La actividad del ransomware ha entrado en una nueva fase. Atrás quedaron los ataques indiscriminados que afectaban a miles de usuarios sin distinción. Según un análisis de la firma de ciberseguridad Palo Alto Networks, el modelo actual se basa en operaciones selectivas, prolongadas y diseñadas con precisión quirúrgica. Se trata de un cambio estratégico: menos víctimas, pero con mayor capacidad económica y operativa, lo que incrementa la rentabilidad para los atacantes.
Este fenómeno, conocido como “caza mayor” o ransomware premium, se centra en organizaciones cuya interrupción supone un alto coste financiero, operativo o incluso humano. Entre los sectores más expuestos se encuentran la sanidad, el transporte, la manufactura y los servicios esenciales. El patrón se repite: entidades con infraestructura crítica, alta exposición pública y datos sensibles son ahora el objetivo principal.
Menos ataques, mayor impacto
El estudio 2025 Unit 42 Global Incident Response Report: Social Engineering Edition de Unit 42, división de inteligencia de amenazas de Palo Alto Networks, indica que el 36 % de los incidentes analizados en el último año comenzaron con ingeniería social, mientras que el 66 % implicaron cuentas privilegiadas como vía de acceso principal. En el 60 % de los casos, hubo exfiltración de datos.
Estos datos confirman que los grupos de ransomware han adoptado un enfoque más sofisticado. Ya no se trata únicamente de cifrar sistemas y exigir un rescate. Ahora, el proceso se inicia con una fase silenciosa de reconocimiento y acceso persistente, seguida de una extracción de información estratégica, que puede extenderse durante semanas antes del ataque final.
Grupos organizados y modelo RaaS
La evolución del ransomware se refleja también en la profesionalización de los actores implicados. Grupos como Spoiled Scorpius (operador de RansomHub) y Howling Scorpius (asociado a Akira) operan bajo estructuras definidas, con roles especializados y modelos de operación basados en Ransomware-as-a-Service (RaaS). Este modelo permite externalizar parte de la operación a afiliados que acceden a herramientas, infraestructura y asesoramiento a cambio de una comisión sobre los rescates obtenidos.
Además, la táctica de “triple extorsión” se ha consolidado. Ya no basta con cifrar los datos y amenazar con su publicación. Los atacantes añaden capas de presión que pueden incluir ataques DDoS durante las negociaciones, amenazas directas a empleados o clientes, y la comercialización de accesos o datos robados en mercados clandestinos.
Casos recientes de alto perfil
Este tipo de ataques ha dejado huella en distintos países. En España, el Ayuntamiento de Mallorca sufrió en 2024 un ataque con una demanda de 10 millones de euros. En Irlanda, el sistema nacional de salud tuvo que paralizar su actividad en 2021 por un incidente de ransomware. Ese mismo año, el oleoducto Colonial Pipeline en EE. UU. interrumpió el suministro de combustible en la costa este tras un ataque que generó impacto a escala nacional.
Estos casos ilustran el tipo de objetivo que los atacantes persiguen: organizaciones con estructuras críticas, datos confidenciales y escasa tolerancia al tiempo de inactividad.
La inteligencia artificial como acelerador de intrusiones
Una de las principales novedades del ransomware actual es el uso de inteligencia artificial para perfeccionar las campañas de ataque. Las técnicas de phishing y suplantación se han vuelto más eficaces gracias a la generación automatizada de mensajes hiperpersonalizados. Al mismo tiempo, la IA permite analizar rápidamente sistemas complejos para identificar vulnerabilidades, priorizando aquellas que pueden facilitar accesos duraderos o privilegios administrativos.
Según los expertos de Palo Alto Networks, este tipo de ataques no solo son más precisos, sino también más difíciles de detectar en sus fases iniciales. La combinación de automatización, ingeniería social y persistencia operativa incrementa la probabilidad de éxito y minimiza los riesgos para los atacantes.
Estrategias de defensa frente al ransomware dirigido
Ante este panorama, las organizaciones se enfrentan al reto de redefinir sus estrategias de ciberseguridad. Las soluciones tradicionales, como los antivirus convencionales, resultan insuficientes frente a amenazas diseñadas específicamente para evadir mecanismos de defensa conocidos.
Palo Alto Networks propone un enfoque estructurado en tres líneas principales:
- Modernización de infraestructuras: Requiere identificar de forma proactiva las vulnerabilidades internas antes que los propios atacantes. Esto implica auditorías constantes, análisis de riesgo y una arquitectura adaptable.
- Aplicación de IA y aprendizaje automático: Permiten anticipar patrones de comportamiento malicioso, reconocer desviaciones y responder con rapidez. La detección temprana y la contención inmediata son fundamentales ante una amenaza que puede desarrollarse de forma silenciosa durante semanas.
- Integración en la estrategia directiva: El ransomware no debe tratarse como un asunto exclusivamente técnico. Requiere atención en el nivel de gobernanza empresarial, incluyendo simulacros, planificación de continuidad y definición de protocolos de respuesta.
Prioridad en sectores con alta dependencia operativa
Los grupos de ransomware priorizan organizaciones con características comunes: exposición pública, dependencia crítica de los sistemas digitales, presión regulatoria y recursos para afrontar rescates elevados. Esta combinación convierte a sectores como la salud, la logística o la industria pesada en objetivos frecuentes.
Además del impacto económico, este tipo de incidentes plantea riesgos reputacionales y jurídicos, especialmente cuando implica la filtración de información sensible o la interrupción de servicios esenciales. Las consecuencias pueden extenderse más allá de la víctima directa, afectando a sus clientes, socios o incluso a la población general, como ha ocurrido en algunos ataques recientes a hospitales y redes de transporte.
Un escenario en evolución constante
La dinámica del ransomware sigue transformándose. La profesionalización de los grupos criminales, su capacidad de adaptación y la adopción de tecnologías avanzadas configuran un entorno de amenaza que evoluciona con rapidez. Para las organizaciones, esto implica la necesidad de revisar sus estrategias de defensa y asumir que la ciberseguridad ya no puede abordarse como un mero elemento operativo, sino como un pilar estratégico dentro de la gestión corporativa.
La “caza mayor” del ransomware plantea un desafío creciente a escala global. A medida que los atacantes refinen sus métodos y diversifiquen sus objetivos, las empresas deberán responder con una mayor integración entre tecnología, procesos y gobernanza para mitigar los riesgos asociados a esta modalidad de crimen digital.
