Red Report 2026 revela cambio estratégico en ciberataques: de ransomware a accesos persistentes y sigilosos
El panorama de la ciberseguridad ha dado un giro táctico sin precedentes. Según el Red Report 2026 de Picus Security, los ciberdelincuentes están abandonando las tácticas ruidosas y destructivas en favor de un enfoque de "parásito digital". Tras analizar más de 1.1 millones de archivos maliciosos y 15.5 millones de acciones de adversarios durante el último año, el informe destaca que el éxito de un ataque ya no se mide por la interrupción inmediata, sino por el tiempo de permanencia (dwell time) dentro de la red.
El fin de la era del cifrado masivo
Uno de los datos más reveladores es la caída del 38% en el uso de técnicas de "Datos Cifrados para Impacto", el movimiento característico del ransomware tradicional. Según el Dr. Süleyman Özarslan, cofundador de Picus Labs, esto se debe a que las organizaciones han mejorado significativamente sus capacidades de respaldo y resiliencia. "Hemos obligado al adversario a evolucionar", afirma Özarslan. "Los atacantes ya no necesitan bloquear tus datos para monetizarlos; solo necesitan robarlos y extorsionar con su publicación".
La "Identidad" es el nuevo perímetro
El informe subraya que 1 de cada 4 ataques ahora involucra el robo de credenciales guardadas en navegadores. En lugar de "hackear" para entrar, los atacantes simplemente "inician sesión" utilizando identidades legítimas, lo que les permite moverse lateralmente por la red sin activar las alarmas tradicionales. Esta tendencia ha llevado a un aumento del 80% en el uso de técnicas de evasión, persistencia y comando y control (C2).
Hallazgos clave del reporte:
Inyección de procesos como rey: Por tercer año consecutivo, la inyección de procesos (30%) es la técnica principal, permitiendo ocultar código malicioso dentro de aplicaciones legítimas y confiables.
Malware "Autoconsciente": Se han detectado amenazas que utilizan cálculos trigonométricos y movimientos del ratón para detectar si están en un entorno de análisis (sandbox), "haciéndose los muertos" para evitar ser descubiertos.
El mito de la IA: A pesar del auge mediático, Picus Labs no observó un aumento significativo en el uso de IA generativa para crear malware real en 2025; los atacantes siguen prefiriendo técnicas probadas y altamente efectivas de sigilo.
Amenazas físicas internas: Actores estatales (específicamente de Corea del Norte) están utilizando dispositivos físicos IP-KVM para controlar estaciones de trabajo a nivel de hardware, evadiendo por completo los agentes de seguridad basados en software.
Recomendaciones para las empresas
El informe concluye que las defensas actuales suelen ser "ciegas" ante esta residencia silenciosa. Los expertos recomiendan pasar de un modelo de protección estática a uno de validación continua. Dado que el 80% de las técnicas más utilizadas se centran en la evasión, las empresas deben priorizar la detección de comportamientos anómalos en identidades y procesos internos, asumiendo que el atacante ya podría estar dentro de la red, operando bajo la apariencia de un usuario legítimo.