El acceso inicial a la red de la organización puede originarse en algo pequeño que al principio parece inofensivo: un mensaje de phishing con apariencia legítima, una VPN sin parches o un escritorio remoto expuesto (RDP).

Una vez que el atacante tiene su punto de entrada, no siempre necesita ser sofisticado. Muchas veces se trata solo de un atacante que abusa de tu endpoint abierto y usa kits de ransomware as a service (RaaS) fáciles de conseguir. No buscan ser más listos que tu SIEM con TTPs avanzadas: simplemente no dejan de intentarlo hasta encontrar un patrón que no tomaste en cuenta.

Ejemplos recientes incluyen ataques que aprovecharon vulnerabilidades de VPN sin parches, credenciales comprometidas mediante campañas de phishing, y RDPs accesibles públicamente que fueron explotados. Los afiliados de LockBit, uno de los grupos de ransomware más grandes antes de su desarticulación en 2024, explotaron con frecuencia los servicios RDP para infiltrarse en redes. La operación BlackCat (ALPHV) usó ingeniería social y phishing para robar credenciales en los sectores de salud e infraestructura crítica. El grupo de ransomware Cactus apuntó sistemáticamente a organizaciones con dispositivos VPN sin parches, en particular vulnerabilidades de Fortinet y SonicWall.

Los atacantes suelen seguir un patrón predecible. Por lo general, obtienen acceso inicial a través de:

• Phishing de credenciales: los atacantes crean correos que parecen legítimos para engañar a los usuarios y hacer que entreguen su información de inicio de sesión.

• Endpoints de acceso remoto: los endpoints RDP expuestos a internet siguen siendo un problema frecuente. Las empresas siguen dejando estos servicios accesibles sin la protección adecuada.

• Vulnerabilidades de VPN: los dispositivos VPN sin parches, como las vulnerabilidades de SonicWall, son objetivos atractivos para los atacantes, quienes buscan activamente y explotan estas debilidades conocidas.

Después de comprometer un endpoint, los atacantes elevan privilegios, establecen persistencia y se mueven lateralmente para encontrar datos valiosos.

Abusan de herramientas administrativas que ya están instaladas en tu entorno. La ejecución de PowerShell con fines maliciosos puede verse idéntica a las tareas administrativas normales en tus soluciones de monitoreo, lo que dificulta la detección sin el contexto adecuado.

Las SMB a menudo no creen ser lo suficientemente grandes o conocidas como para atraer a atacantes de ransomware "reales". Pero los incidentes de ransomware en SMB van en aumento, ya que enfrentan las mismas herramientas y técnicas de ataque que las organizaciones más grandes, pero suelen tener menos recursos para defenderse de ellas.

Estudios de casos recientes de ransomware muestran que muchas organizaciones SMB carecían de suficiente visibilidad sobre la telemetría de endpoints e identidad. Los registros de seguridad pasan desapercibidos porque no hay un analista de seguridad dedicado a monitorearlos.

La visibilidad es, de manera consistente, una de las brechas más críticas. En casos como la filtración de Evolve Bank, los atacantes tuvieron casi cuatro meses de tiempo de permanencia antes de ser detectados. Los equipos de seguridad no detectaron las infecciones de ransomware a tiempo para responder de forma eficaz. También pasaron por alto indicadores críticos, como credenciales comprometidas accediendo a archivos fuera de los patrones normales, procesos desconocidos ejecutándose en los endpoints y tráfico de red saliente anómalo que indicaba exfiltración de datos o comunicación de comando y control.

Como se indica en el Informe de ciberamenazas de Huntress 2025, los operadores de ransomware recurren cada vez más a estrategias de doble extorsión, como robar datos antes de cifrarlos, lo que hace que la detección temprana de la exfiltración de datos sea aún más importante.

Hay algunas cosas que puedes hacer para evitar convertirte en el próximo caso de estudio de ransomware.

Protege los puntos de acceso en el perímetro de tu red

Las reglas de firewall y las VPN brindan una seguridad perimetral importante, pero solo llegan hasta cierto punto. Si un cibercriminal logra penetrar tus defensas, necesitas saber qué está haciendo dentro de tu entorno. Comienza con estos fundamentos antes de que ocurra un ataque:

• Implementa MFA en todas partes: Incluso si los atacantes obtienen combinaciones de nombre de usuario y contraseña, la autenticación multifactor (MFA) les impide usar esas credenciales para acceder a tus sistemas.

• Mantén un calendario riguroso de parches: Las aplicaciones, las VPN y los endpoints RDP tienen vulnerabilidades. Cuando el software está actualizado con parches de seguridad, se cierran las vulnerabilidades conocidas que los hackers de ransomware suelen aprovechar.

• Implementa segmentación de redes: La segmentación de redes evita el movimiento lateral. Si un atacante logra entrar, solo puede causar daño limitado si queda contenido en un área pequeña de tu red.

• Pon en práctica tu plan de respuesta a incidentes: Tu plan de respuesta a incidentes debe definir rutas de escalamiento, comunicación con las partes interesadas, copia de seguridad de los datos y recuperación, y acciones de contención para tomar durante ataques específicos. Los ejercicios de simulación (tabletop) aseguran que todos conozcan su rol durante un incidente y los preparan para actuar bajo presión.

Enfócate en la detección y la respuesta

Fortalece la detección y la respuesta con visibilidad integral de la red y los endpoints.

 Huntress Managed EDR brinda visibilidad de endpoints para detectar actividad de ransomware antes de que comience el cifrado, mientras que Huntress Managed SIEM correlaciona los registros de seguridad en toda tu infraestructura para detectar patrones sospechosos que los endpoints individuales podrían pasar por alto.

Contén las amenazas rápidamente

La velocidad importa. Si detectas actividad sospechosa, contenla de inmediato: las demoras significan más daño y sistemas comprometidos. La investigación de Huntress muestra que los atacantes tardan en promedio 17 horas desde el acceso inicial hasta la implementación del ransomware.

Incluye investigaciones lideradas por humanos

Las herramientas automatizadas son esenciales, pero los analistas humanos pueden identificar matices sutiles de comportamiento que tus herramientas de seguridad podrían pasar por alto. Combinar la detección automatizada con la investigación de expertos humanos reduce tu tiempo de contención y mejora la precisión de la identificación de amenazas.

Implementa análisis de comportamiento

El análisis de comportamiento te ayuda a identificar actividades que no coinciden con los patrones normales de los usuarios. Cuando herramientas administrativas como PowerShell ejecutan comandos de repente fuera de sus patrones habituales de uso, eso es una señal de alerta. Detectar estas acciones a tiempo puede detener las brechas antes de que se agraven.

Los ataques tienen éxito cuando las organizaciones carecen de visibilidad, responden lentamente o ignoran las primeras señales de alerta. Fallan cuando los defensores detectan actividad sospechosa rápidamente y la contienen antes de que comience el cifrado.