Los ataques de ransomware están evolucionando y ya no dependen necesariamente del cifrado de archivos para extorsionar a sus víctimas. Un caso investigado por el Equipo Global de Respuesta a Emergencias (GERT) de Kaspersky revela cómo los ciberdelincuentes pueden paralizar una red corporativa utilizando las propias herramientas administrativas de la organización.
El incidente está relacionado con una nueva táctica de la familia de ransomware Payload, que prescinde del cifrado tradicional y se concentra en interrumpir las operaciones, bloquear equipos y sustraer información confidencial para posteriormente utilizarla como mecanismo de extorsión.
Durante años, el ransomware se ha caracterizado por impedir el acceso a los archivos mediante cifrado, exigiendo un rescate a cambio de su recuperación. Sin embargo, los atacantes están recurriendo también a métodos que buscan comprometer directamente la continuidad operativa de las empresas, incluso cuando sus archivos permanecen intactos.
Según el análisis de Kaspersky, los responsables del ataque habrían obtenido credenciales con privilegios administrativos, posiblemente mediante phishing, para acceder a la infraestructura corporativa a través de conexiones remotas y VPN. Al utilizar cuentas legítimas, sus actividades podían confundirse con las operaciones habituales del personal de tecnología.
Una vez dentro de la red, los atacantes manipularon Active Directory, el servicio utilizado por numerosas organizaciones para administrar usuarios, dispositivos y permisos. Mediante una política maliciosa denominada PAYLOAD, consiguieron deshabilitar cuentas de administrador local, modificar fondos de escritorio y pantallas de bloqueo, así como distribuir mensajes de rescate simultáneamente entre los equipos conectados.
El ataque también incluyó la extracción de información corporativa, que posteriormente fue publicada en la dark web como parte de la extorsión. Esto demuestra que los ciberdelincuentes no necesitan cifrar los archivos para ocasionar daños considerables, especialmente cuando consiguen controlar los mecanismos centrales de administración de una red.
Esta modalidad, conocida como extorsión sin cifrado, ya había sido identificada por Kaspersky en su informe State of Ransomware 2026. Su particularidad está en combinar el robo de información con la interrupción de servicios, aumentando la presión sobre las organizaciones afectadas.
Eduardo Chavarro, director para Américas del Equipo Global de Respuesta a Incidentes de Kaspersky, advierte que el riesgo no se limita a perder acceso a los archivos, sino que incluye la posibilidad de perder el control de toda la operación. Las consecuencias pueden abarcar interrupciones de servicios, pérdidas económicas, incumplimientos contractuales y procesos de recuperación prolongados.
Uno de los aspectos más preocupantes de esta táctica es que aprovecha herramientas legítimas de administración, lo que dificulta distinguir una intrusión de las actividades normales del departamento de tecnología. Esto también permite que un atacante con privilegios elevados extienda rápidamente sus acciones a múltiples dispositivos y sistemas.
Ante este escenario, Kaspersky recomienda reforzar la protección de las cuentas administrativas, limitar los privilegios de acceso y utilizar autenticación multifactor. También considera fundamental supervisar modificaciones inesperadas en políticas de seguridad, configuraciones y permisos dentro de la infraestructura corporativa.
La compañía señala además la importancia de contar con planes de respuesta a incidentes, mecanismos para aislar sistemas comprometidos y herramientas capaces de detectar comportamientos anómalos, incluso cuando no existe un programa malicioso convencional involucrado.
El caso de Payload pone de manifiesto un cambio importante en las estrategias de extorsión digital. La protección contra ransomware ya no puede concentrarse únicamente en evitar el cifrado de archivos o mantener copias de seguridad. También debe contemplar la posibilidad de que los atacantes utilicen la propia infraestructura tecnológica de una organización para interrumpir sus operaciones y comprometer información sensible.
