La firma de ciberseguridad Quorum Cyber afirma que el manual de los delincuentes está cambiando. En lugar de cifrar archivos y exigir un rescate para desbloquearlos, los atacantes cada vez más roban los datos directamente, comprometen identidades y explotan el acceso a la nube para extorsionar a las víctimas. Esta tendencia de extorsión por robo de datos en 2026 supone un cambio significativo en la forma de operar de los grupos de ransomware, y tiene implicaciones reales para cualquiera que almacene información personal o profesional en la nube.
Por qué el cifrado ransomware está perdiendo atractivo para los atacantes
Durante años, el ataque de ransomware estándar seguía un patrón predecible: infiltrarse en una red, cifrar archivos críticos y exigir un pago a cambio de una clave de descifrado. Era disruptivo, ruidoso y a menudo obligaba a las organizaciones a paralizar por completo sus operaciones mientras intentaban recuperarse.
Según Quorum Cyber, los delincuentes están abandonando ese modelo de cara a 2026. Los ataques basados en cifrado exigen que los atacantes bloqueen sistemas de un modo que resulta inmediatamente perceptible, lo que desencadena una respuesta rápida a incidentes, la intervención de las fuerzas de seguridad y la atención pública. En cambio, el robo de datos puede ocurrir de forma silenciosa. Un grupo criminal puede copiar archivos confidenciales, recolectar credenciales de acceso u obtener acceso a cuentas en la nube sin alertar a la víctima hasta que esté listo para formular sus exigencias.
Este enfoque más sigiloso también otorga más poder de negociación a los atacantes. En lugar de apostarlo todo a un único evento de cifrado del que una organización bien preparada podría simplemente recuperarse usando copias de seguridad, los datos robados pueden ser amenazados con su exposición pública, vendidos a otros delincuentes o utilizados para profundizar el acceso a través de sistemas y cuentas conectadas.
Cómo funcionan realmente el robo de datos y la extorsión de acceso a la nube
La mecánica de este cambio se centra en la identidad y el acceso, en lugar de en el bloqueo de archivos. La advertencia de Quorum Cyber señala al compromiso de identidades y a la extorsión de acceso a la nube como las tácticas emergentes preferidas. En la práctica, esto significa que los atacantes se concentran en obtener credenciales válidas, ya sea mediante phishing, relleno de credenciales o explotación de una autenticación débil, y en usarlas para acceder discretamente al almacenamiento en la nube, a los sistemas de correo electrónico y a las aplicaciones empresariales.
Una vez dentro, el objetivo del atacante no es necesariamente interrumpir las operaciones de forma visible. Es extraer la mayor cantidad posible de datos valiosos mientras permanece sin ser detectado el mayor tiempo posible. Esto puede incluir registros personales, información financiera, propiedad intelectual o comunicaciones internas. La demanda de extorsión llega más tarde, a menudo formulada en torno a la amenaza de filtrar esos datos públicamente o venderlos, en lugar de restaurar el acceso a sistemas bloqueados.
Este enfoque es particularmente efectivo contra los entornos en la nube, donde una sola identidad comprometida a veces puede desbloquear el acceso a múltiples servicios interconectados. Si un delincuente obtiene el control de una cuenta en la nube vinculada al correo electrónico, al almacenamiento de archivos y a herramientas de colaboración, el radio de explosión potencial es significativo, y la víctima puede no darse cuenta de que algo va mal hasta que el atacante decida revelarse.
Lo que este cambio implica para tu exposición y privacidad
Tanto para los usuarios comunes como para las organizaciones, esta tendencia altera el cálculo de lo que realmente es una brecha de seguridad. El ransomware tradicional dejaba señales obvias: archivos bloqueados, notas de rescate y sistemas inaccesibles. La extorsión por robo de datos es mucho más sutil. Los sistemas siguen funcionando con normalidad mientras la información es extraída en segundo plano.
Esto significa que la ventana entre el compromiso inicial y el daño final puede ser mucho más larga, y la detección depende mucho más de la monitorización de actividades inusuales en las cuentas que de notar sistemas rotos. También implica que la seguridad de las credenciales y la buena gestión de las cuentas en la nube son más importantes que nunca, ya que ahora estos son los principales puntos de entrada que los atacantes persiguen, en lugar de explotar vulnerabilidades de software para desplegar cargas de cifrado directamente.
Las implicaciones para la privacidad van más allá de las empresas. Las personas cuyos datos residen en servicios conectados a la nube, ya sea almacenamiento personal en la nube, proveedores de correo electrónico o herramientas de colaboración en el lugar de trabajo, forman parte de la misma ecuación de exposición. Una credencial de empleado comprometida puede exponer datos de clientes que nunca fueron un objetivo directo, pero a los que simplemente se podía acceder una vez que el atacante entró.
Medidas prácticas para proteger las credenciales en la nube y detectar filtraciones
Dado que este cambio se centra en la identidad y el acceso a la nube, y no en el despliegue de malware, las defensas más efectivas son aquellas que dificultan el robo de credenciales y facilitan su monitorización.
Empieza por una buena higiene de contraseñas. Usa contraseñas únicas y robustas para cada cuenta, en particular para los servicios en la nube vinculados al correo electrónico, el almacenamiento y las aplicaciones empresariales. Un gestor de contraseñas lo hace práctico sin necesidad de memorizarlas. Activa la autenticación multifactor en todos los sitios donde se ofrezca, preferiblemente mediante una aplicación autenticadora o una llave de hardware en lugar de códigos SMS, que pueden ser interceptados o manipulados mediante ingeniería social.
Revisa regularmente la configuración de seguridad de las cuentas en la nube. Comprueba qué dispositivos y aplicaciones tienen sesiones activas o tokens de acceso, y revoca todo lo que resulte desconocido o no se esté usando. Muchos proveedores de nube ofrecen registros de actividad que muestran las ubicaciones y horarios de inicio de sesión; revisarlos periódicamente puede ayudar a detectar accesos no autorizados de manera temprana.
Considera el uso de un servicio de monitorización de brechas o de análisis de la dark web para recibir alertas si tus credenciales aparecen en alguna filtración de datos conocida. Dado que este nuevo modelo de extorsión se basa en que los datos robados circulen discretamente antes de formular las exigencias, la detección temprana de una credencial filtrada puede ser la diferencia entre un simple restablecimiento de contraseña y un compromiso grave.
En resumen
La advertencia de Quorum Cyber refleja una realidad más amplia: los ciberdelincuentes se están adaptando porque el ransomware basado en cifrado se ha vuelto más fácil de detectar y de recuperar. Las tácticas de extorsión por robo de datos en 2026 se basan en el sigilo, la paciencia y el compromiso de identidades, en lugar de la interrupción directa. Para los lectores, la conclusión no es entrar en pánico, sino tratar la higiene de las credenciales y la seguridad de las cuentas en la nube como un hábito continuo, no como una configuración puntual. Audita tus contraseñas, activa una autenticación robusta, revisa los permisos de tus cuentas en la nube y mantente atento a las señales de que tus datos ya puedan estar circulando. En un panorama de amenazas que se mueve cada vez más en silencio, los hábitos proactivos son la señal más clara que puedes controlar.
