Evolución y consolidación de una de las mayores amenazas RaaS
El panorama de las amenazas digitales ha sido testigo de una evolución alarmante en los últimos años. INC Ransomware, que comenzó como una operación incipiente de Ransomware-as-a-Service (RaaS) en agosto de 2023, se ha consolidado en 2026 como uno de los grupos de cibercrimen más prolíficos, acumulando más de 830 víctimas documentadas.
Esta expansión no es casual. Según informes recientes de analistas de ciberseguridad, el desmantelamiento de grupos históricos como LockBit y el cierre de BlackCat generaron un vacío en el ecosistema criminal. Los afiliados, buscando nuevas plataformas para sus ataques, migraron masivamente hacia INC, permitiéndoles escalar sus operaciones de manera exponencial.
Sectores bajo el punto de mira
Aunque las organizaciones en Estados Unidos representan más del 65% de los incidentes, el alcance de INC es global. Sus objetivos principales se concentran en sectores donde el tiempo de inactividad operativa genera una presión financiera crítica para forzar el pago del rescate:
- Servicios legales y profesionales.
- Manufactura y construcción.
- Tecnología y servicios de salud.
Innovación técnica: El salto a Rust
Desde una perspectiva técnica, INC ha refinado su arsenal. Sus cifradores para Windows y Linux/ESXi han sido reescritos en Rust. Esta decisión estratégica no solo facilita el desarrollo multiplataforma, sino que dota al malware de una mayor resistencia frente a los esfuerzos de ingeniería inversa de los equipos de defensa.
Además, el grupo ha actualizado sus herramientas para atacar despliegues modernos de copias de seguridad, como Veeam, utilizando técnicas avanzadas para extraer credenciales incluso cuando se emplea el cifrado DPAPI con sal (salted DPAPI).
Anatomía de un ataque de INC Ransomware
El éxito de INC radica en la implementación meticulosa de técnicas bien conocidas, pero altamente efectivas. Su cadena de ataque suele seguir este patrón:
- Acceso inicial: Explotación de vulnerabilidades en dispositivos perimetrales no parcheados (como Citrix Netscaler o Fortinet EMS) y uso de credenciales obtenidas mediante spear-phishing.
- Movimiento lateral: Uso de herramientas legítimas o LOLBins (Living-off-the-Land Binaries) como RDP y PsExec para desplazarse por la red sin levantar sospechas.
- Evasión de defensas: Empleo de la técnica Bring Your Own Vulnerable Driver (BYOVD) para desactivar soluciones de seguridad del sistema.
- Exfiltración y cifrado: Robo de datos sensibles mediante herramientas como Rclone y ejecución de un cifrado multihilo extremadamente rápido para maximizar el daño antes de la detección.
Recomendaciones para la alta dirección
La consolidación de INC como la cuarta fuerza de ransomware más activa en el primer trimestre de 2026 subraya la necesidad de que las empresas refuercen su resiliencia. No basta con tener copias de seguridad; es imperativo asegurar que los servidores de backup sean inaccesibles desde la red principal y que los dispositivos expuestos a internet cuenten con una política estricta de parches y autenticación multifactor (MFA).
En Intedya, recordamos que la ciberseguridad no es solo un reto técnico, sino una prioridad estratégica que garantiza la continuidad del negocio y la confianza de los socios comerciales en una cadena de suministro cada vez más interconectada.
Fuentes
- The Hacker News — INC Ransomware Emerges as Major RaaS Threat in 2026 with 830+ Victims Since 2023
https://thehackernews.com/2026/06/inc-ransomware-claims-830-victims-since.html