Ransomware en el primer semestre de 2026: Qilin y The Gentlemen se disputan el liderazgo mientras el ecosistema se profesionaliza

ESET registró 4.699 ataques confirmados entre enero y junio, un 16,5% más que en el mismo periodo de 2025. Otros rastreadores del sector, con metodologías distintas, coinciden en la tendencia aunque difieren en las cifras exactas.

El primer semestre de 2026 confirma una tendencia que viene consolidándose desde 2025: el ransomware sigue creciendo en volumen y sofisticación. Según el análisis de ESET, se confirmaron 4.699 ataques entre enero y junio, un incremento del 16,5% interanual. La compañía atribuye el crecimiento a la maduración del modelo ransomware as a service (RaaS), que abarata la entrada de nuevos afiliados y profesionaliza cada eslabón de la cadena de ataque, desde el acceso inicial hasta la negociación del rescate.

Otros observadores del sector confirman la misma dirección con números distintos. Comparitech midió un incremento interanual del 11% en el semestre, con Qilin acumulando 641 víctimas reivindicadas y The Gentlemen 464. NordStellar, por su parte, habla de un alza del 20% y sitúa a Qilin y The Gentlemen —juntos, y solo en el segundo trimestre— por delante de la suma de sus cinco perseguidores más cercanos (DragonForce, Akira, Inc. Ransom, LockBit y ShinyHunters). Las diferencias en las cifras absolutas responden a qué fuentes rastrea cada firma (sitios de filtración, telemetría propia, informes de víctimas), pero el orden de los actores dominantes se repite prácticamente en todos los informes.

Los grupos que marcan el ritmo

Según los datos de ESET, tres grupos concentraron por sí solos el 33,5% de los ataques del semestre:

• Qilin, con 722 ataques confirmados, repite en el primer puesto que ya ocupaba en 2025. Su sello distintivo sigue siendo un servicio poco habitual en el ecosistema criminal: asesoramiento legal a sus afiliados para presionar durante las negociaciones de rescate.

• The Gentlemen, con cerca de 550 ataques, consolida un ascenso meteórico: el grupo prácticamente no figuraba en los rankings hace un año. Su método se basa en estudiar las defensas concretas de cada víctima y adaptar sus herramientas para sortearlas caso por caso, en lugar de lanzar campañas genéricas.

• Akira, con más de 300 ataques, completa el podio. Es el mismo grupo cuya actividad llevó el año pasado al FBI y a otros organismos internacionales a emitir alertas específicas.

Un cuarto actor merece mención aparte: DragonForce, con casi 300 ataques, no compite exactamente por el mismo modelo de negocio que sus rivales. Su apuesta es convertirse en infraestructura para que otros grupos operen bajo marca propia —un modelo de "franquicia" del cibercrimen que, de consolidarse, multiplicaría el número de actores activos sin necesidad de que cada uno desarrolle sus propias herramientas desde cero.

Vale la pena añadir un dato que no suele aparecer en los titulares: según informes cruzados de Cisco Talos y ESET, tanto Qilin como The Gentlemen han sido vistos recientemente utilizando herramientas "EDR killer", diseñadas para desactivar o evadir los agentes de seguridad instalados en los equipos de las víctimas. Al no ser herramientas de fábrica —cada afiliado debe construirlas o adquirirlas para cada plataforma de defensa que pueda encontrar—, su uso es en sí mismo un indicador de cuánto ha madurado la capacidad técnica de estos grupos.

Por qué estos sectores y no otros

Servicios empresariales, manufactura y tecnología encabezan la lista de industrias más golpeadas. El criterio de selección de víctimas no es aleatorio ni depende principalmente de lo fácil que resulte comprometer a una organización: los grupos priorizan el impacto económico de la interrupción. Cuanto más cara resulta cada hora de inactividad para la víctima, mayor es la presión para pagar.

En manufactura, detener una línea de producción se traduce directamente en pérdidas millonarias. En servicios empresariales, la indisponibilidad golpea de forma inmediata a clientes y contratos en curso. En tecnología, comprometer a un proveedor de software o de servicios gestionados puede tener efecto cascada sobre toda su cartera de clientes. A esto se suma que estos tres sectores suelen depender intensamente de nube, accesos remotos y cadenas de terceros, lo que amplía la superficie de ataque cuando la gestión de la seguridad no está a la altura.

Estados Unidos, a la cabeza; Brasil lidera en LATAM

Con más de 2.000 ataques confirmados, Estados Unidos concentra, con amplia diferencia, el mayor número de víctimas. Le sigue Alemania, con menos de 300 incidentes, y completan el top 5 Reino Unido, Canadá y Francia.

En América Latina, Brasil encabeza la región con más de 100 víctimas —la telemetría de ESET detectó 195 instancias de ransomware en el país entre enero y mayo, correspondientes a nueve familias distintas de RaaS—, seguido de México (casi 80), Argentina (39) y Colombia (33). En Guatemala se detectaron señales de actividad de Akira y DragonForce, mientras que en Chile Qilin fue el ransomware con más detecciones, con un pico de 19 en enero.

La lectura de fondo

Los tres elementos —crecimiento sostenido, concentración en un puñado de grupos dominantes y selección de víctimas por criterio económico antes que técnico— apuntan a un ecosistema cada vez más parecido a una industria convencional: con actores que compiten entre sí por afiliados (repartiendo hasta el 90% de las ganancias, en el caso de The Gentlemen), que se especializan en nichos (DragonForce como infraestructura) y que reinvierten en capacidades técnicas más sofisticadas (los EDR killers) a medida que las defensas corporativas mejoran.