Ransomware sin cifrado: la nueva táctica que paraliza redes corporativas usando sus propias herramientas
El panorama de la ciberseguridad corporativa enfrenta una mutación crítica en las estrategias de extorsión digital. Durante años, el modelo estándar del ransomware consistía en infectar sistemas, bloquear el acceso a los archivos mediante algoritmos criptográficos robustos y exigir un pago para suministrar la clave de rescate. Sin embargo, los ciberdelincuentes están dejando atrás la necesidad de cifrar datos para centrarse en la interrupción operativa directa y la filtración de información sensible.
Un reciente análisis del Equipo Global de Respuesta a Emergencias (GERT) de Kaspersky documentó un incidente protagonizado por una variante de la familia de ransomware conocida como Payload. En este caso, los atacantes lograron paralizar por completo la red de una compañía sin alterar ni encriptar un solo archivo de almacenamiento.
¿Cómo opera la extorsión sin cifrado?
Esta táctica forma parte de una tendencia analizada en el informe State of Ransomware 2026, denominada “extorsión sin cifrado”. En lugar de invertir recursos y tiempo en procesos de cifrado que suelen activar alertas tempranas en soluciones antivirus convencionales, los atacantes priorizan la parálisis inmediata del negocio y el chantaje mediante la filtración de datos confidenciales en la dark web.
El modus operandi del ataque analizado destaca por el uso de recursos legítimos del propio entorno empresarial:
- Intrusión inicial y acceso privilegiado: Los atacantes obtuvieron credenciales con permisos elevados, presumiblemente a través de campañas de phishing, e ingresaron a la red corporativa mediante conexiones VPN y accesos remotos autorizados. Al utilizar cuentas válidas, su tráfico pasó desapercibido entre la actividad regular de los administradores de TI.
- Manipulación del Active Directory: Tras penetrar la red, los atacantes intervinieron el Active Directory de la organización y crearon una política maliciosa denominada “PAYLOAD”.
- Bloqueo operativo con herramientas internas: Esta directiva permitió inhabilitar las cuentas de administrador local en las máquinas conectadas, modificar de forma masiva los fondos de escritorio y las pantallas de bloqueo, e implementar mensajes de rescate simultáneos en toda la infraestructura.
- Exfiltración de datos: Paralelamente al bloqueo funcional de las estaciones de trabajo, los atacantes extrajeron información confidencial que posteriormente fue publicada en la dark web para presionar el pago de la extorsión.
El verdadero riesgo: pérdida de control sobre la operación
Eduardo Chavarro, Director para Américas del Equipo Global de Respuesta a Incidentes en Kaspersky, subraya que el impacto de este vector trasciende la integridad de los archivos:
“El mayor riesgo para una empresa no es únicamente perder acceso a sus archivos, sino perder el control de su propia operación. Un ataque como este puede afectar simultáneamente equipos, accesos y procesos críticos, obligando a la organización a detener actividades mientras intenta recuperar el control de su infraestructura. Ese escenario puede traducirse rápidamente en interrupciones del servicio, pérdida de ingresos, incumplimientos con clientes y proveedores y una recuperación que puede extenderse mucho más allá del momento del ataque. Por eso, el ransomware debe entenderse cada vez menos como un problema de archivos cifrados y más como un riesgo directo para la continuidad del negocio”.
Recomendaciones para mitigar tácticas de extorsión operativa
Frente a ataques que operan bajo técnicas de Living off the Land (empleo de herramientas de administración legítimas para fines maliciosos), las empresas requieren adaptar sus controles de seguridad:
- Blindar credenciales y cuentas privilegiadas: Es crucial limitar los privilegios administrativos estrictamente al personal indispensable, implementar autenticación multifactor (MFA) de forma obligatoria y auditar periódicamente la vigencia de estos permisos.
- Monitorear modificaciones estructurales en la red: Supervisar alteraciones inesperadas en políticas de grupo, permisos de usuario y configuraciones del Active Directory para identificar maniobras de persistencia antes de un despliegue masivo.
- Priorizar el análisis de comportamiento frente a la detección de firmas: La búsqueda pasiva de archivos maliciosos resulta insuficiente frente a credenciales legítimas. Se deben implementar mecanismos capaces de reconocer patrones de comportamiento anómalos dentro de la red corporativa.
- Establecer protocolos de respuesta a incidentes: Las organizaciones deben contar con planes definidos sobre aislamiento de endpoints comprometidos, cadena de mando para la toma de decisiones críticas y procedimientos de contingencia operativa.
- Integrar plataformas de detección e inteligencia de amenazas: Implementar soluciones integradas como Kaspersky Next para la protección y contención en endpoints, combinadas con servicios como Kaspersky Threat Intelligence para rastrear la evolución táctica de los grupos cibercriminales.
