El informe de ransomware de Black Kite de 2026 encuentra una economía de amenazas más rápida y fragmentada

El informe de ransomware de 2026 de Black Kite describe un mercado de ransomware que ya no está definido por un solo grupo dominante, un solo desmantelamiento que hace titulares o un solo método de ataque. Entre el 1 de abril de 2025 y el 31 de marzo de 2026, la empresa identificó 7,551 víctimas de ransomware divulgadas públicamente, un aumento con respecto a las 6,046 del período de informe anterior. Más importante que el aumento general, sin embargo, es cómo ocurrió el crecimiento. La actividad se aceleró bruscamente durante la segunda mitad del año, aparecieron nuevos grupos de ransomware a un ritmo rápido y las plataformas de software confiables se convirtieron cada vez más en rutas de entrada a organizaciones que pueden haber asegurado sus propios entornos internos.

El crecimiento del ransomware ha cambiado de forma

Black Kite ha rastreado las divulgaciones de ransomware desde 2022, cuando su primer período de informe registró aproximadamente 2,700 víctimas. Ese total luego aumentó a 4,893, luego a 6,046 y ahora a 7,551, pero el aumento anual no capta completamente cómo se aceleró la actividad durante el último período.

Los primeros seis meses produjeron 2,904 víctimas, en comparación con 4,647 desde octubre de 2025 hasta marzo de 2026. Marzo solo terminó con 861 víctimas de ransomware divulgadas públicamente, el total mensual más alto que Black Kite ha registrado en cuatro años. El impulso también continuó más allá del corte del informe, con otras 2,230 víctimas observadas desde abril hasta junio de 2026.

A diferencia de los ciclos de ransomware anteriores, el aumento no estuvo impulsado por un solo grupo dominante o un solo evento importante. Reflejó múltiples operadores que se expandieron al mismo tiempo, grupos establecidos que ampliaron sus redes de afiliados y nuevos entrantes que encontraron formas más baratas de participar.

Un mercado congestionado todavía tiene líderes poderosos

Ransomware ya no está controlado por un pequeño número de bandas reconocibles que operan como grupos criminales organizados. Cada vez más funciona como una economía de servicios. Los operadores principales desarrollan el malware, mantienen los sitios de filtración, manejan los pagos y proporcionan la infraestructura, mientras que los afiliados encuentran formas de entrar en las redes corporativas y desplegar los ataques. Este modelo permite que los grupos se expandan rápidamente sin que cada participante necesite habilidades técnicas avanzadas.

Black Kite identificó 127 grupos de ransomware activos durante el período de informe, incluidos 61 que aparecieron por primera vez. Algunos fueron operaciones completamente nuevas, mientras que otros pueden haber sido reetiquetados o grupos escindidos formados después de que desaparecieran organizaciones establecidas. El resultado es un mercado más fluido en el que los actores pueden moverse entre marcas, reutilizar herramientas o lanzar nuevos sitios de filtración sin reconstruir sus operaciones desde cero.

A pesar de esta fragmentación, un pequeño número de grupos todavía generó una gran parte de la actividad. Qilin fue el ejemplo más destacado, reclamando 1,358 víctimas durante el año, casi el doble que su competidor más cercano. El grupo opera a través de una estructura de ransomware como servicio que da a los afiliados acceso a herramientas de ataque mientras centraliza funciones como negociaciones, pagos y divulgaciones de víctimas.

Otras marcas siguieron diferentes caminos. RansomHub, que había sido una de las operaciones líderes en el período anterior, dejó de publicar víctimas a principios de 2026. LockBit regresó después de su interrupción anterior, pero sus 186 víctimas reclamadas representaron una recuperación limitada en lugar de un regreso a su influencia anterior.

Estos cambios muestran por qué las marcas de ransomware no deben verse como empresas convencionales. Un grupo puede desaparecer mientras sus afiliados, técnicas e infraestructura continúan bajo otros nombres. Los operadores pueden cerrar después de la acción de la ley, disputas internas o confianza en declive, solo para que tácticas familiares reaparezcan a través de un nuevo sitio de filtración semanas después.

El mercado se ha vuelto así más congestionado y más concentrado. Los nuevos entrantes pueden aparecer rápidamente, pero la escala todavía depende del acceso confiable a los brokers, afiliados experimentados, infraestructura de pago y reputación por proporcionar malware que funciona como se promete.

El perfil de objetivo está cambiando

Los ataques de ransomware suelen comenzar con el acceso en lugar de la cifrado. Los atacantes pueden explotar un sistema que enfrenta Internet sin parches, robar credenciales de dispositivos de empleados, abusar de software de acceso remoto o engañar a un servicio de ayuda para restablecer una cuenta. Una vez dentro, intentan moverse a través de la organización, identificar sistemas valiosos, copiar datos sensibles y crear suficiente presión operativa o de reputación para exigir pago.

Estados Unidos siguió siendo el país más frecuentemente objetivo en el conjunto de datos de Black Kite, responsable de casi la mitad de las víctimas observadas. Sin embargo, la actividad de ransomware se expandió más rápidamente en varios otros mercados. Alemania, Francia, España e Italia registraron aumentos sustanciales, mientras que varios países asiáticos también experimentaron un crecimiento pronunciado desde puntos de partida más pequeños.

Esta mayor dispersión geográfica refleja un mercado en el que los afiliados cada vez más buscan cualquier organización accesible en lugar de limitarse a un conjunto estrecho de países. Las barreras lingüísticas y el conocimiento regional una vez hicieron que la expansión internacional fuera más difícil. La traducción automatizada, las herramientas de reconocimiento ampliamente disponibles y la infraestructura criminal compartida han reducido algo de esa fricción.

La fabricación siguió siendo la industria más objetivo, con 1,660 víctimas divulgadas. Los fabricantes son atractivos porque incluso una interrupción breve puede interrumpir la producción, retrasar los pedidos y afectar a los proveedores y clientes. Muchos también operan una mezcla de sistemas de negocios modernos y tecnología operativa más antigua, creando entornos que pueden ser difíciles de parchear o desconectar temporalmente.

Los servicios profesionales, científicos y técnicos ocuparon el segundo lugar. Estas empresas a menudo poseen información sensible que pertenece a múltiples clientes, lo que significa que una intrusión puede crear presión mucho más allá de la víctima original. Las firmas legales, las empresas de ingeniería, las consultorías y los proveedores de tecnología también pueden poseer credenciales o acceso que pueden llevar a los atacantes a otras organizaciones.

La construcción se convirtió en el tercer lugar, reflejando la dependencia del sector de los equipos de proyectos distribuidos, contratistas, aplicaciones en la nube y sistemas de pago. La atención médica siguió siendo un objetivo importante porque la interrupción del servicio puede convertirse rápidamente en un problema operativo y de seguridad pública.

El informe también muestra a los atacantes que ponen mayor énfasis en las organizaciones de tamaño mediano. Las empresas que generan entre $10 millones y $100 millones contabilizaron gran parte de la actividad observada. Estas empresas pueden tener datos valiosos y tener la capacidad de pagar, pero a menudo carecen de los equipos de seguridad dedicados y las defensas en capas disponibles para las empresas más grandes.

Esto no significa que las grandes corporaciones estén siendo ignoradas. En cambio, los operadores de ransomware parecen estar equilibrando los pagos potenciales con el costo y la dificultad de un ataque. Un fabricante más pequeño, un contratista regional o una firma de servicios profesionales puede ofrecer un camino más rápido a la interrupción que una organización multinacional con recursos de monitoreo y respuesta a incidentes extensos.

Las plataformas confiables se convirtieron en parte de la superficie de ataque

Algunos de los incidentes más importantes del año no comenzaron dentro de la red central de la víctima. Pasaron a través de integraciones de Software como Servicio, tokens OAuth, aplicaciones de planificación de recursos empresariales, plataformas de soporte y otros sistemas conectados a datos comerciales sensibles.

El informe destaca las campañas relacionadas con Salesforce (CRM ) como ejemplos de cómo la confianza delegada puede convertirse en una ruta de ataque. Tokens OAuth comprometidos asociados con aplicaciones conectadas supuestamente dieron a los atacantes acceso a entornos de Salesforce de los clientes. Las integraciones con plataformas de servicio al cliente y éxito del cliente crearon rutas adicionales a los datos.

En estos casos, una organización podría mantener controles internos sólidos y aún estar expuesta a través de una relación con un proveedor que no entendiera o monitoreara completamente. Un token emitido meses antes, una aplicación que otorgó permisos excesivos o una cuenta de soporte mal segura podría dar a un atacante acceso sin requerir una infección de malware tradicional.

Oracle E-Business Suite ilustró la versión de explotación masiva del mismo problema. Black Kite describe una campaña que involucra afirmaciones de robo de datos de entornos de Oracle EBS y posible explotación de CVE-2025-61882 antes de que estuviera disponible un parche.

La actividad posterior al período que involucra a PeopleSoft reforzó la lección más amplia. Una plataforma expuesta puede crear un gran grupo de víctimas posteriores, convirtiendo los controles de identidad de un proveedor, permisos o vulnerabilidades en parte de la exposición a ransomware de cada cliente.

Las señales de advertencia a menudo eran visibles

El análisis previo a la divulgación de Black Kite encontró que muchas víctimas mostraron debilidades observables externamente antes de aparecer en sitios de filtración de ransomware. Las configuraciones de seguridad incorrectas estuvieron presentes en más de dos tercios de la población analizada, mientras que los servicios de acceso remoto expuestos, las vulnerabilidades de software, los dominios fraudulentos y las credenciales robadas también aparecieron con frecuencia.

Más del 60% tenía al menos uno de tres hallazgos relevantes para el ransomware: una vulnerabilidad de software conocida, exposición de credenciales o registros de estafadores. Casi uno de cada diez tenía los tres.

Estas señales no prueban qué debilidad causó una intrusión en particular. Una organización con credenciales expuestas puede ser comprometida finalmente a través de una vulnerabilidad diferente. Sin embargo, los hallazgos muestran que muchas futuras víctimas ya eran visibles como objetivos atractivos antes de que un ataque se volviera público.

El Índice de susceptibilidad a ransomware del informe intenta medir esa exposición de manera más directa. Black Kite encontró que las empresas en la banda de mayor riesgo tenían muchas más probabilidades de experimentar un incidente de ransomware divulgado que las organizaciones en la banda de menor riesgo.

La lección práctica es que el riesgo de ransomware no se distribuye uniformemente. Los atacantes a menudo se centran en organizaciones donde se superponen varias debilidades, especialmente cuando los sistemas sin parches, las credenciales expuestas y los controles de identidad permisivos crean múltiples puntos de entrada posibles.

Las tasas de pago más bajas están cambiando las tácticas de extorsión

El mercado de ransomware se expandió incluso cuando el comportamiento de pago se volvió menos confiable. Black Kite no mide directamente los pagos de rescate, pero compara varios conjuntos de datos de respuesta a incidentes externos que sugieren que menos víctimas eligen pagar.

Un conjunto de datos informó una tasa de pago del 26% en el segundo trimestre de 2025. Otro colocó la tasa en el 23% en el trimestre siguiente, mientras que los incidentes de extracción de datos produjeron una tasa del 19%. Estas cifras provienen de poblaciones diferentes y no deben leerse como una sola medición continua del mercado, pero apuntan en la misma dirección.

Las cantidades pagadas por las organizaciones que cumplen pueden seguir siendo sustanciales. Un conjunto de datos citado en el informe encontró un pago mediano de $1 millón entre las organizaciones encuestadas que pagaron para recuperar datos.

Las tasas de conversión más bajas no necesariamente hacen que el ransomware sea menos rentable. Pueden empujar a los operadores a perseguir a más víctimas, reducir el costo de cada ataque o aplicar más formas de presión. El cifrado ahora se combina con frecuencia con el robo de datos, la divulgación pública, la suplantación de identidad, el contacto directo con los clientes y las amenazas que involucran a los reguladores o socios comerciales.

Cuando menos víctimas pagan simplemente para restaurar los sistemas cifrados, los atacantes tienen un incentivo para crear consecuencias que permanecen incluso después de que se restauran los respaldos.

La recuperación no significa que la exposición haya desaparecido

Los hallazgos posteriores al incidente del informe son de los más preocupantes. Algunas medidas de seguridad de nivel de superficie mejoraron después de que las víctimas divulgaron los ataques. Las calificaciones de ciberseguridad promedio aumentaron, mientras que la actividad de botnet promedio disminuyó.

Los indicadores específicos de ransomware más profundos a menudo se movieron en la dirección opuesta. La exposición de registros de estafadores fue sustancialmente mayor en la comparación posterior al incidente, mientras que la susceptibilidad a ransomware y la exposición de vulnerabilidades de software también aumentaron entre muchas víctimas.

El patrón sugiere que las organizaciones pueden solucionar los problemas de higiene más visibles mientras dejan atrás las condiciones que las hacen atractivas para los atacantes. Una empresa podría cerrar la vulnerabilidad que se cree que causó la infracción inicial pero no revocar las credenciales robadas, revisar el acceso del proveedor, eliminar las cuentas inactivas o investigar otros sistemas expuestos.

El análisis del estado actual de Black Kite refuerza esa preocupación. Muchas víctimas pasadas continuaron mostrando registros de seguridad de correo electrónico mal configurados, vulnerabilidades críticas sin parches, vulnerabilidades explotadas conocidas y credenciales de empleados que circulaban en registros de estafadores.

La respuesta a incidentes a menudo se organiza alrededor de la restauración de las operaciones y la contención de la infracción confirmada. El informe argumenta que esto no es suficiente. La recuperación debe incluir una nueva evaluación de toda la superficie de ataque visible externamente de la organización, no solo del sistema asociado con el incidente original.

La IA está reduciendo el costo de participación

El informe no argumenta que la inteligencia artificial causó el aumento de ransomware. En cambio, describe la IA como un multiplicador de fuerza que hace que el trabajo existente sea más rápido y más barato.

La reconnaissance puede resumirse más rápidamente, los guiones de phishing y phishing de voz pueden localizarse, los registros robados pueden organizarse en narrativas más persuasivas y los mensajes de negociación pueden producirse por equipos más pequeños. Los atacantes de nivel inferior también pueden usar herramientas asistidas por IA para solucionar problemas de scripts, modificar malware y automatizar tareas repetitivas.

El impacto más claro está actualmente en la capa de cara al humano. La clonación de voz, los señuelos multilingües, el audio de deepfake, la manipulación del servicio de ayuda y la adaptación de la personalidad en tiempo real pueden hacer que la ingeniería social sea más fácil de escalar. La IA puede ayudar a un atacante a sonar más creíble en un idioma que no habla o producir mensajes personalizados para cientos de empleados sin escribir manualmente cada uno.

Black Kite señala los primeros signos de la IA que entran en la ejecución técnica y la marca de extorsión. El riesgo a corto plazo no es necesariamente el ransomware completamente autónomo. Son operaciones criminales semi-automatizadas en las que los equipos más pequeños pueden realizar trabajo que una vez requirió más tiempo, habilidades y coordinación.

La IA no elimina la necesidad de acceso o operadores capacitados. Reduce la fricción entre las etapas de un ataque y da a más participantes la capacidad de comportarse como empresas de ransomware organizadas.

Implicaciones futuras

El mensaje central es que el ransomware está evolucionando desde un mercado liderado por unas pocas marcas reconocibles hacia un ecosistema más amplio y operacionalizado. Los defensores aún deben parchear las vulnerabilidades y asegurar los puntos finales, pero los datos apuntan hacia una responsabilidad más amplia que incluye la revisión continua del acceso del proveedor, las integraciones de Software como Servicio, los controles de identidad, la infraestructura de correo electrónico, las credenciales expuestas y las condiciones posteriores al incidente.

Las organizaciones también deben reconsiderar cómo miden la recuperación. Restaurar los sistemas puede cerrar el incidente inmediato, pero no prueba que las credenciales robadas hayan sido invalidadas, que se hayan eliminado los permisos excesivos del proveedor o que se hayan abordado otros activos expuestos.

El informe de ransomware de 2026 muestra en última instancia por qué los recuentos de víctimas solos ya no son suficientes. La amenaza está creciendo a través de una combinación de volumen sostenido, operadores de ransomware como servicio de alta producción, objetivo de mercado medio en expansión, influencia de la cadena de suministro y costos operativos más bajos. Cerrar un incidente puede restaurar las operaciones normales, pero reducir la posibilidad de otro requiere tratar la exposición como una condición continua en lugar de un caso que termina cuando se completa el proceso de recuperación.