El Informe Anual sobre Ciberamenazas 2025 de ReliaQuest ha revelado un cambio alarmante en las estrategias de los ciberdelincuentes: el ransomware ha dejado de centrarse en el cifrado de datos y ahora prioriza la exfiltración y la extorsión. En el 80% de los ataques analizados, los delincuentes optaron por robar información en lugar de cifrarla, utilizando los datos sustraídos como herramienta de presión para exigir pagos millonarios.
Esta evolución del ransomware supone un desafío sin precedentes para las empresas, ya que pagar el rescate ya no garantiza la recuperación de la información ni la seguridad de los datos robados. En muchos casos, incluso tras el pago, los ciberdelincuentes venden o publican los datos en la dark web, lo que compromete aún más la reputación y la seguridad de las organizaciones.
Ataques cada vez más rápidos y automatizados
El informe destaca cómo los grupos de ransomware han perfeccionado sus técnicas, reduciendo drásticamente el tiempo que necesitan para ejecutar un ataque completo. Algunos de los datos más impactantes incluyen:
- Tiempo promedio para moverse lateralmente dentro de la red: 48 minutos.
- Tiempo para exfiltrar datos confidenciales: 4 horas.
- Tiempo para desplegar el cifrado en caso de ser utilizado: 6 horas.
- Ataques más veloces detectados: completados en 27 minutos desde la intrusión hasta la ejecución.
Además, los ciberdelincuentes han incorporado inteligencia artificial (IA) y automatización para acelerar sus operaciones y evadir las defensas empresariales. Esto ha llevado a que los métodos tradicionales de seguridad ya no sean suficientes para mitigar estas amenazas.
¿Cómo acceden los atacantes a los sistemas?
El estudio de ReliaQuest identifica los principales vectores de ataque utilizados por los grupos de ransomware en 2024:
- Cuentas de servicio olvidadas o mal protegidas: El 85% de los ataques aprovecharon credenciales antiguas con permisos elevados.
- Falta de monitoreo en la red: En la mayoría de los incidentes, las empresas afectadas no contaban con registros de actividad adecuados, lo que dificultó la detección temprana del ataque.
- Uso de herramientas legítimas para moverse sin ser detectados: Un 66% de los ataques emplearon VPNs sin autenticación multifactor (MFA), software de acceso remoto y credenciales comprometidas, lo que les permitió operar dentro de los sistemas sin levantar sospechas.
Los atacantes también siguen recurriendo a métodos probados como el phishing y el compromiso de correos electrónicos empresariales (BEC), ahora con tácticas más sofisticadas, como suplantación de identidades dentro de Microsoft Teams y evasión de mecanismos de autenticación.
Estrategias clave para prevenir ataques de ransomware
Ante este panorama, las empresas deben adoptar un enfoque proactivo y automatizado en ciberseguridad. ReliaQuest recomienda implementar las siguientes medidas:
- Incorporar IA y automatización en la seguridad:
- Las amenazas avanzadas requieren detección y respuesta en tiempo real.
- La IA permite analizar patrones de comportamiento y neutralizar ataques antes de que se propaguen.
- Reforzar el control de accesos:
- Implementar autenticación multifactor (MFA) en todos los servicios críticos.
- Aplicar certificados basados en el cliente para proteger el acceso remoto.
- Auditar y eliminar cuentas de servicio inactivas con permisos elevados.
- Actualizar los sistemas con parches de seguridad inmediatos:
- Los atacantes explotan vulnerabilidades en tiempo récord; mantener los sistemas actualizados reduce drásticamente el riesgo.
- Fortalecer la protección contra el phishing:
- Aplicar filtros avanzados de detección de correos fraudulentos.
- Capacitar a los empleados en identificación de intentos de phishing y ataques de ingeniería social.
- Eliminar los puntos ciegos en la red:
- Implementar soluciones de seguridad en todos los dispositivos y servidores.
- Habilitar registro detallado de actividad para detectar anomalías en tiempo real.
- Establecer políticas de retención de registros que permitan una rápida respuesta ante incidentes.
El pago del rescate ya no es una solución viable
El nuevo enfoque del ransomware ha dejado claro que pagar a los atacantes no protege a las empresas de las consecuencias de una filtración. Los datos exfiltrados pueden ser utilizados para futuras extorsiones, vendidos a otros ciberdelincuentes o publicados en la dark web, causando un daño irreversible a la reputación y la confianza de los clientes.
Más allá de la protección técnica, las empresas deben reforzar su estrategia de respuesta ante incidentes y actuar con transparencia ante filtraciones, comunicándose con las autoridades y tomando medidas para mitigar el impacto legal y financiero.
La evolución del ransomware ha cambiado las reglas del juego. Ahora, la mejor defensa no es reaccionar, sino anticiparse con una seguridad robusta, automatizada y basada en inteligencia artificial.
