.png)
Black Kite detecta una aceleración del 60 % en el ransomware mientras Semperis alerta del papel de la IA y los sistemas de identidad
El ransomware continúa creciendo y diversificando sus operaciones. Dos informes publicados en 2026 por Black Kite y Semperis describen distintas dimensiones de esta evolución: el primero documenta un aumento del volumen de víctimas y la proliferación de grupos activos; el segundo identifica el uso malicioso de inteligencia artificial, los ataques repetidos y el compromiso de los sistemas de identidad como factores relevantes para las organizaciones afectadas.
Black Kite registra 7.551 víctimas divulgadas públicamente
En su informe 2026 Ransomware Report, publicado el 21 de julio, Black Kite contabilizó 7.551 víctimas de ransomware divulgadas públicamente entre abril de 2025 y marzo de 2026. La cifra representa un incremento interanual del 24,9 % respecto al periodo anterior.
El dato más destacado es la aceleración registrada durante la segunda mitad del periodo analizado. Black Kite contabilizó 4.647 víctimas entre octubre de 2025 y marzo de 2026, frente a 2.904 durante los seis meses anteriores. Esto supone un aumento del 60 % entre ambos semestres. Marzo de 2026 cerró con 861 víctimas identificadas, el máximo mensual de los cuatro años de seguimiento de la empresa.
El informe también refleja la fragmentación del ecosistema criminal. Black Kite identificó 61 nuevos grupos durante el periodo y contabilizó 146 grupos activos en junio de 2026, frente a 127 al cierre del periodo principal de análisis.
Sin embargo, la proliferación de operadores no ha eliminado la concentración de actividad: los cinco grupos más activos acumularon el 43,6 % de las víctimas registradas. Qilin destacó especialmente, con más de 1.300 víctimas atribuidas durante el periodo.
Estas cifras requieren una precisión metodológica: se trata de víctimas conocidas mediante divulgaciones públicas, no de una medición exhaustiva de todos los incidentes reales. Los ataques que no se denuncian o no se hacen públicos quedan fuera de este recuento.
Semperis sitúa la identidad y la IA en el centro del problema
El informe anual de riesgos de ransomware de Semperis, publicado el 14 de octubre de 2026, aborda otra cuestión: cómo operan los atacantes y qué dificultades encuentran las organizaciones para recuperarse.
Entre sus principales resultados, el estudio señala que el 84 % de los ataques analizados implicó un uso malicioso de inteligencia artificial. También indica que el 87 % tuvo como objetivo sistemas de identidad, como Active Directory, Microsoft Entra ID y Okta. Cerca del 75 % de los ataques exitosos se dirigió contra estos sistemas o los aprovechó.
La infraestructura de identidad resulta especialmente relevante porque concentra cuentas, permisos y relaciones de confianza que permiten acceder a recursos corporativos. Si un atacante consigue privilegios suficientes, puede utilizarlos para ampliar su acceso, comprometer otros sistemas y dificultar las tareas de recuperación.
Semperis también advierte de la repetición de incidentes: casi el 70 % de las organizaciones estudiadas sufrió múltiples ataques y el 31 % realizó varios pagos a los extorsionadores. Además, el 60 % de los planes de recuperación ante desastres o respuesta a crisis no incluía procedimientos específicos para restaurar los sistemas de identidad.
Estas conclusiones deben interpretarse teniendo en cuenta la muestra. Semperis estudió organizaciones que habían sufrido ataques de ransomware durante los 12 meses anteriores; sus porcentajes no representan necesariamente a todas las empresas ni a todos los incidentes mundiales.
La cadena de suministro amplía la superficie de exposición
La dependencia de proveedores y servicios externos añade otra dimensión al riesgo. Black Kite destaca incidentes relacionados con el ecosistema de Salesforce y Oracle E-Business Suite, así como la persistencia de vulnerabilidades críticas en organizaciones que ya habían sufrido ataques.
En una cadena de suministro digital, la seguridad de una empresa depende parcialmente de la de sus proveedores, integraciones y plataformas conectadas. Una cuenta comprometida, una vulnerabilidad explotable o una integración excesivamente privilegiada pueden abrir vías de acceso que no se detectan revisando únicamente los sistemas propios.
No obstante, los informes citados no permiten concluir que el aumento del 60 % se deba específicamente a la explotación de credenciales delegadas o vulnerabilidades SaaS. Esos mecanismos son riesgos relevantes, pero atribuirles el incremento estadístico exigiría evidencia adicional.
Qué deberían priorizar las organizaciones
Los resultados apuntan a cuatro prioridades defensivas:
Proteger la infraestructura de identidad: aplicar autenticación multifactor resistente al phishing cuando sea posible, limitar privilegios administrativos y vigilar cambios sospechosos en cuentas, permisos y relaciones de confianza.
Reducir la exposición técnica: priorizar vulnerabilidades conocidas como explotadas, mantener actualizados los sistemas expuestos a Internet y verificar que las correcciones se han aplicado.
Evaluar a los proveedores con señales técnicas: complementar los cuestionarios de cumplimiento con evaluaciones continuas de la exposición externa, las vulnerabilidades y los riesgos de las integraciones.
Ensayar la recuperación completa: mantener copias de seguridad aisladas y probar la restauración de Active Directory, Entra ID y otros sistemas de identidad, además de los servidores y los datos empresariales.
La tendencia descrita por ambos estudios no demuestra que exista un único nuevo modelo de ransomware, pero sí revela una combinación de mayor volumen de víctimas conocidas, renovación constante de operadores y dificultades de recuperación. La defensa debe contemplar tanto la prevención del acceso inicial como la capacidad de recuperar de forma segura las identidades y los servicios críticos.
Comentarios