Nuevo ransomware bloquea redes corporativas sin cifrar archivos: nueva táctica de extorsión

Los ataques de ransomware están cambiando de forma. Un nuevo caso analizado por el Equipo Global de Respuesta a Emergencias de Kaspersky muestra cómo los ciberdelincuentes pueden paralizar una red corporativa, bloquear dispositivos y desplegar mensajes de rescate sin necesidad de cifrar los archivos de la víctima.

El incidente estuvo relacionado con una nueva táctica de la familia de ransomware Payload. En lugar de utilizar un cifrador convencional, los atacantes tomaron control de la infraestructura administrativa de la organización y utilizaron sus propias herramientas internas para bloquear equipos, cambiar fondos de pantalla y mostrar notas de rescate en toda la red.

El caso refleja una tendencia que Kaspersky ya había identificado en su informe State of Ransomware 2026: la llamada “extorsión sin cifrado”, en la que los atacantes buscan interrumpir directamente la operación de una empresa y robar información sensible para luego amenazar con publicarla en la dark web.

Durante años, el objetivo principal de estos ataques fue cifrar archivos para impedir que las organizaciones accedieran a su información. Ahora, los ciberdelincuentes también están recurriendo a tácticas que buscan causar presión inmediata sobre la operación, incluso sin alterar los archivos almacenados.

En el caso investigado por Kaspersky, los atacantes habrían obtenido credenciales con privilegios elevados, probablemente mediante phishing, y las utilizaron para ingresar a la red corporativa a través de accesos remotos y VPN. Al utilizar cuentas legítimas, su actividad podía confundirse con la de personal autorizado de TI. Una vez dentro, los atacantes manipularon el Active Directory, uno de los componentes centrales de una red corporativa, y crearon una política maliciosa denominada “PAYLOAD”. Esta regla permitió deshabilitar cuentas de administrador local, distribuir mensajes de rescate y modificar simultáneamente las pantallas de bloqueo y fondos de escritorio de los equipos conectados.

Además los atacantes extrajeron información corporativa y posteriormente publicaron los datos robados en la dark web como parte del intento de extorsión.

“El mayor riesgo para una empresa no es únicamente perder acceso a sus archivos, sino el control de su operación. Un ataque como este puede afectar equipos, accesos y procesos críticos, obligando a la organización a detener actividades mientras intenta recuperar el control de su infraestructura. Ese escenario puede traducirse en interrupciones del servicio, pérdida de ingresos, incumplimientos con clientes y proveedores y una recuperación que puede extenderse mucho más allá del momento del ataque”, comenta Eduardo Chavarro, Director para Américas del Equipo Global de Respuesta a Incidentes en Kaspersky.

Para evitar estas vulnerabilidades en las empresas, los expertos de Kaspersky

recomiendan:

**Proteger especialmente las cuentas y accesos con mayores privilegios. Es recomendable limitar estos permisos solo a quienes realmente los necesitan, utilizar autenticación multifactor y revisar qué usuarios conservan accesos sensibles.

**Vigilar cambios inesperados dentro de la infraestructura. Modificaciones inusuales en políticas, configuraciones o permisos pueden ser señal temprana de que un atacante está intentando ampliar su control sobre la red.

**Preparar una respuesta antes de que ocurra un incidente. Definir estos pasos con anticipación permite reaccionar con mayor rapidez, reducir la improvisación y limitar el impacto sobre la operación.

**Prestar atención al comportamiento dentro de la red. En ataques como Payload, los ciberdelincuentes pueden utilizar herramientas legítimas de administración para ocultar su actividad. Es importante detectar patrones anómalos, accesos inusuales o cambios que no correspondan con la actividad normal de la organización.

**Combinar protección, detección e inteligencia sobre amenazas. Soluciones como Kaspersky Next ayudan a las organizaciones a proteger sus endpoints, detectar comportamientos sospechosos y responder ante incidentes, mientras que Kaspersky Threat Intelligence aporta información sobre nuevas tácticas,

actores y amenazas emergentes.