El objetivo principal de los ciberdelincuentes es obtener dinero con sus estafas. Una de las formas más efectivas es llevar a cabo ataques de ransomware a empresas y, después, pedirles dinero a cambio de devolver los archivos robados. Según afirma la compañía especializada en ciberseguridad Sophos, la mayoría de compañías ciberatacadas cometían un mismo tipo de error que las hacía presas fáciles ante los piratas informáticos.
Sophos acaba de publicar el informe Active Adversary Report, en el que intenta detectar patrones en el comportamiento y las técnicas de los atacantes cibernéticos. Para ello, la firma de seguridad informática ha estudiado más de 400 casos de servicios gestionados de detección y respuesta (MDR) y de respuesta a incidentes (IR) durante 2024.
De las conclusiones que han sacado, destaca el hecho de que gran parte de las empresas afectadas por un hackeo no tenían activada la autenticación multifactor (MFA). El estudio detalla que, en 2022, las marcas ciberatacadas que no usaban la MFA representaban el 22% del total. El año pasado el dato casi se triplicó llegando al 63%.
Según los datos obtenidos por Sophos, la causa principal de los ataques producidos en 2024 fueron credenciales comprometidas, siendo el 41% de los casos. Por lo tanto, las empresas deberían prestar más atención a la autenticación multifactor para evitar este tipo de problemas que puede suponer pérdidas millonarias.
Los investigadores de ciberseguridad de Sophos explican que el uso de credenciales vulneradas para adentrarse en los sistemas de empresa es más evidente cuando el punto de acceso es un servicio remoto externo. En el 71% de las veces, los estafadores entraron en las redes de firmas de este modo, incluso con dispositivos a distancia gracias a firewalls o VPN.
Los tiempos de los ciberataques
Además de descubrir que el porcentaje de empresas que no presta atención a la autenticación multifactor ha subido, Sophos ha analizado los tiempos de los ataques cibernéticos para comprender con qué rapidez actúan los ciberdelincuentes. Los expertos en seguridad prestaron atención en los casos de ransomware, exfiltración y extorsión de datos y comprobó que los atacantes avanzaban velozmente por las distintas fases de un ataque.
Los resultados indican que el tiempo medio que pasó entre el inicio del ataque y la filtración de los datos robados fue de unas 72,98 horas (3,04 días). Además, hay que resaltar que solo hubo una media de 2,7 horas desde los hackeos y la detección del ataque.
John Shier, field CISO de Sophos, opina que «la seguridad pasiva ya no es suficiente». La velocidad de los ataques es tan acelerada que, además de una buena prevención, es necesaria una «respuesta rápida»: «Las empresas deben vigilar activamente las redes y actuar con rapidez ante la telemetría observada». Shier especifica que muchas marcas deberían combinar el conocimiento del negocio con la detección y la respuesta dirigidas por expertos. Las empresas que apuestan por contratar equipos de ciberseguridad, que se encarguen de una supervisión proactiva, detectan más fácilmente los ataques y pueden solventar los problemas antes de que sea demasiado tarde.
Más comportamientos comunes entre atacantes
En el análisis de Sophos de los casos de servicios gestionados de detección y respuesta y de respuesta a accidentes de 2024, también se llegaron a otras conclusiones de interés que nos ayudan a conocer el comportamiento típico de los ciberdelincuentes.
El informe Sophos Active Adversary Report 2025 aclara que los cibercriminales pueden conseguir controlar un sistema en solo 11 horas, que es el tiempo que de media pasa entre la acción inicial y su primer intento (a menudo exitoso) de romper el Directorio Activo. Además, a los grupos de ransomware les gusta trabajar de noche, teniendo en cuenta que el 84% de los archivos binarios de este tipo de ataques se lanzaron fuera del horario laboral local de las víctimas.
El estudio de la empresa de ciberseguridad cuenta con más conclusiones interesantes que muestran cierto patrón en los ataques dirigidos a empresas en 2024. Si quieres enterarte de cuáles son las técnicas más usadas por los actores maliciosos, entra en el informe Sophos Active Adversary Report 2025.
