América Latina se posiciona como la región global más vulnerable a los ataques de ransomware

A lo largo de mis siete años de trayectoria profesional auditando infraestructuras de seguridad corporativa y analizando el panorama global de amenazas digitales, he documentado cómo el cibercrimen ha dejado de ser una actividad aislada para convertirse en una industria altamente estructurada. Los datos más recientes confirman una tendencia preocupante para el ecosistema empresarial latinoamericano. Según el nuevo informe presentado por Kaspersky, América Latina se ha consolidado como la región más afectada por los ataques de ransomware a nivel mundial durante el periodo 2025.

Las estadísticas técnicas revelan que el 8.13% de las organizaciones en la región registraron vulneraciones bajo esta modalidad. Esta cifra supera a los índices de intrusión en Asia-Pacífico (8%), África (7.62%), Medio Oriente (7.27%), la Comunidad de Estados Independientes (5.91%) y Europa (3.82%). Este panorama no solo evidencia la presión constante sobre las redes corporativas latinoamericanas, sino que proyecta una sofisticación inminente en las tácticas del cibercrimen para el año 2026.

La evolución técnica de la extorsión cibernética

A pesar de que los analistas detectaron una ligera disminución en el volumen total de organizaciones afectadas por ransomware entre 2024 y 2025, el nivel de riesgo ha escalado cualitativamente. Los actores de amenazas están automatizando sus vectores de intrusión mediante la industrialización del modelo Ransomware-as-a-Service (RaaS).

La principal evolución táctica es la transición hacia la extorsión sin cifrado. Los atacantes han comprendido que robar (exfiltrar) bases de datos sensibles y amenazar con su publicación ejerce una presión regulatoria y reputacional mucho mayor sobre las empresas que el simple bloqueo de sus sistemas. Para distribuir y monetizar estos datos, los ciberdelincuentes utilizan canales de Telegram y foros en la dark web. Aunque las agencias de seguridad lograron desmantelar foros clandestinos clave como RAMP en enero de 2026 y LeakBase en marzo de 2026, la descentralización de la red asegura la rápida aparición de portales sustitutos.

Neutralización de defensas y criptografía cuántica

Un vector de ataque que ha ganado tracción alarmante es la implementación de «EDR killers». Se trata de herramientas de software diseñadas específicamente para identificar, neutralizar y desactivar las plataformas de Detección y Respuesta en Endpoints (EDR) antes de ejecutar la carga útil del malware. Esta táctica demuestra un enfoque mucho más metódico y sigiloso en la fase de intrusión inicial.

Paralelamente, los investigadores de Kaspersky han confirmado la aparición de familias de ransomware que integran estándares de criptografía postcuántica. Este avance técnico indica que los cibercriminales están blindando sus procesos de cifrado para que los archivos secuestrados sean irrecuperables incluso ante futuros intentos de descifrado impulsados por la computación cuántica.

La industrialización del acceso: Initial Access Brokers

La barrera de entrada técnica para lanzar un ataque de secuestro de datos ha disminuido gracias al rol de los Initial Access Brokers (IABs). Estos intermediarios se especializan en comprometer redes corporativas, enfocándose frecuentemente en portales RDWeb (escritorio remoto), para luego vender el acceso persistente a los operadores de ransomware bajo el modelo «Access-as-a-Service».

En cuanto a la actividad de los grupos criminales durante 2025, el operador Qilin se posicionó como la amenaza dominante tras la interrupción de las operaciones de RansomHub, seguido de cerca por los grupos Clop y Akira. De cara a 2026, las proyecciones técnicas apuntan a «The Gentlemen» como una de las amenazas emergentes más críticas. Este grupo opera bajo una lógica estrictamente empresarial, alejándose de las campañas masivas y ruidosas para concentrarse en la extorsión escalable y centrada en datos.

Protocolos de mitigación y seguridad corporativa

Fabio Assolini, investigador líder en Seguridad para América Latina en Kaspersky, subraya que los actores de amenazas están utilizando herramientas legítimas de administración como armas. Para contrarrestar este nivel de organización criminal, es imperativo que las empresas implementen defensas en capas.

Las recomendaciones técnicas para proteger la infraestructura corporativa incluyen:

• Activar protección específica: Instalar soluciones antimalware especializadas en todos los endpoints. Kaspersky ofrece herramientas gratuitas compatibles con arquitecturas de seguridad preexistentes para mitigar exploits.
• Gestión de parches: Mantener una política estricta de actualización de software y firmware en todos los dispositivos conectados a la red para cerrar vulnerabilidades conocidas.
• Monitoreo de tráfico saliente: Enfocar las capacidades del Centro de Operaciones de Seguridad (SOC) en la detección de movimientos laterales internos y auditoría de la exfiltración de datos hacia internet.
• Copias de seguridad inmutables: Configurar repositorios de backup fuera de línea (offline) para garantizar que, en caso de compromiso de la red principal, las copias de seguridad no puedan ser manipuladas ni cifradas por el intruso.
• Implementación de plataformas anti-APT y EDR: Adoptar sistemas avanzados que ofrezcan capacidades reales de detección de amenazas, investigación forense y remediación automatizada de incidentes, dotando a los equipos de TI de inteligencia de amenazas procesable.