Una amenaza silenciosa redefine la ciberseguridad empresarial y evade controles tradicionales actuales.
Reino Unido.- Una nueva modalidad de ransomware está poniendo a prueba los sistemas de seguridad tradicionales en empresas de todo el mundo. La campaña denominada WantToCry representa un riesgo creciente al permitir el secuestro de archivos sin generar los rastros habituales que suelen detectar los antivirus y otras herramientas de defensa.
La técnica, documentada por investigaciones de Sophos, muestra cómo los ciberdelincuentes pueden cifrar información sin ejecutar malware directamente en los dispositivos de las víctimas, lo que obliga a replantear los enfoques de detección y respuesta ante incidentes.
Cómo funciona el ransomware sin dejar huellas
El punto de partida de estos ataques es la identificación de servicios SMB expuestos a internet. Los atacantes buscan sistemas vulnerables, especialmente aquellos utilizados para el intercambio de archivos empresariales, y realizan intentos de acceso mediante credenciales débiles hasta lograr ingresar.
Una vez dentro, el procedimiento cambia radicalmente frente a los métodos tradicionales. En lugar de cifrar los archivos en el equipo comprometido, los datos son primero transferidos a una infraestructura externa controlada por los atacantes.
En ese entorno remoto, los archivos son cifrados y luego devueltos al sistema original junto con una nota de rescate. Este proceso hace que el ataque sea extremadamente difícil de rastrear, ya que no deja señales evidentes dentro del entorno afectado.
Según datos analizados por Sophos, más de 1,5 millones de dispositivos con servicios de intercambio expuestos estaban disponibles como posibles objetivos a inicios de 2026, lo que amplía significativamente la superficie de ataque.
Técnicas utilizadas por los atacantes
El ransomware WantToCry utiliza métodos de fuerza bruta para acceder a servicios empresariales expuestos en los puertos 139 y 445. Una vez obtenidas las credenciales, los atacantes pueden leer, copiar y sobrescribir archivos dentro del sistema comprometido.
La clave de esta estrategia radica en que todo el proceso de cifrado ocurre fuera del entorno afectado, eliminando los indicadores locales que normalmente activarían alertas de seguridad.
Tras completar el ataque, las víctimas encuentran una nota identificada como “!Want_To_Cry.txt”, mientras que los archivos afectados adoptan la extensión “.want_to_cry”.
A diferencia de otras campañas, los montos exigidos suelen ser relativamente bajos. En la mayoría de los casos documentados, los rescates rondan los 600 dólares, aunque pueden variar entre 400 y 1.800 dólares, lo que sugiere una estrategia de ataques rápidos y escalables.
Puntos ciegos en la seguridad empresarial
El éxito de esta campaña evidencia importantes debilidades en los sistemas de defensa. La técnica de cifrado remoto elimina la necesidad de ejecutar código malicioso en los dispositivos, reduciendo la efectividad de múltiples capas de protección tradicionales.
Entre los principales factores de riesgo se encuentran la exposición de servicios a internet, el uso de credenciales débiles y la falta de segmentación en las copias de seguridad. Estos elementos permiten que los ataques se desarrollen de forma prácticamente invisible para los mecanismos convencionales.
Medidas para reducir el riesgo
Ante este escenario, expertos recomiendan aplicar acciones concretas para mitigar la exposición a este tipo de amenazas:
- Restringir el acceso a internet de los servicios de intercambio de archivos internos.
- Eliminar configuraciones de acceso anónimo o invitado sin autenticación robusta.
- Fortalecer todas las credenciales, evitando contraseñas débiles o predecibles.
- Asegurar que las copias de seguridad estén aisladas de los sistemas principales.
- Supervisar continuamente intentos de acceso y actividades inusuales en la red.
Estas medidas son fundamentales para prevenir incidentes en los que una mala configuración o una contraseña débil pueden ser suficientes para desencadenar un ataque.
Un cambio de paradigma en ciberseguridad
El avance de la campaña WantToCry marca un punto de inflexión en la forma en que las organizaciones deben abordar la protección de sus infraestructuras. Ya no se trata únicamente de detectar malware, sino de anticipar técnicas que operan fuera del alcance de los controles tradicionales.
La evolución de estas amenazas confirma que la ciberseguridad moderna requiere un enfoque más integral, donde la configuración, la vigilancia constante y la gestión de accesos se convierten en pilares esenciales.
