El ransomware entra en una nueva etapa: la inteligencia artificial permite a grupos más pequeños desarrollar infraestructura criminal con mayor rapidez, mientras el robo y la filtración de datos ganan terreno frente al tradicional cifrado de archivos.
El ransomware está cambiando de naturaleza. Ya no se trata únicamente de grandes organizaciones criminales capaces de bloquear miles de ordenadores y exigir un rescate para recuperar los archivos. La irrupción de herramientas de inteligencia artificial aplicadas a la programación está reduciendo las barreras técnicas y acelerando la aparición de nuevos actores.
Los datos correspondientes al segundo trimestre de 2026, analizados por la división de investigación de Check Point Software Technologies, reflejan la magnitud del fenómeno: las páginas utilizadas por los grupos de ransomware para publicar información robada registraron 2 139 organizaciones afectadas.
La cifra supone un incremento del 33 % interanual y coincide con otro récord: el número de grupos activos identificados alcanzó los 93, frente a los 71 registrados anteriormente.
El ransomware se fragmenta: ya hay 93 grupos activos
Una de las transformaciones más relevantes es precisamente la fragmentación del ecosistema criminal.
Aunque el número de organizaciones afectadas se mantuvo prácticamente estable respecto al primer trimestre de 2026, las víctimas están ahora repartidas entre un número mucho mayor de grupos.
Los diez actores más activos concentraban anteriormente alrededor del 71 % de la actividad. En el segundo trimestre, su participación descendió hasta el 57,6 %.
Esto apunta hacia un escenario potencialmente más complejo para empresas y organismos públicos: más grupos, estructuras más pequeñas y operaciones capaces de aparecer y evolucionar rápidamente.
Qilin, The Gentlemen y DragonForce ganan protagonismo
La actividad también está cambiando rápidamente entre las propias organizaciones criminales.
Qilin registró 279 incidentes durante el trimestre, aunque su actividad cayó un 17 % respecto al comienzo del año.
Uno de los mayores ascensos correspondió a The Gentlemen, que aumentó su actividad un 62 %, hasta alcanzar 269 víctimas, llegando a superar a Qilin durante junio.
Por su parte, DragonForce incrementó sus ataques un 39 %.
En sentido contrario, grupos veteranos como Cl0p prácticamente desaparecieron de los registros después de concluir campañas anteriores.
Esta volatilidad dificulta que las empresas puedan centrar sus defensas exclusivamente en unas pocas organizaciones conocidas.
La inteligencia artificial reduce las barreras del cibercrimen
El elemento más preocupante señalado por los investigadores es la utilización de asistentes de programación basados en inteligencia artificial.
El análisis de comunicaciones internas filtradas de The Gentlemen habría mostrado que su administrador consiguió construir el panel operativo utilizado por la organización en aproximadamente tres días, apoyándose en este tipo de herramientas.
Esto no significa que una IA decida autónomamente cometer un ataque o seleccione por sí misma a las víctimas.
La amenaza reside en otra cuestión: herramientas capaces de acelerar tareas de programación legítimas también pueden reducir el tiempo y los conocimientos necesarios para desarrollar determinada infraestructura utilizada posteriormente con fines delictivos.
Según el análisis, una estructura central de apenas nueve operadores puede sostener un volumen elevado de actividad mediante herramientas automatizadas y redes de afiliados.
De secuestrar ordenadores a robar información confidencial
También está cambiando la forma de extorsionar a las empresas.
Durante años, la imagen tradicional del ransomware consistía en introducirse en una organización, cifrar sus archivos y exigir dinero a cambio de proporcionar la clave necesaria para recuperarlos.
La expansión de sistemas de copias de seguridad ha reducido la eficacia de esa estrategia en numerosas organizaciones.
Los delincuentes han reaccionado potenciando otra amenaza: robar primero la información y amenazar después con publicarla.
Una compañía puede restaurar servidores mediante una copia de seguridad, pero no puede hacer que desaparezcan unos datos confidenciales una vez que estos han sido sustraídos.
El cambio multiplica los riesgos relacionados con información empresarial, datos personales, credenciales, documentos internos y propiedad intelectual.
Estados Unidos concentra el 42 % de las víctimas
La distribución geográfica muestra una importante concentración de los incidentes.
Estados Unidos representa el 42 % de los ataques registrados, muy por delante del resto de países.
Canadá y Alemania aparecen a continuación, cada uno con aproximadamente un 5 %.
España, Reino Unido, Italia y Francia representan alrededor del 3 % cada uno, según los datos recogidos en el análisis.
Por sectores, los servicios empresariales constituyen el principal objetivo y concentran aproximadamente un tercio de las intrusiones.
España representa un 3 % de los ataques registrados
Aunque España está lejos de las cifras estadounidenses, su presencia entre los países afectados demuestra que el ransomware continúa siendo una amenaza directa para el tejido empresarial nacional.
Además, la evolución hacia el robo de información cambia las prioridades de seguridad.
Una estrategia centrada exclusivamente en realizar copias de seguridad puede resultar insuficiente cuando el objetivo del atacante no consiste únicamente en destruir o cifrar información, sino en extraerla y utilizarla posteriormente como mecanismo de extorsión.
El problema se agrava cuando existen credenciales comprometidas, accesos remotos mal protegidos o vulnerabilidades que permanecen sin corregir durante demasiado tiempo.
Las fuerzas de seguridad atacan la infraestructura del ransomware
La presión policial también está aumentando.
Durante el último trimestre se han desarrollado operaciones dirigidas contra infraestructuras utilizadas por redes criminales, incluyendo servicios relacionados con el blanqueo de criptomonedas y herramientas empleadas para facilitar operaciones maliciosas.
Según el análisis, estas intervenciones todavía no han provocado una reducción inmediata del número total de ataques.
Sin embargo, pueden tener otra consecuencia importante: elevar los costes y las dificultades operativas de los ciberdelincuentes.
El ransomware funciona actualmente como un ecosistema donde pueden intervenir desarrolladores, operadores, afiliados y servicios financieros. Atacar esos eslabones puede dificultar el funcionamiento del conjunto incluso aunque las campañas no desaparezcan inmediatamente.
Los expertos advierten de ataques cada vez más rápidos
Sergey Shykevich, director de Threat Intelligence de Check Point Software, considera que la principal conclusión del trimestre no está únicamente en el volumen de víctimas, sino en la velocidad con la que disminuyen las barreras de entrada.
Según el especialista, equipos reducidos apoyados por herramientas de IA y redes de afiliados pueden levantar operaciones sofisticadas mucho más rápidamente que antes.
La consecuencia podría ser una nueva generación de grupos con ciclos de desarrollo y ataque considerablemente más cortos.
Y ese cambio plantea un problema fundamental para los responsables de ciberseguridad: una vulnerabilidad que anteriormente podía permanecer pendiente durante días podría convertirse en una puerta de entrada explotable antes de que una organización consiga reaccionar.
La prevención se convierte en la principal defensa
El nuevo escenario obliga a reconsiderar las prioridades de seguridad.
Las organizaciones necesitan proteger especialmente credenciales, accesos iniciales y datos sensibles, además de reducir el tiempo necesario para corregir vulnerabilidades críticas.
También resulta fundamental tratar una posible exfiltración de información con una gravedad equivalente al cifrado de sistemas.
Las copias de seguridad siguen siendo esenciales, pero dejan de constituir por sí solas una respuesta suficiente ante grupos cuyo principal mecanismo de presión puede ser publicar información robada.
La carrera entre defensores y ciberdelincuentes entra así en una nueva fase. La misma inteligencia artificial que permite acelerar el desarrollo de software legítimo también puede reducir los tiempos operativos de quienes utilizan esas capacidades con fines criminales.
El dato que resume el desafío es contundente: 2 139 organizaciones afectadas, un crecimiento interanual del 33 % y un récord de 93 grupos activos en apenas tres meses.
Para empresas y administraciones, el mensaje es igualmente claro: frente a un ransomware más fragmentado y veloz, esperar a detectar el ataque puede significar llegar demasiado tarde.
