Cuando piensas en proteger tu negocio, lo último que imaginas es que tus propias herramientas de seguridad puedan convertirse en el punto débil que abre la puerta al ransomware. Sin embargo, eso es exactamente lo que está ocurriendo. La reciente ola de ataques del grupo Akira lo demostró con brutal precisión: una solución mal gestionada puede ser igual de peligrosa que no tener protección en absoluto.
Y si trabajas en tecnología, seguridad o lideras un área empresarial, este caso debería preocuparte. Porque no solo expone fallas técnicas, también revela debilidades organizacionales que afectan tanto a grandes corporativos como a PyMEs.
La tecnología no falla, lo que falla es cómo la administras.
SonicWall: de herramienta defensiva a vector de ataque
El detonante principal de esta campaña de Akira fue la vulnerabilidad CVE-2024-40766 en los dispositivos SonicWall, específicamente en su sistema de VPN SSL. Se trata de una falla de control de acceso grave que permitía a un atacante conectarse como si fuera un usuario legítimo.
Aunque SonicWall lanzó el parche en agosto de 2024, muchas organizaciones no lo aplicaron a tiempo. Y aquí apareció el escenario perfecto para un ataque: equipos expuestos, configuraciones deficientes, contraseñas débiles y falta de monitoreo.
En resumen: se dejó abierta la puerta, y Akira no tardó en cruzarla.
Desde mediados de 2025, la cantidad de accesos ilegítimos a través de estas VPN creció de forma explosiva. En varias organizaciones, pasaron minutos entre la intrusión y la ejecución del ransomware. Así de rápida fue la cadena de ataque.
Cuando la autenticación multifactor tampoco te salva
Si creías que usar MFA te mantenía seguro, este caso te hará reconsiderarlo.
Akira logró comprometer cuentas que estaban protegidas con autenticación multifactor. ¿Cómo? Robando las semillas utilizadas para generar los códigos OTP.
Es decir, los atacantes podían generar claves válidas y autenticarse sin ser detectados.
Este escenario deja claro que el MFA no es infalible si tu configuración, tus tokens o tus dispositivos están desactualizados, mal administrados o mal protegidos. En ciberseguridad, ningún mecanismo se sostiene solo: todo depende del ecosistema en el que opera.
La amenaza silenciosa: heredar infraestructura sin saber qué trae dentro
Uno de los aspectos menos visibles pero más peligrosos, en estos ataques tiene que ver con los procesos de fusiones y adquisiciones. Cuando una empresa compra otra o integra su infraestructura, casi nunca revisa a profundidad los equipos heredados.
Y eso es una receta para el desastre.
Muchos de los incidentes recientes ocurrieron en organizaciones donde:
- Se integraron dispositivos SonicWall pensados para PyMEs en redes corporativas complejas.
- Nadie revisó configuraciones antiguas, accesos privilegiados o políticas heredadas.
- Existían cuentas huérfanas con permisos excesivos.
- No había inventario completo de dispositivos ni monitoreo activo.
Akira encontró ahí su oportunidad: un entorno sin visibilidad, sin actualizaciones y sin control suficiente.
Cuando integras infraestructura vieja sin auditarla, estás conectando puntos débiles directamente al corazón de tu operación.
El verdadero problema no es el dispositivo: es la falta de gestión
Esta campaña deja una lección clara: la seguridad no depende del logo de tu firewall, sino de cómo administras tu infraestructura.
Una organización que no actualiza, no supervisa, no audita y no depura accesos se vuelve vulnerable, aunque tenga las mejores marcas del mercado.
Para reducir estos riesgos, lo mínimo indispensable es:
- Aplicar parches de seguridad de forma oportuna.
- Revisar la configuración de todos los dispositivos, especialmente heredados.
- Auditar cuentas privilegiadas y accesos VPN periódicamente.
- Rotar contraseñas al integrar nuevas infraestructuras.
- Segmentar la red para limitar el movimiento lateral.
- Desactivar equipos obsoletos antes de ponerlos en producción.
Si tu empresa no hace esto, está acumulando riesgo sin saberlo.
¿Quién es Akira y por qué es tan peligroso?
Akira surgió en marzo de 2023 como un grupo de ransomware tipo servicio (RaaS). Desde entonces ha crecido de forma acelerada y hoy ocupa un lugar entre las amenazas más activas y exitosas del mundo.
Sus operadores, presumiblemente rusoparlantes, muestran conexiones técnicas con el desaparecido grupo Conti, aunque no se considera un sucesor directo.
¿Cómo opera Akira?
Su modelo es de doble extorsión:
- Roba grandes volúmenes de información sensible.
- Cifra los sistemas.
- Amenaza con publicar los datos si no pagas.
En su portal de la dark web, un sitio con estética retro, personalización por víctima y paneles de negociación; publican fragmentos de los datos robados para presionar a las organizaciones.
¿A quiénes ha atacado?
Más de 350 organizaciones en sectores como:
- Salud
- Manufactura
- Energía
- Educación
- Finanzas
- Servicios
- Infraestructura crítica
Y en México tampoco pasó desapercibido. Empresas como Recycla, Adrenalina, Corp BJR, Peñoles, Alpura y AARCO han sido víctimas confirmadas.
Sus métodos de entrada son simples pero devastadores
Aunque es un grupo sofisticado, Akira no necesariamente usa técnicas complejas. Sus vectores más frecuentes incluyen:
- VPN sin MFA o con MFA vulnerable.
- Credenciales comprometidas.
- Fallos de configuración.
- Vulnerabilidades en infraestructuras de respaldo.
- Errores en entornos de virtualización.
Una vez dentro, usan herramientas legítimas del sistema para desplazarse lateralmente, lo que dificulta la detección, eliminan respaldos y ejecutan el cifrado tanto en Windows como en Linux y ESXi.
Títulos similares: Prevención: 5 Tácticas de Hackeo Bancario y Soluciones
¿Qué puedes aprender de todo esto como empresa?
La lección principal es simple: Tus herramientas de seguridad no te protegen si no las administras bien.
Y si integras infraestructura sin revisarla, estás invitando al ransomware a pasar.
Para evitar convertirte en la próxima víctima:
- Aplica parches tan pronto como se publiquen.
- Obliga a usar MFA resistente a phishing.
- Mantén respaldos offline y probados.
- Supervisa activamente las conexiones VPN.
- Audita todos los accesos privilegiados.
- Haz inventario de cada dispositivo heredado.
Ninguna organización está fuera del radar.
Akira está demostrando que incluso los fallos aparentemente menores pueden convertirse en incidentes multimillonarios.
Conclusión: la seguridad no es un producto, es una práctica
El caso SonicWall–Akira nos recuerda algo fundamental: la ciberseguridad no se compra, se gestiona.
Puedes tener las mejores soluciones del mercado, pero si no las administras con disciplina, si no cierras accesos, si no aplicas parches, si no supervisas tus activos, seguirás siendo vulnerable.
En TecnetOne lo decimos siempre: las herramientas ayudan, pero la gobernanza y las buenas prácticas son las que te salvan.
