Las bandas de ransomware se saltan la oficina de la esquina

Durante años, la capacitación en concienciación sobre seguridad se centró en proteger al CEO, CFO y otros ejecutivos de la alta dirección de ataques dirigidos. Nuevas investigaciones sugieren que los operadores de ransomware han cambiado de objetivo. Según datos del equipo de investigación ThreatLabz de Zscaler, los atacantes apuntan cada vez más a gerentes de nivel medio de TI y negocios, con una edad promedio de las víctimas de 46 años, en lugar de concentrar sus esfuerzos en los altos ejecutivos.

Los hallazgos provienen del análisis de una sola campaña de ransomware que examinó a 351 víctimas. De ese grupo, el 62 % ocupaba cargos de gerente o superiores, específicamente roles con autoridad sobre pagos y decisiones financieras. Ese detalle importa. El ransomware solo funciona como modelo de negocio si alguien con poder para aprobar un pago siente suficiente presión para hacerlo. Los atacantes parecen haber llegado a la conclusión de que un gerente de nivel medio que controla las aprobaciones de presupuesto, los contratos con proveedores o la infraestructura de TI suele ser un camino más rápido hacia el pago que intentar llegar a un CEO que puede estar a varios niveles de distancia de las decisiones de pago diarias.

Por qué los gerentes de TI son el objetivo perfecto

El cambio hacia los gerentes de nivel medio refleja un cambio en la forma en que los atacantes planifican sus operaciones. En lugar de enviar correos electrónicos de phishing genéricos y esperar que algo funcione, los datos de ThreatLabz indican que estas campañas implican mapear la estructura de una organización de antemano. Los atacantes identifican quién ocupa cada lugar en el organigrama, quién tiene autoridad de pago y quién tiene suficiente acceso técnico para causar un daño real si se ve comprometido. Esa recopilación de inteligencia les permite construir enfoques de ingeniería social personalizados dirigidos a un tipo muy específico de empleado: alguien con suficiente antigüedad para importar, pero no tan alto como para estar rodeado de capas de asistentes y protocolos de seguridad.

Este enfoque coincide con una tendencia más amplia cubierta en un informe relacionado sobre una campaña de ransomware que apuntó a gerentes en dos tercios de los casos, que de manera similar encontró que el personal directivo, no los ejecutivos, constituía la mayor parte de las víctimas en un incidente separado. Juntos, estos informes apuntan a una estrategia deliberada en lugar de una coincidencia. Los gerentes de TI y los jefes de departamento a menudo tienen exactamente la combinación de acceso y autoridad que desean los operadores de ransomware: credenciales administrativas, conocimiento de los sistemas de respaldo y la capacidad de aprobar un pago sin necesidad de la aprobación de todo el equipo directivo.

El ángulo de la privacidad que la mayoría de las coberturas pasan por alto

Lo que hace notable este cambio desde una perspectiva de privacidad es cuánto de la focalización depende de información disponible públicamente. Construir un organigrama preciso, identificar los títulos de los puestos y averiguar quién controla los pagos generalmente requiere que los atacantes extraigan datos de sitios de redes profesionales, directorios de empresas, comunicados de prensa y, a veces, servicios de intermediarios de datos. Cuanto más detallado sea el perfil público de un empleado, más fácil le resultará a un atacante elaborar un pretexto convincente.

Aquí también es donde el ransomware se superpone con el creciente mercado de acceso corporativo robado. Parte de la misma inteligencia organizativa utilizada para planificar un mensaje de phishing dirigido puede originarse a partir de credenciales filtradas o accesos vendidos en foros criminales, una dinámica explorada en un informe sobre un hacker ruso que vendía acceso corporativo robado mientras espiaba a Ucrania. Una vez que un atacante tiene un punto de apoyo o un perfil detallado de un empleado, adaptar un señuelo de ransomware a un gerente específico se vuelve mucho más fácil que en los días de las campañas de phishing masivo.

Lo que esto significa para usted

Si trabaja en gestión de TI, operaciones o cualquier función con autoridad de pago o acceso a sistemas, esta investigación sugiere que puede ser un objetivo más atractivo de lo que suponía anteriormente. Algunos pasos prácticos pueden reducir su exposición:

  • Revise lo que su empleador, perfil de LinkedIn o biografía profesional revela sobre sus responsabilidades específicas y nivel de acceso.
  • Trate con especial precaución los mensajes inesperados que hagan referencia a su función laboral, autoridad presupuestaria o sistemas internos, incluso si parecen provenir de un contacto o proveedor conocido.
  • Confirme cualquier solicitud de pago o cambio de sistema a través de un canal verificado separado antes de actuar, sin importar lo urgente que parezca el mensaje.
  • Impulse una planificación de respaldo y respuesta a incidentes en toda la organización en lugar de asumir que los atacantes siempre irán tras la suite ejecutiva. La guía de ransomware de extorsión múltiple que ya es común en 2026 significa que las copias de seguridad por sí solas ya no son una red de seguridad garantizada.

En resumen

Los operadores de ransomware están refinando su focalización de la misma manera que lo hacen los profesionales del marketing legítimo: identificando quién tiene realmente el poder de decisión y contactándolos directamente. Los hallazgos de Zscaler ThreatLabz dejan claro que los gerentes de nivel medio de TI y negocios, no solo los ejecutivos, ahora están firmemente en la mira. Las organizaciones más pequeñas sin equipos de seguridad dedicados enfrentan un riesgo particular aquí, razón por la cual recursos como la guía de ransomware para pequeñas y medianas empresas de 2026 vale la pena revisarlos independientemente del tamaño o la ubicación de la empresa.

La conclusión no es entrar en pánico, sino reconocer que el cargo y el nivel de acceso ahora funcionan como una especie de perfil de objetivo. Reducir su huella pública, verificar solicitudes inusuales e impulsar una planificación de respuesta organizacional más sólida son pasos prácticos y alcanzables que cualquier gerente puede comenzar a tomar hoy.