Hay una frase que muchos empresarios repiten con tranquilidad: “Si nos hackean, no pasa nada, tenemos respaldo”.
Es una de las frases más caras que puedes decir en una empresa.
Un aviso conjunto publicado el 20 de octubre de 2026 por el FBI, la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA), el Servicio Secreto estadounidense y agencias policiales de Alemania y el Reino Unido documenta las actividades de un grupo de ransomware llamado SafePay, que desde agosto de 2024 acumula al menos 600 víctimas en Norteamérica, Sudamérica, Europa y Australia.
El ransomware es un programa malicioso que secuestra los archivos de una empresa: los cifra para impedir que puedas abrirlos y exige un pago a cambio de devolver el acceso.
Lo inquietante no es solo el número de víctimas, sino el orden en que trabajan.
Primero entran, después te roban y, antes de cifrar, destruyen tu salvavidas
Según el aviso, identificado como AA26-293A, SafePay consigue entrar mediante credenciales expuestas, ataques de fuerza bruta —probar contraseñas una tras otra hasta acertar—, accesos por VPN, cuentas obtenidas mediante correos engañosos y fallas en equipos como firewalls, algunas conocidas desde 2020.
No necesitan una vulnerabilidad nueva y sofisticada: basta con encontrar un equipo que alguien instaló y olvidó actualizar.
Una vez dentro, los atacantes obtienen permisos de administrador, recorren las carpetas compartidas, roban contraseñas y copian la información a servidores que controlan.
Primero te roban y después cifran tus archivos. Aunque lograras recuperar toda tu información, tus datos ya podrían estar fuera de tu empresa.
Y aquí viene lo más preocupante: antes de cifrar los archivos, según el aviso, detienen el servicio de Windows que guarda versiones anteriores de los archivos, restablecen a la configuración de fábrica algunos dispositivos NAS —equipos de almacenamiento conectados a la red— y, en ciertos casos, eliminan las copias de seguridad conectadas a la red.
Destruyen tu respaldo antes de pedirte dinero porque saben que una empresa capaz de recuperarse por sí misma tiene menos motivos para pagar.
Por qué tu respaldo puede ser un espejismo
Si tus copias de seguridad están conectadas a la misma red que las computadoras de tu empresa, comparten el mismo riesgo. Si un atacante obtiene permisos de administrador, podría utilizarlos también para borrar tus respaldos.
Es como guardar una copia de la llave de tu caja fuerte dentro de la propia caja fuerte.
Por eso, las agencias recomiendan mantener copias de seguridad fuera de línea, cifradas, inmutables y probadas.
Fuera de línea: desconectadas de la red para que un atacante no pueda alcanzarlas desde los sistemas comprometidos.
Cifradas: protegidas para impedir que alguien pueda leer su contenido sin autorización.
Inmutables: configuradas para que no puedan modificarse ni eliminarse durante un periodo definido, incluso ante determinados intentos de borrado con privilegios elevados.
Probadas: verificadas mediante ejercicios de restauración para confirmar que realmente puedes recuperar tus archivos cuando los necesitas.
Porque un respaldo que nunca has intentado restaurar es una esperanza, no una garantía.
La extorsión llega con una llamada telefónica
Las víctimas reciben una nota con acceso a un chat anónimo y, según el aviso, un representante del grupo puede llamar por teléfono para presionarlas.
La exigencia suele consistir en una parte de los ingresos de la empresa, pagada en criptomonedas. Si la víctima no paga, los atacantes amenazan con publicar sus datos en un sitio de filtraciones.
El monto que exigen puede depender de cuánto factura tu empresa, no solamente de cuánto dinero tienes disponible para pagar.
Es lo que se conoce como doble extorsión: los delincuentes presionan para obtener un pago por recuperar el acceso a los archivos y otro para evitar que se difunda información de tus clientes, proveedores y colaboradores.
El problema ya no es únicamente tecnológico. También puede convertirse en una crisis financiera, legal, operativa y reputacional.
¿Y qué pasa en México?
De acuerdo con SCILabs, la unidad de inteligencia de amenazas de Scitum (Telmex), citada por UnoTV el 7 de septiembre de 2026, México fue el segundo país de América Latina con más ataques de ransomware durante el primer semestre de 2026, con el 17.93 % de los incidentes de la región, solo detrás de Brasil, con el 25.17 %.
En toda América Latina, los ataques crecieron un 25.54 % respecto al semestre anterior.
Sobre SafePay en México, es importante distinguir entre lo confirmado y lo que todavía es una atribución del propio grupo.
El 15 de septiembre de 2026, SafePay se atribuyó un ataque contra La Concepción, prestador de servicios de salud en Coahuila, según el sitio Dexpose, el 16 de septiembre de 2026.
El 28 de septiembre de 2026, el grupo también reclamó un ataque contra Auromex, fabricante industrial mexicano, según la plataforma SOCRadar, que lo clasificó como presunto.
Ninguna de las dos empresas ha confirmado los hechos en la información citada, y el contenido de los datos presuntamente sustraídos no está detallado.
Mencionar estos casos no significa dar por confirmados los ataques. El punto es que un grupo con más de 600 víctimas está reclamando ataques contra organizaciones de sectores como la salud y la manufactura, cuya operación también sostiene a numerosas pequeñas y medianas empresas en México.
La lección que no caduca
Los nombres de los grupos de ransomware cambian cada año, pero la lógica sigue siendo la misma: el atacante busca destruir tu capacidad de recuperarte.
Tu respaldo no es simplemente un archivo olvidado en un disco duro. Es tu capacidad para seguir operando y negociar sin entrar en pánico.
Si tienes una copia limpia, aislada y probada, puedes recuperar el control con mayor confianza. Si no la tienes, podrías enfrentarte a una negociación bajo presión, mientras tu teléfono no deja de sonar y tu empresa pierde dinero por cada hora de inactividad.
Además, muchas de las puertas de entrada son sorprendentemente comunes: contraseñas débiles, accesos remotos sin verificación en dos pasos y equipos que llevan demasiado tiempo sin actualizarse.
Las agencias recomiendan activar la autenticación multifactor en el correo electrónico, las VPN y las cuentas críticas; utilizar contraseñas largas; priorizar las actualizaciones de fallas que ya están siendo explotadas y segmentar la red para evitar que un intruso pueda recorrer libremente todos los sistemas.
No necesitas tener el presupuesto de una multinacional para comenzar a reducir estos riesgos. Necesitas tomar decisiones y establecer prioridades.
Como CEO o director general, no tienes que convertirte en especialista técnico. Pero sí necesitas saber si tu empresa puede recuperarse de un ataque y quién es responsable de comprobarlo.
Una pregunta para cerrar
Si mañana, a las 7:00 a. m., encontraras los archivos de tu empresa cifrados y descubrieras que tu sistema de respaldos fue formateado, ¿cuánto tiempo podrías seguir operando?
¿Quién respondería la llamada en la que te exigen un porcentaje de tus ventas?
¿De dónde saldría la primera copia limpia para recuperar tus sistemas?
Si no tienes una respuesta inmediata, no es un reproche. Es una señal de que necesitas revisar tu estrategia de recuperación.
Un especialista en ciberseguridad puede ayudarte a evaluar, sin compromiso y sin tecnicismos innecesarios, qué tan preparada está tu empresa para recuperarse de un ataque de ransomware.
Porque proteger lo que has construido durante años también es una forma de orgullo y de responsabilidad con tus clientes, tus proveedores y tus colaboradores.
Tu respaldo no te va a salvar: cómo el ransomware destruye tus copias de seguridad
Hay una frase que muchos empresarios repiten con tranquilidad: “Si nos hackean, no pasa nada, tenemos respaldo”.
Es una de las frases más caras que puedes decir en una empresa.
Un aviso conjunto publicado el 20 de octubre de 2026 por el FBI, la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA), el Servicio Secreto estadounidense y agencias policiales de Alemania y el Reino Unido documenta las actividades de un grupo de ransomware llamado SafePay, que desde agosto de 2024 acumula al menos 600 víctimas en Norteamérica, Sudamérica, Europa y Australia.
El ransomware es un programa malicioso que secuestra los archivos de una empresa: los cifra para impedir que puedas abrirlos y exige un pago a cambio de devolver el acceso.
Lo inquietante no es solo el número de víctimas, sino el orden en que trabajan.
Primero entran, después te roban y, antes de cifrar, destruyen tu salvavidas
Según el aviso, identificado como AA26-293A, SafePay consigue entrar mediante credenciales expuestas, ataques de fuerza bruta —probar contraseñas una tras otra hasta acertar—, accesos por VPN, cuentas obtenidas mediante correos engañosos y fallas en equipos como firewalls, algunas conocidas desde 2020.
No necesitan una vulnerabilidad nueva y sofisticada: basta con encontrar un equipo que alguien instaló y olvidó actualizar.
Una vez dentro, los atacantes obtienen permisos de administrador, recorren las carpetas compartidas, roban contraseñas y copian la información a servidores que controlan.
Primero te roban y después cifran tus archivos. Aunque lograras recuperar toda tu información, tus datos ya podrían estar fuera de tu empresa.
Y aquí viene lo más preocupante: antes de cifrar los archivos, según el aviso, detienen el servicio de Windows que guarda versiones anteriores de los archivos, restablecen a la configuración de fábrica algunos dispositivos NAS —equipos de almacenamiento conectados a la red— y, en ciertos casos, eliminan las copias de seguridad conectadas a la red.
Destruyen tu respaldo antes de pedirte dinero porque saben que una empresa capaz de recuperarse por sí misma tiene menos motivos para pagar.
Por qué tu respaldo puede ser un espejismo
Si tus copias de seguridad están conectadas a la misma red que las computadoras de tu empresa, comparten el mismo riesgo. Si un atacante obtiene permisos de administrador, podría utilizarlos también para borrar tus respaldos.
Es como guardar una copia de la llave de tu caja fuerte dentro de la propia caja fuerte.
Por eso, las agencias recomiendan mantener copias de seguridad fuera de línea, cifradas, inmutables y probadas.
Porque un respaldo que nunca has intentado restaurar es una esperanza, no una garantía.
La extorsión llega con una llamada telefónica
Las víctimas reciben una nota con acceso a un chat anónimo y, según el aviso, un representante del grupo puede llamar por teléfono para presionarlas.
La exigencia suele consistir en una parte de los ingresos de la empresa, pagada en criptomonedas. Si la víctima no paga, los atacantes amenazan con publicar sus datos en un sitio de filtraciones.
El monto que exigen puede depender de cuánto factura tu empresa, no solamente de cuánto dinero tienes disponible para pagar.
Es lo que se conoce como doble extorsión: los delincuentes presionan para obtener un pago por recuperar el acceso a los archivos y otro para evitar que se difunda información de tus clientes, proveedores y colaboradores.
El problema ya no es únicamente tecnológico. También puede convertirse en una crisis financiera, legal, operativa y reputacional.
¿Y qué pasa en México?
De acuerdo con SCILabs, la unidad de inteligencia de amenazas de Scitum (Telmex), citada por UnoTV el 7 de septiembre de 2026, México fue el segundo país de América Latina con más ataques de ransomware durante el primer semestre de 2026, con el 17.93 % de los incidentes de la región, solo detrás de Brasil, con el 25.17 %.
En toda América Latina, los ataques crecieron un 25.54 % respecto al semestre anterior.
Sobre SafePay en México, es importante distinguir entre lo confirmado y lo que todavía es una atribución del propio grupo.
El 15 de septiembre de 2026, SafePay se atribuyó un ataque contra La Concepción, prestador de servicios de salud en Coahuila, según el sitio Dexpose, el 16 de septiembre de 2026.
El 28 de septiembre de 2026, el grupo también reclamó un ataque contra Auromex, fabricante industrial mexicano, según la plataforma SOCRadar, que lo clasificó como presunto.
Ninguna de las dos empresas ha confirmado los hechos en la información citada, y el contenido de los datos presuntamente sustraídos no está detallado.
Mencionar estos casos no significa dar por confirmados los ataques. El punto es que un grupo con más de 600 víctimas está reclamando ataques contra organizaciones de sectores como la salud y la manufactura, cuya operación también sostiene a numerosas pequeñas y medianas empresas en México.
La lección que no caduca
Los nombres de los grupos de ransomware cambian cada año, pero la lógica sigue siendo la misma: el atacante busca destruir tu capacidad de recuperarte.
Tu respaldo no es simplemente un archivo olvidado en un disco duro. Es tu capacidad para seguir operando y negociar sin entrar en pánico.
Si tienes una copia limpia, aislada y probada, puedes recuperar el control con mayor confianza. Si no la tienes, podrías enfrentarte a una negociación bajo presión, mientras tu teléfono no deja de sonar y tu empresa pierde dinero por cada hora de inactividad.
Además, muchas de las puertas de entrada son sorprendentemente comunes: contraseñas débiles, accesos remotos sin verificación en dos pasos y equipos que llevan demasiado tiempo sin actualizarse.
Las agencias recomiendan activar la autenticación multifactor en el correo electrónico, las VPN y las cuentas críticas; utilizar contraseñas largas; priorizar las actualizaciones de fallas que ya están siendo explotadas y segmentar la red para evitar que un intruso pueda recorrer libremente todos los sistemas.
No necesitas tener el presupuesto de una multinacional para comenzar a reducir estos riesgos. Necesitas tomar decisiones y establecer prioridades.
Como CEO o director general, no tienes que convertirte en especialista técnico. Pero sí necesitas saber si tu empresa puede recuperarse de un ataque y quién es responsable de comprobarlo.
Una pregunta para cerrar
Si mañana, a las 7:00 a. m., encontraras los archivos de tu empresa cifrados y descubrieras que tu sistema de respaldos fue formateado, ¿cuánto tiempo podrías seguir operando?
¿Quién respondería la llamada en la que te exigen un porcentaje de tus ventas?
¿De dónde saldría la primera copia limpia para recuperar tus sistemas?
Si no tienes una respuesta inmediata, no es un reproche. Es una señal de que necesitas revisar tu estrategia de recuperación.
Un especialista en ciberseguridad puede ayudarte a evaluar, sin compromiso y sin tecnicismos innecesarios, qué tan preparada está tu empresa para recuperarse de un ataque de ransomware.
Porque proteger lo que has construido durante años también es una forma de orgullo y de responsabilidad con tus clientes, tus proveedores y tus colaboradores.
Síguenos en todas nuestras redes:
Facebook: https://www.facebook.com/CareTelecom
Twitter: https://twitter.com/caretelecom?
Linkedin: https://www.linkedin.com/company/care-telecom/
Correo: info@caretelecom.com
Instagram: https://instagram.com/caretelecom?
Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA
Categorías Populares
Instagram Feeds
[instagram-feed]
Popular Tags
Archivos
Nuestros Servicios