La ciberseguridad en América Latina enfrenta una transformación táctica en la que los ciberdelincuentes están abandonando el desarrollo de programas dañinos complejos para apoyarse en las vulnerabilidades de la infraestructura existente.
Un informe reciente revelado por expertos de Kaspersky Security Services evidencia cómo ataques recientes en Colombia y México han apelado al uso ilegítimo de herramientas administrativas oficiales –como BitLocker– combinado con la impresión física de exigencias de extorsión a través de los propios recursos corporativos de las víctimas, los atacantes cifran los sistemas con una herramienta del propio Windows e imprimen las exigencias de pago en las impresoras corporativas de las víctimas.
Por otro lado, a diferencia de años anteriores, la cantidad global de secuestros de datos ha mostrado una disminución en volumen, pero un incremento marcado en su impacto financiero y operativo. Según datos de la firma de seguridad, el 40 % de los incidentes atendidos durante el último año se debió a la encriptación de datos, mientras que la extorsión mediante la exfiltración masiva de información confidencial gana terreno.
Esta tendencia quedó en evidencia con el ciberataque registrado el pasado 17 de julio de 2026 contra el Grupo Ecopetrol. En dicho incidente, atribuido al grupo internacional The Gentlemen, la infraestructura interna logró frenar el cifrado masivo de los sistemas centrales, pero la red criminal logró acceder de forma no autorizada a entornos en la nube para descargar cerca de un Terabyte de información confidencial y afectar a 15 empresas del conglomerado.
Ante la negativa de la compañía estatal de ceder a la extorsión económica, la organización delictiva procedió a publicar progresivamente los archivos en Internet.
“En lugar de recurrir a malware sofisticado, los ciberdelincuentes están aprovechando servicios expuestos a Internet, configuraciones deficientes y herramientas administrativas legítimas que ya existen dentro de las organizaciones para cifrar la información y presionar a las víctimas para que paguen el rescate”, explicó a Impacto TIC, Eduardo Chavarro, director del Equipo Global de Respuestas a Incidentes para Américas en Kaspersky.
Índice de temas
¿Cómo operan las nuevas tácticas de intrusión en la región?
Entre mayo y junio de 2026, el equipo de Kaspersky Security Services investigó una serie de incidentes de ransomware, en organizaciones colombianas y mexicanas. La particularidad no fue el uso de programas maliciosos sofisticados, sino el abuso de recursos legítimos que ya existían dentro de las empresas.
Para bloquear la información, los atacantes activaron BitLocker, la función de cifrado integrada en Windows que las organizaciones usan para proteger sus discos. Tras cifrar las unidades, en lugar de dejar el habitual mensaje en pantalla, enviaron las notas de rescate a las impresoras corporativas de las propias víctimas.
En el caso colombiano, el acceso llegó por un servicio de acceso remoto expuesto a Internet, conectado a un servidor con un dispositivo de almacenamiento de 8 TB que guardaba información financiera. En México, un grupo autodenominado ‘XEntry Team’ entró por un servidor Microsoft SQL mal configurado, con credenciales expuestas en código público, y dejó a los equipos con una pantalla azul: ‘Hacked by XEntry Team’.
¿Por qué la infraestructura en la nube y la gestión de accesos son puntos vulnerables?
Las investigaciones forenses revelan que las pequeñas y medianas empresas se han convertido en objetivos frecuentes. Al exigir cifras moderadas –de aproximadamente 2.700 dólares en lugar de las demandas multimillonarias del ámbito corporativo–, los atacantes buscan un pago rápido frente al costo que representa paralizar la operación y reconfigurar la infraestructura.
Respecto a la seguridad en entornos virtualizados, el análisis técnico enfatiza la delgadez de la barrera entre la creación y la destrucción de servicios. “Destruir la infraestructura en la nube es muy fácil. Es fácil de destruir porque es fácil de construir. Yo simplemente en la nube digo quiero tener un servidor con estas capacidades, hago una lista de chequeo, le digo crear y se crea, y de la misma forma yo puedo ir y decir clic derecho, eliminar, y desaparece”, precisó Chavarro.
Para mitigar esta fragilidad, se requiere restringir drásticamente la gestión de privilegios. “Tengo que poner unas barreras para que solamente mis administradores los puedan eliminar. Miren que tengo que proteger muy fuerte solamente a dos, porque los otros no tienen esos privilegios”.
A esto se suma el tiempo en que las intrusiones permanecen ocultas. En ataques de larga duración, la presencia delictiva en la red alcanza un promedio de 108 días antes de hacer visible el bloqueo. Durante este lapso, el personal atacante estudia las arquitecturas, extrae datos y compromete las credenciales del directorio activo.
¿Por qué las pequeñas empresas se convirtieron en el nuevo blanco?
“Los ataques de ransomware han disminuido en número, pero han aumentado en impacto. Ya no hay una cantidad masiva como había cerca de tres, cuatro años atrás; los números de ataques de ransomware son menores. Sin embargo, el impacto de una sola organización significa miles o millones de dólares en pérdidas”, precisó Chavarro. Mientras el rescate más alto registrado a nivel global alcanza los 75 millones de dólares, estos grupos pequeños exigieron cifras ínfimas: en el caso colombiano, 2.700 dólares.
Esa rebaja es deliberada. Las cifras bajas resultan asumibles para un negocio pequeño, que suele confiar su seguridad únicamente al antivirus. “Nos estamos enfrentando a adversarios cuyo menor problema es el antivirus, porque quieren entrar a la organización, suplantan a las personas usuarias y usan contraseñas reales”, advirtió el especialista.
“Las pequeñas y medianas empresas deben empezar a entender que ya son blanco de este tipo de ataques. Si no piensas en invertir esos mil o dos mil dólares en proteger mejor tu infraestructura, vas a tener que dárselos a ellos tal vez una, dos o más veces”, agregó.
¿Qué medidas de ciberseguridad deben adoptar las organizaciones?
El incremento de la exposición digital exige abandonar la falsa sensación de seguridad perimetral para migrar hacia un modelo de monitoreo continuo e higiene administrativa. Los ciberdelincuentes obtienen accesos iniciales a través de la exfiltración de credenciales en redes personales, servicios de entrenamiento de Inteligencia Artificial sin protección o herramientas de gestión remota desatendidas.
Para fortalecer las defensas institucionales, los equipos de ciberseguridad deben implementar las siguientes directrices técnicas:
- Gestión estricta de identidades y accesos: Limitar las cuentas con privilegios de administración global e implementar la autenticación de múltiples factores para el acceso a la infraestructura en la nube y servidores locales.
- Aseguramiento del protocolo de escritorio remoto (RDP): Auditar los servicios expuestos hacia Internet y aplicar configuraciones estrictas para evitar el ingreso mediante credenciales comprometidas.
- Monitoreo continuo de registros (logs): Centralizar la supervisión del tráfico de red para identificar de forma oportuna comunicaciones anómalas o el uso no autorizado de software administrativo.
- Revisión de aplicaciones y herramientas de gestión remota (RMM): Supervisar las soluciones de soporte técnico, cuyo uso indebido está presente en más del 20 % de los ataques investigados.
El fortalecimiento de la ciberseguridad trasciende la compra de software especializado; requiere un cambio en la cultura organizacional y en la gobernanza de TI. La inversión preventiva en auditorías, concientización del personal y control de la superficie expuesta resulta indispensable para evitar que las propias herramientas de la compañía sean utilizadas en su contra.
