|
El caso de éxito: The Gentlemen
Uno de los aumentos de actividad más notables durante el primer trimestre de 2026 se atribuyó a The Gentlemen, un grupo de ransomware que alcanzó el tercer puesto a nivel mundial a los pocos meses de su inicio de actividad.
Su crecimiento se vio impulsado por un acceso preposicionado a gran escala. En lugar de depender de una explotación lenta y oportunista, el grupo operaba con un amplio inventario de puntos de entrada de red comprometidos, lo que le permitía lanzar ataques de forma inmediata y masiva.
Su patrón de objetivos también destaca:
- Solo el 13 % de las víctimas extorsionadas públicamente residían en Estados Unidos, en comparación con un promedio del ecosistema del 49,6 %.
- La actividad se concentró en Asia-Pacífico y Latinoamérica, reflejando la distribución geográfica de los puntos de acceso comprometidos en lugar de un cambio en el panorama general de amenazas.
Esta disparidad no indica una evitación deliberada de objetivos en EE. UU., sino que refleja dónde el grupo ya tenía acceso establecido. Cada vez más, en algunos casos, los atacantes se dirigen a donde hay acceso disponible, no necesariamente donde las víctimas son más rentables.
El regreso de LockBit, con un cambio estratégico.
La reaparición de LockBit en el primer trimestre de 2026 confirma que el grupo se ha recuperado operativamente tras la importante interrupción de sus operaciones policiales en 2024.
Si bien la actividad general se duplicó con creces en comparación con el trimestre anterior, el cambio más notable fue geográfico. Históricamente centrado en Estados Unidos, las víctimas recientes de LockBit se distribuyeron de manera más uniforme entre Europa, Latinoamérica y otras regiones.
Este cambio sugiere un esfuerzo deliberado por reducir la exposición a jurisdicciones con una aplicación de la ley más estricta, manteniendo al mismo tiempo su escala. Para las organizaciones globales, esto refuerza un punto crucial: la diversificación geográfica de los atacantes aumenta el riesgo, no lo reduce.
Distribución geográfica y sectorial: Cómo el acceso determina el impacto
La actividad de ransomware en el primer trimestre de 2026 muestra que, en algunos casos, el impacto tanto sectorial como geográfico está determinado por el acceso previo de los atacantes.
Los sectores con alta sensibilidad a las interrupciones del servicio y entornos complejos continuaron experimentando ataques frecuentes, entre ellos:
- Manufactura
- Servicios empresariales
- Salud
- Sectores industriales
En muchos casos, las víctimas se encontraban en sectores donde ya existía infraestructura vulnerable, VPN expuestas o acceso preestablecido, en lugar de sectores donde los atacantes manifestaron una clara preferencia.
El mismo patrón, impulsado por el acceso, se observó geográficamente:
- Estados Unidos representó casi la mitad de todas las víctimas reportadas (49,6 %), lo que concuerda con su amplia presencia empresarial, y las economías desarrolladas occidentales conformaron la clara mayoría de los objetivos.
- Tailandia representó el 10,8 % de las víctimas vinculadas a un único grupo dominante de ransomware (The Gentlemen), lo que la sitúa por primera vez entre los países más atacados.
- Play concentró el 85,1 % de su actividad en organizaciones con sede en Estados Unidos, lo que demuestra cómo los grupos individuales pueden centrarse intensamente en un país determinado.
En conjunto, estas tendencias muestran que el riesgo del ransomware no depende tanto del sector o la ubicación de forma aislada, sino más bien de la exposición subyacente creada por la tecnología implementada, la conectividad y las vías de acceso disponibles. |
Qué significa esto para las organizaciones
El ransomware en 2026 se define por la concentración, no por el volumen. Ahora, menos grupos impulsan la mayoría de los ataques, y estos operadores son más capaces, cuentan con más recursos y son más difíciles de neutralizar.
Para las organizaciones, esto cambia la ecuación de riesgo:
- Pueden ocurrir menos incidentes, pero cada uno conlleva un mayor impacto potencial.
- Los ataques son más repetibles y se basan en el acceso.
- La prevención y la contención son más importantes que la mera reacción.
En términos prácticos, la defensa significa:
Deteniendo el ransomware en la capa de acceso a la red y la nube
Los ataques de ransomware y extorsión suelen ingresar a través de infraestructura expuesta, servicios en la nube o rutas de acceso remoto. Esto se aborda mediante la seguridad de red híbrida en malla, que aplica una prevención de amenazas consistente basada en IA en redes, nubes, centros de datos y usuarios remotos.
Funcionalidades como los firewalls de red, SASE Internet Access y CASB bloquean las descargas maliciosas, el phishing, los exploits y el ransomware antes de que lleguen a los dispositivos. Si se produce una infección, los controles de confianza cero en SASE Private Access limitan el impacto del ransomware al restringir a los atacantes únicamente el acceso a los datos de un usuario comprometido.
Reduciendo la exposición al ransomware antes de su explotación
Dado que los ataques de ransomware son cada vez más rápidos y dirigidos, reducir la exposición antes de su explotación es fundamental. Este es el objetivo del pilar de Gestión de la Exposición, que ayuda a las organizaciones a identificar qué activos, vulnerabilidades, configuraciones incorrectas y rutas de acceso pueden ser explotadas por los atacantes.
Al correlacionar la información en tiempo real sobre el ransomware con la exposición interna y validar las vías de remediación seguras, los equipos de seguridad pueden cerrar los vectores de ataque más probables con antelación y reducir la probabilidad de interrupción de la actividad empresarial.
Protección de los usuarios como principal punto de entrada
Muchos ataques de ransomware aún comienzan con la interacción del usuario, como correos electrónicos de phishing, enlaces maliciosos o credenciales comprometidas. Workspace Security aborda este riesgo protegiendo a los usuarios en correo electrónico, navegadores, aplicaciones SaaS y dispositivos.
Mediante la detección basada en IA y la inteligencia global sobre amenazas, Workspace Security bloquea los vectores de distribución, previene el uso indebido de credenciales e interrumpe la actividad de comando y control, lo que ayuda a las organizaciones a contener el ransomware antes de que se propague o cifre sistemas críticos. |
