Desde julio de 2025, el ransomware Akira ha puesto en jaque a empresas de todo el mundo al aprovechar vulnerabilidades en los SonicWall SSL VPNs. Lo preocupante es que, incluso con contraseñas y autenticación multifactor (MFA) activada, los atacantes están logrando acceder a las redes corporativas. Esto no solo expone datos críticos, también demuestra cómo la sofisticación del cibercrimen avanza más rápido que muchas medidas de defensa tradicionales.
En TecnetOne queremos contarte qué está pasando, cómo funciona esta amenaza y qué pasos concretos puedes dar para reducir el riesgo en tu organización.
Todo apunta a que los atacantes se están aprovechando de la vulnerabilidad CVE-2024-40766, un fallo crítico descubierto meses antes en SonicWall. Aunque la compañía lanzó parches para reforzar la seguridad frente a ataques de fuerza bruta y fallos en MFA, parece que muchas credenciales robadas durante la explotación inicial siguen siendo válidas incluso después de actualizar el firmware.
En la práctica, eso significa que aunque hayas aplicado actualizaciones, si en su momento tus dispositivos quedaron expuestos, todavía podrías estar en riesgo.
Lo más inquietante es que los atacantes no solo están usando credenciales robadas, sino que también parecen contar con semillas OTP comprometidas, lo que les permite saltarse la autenticación multifactor.
En más del 50% de las intrusiones analizadas, los delincuentes lograron autenticarse en cuentas que tenían OTP activado. Eso plantea un escenario en el que las medidas que siempre consideramos de “última línea de defensa” ya no bastan.
Conoce más: Ransomware Medusa: Una Amenaza Emergente
Una vez dentro de la VPN, los atacantes actúan con velocidad quirúrgica. Normalmente en menos de 5 minutos ya están escaneando la red interna, buscando vulnerabilidades y accesos a servicios como RPC, NetBIOS, SMB y SQL.
Los pasos más comunes incluyen:
En cuestión de horas (a veces menos de 60 minutos), los atacantes ya han empaquetado datos sensibles con WinRAR, usado herramientas como rclone o FileZilla para exfiltrar la información y desplegado el ransomware en múltiples carpetas críticas.
Akira no es un ransomware más. Entre sus técnicas destacan:
El resultado: en menos de medio día, los atacantes pueden haber cifrado toda tu red y robado información sensible, dejándote con dos problemas simultáneos: pérdida de datos y chantaje.
También podría interesarte: Seguridad ante Ransomware: Conoce este tipo de Ataque
En TecnetOne creemos que la prevención sigue siendo tu mejor aliado. Estas son algunas recomendaciones clave:
El caso de Akira es un recordatorio de que incluso con parches aplicados y MFA habilitada, los atacantes pueden encontrar maneras de entrar. La diferencia entre un susto y una catástrofe está en tu capacidad de detectar y responder rápido.
En TecnetOne trabajamos junto a nuestros partners para ofrecerte soluciones avanzadas de ciberseguridad, incluyendo monitoreo 24/7, gestión de vulnerabilidades, simulaciones de Red Team y protección de infraestructura crítica.
No esperes a ser la próxima víctima: los atacantes ya saben a quién buscar, y si tu VPN es un punto débil, tarde o temprano lo intentarán.