Durante años, el ransomware se ha asociado con una imagen muy concreta: un ordenador bloqueado y un mensaje en la pantalla exigiendo dinero para recuperar los archivos. Sin embargo, en 2026 esta amenaza ha evolucionado hasta convertirse en algo más complejo y peligroso para las empresas.
Hoy, los ciberdelincuentes no solo buscan bloquear los sistemas informáticos. También quieren robar información confidencial y amenazar con publicarla, interrumpir la actividad del negocio y presionar a proveedores para aumentar sus posibilidades de cobrar un rescate.
Comprender cómo funciona la "extorsión digital" actual resulta imprescindible para proteger cualquier negocio.
1. Extorsión mediante robo de información
¿Cómo actúan ahora? Copian ficheros de clientes, datos contables, nóminas, contratos o correos internos sin hacer ruido. Tras finalizar ese proceso, pueden cifrar los ordenadores o utilizar directamente la información sustraída para extorsionar a la empresa.
El nuevo chantaje. Si la empresa decide no pagar porque tiene copias de seguridad para restaurar sus ordenadores, los ciberdelincuentes pueden amenazar con publicar la información en internet o compartirla con la competencia.
Presión a terceros. En los casos más agresivos, los ciberdelincuentes contactan directamente con clientes o proveedores de la víctima para avisarles de que sus datos han sido filtrados, incentivándolos a presionar a la empresa para que pague.
2. Ataques impulsados por Inteligencia Artificial
Engaños hiperrealistas mediante phishing. Los correos fraudulentos con faltas de ortografía o traducciones extrañas han quedado atrás. La IA permite a los atacantes redactar correos impecables que imitan el tono de un proveedor habitual, de un banco o de un cliente, haciendo muy difícil detectar la trampa a simple vista.
Ataques a gran velocidad. La IA reduce considerablemente los tiempos de preparación y ejecución de los ciberataques.
3. Las pymes en el punto de mira
Uno de los errores más comunes en pequeñas y medianas empresas es creer que son demasiado pequeñas para convertirse en objetivo de los ciberdelincuentes. La realidad muestra lo contrario:
Ataques automatizados. Los ciberdelincuentes utilizan programas automáticos que escanean millones de empresas en internet buscando "puertas abiertas" (contraseñas débiles o programas sin actualizar). Caer en la red es una cuestión de vulnerabilidad, no de tamaño.
El "efecto dominó" (ataques a la cadena de suministro). Los atacantes suelen entrar a grandes corporaciones a través de sus proveedores más pequeños. Acceder al sistema informático de una pyme puede ser la vía para llegar a los datos de sus clientes más grandes.
Medidas de protección y buenas prácticas para reducir el riesgo
La buena noticia es que muchas medidas que contribuyen a reducir los riesgos son relativamente sencillas y están al alcance de pequeñas y medianas empresas. Estas son las 5 principales:
- Activar el doble factor de verificación (2FA/MFA). El segundo factor de autenticación al iniciar sesión en el correo, los programas de gestión y otros servicios importantes añade una capa extra de seguridad.
- Mantener los sistemas actualizados. Instalar las actualizaciones de seguridad del sistema operativo y de los programas minimizan las vulnerabilidades que un ciberdelincuente pueda explotar.
- Realizar copias de seguridad desconectadas (offline). Guardar una copia de los datos fuera de la red de la empresa o en un servicio en la nube debidamente aislado y protegido reduce el riesgo de que el ransomware también comprometa las copias de seguridad.
- Formar a los empleados. El factor humano sigue siendo la puerta de entrada principal a los activos de las compañías. Formar a los empleados para que detecten correos sospechosos y desconfíen de solicitudes inusuales o urgentes previene gran parte de los incidentes de seguridad.
- Preparar un Plan de Respuesta. Es necesario establecer de antemano a quién llamar, qué sistemas desconectar y cómo continuar con las operaciones esenciales si se produce un ataque.
¿Qué debe hacer una empresa si sufre un ataque de ransomware?
La rapidez de reacción es fundamental. Debe contactar inmediatamente con su responsable informático o proveedor especializado, aislar los equipos afectados, conservar las pruebas del ataque y evitar tomar decisiones precipitadas.
En España, las empresas pueden recurrir a la Línea de Ayuda en Ciberseguridad de INCIBE, a través del teléfono 017.
Si se han visto comprometidos datos personales, será necesario valorar las obligaciones legales de notificación a la autoridad de protección de datos competente, cuando la brecha pueda entrañar un riesgo para los derechos y libertades de las personas afectadas, y de comunicación a estas últimas cuando exista un alto riesgo, conforme a los artículos 33 y 34 del RGPD. La notificación a la autoridad deberá realizarse sin dilación indebida y, de ser posible, dentro de las 72 horas desde que se tenga constancia de la brecha.
En cuanto al rescate, pagar no asegura la recuperación de los sistemas: puede financiar nuevas actividades delictivas y no garantiza que la información robada deje de circular.
