El Informe anual sobre ciberamenazas de ReliaQuest 2025 ofrece una visión detallada de las principales amenazas que enfrentaron sus clientes durante el año pasado. Basado en un análisis profundo de incidentes reales, el informe destaca los cambios significativos en la forma en que los atacantes operan.
Aumento del ransomware y ataques acelerados
En 2024 se registró un récord de ataques de ransomware, junto con un aumento en la explotación de vulnerabilidades para el acceso inicial. Los atacantes también comenzaron a utilizar herramientas asistidas por IA que permitieron una mayor eficiencia y rapidez en sus operaciones.
Velocidad de los ataques
Los atacantes ahora actúan con mucha más velocidad. Según el informe, en promedio, pasaron del acceso inicial al movimiento lateral en solo 48 minutos. Para exfiltrar datos se tardaron poco más de 4 horas y para cifrarlos aproximadamente 6 horas. En algunos casos, los ataques completos se realizaron en tan solo 27 minutos.
Métodos tradicionales siguen vigentes
Aunque los ataques se están acelerando, los atacantes continúan utilizando métodos probados como el phishing para lograr el acceso inicial. Los ataques de phishing y compromiso de correo electrónico empresarial han sido reforzados con tácticas avanzadas, incluyendo la evasión del MFA y el uso de Microsoft Teams para la ingeniería social.
Cambios en las estrategias de ransomware
Los atacantes de ransomware están cambiando su estrategia. El 80% de las infracciones solo incluían exfiltración, lo que indica un cambio hacia el uso de los datos robados como arma para la extorsión, reventa o acceso a objetivos adicionales.
Acceso mediante cuentas de servicio
Las cuentas de servicio con permisos elevados y olvidadas son la puerta de entrada en el 85% de los casos. La falta de monitoreo es la principal causa de brechas, ya que la ausencia de registros de actividad en la red permite que los atacantes operen sin ser detectados.
Uso de herramientas legítimas
El 66% de los ataques utilizan herramientas legítimas, VPNs sin MFA, software de acceso remoto y cuentas comprometidas para moverse lateralmente sin ser detectados.
Acciones recomendadas para la defensa
Para defenderse de estas amenazas, el informe recomienda varios pasos clave:
- Incorporar IA y automatización a las operaciones de seguridad para manejar alertas de manera autónoma.
- Bloquear los puntos de entrada comunes como phishing y ataques drive-by.
- Proteger los servicios remotos con certificados basados en el cliente y monitorear activos públicos para detectar vulnerabilidades.
- Aplazar la aplicación de parches a sistemas, ya que los atacantes explotan las vulnerabilidades no parcheadas a velocidades récord.
- Implementar controles estrictos y capacitación de usuarios para abordar de manera proactiva los ataques de phishing.
- Eliminar puntos ciegos mediante el registro detallado en dispositivos, servidores y tráfico de red.
- Implementar soluciones de seguridad de puntos finales en todos los activos.
- Establecer políticas claras de retención de registros para garantizar una recuperación rápida durante incidentes.
Debido a esta situación, la empresa ya no puede recuperar los datos pagando: si ya fueron robados, el daño sobre la reputación es inminente.