Ransomware 2026: robo de datos sube 275% y apunta a ejecutivos

El hallazgo más importante para juntas directivas y CISOs es a quién eligen los atacantes. Según el informe, 62 por ciento de las víctimas ocupaba cargos de nivel gerencial o superior, lo que Zscaler interpreta como un foco deliberado en personas con acceso privilegiado e influencia en el negocio. Los ejecutivos controlan aprobaciones financieras, contratos sensibles y documentos estratégicos, así que una sola cuenta comprometida abre muchas más puertas que la de un empleado de nivel inicial.

El segundo reto son las herramientas. Zscaler señala que los actores de amenaza abusan cada vez más de herramientas de trabajo de confianza, como Microsoft Teams y Quick Assist, para ingeniería social, movimiento lateral, robo de datos y cifrado de archivos. Una falsa llamada de soporte de TI por Teams que convence a un ejecutivo de iniciar una sesión remota parece actividad normal para muchas defensas. El atacante no necesita forzar la entrada, porque el propio usuario abre la puerta.

Las herramientas basadas en scripts aumentan la dificultad. JavaScript, PowerShell y Python permiten construir utilidades con rapidez y confundirse con la actividad legítima, mientras que la IA generativa acelera el reconocimiento, la redacción de phishing y el desarrollo de herramientas. El informe añade que manufactura y tecnología siguen siendo los sectores más atacados, que transporte y logística (725 por ciento más) y servicios públicos (622 por ciento más) crecen más rápido, y que Estados Unidos concentra 50,7 por ciento de la actividad observada.

En conjunto, el cuadro es claro. Los atacantes necesitan menos exploits y más conversaciones, y apuntan a las personas cuyas cuentas llegan a más datos. Las defensas basadas en bloquear el perímetro y en copias nocturnas dejan una brecha importante.

Un ataque de extorsión moderno sigue una cadena predecible, y cada paso es una oportunidad para detenerlo. Entender la cadena ayuda a decidir dónde colocar los controles.

1. Acceso inicial. El atacante obtiene un punto de apoyo mediante un mensaje de phishing, una credencial robada, un dispositivo vulnerable expuesto a internet o una llamada de ingeniería social. Las cuentas de ejecutivos y gerentes son objetivos preferidos.

2. Abuso de herramientas de confianza. En lugar de desplegar malware evidente, el atacante usa herramientas ya permitidas en el entorno, como el chat de Teams, Quick Assist o los intérpretes de scripts integrados. Así la intrusión pasa desapercibida.

3. Movimiento lateral y descubrimiento. El atacante mapea recursos compartidos, almacenamiento en la nube y buzones, en busca de propiedad intelectual, datos de clientes y registros financieros.

4. Preparación y exfiltración. Los datos se reúnen y se envían al exterior, a veces en volúmenes de gigabytes o terabytes. Es el paso que Zscaler destaca, porque los datos robados son lo que impulsa la extorsión aunque no se cifre nada.

5. Extorsión. La víctima recibe una exigencia, con frecuencia acompañada de pruebas de los archivos robados y la amenaza de publicarlos. Algunos grupos además cifran los sistemas, lo que duplica la presión.

La lección práctica coincide con la guía de Zscaler: reducir las oportunidades de acceso inicial, limitar el movimiento lateral y prevenir la exfiltración de datos. Un SOC con correlación SIEM y MDR vigila los comportamientos de los pasos 2 a 4, como sesiones de asistencia remota inusuales, accesos masivos a archivos y grandes transferencias de salida, y puede contener una cuenta comprometida antes del paso 5.

Reorientar la defensa hacia la protección de los datos reduce la pérdida que las copias de seguridad no pueden recuperar. Los beneficios se notan en varios frentes.

Menos poder de extorsión. Si las transferencias de datos hacia el exterior se monitorean y controlan, los atacantes no pueden sacar grandes volúmenes con facilidad. Con menos datos robados, la amenaza de filtración pesa menos.

Detección más rápida del abuso de cuentas privilegiadas. El monitoreo de comportamiento en cuentas de ejecutivos y administradores detecta anomalías que las herramientas basadas en firmas pasan por alto, como una cuenta gerencial que de pronto lee miles de archivos de madrugada.

Colaboración más segura. Restringir quién puede iniciar sesiones de asistencia remota y qué contactos externos pueden escribir a su personal en Teams elimina un camino favorito de la ingeniería social. Los servicios de Microsoft Teams Direct Routing y telefonía de HIT ayudan a mantener las llamadas y la colaboración bajo controles claros y gobernados.

Recuperación resiliente. Las copias de seguridad en la nube, inmutables y probadas, siguen siendo esenciales frente a la mitad de cifrado de la amenaza. Los servicios gestionados de TI y respaldo en la nube de HIT cubren los objetivos de recuperación para que restablecer la operación sea rápido y predecible.

Protección regulatoria y reputacional. Muchas jurisdicciones de Latinoamérica, Estados Unidos y Europa exigen notificar cuando se roban datos personales, sin importar si los sistemas fueron cifrados. Evitar la exfiltración reduce tanto la exposición legal como el daño a la confianza de los clientes.

Con un pago promedio cercano a 432.000 dólares según Zscaler, y con el tiempo de inactividad, el trabajo legal y la pérdida de confianza como costos adicionales a cualquier pago, la prevención suele ser el camino más económico.

HIT Communications aporta más de 30 años de experiencia en telecomunicaciones y TI empresariales en Latinoamérica, Estados Unidos y Europa, y reúne conectividad, colaboración y seguridad bajo un solo aliado responsable. Esto importa para esta amenaza, porque el robo de datos atraviesa los tres frentes: la red por la que viajan los datos, las herramientas de colaboración que abusan los atacantes y los equipos y servicios en la nube donde viven los datos.

Nuestra práctica de ciberseguridad ofrece monitoreo SOC 24/7, SIEM, detección y respuesta gestionadas y orientación de confianza cero, con foco en cuentas privilegiadas y flujos de datos de salida. Nuestros servicios de Microsoft Teams le ayudan a gobernar el acceso externo y la telefonía, y nuestros servicios gestionados de TI entregan respaldo, parcheo y operaciones en la nube que facilitan una recuperación rápida.

Un proyecto típico comienza con una evaluación corta: qué cuentas de ejecutivos y administradores tienen más acceso, qué herramientas de asistencia remota están permitidas, dónde residen los datos sensibles y con qué rapidez se notaría una gran transferencia de salida. A partir de ahí priorizamos los controles según el riesgo y los monitoreamos de forma continua, en español, inglés o portugués, para que sus equipos regionales reciban soporte en su propio idioma y zona horaria.

Las cifras de 2026 muestran que el ransomware es hoy tanto un negocio de robo de datos como de cifrado. Con un robo de datos que crece más de 275 por ciento, 62 por ciento de las víctimas en cargos gerenciales o superiores y atacantes que se esconden en herramientas como Teams y Quick Assist, el modelo antiguo de bloquear el perímetro y hacer copias de seguridad ya no alcanza.

Tres acciones pueden empezar esta semana. Primero, revise quién puede iniciar sesiones de asistencia remota y quién puede escribir a sus empleados desde fuera de la empresa en Teams. Segundo, agregue monitoreo a las cuentas de ejecutivos y administradores y a las grandes transferencias de datos hacia el exterior. Tercero, pruebe su recuperación y su plan de respuesta a incidentes con un escenario en el que los datos se roban pero nada se cifra.

Si desea una visión independiente de su exposición, contacte al equipo de HIT Communications y le ayudaremos a convertir estos hallazgos en un plan práctico y priorizado.