Según ReliaQuest, un pequeño grupo de antiguos afiliados de Black Basta ha atacado a más de 100 empleados en docenas de organizaciones para invadir los sistemas de red y potencial robo de datos, implementación de ransomware y extorsión.

La campaña de ingeniería social, que implica bombardeos masivos de correos electrónicos y suplantación de la mesa de ayuda de Microsoft Teams, aumentó el mes pasado y se remonta al menos a mayo de 2025, dijo ReliaQuest en un informe el martes.

Los atacantes se han dirigido principalmente a los altos directivos para obtener un acceso altamente privilegiado. «Aproximadamente tres cuartas partes de los usuarios objetivo eran ejecutivos, directores, gerentes o roles similares de alto valor», dijeron a CyberScoop por correo electrónico los investigadores que trabajaron en el informe.

Los ciberdelincuentes involucrados en Black Basta, una rama de Conti, se dispersaron después de que los registros de chat internos del grupo de amenazas se filtraran en línea en febrero de 2025, proporcionando a los investigadores de amenazas y a las autoridades detalles clave sobre las operaciones del grupo.

La policía alemana identificó públicamente en enero a Oleg Evgenievich Nefedov, un ciudadano ruso, como el presunto líder de Black Basta. Nefedov, un hombre de 35 años que posteriormente fue incluido en las listas de los más buscados Europol y Interpolsupuestamente formó y dirigió Black Basta desde 2022, dijeron las autoridades.

Se le acusa de extorsionar a más de 100 empresas en Alemania y alrededor de 600 países más en todo el mundo.

ReliaQuest dijo que la campaña observada recientemente comparte muchas similitudes con la actividad anterior de Black Basta y sigue el mismo manual (herramientas, orientación y estilo de ejecución) asociado con el otrora prolífico grupo de ransomware.

«Eso incluye el uso repetido de herramientas de acceso remoto, una fuerte concentración en sectores históricamente favorecidos por Black Basta y un nivel de velocidad y coordinación que sugiere que los operadores experimentados están basándose en un manual que ya saben que funciona», dijeron los investigadores.

«Tenemos cuidado de no tratar ningún artefacto en particular como prueba definitiva, pero en conjunto, las similitudes son lo suficientemente fuertes como para evaluar que es muy probable que estén involucrados antiguos afiliados u operadores estrechamente alineados», agregaron los investigadores de ReliaQuest.

El sitio de filtración de datos de Black Basta se cerró poco después de que se filtraran sus chats internos el año pasado, pero los ciberdelincuentes no capturados generalmente se dispersan y se unen a nuevos grupos después de un desmantelamiento o disolución. Los cazadores de amenazas advirtieron que los ex miembros todavía estaban apuntando activamente a víctimas adicionales a principios de este año.

ReliaQuest publicó su informe, que incluye indicadores de compromiso, después de observar un aumento particularmente pronunciado en la actividad en marzo, señalando que el objetivo del grupo se centraba más en los empleados de alto nivel.

«Los operadores se están moviendo muy rápidamente, con partes del flujo de trabajo volviéndose más automatizadas o altamente optimizadas, lo que hace que la campaña sea más fácil de escalar y más difícil para los defensores interrumpirla antes de que se establezca el acceso remoto», dijeron los investigadores.

Los cinco principales sectores objetivo de los recientes ataques al estilo Black Basta incluyen la manufactura, los servicios profesionales, las finanzas y seguros, la construcción y la tecnología, según ReliaQuest.

Los atacantes suelen bombardear a los empleados objetivo con cientos de correos electrónicos en cuestión de minutos y luego contactan a los usuarios objetivo, haciéndose pasar por el soporte de TI a través de mensajes directos en Microsoft Teams o una llamada telefónica. ReliaQuest dijo que ha observado que algunos atacantes logran acceso remoto minutos después de la primera señal de una bomba de correo electrónico.

Los investigadores no dijeron cuántas organizaciones han sido invadidas con éxito como resultado de esta campaña hasta el momento.

Si bien la extorsión parece ser el objetivo más probable, ReliaQuest advirtió que no se debe asumir que cada ataque resulta en cifrado de ransomware.

«Según lo que hemos observado, la cadena de intrusión está diseñada para obtener acceso rápidamente, comprender el entorno y crear opciones para la monetización posterior», dijeron los investigadores. «Eso podría conducir al robo de datos, la extorsión sin cifrado o la implementación de ransomware, dependiendo de la víctima y la oportunidad».

Durante años, los ciberataques siguieron un patrón familiar: reconocimiento, explotación, persistencia, impacto. Los defensores construyeron sus estrategias en torno a ese ciclo, parcheando vulnerabilidades, monitoreando indicadores y trabajando para reducir el tiempo de permanencia. Pero se está produciendo un cambio más silencioso.

Los adversarios más sofisticados de la actualidad utilizan la IA para estudiar cómo se defienden las organizaciones. Llevan a cabo lo que llamamos “campañas de sondeo silencioso”: operaciones sutiles a largo plazo diseñadas para mapear cómo un equipo detecta amenazas, intensifica los problemas y responde bajo presión. Estas campañas se centran en conocer los hábitos, el flujo de trabajo y los puntos de decisión del defensor para que los atacantes puedan cronometrar y adaptar las acciones de seguimiento para evadir la detección. Esto reformula el riesgo cibernético, convirtiéndolo de un problema técnico en uno de comportamiento.

De encontrar vulnerabilidades a estudiar a los defensores

Históricamente, los atacantes se centraban únicamente en lagunas técnicas, ya fuera de un servidor sin parches, credenciales expuestas o una nube mal configurada. El objetivo era encontrar la debilidad y explotarla antes de que alguien más lo hiciera. El sondeo silencioso añade una nueva fase de “aprendizaje” a ese manual.

Los atacantes estudian cómo responde una organización con tanto cuidado como estudian sus sistemas. Utilizando IA durante semanas o meses, miden silenciosamente la velocidad de detección y escalamiento, aprenden qué alertas se ignoran e infieren patrones como cobertura de turnos, fatiga de alertas y cuellos de botella en los procesos.

Con el tiempo, estas sutiles sondas generan datos que alimentan los modelos adaptativos. Esos modelos ayudan a los atacantes a aprender qué desencadena una respuesta, qué tan rápido reaccionan los equipos y dónde tiende a fallar la detección. Esto significa que cuando finalmente se desarrolla un ataque importante, ya se ha optimizado frente a los patrones defensivos reales de la organización.

Al mismo tiempo, las organizaciones están incorporando IA en sus operaciones de seguridad, desde la clasificación automatizada hasta la orquestación de respuestas autónomas. Sin embargo, este cambio introduce un nuevo riesgo: los mismos sistemas diseñados para defender la empresa pueden convertirse en parte de la superficie de ataque.

A medida que las organizaciones dependen cada vez más de la IA para ejecutar sus operaciones de seguridad, estos sistemas necesitan una amplia visibilidad y acceso para funcionar correctamente. A menudo se conectan a plataformas en la nube, sistemas de identidad y controles de puntos finales para poder detectar amenazas y actuar rápidamente. Pero ese nivel de acceso crea una cantidad sustancial de poder. Si uno de estos sistemas impulsados ​​por IA se ve comprometido o manipulado, no solo expone una sola herramienta, sino que puede darle al atacante un amplio alcance en todo el entorno. En ese escenario, la tecnología diseñada para proteger a la organización puede acelerar el daño.

La automatización aumenta el riesgo cuando los sistemas de IA pueden tomar medidas sin la aprobación humana, como aislar dispositivos, restablecer contraseñas o cambiar configuraciones. Se requieren límites y barreras de seguridad claros, ya que las entradas manipuladas o las interpretaciones erróneas pueden desencadenar una perturbación rápida y de gran alcance. El riesgo depende de la autoridad del sistema y de los controles que lo rodean.

Las alucinaciones de la IA en las operaciones de seguridad pueden hacer que los sistemas identifiquen erróneamente las amenazas, aíslen los activos equivocados o pasen por alto la amenaza real. Los errores repetidos pueden erosionar la confianza en el sistema o, peor aún, crear una falsa sensación de confianza en sus decisiones automatizadas. Esto afecta el juicio, la toma de decisiones y cómo se entiende el riesgo en tiempo real.

El riesgo de defensas predecibles

Un sondeo silencioso revela cuán predecibles son las defensas de una organización. Los atacantes ahora buscan patrones en el comportamiento defensivo: consistencia de respuesta entre turnos, alertas ignoradas rutinariamente, pasos de respuesta a incidentes predecibles y si herramientas ruidosas ocultan accidentalmente amenazas que se mueven lentamente.

Cuando el comportamiento defensivo se vuelve visible y predecible, puede estudiarse y explotarse. Las organizaciones necesitan comprender cómo se ven sus defensas desde el exterior y evaluar su exposición conductual de la misma manera que los equipos rojos prueban los controles técnicos. Esto incluye comprender con qué facilidad un extraño puede identificar los umbrales de detección, con qué claridad se pueden medir los tiempos de respuesta y cuánta rutina operativa se puede aprender mediante sondeos silenciosos y repetidos. La pregunta clave es si los patrones de respuesta están enseñando involuntariamente a los atacantes cómo tener éxito.

Preparación en la era de la IA

Dado que la IA desempeña un papel más importante en las operaciones de seguridad, la supervisión debe evolucionar junto con ella. Una gobernanza sólida comienza con una definición clara de lo que se permite hacer a los sistemas de IA. Las organizaciones deben ser explícitas sobre qué acciones pueden ocurrir automáticamente y cuáles requieren aprobación humana. Por el contrario, los principios de privilegios mínimos deberían aplicarse no sólo a las personas, sino también a las máquinas. Las herramientas impulsadas por la IA deben probarse periódicamente y revisarse para detectar derivas, sesgos y conclusiones inexactas. Siempre que sea posible, las autoridades de detección y respuesta deben estar separadas para evitar concentrar demasiada energía en un solo sistema. La centralización sin control puede parecer eficiente, pero en la práctica crea fragilidad.

Aun así, las políticas y las barreras de seguridad por sí solas no son suficientes. A medida que los atacantes utilizan la IA para comprender a los defensores, estos deben perfeccionar su propia capacidad para pensar como sus adversarios. Los profesionales de seguridad necesitan evaluar cómo funcionan sus herramientas y cómo podrían ser observadas, manipuladas o engañadas. Esto requiere cuestionar las decisiones automatizadas, intervenir cuando sea necesario e investigar anomalías, especialmente cuando el sistema parece confiar en sus conclusiones.

Por eso son importantes las simulaciones prácticas y los equipos rojos centrados en la IA. Los equipos necesitan experiencia en entornos que simulen adversarios adaptativos que ajustan sus tácticas en función de respuestas defensivas. no sólo escenarios de ataque de libros de texto. Necesitan comprender las capacidades de detección de la IA y los riesgos que introducen las configuraciones deficientes o la confianza ciega. La brecha que enfrentan las organizaciones se ha vuelto más cognitiva que tecnológica, y cerrar esa brecha requiere un desarrollo continuo y mensurable de habilidades, incluida la alfabetización en IA, la conciencia ofensiva sobre la IA y la capacidad de evaluar críticamente los resultados automatizados.

En una era en la que la IA es lo primero, la resiliencia ahora depende de cómo una organización se defiende como si estuviera siendo vigilada. El sondeo silencioso permite a los atacantes comprender los umbrales de detección, la velocidad de escalada y la coherencia de la respuesta durante semanas o meses. y la coherencia con la que responden los equipos. Esta tranquila observación puede servir ahora como precursora de un ataque importante a una empresa.

Los líderes de seguridad deben centrarse en lo que sus organizaciones revelan a través del comportamiento defensivo diario. Cuando los atacantes pueden observar, aprender y adaptarse con el tiempo, las respuestas predecibles se convierten en un problema porque son fáciles de estudiar y explotar.

Dimitrios Bougioukas es vicepresidente senior de capacitación en Hack The Box, donde lidera el desarrollo de iniciativas y certificaciones de capacitación avanzada que equipan a los profesionales de la ciberseguridad de todo el mundo con habilidades listas para la misión.

Se ha arraigado un esfuerzo mundial de aplicación de la ley para combatir The Com, una red nihilista en expansión de miles de menores y adultos jóvenes involucrados en diversas formas de delitos cibernéticos, incluida la violencia física y la extorsión.

Proyecto Brújulauna operación coordinada por Europol con el apoyo de 28 países, incluidos todos los miembros de los Cinco Ojos, ha dado lugar a la arresto de 30 perpetradores desde que la iniciativa se puso en marcha en enero de 2025, dijeron las autoridades en un comunicado de prensa el jueves.

Las autoridades dijeron que las contramedidas sostenidas han contribuido a la identificación total y parcial de 179 perpetradores, mientras que la operación también ha salvaguardado a cuatro víctimas e identificado hasta 62 víctimas.

El Com se divide en tres subconjuntos principales con diferentes objetivos que el FBI describe como Hacker Com, In Real Life Com y Extortion Com. Los delitos atribuidos a miembros del grupo se han vuelto cada vez más complejos, y los perpetradores hacen todo lo posible para enmascarar identidades, ocultar transacciones financieras y lavar dinero.

«Estas redes apuntan deliberadamente a los niños en los espacios digitales donde se sienten más cómodos», dijo en un comunicado Anna Sjöberg, directora del Centro Europeo Contra el Terrorismo de Europol.

Varias ramas de The Com han sido vinculadas a crímenes de alto perfil en los últimos años, y las fuerzas del orden han respondido con una mayor actividad e interés en las actividades del grupo.

La COM es enorme: muchos perpetradores siguen prófugos y aún más víctimas siguen sufriendo y esperando ayuda.

Este creciente esfuerzo global para frustrar las tendencias cambiantes del crimen con recursos apropiados ha construido una base que fomentará resultados más allá de los logrados hasta la fecha, dijo Allison Nixon, directora de investigación de la Unidad 221B.

«¿Cómo se come un elefante? Un bocado a la vez», dijo a CyberScoop. «La COM representa un importante problema social que afecta a la juventud, y las expectativas de la gente deben ser realistas. Estas primeras cifras y el aumento de los esfuerzos con el tiempo es lo que representa el éxito y debemos fomentarlo».

Una respuesta policial eficaz a The Com requiere una forma diferente de pensar y reequipar, “pero tiene más solución que el crimen que se origina en naciones hostiles”, dijo Nixon.

Project Compass se basa en una red de intercambio de información, que permite a cada uno de los países socios ayudar con las investigaciones en varias unidades especializadas. Los países también están compartiendo consejos sobre medidas preventivas y movilizando grupos de datos para reunir inteligencia para los casos en curso.

«El Proyecto Compass nos permite intervenir antes, salvaguardar a las víctimas y perturbar a quienes explotan la vulnerabilidad con fines extremistas», afirmó Sjöberg. «Ningún país puede hacer frente a esta amenaza por sí solo y, a través de esta cooperación, estamos cerrando las brechas en las que intentan esconderse».

Europol no ha identificado hasta el momento a las 30 personas detenidas en el marco del Proyecto Compass. Sin embargo, al menos algunos de esos casos son públicos.

Durante el año pasado, las autoridades arrestaron a varios miembros de una rama de Com conocida como 764, que es una creciente amenaza en línea para obligar a niños vulnerables a producir material de abuso sexual infantil de ellos mismos, material gor, automutilación, abuso de hermanos, abuso de animales y otros actos de violencia.

Dos presuntos líderes de 764, Leonidas Varagiannis y Prasan Nepal, fueron arrestados y acusados ​​de dirigir y distribuir CSAM en abril.

Tony Christoper Long y Alexis Aldair Chávez se declararon culpables a fines del año pasado de múltiples delitos relacionados con su participación en el grupo extremista. Otros presuntos 764 miembros han sido arrestados en Estados Unidos más recientemente, incluidos Erik Lee Madison y Aaron Corey.