Los ataques ya no cifran. Roban y exponen.
Durante años, el ransomware se reconocía por un síntoma claro: los sistemas dejaban de funcionar. Ese síntoma está desapareciendo, y con él, la señal que muchos comités usaban para saber que algo iba mal.
Redacción de kritero, con datos verificados en fuente primaria: Unit 42, 2026 Global Incident Response Report.
El cambio que confirma el dato
En 2025, el cifrado apareció en el 78% de los casos de extorsión analizados por Unit 42, frente a niveles de entre el 89% y el 96% registrados entre 2021 y 2024. Es la caída interanual más pronunciada de toda la serie desde que existe este informe. El robo de datos, en cambio, se mantiene estable: 57% en 2025, dentro del mismo rango de los últimos cinco años (entre el 53% y el 60%).
La lectura no es que el ransomware haya desaparecido. Es que el cifrado ha dejado de ser el paso obligado. Bloquear los sistemas de una víctima daba una señal inmediata: nada funciona, hay que actuar ya. Robar los datos y amenazar con exponerlos genera la misma presión, sin esa señal.
Cinco años de un mismo patrón, hasta que dejó de serlo
Entre 2021 y 2024, el cifrado se mantuvo prácticamente constante como parte casi automática de cualquier extorsión: 96%, 90%, 89%, 92%. Cuatro años dentro de un margen estrecho, lo bastante estable como para que muchos equipos de seguridad diseñaran sus protocolos de detección alrededor de esa premisa: si nos atacan, algo se va a caer. La caída a 78% en un solo año no es ruido estadístico, es el cambio más brusco de toda la serie, y coincide con que el robo de datos por sí solo ya no necesita el paso adicional de cifrar para generar la misma presión sobre la víctima.
Por qué a un atacante le compensa
Prescindir del cifrado es más rápido y más silencioso. Los sistemas siguen funcionando, no hay alarmas evidentes, y se evita el ruido operativo que dispara buena parte de las detecciones tradicionales, las que están pensadas para reconocer un cifrado en marcha, no una copia de datos saliendo sin incidencias visibles.
La velocidad refuerza el problema. En los casos más rápidos de 2025, el tiempo hasta la exfiltración de datos bajó a 72 minutos, frente a los 285 minutos del año anterior. Y las debilidades de identidad, credenciales robadas, sesiones secuestradas, permisos mal configurados, tuvieron un papel relevante en casi el 90% de las investigaciones. No hace falta una intrusión sofisticada cuando el atacante puede entrar con una identidad válida y salir con los datos antes de que nadie note nada extraño.
Para un comité que sigue vigilando si "algo se ha caído", ese modelo es casi invisible hasta que llega la notificación, o la amenaza de publicación.
Lo que cuesta cuando no hay cifrado de por medio
El argumento de que pagar o no pagar es la decisión central ya no cuenta toda la historia. En 2025, la demanda inicial mediana subió de 1,25 a 1,5 millones de dólares, y el pago mediano entre quienes decidieron pagar casi se duplicó, de 267.500 a 500.000 dólares. La negociación sigue teniendo peso real: la reducción mediana entre lo exigido y lo finalmente pagado pasó del 53% al 61%. Pero todo eso presupone que hay algo que negociar porque ha habido cifrado y una recuperación en juego.
Cuando el ataque es robo puro, sin cifrado, esa palanca de negociación pierde fuerza. Ya no hay sistemas caídos que restaurar ni presión operativa que aliviar con un pago. Queda una sola pregunta, y es la que de verdad debería preocupar a dirección: qué datos han salido, y qué va a pasar cuando se publiquen o se vendan.
El backup ya no es la respuesta completa
Es tentador pensar que, si nada se cifra, el respaldo de datos resuelve el problema. En parte sí: un 41% de las víctimas en 2025 pudo restaurar sistemas desde backup sin necesidad de pagar. Pero en un 26% de los casos de extorsión, los propios backups también resultaron afectados. Y ninguno de los dos datos responde a la pregunta que de verdad importa cuando el ataque es robo puro: qué información salió, y si alguien lo sabe antes de que se publique. Restaurar los sistemas devuelve la operativa. No devuelve el control sobre unos datos que ya están fuera.
Lo que se activa igual, aunque nada se detenga
Aquí está el punto que de verdad importa para dirección: RGPD y NIS2 obligan a notificar cuando ha habido acceso o exfiltración de datos personales, exista o no cifrado de por medio. El RGPD, de hecho, fija un plazo concreto: 72 horas desde que la organización tiene constancia de la brecha. Que los sistemas sigan operativos no exime de esa obligación, ni da más margen de reacción. La pregunta que antes era "¿nos han bloqueado los sistemas?" ya no basta para saber si hay que notificar, y notificar tarde por no haber detectado a tiempo un robo silencioso tiene sus propias consecuencias, además de las del propio incidente.
Un ángulo adicional: qué significa esto en una operación de M&A
Para quien evalúa la adquisición de una compañía, el cambio de modelo tiene una implicación concreta. Los procesos de revisión previa suelen apoyarse en indicios visibles: incidentes documentados, sistemas caídos, tiempos de inactividad. Un histórico de robos de datos sin cifrado, silenciosos por diseño, es mucho más difícil de capturar con ese tipo de revisión si no se pregunta específicamente por él. La empresa objetivo puede llevar meses, o años, con una exposición de datos que nunca generó una alerta operativa visible, y que por tanto nunca llegó a ningún informe de incidentes que un comprador revise antes de firmar.
La pregunta que debería llegar al comité
Si mañana un atacante entra y no toca ni un solo sistema, solo copia lo que le interesa, ¿sabes qué datos serían el objetivo, y si tienes forma de detectarlo antes de que se publiquen?
Es la misma huella de riesgo de siempre, mirada desde un ángulo que la mayoría de comités todavía no revisa.
¿Sabe tu comité qué datos expondría tu organización si mañana nadie quisiera bloquear los sistemas, solo robarlos?
Evaluamos la huella de tu infraestructura, las normativas aplicables y los incidentes abiertos para estructurar un mapa de control real.