Los ciberataques contra empresas están evolucionando hacia nuevas formas de extorsión que ya no necesitan cifrar archivos para paralizar una organización. Kaspersky identificó un incidente relacionado con el ransomware Payload, en el que los delincuentes utilizaron herramientas administrativas de la propia compañía afectada para bloquear equipos, interrumpir operaciones y exigir un rescate.
La investigación, realizada por el Equipo Global de Respuesta a Emergencias (GERT) de Kaspersky, revela una modalidad conocida como extorsión sin cifrado, que combina el control de la infraestructura tecnológica con el robo de información corporativa y amenazas de publicación en la dark web.
El riesgo para las organizaciones va más allá de la pérdida de datos. La interrupción simultánea de sistemas, accesos y procesos críticos puede afectar la continuidad operativa, generar pérdidas económicas y comprometer las relaciones con clientes y proveedores.
Eduardo Chavarro, director para Américas del Equipo Global de Respuesta a Incidentes en Kaspersky, advierte que las empresas deben comenzar a considerar el ransomware como un riesgo directo para la continuidad del negocio, no únicamente como una amenaza informática.
¿Cómo funciona el nuevo ransomware que bloquea redes sin cifrar archivos?
Tradicionalmente, los ataques de ransomware consistían en introducir software malicioso para cifrar archivos y exigir un pago a cambio de recuperar el acceso a la información.
Sin embargo, el caso investigado por Kaspersky muestra un mecanismo diferente.
Los atacantes lograron utilizar la infraestructura administrativa de una organización para restringir el acceso a sus propios equipos, modificar configuraciones y distribuir mensajes de extorsión a través de la red.
En lugar de cifrar documentos, aprovecharon herramientas legítimas que normalmente utilizan los administradores de sistemas.
Esta modalidad permite afectar múltiples dispositivos de manera simultánea y generar presión sobre la empresa sin necesidad de modificar los archivos almacenados.
La investigación está relacionada con una nueva táctica de la familia de ransomware Payload, identificada por Kaspersky en su informe State of Ransomware 2026.
Ransomware tradicional frente a extorsión sin cifrado
| Característica | Ransomware tradicional | Extorsión sin cifrado |
|---|---|---|
| Principal mecanismo | Cifrado de archivos | Bloqueo de sistemas y accesos |
| Objetivo inmediato | Impedir el acceso a la información | Interrumpir las operaciones |
| Herramientas utilizadas | Software de cifrado malicioso | También puede utilizar herramientas administrativas legítimas |
| Presión sobre la víctima | Exigir un rescate para recuperar archivos | Exigir un pago ante la interrupción operativa o la amenaza de divulgar datos |
| Riesgo empresarial | Pérdida de disponibilidad de información | Paralización de procesos y exposición de datos |
Fuente: Kaspersky, octubre de 2026.
Ambas modalidades pueden comprometer la información corporativa, pero la extorsión sin cifrado incorpora mecanismos que dificultan la detección cuando los delincuentes utilizan cuentas y herramientas autorizadas.
Payload: así lograron los atacantes tomar el control de una red corporativa
De acuerdo con la investigación de Kaspersky, los responsables del incidente habrían obtenido credenciales con privilegios elevados, posiblemente mediante una campaña de phishing.
Estas credenciales les permitieron ingresar a la infraestructura de la organización a través de accesos remotos y conexiones VPN.
Al utilizar cuentas legítimas, las actividades maliciosas podían confundirse con tareas habituales del personal de tecnologías de la información.
Una vez dentro de la red, los delincuentes manipularon Active Directory, el sistema utilizado por numerosas organizaciones para administrar usuarios, permisos y equipos.
Posteriormente, crearon una política maliciosa denominada PAYLOAD, mediante la cual lograron:
- Deshabilitar cuentas de administrador local, restringiendo el acceso a los equipos.
- Distribuir mensajes de rescate a través de la infraestructura corporativa.
- Modificar pantallas de bloqueo y fondos de escritorio de dispositivos conectados.
- Interrumpir simultáneamente el funcionamiento de distintos equipos, utilizando herramientas internas de administración.
- Extraer información corporativa, que posteriormente fue publicada en la dark web como parte del intento de extorsión.
El caso demuestra cómo una cuenta administrativa comprometida puede convertirse en un punto de acceso para afectar diferentes componentes de la infraestructura tecnológica.
¿Cuáles son las consecuencias financieras de un ataque de ransomware?
La interrupción de una red corporativa puede tener consecuencias que se extienden a distintas áreas de una empresa.
Cuando los colaboradores pierden acceso a equipos y sistemas, las actividades comerciales, administrativas y operativas pueden verse afectadas.
La gravedad del incidente depende de los servicios comprometidos y de la capacidad de la organización para recuperar el control de su infraestructura.
“El mayor riesgo para una empresa no es únicamente perder acceso a sus archivos, sino perder el control de su propia operación”, señaló Eduardo Chavarro, de Kaspersky.
El especialista explicó que un ataque de esta naturaleza puede afectar simultáneamente accesos, equipos y procesos críticos, obligando a las organizaciones a detener actividades mientras trabajan en la recuperación de sus sistemas.
Entre las posibles consecuencias empresariales se encuentran la interrupción de servicios, pérdida de ingresos, incumplimientos con clientes y proveedores y periodos prolongados de recuperación.
La publicación de información robada también puede incrementar la exposición de la organización y generar costos adicionales relacionados con la gestión del incidente.
La continuidad operativa se convierte en una prioridad financiera
Para las empresas, la ciberseguridad ya no puede limitarse a evitar infecciones de software malicioso.
La protección de cuentas administrativas, la supervisión de accesos y la preparación ante incidentes forman parte de las medidas necesarias para mantener la operación.
Una interrupción tecnológica puede afectar procesos de facturación, atención al cliente, administración de inventarios y prestación de servicios, dependiendo de los sistemas comprometidos.
Desde una perspectiva financiera, la prevención debe evaluarse junto con los costos potenciales de detener actividades y recuperar la infraestructura.
¿Por qué es más difícil detectar la extorsión sin cifrado?
Uno de los elementos que distingue al incidente investigado por Kaspersky es el aprovechamiento de herramientas que forman parte de la operación cotidiana de las empresas.
En lugar de depender exclusivamente de programas maliciosos fácilmente identificables, los atacantes utilizaron accesos y mecanismos de administración existentes.
Esto puede reducir las señales visibles de una intrusión y permitir que las actividades no autorizadas se confundan con tareas legítimas.
El uso de credenciales con permisos elevados también aumenta el riesgo, ya que una sola cuenta comprometida puede facilitar modificaciones sobre numerosos equipos.
Por ello, Kaspersky considera necesario vigilar no solo la presencia de archivos maliciosos, sino también los cambios inesperados en configuraciones, políticas y permisos.
La detección temprana de comportamientos anómalos puede contribuir a limitar la propagación de un ataque dentro de la red corporativa.
Cinco medidas para proteger a las empresas contra el ransomware
Ante la evolución de estas amenazas, Kaspersky recomienda fortalecer los controles de acceso y preparar mecanismos de respuesta que permitan contener los incidentes antes de que afecten a toda la organización.
1. Proteger las cuentas con privilegios administrativos
Las credenciales administrativas requieren controles adicionales debido a su capacidad para modificar sistemas y gestionar múltiples equipos.
La empresa recomienda limitar estos permisos a quienes realmente los necesitan, implementar autenticación multifactor y revisar periódicamente los accesos sensibles.
2. Supervisar cambios en la infraestructura tecnológica
Las modificaciones inesperadas en políticas de seguridad, configuraciones y permisos pueden ser señales de actividad maliciosa.
Contar con alertas y mecanismos de revisión permite identificar movimientos inusuales antes de que afecten a más dispositivos.
3. Preparar un plan de respuesta a incidentes
Las organizaciones deben establecer previamente quién toma decisiones durante una emergencia, qué equipos participan y cómo se aíslan los sistemas comprometidos.
Definir estos procedimientos reduce la improvisación y puede acelerar la recuperación operativa.
4. Detectar comportamientos anómalos dentro de la red
La supervisión no debe concentrarse únicamente en identificar programas maliciosos.
También es necesario analizar accesos inusuales, cambios administrativos y actividades que no correspondan con el comportamiento habitual de los usuarios.
5. Combinar protección tecnológica e inteligencia de amenazas
Kaspersky recomienda integrar herramientas de protección de equipos, detección de incidentes e información sobre amenazas emergentes.
La compañía menciona soluciones como Kaspersky Next y Kaspersky Threat Intelligence para apoyar la identificación de comportamientos sospechosos y fortalecer la capacidad de respuesta.
La ciberseguridad empresarial debe enfocarse en mantener las operaciones
El incidente relacionado con Payload muestra que la evolución del ransomware está ampliando los escenarios de riesgo para las organizaciones.
La posibilidad de bloquear equipos mediante herramientas administrativas legítimas exige revisar los mecanismos de protección de cuentas, la supervisión de redes y los procedimientos de recuperación.
Para las empresas, el impacto potencial no se limita al área de tecnología. Una interrupción puede alcanzar procesos comerciales, financieros y operativos, además de comprometer información confidencial.
La adopción de controles preventivos y planes de respuesta permite reducir la exposición, aunque ninguna herramienta elimina por completo la posibilidad de sufrir un incidente.
El principal cambio para las organizaciones consiste en incorporar la continuidad operativa a su estrategia de ciberseguridad. Proteger los archivos sigue siendo importante, pero también resulta indispensable impedir que un atacante utilice la propia infraestructura empresarial para detener las actividades.
En un entorno donde los delincuentes pueden extorsionar sin cifrar información, la capacidad de detectar accesos indebidos, contener movimientos sospechosos y recuperar sistemas adquiere una importancia directa para la estabilidad financiera de las compañías.
