El robo de credenciales y el phishing desplazan a las fallas de software como el principal origen del ransomware

Cuatro de cada cinco ataques de ransomware (79%) documentados a nivel global durante el último año tuvieron como punto de partida el uso de identidades comprometidas. Este vuelco en las tácticas delictivas confirma que las organizaciones criminales prefieren vulnerar las cuentas de los usuarios legítimos mediante técnicas de engaño antes que invertir recursos en descifrar fallas en los sistemas informáticos. Los datos provienen de la séptima edición del estudio sectorial State of Ransomware, elaborado por la firma de seguridad informática Sophos tras encuestar de forma agnóstica a responsables de tecnología en 17 países, incluyendo mercados latinoamericanos como Colombia, Brasil, Chile y México.

El apunte de la redacción: Para los directores de tecnología y empresarios en Colombia, este cambio metodológico exige una reestructuración urgente de los presupuestos de protección. Históricamente, la inversión local se ha concentrado en la compra de licencias de software y parches de seguridad para servidores; sin embargo, en un escenario donde el factor humano y los accesos de los empleados son el eslabón más débil, la prioridad debe trasladarse hacia la capacitación del personal y el monitoreo permanente de accesos para mitigar pérdidas millonarias en el tejido empresarial del país.

El correo malicioso y el phishing toman el liderato operativo

Por primera vez en un periodo de cuatro años, la explotación directa de vulnerabilidades de software ha dejado de ser la causa raíz predominante en los incidentes de secuestro de datos. Los vectores que ahora dominan el acceso inicial de los ciberdelincuentes a las redes corporativas son el envío de correos electrónicos maliciosos directos, con un 26% de participación, seguidos de cerca por las campañas tradicionales de phishing, que acumulan el 24% de los casos registrados.

A pesar de perder el primer puesto en volumen, las fallas de código no corregidas en los perímetros de red continúan cotizándose como objetivos de alto impacto financiero. El reporte detalla que el 59% de las exigencias económicas que iniciaron mediante el aprovechamiento de una vulnerabilidad expuesta en los sistemas de firewall alcanzaron cifras de un millón de dólares o más, superando el promedio general del 48% observado en el resto de las modalidades delictivas. El uso de herramientas de inteligencia artificial abierta por parte de los atacantes acelera la velocidad para detectar estas brechas de configuración e identidades débiles de forma más económica.

El cifrado de datos aumenta y la doble extorsión se consolida

El comportamiento del malware una vez dentro de las redes corporativas también muestra signos de mayor agresividad. El 56% de las empresas que sufrieron ataques de ransomware terminaron con sus archivos cifrados de forma exitosa, revirtiendo una tendencia a la baja que se había mantenido durante los dos años anteriores. Dentro de este grupo afectado, un 16% padeció un esquema de doble extorsión, donde los archivos no solo fueron bloqueados localmente, sino también extraídos hacia servidores externos para presionar con su filtración pública.

La tasa de efectividad para detener estas agresiones antes de que alcancen la fase de secuestro varía drásticamente según el tamaño de la compañía. Las pequeñas empresas que poseen plantillas de entre 100 y 250 colaboradores consiguieron neutralizar las intrusiones en etapas tempranas en apenas el 34% de las ocasiones. Por el contrario, las corporaciones de mayor envergadura, con estructuras de entre 3.001 y 5,000 empleados, demostraron mayor capacidad de respuesta al frenar el avance del atacante el 46% de las veces.

Limitaciones de la autenticación tradicional y costos de recuperación

Un hallazgo crítico del informe pone en entredicho la confianza ciega en las herramientas de verificación básicas. Los sistemas de autenticación multifactor (MFA) se encontraban activos de alguna forma en el 97% de las compañías donde el compromiso de contraseñas fue determinado como la raíz del incidente. Esto demuestra que las brechas de cobertura en las cuentas secundarias o las modalidades de MFA vulnerables al phishing ya no bastan por sí solas para detener el avance de un grupo criminal organizado.

A nivel económico, el estudio conducido por la consultora Vanson Bourne determinó que, si bien las demandas medianas de rescate cayeron un 65% en el último bienio y la tasa de organizaciones que acceden a pagar el rescate se ubicó en un 48%, los gastos logísticos asociados a la remediación de la crisis se han encarecido. El costo promedio global para recuperar la operatividad normal de una compañía tras un evento de ransomware se sitúa actualmente en 1.7 millones de dólares por incidente. En contraste con estas pérdidas, las inversiones en respaldos inmutables han agilizado los tiempos de respuesta: el 55% de las víctimas logró restablecer sus operaciones esenciales en un plazo menor a una semana, mientras que un 16% lo consiguió en menos de 24 horas.