ya sea para cuentas de trabajo o personales, esta tendencia te afecta directamente. El ransomware no solo apunta a grandes corporaciones con departamentos de TI dedicados; las pequeñas empresas, los proveedores de atención médica, las escuelas y los profesionales independientes son regularmente blanco de las mismas tácticas de phishing. Un solo correo electrónico convincente abierto en el momento equivocado puede ser el punto de entrada para un ataque que cifre los archivos de toda una organización.

La conclusión práctica no es abandonar la MFA. Es reconocer que la MFA es una capa dentro de una defensa más amplia, no una línea de meta. Los métodos de autenticación resistentes al phishing, el escrutinio cuidadoso de las solicitudes de inicio de sesión inesperadas y un sano escepticismo hacia los correos electrónicos que suenan urgentes siguen siendo esenciales, incluso para las cuentas ya protegidas por MFA.

Conclusiones prácticas

  • Trata las solicitudes de MFA que no hayas iniciado como una señal de alarma, no como una notificación rutinaria, y nunca apruebes una que no hayas solicitado.
  • Cuando sea posible, utiliza métodos de autenticación resistentes al phishing, como llaves de seguridad de hardware, en lugar de depender solo de SMS o códigos de aplicaciones.
  • Desconfía de la urgencia en los correos electrónicos que te piden iniciar sesión, restablecer una contraseña o verificar una cuenta; estas son tácticas clásicas de entrada para el ransomware.
  • Mantén el software actualizado, aunque los ataques de identidad ahora lideren las causas del ransomware; los ataques basados en exploits no han desaparecido, simplemente han sido superados en frecuencia.
  • Si gestionas un equipo u organización, invierte en formación sobre concienciación de phishing junto con las defensas técnicas, ya que los datos muestran que las personas, no solo los sistemas, son ahora el blanco principal.

A medida que las tácticas de ransomware continúan desplazándose hacia la identidad y la ingeniería social, mantenerse informado sobre cómo se desarrollan realmente estos ataques es una de las defensas más efectivas disponibles. Entender dónde se encuentra el verdadero riesgo hoy es el primer paso para cerrar esa brecha antes de que los atacantes puedan explotarla.