12 minutos hasta la contención: cómo un SOC de MDR detuvo un ataque de ransomware en preparación en 2026 antes de que comenzara el cifrado
Cybool Security Team
Inteligencia de Amenazas
Los ataques de ransomware ya no se anuncian con una pantalla de presentación. Para 2026, la cadena de ataque típica se desarrolla durante 4 a 11 días entre el acceso inicial y el cifrado. El cifrado es la parte ruidosa. Todo lo anterior es silencioso —y todo lo anterior es donde la contención todavía es posible.
Esta es la cronología de uno de esos ataques, contenido un martes por la mañana de marzo de 2026 en un entorno monitoreado por Cybool. Los detalles identificativos están anonimizados; el detalle técnico se conserva.
El entorno
Una empresa de servicios de manufactura de 180 personas en Centroamérica. Entorno mixto de Windows 11 y Windows Server 2022, Microsoft 365 para productividad, servidores de archivos y ERP locales, EDR desplegado en todos los endpoints, reenvío de registros al SOC de Cybool para monitoreo continuo. El cliente está suscrito a la cobertura MDR estándar 24/7.
Día -7: el comienzo silencioso
Una usuaria del departamento de finanzas recibe un correo de phishing que suplanta a un proveedor conocido. El correo contiene un adjunto HTML que, al abrirse, presenta una página falsa de inicio de sesión de Microsoft 365. La usuaria escribe su contraseña real.
El atacante inicia sesión en su cuenta de Microsoft 365 desde una dirección IP checa. El SOC de Cybool detecta la anomalía de geolocalización y dispara una alerta de severidad baja; el analista de turno obliga a la usuaria a restablecer su contraseña y habilita el acceso condicional que exige MFA desde ubicaciones nuevas. La campaña de phishing queda documentada y el patrón del correo se bloquea en la pasarela. Desde la perspectiva del SOC, esto es un robo de credenciales rutinario, neutralizado.
Lo que el SOC no ve en esta etapa: el atacante ya había exportado el contenido de OneDrive de la usuaria durante la ventana de acceso de 90 minutos. Entre esos documentos había un diagrama de red que hacía referencia al dispositivo VPN de la empresa.
Día -5 a Día -1: reconocimiento
Durante los siguientes cinco días, el atacante —que ahora se cree es un afiliado de un grupo sucesor de LockBit— enumera silenciosamente la superficie de ataque pública de la empresa. Identifican el dispositivo VPN, confirman su fabricante y versión aproximada, e identifican a tres empleados con acceso elevado cruzando perfiles de LinkedIn con el diagrama de red.
Sale una segunda oleada de phishing, esta vez hiperdirigida a los tres empleados. Uno de ellos —un administrador de TI con acceso VPN— abre un enlace de Microsoft Teams en lo que parece un ticket de soporte de un proveedor. El enlace utiliza un flujo de consentimiento OAuth para otorgar al atacante acceso persistente a su cuenta.
El consentimiento OAuth es inusual pero no imposible. El SOC de Cybool ve el evento en el registro de auditoría de Microsoft 365 pero lo califica de severidad media porque el consentimiento se otorgó a una aplicación que, a primera vista, parecía ser una integración conocida de Teams. Se abre un ticket para revisión a la mañana siguiente.
Día 0, 02:31: conexión VPN
A las 02:31 hora local, el atacante se conecta a la VPN de la empresa usando las credenciales del administrador de TI y una técnica de evasión de MFA. La VPN registra la conexión. El administrador está dormido.
El monitoreo del SOC de Cybool detecta un inicio de sesión VPN a una hora inusual para ese usuario. La línea base de comportamiento de esta cuenta muestra inicios de sesión VPN entre las 07:00 y las 19:00 en días laborables. El horario de las 02:31 rompe el patrón.
La analista de turno —ubicada en el SOC de Cybool en Tel Aviv, donde son las 09:31— abre la sesión, revisa la IP de origen (un proxy residencial en Europa del Este) y eleva la alerta a severidad alta. Todavía no tiene fundamentos para desconectar la sesión; podría tratarse de un administrador legítimo trabajando hasta tarde. Solicita una verificación por un canal alterno.
Día 0, 02:35–02:46: reconocimiento interno
Entre las 02:35 y las 02:46, el atacante ejecuta comandos de reconocimiento dentro de la red. Enumeran el Active Directory usando net group y Get-ADUser. Verifican el software de respaldo, las exclusiones del antivirus y recursos compartidos de archivos inusuales. Mapean la topología de la red.
Cada uno de estos comandos genera eventos en el SIEM de Cybool. De forma individual, no son alarmantes —los administradores de sistemas ejecutan estos comandos. En secuencia, forman un patrón de libro de texto de reconocimiento previo al cifrado.
Las reglas de correlación del SOC disparan una escalada automática del caso. Un analista sénior se suma a la investigación.
Día 0, 02:47: el comando de PowerShell anómalo
A las 02:47, el atacante ejecuta un único comando de PowerShell que desactiva la protección en tiempo real de Windows Defender y agrega el directorio temporal del usuario a la lista de exclusiones del antivirus. Este es el movimiento canónico de preparación previa al despliegue de ransomware.
Este evento dispara un flujo de trabajo de contención automatizado:
- El agente EDR aísla de la red el endpoint del administrador de TI
- La sesión VPN se termina por la fuerza
- La cuenta del administrador de TI se deshabilita en Microsoft 365 y Active Directory
- Las políticas de acceso condicional bloquean cualquier nuevo intento de autenticación del usuario
- Una llamada de emergencia se dirige al contacto técnico designado del cliente
Día 0, 02:59: cliente involucrado, contención verificada
Para las 02:59, la CISO del cliente está al teléfono con el analista sénior de Cybool. El SOC la guía a través de la cronología. La contención se verifica —no se observa más actividad del atacante. Comienza el flujo de trabajo de preservación forense.
Tiempo transcurrido desde la primera señal apta para contención (02:47) hasta la contención verificada (02:59): 12 minutos.
No se cifró ningún archivo. No se exfiltraron datos durante la intrusión activa (aunque sí se exfiltraron datos de OneDrive 5 días antes, el Día -7). El costo directo estimado del incidente —investigación forense, restablecimiento de contraseñas, ajuste del acceso condicional, revisión de OneDrive— fue de aproximadamente USD 18.000.
Un evento de cifrado exitoso en este entorno, según promedios de la industria, habría costado entre USD 1,8 millones y 4,5 millones al considerar el tiempo de inactividad, la negociación del rescate, la remediación forense y la divulgación regulatoria.
Las tres cosas que hicieron posibles los 12 minutos
En la revisión posterior al incidente, se identificaron tres factores como decisivos:
1. Líneas base de comportamiento, no coincidencia de firmas. La alerta VPN de las 02:31 se disparó por una desviación del patrón normal de la usuaria, no por una firma conocida como maliciosa. La técnica del atacante no era novedosa; lo que le dio al SOC su primera pista fue la anomalía de horario.
2. Correlación entre fuentes de datos. Ningún evento por sí solo era alarmante. El inicio de sesión VPN, la enumeración de AD, la ejecución de PowerShell, el comando de manipulación del antivirus —cada uno de forma aislada tiene explicaciones legítimas plausibles. La capacidad del SOC de correlacionarlos como una cadena fue lo que disparó la escalada.
3. Acciones de contención preautorizadas. El cliente había acordado previamente que Cybool podía aislar endpoints y deshabilitar cuentas automáticamente en respuesta a disparadores específicos de alta confianza, sin esperar la aprobación del cliente. Esa autorización ahorró un estimado de 25 a 40 minutos de demora en la decisión —un período durante el cual el atacante habría desplegado la carga útil del ransomware.
La lección del Día -7
El hallazgo más incómodo en la revisión posterior al incidente fue el Día -7. El evento original de robo de credenciales se detectó correctamente y se neutralizó de forma rutinaria, pero el SOC no investigó qué había hecho el atacante con las credenciales durante la ventana de acceso de 90 minutos antes de que se cambiara la contraseña. Esa exportación de datos de OneDrive fue el punto de apoyo que el atacante usó para planificar la intrusión del Día 0.
En respuesta, Cybool actualizó su manual rutinario de robo de credenciales: cualquier compromiso de cuenta confirmado ahora dispara una revisión completa de la actividad de OneDrive, SharePoint y correo del usuario afectado durante la ventana de compromiso, y una enumeración de cualquier token OAuth otorgado a aplicaciones de terceros durante o después del evento. Esto es ahora el comportamiento predeterminado para cada cliente.
Los 12 minutos desde el comando de PowerShell hasta la contención son el titular. La mejora a partir del Día -7 —que no se puede dar por totalmente neutralizado un compromiso de credenciales hasta haber auditado el acceso— es la lección realmente transferible.
El servicio MDR 24/7 de Cybool combina detección por comportamiento, correlación de múltiples fuentes y contención preautorizada para comprimir las cronologías de incidentes de horas a minutos. Solicite una demostración o reserve una evaluación de ciberriesgo gratuita.
