Los ciberdelincuentes están recurriendo a una modalidad de ransomware que les permite interrumpir las operaciones de una empresa y exigir dinero sin necesidad de cifrar sus archivos, mediante el uso de herramientas administrativas de las propias organizaciones atacadas.
La compañía de ciberseguridad Kaspersky alertó sobre esta táctica tras investigar un ataque de la familia Payload contra una empresa manufacturera de Oriente Medio, donde los delincuentes consiguieron controlar configuraciones de la red, deshabilitar cuentas administrativas y distribuir mensajes de rescate entre las computadoras de la organización.
El caso, ocurrido en abril de 2026 y documentado por Kaspersky en septiembre, demuestra que los atacantes pueden provocar interrupciones operativas y extorsionar a sus víctimas sin utilizar el mecanismo de cifrado de archivos que tradicionalmente caracteriza al ransomware.
- Además de intervenir las computadoras, los responsables sustrajeron información corporativa que posteriormente fue publicada en la dark web, según el análisis del Equipo Global de Respuesta a Emergencias (GERT) de Kaspersky.
Cómo lograron intervenir las computadoras
La investigación estableció que los atacantes ingresaron a la red empresarial el 11 de abril utilizando una cuenta legítima cuyas credenciales habían sido comprometidas.
El acceso ocurrió mediante una conexión VPN de la organización, lo que permitió a los delincuentes operar utilizando mecanismos habituales de acceso remoto.
Kaspersky no pudo establecer cómo fueron obtenidas originalmente las credenciales. Entre las posibilidades identificadas figuran el phishing, los intentos automatizados de adivinar contraseñas y la compra de accesos previamente comprometidos.
Una vez dentro, los delincuentes obtuvieron privilegios suficientes para modificar Active Directory, el sistema de Microsoft utilizado por numerosas organizaciones para administrar usuarios, computadoras y permisos dentro de sus redes.
El 13 de abril crearon una política maliciosa denominada PAYLOAD, con la que modificaron las configuraciones de los equipos conectados al dominio empresarial.
Esta herramienta permitió distribuir notas de rescate, reemplazar los fondos de escritorio y las pantallas de bloqueo, mostrar mensajes al iniciar sesión y deshabilitar las cuentas locales de administrador.
También establecieron otra política para desactivar el firewall de Windows, una de las barreras de seguridad de los equipos afectados.
Los cambios comenzaron a provocar interrupciones operativas el 14 de abril, cuando numerosas computadoras se reiniciaron y aplicaron las configuraciones introducidas por los atacantes.
Al examinar las estaciones de trabajo afectadas, los investigadores no encontraron evidencia de cifrado de archivos ni programas maliciosos persistentes. No obstante, también identificaron una muestra de Payload dirigida a sistemas de virtualización ESXi.
El robo de datos sustituye al bloqueo tradicional
El incidente refleja una transformación en las tácticas de extorsión informática.
Tradicionalmente, el ransomware funciona mediante programas que cifran archivos y exigen dinero a cambio de proporcionar las claves necesarias para recuperarlos.
En cambio, los atacantes también están utilizando el robo de información confidencial y la interrupción de servicios como mecanismos de presión, incluso cuando los archivos permanecen sin cifrar.
Esta evolución fue identificada por Kaspersky en su informe State of Ransomware 2026, publicado en mayo, donde advirtió sobre el crecimiento de los ataques de extorsión sin cifrado.
La tendencia también aparece en investigaciones de otras empresas de ciberseguridad.
Un informe de Palo Alto Networks publicado en 2026 estableció que el cifrado estuvo presente en el 78 % de los casos de extorsión investigados durante 2025, frente al 92 % registrado en 2024.
El estudio también encontró que el robo de información estuvo presente en el 57 % de los casos de extorsión de 2025.
Estas cifras indican que, aunque el cifrado continúa siendo una técnica predominante, los delincuentes recurren con mayor frecuencia a otras formas de presión para obtener pagos de sus víctimas.
Por qué representa un riesgo para las empresas
Una de las principales dificultades para identificar esta modalidad es que los atacantes pueden utilizar herramientas legítimas de administración de sistemas, en lugar de instalar programas maliciosos convencionales.
Esto significa que determinadas actividades pueden parecer operaciones normales del personal tecnológico, especialmente cuando los delincuentes han conseguido contraseñas y permisos administrativos.
Eduardo Chavarro, director para Américas del Equipo Global de Respuesta a Incidentes de Kaspersky, advirtió que estas operaciones pueden provocar interrupciones de servicios, pérdidas económicas e incumplimientos con clientes y proveedores.
El especialista señaló que el ransomware debe considerarse cada vez más como un riesgo para la continuidad de las empresas y no únicamente como una amenaza contra sus archivos.
Otro problema es que las copias de seguridad, aunque siguen siendo indispensables, no impiden que la información robada sea divulgada o utilizada para exigir pagos.
En el incidente investigado, Kaspersky comprobó que los delincuentes consiguieron extraer archivos de servidores corporativos antes de que se manifestaran las interrupciones en las computadoras.
Cómo pueden protegerse las organizaciones
Kaspersky recomienda fortalecer especialmente la seguridad de las cuentas con permisos administrativos, debido a que su compromiso puede permitir a los delincuentes modificar simultáneamente numerosos equipos.
Entre las medidas sugeridas figuran utilizar autenticación multifactor resistente al phishing, limitar los permisos de los administradores y vigilar los cambios inesperados en las políticas y configuraciones de las redes.
También recomienda establecer alertas sobre modificaciones en Active Directory, supervisar los accesos remotos y preparar procedimientos de respuesta que permitan contener un ataque antes de que se extienda.
Los investigadores destacan que la protección no debe limitarse a identificar archivos maliciosos. También resulta necesario detectar comportamientos anormales realizados mediante herramientas legítimas.
En el caso de Payload, la recuperación de los equipos requería primero eliminar las políticas maliciosas de la infraestructura central, ya que de lo contrario las configuraciones dañinas podían volver a aplicarse.
Fuente: Planeta
