Los ataques de ransomware están mutando hacia tácticas de mayor impacto. Un nuevo caso analizado por el Equipo Global de Respuesta a Emergencias (GERT) de Kaspersky muestra cómo los ciberdelincuentes paralizan una red corporativa, bloquean dispositivos y despliegan mensajes de rescate sin necesidad de cifrar los archivos de la víctima.
El incidente está vinculado a la familia de ransomware Payload. En lugar de utilizar un cifrador convencional, los atacantes tomaron el control de la infraestructura administrativa y usaron las herramientas internas de la organización para bloquear equipos, cambiar fondos de pantalla y mostrar notas de rescate.
Este caso refleja la tendencia de la “extorsión sin cifrado” que Kaspersky ya había identificado en su informe State of Ransomware 2026. En este modelo, los atacantes buscan interrumpir directamente la operación y robar información sensible para amenazar con publicarla en la dark web.
El modus operandi de Payload
Los atacantes obtuvieron credenciales con privilegios elevados, probablemente mediante phishing, y accedieron a la red mediante VPN. Al usar cuentas legítimas, su actividad se camufló como la de personal autorizado de TI.
Una vez dentro, manipularon el Active Directory y crearon una política maliciosa denominada “PAYLOAD”. Esta regla permitió deshabilitar cuentas de administrador local, distribuir mensajes de rescate y modificar las pantallas de bloqueo de los equipos conectados. Además, extrajeron información corporativa y la publicaron en la dark web.
“El mayor riesgo para una empresa no es únicamente perder acceso a sus archivos, sino perder el control de su propia operación. El ransomware debe entenderse cada vez menos como un problema de archivos cifrados y más como un riesgo directo para la continuidad del negocio”, comenta Eduardo Chavarro, director para Américas del Equipo Global de Respuesta a Incidentes en Kaspersky.
Recomendaciones para las empresas
- Proteger las cuentas con mayores privilegios. Limitar permisos, usar autenticación multifactor y revisar periódicamente los accesos sensibles.
- Vigilar cambios inesperados en la infraestructura. Las modificaciones inusuales en políticas o configuraciones son señales tempranas de ataque.
- Preparar una respuesta antes del incidente. Definir quién toma decisiones y cómo aislar sistemas comprometidos.
- Prestar atención al comportamiento en la red. Detectar patrones anómalos o accesos inusuales que no correspondan a la actividad normal.
- Combinar protección, detección e inteligencia. Soluciones que ayudan a anticiparse a las nuevas tácticas.
