Según el último informe de amenazas cibernéticas publicado por Travelers, los grupos de ransomware han dejado de lado las vulnerabilidades masivas para adoptar métodos «fiables y repetibles» que les permitan acceder a las redes de sus víctimas. Esta estrategia se ha consolidado desde la segunda mitad de 2023 y se ha extendido ampliamente entre los operadores de ransomware y los Intermediarios de Acceso Inicial (IAB) durante el año 2024.
Uso de credenciales débiles
Las tácticas empleadas incluyen el uso de credenciales débiles en cuentas de VPN y puerta de enlace que no están protegidas por autenticación multifactor (MFA). Los investigadores observaron que esta actividad se afianzó a partir de la segunda mitad de 2023, con un crecimiento significativo durante el año 2024.
El informe menciona un manual de entrenamiento de ransomware escrito por un IAB que se filtró en el verano de 2023. Este documento recomendaba a los actores de ransomware que, en lugar de centrarse en descubrir nuevas vulnerabilidades Zero-Day, debían implementar herramientas para buscar nombres de usuario predeterminados como «admin» o «test», y probar combinaciones de contraseñas comunes.
Disminución de ataques basados en vulnerabilidades
En 2024 no se detectó ninguna vulnerabilidad que provocara ataques masivos de ransomware. Esta es una marcada diferencia con respecto a 2023, cuando gran parte de la actividad de los sitios de filtración de ransomware se atribuyó a ataques en productos de software comunes como MOVEit y GoAnywhere.
Varios grupos de ransomware aprovecharon estas vulnerabilidades para explotar al mayor número posible de víctimas en un corto período. Jason Rebholz, vicepresidente y responsable de riesgos cibernéticos de Travelers, señaló que «según nuestras observaciones, está claro que las técnicas de ataque básicas siguen siendo muy eficaces para los grupos de ransomware».
Actividad récord en el cuarto trimestre
El informe concluyó que la actividad de ransomware alcanzó niveles récord en el cuarto trimestre de 2024, con 1.663 nuevas víctimas publicadas en sitios de filtraciones. Esto representa un aumento del 32% respecto al tercer trimestre de 2024 y es el nivel más alto de actividad registrado por la aseguradora.
En noviembre se registró el mayor número de víctimas de sitios de filtración, con 629. A esto le siguió un descenso a 516 en diciembre. Los investigadores indicaron que este patrón se alinea con las tendencias históricas de mayor actividad a principios de la temporada navideña, seguida de una disminución posterior.
A lo largo de 2024 se publicaron 5.243 víctimas de ransomware en sitios de filtraciones, un aumento del 15% con respecto a los 4.548 incidentes registrados en 2023.
Creación de nuevos grupos
El informe también destacó un aumento del 67% en los nuevos grupos de ransomware formados en 2024 en comparación con 2023, con 55 nuevos grupos observados el año pasado. Esto indica una rápida proliferación de actores más pequeños y ágiles tras la interrupción de operadores principales como LockBit y Clop.
RansomHub representó el mayor número de ataques en el cuarto trimestre de 2024, con 238, lo que representa el 14% del total. A esto le siguieron Akira y Play, con 133 y 95 ataques respectivamente.