Ransomware 2025: Estadísticas, Tendencias e Incidentes Principales

¿Qué es el Ransomware?

Probablemente sea la peor pesadilla descubrir que los archivos de su PC están cifrados. Estaba revisando su correo y haciendo clic en los archivos adjuntos para ver qué contenían. El archivo extraño, que no hacía más que ofrecer habilitar macros, no parecía sospechoso. Pero de repente, menos de 15 minutos después de abrir ese documento, ve que todos los archivos en su PC tienen extensiones extrañas, y al menos un archivo readme.txt está dentro de cada carpeta. ¿Cómo sucedió?

La definición corta de ransomware está oculta en su nombre, al igual que en muchos otros virus. El "software de rescate" es un programa que se inyecta en su computadora, cifra sus archivos y luego le pide que pague el rescate para recuperar sus archivos. Algunos ejemplos de ransomware pueden amenazar a sus víctimas con eliminar sus archivos o publicar datos confidenciales si no pagan el rescate. Si bien el primer peligro es una mentira al 100%, la segunda tesis puede ser real, ya que el ransomware a menudo se propaga con spyware o ladrones de información.

Para cada víctima, el ransomware genera una clave en línea única. Esa clave se almacena en el servidor mantenido por los ciberdelincuentes. Si el virus no puede conectarse a ese servidor, cifra los archivos con la clave fuera de línea, que se almacena localmente en la máquina cifrada. La cantidad de claves fuera de línea es limitada. Por lo tanto, tiene una clave de descifrado en común con varias otras víctimas.

Desafortunadamente, no hay una garantía del 100% de recuperar sus archivos. Si tiene suerte y el ransomware utiliza la clave fuera de línea, puede descifrar sus datos mucho más rápido. No obstante, obtener las claves es bastante largo y es posible que deba esperar varias semanas. La aplicación de descifrado, que se supone que se utilizará para el descifrado de archivos, recibirá la actualización con la clave que le corresponde tan pronto como los analistas la encuentren.

Las claves en línea son mucho más difíciles de resolver. Dado que cada clave es única, es posible que espere meses. Es probable que los distribuidores de ransomware sean atrapados y obligados a descubrir todas las claves que tienen en los servidores. Otro caso en el que todas las claves se liberan al público es cuando los creadores de ransomware deciden cerrar su actividad maliciosa. Tal situación ocurrió solo una vez: en 2018, cuando los desarrolladores de GandCrab afirmaron que ganaron 2 mil millones de dólares y suspendieron su actividad.

Ransomware en 2025: Estadísticas y Resumen

El panorama de amenazas de ransomware en 2025 ha alcanzado niveles sin precedentes de sofisticación e impacto. Basado en un análisis exhaustivo de incidentes de enero a septiembre de 2025, la comunidad de ciberseguridad está presenciando una escalada dramática tanto en la frecuencia como en la gravedad de los ataques de ransomware.

Estadísticas Clave (Enero–Septiembre 2025)

• 4,701 incidentes reportados globalmente (+46% en comparación con el mismo período en 2024)
• 2,332 ataques (50%) dirigidos a infraestructura crítica (+34% interanual)
• Estados Unidos representa el 21% de todos los casos globales, seguido por Canadá (8%) y el Reino Unido (6%)
• $2 millones demanda promedio de rescate (aumentó de $400,000 en 2023)
• $1.53 millones costo promedio de recuperación excluyendo el pago del rescate (–44% desde 2024)
• Solo el 40% de las víctimas involucraron a las fuerzas del orden (bajó del 52% en 2024)
• 49% de las víctimas con datos cifrados pagaron el rescate (bajó del 70% en 2024)

Tendencias Clave en 2025

El ecosistema de ransomware ha evolucionado significativamente en 2025, con actores de amenazas adoptando tácticas cada vez más agresivas y tecnológicamente avanzadas. Aquí están las tendencias más significativas que dan forma al panorama actual de amenazas:

Tácticas de Ataque y Vectores de Entrada

Comprender cómo los operadores de ransomware obtienen acceso inicial y ejecutan sus ataques es crucial para desarrollar defensas efectivas. En 2025, los atacantes están empleando una mezcla sofisticada de exploits técnicos e ingeniería social.

Vectores de Entrada Primarios

• 32% — Explotación de vulnerabilidades (dispositivos VPN sin parches, sistemas de gestión de contenido obsoletos)
• 23% — Credenciales robadas (obtenidas a través de ladrones de información y campañas de phishing)
• 18% — Correos de phishing (aumentó del 11% en 2024, reflejando contenido mejorado generado por IA)
• Técnicas Living-off-the-Land (LotL) — Abuso de utilidades integradas de Windows y BYOVD (Traiga su Propio Controlador Vulnerable) para deshabilitar soluciones de detección y respuesta de punto final (EDR)
• Ataques con herramientas legítimas — Explotación de soluciones RMM y servicios de almacenamiento en la nube (OneDrive, Dropbox) para el despliegue de ransomware sin binarios de malware tradicionales

Tácticas Avanzadas Empleadas en 2025

Incidentes Principales de Ransomware en 2025

2025 ha visto varios ataques de ransomware de alto perfil que afectan a infraestructura crítica, sistemas de salud, instituciones educativas y grandes corporaciones en todo el mundo. La siguiente cronología destaca los incidentes más significativos:

Distribución Geográfica e Industrial

Los ataques de ransomware en 2025 continúan mostrando patrones geográficos y sectoriales distintos, con ciertas regiones e industrias soportando un riesgo desproporcionado.

Distribución Geográfica (Enero–Septiembre 2025)

Industrias Más Atacadas

• Manufactura — 660 ataques
• Bienes Raíces — 553 ataques
• Servicios Profesionales — 487 ataques
• Salud — Aumento significativo debido a la naturaleza crítica de las operaciones
• Energía y Transporte — Objetivos de infraestructura crítica

Etapas del Ataque de Ransomware Moderno – 2025

El ciclo de vida del ataque de ransomware ha evolucionado significativamente. Los actores de amenazas modernos operan con precisión militar, siguiendo una línea de tiempo estructurada que los equipos de seguridad pueden cazar e interrumpir. Comprender estas fases es crítico para implementar medidas defensivas efectivas.

Fase 0 – Adquisición de Objetivos

Antes de que comience cualquier ataque técnico, los actores de amenazas realizan un reconocimiento exhaustivo y una selección de objetivos:

• Reconocimiento Impulsado por IA: Herramientas de escaneo automatizadas clasifican a los objetivos potenciales por "puntuación de pago", analizando los ingresos de la empresa, la cobertura de seguro cibernético, las operaciones críticas y la probabilidad de pago basada en datos financieros públicos e historial de brechas.
• Adquisición de Acceso: Compra de credenciales VPN comprometidas, cuentas de Outlook Web Access (OWA), puertas de enlace Citrix o exploits de día cero de Corredores de Acceso Inicial (IABs) en mercados de la darknet.

Fase 1 – Punto de Apoyo Inicial

Establecimiento de presencia persistente en el entorno objetivo:

• Vectores de Entrega: Campañas de phishing, actualizaciones de software falsas envenenadas por SEO, unidades USB entregadas por correo o explotación directa de vulnerabilidades orientadas a Internet.
• Técnicas de Ejecución: Binarios living-off-the-land (LOLBAS), ofuscación de PowerShell, herramientas legítimas del sistema abusadas con fines maliciosos. Los implantes son cargadores ligeros para evadir la detección.
• Mecanismos de Persistencia: Tareas programadas, Objetos de Política de Grupo (GPO), runbooks de automatización en la nube o suscripciones a eventos WMI para sobrevivir a reinicios y mantener el acceso.

Fase 2 – Expansión Interna

El tiempo medio de permanencia en 2025 es de solo 5 días desde el acceso inicial hasta el despliegue del cifrado:

• Comando y Control (C2): Tráfico HTTPS con frente CDN, domain fronting a través de servicios legítimos en la nube (Azure, CloudFlare) o recursos de computación perimetral para mezclarse con el tráfico normal.
• Operaciones de Descubrimiento: Mapeo de Active Directory, inventario de sistemas de respaldo (crítico para el sabotaje), reconocimiento de IAM en la nube e identificación de repositorios de datos de gran valor.
• Escalada de Privilegios: Ataques de Kerberoasting, explotación de Servicios de Certificados de Active Directory (ADCS), ataques de repetición de tokens o exploits de escalada de privilegios de día cero.
• Movimiento Lateral: Conexiones RDP, PowerShell remoting (PS-Remoting) o herramientas de Gestión y Monitoreo Remoto (RMM) armadas como TeamViewer, AnyDesk y ScreenConnect.

Fase 3 – Preparación Previa al Impacto

Fase de sabotaje crítico diseñada para asegurar el máximo daño y prevenir la recuperación:

• Exfiltración de Datos: Usando Rclone, Mega.nz, IPFS o herramientas personalizadas, los atacantes promedian 1.2 TB de datos sensibles exfiltrados en menos de 3 horas. Estos datos se convierten en palanca para la doble extorsión.
• Sabotaje Defensivo: Los atacantes desmantelan sistemáticamente las opciones de recuperación eliminando Copias de Sombra de Volumen (VSS), borrando instantáneas de VMware ESXi y destruyendo catálogos de respaldo. También deshabilitan activamente los agentes de Detección y Respuesta de Punto Final (EDR) utilizando técnicas de "Traiga su Propio Controlador Vulnerable" (BYOVD) para cegar a los equipos de seguridad antes del golpe final.

Fase 4 – Extorsión

La fase de impacto final donde se emiten las demandas de rescate:

• Cifrado Rápido: Claves de cifrado pre-preparadas utilizando algoritmos ChaCha20 + RSA desplegadas en toda la red en menos de 60 segundos. El ransomware moderno puede cifrar 220,000 archivos en 4.5 minutos.
• Modelo de Triple Extorsión (29% de los ataques en 2025): Más allá del rescate tradicional por claves de descifrado, los atacantes ahora añaden presión adicional amenazando con publicar datos robados en sitios de filtración (doble extorsión) y lanzando ataques de Denegación de Servicio Distribuido (DDoS) contra la infraestructura pública de la víctima (triple extorsión) para forzar el pago.
• Tácticas de Presión Agresivas: Temporizadores de cuenta regresiva en vivo, spam a clientes y socios, amenazas de voz a ejecutivos utilizando voces clonadas por IA, contacto directo con clientes de las víctimas amenazando con la exposición de datos.
• Retraso de Cifrado a Nota: Promedio de 4 minutos entre la finalización del cifrado y la entrega de la nota de rescate, dejando una ventana de respuesta mínima.

Disparadores de Caza Críticos para Equipos SOC

Los Centros de Operaciones de Seguridad deben monitorear estos indicadores de alta fidelidad de actividad de ransomware:

• Anomalías de Huella Digital JA3 TLS: Conexiones SSL/TLS a dominios recién registrados (menos de 24 horas de antigüedad), especialmente con conjuntos de cifrado poco comunes.
• Consultas LDAP Sospechosas: Consultas LDAP para adminCount=1 (cuentas privilegiadas) originadas en estaciones de trabajo no administrativas — indica reconocimiento para objetivos de escalada de privilegios.
• Ejecución de Rclone.exe: La herramienta legítima de sincronización en la nube Rclone generada por SYSTEM o ejecutándose con argumentos de línea de comandos sospechosos — herramienta común de exfiltración de datos.
• Operaciones de Archivos de Alta Entropía: Operaciones de escritura de archivos con entropía superior a 0.96 (indicando cifrado) que afectan a más de 100 recursos compartidos de red en 5 minutos — actividad definitiva de cifrado de ransomware.
• Comandos de Eliminación de VSS: Ejecución de vssadmin delete shadows, wmic shadowcopy delete o bcdedit /set {default} recoveryenabled no.
• Abuso de Herramientas RMM: Instalación o ejecución inesperada de AnyDesk, TeamViewer, ScreenConnect desde cuentas del Sistema o durante horas no laborales.

Tipos de ransomware

El ransomware ha evolucionado en varias categorías distintas, cada una con comportamientos y métodos de extorsión únicos. Comprender estos tipos es crucial para identificar la amenaza:

1. Cifrado de Ransomware (Encryptors)

Encryptors son la variante más frecuente y dañina en el panorama de amenazas moderno. Este tipo se infiltra en un sistema y cifra archivos valiosos (documentos, fotos, bases de datos) utilizando algoritmos de cifrado de grado militar (como AES-256 o RSA-2048). El contenido se vuelve completamente inaccesible sin la clave de descifrado única en poder de los atacantes. Ejemplos incluyen LockBit, Ryuk y WannaCry.

2. Lockers

Lockers no cifran archivos específicos, sino que lo bloquean completamente fuera de su sistema operativo o interfaz de usuario. Se muestra una nota de rescate a pantalla completa, a menudo con un temporizador de cuenta regresiva para crear urgencia. Si bien sus archivos permanecen técnicamente intactos, son inaccesibles hasta que se desbloquea el sistema. Este tipo era más común en las primeras oleadas de ransomware, pero aún aparece en malware móvil.

3. Scareware

Scareware es software engañoso que se hace pasar por una herramienta de seguridad legítima. Afirma haber detectado virus inexistentes o problemas críticos en su computadora y lo bombardea agresivamente con alertas emergentes. Exige el pago de una "versión completa" para solucionar estos problemas falsos. Algunos scareware agresivos pueden bloquear la computadora, mientras que otros simplemente molestan al usuario para que pague.

4. Doxware o Leakware

Leakware (también conocido como Doxware) aprovecha la amenaza de exposición de datos en lugar de la pérdida de datos. Los atacantes exfiltran información personal o corporativa sensible y amenazan con publicarla o venderla en la dark web a menos que se pague un rescate. Esta táctica es particularmente efectiva contra empresas con estrictos requisitos de cumplimiento (GDPR, HIPAA) o individuos con datos privados sensibles. Una variación es el ransomware con temática policial, que se hace pasar por la policía para acusar a la víctima de actividad ilegal y exige una "multa" para evitar el arresto.

5. RaaS (Ransomware como Servicio)

Ransomware como Servicio (RaaS) no es un tipo de malware, sino un modelo de negocio que impulsa la economía moderna del ransomware. Los desarrolladores principales profesionales crean la cepa de ransomware y la infraestructura de pago, luego la alquilan a "afiliados" (hackers menos calificados) que realizan los ataques reales. Las ganancias se dividen, con los afiliados generalmente quedándose con el 70-80% y los desarrolladores tomando el resto. Este modelo ha llevado a la explosión de ataques de ransomware al reducir la barrera de entrada para los ciberdelincuentes.

Últimos ataques de ransomware

• Dire Wolf (.direwolf) Ransomware Virus - Removal and Decryption
• PE32 Ransomware
• VerdaCrypt Ransomware
• D0glun Ransomware: Analysis and Protection Guide
• Moscovium Ransomware
• Fox Ransomware
• Lucky Ransomware (MedusaLocker)
• CipherLocker Ransomware

Familias de Ransomware Activas en 2025

Los siguientes grupos de ransomware permanecen altamente activos en 2025, responsables de la mayoría de los ataques contra organizaciones en todo el mundo:

• LockBit 4.0 — A pesar de las interrupciones de las fuerzas del orden en 2024, LockBit resurgió con la versión 4.0, incorporando tácticas de extorsión DDoS y velocidades de cifrado más rápidas. Sigue siendo una de las operaciones de ransomware como servicio (RaaS) más prolíficas, responsable de numerosos ataques a infraestructura crítica en 2025.
• Qilin (Agenda) — Grupo altamente sofisticado dirigido a infraestructura crítica, incluidos aeropuertos y atención médica. Responsable del ataque al Aeropuerto de Kuala Lumpur (marzo de 2025, demanda de $10M) y la interrupción de Asahi Brewery (noviembre de 2025). Utiliza cifrado basado en Rust y se centra en objetivos empresariales de alto valor.
• Rhysida — Operación RaaS activa dirigida a los sectores de salud, educación y gobierno. Ataques notables en 2025 incluyen Sunflower Medical Group (220,968 registros de pacientes) y la Administración de Tránsito de Maryland (30 BTC/$3.4M rescate). Conocido por la triple extorsión y operaciones de sitios de filtración de datos.
• Black Basta — Surgió de la disolución de Conti, empleando campañas de phishing mejoradas por IA utilizando Modelos de Lenguaje Grande (LLMs) para crear ataques de ingeniería social convincentes. Se centra en objetivos empresariales con tiempos de despliegue rápidos y métodos de infiltración sofisticados.
• Akira — Uno de los grupos más activos en 2025, explotando vulnerabilidades de VPN y apuntando a sectores de manufactura, salud y finanzas. Utiliza tácticas de doble extorsión y mantiene un sitio de filtración activo. Conocido por apuntar a vulnerabilidades de Cisco VPN y Citrix.
• Medusa — Responsable de ataques importantes en 2025, incluido NASCAR (fuga de datos de SSN, rescate de $4M). Opera un modelo RaaS con asociaciones de afiliados. Notable por la extorsión agresiva en múltiples etapas, incluido el contacto directo con clientes y socios de las víctimas.
• Play — Apunta a infraestructura crítica y grandes empresas utilizando técnicas de cifrado intermitente para evadir la detección. Activo durante todo 2025 con ataques a agencias gubernamentales e instituciones educativas. Utiliza doble extorsión con sitio de filtración dedicado.
• Cl0p (Clop) — Especialista en explotación de cadena de suministro y día cero, particularmente dirigido a aplicaciones de transferencia de archivos y sistemas ERP empresariales. Responsable de la campaña de Oracle E-Business Suite que afectó a Cox Enterprises y Dartmouth College. Pionero en tácticas de explotación masiva para el máximo recuento de víctimas.
• ALPHV/BlackCat — Ransomware basado en Rust conocido por su flexibilidad y capacidades multiplataforma (Windows, Linux, ESXi). Continúa las operaciones a pesar de los intentos de interrupción del FBI. Utiliza triple extorsión, incluidas llamadas a clientes y socios de las víctimas. Notable por su sofisticado programa de afiliados.
• Interlock — Responsable del ataque a DaVita Healthcare (abril de 2025, 2.7M pacientes, $13.5M pérdidas). Apunta a la salud y servicios críticos con cifrado rápido y exfiltración de datos integral antes del despliegue del cifrado.
• RansomHub — Operación RaaS de rápido crecimiento que atrajo a afiliados de operaciones cerradas. Conocido por cifrado rápido y soporte multiplataforma. Apunta a organizaciones en todos los sectores con énfasis en la exfiltración de datos antes del cifrado.
• Fog (Variante de Akira) — Utiliza VPNs SonicWall explotadas para el acceso inicial. Apunta a los sectores de educación y salud. Emplea doble extorsión con infraestructura de filtración dedicada. Relacionado con las operaciones de Akira pero opera de forma independiente.
• Scattered Spider (0ktapus) — Grupo sofisticado que utiliza phishing de voz con voces deepfake generadas por IA para eludir MFA. Apunta a proveedores de identidad, telecomunicaciones y empresas de subcontratación. Conocido por su experiencia en ingeniería social y campañas de "vishing".
• 8Base — Extremadamente activo durante todo 2025 apuntando a pequeñas y medianas empresas. Utiliza doble extorsión con sitio de filtración dedicado. Se cree que tiene conexiones con la infraestructura de REvil. Se centra en ataques rápidos contra organizaciones menos protegidas.
• Cactus — Utiliza credenciales VPN robadas y explota vulnerabilidades de Fortinet para el acceso inicial. Apunta a los sectores de manufactura, servicios financieros y tecnología. Emplea cifrado sofisticado con métodos únicos de exfiltración de datos a través de túneles SSH.

Operaciones Difuntas: Conti (disuelto a mediados de 2022), Avaddon (cierre en mayo de 2021), Egregor (interrumpido en 2021) y Hive (incautado por el FBI en 2023) ya no están activos, aunque sus técnicas y miembros han migrado a operaciones más nuevas enumeradas anteriormente.

Read also: PE32 Ransomware

¿Es una solución pagar el rescate?

La mayoría de los ingresos que reciben los desarrolladores de ransomware se utilizan para financiar diversas actividades ilegales, como el terrorismo, otras campañas de distribución de malware, el tráfico de drogas, etc. Dado que todos los pagos de rescate se realizan en criptomonedas, no hay forma de descubrir la identidad de los delincuentes. Sin embargo, las direcciones de correo electrónico a veces pueden señalar a distribuidores de ransomware en el Medio Oriente.

Como ya puede concluir, pagar el rescate equivale a participar en actividades ilegales. Por supuesto, nadie lo culpará por financiar el terrorismo. Pero no es nada agradable entender que el dinero que obtiene por un trabajo honesto se gasta en terrorismo o drogas. A menudo, incluso las grandes corporaciones que son chantajeadas con amenazas de publicar algunos datos internos no pagan ni un centavo a esos delincuentes.

¿Cómo protegerse del ransomware en 2025?

El panorama de amenazas de ransomware en evolución exige una estrategia de defensa de múltiples capas. Basado en el análisis de ataques de 2025, las organizaciones e individuos deben implementar las siguientes medidas de protección integrales:

Controles de Seguridad Esenciales

• Arquitectura de Confianza Cero y Segmentación de Red: Implemente modelos de seguridad de confianza cero que verifiquen cada solicitud de acceso independientemente de la fuente. Segmente los sistemas y datos críticos para limitar el movimiento lateral si los atacantes violan el perímetro.
• Autenticación Multifactor (MFA) en Todo Acceso Remoto: Requiera MFA para todas las conexiones VPN, Protocolo de Escritorio Remoto (RDP) y herramientas de Gestión y Monitoreo Remoto (RMM). Esto previene ataques basados en credenciales que representan el 23% de los incidentes de ransomware.
• Gestión de Parches Oportuna: Priorice el parcheo de sistemas orientados a Internet, incluidos dispositivos VPN, sistemas ERP empresariales (Oracle E-Business Suite, SAP) y plataformas de gestión de contenido. El 32% de los ataques explotan vulnerabilidades sin parches.
• Pruebas Trimestrales de Respaldo: Realice pruebas regulares de procedimientos de restauración de respaldo en entornos aislados. Asegúrese de que las copias de seguridad se almacenen fuera de línea o en almacenamiento inmutable para evitar que el ransomware las cifre. Verifique que los objetivos de tiempo de recuperación (RTO) cumplan con los requisitos comerciales.
• Detección y Respuesta de Punto Final (EDR): Despliegue soluciones EDR avanzadas capaces de detectar técnicas Living-off-the-Land (LotL) y ataques BYOVD (Traiga su Propio Controlador Vulnerable) que intentan deshabilitar los controles de seguridad.

Capacitación en Concientización para Amenazas de 2025

• Reconocimiento de Phishing Generado por IA: Capacite a los empleados para identificar intentos de phishing sofisticados creados por Modelos de Lenguaje Grande (LLMs). Enfatice la verificación de solicitudes inesperadas, incluso cuando los correos electrónicos parezcan escritos profesionalmente y sean contextualmente relevantes.
• Protocolos de Verificación de Llamadas de Voz: Establezca procedimientos que requieran que los empleados verifiquen las llamadas de voz que afirman ser de soporte de TI a través de canales independientes. La clonación de voz por IA hace que la ingeniería social basada en el teléfono sea cada vez más convincente.
• Precaución con Macros y Archivos Adjuntos: Continúe reforzando la concientización sobre los archivos adjuntos de correo electrónico, particularmente los archivos de Microsoft Office que solicitan la habilitación de macros. A pesar de ser un vector tradicional, el correo electrónico sigue siendo un punto de entrada de ataque principal (18% de los incidentes).

Medidas de Protección Avanzadas

• Deshabilitar la Exposición RDP Innecesaria: Cierre los puertos RDP externos y requiera acceso VPN antes de permitir conexiones de escritorio remoto. Monitoree y limite el uso de RDP solo al personal esencial.
• Listas Blancas de Aplicaciones: Implemente políticas de control de aplicaciones que solo permitan que se ejecute software aprobado, evitando que se ejecuten binarios de ransomware no autorizados.
• Puertas de Enlace de Seguridad de Correo Electrónico: Despliegue filtrado de correo electrónico avanzado que pueda detectar contenido de phishing generado por IA y aislar archivos adjuntos sospechosos antes de la entrega a las bandejas de entrada de los usuarios.
• Planificación de Respuesta a Incidentes: Desarrolle y pruebe regularmente planes de respuesta a incidentes específicamente para escenarios de ransomware. Incluya procedimientos para aislar sistemas infectados, activar copias de seguridad e involucrar a las fuerzas del orden y expertos en ciberseguridad.

Protección Anti-Malware

Por lo general, los programas antimalware actualizan sus bases de datos de detección todos los días. GridinSoft Anti-Malware puede ofrecerle actualizaciones cada hora, lo que disminuye la posibilidad de que una muestra de ransomware completamente nueva se infiltre en su sistema. Sin embargo, hacer uso de software antimalware no es una panacea. Sería mejor si tuviera cuidado en todos los lugares riesgosos. Esos son:

• Mensajes de correo electrónico. La mayoría de los casos de ransomware, independientemente de la familia, están relacionados con mensajes de correo electrónico maliciosos. La gente suele confiar en todos los mensajes enviados por correo electrónico y no piensa que algo malicioso pueda estar dentro del archivo adjunto. Mientras tanto, los ciberdelincuentes usan esa debilidad y atraen a las personas para habilitar macros en archivos de Microsoft Office. Las macros son una aplicación específica que permite aumentar la interacción con el documento. Puede construir cualquier cosa en Visual Basic y agregarla al documento como macros. Los delincuentes, sin pensarlo más, agregan código de ransomware.
• Utilidades dudosas y programas no confiables. Puede ver varios consejos mientras navega por la Web. Foros en línea, redes sociales y redes de intercambio: estos lugares son conocidos como fuentes de varias herramientas específicas. Y no hay nada malo en tal software: a veces, las personas necesitan las funciones que no se demandan (o aceptan) para la producción corporativa. Tales herramientas son los llamados keygens para varias aplicaciones, activadores de claves de licencia (KMS Activator es uno de los más conocidos) y utilidades para el ajuste de elementos del sistema. La mayoría de los motores antimalware detectan esas aplicaciones como maliciosas, por lo que es probable que deshabilite el antivirus o agregue la aplicación a la lista blanca. Mientras tanto, esta utilidad puede estar limpia o infectada con troyanos o ransomware.

Preguntas Frecuentes

References

• Industrial Cyber / KELA: Global Ransomware Attacks Against Critical Industries Surge 34% in 2025 (October 22, 2025)
• Bright Defense (DeepStrike): Ransomware Statistics 2025 - Key Trends & Costs (October 6, 2025)
• Exabeam: Top Ransomware Statistics and Trends for 2025 (September 2025)
• NordLayer: 8 Biggest Ransomware Attacks of 2025 (October 2025)
• PKWARE: Data Breaches and Ransomware Attacks 2025 (November 2025)
• Commvault: Ransomware Trends 2026