Por:
Tonathiu Gonzalez
Analista de Seguridad TI y Estratega de Ciberdefensa en Network Security Alliance Hace apenas unos días, nuestro Gerente de Ciberseguridad, Diego Romero, impartió un webinar que —confieso— dejó a más de un especialista con la piel de gallina. Y no era para menos. Diego desmontó una a una las creencias que muchos equipos de TI todavía abrazan como verdades absolutas.
Si tu todavía estás diseñando tu estrategia de defensa pensando en cómo evitar que te cifren los archivos, lamento comunicarte que ya vas dos pasos por detrás del adversario. Ese fue, precisamente, el punto de partida de la ponencia.
Durante años, el ransomware fue un problema de «malware». Un ejecutable malicioso que entraba, cifraba y pedía un rescate. Era violento, ruidoso y, en cierto modo, fácil de detectar. Pero como bien lo planteó Diego, 2026 nos ha traído una mutación silenciosa y mucho más peligrosa: el ransomware ya no es un virus; es una operación de inteligencia criminal centrada en la identidad y los datos.
El mensaje que compartió nuestro experto fue contundente, y si tu lideras el área de TI, Seguridad o el negocio en tu organización, lo que reveló en esa sesión debe encenderte todas las alarmas.
El fin de la era del "Malware Masivo"
Hace unos años, el atacante lanzaba una red amplia y esperaba que alguien picara el anzuelo. Hoy, el modelo es diametralmente opuesto, y Diego lo graficó perfectamente en tres puntos clave:
Acceso comprado, no forzado: Los actores de amenazas ya no pierden tiempo desarrollando exploits complejos desde cero. Simplemente compran credenciales filtradas en la dark web o pagan por acceso inicial a brokers. Entrar es ahora un trámite administrativo para ellos.
La «doble extorsión» se quedó corta: Antes, el objetivo era el cifrado. Ahora, el cifrado es solo un potenciador de daño. El verdadero poder de negociación del atacante reside en los datos que ha robado y en la presión pública que puede generar filtrándolos. Como bien se plasmó en la presentación: «El cifrado es una opción de impacto; la identidad y los datos crean el poder de extorsión».
La ventana se cerró para muchos: Las cifras no mienten. Con un cuartil de exfiltración de datos en apenas 72 minutos (según datos del 2026), su SIEM o su equipo de SOC tienen menos de una hora y media para reaccionar antes de que el adversario ya tenga el botín. Diego fue claro: esperar a que una alerta se revise «mañana por la mañana» es un suicidio operacional.
La estrategia evolucionada: 90 días para reducir el riesgo
Como especialistas en TI, sabemos que el pánico no es un plan. Por eso, Diego compartió un roadmap práctico de 90 días que, aseguró, puede reducir el riesgo de forma medible. Les adelanto el esqueleto que dejó sobre la mesa:
Día 0-30 (Cerrar lo obvio): Inventario externo, retirar RDP/SQL públicos de internet, implementar MFA resistente a phishing en cuentas privilegiadas y aislar físicamente los respaldos (inmutables).
Día 31-60 (Recuperar la visibilidad): Centralizar logs, cubrir endpoints con EDR/XDR supervisado y revisar todos los privilegios y aplicaciones OAuth. Si no ves el tráfico, no puedes defenderlo.
Día 61-90 (Probar bajo fuego): No basta con tener un backup; hay que probar la restauración. Realice ejercicios de tabletop (simulación de crisis) donde se practique el aislamiento de equipos y la revocación de identidades en tiempo real.
El consejo final de Diego fue medir el tiempo que le toma a su equipo detectar, aislar y revocar una identidad comprometida. Si son horas, está fuera de la liga. Si son minutos, va por buen camino.
El nuevo campo de batalla: La Confianza
Cerramos con la frase que resonó más fuerte durante la ponencia de Diego y que resume toda su estrategia:
«El ransomware anterior atacaba los archivos.
El actual ataca la confianza».
Ataca la confianza en sus herramientas administrativas (RMM, PowerShell), en sus proveedores, en la integridad de sus respaldos y, sobre todo, en la capacidad de su equipo para mantener el negocio en pie durante una crisis.
Al momento de buscar incorporar una nueva tecnología es necesario evaluar cuál es el objetivo que se persigue. Por ejemplo, cuando hablamos de ciberseguridad, uno de los más importantes es el tiempo, existen métricas que nos ayudan a definir cuánto nos tardamos con las herramientas que tenemos hoy en detectar y remediar una amenaza, como el Tiempo Promedio de Detección (MTTD) y el Tiempo Promedio de Respuesta (MTTR) ante un ciberataque y/o incidente, y reducirlo a través de la implementación de herramientas impulsadas por IA y machine learning. A menor tiempo de detección y respuesta, menor va a ser el daño que la empresa va a sufrir a nivel reputación, financiero y de operación. Recordemos que una estrategia sólida de prevención de vulnerabilidades y buenas prácticas ayuda a mitigar el 90% de riesgos.
¿Se lo perdió? Aún está a tiempo de actualizar su estrategia
En Network Security Alliance (NSA) sabemos que la ciberseguridad ya no se trata de prevenir el 100% de los ataques (eso es imposible), sino de detectar rápido, contener el impacto y recuperar el negocio con la menor afectación posible.
Nuestro enfoque va más allá de vender tecnología; diseñamos estrategias de defensa integral que abarcan Identidad, Endpoint, Nube, SaaS y, sobre todo, la preparación del equipo humano para responder a incidentes reales. Desde la remediación técnica hasta la simulación de crisis para la alta dirección, estamos listos para ser su aliado estratégico en esta nueva era del ransomware.
Si te perdiste el webinar «El ransomware ya no ataca como antes» de Diego Romero, no te preocupes. Puedes volver a verlo completo en el link de la imagen y acceder a todas las diapositivas, los casos prácticos y el roadmap de 90 días para blindar tu operación.
La confianza de su negocio y la integridad de sus datos dependen de las decisiones que tome hoy.
En NSA, mientras usted crece, nosotros lo protegemos.
