La compañía ESET revela que el ransomware volvió a demostrar durante el primer semestre de 2026 que sigue siendo una de las amenazas más activas y rentables de la actualidad. Entre enero y junio se confirmaron 4.699 ataques, 16,5% más que en el mismo período de 2025.
El crecimiento refleja la consolidación del modelo de ransomware as a service (RaaS) y la profesionalización de las operaciones criminales, facilitando el ingreso de nuevos afiliados. ESET comparte su análisis de estas tendencias, para comprender lo que pasó y prepararse a nivel corporativo para lo que viene.
Una de las principales conclusiones del análisis es que los grupos cibercriminales “Qilin”, “The Gentlemen” y “Akira” siguen al tope de la tabla de actividad, por encima de los demás grupos de ransomware. Entre los tres, fueron responsables del 33,5% de los ataques del semestre.
Al igual que en 2025, el ransomware Qilin fue el que más ataques confirmados registró durante el semestre, con 722. Uno de sus diferenciales sigue siendo el asesoramiento legal que ofrece a sus afiliados, un servicio poco habitual incluso dentro del ecosistema del ransomware.
Detrás, con casi 550 ataques, se ubica The Gentlemen, lo que confirma el ascenso de esta banda cibercriminal. Esto, según ESET, se logró gracias al estudio de las defensas específicas de las víctimas y la posterior adaptación de sus herramientas para superar los controles existentes.
El ransomware Akira completa el podio, con más de 300 ataques en su haber. El mismo grupo que el año pasado dada su creciente actividad encendió las alarmas de los principales organismos de ciberseguridad de todo el mundo, incluyendo el FBI.
Además, el grupo DragonForce, acumuló casi 300 ataques. La diferencia de este grupo es que su objetivo es convertirse en la infraestructura que permita a otros grupos lanzar ataques bajo sus propias marcas. Un modelo que impulsa una nueva etapa del cibercrimen organizado.
En cuanto a las industrias más afectadas, el análisis de ESET revela que se encontraron los sectores de servicios empresariales, manufactura y tecnología:
“Los ciberatacantes no atacan industrias al azar, sino organizaciones críticas, cuya interrupción de operaciones tiene un costo elevado: cuanto más cara resulte una hora de inactividad, mayor es la presión para pagar un rescate. La continuidad del negocio se convierte en el principal punto de presión para las víctimas”, destaca Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.
Explica que en manufactura, por ejemplo, detener una línea de producción se traduce en pérdidas millonarias, en empresas de servicios puede afectar directamente a clientes y contratos, y en tecnología impactar a múltiples clientes si se trata de un proveedor de servicios o software.
“La transformación digital amplía la superficie de ataque y los sectores que dependen de servicios en la nube, accesos remotos y terceros, incrementan las oportunidades para los atacantes si la gestión de la seguridad no es la adecuada”, agrega.
Países más afectados
En cuanto a los países más afectados, con más de 2.000 ataques confirmados, Estados Unidos fue el más afectado por el ransomware. El país que le sigue es Alemania, con menos de 300 incidentes vinculados al ransomware. El top 5 lo completan Reino Unido, Canadá y Francia.
En América Latina, Brasil contabilizó más de 100 víctimas, México casi 80, Argentina 39 y Colombia 33. En ese sentido, la telemetría de ESET detectó 195 instancias de ransomware en Brasil entre enero y mayo, incluyendo 9 familias de ransomware as a service documentadas. En Guatemala se identificaron señales de familias como Akira y DragonForce. En Chile, Qilin fue el ransomware con más detecciones, con un pico de 19 en enero.
El ransomware continúa evolucionando
“Los datos del primer semestre de 2026 confirman que, lejos de dar señales de agotamiento, el ransomware continúa evolucionando como una de las amenazas más rentables y sofisticadas del panorama actual. El crecimiento que registró en este periodo, el liderazgo sostenido de grupos como Qilin, The Gentlemen y Akira, y la aparición de modelos como el de DragonForce reflejan un ecosistema criminal cada vez más profesionalizado, donde la especialización y la colaboración entre actores ganan protagonismo.”, agrega Micucci de ESET.
La concentración de ataques en sectores como servicios empresariales, manufactura y tecnología confirma que los operadores de ransomware priorizan organizaciones cuya interrupción operativa genera las mayores pérdidas, reforzando la necesidad de abordar la ciberseguridad como un componente estratégico de la continuidad del negocio.