Acronis ha llevado a cabo su primer Acronis TRU Cyber Pulse 2026, un informe elaborado por la Acronis Threat Research Unit (TRU) que analiza las técnicas, comportamientos y objetivos de los actores de amenazas que están configurando el panorama actual de la ciberseguridad y la protección de datos.
Esta primera edición analiza técnicas de ataque emergentes, amenazas persistentes avanzadas (APT), actividades de espionaje y ciberdelincuencia. El informe vincula las conclusiones de las investigaciones con recomendaciones prácticas, prestando especial atención a los proveedores de servicios gestionados (MSP) y a las organizaciones a las que dan soporte.
Su principal conclusión es que un dispositivo o una identidad comprometidos pueden proporcionar acceso mucho más allá del punto de entrada inicial, por lo que comprender esas conexiones resulta esencial para detectar, contener y recuperarse de los ataques.
Principales conclusiones del estudio de Acronis
- La IA puede ayudar a un único atacante a coordinar operaciones sofisticadas. En su investigación BOSSAI, TRU descubrió que un solo operador utilizaba agentes de IA para realizar tareas de reconocimiento, explotación y gestión de infraestructuras mientras atacaba objetivos en varios países.
- Los infostealers ponen en riesgo las identidades y los servicios conectados. Las credenciales, sesiones, tokens y claves API robados pueden hacer que una infección inicialmente limitada a un endpoint se extienda a servicios en la nube, entornos de desarrollo y otros sistemas conectados.
- Los atacantes están desactivando deliberadamente los controles de seguridad. Los operadores de ransomware y los grupos de amenazas avanzadas utilizan técnicas para neutralizar las defensas y alterar la protección de los endpoints y los sistemas de registro, creando puntos ciegos a medida que avanzan por los entornos comprometidos.
- El tiempo disponible para responder a vulnerabilidades recién reveladas es cada vez menor. Los atacantes que utilizan IA pueden desarrollar y convertir exploits en herramientas de ataque en cuestión de horas, aumentando la urgencia de evaluar y parchear los sistemas expuestos.
- Los servicios de confianza pueden convertirse en parte de la infraestructura de ataque. Los actores de amenazas utilizan plataformas conocidas como GitHub y Telegram para alojar o dirigir actividades maliciosas, lo que dificulta distinguir los usos fraudulentos de los legítimos.
- El ransomware está penetrando cada vez más en la infraestructura empresarial. Los sistemas Linux y VMware ESXi son cada vez más objeto de ataques, exponiendo cargas de trabajo y servicios de los que dependen las organizaciones.
- Una brecha de seguridad puede tener un impacto mayor en los MSP y sus clientes. Las identidades administrativas, las herramientas de gestión remota y las infraestructuras compartidas pueden conectar múltiples entornos de clientes.
Mantener la visibilidad sobre las identidades
El informe Acronis TRU Cyber Pulse 2026 destaca por qué los equipos de seguridad deben investigar el alcance de una identidad o un sistema comprometidos, y no limitarse únicamente al dispositivo desde el que se originó el ataque. En el caso de los MSP, una única cuenta o herramienta de gestión comprometida puede poner en riesgo los entornos de múltiples clientes. Las conclusiones también ponen de manifiesto la importancia de mantener la visibilidad sobre las identidades y la actividad en la nube, limitar los permisos de los agentes de IA, supervisar la desactivación de las defensas y poner a prueba los planes de recuperación.
“El primer informe Cyber Pulse refleja la amplitud del trabajo desarrollado por TRU a lo largo del año, desde el análisis de malware y campañas hasta el seguimiento de cómo los actores de amenazas adaptan sus operaciones”, afirma Santiago Pontiroli, Threat Intelligence Research Lead de Acronis. “Analizar estas investigaciones de forma conjunta permite identificar patrones que pueden resultar más difíciles de detectar en un incidente aislado. La principal tendencia que hemos observado es cómo la IA está ayudando a operadores con experiencia a coordinar más fases del ciclo de ataque, mientras que las identidades robadas y las herramientas de confianza facilitan sus movimientos a través de entornos conectados. Los equipos de defensa deben abordar estos riesgos de forma conjunta, desde la primera alerta hasta la contención y la recuperación”.
A medida que la Acronis Threat Research Unit (TRU) ha ampliado su actividad de investigación, el equipo ha publicado periódicamente conclusiones que han despertado el interés de la comunidad internacional de ciberseguridad, otros equipos de investigación y medios de comunicación de todo el mundo. Al compartir públicamente sus hallazgos, TRU contribuye al sector de la seguridad aportando información sobre amenazas emergentes y favoreciendo el intercambio de inteligencia para ayudar a responsables de seguridad, equipos de TI y MSP a comprender las amenazas que pueden afectar a sus entornos. Asimismo, TRU proporciona a otros investigadores y profesionales información que pueden utilizar como base para sus propias investigaciones y estrategias de defensa.
Capacidades MDR y planes de recuperación
El primer informe TRU Cyber Pulse reúne los resultados de investigaciones sobre incidentes de ciberseguridad relevantes, campañas de malware y actores de amenazas para ofrecer una visión global del panorama de amenazas de 2026 y de las tendencias emergentes. Analizadas en conjunto, estas investigaciones permiten identificar patrones más amplios y comprender sus implicaciones para las organizaciones.
Los equipos de TI necesitan visibilidad sobre la actividad relacionada con identidades, servicios en la nube y herramientas de gestión remota
“Las organizaciones dependen de identidades, herramientas y servicios interconectados, y los atacantes saben cómo aprovechar esas conexiones”, afirma Gerald Caron, CISO de Acronis. “Este informe refuerza la idea de que proteger únicamente los endpoints ya no es suficiente. Los equipos de TI necesitan visibilidad sobre la actividad relacionada con identidades, servicios en la nube y herramientas de gestión remota, además de capacidades MDR y planes de recuperación que tengan en cuenta la posible vulneración de accesos administrativos. Una plataforma nativa de IA que unifique protección, gestión y automatización puede ofrecer a las empresas una visión más clara de sus entornos, reforzar los controles de acceso y facilitar una respuesta más rápida y coordinada, ayudando a los MSP y a sus clientes a contener los incidentes y recuperarse con confianza”.
