Informe de ransomware 2026 de Black Kite sobre fabricación y distribución: La fabricación sigue siendo el principal objetivo del ransomware

Informe de ransomware 2026 sobre fabricación y distribución: Sigue siendo el objetivo número 1, pero el perfil de la víctima se ha desplazado hacia el mercado bajo y al extranjeros encuentra que la presión del ransomware sobre los fabricantes no solo está aumentando, sino que está cambiando de forma. El Black Kite Research Group analizó miles de incidentes de ransomware divulgados públicamente desde 2023 hasta julio de 2026, junto con datos actuales de exposición externa de los principales fabricantes y empresas de distribución. Sus hallazgos apuntan a un panorama de amenazas que se está expandiendo geográficamente, desplazándose hacia empresas medianas y cada vez más capaz de convertir a una sola compañía comprometida en una interrupción mucho mayor de la cadena de suministro.

La fabricación continúa destacándose

La fabricación ha seguido siendo la industria más atacada por Black Kite durante cinco años consecutivos, y el ritmo de los ataques sigue acelerándose.

Los primeros siete meses de 2026 produjeron 1,183 víctimas de ransomware en la fabricación divulgadas, ya más que las registradas durante todo 2023 o 2024. En comparación con el mismo período del año anterior, los ataques aumentaron casi un 40 %.

Esa persistencia es particularmente notable porque la fabricación siguió creciendo como objetivo incluso durante períodos en que la acción de las fuerzas del orden interrumpió a algunos de los operadores más grandes del ecosistema de ransomware.

La atracción es relativamente sencilla. A diferencia de los ataques a empresas donde las operaciones pueden continuar mientras se restauran los sistemas informáticos, un ciberataque contra un fabricante puede detener la producción física. Los envíos perdidos, los trabajadores inactivos, las penalizaciones contractuales y los clientes interrumpidos aumentan rápidamente la presión financiera sobre la víctima.

Esa misma dinámica hace que la fabricación sea especialmente valiosa para los grupos de extorsión. Cada hora que una línea de producción permanece fuera de línea puede fortalecer la posición de negociación del atacante.

La víctima típica está disminuyendo

Los ataques de alto perfil contra grandes fabricantes globales a menudo dominan los titulares, pero los datos de Black Kite sugieren que el centro de la actividad de ransomware se encuentra mucho más abajo en el mercado.

La víctima mediana de fabricación en el conjunto de datos genera $42,9 millones en ingresos anuales. Las empresas entre $10 millones y $100 millones representaron aproximadamente el 70 % de las víctimas con ingresos conocidos en 2026.

Las grandes empresas siguen siendo objetivos, pero su participación en el total de incidentes ha disminuido a medida que los atacantes penetran más en el mercado medio.

Este cambio es importante porque muchas de estas empresas no son negocios aislados. Los fabricantes medianos a menudo suministran componentes, equipos, productos químicos, electrónica, alimentos y otros insumos a organizaciones mucho más grandes.

Como resultado, un ataque contra un proveedor relativamente desconocido puede convertirse en un problema de continuidad del negocio para compañías muchas veces más grandes.

La presión también está ampliamente distribuida en la fabricación. La maquinaria representó el subsector individual más grande en el conjunto de datos de Black Kite, pero los metales fabricados, equipos de transporte, productos químicos, electrónica y la fabricación de alimentos también representaron porciones significativas de los incidentes. Ningún nicho único domina el panorama de amenazas.

El ransomware se está volviendo más global

La composición geográfica del ransomware en la fabricación está cambiando casi tan rápido como el perfil de la víctima.

Estados Unidos sigue siendo una fuente importante de incidentes divulgados, pero su participación en las víctimas de fabricación a nivel mundial cayó drásticamente en 2026. La disminución no se debió principalmente a que los ataques contra empresas estadounidenses desaparecieran. En cambio, la actividad del ransomware se expandió mucho más rápido en otras regiones.

Las víctimas de fabricación europeas aumentaron más del 85 % en el período comparable de 2026, con Alemania registrando el total más alto de la región. Italia, el Reino Unido, Francia, España, Turquía y Polonia también experimentaron aumentos sustanciales.

Esto es particularmente relevante en economías donde la fabricación representa una parte significativa de la producción industrial y el empleo. Un ataque exitoso puede, por lo tanto, tener consecuencias que van más allá del balance de una sola empresa.

El cambio geográfico también está siendo influenciado por grupos de ransomware más nuevos. The Gentlemen, por ejemplo, solo apareció en el conjunto de datos de Black Kite a finales de 2025, pero rápidamente se convirtió en uno de los operadores más activos que atacan a fabricantes, con un papel particularmente visible en Europa.

El panorama de los actores de amenaza se está reconstruyendo

El rápido ascenso de grupos más nuevos es otra característica definitoria del informe.

Casi la mitad de los incidentes de fabricación registrados en 2026 se atribuyeron a actores de amenaza que no habían aparecido en el conjunto de datos de Black Kite durante 2023 o 2024. El número de grupos que atacan a fabricantes también se ha expandido sustancialmente.

Los nombres establecidos no han desaparecido por completo, pero la jerarquía está cambiando.

Qilin lideró los incidentes de fabricación durante los primeros siete meses de 2026, seguida por The Gentlemen, Akira, DragonForce e INC Ransom. Algunos operadores que antes dominaban han disminuido drásticamente, mientras que marcas sucesoras y grupos totalmente nuevos han surgido.

Para los defensores, esa rotación crea un desafío práctico. Las estrategias de seguridad basadas en el seguimiento de un pequeño conjunto de grupos de ransomware reconocibles pueden quedar obsoletas rápidamente. Las vulnerabilidades subyacentes que los atacantes explotan, como el acceso remoto expuesto, vulnerabilidades sin parchear, credenciales robadas y sistemas mal configurados, pueden, por lo tanto, ser indicadores más útiles que el nombre del grupo que lidera actualmente la clasificación.

La distribución crea otro punto de falla

Black Kite extiende su análisis más allá de las fábricas a las empresas responsables de mover mercancías entre ellas.

Las empresas de transporte por carretera, gestión de carga y almacenamiento registraron menos incidentes de ransomware que los fabricantes, pero su posición dentro de las cadenas de suministro puede hacer que una interrupción individual sea desproporcionadamente importante.

El informe destaca el ataque de 2025 al proveedor logístico británico Peter Green Chilled. La empresa siguió trasladando mercancías que ya estaban dentro de su sistema, pero ya no pudo procesar nuevos pedidos. Debido a que servía a numerosas cadenas de supermercados importantes, la interrupción afectó rápidamente a los proveedores cuyas mercancías ya estaban almacenadas en depósitos o esperando entrar en la red.

Las empresas de distribución también tienden a ser más pequeñas que las víctimas manufactureras. Black Kite encontró un ingreso anual medio de $28,7 millones entre las víctimas de distribución con ingresos conocidos.

Estas empresas a menudo operan con ventanas de entrega estrechas y tolerancia limitada a tiempos de inactividad prolongados, lo que hace que el ransomware sea particularmente disruptivo.

Cuando un ciberataque se convierte en un evento económico

El informe utiliza Jaguar Land Rover’s 2025 cyberattack para demostrar lo que puede ocurrir cuando el ransomware llega a una empresa situada en el centro de una gran red industrial.

La producción se detuvo durante más de cinco semanas en tres plantas del Reino Unido, afectando a instalaciones que colectivamente producen alrededor de 1.000 vehículos al día.

Pero el daño se extendió mucho más allá de JLR.

Se estimó que más de 5.000 organizaciones fueron afectadas en todo el ecosistema más amplio de la compañía, muchas de ellas proveedores más pequeños. El impacto económico estimado alcanzó £1,9 mil millones, mientras que el gobierno del Reino Unido introdujo una garantía de préstamo de £1,5 mil millones para ayudar a apoyar a JLR y su cadena de suministro.

La interrupción fue lo suficientemente significativa como para ser citada por el Banco de Inglaterra como uno de los factores que contribuyeron a un crecimiento económico del Reino Unido más débil de lo esperado durante el trimestre.

Es un ejemplo extremo, pero ilustra el tema más amplio que recorre la investigación de Black Kite: el riesgo cibernético en la fabricación rara vez permanece confinado a la víctima original.

Muchas señales de advertencia ya son visibles

Una de las conclusiones más trascendentales del informe es que muchas víctimas de ransomware mostraron señales observables de riesgo elevado antes de que sus incidentes se hicieran públicos.

El Índice de Susceptibilidad al Ransomware de Black Kite evalúa factores como servicios expuestos, vulnerabilidades explotables, credenciales filtradas y otros indicadores visibles externamente.

Casi tres cuartas partes de las víctimas manufactureras ya se encontraban en el rango crítico del índice en el momento en que se divulgaron sus incidentes.

La exposición actual entre los mayores fabricantes del mundo también sigue siendo sustancial. Black Kite encontró vulnerabilidades críticas generalizadas y credenciales filtradas en toda su población monitorizada, incluso cuando algunas medidas de gestión de vulnerabilidades han mejorado.

La exposición de credenciales destaca en particular. Aunque las organizaciones han avanzado en la reducción de ciertas vulnerabilidades de software, la prevalencia de credenciales que circulan a través de registros de ladrones se ha mantenido obstinadamente alta.

Eso crea una superficie de ataque que no necesariamente puede abordarse solo mediante parches tradicionales.

El ransomware ahora es un problema de cadena de suministro

La implicación más amplia es que los fabricantes ya no pueden tratar el ransomware únicamente como un problema interno de ciberseguridad.

Una empresa hereda riesgos de los proveedores de software, suministradores y empresas logísticas de los que depende. Al mismo tiempo, su propia postura cibernética pasa a formar parte del perfil de riesgo de cada cliente que depende de sus productos.

Los reguladores están reflejando cada vez más esa realidad interconectada. Normas europeas como NIS2 están poniendo mayor énfasis en la seguridad de la cadena de suministro, mientras que las iniciativas del Reino Unido y U.S. están ampliando las expectativas de ciberseguridad entre los proveedores de servicios, contratistas y proveedores críticos.

Para los fabricantes, esto significa que los cuestionarios anuales a proveedores y las evaluaciones internas aisladas pueden ya no ser suficientes. La superficie de ataque cambia demasiado rápido, al igual que los grupos de ransomware que la explotan.

El informe de Black Kite describe en última instancia una amenaza que se está volviendo más amplia en lugar de simplemente mayor. Los ataques se están desplazando hacia empresas medianas, expandiéndose internacionalmente y explotando cada vez más las conexiones entre fabricantes, proveedores de tecnología, redes logísticas y clientes. El resultado es un problema de ransomware donde la pregunta más importante ya no puede ser si una empresa puede resistir un ataque, sino cuánto de la cadena de suministro circundante depende de ella.