El ransomware sigue ganando terreno en 2026. Los ataques contra empresas aumentan, los grupos criminales se profesionalizan y América Latina permanece en el radar de las bandas que buscan organizaciones con alta dependencia digital y capacidad de pago. Durante el primer semestre de 2026 se registran 4.699 ataques de ransomware confirmados a escala global. La cifra representa un incremento de 16,5% frente al mismo período de 2025, según el análisis elaborado por ESET sobre la evolución de esta amenaza.
Wave Break Media Ltd | Dreamstime.com
El crecimiento no solo refleja un mayor volumen de ataques. También muestra un cambio en la estructura del cibercrimen. Las bandas dejan de operar como grupos aislados y avanzan hacia modelos empresariales, con servicios especializados, afiliados y herramientas compartidas.
Uno de los factores que impulsa esta expansión es el modelo ransomware as a service (RaaS). Bajo este esquema, los desarrolladores del malware ofrecen la infraestructura necesaria para ejecutar ataques a otros delincuentes, conocidos como afiliados, que se encargan de infiltrarse en las organizaciones y negociar los rescates.
Qilin, The Gentlemen y Akira dominan el escenario del ransomware
El análisis de ESET identifica a Qilin, The Gentlemen y Akira como los grupos de ransomware más activos durante la primera mitad de 2026. Entre los tres concentran 33,5% de los ataques registrados en ese período.
Qilin mantiene el primer lugar con 722 ataques confirmados. La banda destaca dentro del ecosistema criminal por incorporar servicios poco habituales, como asesoramiento legal para sus afiliados, una señal de la creciente organización interna de estos grupos.
En segundo lugar aparece The Gentlemen, con cerca de 550 ataques. Según ESET, su crecimiento está relacionado con una estrategia basada en analizar las defensas de sus objetivos antes de modificar sus herramientas para superar los controles de seguridad existentes.
El tercer puesto corresponde a Akira, con más de 300 ataques confirmados. Esta banda ya había llamado la atención de organismos internacionales de ciberseguridad por su aumento de actividad durante 2025.
Otro actor relevante es DragonForce, con casi 300 ataques durante el semestre. Su particularidad es que busca convertirse en una plataforma para que otros grupos criminales puedan lanzar operaciones utilizando su propia infraestructura.
El movimiento refleja una tendencia clara: el ransomware se parece cada vez más a un mercado organizado, con proveedores, clientes y servicios especializados.
Empresas de servicios, fábricas y tecnología concentran los ataques
Los ciberdelincuentes no seleccionan sus víctimas al azar. Buscan organizaciones donde una interrupción pueda generar pérdidas económicas importantes y aumentar la presión para pagar un rescate.
Los sectores más afectados durante el primer semestre de 2026 son servicios empresariales, manufactura y tecnología.
“Los ciberatacantes no atacan industrias al azar, sino organizaciones críticas, cuya interrupción de operaciones tiene un costo elevado: cuanto más cara resulte una hora de inactividad, mayor es la presión para pagar un rescate”, explica Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.
El especialista señala que una parada de producción en una empresa manufacturera puede traducirse en pérdidas millonarias. En compañías de servicios puede afectar contratos y clientes. En el sector tecnológico, un ataque contra un proveedor puede generar consecuencias para múltiples organizaciones conectadas.
La expansión de servicios en la nube, accesos remotos y cadenas de proveedores también amplía la superficie de ataque. Cada conexión adicional puede convertirse en una oportunidad para los grupos criminales si las medidas de protección no son suficientes.
Brasil, México, Argentina y Colombia lideran los ataques en América Latina
Estados Unidos continúa como el país con más ataques de ransomware durante el primer semestre de 2026, con más de 2.000 víctimas confirmadas. Alemania ocupa el segundo lugar, aunque con menos de 300 incidentes.
El listado internacional también incluye a Reino Unido, Canadá y Francia entre los países más afectados.
En América Latina, Brasil es el principal objetivo regional con más de 100 víctimas registradas. Le siguen México, con casi 80 ataques; Argentina, con 39; y Colombia, con 33.
La telemetría de ESET identifica 195 instancias de ransomware en Brasil entre enero y mayo de 2026. En ese período se documentan nueve familias vinculadas al modelo ransomware as a service.
Otros países también muestran actividad relevante. En Guatemala aparecen señales relacionadas con familias como Akira y DragonForce. En Chile, Qilin es el ransomware con mayor número de detecciones, con un pico de 19 casos durante enero.
Aunque las cifras regionales son menores frente a mercados como Estados Unidos, los expertos advierten que ninguna economía conectada queda fuera del interés de los grupos criminales.
El ransomware cambia de modelo y aumenta la presión sobre las empresas
El ransomware ya no depende únicamente del cifrado de archivos para extorsionar a sus víctimas. Los grupos criminales combinan diferentes técnicas, como robo de información, amenazas de publicación de datos y ataques dirigidos contra servicios críticos.
La evolución del modelo RaaS facilita que actores con menos conocimientos técnicos puedan participar en operaciones complejas. Los grupos principales proporcionan herramientas, soporte y plataformas, mientras los afiliados ejecutan las intrusiones.
“Los datos del primer semestre de 2026 confirman que, lejos de dar señales de agotamiento, el ransomware continúa evolucionando como una de las amenazas más rentables y sofisticadas del panorama actual”, afirma Micucci.
Para las empresas, el problema ya no se limita a proteger información. La ciberseguridad pasa a estar vinculada directamente con la continuidad operativa.
Los datos del informe muestran que los atacantes siguen una lógica económica: buscan sectores donde detener una operación tenga un impacto inmediato. Por eso servicios empresariales, manufactura y tecnología aparecen entre los principales objetivos.
El escenario de 2026 confirma que el ransomware mantiene su capacidad de adaptación. Las organizaciones enfrentan grupos más estructurados, modelos criminales más eficientes y ataques diseñados para explotar la dependencia creciente de la tecnología.
