Semperis, la empresa de ciberresiliencia y respuesta ante crisis impulsada por la identidad, ha publicado los resultados de su informe mundial anual sobre ransomware, en el que se destaca que la IA desempeña un papel importante en este tipo de ataques. Además, los ciberdelincuentes amenazan cada vez más con causar daños físicos a los empleados de las empresas para obtener el pago de rescates; en más de la mitad de los casos denunciados, los atacantes cumplieron sus amenazas. El estudio solo incluye organizaciones que han sido víctimas de grupos de ransomware en los últimos 12 meses.

“La IA está transformando la forma en que se llevan a cabo los ataques de ransomware, y la evolución de las tácticas empleadas por los atacantes está superando la capacidad de muchas organizaciones para estar preparadas, responder y recuperarse a tiempo”, ha afirmado Dan Lattimer, vicepresidente adjunto para EMEA de Semperis. “La amenaza ya no se limita a los datos y los sistemas, sino que los atacantes amenazan cada vez más con causar daños físicos a los empleados como táctica para conseguir que la empresa pague el rescate. Esto convierte la seguridad de la identidad en una prioridad para la resiliencia empresarial, y no solo en una cuestión de TI: cuando los sistemas de identidad dejan de funcionar, la empresa puede dejar de funcionar con ellos. Las organizaciones deben proteger estos sistemas y estar preparadas para recuperarlos rápidamente.”

“Los atacantes tienen un único objetivo: quieren obtener algo de ti. Y la única forma de conseguirlo es hacer que el coste de resistirse a sus exigencias sea mayor que el de ceder”, ha afirmado Chris Inglis, primer director nacional de Ciberseguridad de Estados Unidos y asesor estratégico de Semperis. “Poner en riesgo tu integridad física es el fenómeno más reciente, porque ya hemos cubierto la mayoría de los demás riesgos”.

El Informe sobre riesgos del ransomware de 2026 concluye que los ciberdelincuentes recurren a la intimidación psicológica contra las víctimas en casi el 25% de todos los ataques registrados en Estados Unidos, Reino Unido, España, Italia, Francia, Alemania, Singapur, Canadá y Australia. En el 53% de los casos, las víctimas informaron de que los hackers cumplieron sus amenazas; el 24% de las víctimas o de sus familiares fueron víctimas de swatting, es decir, de falsas denuncias destinadas a provocar una intervención policial en su domicilio; el 25% de las víctimas recurrió a tratamiento psicológico o médico como consecuencia del ataque de ransomware; y el 24% de las víctimas o sus familiares contrataron servicios de seguridad personal.

En el caso de España, un 81% de las compañías admiten haber sido atacadas con éxito en múltiples ocasiones y un 29% pagó el rescate. El impacto de estos ataques en las empresas fue el siguiente: un 61% sufrió una interrupción temporal; un 48% se enfrentó a una cancelación o un encarecimiento del ciberseguro; un 41% sufrió robo o la destrucción de datos; y en un 41% de los casos se produjeron dimisiones o despidos como consecuencia de los ataques. En cuanto al impacto en el personal, el 25% de los ataques en España incluyeron amenazas físicas y el 53% implicaron amenazas contra familiares o amigos. Un 22% de las víctimas de los ataques sufrió doxxing (práctica que consiste en investigar, recopilar y publicar en internet información privada o personal de alguien sin su permiso, con la intención de causarle daño); un 16% sufrió swatting; el 18% necesitó tratamiento psicológico o médico y el 33% se vio obligado a mudarse de domicilio, cambiar de oficina o incluso de trabajo.

“El personal de TI y ciberseguridad trabaja sometido a altos niveles de estrés”, ha señalado Tim Beasley, consultor sénior de respuesta a incidentes de Semperis. “Un ataque de ransomware lleva esa situación a un nivel completamente distinto. He visto a responsables de seguridad de la información (CISO) decir: ‘Me voy. Se acabó. No puedo más. No merece la pena’. He visto a personas marcharse porque la dirección consideraba que habían gestionado mal alguna situación y que eso había provocado la brecha de seguridad. Todo ello acaba pasando factura a nivel psicológico”.

Principales conclusiones:

• La IA está transformando el panorama del ransomware.

En el 84% de los ataques, los ciberdelincuentes utilizaron la inteligencia artificial con fines maliciosos.

• Los ciberdelincuentes amenazan cada vez más a los empleados de las empresas víctimas y a sus familias.

En total, el 40% de los ataques incluyeron amenazas psicológicas o físicas contra el personal.

• Los ataques múltiples (y los pagos múltiples) continúan.

En casi el 70% de los ataques, las víctimas de ransomware fueron atacadas en múltiples ocasiones; el 31% realizó varios pagos a los atacantes.

• La infraestructura de identidad sigue siendo un objetivo prioritario, mientras la preparación para recuperar los sistemas de identidad sigue siendo insuficiente.

En total, el 87% de los ataques de ransomware tuvieron como objetivo sistemas de identidad como Active Directory (AD), Entra ID y Okta. Sin embargo, solo alrededor de la mitad de las empresas encuestadas cuentan con copias de seguridad específicas para la identidad, soluciones automatizadas de recuperación de la identidad y procedimientos de respuesta ante crisis específicos para estos sistemas.

“Los ciberdelincuentes están continuamente evolucionando sus tácticas”, ha indicado Mickey Bresman, CEO de Semperis. “Cuando comenzó la primera oleada de ataques de ransomware, la mayoría se centraba en cifrar los datos. Después, a medida que los sistemas de copia de seguridad y recuperación de datos empezaron a ganar terreno y permitieron a las empresas resistirse a las exigencias de los rescates, vimos cómo surgía la doble extorsión: el cifrado combinado con el robo de datos y las amenazas de hacerlos públicos o venderlos. Por eso, es lógico que sigamos viendo cómo los atacantes buscan nuevas formas de conseguir que las víctimas paguen”.

Aunque la infraestructura de identidad es uno de los principales objetivos de los ciberdelincuentes, la identidad sigue estando en riesgo en la mayoría de las organizaciones. De hecho, casi el 75% de los ataques de ransomware exitosos tuvieron como objetivo o explotaron el sistema de identidad. Solo el 50% de las empresas dispone de sistemas específicos de copia de seguridad para la infraestructura de identidad, y menos de la mitad automatiza los procesos de recuperación. El 60% de los planes de recuperación ante desastres o de respuesta ante crisis de las organizaciones no incluyen procedimientos para recuperar los sistemas de identidad.

“La identidad es fundamental. Si un atacante consigue robar una identidad, tiene vía libre”, ha explicado Inglis. “Las amenazas internas no siempre proceden literalmente de alguien de dentro, es decir, de una persona que abusa de sus privilegios. A menudo, se trata de alguien de la propia organización que actúa en nombre de un atacante externo para aprovecharse de los privilegios de otra persona. A veces, es un proceso que simplemente se descontrola. En todos los casos, la identidad es el problema central”.