Nuevo ‘modus operandi’ del cibercrimen en México: Hackers llevan la extorsión hasta las impresoras

Un nuevo modus operandi del cibercrimen fue detectado en Colombia y México, en él los hackers están llevando la extorsión del entorno digital al espacio físico de las empresas con notas de rescate que llegan a través de las impresoras de las organizaciones. Con ello hacen visible el ataque y demuestran que tienen acceso a su infraestructura. El caso, investigado por Kaspersky, tiene un componente psicológico importante debido al terror que puede infundir recibir este tipo de mensajes, consideró Eduardo Chavarro, director del equipo global de respuesta a incidentes para Américas de la compañía de ciberseguridad. “Cuando vieron sus impresoras mandando notas se sintieron asustados, como con una violación a su intimidad, a la intimidad operativa, de que alguien había entrado y había tomado el control”, explicó.

El ataque llevaba semanas antes de que aparecieran las notas México enfrenta una mayor presión de los ataques

La diferencia frente a una extorsión tradicional por medios digitales está precisamente en hacer que la amenaza deje la pantalla y aparezca dentro de las oficinas. Una computadora bloqueada puede ser interpretada inicialmente como una falla técnica; una impresora que comienza a producir notas de rescate convierte el ataque en algo visible para los trabajadores y transmite la sensación de que el atacante puede controlar dispositivos físicos de la organización. En México, Kaspersky encontró evidencia de que los atacantes llevaban más de un mes dentro de la organización. Durante ese periodo sustrajeron información confidencial y crítica de la infraestructura, además de datos personales y estratégicos relacionados con la operación de la compañía. Las notas impresas sirvieron entonces para comunicarle a la víctima que tenían esa información y exigir un pago a cambio de devolverla. En esta ocasión, los atacantes no se limitaron a cifrar información y esperar una reacción. Permanecieron dentro de la red, utilizaron herramientas legítimas y maliciosas y aprovecharon el acceso obtenido hasta encontrar una forma de presionar directamente a la organización. El rescate que los delincuentes solicitaron en México rondó los 5,000 dólares y en Colombia 2,700 dólares. Si bien son cifras “importantes”, para el caso de una empresa son “pagables”, refirió Chavarro, por lo que estos ataques pueden obtener ganancias mediante montos relativamente pequeños cobrados a un número elevado de víctimas. De acuerdo con datos de la University of Advanced Technologies (UNIAT), durante el último año los ataques de ransomware contra empresas en México aumentaron 38%, mientras que el uso de inteligencia artificial en este tipo de ataques creció cerca de 90%. La institución también advierte sobre una brecha de talento: México tiene un déficit de más de 77,000 especialistas en ciberseguridad, mientras que más de 60% de las empresas reportó haber sufrido algún incidente de seguridad digital durante el último año. Sin embargo, solo 27% dijo contar con servicios especializados para proteger sus activos. Nicole Filippetti, especialista en ciberseguridad y directora de Vinculación de la UNIAT, señala que 67% de los ciberataques exitosos estaría relacionado con errores humanos, como abrir correos maliciosos, utilizar contraseñas de manera inadecuada o descargar archivos sin verificar su procedencia. Esto ayuda a explicar por qué un atacante puede permanecer durante semanas dentro de una organización sin ser detectado. No siempre necesita desplegar un malware evidente, también puede aprovechar credenciales comprometidas, configuraciones deficientes, servicios expuestos o herramientas legítimas. En el caso mexicano estudiado por Kaspersky, precisamente, los atacantes instalaron malware, pero también utilizaron aplicaciones legítimas de acceso remoto. La organización recibió alertas críticas durante varias semanas, aunque estas no fueron atendidas a tiempo.

El problema no es solo la impresora La impresora es solo la parte visible

Si bien la impresora es el elemento más llamativo de este caso, no necesariamente es más peligroso, según comentó Chavarro. A medida que las empresas conectan más dispositivos a sus redes, también aumentan los puntos desde los cuales un atacante puede intentar entrar, desplazarse o mantenerse oculto. Cámaras de seguridad, sistemas de climatización, dispositivos de IoT y otros equipos que antes funcionaban de manera aislada ahora pueden estar conectados a internet o a la infraestructura corporativa. Gabriel Zurdo, especialista en ciberseguridad de BTR Consulting, advierte que actualmente existen más de 20,000 millones de dispositivos conectados a internet en el mundo, una cifra que no para de crecer. El problema es que no todos estos reciben el mismo nivel de protección que una computadora corporativa. El riesgo está en que estos equipos forman parte de la misma infraestructura y, dependiendo de cómo estén configurados, pueden convertirse en otro punto desde el cual los atacantes intenten moverse dentro de una organización. En su reporte global de 2026, Fortinet señala que durante 2025 registró 122,000 millones de intentos de explotación y advierte que la inteligencia artificial y la automatización permiten a los atacantes actuar con mayor rapidez y escala. El mismo informe señala que el tiempo entre la divulgación de una vulnerabilidad y su explotación se ha reducido considerablemente, mientras que los grupos criminales utilizan identidades robadas, servicios en la nube y herramientas legítimas para acelerar sus operaciones. Para Chavarro, el aprendizaje del caso mexicano es que las empresas necesitan ampliar su estrategia de seguridad. Un antivirus por sí solo no puede proteger toda una infraestructura conectada. “Debo tener capas adicionales de seguridad; no es que el antivirus me va a solucionar todo”, explicó. Entre las medidas que plantea están segmentar las redes, monitorear los dispositivos, interpretar las alertas y actuar cuando sea necesario. Eso incluye también medidas básicas, como cambiar contraseñas predeterminadas y revisar qué equipos están conectados a la red y qué permisos tienen.

]]>