El ‘ransomware’ no afloja: así ha sido su evolución hacia un modelo criminal más profesionalizado

El ransomware sigue siendo una de las principales amenazas para las empresas españolas y, según ESET, lejos de desaparecer, evoluciona hacia un modelo criminal cada vez más profesionalizado, escalable y difícil de anticipar.

La compañía de ciberseguridad señala que el análisis de la actividad observada en España durante los primeros meses de 2026 sitúa a Qilin como el grupo con mayor actividad dirigida al mercado español, siempre con la advertencia de que este tipo de cifras pueden no reflejar el total de casos, ya que parte de la actividad nunca llega a hacerse pública.

Surgido en el último trimestre de 2022, Qilin aparece en el análisis como uno de los principales exponentes del modelo de Ransomware-as-a-Service (RaaS) tanto dentro como fuera de España.

Tras él figuran The Gentlemen, cuya actividad repuntó especialmente en marzo, y Nightspire, una operación más reciente que ha ido ganando protagonismo desde su aparición en 2025.

“El ransomware ya no puede entenderse como un ataque aislado que aparece de repente en una empresa. Detrás hay una industria criminal con proveedores, afiliados, herramientas, mercados de credenciales y servicios especializados”, señala Josep Albors, director de investigación y concienciación de ESET España.

Los sectores más afectados

Según el análisis sectorial de ESET, las empresas industriales figuran entre las más afectadas por este tipo de ataques.

También aparecen organizaciones vinculadas al marketing y la comunicación, la construcción e inmobiliaria, la logística y el transporte y las tecnologías de la información.

La compañía distingue dos dinámicas principales en España: campañas masivas dirigidas a pymes y micropymes con menos defensas y ataques más dirigidos contra empresas de mayor tamaño o sectores concretos.

En ambos casos, ESET explica que la estrategia ya no pasa únicamente por cifrar archivos. Los atacantes también suelen robar información sensible y amenazar con publicarla si no se paga.

Un negocio criminal organizado

ESET insiste en que el ransomware funciona bajo una lógica industrial.

En ese ecosistema participan desarrolladores de malware, operadores de plataformas, afiliados que ejecutan ataques, brokers de acceso inicial que venden credenciales robadas y proveedores de herramientas para evadir soluciones de seguridad.

Según la telemetría global de la compañía, las detecciones de ransomware crecieron un 13 % en la segunda mitad de 2025 respecto al semestre anterior, tras haber aumentado un 30 % en la primera mitad del año.

Además, cita el informe DBIR 2025 de Verizon, que situó el ransomware en el 44 % de las brechas analizadas.

Entre las recomendaciones de ESET aparecen mantener copias de seguridad actualizadas y desconectadas, aplicar parches de seguridad, proteger accesos remotos, activar autenticación multifactor, vigilar credenciales expuestas y formar a empleados frente a técnicas de ingeniería social.