Imagina que es lunes por la mañana y alguien de tu equipo no puede entrar a su computadora: la pantalla de bloqueo cambió, aparece un aviso exigiendo dinero, las cuentas de administrador dejaron de funcionar. El área de soporte revisa todo y no encuentra ni un archivo cifrado ni un virus instalado. No es un error de diagnóstico: es una nueva táctica de ransomware que ya se documentó contra una empresa real este año.
Kaspersky lo confirmó tras investigar un ataque de la familia Payload: “los ciberdelincuentes están recurriendo a una modalidad de ransomware que les permite interrumpir las operaciones de una empresa y exigir dinero sin necesidad de cifrar sus archivos, mediante el uso de herramientas administrativas de las propias organizaciones atacadas”. El objetivo fue una empresa manufacturera en Medio Oriente, pero la técnica es replicable en cualquier negocio que use Active Directory, es decir, prácticamente cualquier pyme con red corporativa.
1. Así opera el ataque sin cifrado
Los atacantes obtuvieron credenciales con privilegios elevados probablemente vía phishing y entraron por los mismos accesos remotos y VPN que usa el equipo de TI, por lo que ante los sistemas de seguridad parecían personal legítimo haciendo tareas rutinarias. Desde ahí, crearon una política de grupo maliciosa que deshabilitó cuentas de administrador, cambió fondos de pantalla y distribuyó mensajes de rescate en toda la red, sin instalar malware tradicional ni tocar un solo archivo.
2. Por qué es más difícil de detectar que el ransomware clásico
El riesgo real está en que estas herramientas son legítimas y confiables para cualquier antivirus o sistema de monitoreo, así que pasan desapercibidas. Y aun con el ransomware tradicional, que sí deja rastro de cifrado, las empresas pequeñas ya llegan tarde: solo 1 de cada 3 organizaciones de menor tamaño logra detener un ataque antes de que el cifrado ocurra. Sin esa señal de alarma, la ventana para reaccionar se reduce todavía más.
3. Qué hacer esta semana, sin esperar a ser el siguiente caso
Limita las credenciales administrativas solo al personal indispensable, activa doble factor de autenticación en todas las cuentas con privilegios y accesos remotos, y audita permisos con regularidad. Complementa el antivirus con monitoreo de comportamiento que detecte usos anómalos de herramientas administrativas legítimas, no solo archivos sospechosos. Y no pierdas de vista lo básico: el 45% de las pymes sufrió al menos un incidente de ciberseguridad en los últimos 12 meses, y el phishing fue la causa en 26% de los casos, justo la puerta de entrada que usó este ataque.
En DevTelco llevamos meses reforzando justo este punto con clientes en Aguascalientes: segmentar accesos administrativos, activar MFA donde todavía no existe y dejar monitoreo activo sobre el comportamiento de la red, no solo sobre archivos. El resultado que buscamos no es “instalar más seguridad”, sino que si algo anómalo ocurre un lunes, alguien se entere en minutos y no cuando ya hay un mensaje de rescate en cada pantalla.
Si quieres revisar en 15 minutos cómo están configurados los accesos administrativos de tu empresa, responde este correo o agenda una llamada corta con nosotros.