Acronis TRU Cyber Pulse abre el informe de ciberseguridad 2026 de Acronis con un aviso medible: una identidad robada abre más puertas que un equipo infectado.
La primera edición del informe, publicada hoy 9 de noviembre y de descarga gratuita, reúne un año de investigaciones de la Threat Research Unit (TRU), la unidad de investigación de amenazas de la compañía suiza, y ordena ese trabajo en tres frentes: técnicas de ataque nuevas, amenazas persistentes avanzadas con espionaje y delito digital.
El documento mira de frente a los proveedores de servicios gestionados (MSP, por sus siglas en inglés), las empresas que administran la tecnología de otras empresas. Un MSP con una cuenta administrativa comprometida arrastra a sus clientes en cadena: las identidades, las herramientas remotas y la infraestructura compartida conectan entornos que en el papel están separados.
Acronis vende protección a más de 21.000 proveedores que cubren a más de 750.000 negocios en 150 países, y el informe habla desde esa posición: cada caso revisado termina en una recomendación práctica.
La identidad robada pesa más que el equipo infectado
Los ladrones de información, programas que roban datos del equipo donde se cuelan, ya no se conforman con la contraseña del navegador. Datos de la TRU muestran que esos programas recogen galletas de sesión activas, tokens (las llaves temporales que mantienen una sesión abierta) y claves de interfaces de programación (API) de proveedores de inteligencia artificial, junto a credenciales de herramientas de código y de servicios en la nube.
Con una sesión robada, el atacante entra a la aplicación en la nube aunque el equipo original ya esté limpio.
Ese apetito por las credenciales de IA tiene una cara concreta. La TRU identificó más de 575 habilidades maliciosas de OpenClaw, una plataforma de agentes, repartidas en 13 cuentas de desarrollador, con paquetes que imitaban utilidades legítimas. Las pasarelas de agentes expuestas a internet suman otro flanco: quien las alcanza puede tocar comandos, archivos y credenciales que el agente maneja a diario.
La recomendación del informe es directa: limitar la autoridad de cada agente con permisos exigibles, no con promesas del proveedor.
El caso que el informe usa para ilustrar la escala nueva es BOSSAI: un solo operador conectó más de 10 modelos a marcos ofensivos y sostuvo reconocimiento, explotación de fallos y gestión de infraestructura contra blancos en varios países, una operación contada desde el servidor abierto del propio atacante.
La lectura de la TRU es clara: un operador capaz, con agentes bien conectados, produce hoy un volumen de trabajo parecido al de un grupo organizado entero.
Apagar las defensas y atacar la base virtual
Otra línea del informe describe a operadores de ransomware (programas que cifran los datos y piden rescate) y a grupos avanzados que desactivan a propósito la protección de los equipos y los registros de actividad. Apagar la defensa y borrar la bitácora deja un punto ciego justo en el tramo en que el intruso se mueve por la red.
El ransomware, además, sale de Windows: los ataques a Linux y a VMware ESXi, la plataforma que sostiene máquinas virtuales, buscan la capa donde viven muchas cargas de trabajo a la vez.
Borrar instantáneas de máquinas virtuales y apagar servidores virtuales sin aviso aparecen en el informe como señales de un ataque que amenaza el servicio y la recuperación al mismo tiempo. El margen para reaccionar se achica por el otro extremo: con ayuda de IA, un atacante convierte una vulnerabilidad recién publicada en un ataque funcional en cuestión de horas.
Los servicios de confianza completan el cuadro: GitHub, Telegram, almacenamiento en la nube, hojas de cálculo y aplicaciones con certificados de firma válidos sirven para repartir programas dañinos y recibir instrucciones, mezclados con el uso legítimo de cada día.
El delito digital suma otra pieza: los grupos de ransomware se fragmentan, los afiliados cambian de marca y el código fuente circula entre operaciones nuevas, con capacidades viejas detrás de nombres recién aparecidos.
Las recomendaciones aterrizan en tareas concretas: rastrear cada identidad comprometida hasta las aplicaciones y los clientes que toca, revisar qué herramientas remotas hay instaladas y quién las opera, y probar la recuperación pensando en un escenario donde los sistemas administrativos normales no son confiables.
Un dato del informe explica esa insistencia: en más de 1,8 millones de equipos que ya usan la herramienta remota de Acronis, el 63,1 % tenía instalada al menos otra herramienta de acceso remoto adicional.
Santiago Pontiroli, responsable de investigación de inteligencia de amenazas en Acronis, resumió la edición como el trabajo de un año mirado en conjunto para ver patrones que un caso suelto no muestra. Gerald Caron, director de seguridad de la información de la compañía, apuntó al mismo punto: proteger equipos sueltos no alcanza cuando las identidades y las herramientas remotas conectan todo el entorno.
El informe Acronis TRU Cyber Pulse completo se descarga gratis desde hoy en el centro de recursos de Acronis, con el análisis de campañas y la guía práctica para proveedores y empresas.
Fuente: Acronis
