Ransomware en el primer semestre de 2026: grupos líderes y sectores más golpeados
Con casi 4700 ataques confirmados, Qilin, The Gentlemen y Akira dominaron el panorama. Analizamos qué industrias sufrieron más y por qué los cibercriminales eligen víctimas por su impacto económico.
El ransomware no da tregua. Entre enero y junio de 2026 se registraron 4.699 ataques confirmados, un 16,5 % más que en el mismo período de 2025. El modelo de Ransomware as a Service (RaaS) sigue facilitando la entrada de nuevos actores y profesionalizando las operaciones criminales.
Según el informe de ESET, tres grupos se repartieron más de un tercio de todos los incidentes: Qilin, The Gentlemen y Akira. Juntos fueron responsables del 33,5 % de los ataques del semestre.
Qilin lidera con 722 ataques confirmados. Su diferencial sigue siendo el asesoramiento legal que brinda a sus afiliados, un servicio poco común incluso dentro del ecosistema del ransomware. Esta “ventaja competitiva” le permite mantener un ritmo alto y atraer a más operadores.
The Gentlemen se ubica segundo con casi 550 ataques. El grupo logró este crecimiento estudiando las defensas específicas de cada víctima y adaptando sus herramientas para evadir los controles de seguridad existentes. Es un claro ejemplo de cómo la personalización de los ataques aumenta la tasa de éxito.
Akira completa el podio con más de 300 incidentes. Su actividad ya había encendido alertas del FBI en 2025 y mantuvo un nivel sostenido durante la primera mitad de 2026.
Un caso aparte es DragonForce. Con casi 300 ataques, su estrategia no es solo extorsionar directamente: busca convertirse en la infraestructura que otros grupos usen para lanzar campañas bajo sus propias marcas. Este modelo de “ransomware como plataforma” marca una nueva etapa en la organización del cibercrimen.
Sectores más afectados: donde duele más, atacan más
Los tres rubros que encabezan la lista son servicios empresariales, manufactura y tecnología. La razón es puramente económica. Los atacantes priorizan organizaciones cuya interrupción operativa genera pérdidas millonarias por hora, aumentando la presión para pagar el rescate.
En una planta de manufactura, detener una línea de producción puede costar decenas o cientos de miles de dólares por día. En servicios empresariales, la indisponibilidad afecta contratos y clientes finales. En el sector tecnológico, un proveedor comprometido puede impactar a cientos de empresas que dependen de su software o nube.
La transformación digital amplió la superficie de ataque: dependencias de la nube, accesos remotos y terceros mal gestionados son puertas de entrada frecuentes cuando la seguridad no está a la altura.
Distribución geográfica: Estados Unidos sigue siendo el blanco principal
Con más de 2.000 ataques confirmados, Estados Unidos concentra casi la mitad de las víctimas. Le siguen Alemania (menos de 300), Reino Unido, Canadá y Francia.
En América Latina, Brasil lidera con más de 100 víctimas, seguido por México (casi 80). Argentina registró 39 incidentes y Colombia 33. La telemetría de ESET detectó 195 detecciones de ransomware en Brasil entre enero y mayo, incluyendo 9 familias RaaS distintas. En Chile, Qilin fue la variante más detectada, con un pico de 19 detecciones en enero. En Guatemala aparecieron señales de Akira y DragonForce.
Qué significa esto para quien administra sitios y servidores
El ransomware ya no es solo un problema de “alguien a quien le cifraron los archivos”. Es una amenaza directa a la continuidad del negocio. Para PyMEs, freelancers y administradores de un puñado de sitios, el mensaje es claro: la copia de seguridad inmutable y probada, el segmentado de redes, la actualización constante y el monitoreo de accesos remotos ya no son opcionales.
La profesionalización del cibercrimen y la priorización por impacto económico indican que cualquier organización con capacidad de pago y sin medidas básicas de higiene de seguridad es un objetivo viable.
Los datos del primer semestre de 2026 confirman que el ransomware sigue evolucionando, ganando en sofisticación y rentabilidad. La colaboración entre grupos, los servicios agregados como el asesoramiento legal y la búsqueda de víctimas por su valor de interrupción demuestran que se trata de un negocio cada vez más estructurado.
Fuente: WeLiveSecurity