Kaspersky alertó sobre una serie de ataques de ransomware —software malicioso que cifra los datos de una organización para exigir un rescate económico a cambio de restaurar el acceso— dirigidos contra organizaciones en Colombia y México entre mayo y junio de 2026.
Los ciberdelincuentes recurrieron a una táctica poco habitual: utilizaron las propias impresoras corporativas de las víctimas para imprimir las notas con las demandas de rescate, luego de cifrar sus sistemas con BitLocker —herramienta de cifrado de disco incluida en Windows que bloquea el acceso a la información—.
Los incidentes, investigados por expertos de Kaspersky Security Services, también evidenciaron el aprovechamiento de configuraciones incorrectas y otras debilidades en la infraestructura para comprometer las redes de las organizaciones.
El ataque en Colombia
Uno de los incidentes ocurrió en Colombia, donde los atacantes lograron acceder a la red a través de un servicio de acceso remoto expuesto a internet, vinculado a un servidor conectado a un dispositivo de almacenamiento de 8 TB que contenía información crítica para la operación del negocio.
Tras tomar el control del entorno y modificar las credenciales de los usuarios, los ciberdelincuentes utilizaron BitLocker para cifrar la unidad, en la que se almacenaba principalmente información financiera.
Una vez bloqueado el acceso a los datos, aprovecharon las impresoras corporativas de la propia organización para imprimir las notas con las exigencias de rescate.
El ataque en México
En el incidente ocurrido en México, los expertos de Kaspersky identificaron que un grupo de atacantes denominado XEntry Team obtuvo acceso inicial a la infraestructura a través de un servidor Microsoft SQL configurado de forma incorrecta, tras conseguir credenciales de acceso expuestas en código disponible públicamente.
A partir de ese punto, los ciberdelincuentes lograron expandir su presencia más allá del entorno de la base de datos, deshabilitaron mecanismos de protección del servidor web y mantuvieron acceso persistente a la infraestructura de la organización durante varios meses antes de que la intrusión fuera detectada.
El incidente se hizo evidente para los empleados cuando sus equipos mostraron una pantalla azul con el mensaje “Hacked by XEntry Team”, mientras que sus credenciales habituales dejaron de funcionar, impidiéndoles acceder a sus sistemas.
Aunque las notas de rescate analizadas no permiten confirmar de manera concluyente que ambos incidentes hayan sido perpetrados por el mismo grupo, las similitudes en el lenguaje utilizado, el método de entrega y el estilo de comunicación podrían indicar una posible relación entre ambos casos.
“Estos incidentes reflejan una tendencia cada vez más práctica en los ataques de ransomware. En lugar de recurrir a malware sofisticado, los ciberdelincuentes están aprovechando servicios expuestos a internet, configuraciones deficientes y herramientas administrativas legítimas que ya existen dentro de las organizaciones para cifrar la información y presionar a las víctimas para que paguen el rescate”, afirmó Eduardo Chavarro, director del Equipo Global de Respuestas a Incidentes para Américas en Kaspersky.
“En algunos casos, incluso utilizan métodos como la impresión de notas de rescate para ejercer presión psicológica y reforzar el sentido de urgencia de sus exigencias. Para reducir el riesgo de este tipo de intrusiones, las organizaciones deben centralizar y proteger sus registros, monitorear de cerca las alertas de seguridad e investigar de inmediato cualquier indicio de acceso no autorizado”, agregó.
Recomendaciones para prevenir este tipo de ataques
Para evitar este tipo de amenazas, los expertos de Kaspersky recomiendan:
- Implementar una solución de seguridad unificada que ofrezca protección en tiempo real, visibilidad de amenazas e investigación con capacidades de EDR —detección y respuesta en endpoints— y XDR —detección y respuesta extendida—.
- Aplicar soluciones de ciberseguridad como evaluación de compromiso, detección y respuesta gestionada y respuesta a incidentes, que ayudan a proteger contra ciberataques evasivos e investigar incidentes cuando las empresas carecen de personal especializado.
- Configurar el Protocolo de Escritorio Remoto (RDP) en estricta conformidad con las mejores prácticas de ciberseguridad para prevenir accesos no autorizados. Más del 13% de los incidentes están relacionados con violaciones de políticas y errores de configuración.
- Priorizar la implementación de políticas estrictas de control de aplicaciones y monitorear activamente el tráfico de red en busca de comunicaciones de comando y control. Más del 20% de los incidentes involucraron el uso indebido de herramientas de monitoreo y gestión remota (RMM) para la ejecución de ataques. El hecho de que los atacantes utilicen más de tres herramientas distintas para obtener el control en un solo incidente refuerza aún más la necesidad de implementar estas medidas.
