Los ataques de ransomware están cambiando de forma. Un nuevo caso analizado por el Equipo Global de Respuesta a Emergencias (GERT) de Kaspersky muestra cómo los ciberdelincuentes pueden paralizar una red corporativa, bloquear dispositivos y desplegar mensajes de rescate sin necesidad de cifrar los archivos de la víctima.
Columnas al director
El incidente estuvo relacionado con una nueva táctica de la familia de ransomware Payload. En lugar de utilizar un cifrador convencional, los atacantes tomaron control de la infraestructura administrativa de la organización y utilizaron sus propias herramientas internas para bloquear equipos, cambiar fondos de pantalla y mostrar notas de rescate en toda la red.
El caso refleja una tendencia que Kaspersky ya había identificado en su informe State of Ransomware 2026: la llamada “extorsión sin cifrado”, en la que los atacantes buscan interrumpir directamente la operación de una empresa y robar información sensible para luego amenazar con publicarla en la dark web.
Francisco Carrasco M.
Este cambio modifica la lógica tradicional del ransomware. Durante años, el objetivo principal de estos ataques fue cifrar archivos para impedir que las organizaciones accedieran a su información. Ahora, los ciberdelincuentes también están recurriendo a tácticas que buscan causar presión inmediata sobre la operación, incluso sin alterar los archivos almacenados.
En el caso investigado por Kaspersky, los atacantes habrían obtenido credenciales con privilegios elevados, probablemente mediante phishing, y las utilizaron para ingresar a la red corporativa a través de accesos remotos y VPN. Al utilizar cuentas legítimas, su actividad podía confundirse con la de personal autorizado de TI.
Columnas al director
Una vez dentro, los atacantes manipularon el Active Directory, uno de los componentes centrales de una red corporativa, y crearon una política maliciosa denominada “PAYLOAD”. Esta regla permitió deshabilitar cuentas de administrador local, distribuir mensajes de rescate y modificar simultáneamente las pantallas de bloqueo y fondos de escritorio de los equipos conectados.
Además de afectar la operación, los atacantes extrajeron información corporativa y posteriormente publicaron los datos robados en la dark web como parte del intento de extorsión.
Francisco Carrasco M.
Eduardo Chavarro, Director para Américas del Equipo Global de Respuesta a Incidentes en Kaspersky, comenta que:
“El mayor riesgo para una empresa no es únicamente perder acceso a sus archivos, sino perder el control de su propia operación. Un ataque como este puede afectar simultáneamente equipos, accesos y procesos críticos, obligando a la organización a detener actividades mientras intenta recuperar el control de su infraestructura".
"Ese escenario puede traducirse rápidamente en interrupciones del servicio, pérdida de ingresos, incumplimientos con clientes y proveedores y una recuperación que puede extenderse mucho más allá del momento del ataque. Por eso, el ransomware debe entenderse cada vez menos como un problema de archivos cifrados y más como un riesgo directo para la continuidad del negocio”.
Francisco Carrasco M.
Para las empresas, el desafío es que estos ataques pueden avanzar aprovechando herramientas y accesos que forman parte de la operación cotidiana, lo que reduce las señales evidentes de una intrusión y puede dar a los atacantes más tiempo para ampliar su alcance dentro de la red.
Esto eleva el riesgo de que el incidente pase de comprometer un equipo o una cuenta a afectar procesos críticos de manera simultánea, haciendo que la capacidad de detectar comportamientos anómalos y contener rápidamente el acceso sea determinante para limitar el impacto sobre la operación.
Francisco Carrasco M.
