Inicio
Explora las páginas
Tendencias del ransomware

Tendencias del ransomware para 2025

Las organizaciones se enfrentan a la necesidad imperiosa de comprender las tendencias actuales del ransomware e implementar estrategias de protección sólidas.

Visión general

Tendencias del ransomware para 2025

Los ataques de ransomware siguen evolucionando en sofisticación y escala, lo que plantea retos sin precedentes a las organizaciones de todo el mundo. El impacto financiero va más allá del pago de rescates e incluye el tiempo de inactividad operativa, los costes de Recovery y el daño a la reputación.

Los datos de principios de 2025 indican una alarmante aceleración tanto en la frecuencia como en la gravedad de los ataques en todos los sectores. Las organizaciones se enfrentan a la necesidad imperiosa de comprender las tendencias actuales del ransomware e implementar estrategias de protección sólidas.

La ciberresiliencia se ha convertido en la piedra angular de una defensa eficaz contra el ransomware, al combinar capacidades de prevención, detección y Recovery. Los enfoques modernos deben abordar no solo los aspectos técnicos del ransomware, sino también las implicaciones para la continuidad del negocio que se derivan de un ataque.

Tendencias clave

Principales tendencias del ransomware para 2025

El ransomware representa una amenaza persistente y en constante evolución para la integridad de los datos, y suele consistir en software malicioso que cifra archivos o sistemas completos hasta que se paga un rescate. Una vez cifrados, las víctimas pierden el acceso a datos, aplicaciones y sistemas empresariales críticos, lo que a menudo provoca la paralización de las operaciones y pérdidas económicas significativas.

Los principales vectores de ataque siguen siendo los mismos: correos electrónicos de phishing con archivos adjuntos maliciosos, el aprovechamiento de vulnerabilidades de software sin parches y puntos de acceso remoto comprometidos. Esto es lo que estamos observando en lo que va de 2025.

1. Doble y triple extorsión
El panorama del ransomware ha evolucionado más allá del simple cifrado para incorporar múltiples capas de extorsión. La doble extorsión combina el cifrado de datos con el robo de datos, lo que permite a los atacantes amenazar con la divulgación pública de información sensible si no se satisfacen sus demandas de rescate.

La triple extorsión lleva este enfoque más allá añadiendo tácticas de presión adicionales: amenazar a terceros cuyos datos se hayan visto comprometidos en la filtración o lanzar ataques distribuidos de denegación de servicio (DDoS) contra la infraestructura de la víctima. Estos enfoques multifacéticos aumentan la presión sobre las víctimas para que paguen rápidamente y maximizan los beneficios de los delincuentes.

2. Ransomware como servicio (RaaS)
El modelo de afiliados ha transformado el ransomware en un próspero ecosistema empresarial delictivo. Los proveedores de RaaS desarrollan y mantienen el malware, al tiempo que reclutan a afiliados que se encargan de su despliegue contra los objetivos.

Los acuerdos de reparto de ingresos otorgan a los afiliados un porcentaje de los pagos de rescate, lo que crea fuertes incentivos económicos para los atacantes cualificados. Este modelo reduce las barreras técnicas de entrada, al tiempo que permite a los grupos delictivos especializados centrarse en sus competencias principales: el desarrollo de malware, la negociación o el acceso inicial.

3. Ataques dirigidos a sectores
críticos Los operadores de ransomware se centran cada vez más en sectores en los que el tiempo de inactividad genera la máxima presión para pagar. Las organizaciones sanitarias se enfrentan a consecuencias de vida o muerte cuando los sistemas dejan de funcionar, lo que las convierte en objetivos prioritarios a pesar de las preocupaciones éticas.

Las agencias gubernamentales, las empresas manufactureras, las constructoras y los proveedores de servicios en la nube también se enfrentan a un mayor riesgo de sufrir ataques debido a sus dependencias operativas y a los datos sensibles que almacenan. Estos sectores suelen gestionar infraestructuras críticas o servicios esenciales, lo que amplifica el impacto de los ataques que tienen éxito.

4. Ataques
a la cadena de suministro Los actores maliciosos han reconocido la eficacia de comprometer a los proveedores de software y de servicios para acceder simultáneamente a numerosas víctimas posteriores. Al centrarse en un único mecanismo de actualización de software o en un único proveedor de servicios gestionados, los atacantes pueden desplegar ransomware en toda la base de clientes.

Estos ataques aprovechan las relaciones de confianza entre las organizaciones y sus proveedores de tecnología, lo que genera un efecto en cascada que afecta a múltiples víctimas a partir de un único punto de compromiso.

5. «Living-off-the-Land» y BYOVD
: Los grupos sofisticados de ransomware utilizan cada vez más herramientas legítimas del sistema y utilidades administrativas para evitar ser detectados por las soluciones de seguridad. Este enfoque de «living-off-the-land» aprovecha el software de confianza ya presente en los sistemas, lo que hace que la actividad maliciosa sea más difícil de distinguir de las operaciones normales.

La técnica «bring your own vulnerable driver» (BYOVD) consiste en que los atacantes instalen controladores de hardware legítimos pero vulnerables para desactivar los productos de seguridad y obtener acceso a nivel del núcleo. Ambos enfoques ayudan a eludir los controles de seguridad tradicionales al tiempo que establecen un acceso persistente.

6. Requisitos
de rescate cada vez mayores Las cuantías de los rescates siguen aumentando, y las demandas de varios millones de dólares son cada vez más habituales. Esta escalada de las exigencias guarda relación con la creciente sofisticación de los ataques y el alcance cada vez mayor de las tácticas de extorsión. Las organizaciones deben tener en cuenta estos costes potenciales a la hora de calcular el riesgo y planificar las inversiones en seguridad.

7. Phishing y sistemas
sin parches A pesar de la aparición de nuevas técnicas de ataque, los puntos de entrada tradicionales siguen siendo muy eficaces. Los correos electrónicos de phishing siguen siendo el principal vector de acceso inicial para las campañas de ransomware, y las tácticas de ingeniería social son cada vez más personalizadas y convincentes.

Las vulnerabilidades sin parchear en los sistemas conectados a Internet constituyen otro punto de entrada fiable, ya que la mayoría de los ataques exitosos aprovechan fallos de seguridad conocidos para los que existen parches, pero que no se han aplicado. Estas debilidades persistentes ponen de relieve la importancia de los fundamentos de seguridad, junto con las defensas avanzadas.

8. Ecosistema
fragmentado y volátil El panorama del ransomware sigue siendo muy dinámico a pesar de los éxitos de las fuerzas del orden. Cuando los principales grupos de ransomware se enfrentan a su desarticulación por parte de operaciones policiales internacionales, sus miembros suelen reagruparse bajo nuevos nombres o unirse a operaciones ya existentes.

Esta fragmentación y volatilidad plantean retos a la hora de rastrear a los autores de las amenazas y atribuirles los ataques. La resiliencia del ecosistema pone de manifiesto la necesidad de estrategias de defensa integrales, en lugar de confiar únicamente en la desarticulación de grupos específicos.

Evolución

Evolución de las tácticas del ransomware

El panorama del ransomware ha cambiado radicalmente desde sus primeras versiones. Las primeras campañas de ransomware solían consistir en un simple cifrado de archivos y demandas de rescate modestas, y a menudo se dirigían a usuarios individuales en lugar de a organizaciones. Las operaciones modernas de ransomware funcionan como sofisticadas empresas con funciones especializadas, técnicas avanzadas de evasión y estrategias de extorsión multifacéticas dirigidas a redes corporativas enteras.

El ecosistema actual del ransomware cuenta con funciones bien diferenciadas: los intermediarios de acceso inicial, especializados en conseguir un punto de entrada en la red; los proveedores de RaaS, que desarrollan y mantienen el malware; y los afiliados, que lanzan el ransomware contra objetivos específicos.

Esta especialización permite a los grupos delictivos centrarse en sus competencias principales, al tiempo que crean un proceso de ataque más eficiente y eficaz. La profesionalización de estas funciones ha contribuido de manera significativa al creciente impacto del ransomware.

Existe una idea errónea muy extendida que presenta el ransomware como un mero problema de cifrado, cuando en realidad los ataques modernos suponen una interrupción total de la actividad empresarial. Más allá del cifrado de archivos, los grupos de ransomware actuales llevan a cabo un reconocimiento exhaustivo, se desplazan lateralmente por las redes, extraen datos confidenciales y desactivan los sistemas de copias de seguridad antes de iniciar el cifrado. Este enfoque integral maximiza su ventaja y minimiza las opciones de Recovery de las víctimas.

La evolución de las tácticas del ransomware ha pasado por varias fases diferenciadas:

Cifrado simple de archivos (2013-2015): los primeros programas de ransomware cifraban archivos individuales con un cifrado relativamente débil y exigían pequeños pagos en criptomonedas.
Cifrado de toda la red (2016-2018): los atacantes comenzaron a centrarse en redes completas en lugar de en sistemas individuales, lo que aumentó las cantidades potenciales de los rescates.
Robo de datos y doble extorsión (2019-2021): los grupos de ransomware comenzaron a sustraer datos sensibles antes del cifrado, lo que les proporcionaba una ventaja adicional al amenazar con filtrar públicamente los datos.
Ecosistema RaaS (2020-2022): surgió el modelo de afiliados, lo que dio lugar a roles especializados y amplió el número de posibles atacantes.
Extorsión multifacética (2022-2024): los ataques evolucionaron para incluir múltiples tácticas de presión más allá del cifrado, como los ataques DDoS y el contacto con clientes o socios.
Operaciones potenciadas por la IA (2024–actualidad): Los grupos de ransomware comenzaron a aprovechar la inteligencia artificial para automatizar la selección de objetivos, la identificación de vulnerabilidades y la personalización de los ataques.

Panorama actual

¿Qué novedades hay para 2025?

El panorama del ransomware sigue evolucionando con varias tendencias emergentes en 2025. El alcance geográfico se ha ampliado más allá de las zonas tradicionales, y Colombia, Tailandia y otras regiones que antes eran menos atacadas están experimentando un aumento espectacular en el volumen de ataques.

Esta expansión refleja tanto la saturación del mercado en los países objetivo tradicionales como la mejora de las capacidades defensivas en esas regiones. Las organizaciones de las nuevas zonas objetivo suelen carecer de la madurez en materia de seguridad necesaria para defenderse de operaciones sofisticadas de ransomware.

Quizás lo más preocupante es que los grupos de ransomware han comenzado a aprovechar la inteligencia artificial generativa para mejorar sus operaciones. Estas capacidades incluyen la generación de correos electrónicos de phishing muy convincentes y adaptados a destinatarios específicos, la automatización del análisis y la explotación de vulnerabilidades, y la personalización de las notas de rescate en función de los perfiles de las víctimas. Esta integración de la IA aumenta tanto la escala como la eficacia de las campañas de ransomware, al tiempo que reduce los conocimientos técnicos necesarios para llevar a cabo ataques sofisticados.

Ventajas de la ciberresiliencia

Ventajas de la ciberresiliencia frente al ransomware

Las organizaciones que cuentan con sólidas capacidades de ciberresiliencia mantienen la continuidad operativa gracias a mecanismos de Recovery rápido que minimizan el tiempo de inactividad tras un ataque. En lugar de enfrentarse a semanas de interrupciones, las organizaciones resilientes suelen poder restaurar los sistemas críticos en cuestión de horas o días, lo que reduce drásticamente el impacto empresarial de los incidentes de ransomware.

Esta capacidad de Recovery suele resultar más valiosa que la mera prevención, ya que aborda la realidad de que los ataques sofisticados pueden acabar teniendo éxito a pesar de las defensas.

Los programas sólidos de ciberresiliencia refuerzan la confianza de las partes interesadas y protegen la reputación de la marca en situaciones de crisis. La capacidad de demostrar preparación y una respuesta rápida ante incidentes de ransomware ayuda a mantener la confianza de los clientes, la confianza de los inversores y la buena voluntad de las autoridades reguladoras. Las organizaciones conocidas por su resiliencia suelen sufrir menos daños a su reputación, incluso cuando son víctimas de un ataque.

La siguiente lista resume las principales ventajas que obtienen las organizaciones al implementar una ciberresiliencia sólida frente al ransomware:

Continuidad operativa: mantener las funciones empresariales esenciales durante y después de los ataques.
Protección financiera: reducir el coste total de los incidentes de ransomware entre un 60 % y un 70 %.
Preservación de la reputación: demostrar preparación y una respuesta competente.
Cumplimiento normativo: cumplir con los requisitos específicos del sector en materia de protección de datos.
Ventaja estratégica: convertir las inversiones en seguridad en factores diferenciadores del negocio.
Mejora en la toma de decisiones: evitar tomar decisiones bajo presión durante los ataques.
Reducción del tiempo de recuperación: reducir los plazos de restauración del sistema de semanas a días u horas.

El enfoque de Commvault

El enfoque de Commvault para la protección contra el ransomware

Commvault ofrece un enfoque de plataforma integral para proteger los datos críticos en entornos híbridos, lo que sienta una base sólida para la defensa contra el ransomware y la Recovery. Esta estrategia unificada proporciona visibilidad y protección en la infraestructura local, los entornos en la nube y las aplicaciones SaaS. Al consolidar la protección en una única plataforma, las organizaciones pueden eliminar las brechas de seguridad que suelen existir entre soluciones puntuales dispares.

Entre las capacidades clave que distinguen la protección contra el ransomware de Commvault se incluyen:

• Las copias de seguridad inmutables y físicamente aisladas (air-gapped) ofrecen opciones de recuperación rápidas y fiables que permanecen protegidas frente a los intentos de cifrado del ransomware.
• Las capacidades automatizadas de detección de anomalías y supervisión de amenazas analizan continuamente los patrones de copia de seguridad y el comportamiento del sistema para identificar posibles actividades de ransomware.
• La compatibilidad integral con cargas de trabajo híbridas, multinube y SaaS proporciona una protección coherente en diversos entornos.
• La recuperación ante desastres orquestada y las capacidades de Commvault Cleanroom permiten la restauración segura de los sistemas tras un ataque.
• Las herramientas de cumplimiento normativo y generación de informes abordan los requisitos reglamentarios relacionados con la protección de datos y la respuesta ante incidentes

Las organizaciones ya no pueden considerar la protección contra el ransomware como algo opcional. La creciente sofisticación de los ataques, combinada con su potencial para causar interrupciones en toda la empresa, exige un enfoque integral de la protección y la Recovery de datos. Una estrategia moderna de protección de datos debe incorporar copias de seguridad inmutables, detección automatizada y capacidades de Recovery coordinada para combatir eficazmente las amenazas de ransomware en constante evolución.

Entendemos su necesidad de proteger los activos de datos críticos frente al ransomware, al tiempo que se mantiene la continuidad del negocio. Solicite una demostración para ver cómo podemos ayudarle a reforzar su estrategia de defensa contra el ransomware.