Últimos reportajes
Temas destacados
Trending
Los ataques de ransomware siguen siendo uno de los riesgos más costosos para la seguridad de la información. No solo por sus consecuencias económicas, sino también por el daño que pueden causar a la reputación de una organización. En este artículo explicamos cómo funciona el ransomware y cuáles son las mejores formas de protegerse frente a él.
Como su nombre indica, el ransomware es un tipo de malware diseñado para secuestrar una red y sus datos hasta que se pague una cantidad de dinero a los ciberdelincuentes responsables del ataque. Sin embargo, esta definición resulta demasiado simplista, especialmente si tenemos en cuenta cómo han evolucionado las técnicas y tácticas de ransomware a lo largo de los años.
La premisa básica sigue siendo la misma: comprometer una red para acceder a los datos que contiene y cifrarlos. Sin embargo, tanto los métodos utilizados para acceder a los sistemas como las técnicas de extorsión han evolucionado, haciendo que evitar el pago del rescate resulte cada vez más difícil y costoso para las organizaciones afectadas.
Hoy en día, es poco habitual que el cifrado de los datos sea la única consecuencia de un ataque de ransomware exitoso. Antes de cifrarlos, los atacantes suelen exfiltrar esos datos, lo que añade la amenaza de publicarlos o venderlos como parte de la extorsión. Esta práctica se conoce como doble extorsión (double extortion).
Además, los grupos de ransomware pueden lanzar ataques de denegación de servicio contra sitios web y servicios que todavía siguen operativos, aumentando así la presión sobre las víctimas para que paguen.
Si echamos la vista atrás, el ransomware estaba dirigido principalmente a particulares. Por aquel entonces, las cantidades exigidas como rescate eran relativamente pequeñas y el nivel de concienciación sobre ciberseguridad también era menor.
La situación cambió cuando las organizaciones criminales se dieron cuenta de que podían ganar mucho más dinero atacando a empresas. Y no solo a compañías: cualquier organización que pudiera considerarse un objetivo valioso entraba en su punto de mira.
Esto ha provocado que los ataques contra grandes marcas, que en ocasiones pagan rescates millonarios, ocupen titulares en los medios de comunicación. Pero no son las únicas víctimas. Los sectores educativo y sanitario también sufren ataques constantes, y entre las organizaciones afectadas se encuentran universidades y hospitales.
Si tienes una pequeña empresa, tampoco estás fuera del radar de los grupos de ransomware. Si cuentas con clientes valiosos o formas parte de una cadena de suministro, sigues siendo un objetivo del que los atacantes pueden obtener beneficios.
El principal incentivo para los ciberdelincuentes es la combinación de dos factores: el valor de los datos y la probabilidad de que la víctima pague el rescate. Las grandes organizaciones suelen contar con costosos seguros contra ransomware, mientras que las empresas más pequeñas pueden disponer de defensas menos sólidas.
Todos los ciberataques exitosos son importantes. Si un actor malicioso ha encontrado una forma de superar tus defensas, debes revisar y ajustar tu estrategia de seguridad para evitar que vuelva a ocurrir. Evidentemente, un ataque de ransomware puede tener un impacto económico considerable. Sin embargo, a medida que más gobiernos estudian la posibilidad de ilegalizar los pagos de rescates, (artículo en inglés pendiente de traducción), la extorsión directa podría perder parte de su impacto.
No obstante, los costes indirectos siguen acumulándose. Hay que tener en cuenta las primas de los seguros, las pérdidas de productividad y, quizá lo más importante, el coste real del daño reputacional y de las posibles demandas judiciales presentadas por clientes afectados.
El lema «Todo cambia, todo sigue igual» parece especialmente apropiado para describir la amenaza del ransomware.
La ingeniería social lleva mucho tiempo siendo la principal vía de acceso para los atacantes que buscan introducir ransomware en una organización. Sin embargo, la tecnología utilizada en las campañas de phishing ha evolucionado enormemente gracias a la disponibilidad de herramientas de IA, incluidas aquellas desarrolladas específicamente para el mercado criminal.
El resultado es que estos ataques iniciales son ahora mucho más difíciles de detectar y combatir. Los ciberdelincuentes utilizan correos electrónicos y mensajes de texto muy personalizados y convincentes, además de audios y vídeos deepfake.
A la hora de investigar los puntos débiles de una organización, lo que antes podía requerir semanas o meses de vigilancia y análisis ahora puede realizarse en cuestión de minutos gracias a la IA. Y no se trata únicamente de encontrar vulnerabilidades: también permite identificar activos, optimizar campañas de phishing y modificar el comportamiento de los ataques para evitar ser detectados.
Estas amenazas basadas en IA no solo pueden automatizar el proceso de ataque, sino también adaptarse en tiempo real. Y aquí está el verdadero problema: estas campañas autónomas de ransomware pueden ejecutarse, y de hecho ya se ejecutan, por miles y de forma simultánea. La intervención humana solo es necesaria cuando el ataque ha tenido éxito.
Gracias a la IA, las probabilidades juegan ahora a favor de los atacantes, tanto a la hora de identificar vulnerabilidades como en el tiempo que necesitan para explotarlas.
Según el último informe State of Ransomware de BlackFog, correspondiente al primer trimestre de 2026, el 38 % de todos los ataques de ransomware divulgados públicamente no se atribuyó a ningún grupo conocido. Sin embargo, esto no significa que haya disminuido el número de actores que representan una amenaza. Ni mucho menos: 79 grupos reivindicaron ataques de ransomware durante los tres primeros meses de 2026.
Los grupos más activos son los siguientes:
Qilin: fue el grupo más activo del análisis de BlackFog en 2026, tanto en ataques divulgados como en aquellos que no se hicieron públicos. Qilin utiliza un modelo de ransomware como servicio (Ransomware-as-a-Service, RaaS) a través de sus numerosos afiliados.
The Gentlemen: este grupo ha ganado protagonismo en muy poco tiempo. Desde su aparición en 2025, ha sido responsable de 273 ataques exitosos. Utiliza técnicas de doble extorsión y dirige sus operaciones contra organizaciones medianas y grandes para exigir rescates más elevados.
Akira: el FBI ha descrito a Akira como un grupo que «sigue evolucionando». Según la agencia, es responsable de al menos 250 ataques en una amplia variedad de sectores. Tiene especial fama por atacar entornos virtualizados.
Muchas personas dan por hecho que los grupos de ransomware, que suelen operar desde países como Rusia y Corea del Norte, están fuera del alcance de la justicia. Sin embargo, las numerosas operaciones internacionales de las fuerzas del orden demuestran que no siempre es así.
En marzo de 2026, Europol y Microsoft intervinieron contra la infraestructura de Typhoon 2FA (artículo en inglés pendiente de traducción), utilizada habitualmente por grupos de ransomware, y se incautaron de más de 300 dominios pertenecientes a la organización criminal.
Un año antes, el FBI había intervenido contra buena parte de la infraestructura de Lumma Stealer. Fue un golpe importante, ya que este malware de robo de información (infostealer) era utilizado por grupos de ransomware para obtener credenciales de acceso durante las operaciones iniciales de intrusión. El FBI también ha conseguido resultados al actuar contra mercados criminales de la dark web utilizados por estos grupos.
Por desgracia, las organizaciones criminales del ciberespacio se comportan como una hidra: cuando cortas una cabeza, vuelven a crecer diez.
La intervención contra la infraestructura de Typhoon 2FA es un buen ejemplo. En menos de un mes, los analistas de inteligencia de amenazas informaron de que la actividad del grupo había recuperado los niveles anteriores a la operación policial. Sus tácticas, técnicas y procedimientos no cambiaron: los atacantes simplemente trasladaron sus operaciones a una nueva infraestructura y continuaron con sus actividades.
Aunque, como hemos visto, las fuerzas del orden han conseguido desmantelar infraestructuras utilizadas por grupos de ransomware, la responsabilidad última de protegerse frente a estos ataques sigue recayendo en cada organización.
Empecemos por uno de los mayores errores en materia de protección: las copias de seguridad, por sí solas, no protegen a tu empresa frente a los ataques de ransomware. Sí, las necesitas, pero no son una solución infalible. En primer lugar, los atacantes también pueden comprometer el acceso a las copias de seguridad, además de a los datos principales. En segundo lugar, disponer de una copia de seguridad no te protege frente a la extorsión basada en datos que ya han sido exfiltrados.
Los seguros de ciberriesgo tampoco constituyen una medida de protección, aunque demasiadas organizaciones los consideran como tal. Sin embargo, una póliza de ciberseguro realmente responsable puede exigir el cumplimiento de medidas de seguridad básicas que ayudan a proteger frente al ransomware. Entre ellas se encuentran la protección de endpoints (artículo en inglés pendiente de traducción), la gestión de parches, las pruebas de penetración y el análisis de vulnerabilidades, así como la gestión de identidades y accesos (artículo en inglés pendiente de traducción).
En relación con los seguros de ciberriesgo, el último Cyber Readiness Report de Hiscox identifica los principales errores que cometen las pymes a la hora de prepararse frente a las amenazas de ransomware:
Considerar el ransomware exclusivamente un problema de TI. Aunque es comprensible, se trata de un error. Los ataques de ransomware van mucho más allá del departamento de TI y afectan rápidamente a las operaciones, los ingresos y la reputación de una empresa. El ransomware es un riesgo empresarial y debe tratarse como tal.
Confiar en el pago del rescate como solución rápida. En la siguiente sección abordaremos los aspectos legales del pago de rescates, pero también hay otros factores que debes tener en cuenta. En primer lugar, pagar no garantiza que recuperes tus datos: al fin y al cabo, estás tratando con delincuentes. Algunas claves de descifrado no funcionan y tampoco puedes confiar en que los atacantes destruyan los datos robados. En segundo lugar, pagar te deja expuesto a nuevos ataques, tanto del mismo grupo como de otros actores vinculados a él.
No prepararse adecuadamente para un ataque. No disponer de autenticación multifactor, políticas de contraseñas seguras ni planes de respuesta ante incidentes, o contar con planes que nunca se han probado, deja a las empresas expuestas al ransomware, tanto antes como después de un ataque.
Empecemos por lo más importante: por regla general, pagar un rescate por ransomware no es ilegal. En el Reino Unido, por ejemplo, las recomendaciones gubernamentales más recientes indican que el Gobierno «no respalda los pagos de rescates por ransomware» y advierten de que las organizaciones que decidan pagar no tienen ninguna garantía de recuperar el acceso a sus datos.
Sin embargo, existen excepciones en las que el pago sí es ilegal: los organismos del sector público y las entidades que operan infraestructuras nacionales críticas, los pagos a grupos incluidos en listas oficiales de sanciones financieras y aquellos relacionados con actividades que se sospecha que están vinculadas al terrorismo.
El FBI y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) también desaconsejan pagar rescates por los mismos motivos que el Gobierno británico. No obstante, en general, las empresas privadas estadounidenses pueden hacerlo legalmente.
En este caso, sin embargo, entran en juego las normativas federales y las prohibiciones específicas de cada estado. Siempre debes consultar la legislación de tu región antes de dar por hecho que un pago es legal. Al igual que en el Reino Unido, existen personas y entidades a las que está prohibido transferir dinero.
Este artículo se actualizó el 10 de abril de 2026 con las nuevas secciones «¿Qué impacto ha tenido la IA en el ransomware?», «Operaciones internacionales contra el ransomware: ¿han tenido algún efecto?» y «¿Deberías pagar un rescate? Las recomendaciones más recientes». También se actualizó el resumen.
Posteriormente, el 7 de mayo de 2026, se añadieron las secciones «¿Cuáles son los principales grupos de ransomware en 2026?» y «Los errores que cometen las pymes al enfrentarse a las amenazas de ransomware».
