La tendencia de inicios de sesión comprometidos en ransomware indica un cambio en las tácticas de los atacantes

Durante años, el consejo estándar para evitar el ransomware se centró en una cosa: parchea tu software antes de que los atacantes exploten la vulnerabilidad. Ese consejo sigue siendo importante, pero ya no cuenta toda la historia. Según una nueva investigación de Sophos, el phishing, los ataques de fuerza bruta y otras amenazas basadas en la identidad han superado las vulnerabilidades de software como la principal forma en que las bandas de ransomware obtienen su punto de apoyo inicial dentro de una red.

Esto representa un cambio significativo. Significa que incluso las organizaciones con un programa de parcheo sólido pueden seguir siendo vulnerables si la contraseña de un empleado es robada, adivinada o reutilizada de una antigua filtración de datos. Para los usuarios cotidianos de Internet, la conclusión es similar: tus credenciales, no solo tu software, están ahora directamente en la mira de los atacantes.

Por qué los ataques basados en la identidad están ganando

Las vulnerabilidades de software requieren que los atacantes encuentren una falla sin parchear, desarrollen o compren un exploit y esperen que el objetivo no se haya actualizado todavía. Eso requiere tiempo y habilidad técnica. Los inicios de sesión comprometidos, por otro lado, a menudo simplemente están en bases de datos filtradas de brechas no relacionadas, esperando ser probados contra otros servicios mediante el relleno de credenciales. Los correos de phishing siguen siendo baratos de enviar y solo necesitan engañar a una persona. Las herramientas de fuerza bruta pueden adivinar contraseñas débiles o reutilizadas silenciosamente durante todo el día.

La advertencia de Sophos refleja una tendencia más amplia en la industria de la seguridad: los atacantes están siguiendo el camino de menor resistencia, y en este momento ese camino pasa por las credenciales humanas en lugar del código del servidor. Esto es especialmente importante para los sectores que ya están bajo presión. Las instituciones financieras, por ejemplo, han visto cómo los operadores de ransomware apuntan cada vez más a ecosistemas de proveedores y fallas de software de terceros, y las intrusiones basadas en identidad agregan otra capa de riesgo además de esa exposición. Una vez que un atacante tiene credenciales de inicio de sesión válidas, a menudo puede moverse a través de la red comportándose como un usuario legítimo, lo que hace que la detección sea mucho más difícil que detectar un intento de explotación obvio.

La contraseña sigue siendo el eslabón más débil

La verdad incómoda es que muchos incidentes de ransomware no comienzan con un hackeo sofisticado. Comienzan con una contraseña que se reutilizó en múltiples cuentas, un correo electrónico de phishing que parecía lo suficientemente convincente o un inicio de sesión que no tenía un segundo factor de autenticación protegiéndolo. Los atacantes no necesitan romper el cifrado ni escribir malware personalizado si pueden simplemente iniciar sesión.

Por eso la higiene de la identidad se ha vuelto tan importante como las actualizaciones de software. Una sola contraseña comprometida, especialmente una reutilizada entre cuentas laborales y personales, puede darle a un atacante un punto de entrada que parece legítimo y que elude muchas herramientas de seguridad tradicionales diseñadas para detectar malware o intentos de explotación.

Lo que esto significa para ti

Si eres un usuario individual, este cambio en los puntos de entrada del ransomware es un recordatorio de que tus hábitos de seguridad personal tienen repercusiones más amplias. Las contraseñas débiles o reutilizadas, especialmente aquellas vinculadas a correos electrónicos laborales o cuentas en la nube, pueden convertirse en la apertura que un atacante necesita, ya sea que el objetivo seas tú personalmente o una organización a la que estés conectado.

La buena noticia es que las defensas contra los ataques basados en la identidad son bien conocidas y accesibles para cualquiera:

  • Usa un gestor de contraseñas para generar y almacenar contraseñas únicas y complejas para cada cuenta, eliminando el riesgo de reutilización de credenciales.
  • Habilita la autenticación multifactor (MFA) siempre que se ofrezca. Incluso si una contraseña es robada, la MFA puede impedir que un atacante inicie sesión.
  • Verifica la exposición a brechas utilizando servicios de monitoreo de brechas acreditados para saber cuándo se debe cambiar una contraseña de inmediato.
  • Sé escéptico ante las solicitudes de inicio de sesión o los correos electrónicos inesperados que te pidan verificar credenciales, un sello distintivo de los intentos de phishing diseñados para recolectar inicios de sesión.
  • Considera usar una VPN cuando uses redes públicas o no confiables, lo que reduce el riesgo de que tu tráfico de inicio de sesión sea interceptado, particularmente en Wi-Fi no seguras donde el robo de credenciales es más fácil.

Manteniéndote a la vanguardia de la amenaza

Los grupos de ransomware se adaptan rápidamente, y el movimiento hacia ataques basados en la identidad muestra que están apuntando a la debilidad más fácil disponible en lugar de la más impresionante técnicamente. Esa debilidad, en muchos casos, es una contraseña que no se ha cambiado en años o una cuenta sin MFA habilitada.

El cambio que describe Sophos no significa que el parcheo de software ya no importe. Importa. Pero confirma que la seguridad de las credenciales merece la misma atención. Fortalecer tus contraseñas, habilitar la MFA y mantenerse alerta ante los intentos de phishing ya no son extras opcionales; son defensas centrales contra la forma más común en que el ransomware realmente entra por la puerta hoy en día.

Tomar estos pasos ahora, antes de que una notificación de brecha llegue a tu bandeja de entrada, es la forma más efectiva de mantenerte por delante de los atacantes que apuestan cada vez más por los inicios de sesión robados en lugar de las fallas de software.