Un ataque de ransomware puede interrumpir las operaciones de una empresa sin cifrar los archivos de sus equipos. Kaspersky documentó un incidente en una organización manufacturera de Medio Oriente en el que los atacantes tomaron el control de herramientas administrativas para bloquear computadoras y exigir un rescate, mientras robaban información para amenazar con publicarla. Securelist
El caso fue analizado por el Equipo Global de Respuesta ante Emergencias de Kaspersky (GERT) y estuvo asociado con la familia de ransomware PAYLOAD. El informe técnico de la compañía añade un matiz importante: no encontró un ejecutable malicioso ni cifrado de archivos en las estaciones de trabajo Windows. La única muestra de ransomware identificada en el incidente estaba dirigida a servidores Linux con ESXi. Securelist
Cómo se paralizó la red
Según la reconstrucción de Kaspersky, el 11 de abril de 2026 una cuenta de dominio comprometida se autenticó mediante una VPN SSL de FortiGate. Con acceso equivalente al de un administrador del dominio, los atacantes modificaron Active Directory y crearon una política de grupo maliciosa llamada “PAYLOAD”.
La política cambió fondos de escritorio y pantallas de bloqueo, mostró notas de rescate y deshabilitó cuentas de administrador local en equipos Windows conectados al dominio. Los atacantes prepararon además una segunda política, llamada “win Firewall Off”, para desactivar el firewall de Windows. También extrajeron información corporativa de servidores y otros sistemas; posteriormente, los datos robados fueron publicados en la dark web como parte de la extorsión. Securelist
Los efectos se hicieron visibles el 14 de abril, cuando los equipos se reiniciaron y aplicaron las políticas. La respuesta de GERT comenzó al día siguiente. En su evaluación del 16 de abril, Kaspersky confirmó que no se habían cifrado los archivos de Windows y que no había malware residente ni persistencia en esos equipos.
El intervalo entre la preparación de las políticas y su aplicación muestra cómo el uso de herramientas administrativas legítimas puede dificultar la detección: la interrupción no depende necesariamente de instalar un programa de cifrado en cada computadora.
Lo confirmado y lo que quedó como hipótesis
Kaspersky indicó en el comunicado que el acceso probablemente se obtuvo mediante phishing. Sin embargo, su análisis técnico del incidente señala que los registros de la VPN no permitieron determinar cómo se comprometió originalmente la credencial. El informe enumera como posibilidades el phishing, los ataques de fuerza bruta o reutilización de contraseñas —password spraying o credential stuffing— y la compra de credenciales previamente comprometidas. Ninguna de esas rutas quedó confirmada. Securelist
El caso forma parte de una tendencia que Kaspersky describe en su informe State of Ransomware 2026: algunos grupos recurren a la extorsión sin cifrado, combinando la interrupción de actividades con el robo y la amenaza de divulgar información. Ese contexto corresponde al panorama general del informe; no es una estadística de este incidente en particular. Securelist
Eduardo Chavarrro, director para las Américas del Equipo Global de Respuesta ante Emergencias de Kaspersky, advirtió que el impacto debe medirse también por la pérdida de control operativo: equipos y accesos afectados, interrupciones de servicios, posibles pérdidas de ingresos, problemas con clientes y proveedores y tiempos prolongados de recuperación. Para las empresas, el ransomware representa así un riesgo para la continuidad del negocio, incluso cuando los archivos no se cifran.
Recomendaciones para las empresas
Kaspersky recomienda proteger las cuentas privilegiadas, limitar sus permisos, habilitar la autenticación multifactor y revisar quién puede acceder a sistemas sensibles. También aconseja vigilar cambios inesperados en políticas, configuraciones y permisos, y preparar procedimientos de respuesta que definan responsabilidades y permitan aislar sistemas comprometidos.
La detección, agrega la compañía, no debe concentrarse únicamente en encontrar archivos maliciosos: conviene buscar accesos y cambios de comportamiento inusuales, ya que los atacantes pueden abusar de herramientas administrativas legítimas. Kaspersky también recomienda combinar protección, detección e inteligencia de amenazas; entre sus opciones comerciales menciona Kaspersky Next y Kaspersky Threat Intelligence.
En su análisis técnico del incidente, Kaspersky destaca además la auditoría de cambios en servicios de directorio, la supervisión de la integridad de SYSVOL —el recurso de Active Directory que almacena políticas de grupo— y una gestión estricta de los accesos privilegiados. Securelist
Kaspersky, fundada en 1997, afirma que sus tecnologías protegen más de mil millones de dispositivos y que atiende a millones de personas y cerca de 200 mil clientes corporativos. La empresa ofrece productos y servicios para consumidores, compañías e infraestructura crítica.
Para más noticias de tecnología, cultura geek, gadgets y entretenimiento, visita: GeekAndLife.com.mx
Descubre más contenido en nuestras redes: Instagram | YouTube | TikTok
Fuente: PR