El informe Acronis TRU Cyber Pulse 2026 ofrece al lector una visión interna de las investigaciones sobre amenazas y muestra cómo operan los ciberdelincuentes, cómo se conectan sus campañas y qué pueden aprender de ellas los profesionales de ciberseguridad.
El informe reúne las investigaciones de la Unidad de investigación de amenazas (TRU) de Acronis. En él se analizan técnicas de ataque emergentes y amenazas persistentes avanzadas (APT), así como tácticas de espionaje y ciberdelincuencia. También se relaciona el comportamiento de los atacantes con sus consecuencias operativas, lo que ayuda a los proveedores de servicios gestionados (MSP) y a las empresas a transformar la investigación sobre amenazas en prioridades de seguridad.
La nueva perspectiva de los investigadores de amenazas de Acronis
A lo largo del año, los investigadores de TRU llevan a cabo ingeniería inversa de malware, analizan el desarrollo de las campañas activas, prestan apoyo en investigaciones de respuesta ante incidentes y analizan nuevos desafíos de seguridad. Cada investigación individual revela cómo funciona un ataque concreto. Al analizarlas todas en conjunto, arrojan luz sobre patrones que pueden ayudar a los defensores a anticipar lo que está por venir.
Uno de los temas más relevantes es el creciente papel que desempeña la inteligencia artificial (IA) en los ciberataques. Los ciberdelincuentes conectan modelos de IA con herramientas ofensivas, credenciales robadas y memoria persistente. Esto les permite coordinar más fases de un ataque.
La investigación BOSSAI de TRU demuestra este cambio. Un único ciberdelincuente con amplios conocimientos técnicos conectó más de 10 modelos de IA a marcos y herramientas ofensivos. El entorno resultante permitió realizar tareas de reconocimiento, aprovechamiento de vulnerabilidades y gestión de infraestructura en objetivos de varios países.
En el informe también se analizan los riesgos para las organizaciones que adoptan herramientas de IA. TRU identificó más de 575 habilidades maliciosas de OpenClaw distribuidas en 13 cuentas de desarrollador. Asimismo, descubrió que los infostealers están dirigidos a claves de API de proveedores de IA y a credenciales asociadas a herramientas de programación. Las puertas de enlace de agentes expuestas pueden ofrecer a los atacantes acceso a comandos, archivos y credenciales.
La identidad y las herramientas de confianza amplían los riesgos
Las identidades comprometidas pueden conectar sistemas y entornos independientes. Los atacantes tienen como objetivo contraseñas, cookies de navegador, sesiones activas, credenciales en la nube y cuentas de administración remota. Posteriormente, los ciberdelincuentes pueden utilizar o vender ese acceso para llegar a servicios adicionales.
La administración remota plantea otro desafío. TRU analizó más de 1,8 millones de endpoints que ya ejecutaban Acronis RMM y descubrió que el 63,1 % tenía instalada al menos una herramienta adicional de RMM o acceso remoto. Muchas de estas herramientas responden a necesidades empresariales legítimas. Sin embargo, los proveedores deben saber qué herramientas están aprobadas, quién las utiliza y qué niveles de acceso permanecen activos tras realizar cambios en los servicios.
Los atacantes también utilizan servicios conocidos para ocultar actividades maliciosas. En el informe se examina el uso indebido del almacenamiento en la nube, las hojas de cálculo, GitHub, las plataformas de mensajería y las aplicaciones con certificados válidos de firma de código.
El pase de la investigación a la acción
Los atacantes pueden intentar desactivar la protección de endpoints, interferir en los registros e interrumpir los procesos de recuperación. En el informe también se analizan las amenazas de ransomware dirigidas a infraestructuras Linux y ESXi, donde los ataques pueden afectar a múltiples cargas de trabajo.
El informe recomienda rastrear las identidades comprometidas en entornos conectados, investigar actividades inesperadas relacionadas con herramientas remotas, poner a prueba los procedimientos de recuperación y limitar los agentes de IA mediante permisos aplicables. También anima a las organizaciones a establecer decisiones de contención y recuperación antes de que se produzca un incidente.
Acronis TRU Cyber Pulse 2026 acerca a los lectores a las investigaciones que hay detrás de las ciberamenazas actuales. Lea el informe para acceder a análisis detallados de campañas, técnicas de ataque emergentes y orientaciones prácticas para proteger los entornos de los proveedores de servicios y las organizaciones a las que prestan soporte.
Written by
Acerca de Acronis
Una empresa suiza fundada en Singapur en 2003, Acronis tiene 15 oficinas en todo el mundo y empleados en más de 60 países. La solución Acronis Cyber Platform está disponible en 26 idiomas en 150 países y la utilizan más de 21,000 proveedores de servicios para proteger a más de 750,000 empresas.
