INC Ransomware explota dos zero-day de SonicWall para robar datos y luego llama a las víctimas para presionarlas. El grupo criminal, uno de los más activos del ecosistema de ransomware como servicio, ha encadenado las vulnerabilidades CVE-2026-15409 y CVE-2026-15410 desde que el fabricante las parcheó el pasado 14 de julio, según los investigadores de Rapid7. No es el primero en aprovechar estos fallos —se detectaron intentos de explotación previos, aunque sin éxito—, pero sí el más agresivo en su despliegue postdivulgación.
El tradecraft de INC: encadenar, robar, cifrar y llamar
El modus operandi une dos técnicas que encajan como un engranaje. Las vulnerabilidades y los zero-day en los dispositivos SonicWall SMA 1000 permiten el acceso inicial no autorizado a la red de la víctima, seguido de la exfiltración de datos antes de que cualquiera pudiese reaccionar. Una vez dentro, el cifrado del sistema es casi inmediato. “INC pasa del acceso inicial al despliegue del ransomware en cuestión de horas, lo que demuestra un tempo operativo muy superior al que vimos en la fase previa a la divulgación”, explica Brett Deroche, director de respuesta a incidentes de Rapid7.
Y luego llega la presión telefónica. Según firmas como Resecurity, múltiples víctimas han recibido correos electrónicos y llamadas de supuestos atacantes que las instaban a negociar el rescate, una táctica que añade estrés psicológico a la técnica clásica de doble extorsión. El mensaje es claro: si no pagas, los datos robados terminarán en la web de filtraciones del grupo.
La escala es difícil de precisar. Rapid7 no ha determinado cuántas organizaciones han sido comprometidas, pero INC ya ha publicado varias presuntas víctimas en su sitio de filtraciones, entre ellas organismos gubernamentales de Australia, Estados Unidos y Emiratos Árabes Unidos. El salto cualitativo es notable: no estamos ante un actor financiero común, sino ante un grupo que adapta su ritmo a la ventana de oportunidad que abre un parche de seguridad.
Es en esa capacidad de mutar donde reside el peligro. Mientras los equipos de TI aplican el parche, en en el lapso de semanas el atacante ya ha accedido, robado y pedido rescate.
La velocidad de ejecución de INC es lo que asusta: del acceso inicial al ransomware desplegado, el tiempo se mide en minutos, no en días.
Por qué SonicWall es el blanco elegido —y por qué España debe temerle
Los dispositivos de SonicWall llevan años en el punto de mira. De las 17 vulnerabilidades incluidas en el catálogo de vulnerabilidades explotadas activamente de la CISA, diez se han vinculado a campañas de ransomware. SonicWall se ha convertido en un objetivo recurrente porque sus appliances de acceso remoto son una puerta de entrada perfecta a la red corporativa. El ataque del año pasado que permitió a un grupo patrocinado por un Estado robar las configuraciones de todos los clientes fue solo un aviso.
INC ransomware, que en tres años ha reivindicado casi 900 víctimas en 71 países, es solo el último grupo con motivación económica que apunta a los clientes de SonicWall. Pero su llegada no es una casualidad: el aumento de la explotación de zero-days en proveedores de seguridad perimetral está convirtiendo estos fallos en un commodity criminal. Si usted tiene un SonicWall expuesto, tome nota.
Dossier Moncloa: Ojos en la Sombra
Le pongo la lupa encima. El vector de amenaza es un ciberataque de ransomware perpetrado por un grupo que opera bajo el modelo de negocio de ransomware como servicio. La clave técnica es el encadenamiento de dos vulnerabilidades zero-day para lograr el compromiso total del dispositivo y la red. No es un ataque de día cero aislado: es un ataque de doble golpe con extorsión añadida.
Las agencias implicadas aquí no son Estados formalmente, pero la inteligencia de señales me dice que grupos criminales como INC a menudo colaboran o al menos no se estorban con actores estatales. Quien ataca es INC Ransomware, una banda sofisticada. Quien defiende es cada víctima, y entre ellas hay administraciones públicas. Quienes miran atentamente desde fuera son, en España, el CCN-CERT y el CNI, porque cualquier ataque a infraestructura crítica que pase por un proveedor presente en España activa los protocolos de alerta. Lo he escrito en El quinto elemento: “El próximo 11S empezará con un clic”. Y esta es una de esas teclas.
El nivel de clasificación estimado de los datos robados, teniendo en cuenta que entre las víctimas hay organismos gubernamentales, podría oscilar entre “uso restringido” y “confidencial” en varias jurisdicciones. El daño colateral no es solo el rescate pagado: es la información que sale de los servidores oficiales y viaja hacia la Dark Web sin control.
Cerremos con un precedente. En 2017, el ransomware NotPetya, atribuido al GRU ruso, paralizó a empresas de todo el mundo y demostró que un malware que empieza en una actualización de software puede tumbar la logística de Maersk en horas. INC no es un actor estatal, pero su capacidad de reacción y su agresividad operativa recuerdan los peores momentos de los grupos más organizados. De nuevo, la diferencia entre el crimen y la geopolítica se difumina. La próxima reunión del Equipo de Respuesta ante Emergencias Informáticas de la UE, en otoño, debería poner este caso sobre la mesa.
