Lectura 5:00 min
El ransomware obligó a una pyme mexicana a reconstruir su infraestructura digital
Los atacantes permanecieron tres meses en la red, robaron información y cifraron hasta seis servidores con BitLocker; la pyme pagó menos de 5,000 dólares y aun así tuvo que reconstruir toda su infraestructura digital.
Una empresa mexicana de mensajería pagó un rescate inferior a 5,000 dólares después de que un grupo de ciberdelincuentes permaneció tres meses dentro de su red antes de extraer información y cifrar entre cinco y seis servidores junto con las computadoras que se conectaban a la infraestructura. La recuperación exigió reconstruir por completo el entorno tecnológico, de acuerdo con Eduardo Chavarro, director del Equipo Global de Respuestas a Incidentes para Américas en Kaspersky.
El ataque comenzó mediante un servicio de Microsoft SQL expuesto a internet. Las credenciales para ingresar estaban incluidas en código publicado en GitHub y la configuración del servidor permitía ejecutar comandos sobre el sistema operativo. Desde esa máquina, los intrusos escanearon la red interna y localizaron información sobre los servicios en la nube y los dispositivos de comunicación de la compañía.
Te puede interesar
Los atacantes realizaron el acceso inicial alrededor de marzo. Volvieron cerca de 15 días después y mantuvieron actividad durante aproximadamente un mes y medio. Su trabajo se concentró en conocer la organización y localizar los sistemas indispensables para el negocio antes de activar BitLocker, la herramienta de cifrado incorporada en Windows.
“Se llevaron esta información junto con otro bloque muy grande de información específicamente para ejercer presión”, dijo Chavarro en entrevista. La empresa debía pagar para recuperar las unidades cifradas y enfrentaba la amenaza de que los archivos extraídos fueran publicados.
El pago recuperó los archivos y dejó abierto el riesgo
La compañía decidió pagar porque el rescate resultaba menor que el costo de perder la información. Los delincuentes entregaron las claves de recuperación y explicaron cómo habían ingresado. La comunicación omitió los datos extraídos casi dos meses antes, entre los que había accesos a servicios en la nube y parámetros de la infraestructura interna.
“Tienes que volver a rehacer toda tu infraestructura”, dijo Chavarro. La empresa tuvo que formatear los sistemas y renovar las credenciales de sus conexiones externas. El gasto final superó el monto entregado a los extorsionadores debido a la reconstrucción y al tiempo necesario para recuperar la operación.
El incidente mexicano formó parte de dos casos investigados por Kaspersky durante mayo y junio. El segundo afectó a una pyme colombiana de la construcción. Los atacantes entraron mediante un servicio de escritorio remoto expuesto a internet y cifraron un disco de ocho terabytes que concentraba información financiera y operativa, según el análisis técnico de Kaspersky.
La organización colombiana recibió una demanda cercana a 3,000 dólares. Carecía de una copia de respaldo completa y perdió el acceso a información contable acumulada durante varios años. La compañía continuaba la recuperación por sus propios medios porque carecía de recursos para pagar. Kaspersky encontró que los delincuentes también habían extraído información, lo que añadió posibles consecuencias por la exposición de datos privados.
En ambos ataques, las notas de rescate salieron por las impresoras de las víctimas. El caso mexicano dejó además una pantalla azul con la leyenda “Hacked by XEntry Team”. Kaspersky encontró coincidencias en el vocabulario de las comunicaciones y en la forma de prometer la eliminación de los datos después del pago. La evidencia disponible resulta insuficiente para atribuir los dos incidentes al mismo grupo o determinar su país de origen.
El ransomware reduce el precio para atacar a las pymes
El uso de BitLocker permite cifrar equipos sin desarrollar un programa malicioso propio ni contratar los servicios de grandes operadores de ransomware. Ese ahorro sostiene demandas de entre 1,000 y 5,000 dólares dirigidas a negocios pequeños, según Chavarro. La repetición del esquema puede convertir pagos moderados en ingresos relevantes para los atacantes.
La escala de las credenciales disponibles facilita ese modelo. Infoblox identificó más de 5,300 millones de credenciales únicas filtradas entre junio de 2025 y junio de 2026. Durante el mismo periodo observó 120 millones de dominios recién registrados y clasificó más de 22% como maliciosos o asociados con amenazas.
La exposición coincide con prácticas deficientes dentro de empresas pequeñas y medianas. Una encuesta de WatchGuard a 684 empleados de organizaciones de ocho países, incluido México, encontró que 76% reutiliza contraseñas y únicamente 22% emplea autenticación multifactor en todas sus cuentas. Los resultados son globales y el informe carece de un desglose exclusivo para México.
El caso ocurre en una región donde 8.13% de las organizaciones enfrentó ransomware durante 2025, la mayor proporción mundial, según datos de Kaspersky. En México, apenas 17% de las pymes realiza acciones preventivas frente a ciberataques, mientras estos negocios representan 99.9% de las unidades económicas del país.
Las demandas inferiores a 5,000 dólares contrastan con el costo de una recuperación empresarial. Las filtraciones de datos investigadas por IBM en América Latina entre marzo de 2025 y febrero de 2026 tuvieron un impacto promedio de 82 millones de pesos y tardaron 328 días en ser identificadas y contenidas. La empresa de mensajería recuperó sus archivos después del pago. El acceso conservado por los atacantes obligó a reconstruir la tecnología que sostenía su operación.
rodrigo.riquelme@eleconomista.mx