Ransomware en 2026: cómo entra en la empresa y cómo limitar su impacto

Europol, la agencia de la Unión Europea que apoya la cooperación policial entre los Estados miembros, también considera el ransomware una amenaza dominante. Su último informe, Internet Organised Crime Threat Assessment 2026, constata que los ataques aumentaron de forma sostenida durante 2025 y muestra la creciente organización y especialización de los grupos criminales que los ejecutan.

Los accesos remotos mediante redes privadas virtuales (VPN), los dispositivos que conectan la empresa con Internet y las conexiones utilizadas por proveedores se encuentran entre los principales focos de riesgo. Una red actualizada, segmentada y gestionada de forma centralizada ayuda a detectar actividades sospechosas y a contener su propagación. SAIWALL Secure SD-WAN, de SAIMA SYSTEMS, integra conectividad, ciberseguridad y gestión centralizada para reforzar esta capacidad.

El ransomware es una forma de extorsión digital. Los ciberdelincuentes acceden a los sistemas de una organización y bloquean sus archivos para impedir que puedan abrirse o utilizarse. Para conseguirlo, suelen cifrarlos, es decir, transformarlos en información ilegible que solo puede recuperarse mediante una clave. A continuación, exigen un rescate económico a cambio de devolver el acceso. En muchos ataques actuales, roban previamente información confidencial y amenazan con publicarla. La empresa se enfrenta así a una doble presión: recuperar sus sistemas y evitar la difusión de sus datos.

Detrás de estos ataques existe un ecosistema criminal cada vez más especializado. Europol identificó durante 2025 más de 120 marcas activas de ransomware. Una marca es el nombre con el que un grupo criminal se identifica y reivindica sus ataques. Son los casos de Qilin, Akira o LockBit. La cifra debe interpretarse con cautela, ya que diferentes marcas pueden compartir integrantes, herramientas e infraestructuras.

Como recoge el informe de la Europol, Internet Organised Crime Threat Assessment 2026, una parte importante de estas organizaciones funciona mediante el modelo de ransomware como servicio (Ransomware as a Service, RaaS). Unos delincuentes desarrollan las herramientas y proporcionan la infraestructura necesaria, mientras otros, los afiliados, acceden a las redes de las víctimas, ejecutan los ataques y comparten los beneficios obtenidos. Este modelo facilita que delincuentes con distintos niveles de conocimientos técnicos participen en las extorsiones.

Las consecuencias pueden ir mucho más allá de la pérdida temporal de unos archivos. El ataque puede detener la producción, impedir el acceso a aplicaciones esenciales, afectar a clientes y proveedores, exponer datos personales o información estratégica y obligar a interrumpir parte de la actividad.

En España, uno de los casos más significativos fue el ataque sufrido por el Hospital Clínic de Barcelona en marzo de 2023. Durante la primera semana dejaron de realizarse más de 4.000 analíticas de pacientes ambulatorios, 300 intervenciones quirúrgicas y 11.000 visitas de consultas externas. Los atacantes, identificados como RansomHouse, reclamaron 4,5 millones de dólares. El Govern rechazó pagar el rescate. A escala europea, el ataque con el ransomware LockerGoga contra el grupo industrial noruego Norsk Hydro, en marzo de 2019, continúa siendo un caso empresarial de referencia. Estos casos muestran cómo un ataque digital puede trasladarse rápidamente a la actividad real.

Según datos de ENISA, entre julio de 2024 y junio de 2025, España concentró el 9,8 % de las menciones a víctimas incluidas en las publicaciones con las que grupos de ransomware y responsables de filtraciones de datos reivindicaron sus ataques. Se situó por detrás de Alemania, con un 23,4 %, e Italia, con un 11,33 %.

Muchos grupos cibercriminales disponen de páginas donde publican el nombre de las organizaciones que aseguran haber atacado y, en algunos casos, muestras de la información sustraída. El objetivo es presionar a la víctima para que pague el rescate y evitar que se difundan más datos. El porcentaje de ENISA, recogido en ENISA Threat Landscape 2025, se basa en estas publicaciones de los propios delincuentes. Permite observar dónde afirman que concentran su actividad, pero no equivale a un recuento oficial de ataques confirmados.

En el ámbito nacional, el Instituto Nacional de Ciberseguridad (INCIBE) gestionó 392 ataques de ransomware durante 2025, casi un 10 % más que los 357 atendidos en 2024, aunque todavía por debajo de los 621 registrados en 2023. Estas cifras no constituyen un registro exhaustivo de todos los casos ocurridos en España. Y, aunque los datos de ENISA e INCIBE miden realidades diferentes, ambos muestran la relevancia que mantiene esta amenaza.

El ataque comienza mucho antes de que aparezca la petición de rescate. Los delincuentes necesitan encontrar una vía de entrada y desplazarse por la red hasta alcanzar los servidores, las aplicaciones y la información que pueden causar un mayor impacto. El phishing continúa siendo la vía inicial más frecuente. En los 4.875 incidentes de ciberseguridad analizados por ENISA entre julio de 2024 y junio de 2025, representó alrededor del 60 % de los vectores de entrada observados.

Junto a la protección del correo electrónico y la concienciación de los usuarios, existen tres focos de riesgo especialmente relacionados con la infraestructura de red:

• Los accesos remotos mediante redes privadas virtuales (VPN), que pueden convertirse en una puerta de entrada cuando se utilizan equipos o programas desactualizados, contraseñas robadas o sistemas sin autenticación multifactor.
• Los dispositivos que conectan la empresa con Internet. Los firewalls, routers y pasarelas VPN permanecen conectados para controlar las comunicaciones con el exterior. Una vulnerabilidad sin corregir o una configuración inadecuada facilita el acceso a la red interna.
• Las conexiones utilizadas por proveedores. Las empresas de mantenimiento, soporte informático o servicios tecnológicos suelen disponer de accesos autorizados. Si se roban estas credenciales, los atacantes pueden utilizarlas para entrar en la red del cliente.

Estos focos están relacionados y pueden coincidir en un mismo incidente. Por ello, una vez dentro, el atacante intentará localizar otros equipos, conseguir permisos más amplios, robar información y extender el ataque. La capacidad para detectar estos movimientos y evitar que una primera intrusión alcance toda la organización depende, en buena medida, de cómo esté diseñada y gestionada la red.

Una arquitectura de red actualizada, segmentada y gestionada de forma centralizada ayuda a reducir el riesgo y a limitar las consecuencias del ransomware. La segmentación separa las distintas áreas de la infraestructura y dificulta que un atacante pueda desplazarse libremente. La visibilidad sobre el tráfico facilita la detección de actividades sospechosas, mientras que la gestión centralizada permite aplicar políticas comunes y aislar una sede o un segmento afectado.

Una red de área extensa definida por software (SD-WAN) permite gestionar de forma centralizada la conectividad entre diferentes sedes. Cuando incorpora funciones de ciberseguridad, también puede aplicar políticas comunes y ofrecer una visión unificada del tráfico.

SAIWALL Secure SD-WAN, desarrollada por SAIMA SYSTEMS, combina conectividad, ciberseguridad y gestión centralizada en una misma arquitectura. Dentro de este ecosistema se integran las siguientes funcionalidades:

• SAIWALL IDS Detect, sistema de detección de intrusiones, monitoriza la actividad de la red para identificar amenazas, movimientos entre distintas áreas, usos indebidos de protocolos y accesos poco habituales.
• SAIWALL IPS Protect, sistema de prevención de intrusiones, analiza continuamente el tráfico y bloquea en tiempo real las amenazas de acuerdo con las políticas de seguridad establecidas.
• SAIWALL SIEM Connector envía los registros y eventos generados por la infraestructura a la plataforma de gestión de información y eventos de seguridad (SIEM) de la empresa, facilitando su análisis y una respuesta más rápida.

La combinación de estas capacidades permite detectar antes una intrusión, frenar el desplazamiento del atacante por la red y reducir el alcance operativo de un ataque de ransomware.