Cuatro de cada cinco ataques de ransomware hoy comienzan de la misma manera: con la identidad de alguien, no con sus servidores. Esa única estadística, reportada por The Manila Times, captura un cambio que se ha estado gestando durante años pero que ahora es imposible de ignorar. Los atacantes ya no se apresuran a encontrar un servidor sin parches o una vulnerabilidad de día cero. Simplemente inician sesión, usando credenciales que fueron obtenidas mediante phishing, compradas o filtradas, y entran por la puerta principal como cualquier otro usuario autorizado.

Este cambio es importante porque modifica lo que "seguridad" realmente significa para la mayoría de las organizaciones e individuos. Un firewall no puede detener a alguien que tiene un nombre de usuario y contraseña válidos. Un servidor parcheado no ayuda si el atacante nunca necesitó explotarlo. Los ataques de ransomware basados en credenciales han trasladado el campo de batalla de la infraestructura de red a la identidad humana, y eso significa que las defensas que más importan también han cambiado.

Por qué la identidad, no la infraestructura, es el nuevo punto de entrada del ransomware

Durante años, la estrategia de defensa contra el ransomware se centró en la infraestructura: parchear los servidores, segmentar la red, monitorear intrusiones. Esas defensas aún importan, pero abordan un modelo de amenaza que está cada vez más obsoleto. Cuando cuatro de cada cinco ataques comienzan con un inicio de sesión en lugar de un allanamiento, el cálculo cambia. Los atacantes se han dado cuenta de que las credenciales son más baratas, más rápidas y mucho menos propensas a activar alarmas que un exploit técnico.

Los kits de phishing, las herramientas de relleno de credenciales y el malware infostealer han convertido la recolección de datos de inicio de sesión en un negocio de bajo esfuerzo y alta recompensa. Combine eso con la enorme cantidad de contraseñas reutilizadas en cuentas personales y laborales, y los atacantes tienen un suministro constante de credenciales válidas sin siquiera tocar un firewall. Una vez dentro, no parecen intrusos. Parecen empleados, contratistas o administradores haciendo su trabajo, lo que es exactamente lo que hace este enfoque tan efectivo.

Cómo las credenciales robadas eluden las defensas de seguridad tradicionales

Las herramientas de seguridad tradicionales están diseñadas para detectar anomalías: patrones de tráfico inusuales, intentos de acceso no autorizados, firmas de malware. Un inicio de sesión válido con credenciales reales no activa la mayoría de esas alarmas. Los sistemas de detección de endpoints, las herramientas de prevención de intrusiones e incluso los firewalls bien configurados están diseñados para detener a atacantes que intentan romper algo. Son mucho menos efectivos contra alguien que simplemente está usando una llave que le fue entregada, incluso si esa llave fue robada.

Esto es parte de por qué las operaciones de ransomware se han vuelto tan rápidas una vez que obtienen acceso. Un informe sobre la operación de ransomware Spirals mostró que los atacantes cifraban todo el entorno de una víctima en menos de 24 horas después del acceso inicial. Cuando la entrada no requiere explotar una vulnerabilidad, más tiempo y recursos van directamente a la fase de daño. El mismo patrón aparece en ataques vinculados a CVE-2026-0257, una falla de omisión de autenticación en los firewalls de Palo Alto explotada por actores del ransomware Qilin, donde la autenticación comprometida, no la piratería por fuerza bruta, dio a los atacantes el punto de apoyo que necesitaban.

La autenticación multifactor y los gestores de contraseñas como primera línea de defensa

Dado que las credenciales robadas son el principal punto de entrada, las defensas más efectivas son aquellas que hacen que una contraseña robada sea menos útil por sí sola. La autenticación multifactor (MFA) es el ejemplo más claro. Incluso si una contraseña se ve comprometida mediante phishing o una filtración de datos, la MFA requiere un segundo paso de verificación, como un código de una aplicación autenticadora o una clave de hardware, antes de conceder el acceso. No elimina el riesgo por completo, pero cierra el camino más fácil para los atacantes que dependen únicamente de las credenciales de inicio de sesión.

Los gestores de contraseñas abordan un problema relacionado: la reutilización de contraseñas. Cuando las personas usan la misma contraseña en varias cuentas, una sola credencial filtrada puede desbloquear varios sistemas no relacionados. Un gestor de contraseñas hace práctico usar una contraseña única y compleja para cada cuenta, lo que limita el radio de afectación cuando un conjunto de credenciales queda expuesto. Ninguna de estas herramientas es complicada de configurar, y ambas apuntan directamente a la debilidad exacta que explotan los ataques de ransomware basados en credenciales.

Dónde encajan las VPN en la protección del acceso de administradores y cuentas sensibles

Las VPN no son una solución milagrosa contra el robo de credenciales, pero desempeñan un papel específico y útil, particularmente para administradores y cualquier persona que acceda a sistemas sensibles de forma remota. Una VPN cifra la conexión entre un usuario y la red a la que accede, lo que ayuda a evitar que las credenciales sean interceptadas en tránsito, especialmente en redes no seguras o públicas. Para los administradores remotos que gestionan infraestructura crítica, combinar el acceso VPN con MFA añade una capa significativa de fricción para los atacantes que solo tienen una contraseña robada.

Vale la pena ser claro acerca de lo que una VPN no hace: no impedirá que alguien use credenciales válidas y robadas para iniciar sesión a través de un punto de acceso legítimo. Por eso, el uso de VPN debe tratarse como una capa entre varias, funcionando junto con MFA, higiene de contraseñas y monitoreo de acceso, en lugar de una solución independiente.

Lo que esto significa para usted

Si gestiona cuentas sensibles, ya sea para uso empresarial o personal, la conclusión es sencilla: su contraseña ya no es suficiente, y probablemente no lo ha sido desde hace tiempo. Los ataques de ransomware basados en credenciales tienen éxito porque explotan hábitos humanos predecibles, contraseñas reutilizadas, inicios de sesión desprotegidos y cuentas sin un segundo paso de verificación. Cerrar esas brechas no requiere presupuestos de nivel empresarial ni experiencia técnica. Requiere hábitos consistentes aplicados en cada cuenta que importe.

Conclusiones prácticas

  • Active la autenticación multifactor en cada cuenta que la admita, comenzando por el correo electrónico, los servicios financieros y cualquier acceso administrativo.
  • Utilice un gestor de contraseñas para generar y almacenar contraseñas únicas, eliminando el riesgo de que credenciales reutilizadas sean explotadas en múltiples cuentas.
  • Combine el uso de VPN con MFA para el acceso administrativo remoto, especialmente al gestionar sistemas a través de redes públicas o no confiables.
  • Trate la higiene de credenciales como una práctica continua, no como una configuración única, ya que se añaden regularmente nuevas cuentas y servicios.

Los grupos de ransomware han adaptado su estrategia porque funciona. La buena noticia es que las contramedidas, MFA, gestores de contraseñas y controles de acceso en capas, son bien comprendidas y están al alcance de casi cualquier persona. El cambio de forzar la entrada a iniciar sesión significa que la responsabilidad de la defensa también ha cambiado, y ahora recae tanto en la higiene de identidad individual como en los equipos de seguridad de red.