Durante el primer semestre de 2026 se confirmaron 4.699 ataques de ransomware a escala global, un 16,5 % más que en el mismo periodo de 2025, según el análisis de ESET. La cifra importa menos que su reparto: los atacantes no están eligiendo a quien tiene más datos, sino a quien menos puede permitirse parar. Ahí es donde la continuidad operativa deja de ser un documento y se convierte en una capacidad que se ensaya o no existe.
A quién están atacando, y por qué
Los tres sectores más afectados en el semestre son servicios empresariales, manufactura y tecnología. No es casualidad, y Mario Micucci, investigador de seguridad informática de ESET Latinoamérica, lo dice sin rodeos:
«Los ciberatacantes no atacan industrias al azar, sino organizaciones críticas, cuya interrupción de operaciones tiene un costo elevado.»
Mario Micucci, ESET Latinoamérica
Traducido a la lógica del negocio: el rescate no se cobra por el valor de los datos, sino por el precio de cada hora detenido. Una empresa que factura por producción o por servicio continuo es un objetivo más rentable que una que puede esperar tres días.
El mapa: dónde caen los ataques
Estados Unidos concentra el grueso, con más de 2.000 víctimas en el semestre. Alemania, con menos de 300 incidentes, encabeza el grupo europeo, junto a Reino Unido, Canadá y Francia.
En América Latina el reparto es el siguiente:
- Brasil: más de 100 víctimas.
- México: cerca de 80 ataques.
- Argentina: 39 ataques.
- Colombia: 33 ataques confirmados.
Conviene leer ese 33 con cuidado. Son casos confirmados y publicados. Las organizaciones que pagaron en silencio, o que resolvieron sin denunciar, no aparecen en ninguna tabla.
Tres grupos concentran un tercio de los ataques
El ecosistema está profesionalizado y concentrado: los tres grupos principales suman el 33,5 % de los ataques del semestre. Qilin encabeza con 722, The Gentlemen ronda los 550 y Akira supera los 300.
Que sean pocos y organizados tiene una lectura útil: sus métodos son conocidos y repetibles. Lo que funciona contra uno suele funcionar contra los demás.
Qué convierte un plan en una capacidad real
La mayoría de las empresas que sufren una parada larga tenían un plan de continuidad. Lo que no tenían era la respuesta a estas preguntas:
- ¿Cuánto tiempo puede estar detenido cada proceso? No la empresa entera: cada proceso. Facturar, despachar, atender. Ese número es el que ordena todo lo demás.
- ¿Cuánta información puede perderse? Si la última copia buena es de anoche, la respuesta es «un día de trabajo». Conviene saberlo antes, no durante.
- ¿Cuándo fue la última restauración probada? Con fecha, con responsable y con el tiempo real que tomó.
- ¿Qué se hace a mano mientras tanto? Muchas operaciones pueden sostenerse en papel unas horas si alguien lo decidió antes.
- ¿Quién decide y quién comunica? Nombres y teléfonos, no cargos. En un incidente real, la cadena de decisión es lo primero que se rompe.
La continuidad no se compra con una herramienta. Se construye eligiendo qué se restablece primero, midiendo cuánto tarda y repitiendo el ejercicio hasta que el número deje de dar sorpresas.
Fuentes consultadas
- Alta Densidad, «Ransomware dispara sus ataques en 2026: empresas de tecnología, manufactura y servicios son los principales objetivos», con datos de ESET.
- The Standard CIO, «Ransomware 2026: manufactura y salud bajo presión constante», 18 de mayo de 2026.
- Technocio, «Los ataques ransomware aumentan y ponen en riesgo la continuidad de las empresas».
- Kaspersky Latinoamérica, «América Latina, la región más afectada por el ransomware».
- Imagen destacada: PEO ACWA, Control Room Operators, CC BY 2.0, vía Wikimedia Commons.
