¿Qué buscan ahora los ataques de ransomware más allá de bloquear sistemas?

El ransomware está cambiando. El objetivo de los ciberdelincuentes ya no se limita a bloquear los sistemas de una organización y exigir dinero para devolverle el acceso. El robo de información sensible, credenciales y accesos persistentes está adquiriendo mayor peso como parte de estrategias que permiten mantener la extorsión incluso después de un primer pago.

Casi dos tercios de las organizaciones afectadas por ransomware confirmaron que durante el incidente también sufrieron robo de datos, de acuerdo con el Reporte sobre Ransomware en la Era de la IA 2026, elaborado por Proofpoint. La información obtenida puede utilizarse para exigir nuevos pagos, comercializarse en mercados criminales o facilitar ataques posteriores.

El estudio, realizado entre 953 profesionales de ciberseguridad de 12 países, señala además que la inteligencia artificial está aumentando la efectividad de estas campañas. El 65% de las organizaciones afectadas consideró que la IA hizo más efectivo el ataque: 28% reportó un incremento significativo y 37% uno moderado.

Del cifrado a la extorsión continua

Uno de los principales cambios está en la forma de monetizar un ataque. El ransomware tradicional dependía principalmente del cifrado de archivos o sistemas para exigir un rescate. Ahora, los atacantes pueden mantener simultáneamente distintas formas de presión mediante la información y las credenciales obtenidas.

Los datos muestran las consecuencias de esta estrategia. El 54% de las organizaciones afectadas pagó un rescate, pero hacerlo no necesariamente puso fin al incidente: 37% de quienes pagaron recibió posteriormente una segunda demanda de extorsión.

Esto permite a los ciberdelincuentes combinar varias amenazas: mantener sistemas cifrados, conservar información robada, amenazar con hacerla pública o utilizar los accesos obtenidos para nuevas acciones.

El ataque comienza antes de que aparezca el ransomware

La transformación también ocurre en la puerta de entrada. Los correos electrónicos de phishing y otros ataques de ingeniería social basados en email representaron el 34% de los accesos iniciales identificados en los incidentes.

Los enlaces maliciosos fueron la amenaza inicial más común, con 47% de los casos, seguidos por archivos adjuntos maliciosos, con 46%; robo de credenciales, con 36%; y compromiso de correo electrónico empresarial (BEC), con 35%.

La inteligencia artificial puede aumentar la efectividad de estos mecanismos al facilitar la creación de mensajes de phishing y suplantaciones de identidad más convincentes y personalizados.

El 40% de las organizaciones señaló que sus empleados no sospecharon del ataque porque parecía auténtico, mientras que 38% atribuyó el incidente a que los usuarios interactuaron con contenido malicioso.

Datos e identidades, en el centro de la amenaza

El cambio implica que un ataque exitoso ya no necesariamente termina cuando una organización recupera sus sistemas. Si los ciberdelincuentes conservaron información, credenciales o accesos, todavía pueden utilizarlos como mecanismos de presión o como punto de partida para nuevos incidentes.

Los resultados sugieren así una evolución desde el secuestro de sistemas hacia esquemas más amplios de extorsión digital, en los que las personas, las identidades y los datos adquieren un papel central.

El estudio fue realizado entre marzo y abril de 2026 con 953 profesionales de seguridad de tiempo completo, pertenecientes a organizaciones de diferentes tamaños y 20 industrias. La investigación abarcó 12 países, entre ellos Estados Unidos, Reino Unido, Francia, Alemania, España, Brasil, India, Japón, Singapur y Australia.

En este escenario, el ransomware deja de ser únicamente un problema asociado al malware que bloquea un dispositivo. La combinación de ingeniería social más sofisticada, robo de credenciales, extracción de información y extorsiones sucesivas amplía el alcance de los ataques y convierte el acceso a los datos y las identidades en uno de sus principales activos.

‍