Para más información sobre ciberseguridad en el sector financiero, revisa nuestra Guía.

Acceso inicial

La ingeniería social y las credenciales robadas son dos de las formas más comunes en que los hackers obtienen un punto de apoyo persistente en las redes de las compañías de seguros. El compromiso de correo electrónico empresarial (BEC) cuesta a las organizaciones $2,8 mil millones en 2024. En los ataques de phishing contra compañías de seguros, los hackers se hacen pasar por un ejecutivo o por la mesa de ayuda de TI para robar credenciales de inicio de sesión. Cada vez más, los atacantes usan IA para crear mensajes hiperpersonalizados que engañan a los empleados para que instalen actualizaciones falsas, por ejemplo.

Los servicios remotos expuestos (RDP/VPN) y las aplicaciones vulnerables conectadas a internet son otros puntos de entrada frecuentes.

Escalada de privilegios

Una vez dentro de las redes, los atacantes usan credenciales robadas para avanzar más profundamente. Explotan vulnerabilidades sin parchar o cuentas administrativas abandonadas para obtener derechos de administrador de dominio. Una investigación de Microsoft muestra que el 99% de los ataques de password-spray usan inicios de sesión heredados (IMAP/POP/SMTP).

Movimiento lateral

Después de robar privilegios de administrador, los hackers se mueven lateralmente por la red de la aseguradora. Explotan relaciones de confianza (por ejemplo, recursos compartidos SMB, herramientas administrativas como PsExec) para llegar a bases de datos de reclamos de alto valor, repositorios de documentos y otras oficinas (a través de agentes remotos). El reciente ataque de LockBit contra Managed Care of North America (una gran aseguradora dental) expuso 8,9 millones de registros de pacientes tras una penetración lateral en la red.

Robo de datos

El manual habitual del ransomware implica la doble extorsión. Primero, copian datos valiosos (archivos de reclamos, registros de asegurados e información de identificación personal). Debido a su naturaleza sensible, los datos del sector asegurador son particularmente lucrativos para la reventa en la dark web, lo que da a los hackers mayor poder de negociación para la extorsión.

Cifrado

En la etapa final, los atacantes despliegan el ransomware, cifrando los archivos y sistemas de las aseguradoras. Los ataques de ransomware ocurren rápidamente: desde el compromiso inicial hasta el rescate suelen pasar 17 horas. Para este punto, los atacantes generalmente han deshabilitado los procesos de copia de seguridad y eliminado los registros, obligando a las aseguradoras a pagar para desbloquear sus sistemas, a menos que hayan tomado las precauciones adecuadas.

La dependencia de la industria de seguros en sistemas y proveedores interconectados introduce varias vulnerabilidades potenciales que los atacantes pueden explotar.

Proveedores externos

Las aseguradoras suelen depender de proveedores externos para el procesamiento de reclamos, el soporte de TI y las relaciones con clientes, lo que aumenta los riesgos operativos y de seguridad. En 2025, el 30% de las violaciones de datos involucró a un tercero (un aumento respecto al ~15% anterior).

En 2025, la violación de datos de Allianz Life comenzó con ingeniería social en un CRM en la cloud, y la gran violación de datos de BCBS de Montana se originó por un hackeo al proveedor de operaciones de backend Conduent Business Services.

Incluso si una violación de un proveedor no compromete los sistemas de una aseguradora, un incidente como el de Change Healthcare puede paralizar las operaciones de reclamos de una aseguradora, afectando el flujo de caja, la experiencia de los asegurados y la reputación. Change Healthcare procesa 15 mil millones de reclamos al año, lo que muestra cómo la violación de un solo proveedor puede perturbar a innumerables aseguradoras y asegurados en cadena.

Sistemas de gestión documental

Las compañías de seguros acumulan grandes cantidades de archivos de suscripción, formularios de reclamos, escaneos de pólizas y otros documentos. Muchos se almacenan en unidades compartidas o sistemas ECM que son blancos predilectos para los atacantes que buscan explotar archivos sin cifrar, controles de acceso débiles y herramientas de monitoreo insuficientes.

Bandejas de entrada compartidas

Las aseguradoras suelen usar bandejas de entrada compartidas (por ejemplo, [email protected]) para la comunicación entre departamentos. Muchas de estas cuentas usaban inicio de sesión basado en la web (por ejemplo, Outlook Web Access) sin autenticación multifactor (MFA), un punto de entrada común para los atacantes. Si una bandeja de entrada compartida se ve comprometida, por ejemplo mediante una contraseña capturada con phishing, puede usarse para lanzar más ataques o implementar malware.

Fuerza laboral remota

Las agencias de seguros suelen tener agentes de campo y oficinas remotas que se conectan mediante VPN o RDP. Las PC de hogares y oficinas sucursales pueden no estar gestionadas con el mismo rigor que las de la sede corporativa. Un atacante puede comprometer primero las credenciales de un agente (a través de correo personal o descargas maliciosas) y usarlas para infiltrarse en la red de la aseguradora.

Protegerse contra los ataques de ransomware requiere fortalecer los protocolos de seguridad en cada etapa de la cadena de ataque para que, si los atacantes logran un punto de apoyo persistente, no puedan causar un daño real.

Acceso inicial

Limitar la capacidad de los hackers para obtener un punto de apoyo persistente es el primer paso. Refuerza las identidades en toda tu red exigiendo autenticación multifactor en todos los inicios de sesión de correo, VPN y acceso remoto. Bloquea los protocolos de autenticación antiguos (IMAP/POP) que evitan la MFA.

Realiza simulaciones de phishing con regularidad para capacitar al personal y reducir el riesgo humano. El diecisiete por ciento de las vulneraciones se origina en la ingeniería social (una baja respecto al 22%, gracias a una mayor concientización). Implementa filtrado avanzado de correo electrónico (ATP/DMARC) como una capa adicional de protección.

En el caso de los servicios expuestos, desactiva el RDP que no uses o publica el RDP solo a través de un servidor de salto seguro o una VPN. Mantén parchados y actualizados todos los sistemas perimetrales y dispositivos VPN.

Escalada de privilegios

Aplica el principio de privilegio mínimo y dale a cada usuario o cuenta solo el acceso que necesita absolutamente para hacer su trabajo. Esto limita el daño que los hackers pueden hacer si comprometen cuentas de usuario comunes. Usa servidores de salto o acceso administrativo justo a tiempo para limitar las credenciales administrativas permanentes. El uso de cuentas con privilegios debe monitorearse de forma continua: un Managed ITDR puede detectar en tiempo real otorgamientos de privilegios inusuales o inicios de sesión atípicos.

Movimiento lateral

La segmentación de redes es crucial para contener las vulneraciones y evitar que los atacantes lleguen a los sistemas centrales, como bases de datos de reclamos, servidores de pólizas y finanzas. Mantén estos sistemas en subredes separadas con reglas de firewall estrictas. Desactiva los recursos compartidos administrativos innecesarios y limita las cuentas de servicio al alcance mínimo requerido. Usa firewalls basados en endpoints o control de acceso a la red (NAC) para evitar que una máquina llegue libremente a otras. Las soluciones de Managed EDR ofrecen monitoreo basado en agentes en todos los endpoints, de modo que las actividades laterales anómalas activan una alerta y contención.

Exfiltración de datos

Usa Managed SIEM para monitorear transferencias de datos grandes o inusuales hacia conexiones externas. Implementa reglas de prevención de pérdida de datos (DLP) en los almacenes de archivos sensibles para protegerlos contra accesos indebidos y asegúrate de que estén cifrados. Además, considera el geocercado: bloquea el tráfico saliente hacia países sospechosos o agrega a una lista de bloqueo los dominios de uso compartido de archivos conocidos.

Cifrado e interrupción

En el panorama general, la mejor forma de combatir la industria del ransomware es dejar de pagar rescates. Mantener copias de seguridad inmutables y fuera de línea de todos los sistemas críticos te permite hacerlo. Guarda las copias de seguridad fuera de línea o en una bóveda aislada para que no puedan cifrarse. Ten un plan de acción para aislar de inmediato las máquinas infectadas y ejecutar tu respuesta a incidentes, y practica la restauración de los servicios clave del negocio a partir de las copias de seguridad.

Los ataques de ransomware se mueven rápido, y tu respuesta también debe hacerlo. La capacidad de tu organización para actuar de forma rápida y coordinada depende de contar con un plan de respuesta a incidentes eficaz y ya practicado. Esto es lo que debe incluir:

Aislamiento

Desconecta de inmediato los sistemas afectados de la red e Internet. Pon en cuarentena el segmento para evitar la propagación (por ejemplo, bloquea el acceso a los servidores de archivos y desactiva la conexión inalámbrica/VPN en las máquinas infectadas). Primero contén, luego investiga.

Restablecimiento de identidades

Restablece o revoca todas las credenciales potencialmente comprometidas. Esto incluye contraseñas de usuarios, cuentas privilegiadas, cuentas de servicio, claves de API y cualquier sesión o token activo.

Plan de comunicaciones

Notifica de inmediato a las partes interesadas clave (CISO, CEO, junta directiva, relaciones públicas/legal). Alerta a tu aseguradora de ciberseguros y a tus socios de respuesta a incidentes. Ten un plan de comunicación pública preaprobado para permitir una comunicación proactiva y transparente con los clientes afectados y los reguladores. En el caso de las aseguradoras, suele ser necesario notificar a reguladores como los comisionados estatales de seguros, la FTC y (si hay PHI involucrada) el HHS.

Coordinación externa

Contacta a las fuerzas del orden (FBI/CISA) y a los equipos de respuesta a incidentes proporcionados por tu aseguradora. Las pólizas cibernéticas suelen exigir una notificación inmediata. Los coaches de filtraciones de la aseguradora pueden brindar equipos forenses y legales para gestionar las negociaciones de rescate y el trabajo regulatorio.

Documentación y recuperación

Registra cada paso tomado y la evidencia recopilada; esto es vital para el cumplimiento legal y posibles demandas. Usa tus registros de EDR/MDR y los datos de eventos del SIEM para crear una línea de tiempo del ataque. A medida que recuperas sistemas, verifica su integridad antes de reincorporarlos a producción. Restaura los datos desde copias de seguridad limpias siempre que sea posible.

Huntress ofrece una plataforma unificada de seguridad gestionada diseñada para estos escenarios de amenazas, respaldada por un SOC disponible 24/7 asistido por IA. Managed EDR + Managed ITDR + Managed SIEM + Managed SAT ayuda a las compañías de seguros a detectar, contener y documentar la respuesta. Juntos, estos servicios —respaldados por el SOC de Huntress, disponible 24/7 con analistas expertos— ofrecen defensas en capas adaptadas a las operaciones de seguros.