La detección temprana de ransomware requiere identificar las actividades que preceden al cifrado, una de las etapas más visibles de un ataque. Los accesos con credenciales válidas y el uso de herramientas administrativas pueden parecer legítimos cuando se revisan por separado, por lo que es necesario relacionarlos con otros registros.
El informe de octubre de Secure Soft, Centro de Excelencia de Ciberseguridad de Gtd, examina la actividad de 187 grupos de ransomware y más de 6.000 víctimas observadas a nivel global. En América Latina, los registros correspondientes al período entre enero y agosto de 2026 sitúan a Chile en el cuarto lugar entre cinco países analizados, con 33 organizaciones mencionadas en publicaciones de grupos criminales.
A partir de estos antecedentes, conversamos con Juan Carlos Beltrán, director de Tecnología (CTO) de Secure Soft para Perú, Ecuador, Chile, Colombia y México, sobre las señales que aparecen antes del cifrado y el papel de la inteligencia artificial para identificarlas. El especialista cuenta con más de 25 años de experiencia en seguridad de la información, tecnología y gestión de riesgos, y anteriormente se desempeñó como director de Seguridad de la Información (CISO) de Banco Pichincha.
¿Cómo funciona la detección temprana de ransomware?
La detección temprana de ransomware comienza por reconocer las actividades que preceden a la etapa más visible de un ataque. Según Beltrán, los registros de seguridad pueden mostrar comportamientos que, aunque no constituyen una prueba individual de compromiso, adquieren importancia cuando aparecen relacionados.
“El ransomware rara vez comienza con el cifrado. Antes observamos actividades como conexiones inusuales, uso anómalo de credenciales, movimiento lateral, escalamiento de privilegios, creación de tareas programadas, desactivación de controles de seguridad o intentos de exfiltración de información”.
Estas actividades también pueden ser legítimas, especialmente cuando forman parte de la administración de sistemas. Por eso, el análisis requiere comprobar quién las ejecuta, desde qué dispositivo y si corresponden al comportamiento habitual de la cuenta utilizada.
El director de Tecnología identifica precisamente esa capacidad de relacionar diferentes señales como una de las aplicaciones de la IA frente a los sistemas que dependen de reglas previamente establecidas.
“La ventaja de la IA aparece cuando debemos identificar patrones sutiles que no coinciden exactamente con reglas predefinidas. Por ejemplo, un usuario puede conectarse desde un horario habitual, pero acceder simultáneamente a sistemas que nunca había utilizado. Cada acción individual parece legítima; el patrón completo no lo es”.
La diferencia se aprecia al observar herramientas como PsExec, utilizada para ejecutar comandos remotamente en equipos Windows. Su presencia no demuestra por sí misma una intrusión.
«La clave está en el contexto. Un modelo necesita analizar quién ejecuta la herramienta, desde qué equipo, a qué hora, contra qué sistemas, con qué comandos específicos y si esa actividad coincide con los patrones históricos del usuario».
Para mostrar cómo influyen esos antecedentes, el ejecutivo compara una operación programada de mantenimiento con otra que utiliza la misma herramienta fuera de las condiciones habituales.
«Por ejemplo, un administrador que utiliza PsExec durante una ventana de mantenimiento programada presenta un comportamiento esperado. Si un usuario administrativo comienza a ejecutar comandos remotos sobre decenas de servidores a las tres de la mañana y desde un equipo poco habitual, el nivel de riesgo cambia radicalmente».
En ese escenario, la IA no determina que una herramienta sea maliciosa por su nombre. Lo que busca reconocer es una combinación de acciones que se aparta del comportamiento esperado y que requiere una investigación.
«La herramienta es la misma; lo diferente es el contexto operacional».
¿Qué hace cada tipo de inteligencia artificial en la detección temprana de ransomware?
La detección de anomalías y el análisis posterior de una alerta cumplen funciones diferentes. El primer proceso busca desviaciones en la actividad registrada, mientras que la investigación necesita interpretar los eventos y relacionarlos con posibles técnicas de ataque.
El entrevistado distingue ambas tareas al explicar qué aportan los modelos de detección de anomalías dentro de una infraestructura.
«Los modelos de detección de anomalías son especialmente útiles para identificar comportamientos fuera de lo normal: movimientos laterales inusuales, accesos atípicos, crecimiento anormal del tráfico o patrones extraños de autenticación».
Una vez identificada una desviación, los analistas deben determinar qué ocurrió y si existe evidencia suficiente para considerarla una amenaza. En esa etapa, los modelos de lenguaje pueden ayudar a organizar los registros, relacionar información y explicar las técnicas identificadas.
«Los modelos de lenguaje, en cambio, aportan valor durante la investigación. Pueden resumir eventos, correlacionar información de múltiples sistemas, explicar técnicas MITRE ATT&CK y asistir a los analistas en la interpretación de alertas complejas».
El procesamiento de información procedente de distintos sistemas también exige establecer cómo se protegen los datos utilizados durante la investigación. El CTO explica qué controles considera necesarios para ese tratamiento.
«Respecto de los datos, es fundamental aplicar controles de privacidad, segmentación, anonimización cuando corresponda y mecanismos estrictos de gobierno de información».
La protección de los datos y la eficacia de los modelos son cuestiones diferentes. Para comprobar si un sistema identifica ataques desconocidos, el ejecutivo plantea evaluar su comportamiento frente a situaciones que no hayan formado parte del entrenamiento.
«La prueba más importante consiste en enfrentar el modelo a escenarios que nunca haya visto durante su entrenamiento».
La evaluación debe considerar tanto la calidad de las detecciones como la rapidez con que se reconoce una amenaza. El directivo organiza esos criterios en tres dimensiones que permiten comparar el comportamiento de los sistemas.
«Nosotros evaluaríamos tres dimensiones: Capacidad de detección de amenazas desconocidas; Tasa de falsos positivos y falsos negativos y Tiempo de detección y contención».
Esos indicadores requieren pruebas que permitan contrastar los resultados bajo condiciones definidas. El entrevistado también explica qué ejercicios utilizaría para comparar un entorno con IA frente a otro que no incorpora esa tecnología.
«También realizaríamos ejercicios de purple teaming, simulaciones de ransomware y pruebas de emulación basadas en MITRE ATT&CK para comparar el desempeño de un entorno con IA versus uno sin IA».
Se trata de una metodología de evaluación propuesta por el entrevistado, no de resultados comparativos que haya presentado como mediciones ya realizadas.
«Lo relevante no es sólo detectar más alertas, sino detectar antes y con menos ruido para los analistas».
¿Cuándo una IA debería intervenir automáticamente?
Detectar una actividad sospechosa no significa que el sistema deba bloquearla de inmediato. Aislar un equipo o suspender una cuenta puede detener una intrusión, pero también interrumpir actividades legítimas si la alerta resulta equivocada.
Beltrán establece una primera condición para permitir que un sistema de IA ejecute medidas de contención sin intervención previa de un analista.
«Las acciones automáticas deben apoyarse en evidencia múltiple».
Para precisar ese requisito, el director de Tecnología de Secure Soft identifica los indicadores que deberían comprobarse antes de bloquear una cuenta o aislar un dispositivo.
«Antes de aislar un equipo o bloquear una cuenta, el sistema debería corroborar indicadores como autenticaciones sospechosas, movimiento lateral, ejecución de herramientas de post-explotación, exfiltración de datos o comunicaciones con infraestructura de comando y control».
La comprobación de esas señales no elimina la necesidad de definir hasta dónde puede intervenir automáticamente el sistema. El entrevistado distingue las medidas de bajo riesgo de aquellas que podrían afectar procesos críticos.
«La automatización es recomendable para acciones de bajo riesgo y alta confianza. Sin embargo, decisiones que puedan afectar procesos críticos del negocio normalmente deben incorporar validación humana».
Esa distinción también exige prever qué ocurriría si una medida de contención resultara equivocada. Beltrán incorpora la posibilidad de revertir una decisión como otro requisito para las respuestas automáticas.
«Asimismo, toda acción debe ser reversible. Si se aísla un equipo por error, debe existir un procedimiento de restauración rápido y auditado».
Los riesgos tampoco se limitan a los errores de detección. Un atacante podría intentar modificar los datos que recibe el modelo para ocultar una intrusión o provocar una respuesta contra una actividad legítima.
«Ese es uno de los desafíos más importantes de los próximos años».
Ante esa posibilidad, el ejecutivo plantea controles sobre la información que procesa la IA y un seguimiento de su comportamiento durante el análisis de seguridad.
«La protección debe incluir validación de fuentes, controles de integridad de datos, monitoreo permanente del modelo y mecanismos que permitan detectar intentos de envenenamiento de datos o manipulación de contexto».
Estos mecanismos buscan proteger la información utilizada durante el análisis, pero no garantizan que toda decisión posterior sea correcta. Por eso, el entrevistado considera necesario incorporar comprobaciones adicionales cuando una respuesta automática puede afectar sistemas críticos.
«También es recomendable utilizar múltiples capas de validación. Nunca deberíamos depender de una única decisión tomada exclusivamente por IA para ejecutar acciones críticas».
En ese esquema, los controles técnicos y las verificaciones adicionales acompañan la evaluación del incidente, mientras que las decisiones de mayor impacto mantienen una instancia de revisión por parte de los analistas.
«La supervisión humana sigue siendo un elemento esencial de la defensa».
De una autenticación sospechosa a la contención de una intrusión
Para explicar cómo se relacionan la detección de anomalías, la investigación y las medidas de respuesta, Juan Carlos Beltrán describe un escenario de intrusión. Su relato permite seguir las distintas etapas, aunque no incluye registros verificables ni mediciones que permitan evaluar de manera independiente la eficacia del modelo.
«Sin revelar información de clientes, puedo describir un escenario representativo».
El punto de partida son las actividades de una cuenta que accede a distintos recursos internos. En esta etapa, resulta importante distinguir lo que muestran los registros individuales de lo que puede revelar la secuencia completa.
«Una organización comenzó a mostrar autenticaciones exitosas desde ubicaciones inusuales, seguidas por consultas a directorios corporativos y accesos a servidores que normalmente no eran utilizados por esa cuenta. Ninguna actividad, de forma individual, activaba las reglas críticas tradicionales».
La relación entre esos eventos permite examinar si las operaciones corresponden al comportamiento habitual de la cuenta. En el escenario descrito, esa evaluación modifica la interpretación inicial y lleva la alerta al equipo encargado de investigar posibles intrusiones.
«Sin embargo, un modelo de comportamiento identificó que la secuencia completa se desviaba significativamente de la línea base histórica del usuario. El incidente fue escalado al CyberSOC para investigación».
El escalamiento de una alerta no equivale por sí mismo a confirmar una intrusión, por lo que el siguiente paso consiste en establecer qué ocurrió. Beltrán continúa el relato con los resultados de esa investigación y las medidas de contención aplicadas por la organización.
«A partir de esa alerta se detectó una cuenta comprometida que estaba siendo utilizada para reconocimiento interno y movimiento lateral. La organización bloqueó credenciales, aisló sistemas afectados y evitó que la intrusión avanzara hacia la fase de exfiltración y cifrado».
El ejemplo reúne las funciones que el ejecutivo distingue durante la conversación: reconocer cambios de comportamiento, relacionar señales, investigar una alerta y ejecutar medidas de contención. A partir de esa secuencia, el CTO de Secure Soft explica dónde considera que la inteligencia artificial puede aportar información útil al trabajo de los analistas.
«Ese es probablemente el mayor aporte de la IA en ciberseguridad: no reemplazar al analista, sino darle visibilidad anticipada cuando todavía existe tiempo para actuar. Como planteamos en el informe, cuando el ransomware se hace visible, normalmente el incidente ya está avanzado. La oportunidad real está en detectar las señales previas y contener el ataque antes de que alcance su objetivo».