Los ataques de ransomware están cambiando de forma. Un nuevo caso analizado por el Equipo Global de Respuesta a Emergencias (GERT) de Kaspersky muestra cómo los ciberdelincuentes pueden paralizar una red corporativa, bloquear dispositivos y desplegar mensajes de rescate sin necesidad de cifrar los archivos de la víctima.
El incidente estuvo relacionado con una nueva táctica de la familia de ransomware Payload. En lugar de utilizar un cifrador convencional, los atacantes tomaron control de la infraestructura administrativa de la organización y utilizaron sus propias herramientas internas para bloquear equipos, cambiar fondos de pantalla y mostrar notas de rescate en toda la red.
El caso refleja una tendencia que Kaspersky ya había identificado en su informe State of Ransomware 2026: la llamada “extorsión sin cifrado”, en la que los atacantes buscan interrumpir directamente la operación de una empresa y robar información sensible para luego amenazar con publicarla en la dark web.
Este cambio modifica la lógica tradicional del ransomware. Durante años, el objetivo principal de estos ataques fue cifrar archivos para impedir que las organizaciones accedieran a su información. Ahora, los ciberdelincuentes también están recurriendo a tácticas que buscan causar presión inmediata sobre la operación, incluso sin alterar los archivos almacenados.
En el caso investigado por Kaspersky, los atacantes habrían obtenido credenciales con privilegios elevados, probablemente mediante phishing, y las utilizaron para ingresar a la red corporativa a través de accesos remotos y VPN. Al utilizar cuentas legítimas, su actividad podía confundirse con la de personal autorizado de TI.
Una vez dentro, los atacantes manipularon el Active Directory, uno de los componentes centrales de una red corporativa, y crearon una política maliciosa denominada “PAYLOAD”. Esta regla permitió deshabilitar cuentas de administrador local, distribuir mensajes de rescate y modificar simultáneamente las pantallas de bloqueo y fondos de escritorio de los equipos conectados.
Además de afectar la operación, los atacantes extrajeron información corporativa y posteriormente publicaron los datos robados en la dark web como parte del intento de extorsión.
“El mayor riesgo para una empresa no es únicamente perder acceso a sus archivos, sino perder el control de su propia operación. Un ataque como este puede afectar simultáneamente equipos, accesos y procesos críticos, obligando a la organización a detener actividades mientras intenta recuperar el control de su infraestructura. Ese escenario puede traducirse rápidamente en interrupciones del servicio, pérdida de ingresos, incumplimientos con clientes y proveedores y una recuperación que puede extenderse mucho más allá del momento del ataque. Por eso, el ransomware debe entenderse cada vez menos como un problema de archivos cifrados y más como un riesgo directo para la continuidad del negocio”, comenta Eduardo Chavarro, Director para Américas del Equipo Global de Respuesta a Incidentes en Kaspersky.
Para las empresas, el desafío es que estos ataques pueden avanzar aprovechando herramientas y accesos que forman parte de la operación cotidiana, lo que reduce las señales evidentes de una intrusión y puede dar a los atacantes más tiempo para ampliar su alcance dentro de la red. Esto eleva el riesgo de que el incidente pase de comprometer un equipo o una cuenta a afectar procesos críticos de manera simultánea, haciendo que la capacidad de detectar comportamientos anómalos y contener rápidamente el acceso sea determinante para limitar el impacto sobre la operación.
Para evitar estas vulnerabilidades en las empresas, los expertos de Kaspersky recomiendan:
- Protege especialmente las cuentas y accesos con mayores privilegios. Las credenciales administrativas pueden dar acceso a múltiples sistemas y equipos dentro de una organización, por lo que deben contar con controles adicionales. Es recomendable limitar estos permisos solo a quienes realmente los necesitan, utilizar autenticación multifactor y revisar periódicamente qué usuarios conservan accesos sensibles.
- Vigila cambios inesperados dentro de la infraestructura. Modificaciones inusuales en políticas, configuraciones o permisos pueden ser una señal temprana de que un atacante está intentando ampliar su control sobre la red. Contar con alertas y procesos de revisión permite identificar estos cambios antes de que afecten a una mayor cantidad de equipos o servicios.
- Prepara una respuesta antes de que ocurra un incidente. Las organizaciones deben tener claro quién toma decisiones, qué equipos deben involucrarse y cómo aislar sistemas comprometidos en caso de un ataque. Definir estos pasos con anticipación permite reaccionar con mayor rapidez, reducir la improvisación y limitar el impacto sobre la operación.
- No te limites a buscar malware: presta atención al comportamiento dentro de la red. En ataques como Payload, los ciberdelincuentes pueden utilizar herramientas legítimas de administración para ocultar su actividad. Por eso, es importante detectar patrones anómalos, accesos inusuales o cambios que no correspondan con la actividad normal de la organización.
Combina protección, detección e inteligencia sobre amenazas. Soluciones como Kaspersky Next ayudan a las organizaciones a proteger sus endpoints, detectar comportamientos sospechosos y responder ante incidentes, mientras que Kaspersky Threat Intelligence aporta información sobre nuevas tácticas, actores y amenazas emergentes. Esta combinación permite no solo reaccionar ante un ataque, sino anticiparse mejor a cómo pueden evolucionar las técnicas utilizadas por los ciberdelincuentes.
