Informe de Kaspersky revela ataques que interrumpen operaciones usando herramientas legítimas de las víctimas
Un informe de Kaspersky documentó un ataque de ransomware que interrumpió las operaciones de una empresa manufacturera en Oriente Medio sin cifrar sus archivos, marcando una tendencia global hacia la extorsión sin cifrado. El caso, ocurrido en abril de 2026, evidencia cómo los ciberdelincuentes adaptan sus tácticas para presionar a las víctimas.
Los ciberdelincuentes están recurriendo a una modalidad de ransomware que les permite interrumpir las operaciones de una empresa y exigir dinero sin necesidad de cifrar sus archivos, mediante el uso de herramientas administrativas de las propias organizaciones atacadas. La compañía de ciberseguridad Kaspersky alertó sobre esta táctica tras investigar un ataque de la familia Payload contra una empresa manufacturera de Oriente Medio, donde los delincuentes consiguieron controlar configuraciones de la red, deshabilitar cuentas administrativas y distribuir mensajes de rescate entre las computadoras de la organización.
El caso, ocurrido en abril de 2026 y documentado por Kaspersky en septiembre, demuestra que los atacantes pueden provocar interrupciones operativas y extorsionar a sus víctimas sin utilizar el mecanismo de cifrado de archivos que tradicionalmente caracteriza al ransomware. La investigación estableció que los atacantes ingresaron a la red empresarial el 11 de abril utilizando una cuenta legítima cuyas credenciales habían sido comprometidas. El acceso ocurrió mediante una conexión VPN de la organización, lo que permitió a los delincuentes operar utilizando mecanismos habituales de acceso remoto.
Un informe de Kaspersky documentó un ataque de ransomware que interrumpió las…
Kaspersky no pudo establecer cómo fueron obtenidas originalmente las credenciales. Entre las posibilidades identificadas figuran el phishing, los intentos automatizados de adivinar contraseñas y la compra de accesos previamente comprometidos. Una vez dentro, los delincuentes obtuvieron privilegios suficientes para modificar Active Directory, el sistema de Microsoft utilizado por numerosas organizaciones para administrar usuarios, computadoras y permisos dentro de sus redes. El 13 de abril crearon una política maliciosa denominada PAYLOAD, con la que modificaron las configuraciones de los equipos conectados al dominio empresarial.
Esta herramienta permitió distribuir notas de rescate, reemplazar los fondos de escritorio y las pantallas de bloqueo, mostrar mensajes al iniciar sesión y deshabilitar las cuentas locales de administrador. También establecieron otra política para desactivar el firewall de Windows, una de las barreras de seguridad de los equipos afectados. Los cambios comenzaron a provocar interrupciones operativas el 14 de abril, cuando numerosas computadoras se reiniciaron y aplicaron las configuraciones introducidas por los atacantes. Al examinar las estaciones de trabajo afectadas, los investigadores no encontraron evidencia de cifrado de archivos ni programas maliciosos persistentes. No obstante, también identificaron una muestra de Payload dirigida a sistemas de virtualización ESXi.
El incidente refleja una transformación en las tácticas de extorsión informática. Tradicionalmente, el ransomware funciona mediante programas que cifran archivos y exigen dinero a cambio de proporcionar las claves necesarias para recuperarlos. En cambio, los atacantes también están utilizando el robo de información confidencial y la interrupción de servicios como mecanismos de presión, incluso cuando los archivos permanecen sin cifrar. Esta evolución fue identificada por Kaspersky en su informe State of Ransomware 2026, publicado en mayo, donde advirtió sobre el crecimiento de los ataques de extorsión sin cifrado.
