Buscar en ChatGPT fue el primer paso del ciberataque a una empresa

Un usuario buscó información sobre Dynamics 365. Menos de 30 segundos después, los atacantes ya habían logrado establecer persistencia en su equipo. Veintiséis horas después, ya se estaban moviendo por los sistemas más sensibles de la organización, una velocidad que muestra cómo se ha reducido el tiempo de reacción disponible para los equipos de tecnología. La secuencia fue documentada por investigadores de Sophos tras analizar una operación del grupo de ransomware Interlock, una banda criminal que ha ganado notoriedad por atacar organizaciones de infraestructura crítica, salud y educación en Norteamérica y Europa. Lo que llamó la atención de los analistas no fue únicamente la velocidad del ataque, sino que Interlock utilizó herramientas legítimas empleadas habitualmente por equipos de respuesta a incidentes y análisis forense digital. Entre ellas aparecen Volatility3 y WinPmem, aplicaciones diseñadas para examinar la memoria de sistemas comprometidos. En manos equivocadas, sirvieron para extraer credenciales, hashes de contraseñas e información de usuarios. El caso encaja con una tendencia que los equipos de respuesta a incidentes están viendo con mayor frecuencia. Los atacantes cada vez dependen menos de software especialmente diseñado para hackear sistemas y más de credenciales robadas, herramientas legítimas y accesos válidos. Según el Sophos Active Adversary Report 2026, el 67% de los incidentes investigados durante el último año tuvo su origen en ataques relacionados con identidad digital, cuentas comprometidas o fallas en los mecanismos de autenticación. El punto de entrada fue una técnica de ingeniería social conocida como ClickFix, en la que el usuario fue convencido de ejecutar manualmente un comando que descargó código malicioso y abrió la puerta al acceso remoto. Cinco segundos después de que el usuario ejecutó el comando ya existían evidencias de manipulación del dispositivo. Menos de medio minuto después, los atacantes habían logrado establecer persistencia en el equipo. La investigación revela un problema creciente para los equipos de ciberseguridad: las señales de ataque son cada vez más difíciles de distinguir cuando los delincuentes utilizan software legítimo, procesos autorizados y herramientas comunes de administración. Para las empresas, la lección va más allá del ransomware. Los investigadores encontraron que varios de los factores que ampliaron el impacto del ataque no estuvieron relacionados con técnicas sofisticadas, sino con tareas básicas de gestión tecnológica: equipos sin protección activa, inventarios incompletos y respaldos que no pudieron utilizarse cuando fueron necesarios. A partir de este caso, los especialistas recomiendan revisar cuatro puntos críticos: 1. Autenticación multifactor para usuarios y administradores. Las credenciales siguen siendo una de las principales puertas de entrada para los atacantes. 2. Monitoreo permanente de los dispositivos conectados a la red. Un equipo sin protección o mal configurado puede convertirse en el punto de acceso inicial. 3. Pruebas periódicas de respaldo y recuperación. Tener copias de seguridad no garantiza que funcionen cuando ocurre una crisis. 4. Control sobre herramientas legítimas de administración y análisis. Aplicaciones creadas para tareas técnicas pueden ser aprovechadas por grupos criminales para ocultar sus movimientos. La urgencia de estas medidas se explica por la velocidad con la que operan los grupos criminales. Datos de Sophos muestran que los atacantes tardan en promedio apenas 3,4 horas en intentar alcanzar Active Directory una vez logran ingresar a una red corporativa. Interlock lleva menos de dos años en escena, por lo que su evolución preocupa a los expertos porque combina robo de información, cifrado de sistemas, explotación de vulnerabilidades de día cero y abuso de herramientas legítimas. Una mezcla que vuelve más difusa la frontera entre actividad administrativa normal y un ataque en curso. Para los equipos de seguridad, eso significa detectar amenazas cada vez más rápido y con menos señales evidentes de que algo está ocurriendo. Acerca de Sophos Sophos, líder mundial en ciberseguridad, protege a más de 625.000 organizaciones en todo el mundo con Sophos Fusion, el primer y más completo sistema de defensa de ciberseguridad nativo de IA de la industria: una arquitectura única y conectada donde cada punto de control opera de manera integrada. Impulsado por IA agéntica y la experiencia de especialistas de élite, Sophos detecta, investiga y neutraliza amenazas antes de que se conviertan en incidentes que afecten al negocio. Trabajando junto con un ecosistema global de proveedores de servicios gestionados, revendedores y socios tecnológicos, Sophos amplifica la inteligencia obtenida de cada amenaza detectada y de cada entorno protegido para fortalecer continuamente la defensa de todos sus clientes. Sophos tiene su sede central en Oxford, Reino Unido. Más información disponible en www.sophos.com.