Ransomware cambia de estrategia: ahora puede paralizar empresas

(Financiero News-Panamá) Los ataques de ransomware están evolucionando hacia una modalidad capaz de paralizar redes corporativas, bloquear dispositivos y extorsionar empresas sin necesidad de cifrar sus archivos, elevando el riesgo directo sobre la continuidad de los negocios.

Un nuevo caso investigado por Kaspersky muestra cómo atacantes asociados a la familia de ransomware Payload tomaron control de herramientas administrativas internas, bloquearon equipos, modificaron configuraciones y extrajeron información sensible para posteriormente amenazar con publicarla en la dark web.

La nueva estrategia cambia la lógica tradicional del ransomware. Durante años, estos ataques buscaban cifrar información y exigir dinero para recuperarla. Ahora, los delincuentes pueden causar una interrupción similar tomando control de la propia infraestructura tecnológica de la empresa.

En el incidente analizado, los atacantes habrían conseguido credenciales con privilegios elevados, posiblemente mediante phishing, y posteriormente ingresaron a la red utilizando accesos remotos y conexiones VPN legítimas. Al operar con cuentas autorizadas, sus movimientos podían confundirse con actividades normales del personal de tecnología.

Una vez dentro, los ciberdelincuentes manipularon Active Directory, uno de los sistemas centrales para administrar usuarios y equipos dentro de una organización, y crearon una política maliciosa identificada como “PAYLOAD”. Desde allí lograron modificar simultáneamente múltiples dispositivos, desactivar cuentas administrativas locales y desplegar mensajes de rescate.

El ataque también incluyó el robo de información corporativa. Los datos extraídos fueron posteriormente publicados en la dark web como mecanismo adicional de presión, combinando interrupción operativa con amenaza reputacional y exposición de información confidencial.

Para las empresas, el impacto económico puede superar ampliamente el costo tecnológico del incidente. Eduardo Chavarro, director para Américas del Equipo Global de Respuesta a Incidentes de Kaspersky, advierte que perder el control de la infraestructura puede provocar interrupciones de servicios, pérdida de ingresos, incumplimientos con clientes y proveedores y procesos prolongados de recuperación.

El riesgo aumenta porque los atacantes pueden utilizar herramientas que ya forman parte de la operación cotidiana de una organización. Esto reduce las señales tradicionales de una intrusión y permite que el incidente avance desde una cuenta comprometida hasta afectar simultáneamente numerosos equipos y procesos críticos.

Se recomienda reforzar especialmente las cuentas con privilegios administrativos, implementar autenticación multifactor, limitar accesos sensibles y vigilar cambios inesperados en configuraciones, políticas y permisos.

Las empresas también necesitan planes de respuesta previamente definidos para determinar quién toma decisiones, cómo se aíslan los sistemas comprometidos y qué procesos deben mantenerse funcionando durante una emergencia tecnológica.