El informe del segundo trimestre de 2026 de Check Point Research revela una paradoja: el ecosistema criminal se vuelve más numeroso mientras cada vez menos víctimas pagan. Una filtración interna muestra ahora exactamente cuán poco se necesita para construir una operación de primer nivel.
La economía del ransomware se expandió y se consolidó al mismo tiempo durante el segundo trimestre de 2026. Según el último informe State of Ransomware de Check Point Research, los sitios de filtración de datos registraron 2.139 nuevas víctimas entre abril y junio, un volumen prácticamente estable respecto al primer trimestre pero un tercio superior al del año anterior. Sin embargo, un registro de chats internos filtrado del grupo conocido como The Gentlemen ofreció algo más revelador que las simples cifras de víctimas: una vista poco común de cómo se construye, se opera y se reconstruye en cuestión de días una operación de ransomware entre las tres principales del mundo.
Cuerpo del artículo
Los diez grupos de ransomware más importantes siguieron dominando el panorama, aunque perdieron concentración. Fueron responsables del 57,6 % de todas las víctimas en el segundo trimestre, una fuerte caída respecto al 71 % del primer trimestre, mientras que el número de grupos activos alcanzó un máximo histórico de 93, frente a los 71 anteriores. Los investigadores de Check Point describen esto como una «desconcentración, no una fragmentación»: el mismo volumen de ataques repartido entre más nombres, impulsado en gran parte por afiliados desplazados tras el retiro de RansomHub en 2025.
Qilin mantuvo el primer puesto por cuarto trimestre consecutivo con 279 víctimas, pero su cifra cayó un 17 % respecto al trimestre anterior. La verdadera historia se desarrolló en el segundo puesto: The Gentlemen registró 269 víctimas, un aumento del 62 %, y llegó a superar a Qilin durante junio (116 víctimas frente a 72). El grupo terminó el trimestre a solo diez víctimas del liderato global.
Dentro de una operación de primer nivel
Lo que distingue a este trimestre no es la trayectoria, sino la transparencia. Dos investigaciones de Check Point Research —una reconstrucción forense de una intrusión de The Gentlemen y un análisis de registros de chat filtrados el 4 de mayo tras la vulneración de un proveedor de alojamiento— expusieron la maquinaria interna del grupo. Un núcleo de aproximadamente nueve operadores, liderado por un administrador conocido como «Zeta88» o «Hastalamuerte», gestiona la plataforma, mientras que una base más amplia de afiliados independientes lleva a cabo gran parte del trabajo de intrusión bajo un reparto del 90/10, el más generoso anunciado actualmente en el mercado criminal.
Quizás lo más destacado: Zeta88 habría construido el panel de gestión «GLOCKER» del grupo en unos tres días utilizando asistentes de codificación con IA, incluidos DeepSeek y Qwen, con la advertencia autocrítica de que los operadores aún necesitan comprender y corregir el código que producen estas herramientas. Cuando el backend se filtró públicamente, el grupo lo reconoció en un foro criminal en cuestión de días, anunció mejoras en su locker para evadir sistemas de detección y respuesta en endpoints, y siguió operando hasta junio. Según los investigadores, no es la filtración en sí lo más relevante, sino esta capacidad de resiliencia: las barreras para alcanzar la cúspide del ransomware se han reducido lo suficiente como para que un solo operador experimentado pueda llegar allí.
Menos pagadores, sumas mayores para quienes sí pagan
Las tasas de pago de rescates continuaron su declive por sexto año consecutivo, cayendo a aproximadamente el 23 % en los casos registrados por Coveware, frente al 85 % de 2019. Las copias de seguridad probadas están venciendo cada vez más los ataques de cifrado puro, lo que empuja a los operadores hacia la extorsión mediante robo de datos. Pero las tasas de pago más bajas no implican menores ingresos: Chainalysis registró más de 820 millones de dólares en pagos de ransomware on-chain durante 2025. El mercado de pagadores también se está dividiendo: el pago promedio subió un 15 % hasta los 680.081 dólares, mientras que la mediana cayó un 7 % hasta los 300.750 dólares, reflejando un patrón de «grandes empresas al alza, mercado medio resistente», en el que las grandes empresas más afectadas siguen pagando sumas elevadas mientras las víctimas más pequeñas se niegan o negocian a la baja.
Las fuerzas del orden apuntan a infraestructura compartida
En lugar de perseguir a grupos individuales, las acciones policiales del segundo trimestre se concentraron en la infraestructura compartida a lo largo de la cadena de suministro del ransomware. Una operación internacional coordinada por el Servicio Secreto de EE. UU. y la IRS-CI, junto con Europol y Eurojust, desmanteló la plataforma de lavado de criptomonedas AudiA6, que había procesado unos 336 millones de euros para actores de ransomware desde 2021. El Departamento del Tesoro de EE. UU. sancionó por separado a cuatro grandes exchanges criptográficos iraníes por sus vínculos con actores de ransomware afiliados al IRGC. La Unidad de Delitos Digitales de Microsoft desmanteló un servicio de firma de código fraudulento que había emitido certificados a clientes de Qilin, Akira, INC y Rhysida, mientras que la Operación Endgame de Europol incautó 326 servidores y recuperó 27 millones de credenciales robadas vinculadas a infraestructura de infostealers.
Cambios en geografía y sectores objetivo
La proporción de víctimas en Estados Unidos cayó del 50 % al 42 % en el trimestre, en gran parte porque varios de los grupos de mayor crecimiento —incluidos The Gentlemen y el recién llegado KryBit— atacan a EE. UU. con mucha menor frecuencia que el promedio del ecosistema. Los servicios empresariales siguieron siendo el sector más atacado, con el 33 % de las víctimas, seguido de bienes y servicios de consumo (16 %) y fabricación industrial (12 %).
Los investigadores de Check Point concluyen que la ventana entre la divulgación de una vulnerabilidad y su explotación se ha reducido a horas en lugar de semanas, un cambio que atribuyen directamente al desarrollo de exploits acelerado por IA, la misma aceleración visible en cómo The Gentlemen construyó sus propias herramientas.
Cuatro tecnologías para protegerse contra el ransomware
Check Point pone a disposición de las empresas cuatro tecnologías diferentes para protegerse contra el ransomware: Workspace Security protege a los usuarios, Hybrid Mesh Network Security bloquea los intentos de ataque, Exposure Management identifica las vulnerabilidades y AI Security se encarga de proteger las herramientas de IA.
Workspace Security protege a los usuarios en el correo electrónico, los navegadores, las aplicaciones SaaS y los dispositivos finales. Mediante la detección basada en IA, la solución detiene la distribución del ransomware antes de que se ejecute y frena los movimientos laterales, así como la exfiltración de datos tras un ataque.
Hybrid Mesh Network Security aplica controles uniformes y basados en IA en cada punto de conexión: desde cortafuegos que bloquean los archivos maliciosos antes de que lleguen a los dispositivos hasta análisis CASB que interceptan el malware que se infiltra a través de plataformas SaaS como OneDrive y Slack, una vía que los «Access Brokers» utilizan cada vez más. Si, a pesar de todo, se produjera una intrusión, el acceso de confianza cero a través de SASE Private Access limita el alcance de los daños. De este modo, el ransomware solo puede acceder a los recursos a los que tenía derecho el usuario afectado.
La gestión de la exposición responde a la pregunta más compleja de qué vulnerabilidades pueden aprovechar realmente los grupos de ransomware, y no solo cuáles existen. El «Informe sobre la brecha de exposición de 2026» de Check Point reveló que las vulnerabilidades representan ya el 42,6 % de las brechas de seguridad críticas. Esto supone más del doble que el año anterior. Además, desde un punto de vista realista, pueden solucionarse en menos de una hora. Las empresas del sector de los servicios públicos que utilizan la plataforma corrigen el 30 % de sus vulnerabilidades dentro de ese plazo.
AI Security se centra en las mismas herramientas cuyo uso están aprendiendo a manejar los grupos de ransomware. ThreatCloud AI garantiza que la protección avance al mismo ritmo que la explotación de vulnerabilidades basada en IA. AI Agent Security gestiona los permisos de los agentes y permite a un administrador, como Zeta88, desarrollar herramientas en tan solo unos días. AI Red Teaming pone a prueba las aplicaciones de IA de una empresa antes de su implementación. Workforce AI Security evita que las credenciales de inicio de sesión y la información sobre las herramientas de IA que utilizan los empleados salgan al exterior.
El Dr. Jakob Jung es redactor jefe de Security Storage y Channel Germany. Lleva más de 20 años trabajando en el periodismo especializado en TI. A lo largo de su carrera ha colaborado con Computer Reseller News, Heise Resale, Informationweek, Techtarget (almacenamiento y centros de datos) y ChannelBiz. Además, colabora como freelance con numerosas publicaciones del sector de las TI, entre las que se incluyen Computerwoche, Channelpartner, IT-Business, Storage-Insider y ZDnet. Sus temas principales son el canal, el almacenamiento, la seguridad, los centros de datos, los sistemas ERP y CRM.
Contacto – Contacto por correo electrónico: jakob.jung@security-storage-und-channel-germany.de