Imperios del Cifrado: Anatomía Global del Ransomware en 2025

Durante el año 2024, el mundo fue testigo de una tormenta cibernética sin precedentes: 5.263 ataques de alto impacto registrados oficialmente en 153 países, aunque las estimaciones más realistas hablan de más de 300 millones de intentos de ransomware en todas las plataformas y geografías. El primer trimestre de 2025 ha marcado un nuevo umbral de intensidad: 2.063 víctimas registradas en solo tres meses —el mayor número histórico para un solo trimestre— y un crecimiento interanual del 126%, con un promedio de 275 ataques diarios.

Se estima que el ransomware genera ingresos por más de 4.800 millones de dólares al mes, el equivalente a 156 millones al día o 6,5 millones por hora. Si esta tendencia se mantiene, el impacto económico global podría superar los 57.000 millones anuales, con proyecciones que lo sitúan en 275.000 millones para el año 2031.

Pagos, rescates y la economía de la extorsión

Uno de los cambios más llamativos ha sido la reducción en los montos promedio de rescate exigidos: de dos millones de dólares en 2024, se ha pasado a un millón en 2025. Esta caída no refleja necesariamente una disminución de la amenaza, sino una táctica de maximización: montos más bajos aumentan la probabilidad de pago. Al considerar todos los costos asociados —interrupción del negocio, pérdida de clientes, impactos legales y daño reputacional— el promedio total asciende a 5,13 millones en 2024.

El 53% de quienes pagaron lograron reducir el monto inicial exigido, y casi la mitad lo hizo negociando directamente con los actores maliciosos, una práctica que, aunque pragmática, perpetúa el ciclo de extorsión.

Ransomware como industria: del sótano al holding

El modelo RaaS opera como un sistema de franquicias criminales: hay desarrolladores que escriben el código, operadores que lo despliegan, negociadores que interactúan con víctimas y analistas que evalúan pagos, reputación y ROI. A inicios de 2025, RansomHub lideró la actividad global con 254 víctimas, seguido por Clop con 210, Akira con 147, y una lista que incluye a Qilin, Play, Lynx, Funksec, Cactus, Medusa e Inc.

LockBit, a pesar de la intervención del FBI en febrero de 2024, sigue como el emblema del ransomware moderno: más de 1.700 ataques ejecutados hasta esa fecha y US$91 millones en pagos confirmados. En febrero de 2025 reapareció con LockBit 4.0. Clop, por su parte, se consolidó como el grupo más sofisticado en ataques sin cifrado (pure extortion), acumulando más de US$500 millones en rescates cobrados.

Los precios para ingresar al ecosistema RaaS oscilan entre US$40 y US$400 mensuales. Los afiliados ganan comisiones que varían entre el 60% y 85% del rescate final. En 2024, más de 40 nuevas plataformas de RaaS se lanzaron, y al menos 88 grupos distintos estuvieron activos en el ecosistema, un crecimiento del 40% respecto al año anterior.

Territorio y sectores: una mirada por continentes e industrias

América del Norte continúa siendo el epicentro, acumulando entre el 58 y el 62% de todos los incidentes documentados. Europa ocupó el segundo lugar con un 19%, seguida por Asia (11%), Sudamérica (8%), Oceanía (2%) y Medio Oriente (1,5%). Por sectores, la manufactura encabeza la lista con entre 480 y 530 incidentes (68% de los ataques industriales), seguida por el comercio minorista y la salud, donde los costos por brecha promedian los 10,1 millones de dólares. La educación reportó hasta 4.484 ataques semanales por institución, un incremento del 73% respecto al año anterior.

Pequeñas empresas, grandes consecuencias

El ransomware no discrimina por tamaño, pero las pymes son blanco fácil: 70% de los ataques en 2025 las afectan, y de esas, el 75% no logra reanudar operaciones tras un incidente grave. Menos del 20% implementa MFA, el 51% no tiene medidas básicas de ciberseguridad, y el rescate promedio pagado por una pyme es de solo US$5.900 —una transacción rápida y de bajo riesgo para el ecosistema criminal, pero devastadora para quien la sufre.

Extorsión sin cifrado: el nuevo minimalismo del crimen

Muchos grupos —como Clop, RansomHouse o el emergente Fog— han adoptado un enfoque más pragmático: penetrar, exfiltrar información crítica y amenazar con divulgarla, sin necesidad de payloads complejos ni riesgos de cifrados fallidos. El 95% de los incidentes en 2025 incluyen ya algún nivel de filtración previa, como parte del doble o triple chantaje. El costo de exposición mediática se ha vuelto más alto que la recuperación técnica, convirtiendo al ransomware en una guerra psicológica, no solo informática.

La trinchera invisible: cuando el burnout es un riesgo cibernético

Hay una realidad que rara vez aparece en las estadísticas: el desgaste emocional de los equipos técnicos ante un incidente de ransomware. El pánico inicial, las noches sin dormir, la presión de los directores, la disyuntiva entre negociar o resistir. En empresas más pequeñas, el responsable de TI suele ser también quien repara impresoras y actualiza el sitio web. Ese individuo, sin apoyo especializado, se convierte en blanco emocional del secuestro digital. El ransomware no solo cifra datos: secuestra confianza.

IA: catalizador ofensivo, baluarte defensivo

Fortinet reveló picos de hasta 36.000 escaneos automatizados por segundo, impulsados por sistemas que identifican vulnerabilidades y lanzan ataques en tiempo real. La IA ofensiva ya no es una promesa: es una rutina operativa. Del otro lado del tablero, herramientas como XDR integran IA para correlacionar eventos en milisegundos e identificar patrones de movimiento lateral. Pero el problema no es tecnológico, es organizacional: sin cultura, sin inversión y sin voluntad, la IA defensiva detecta, pero si nadie reacciona, el resultado es el mismo.

Ransomware como ideología

Grupos como ALPHV, LockBit o Black Basta han desarrollado marcas, logos y campañas de prensa propias, con leaks que tienen timing mediático. Diseñan el impacto no como hackers, sino como estrategas de opinión pública, generando un subgénero de narrativa criminal justificada que busca instalar duda en la percepción colectiva.

Hijos de la descentralización: ransomware sin amo

Otra mutación crucial es la descomposición de los grandes grupos verticales hacia un modelo más fragmentado: pequeños afiliados que actúan bajo múltiples marcas, en paralelo, con herramientas modulares y acceso temporal a infraestructuras compartidas. Sin líderes visibles, sin países a los que atribuir con certeza, sin estructuras a las que cortar la cabeza. Para los defensores, esto significa una guerra sin campos de batalla definidos y sin treguas posibles.

¿Cómo se combate lo intangible?

El ransomware no va a desaparecer. Pero sí podemos debilitar su modelo de negocio, reducir sus márgenes de éxito y quitarle poder simbólico: con inversión real, transparencia radical, talento bien tratado, defensas ofensivas, colaboración entre países y sectores, y ética aplicada a la tecnología. No estamos frente a un enemigo externo. Estamos frente a un espejo, amplificado por el malware, que nos obliga a mirar sin filtros cuánto hemos construido sin resiliencia.