El Informe de ciberamenazas de Huntress revela el libro de jugadas del cibercrimen organizado

Columbia, MD – 17 de febrero de 2026 — El cibercrimen se ha convertido en la tercera economía más grande del mundo, con costos que se proyecta alcanzarán $12,2 billones al año para 2031. Hoy, Huntress expone las tácticas, técnicas y procedimientos (TTPs) que alimentan este mercado ilícito de billones de dólares en su Informe de ciberamenazas 2026. El análisis detallado revela el manual de juego que usan los cibercriminales organizados y motivados por el lucro, mostrando cómo convierten en armas herramientas legítimas, explotan comportamientos cotidianos y aprovechan una vasta red clandestina para atacar a personas, empresas y empleados en todo el mundo.

Para producir este informe, Huntress analizó telemetría propia de más de cuatro millones de endpoints y nueve millones de identidades en las más de 230.000 organizaciones que protege en todo el mundo. Este sólido conjunto de datos sirvió de base para descubrir información crítica sobre la evolución del ecosistema de ransomware, los cambios en las tácticas de los adversarios y estrategias prácticas para ayudar a las organizaciones a prepararse para el próximo año. Los hallazgos clave incluyen:

• Las herramientas de monitoreo y gestión remota (RMM) son la nueva arma preferida de los cibercriminales: El abuso de herramientas RMM aumentó un 277% interanual, y representó el 24% de todos los incidentes observados. A medida que los cibercriminales crearon manuales enteros en torno a estas herramientas legítimas y confiables para distribuir malware, robar credenciales y ejecutar comandos, el uso de herramientas de hackeo tradicionales se desplomó un 53%, mientras que los troyanos de acceso remoto y los scripts maliciosos cayeron un 20% y un 11,7%, respectivamente.

• Más de la mitad de toda la actividad de cargadores de malware provino de ClickFix: En 2025, los atacantes no necesitaron forzar un acceso cuando podían simplemente engañar a los usuarios para que se los dieran. Ninguna técnica logró esto de forma más efectiva que ClickFix, que impulsó el 53% de toda la actividad de cargadores de malware. Al hacerse pasar por tareas rutinarias, como resolver una prueba CAPTCHA, ClickFix y sus variantes engañaron a los usuarios para convertirlos en cómplices involuntarios, facilitando la instalación silenciosa de infostealers, ransomware y herramientas de acceso remoto.

• El tiempo hasta el rescate (TTR) aumentó a medida que los grupos de ransomware priorizaron el sigilo, el robo de datos y la extorsión: El TTR promedio aumentó de 17 a 20 horas, ya que los atacantes adoptaron tácticas de “bajo perfil” para evadir la detección y dedicaron más tiempo a identificar y extraer datos de alto valor. Con más organizaciones implementando soluciones sólidas de respaldo y recuperación, los operadores también han desplazado su enfoque del cifrado inmediato hacia el uso de datos robados para la extorsión o la venta en mercados de la dark web.

• El ransomware tiene su propio “gran cuatro”, y dominan el mercado: Cuatro actores principales —Akira, Medusa, Qilin y Ransomhub— representaron en conjunto más de la mitad (51,3%) de todos los incidentes de ransomware observados por Huntress. Impulsados por una competencia intensa, estos grupos y sus rivales adoptaron un manual común que favoreció cadenas de ataque probadas por sobre exploits novedosos, lo que provocó una marcada disminución en la variedad de TTPs observadas entre los grupos de ransomware.

• Comprar acceso es más barato y fácil que nunca: Un próspero ecosistema de corredores de acceso inicial y mercados de la dark web ha convertido las credenciales robadas en un producto barato y de alto volumen, impulsando un aumento en los intentos sospechosos de inicio de sesión desde ubicaciones sospechosas, infraestructura maliciosa y VPN no autorizadas. Estas violaciones de políticas de acceso y límites de confianza representaron el 37,2% de todos los ataques basados en identidad.

• La manipulación de buzones de correo y el abuso de OAuth sentaron las bases para los ataques de compromiso de correo empresarial (BEC): La manipulación de buzones de correo y el abuso de OAuth, precursores críticos del BEC, se consolidaron como las principales amenazas de identidad, representando el 19% y el 10,1% de los ataques basados en identidad, respectivamente. Al usar tácticas como ocultar correos con reglas automatizadas o aprovechar aplicaciones maliciosas para obtener acceso persistente, los atacantes se mezclaron con las operaciones diarias, realizaron reconocimiento encubierto y suplantaron usuarios, sentando las bases para esquemas de BEC de alto impacto.           

“Los cibercriminales han evolucionado hasta convertirse en operadores altamente eficientes, que manejan sus campañas como negocios bien engrasados”, dijo Greg Linares, Principal Threat Intelligence Analyst en Huntress. “Se han alejado de los exploits llamativos y, en cambio, están apostando por ataques simples, efectivos y escalables que les permiten atacar a innumerables organizaciones con altas tasas de éxito. Al abusar de herramientas confiables, comprometer identidades, explotar el comportamiento de los usuarios y aprovechar credenciales robadas, han perfeccionado sus operaciones para lograr el mínimo esfuerzo y el máximo impacto. Esta tendencia solo va a acelerarse a medida que la IA permita que atacantes de todos los niveles de habilidad automaticen y refinen las tácticas tradicionales. Para mantenerse a la vanguardia, las organizaciones necesitan una estrategia de defensa que priorice la protección de identidades, monitoree el abuso de procesos confiables y empodere a cada empleado para reconocer y frenar las tácticas de los atacantes”.

Para obtener más información, consigue tu copia del Informe de ciberamenazas 2026 de Huntress o lee el TL;DR con los puntos destacados.

Recursos adicionales:

• Descubre quién está detrás del cibercrimen moderno, cómo operan y qué puedes hacer para protegerte aquí.

• Únete a Tradecraft Tuesday el 10 de marzo de 2026 para escuchar a nuestros expertos analizar los hallazgos clave del informe de este año.

• Sintoniza _delcassified el 18 de marzo de 2026, donde John Hammond y el invitado especial Jim Browning expondrán el negocio del cibercrimen moderno.

• Lee el blog de Huntress para mantenerte al tanto de las últimas tácticas y consejos para proteger tu negocio.