Los ataques de ransomware aumentaron 20% en el primer semestre de 2026

Los hackers intensificaron sus ataques de ransomware en el segundo trimestre de 2026, con un aumento repentino de nuevos ataques liderados por dos grupos rivales que ofrecían ransomware como servicio.

Un nuevo informe de NordStellar revela que los incidentes de ransomware aumentaron 20% interanual en la primera mitad de 2026, registrándose 5,275 ataques. Solo en el segundo trimestre se registraron 2,581 incidentes.

Si bien el número de ataques de ransomware disminuyó ligeramente un 4% en el segundo trimestre en comparación con los tres primeros meses del año, los expertos en ciberseguridad advierten que tanto empresas como particulares deben mantenerse alerta.

“Esta ligera disminución en los ataques no debería ser motivo para bajar la guardia”, afirma Vakaris Noreika, experto en ciberseguridad de NordStellar. “Aunque el número de ataques ha disminuido ligeramente cada trimestre de este año, ahora observamos una nueva cifra alarmante de alrededor de 2,500 ataques por trimestre”.

Estas cifras se deben a la rivalidad entre dos operaciones activas de ransomware como servicio: Qilin y The Gentlemen. Qilin lleva activa al menos desde 2022 y se ha convertido en una de las mayores operaciones de ransomware del mundo. Entre las víctimas de este grupo de habla rusa se encuentran la empresa de atención médica Synnovis y el Tribunal Municipal de Cleveland.

The Gentlemen se formó con antiguos miembros de Qilin tras una escisión en 2025 y se ha expandido más rápido que cualquier otro grupo de hackers conocido, atacando a cientos de organizaciones en más de 66 países y 20 sectores. Fue responsable de 284 ataques en el segundo trimestre de este año. Si bien esta cifra fue inferior a los 299 atribuidos a Qilin, representó un aumento del 39% con respecto al año anterior.

NordStellar afirma que la creciente influencia de ambos grupos sugiere que el ecosistema del ransomware está madurando y volviéndose más estable, lo que podría hacerlo más peligroso.

“Los grupos de ransomware consolidados han perfeccionado sus herramientas, redes de afiliados e infraestructuras de negociación”, afirma Mantas Sabeckis, investigador sénior de inteligencia de amenazas en Nord Security. “Cuanto más sofisticado y consolidado es un grupo, mayor es la amenaza que representa”.

Las pequeñas y medianas empresas fueron los principales objetivos durante el primer semestre del año, representando más del 60% de los ataques. Las grandes empresas con ingresos anuales de al menos 1,000 millones de dólares experimentaron un aumento del 74% en los ataques, pasando de 23 en el primer trimestre a 40 en el segundo.

Los datos de NordStellar no profundizan en los métodos que utilizan los hackers, pero un informe independiente del Instituto SANS, la mayor organización mundial de investigación y formación en ciberseguridad, revela que 78% de las organizaciones sufrieron ataques confirmados o sospechosos con IA el año pasado.

Un número creciente de organizaciones también utiliza esta tecnología con fines de protección, y el número de equipos de ciberseguridad que utilizan activamente la IA en sus defensas aumentó del 50% en 2025 al 78% este año. Sin embargo, el panorama de la ciberseguridad basada en IA no es precisamente alentador.

Alrededor del 63% de los equipos de seguridad con los que habló SANS reportaron deficiencias significativas en la forma en que la IA detecta o responde a las amenazas. Esto representa un aumento de casi 20% con respecto a 2025.

Si bien la IA aún no se ha convertido en el activo defensivo que algunos expertos en seguridad anticiparon, sus capacidades ofensivas parecen estar avanzando. A principios de este mes, la empresa de seguridad en la nube Sysdig detalló lo que describió como la primera campaña de ransomware operada completamente por un modelo de lenguaje de gran tamaño.

Llamada JadePuffer, la campaña ejecutada por IA logró infiltrarse en los sistemas mucho más rápido que las campañas basadas en humanos. En un caso, según un informe de Sysdig, la herramienta de ransomware impulsada por IA pasó de un inicio de sesión fallido a una solución efectiva en 31 segundos.

“Jadepuffer es una señal de alerta”, escribió Sysdig. “Es un indicador de hacia dónde se dirige la extorsión”.