El ransomware apunta al gerente de 46 años, no al presidente ejecutivo
Zscaler ThreatLabz rastreó 351 víctimas en 334 organizaciones durante un mes y encontró un perfil consistente: mandos medios y altos de finanzas, ventas y operaciones, con edad promedio de 46 años.
Zscaler ThreatLabz publicó el análisis de una campaña de ransomware seguida durante un mes, con 351 víctimas identificadas en 334 organizaciones. El valor del estudio está menos en el volumen que en el perfil que emerge de los datos.
Quién resulta seleccionado
Cerca de dos tercios de las víctimas ocupaban cargos de nivel gerencial o superior. La edad promedio fue de 46 años. Tres cuartas partes trabajaban en contabilidad y finanzas, ventas, operaciones, recursos humanos o mercadeo. La mitad pertenecía a organizaciones de los sectores industrial y de tecnología de la información.
El perfil no coincide con la intuición dominante en seguridad corporativa, que asume dos objetivos preferentes: el administrador de sistemas, por sus permisos técnicos, y el presidente ejecutivo, por su visibilidad. Los datos describen otra cosa.
El criterio de selección
Zscaler sostiene que los atacantes combinan información obtenida de los sistemas comprometidos con fuentes públicas para reconstruir las líneas de reporte de la organización. Con ese mapa eligen a empleados capaces de acelerar la decisión de pago. La firma denomina a este criterio "privilegio de negocio", en contraste con el privilegio técnico.
La lógica es transparente cuando se enuncia. Un administrador de sistemas tiene acceso a todo y ninguna autoridad para autorizar una transferencia. Un gerente de finanzas de nivel medio tiene acceso limitado y capacidad real de mover una decisión hacia el pago del rescate, o de sufrir consecuencias personales si la operación se detiene. La extorsión funciona sobre la segunda variable.
La lectura de Tabuga Intelligence
Los modelos de riesgo interno se construyen sobre la matriz de permisos: quién accede a qué sistema, con qué nivel, desde dónde. Ese mapa es necesario y, según este estudio, insuficiente. Falta cruzarlo con el organigrama para identificar a quienes concentran capacidad de decisión sobre procesos que la organización no puede detener.
Tres implicaciones concretas. Primera, la protección reforzada, con autenticación resistente a phishing y monitoreo de sesiones, debe extenderse a mandos medios de finanzas y operaciones, no reservarse a la alta dirección y al personal técnico. Segunda, la información pública sobre estructura organizacional en redes profesionales constituye insumo de inteligencia para el atacante, lo que sugiere revisar qué tan granular es la exposición de líneas de reporte. Tercera, el plan de respuesta a incidentes necesita anticipar la presión sobre individuos específicos, con una regla clara de que ninguna persona decide un pago de rescate en solitario.
Para el tejido empresarial dominicano, donde muchas organizaciones medianas concentran funciones críticas en pocas personas, el hallazgo se vuelve más agudo: la superficie de extorsión coincide con la lista de quienes sostienen la operación diaria.