El Manual de Resiliencia Ante Ransomware 2026: Seis Cosas Que Debe Probar Antes del Próximo Ataque, No Después

Las notificaciones de ransomware alcanzaron 7.551 víctimas en el año que terminó en marzo de 2026, un aumento del 24,9 por ciento respecto al año anterior, según el último informe de ransomware de Black Kite. Y el ritmo tampoco es constante. La segunda mitad de ese período fue un 60 por ciento superior a la primera mitad, y solo en marzo de 2026 se registraron 861 víctimas, el mes más alto jamás registrado. El número de grupos también se está fragmentando: 146 grupos de ransomware activos para junio, 61 de ellos nuevos en un solo período de registro.

Nada de eso es información sobre la que un CISO pueda actuar directamente. Lo que sigue es un manual práctico construido a partir de los datos de este año, organizado en torno a lo que vale la pena probar en su propio entorno antes de que un atacante lo pruebe por usted.

Por qué los consejos habituales necesitan actualizarse

La mayoría de las guías sobre ransomware todavía asumen que usted tiene tiempo: tiempo para detectar, tiempo para contener, tiempo para llamar a su equipo de respuesta a incidentes antes de que ocurra un daño real. Nuevos datos del Informe Global de Respuesta a Incidentes 2026 de Unit 42, de Palo Alto Networks, deberían cambiar esa suposición. Entre los incidentes que investigó la firma, el cuarto más rápido de las intrusiones llegó a la exfiltración de datos en 1,2 horas, frente a las 4,8 horas del año anterior. La mediana de todos los incidentes fue de dos días. Si su último ejercicio de simulación asumía días de permanencia silenciosa del atacante antes de que actuara, estaba probando un modelo de amenaza que ya no coincide con los datos.

Tampoco existe este año una única forma dominante en que los atacantes están entrando, y eso importa a la hora de decidir dónde dirigir su presupuesto de pruebas. El Informe de Investigaciones de Brechas de Datos 2026 de Verizon encontró que la explotación de vulnerabilidades ahora impulsa el 31 por ciento de las brechas, superando por primera vez en la historia del informe al abuso de credenciales. La investigación específica sobre ransomware de Sophos cuenta una historia diferente: el 79 por ciento de los ataques de ransomware que analizó comenzaron con una identidad comprometida, no con un sistema sin parchear, y el 97 por ciento de las organizaciones afectadas de esa manera ya contaban con autenticación multifactor implementada. Las propias cifras de Unit 42 dividen la diferencia, con el phishing y la explotación de vulnerabilidades empatados en el 22 por ciento cada uno. Black Kite añade un tercer elemento propio de este año: el compromiso de plataformas de proveedores y terceros, citando el abuso de tokens OAuth de Salesforce y la explotación masiva de vulnerabilidades de Oracle E-Business Suite y PeopleSoft como rutas de ataque importantes en 2026.

Al juntar todo esto, la conclusión honesta es que la identidad, los sistemas sin parchear, el phishing y las plataformas de proveedores son todas rutas de ataque activas este año. Un manual construido en torno a una sola de ellas es un manual construido en torno al atacante del año pasado.

El manual

1. Pruebe la identidad como si realmente le importara, no solo como si la hubiera implementado. La autenticación multifactor no detuvo al 97 por ciento de las víctimas de ransomware basado en identidad que estudió Sophos. Implementar MFA es un control. Verificar que no se puede evadir, mediante robo de tokens, secuestro de sesión o ingeniería social dirigida a la mesa de ayuda, es una prueba. Combine la autenticación resistente al phishing y las revisiones de acceso privilegiado con pruebas adversariales que intenten específicamente evadirlas, de la misma manera que lo haría un atacante.
2. Corrija lo que los atacantes realmente están usando este año, y verifique que la corrección se mantuvo. Casi un tercio de las brechas ahora comienzan con explotación de vulnerabilidades, y Black Kite encontró que plataformas de proveedores como Salesforce, Oracle E-Business Suite y PeopleSoft fueron puntos de entrada importantes en 2026. Algo igual de revelador: el 43,5 por ciento de las víctimas de ransomware en el conjunto de datos de Black Kite todavía tenía una vulnerabilidad crítica sin parchear después de que se cerró su incidente. Un ticket de parcheo marcado como completado no es lo mismo que una corrección verificada. Las pruebas de penetración externas y de aplicaciones existen específicamente para confirmar que la brecha realmente se cerró, no solo que está programada para cerrarse.
3. Asuma que el perímetro será vulnerado, y pruebe qué sucede después. Con una mediana de dos días entre el acceso inicial y la exfiltración, la segmentación y los controles de movimiento lateral son los que realmente limitan el daño una vez que algo logra entrar. Las pruebas de red interna y los ejercicios de equipo rojo que parten de un punto de apoyo ya asumido, en lugar de observar desde afuera hacia adentro, le dicen si esa contención realmente se sostiene o si un atacante puede moverse de una estación de trabajo comprometida a sus sistemas más críticos más rápido de lo que su equipo puede responder.
4. Pruebe sus copias de seguridad como lo haría un atacante, no como asume su manual de procedimientos. Un simulacro estándar de restauración de copias de seguridad confirma que las copias existen y se restauran correctamente. No confirma qué sucede cuando un atacante ataca y deshabilita específicamente la infraestructura de copias de seguridad antes de activar el cifrado, una táctica bien documentada entre los afiliados de ransomware. Un ejercicio de equipo rojo que incluya la infraestructura de copias de seguridad como objetivo, y no como una zona segura por defecto, cierra esa brecha antes de que se convierta en la razón de una negociación de rescate de seis cifras.
5. Recalibre sus ejercicios de simulación a la velocidad de este año. Un escenario de simulación construido en torno a días de reconocimiento silencioso antes de que un atacante golpee está probando una amenaza que en gran medida ya no existe. Construya escenarios en torno al extremo más rápido del rango, horas, no días, y pruebe si su cadena de detección y escalamiento realmente puede mantener el ritmo. Esto no reemplaza las pruebas técnicas. Le dice si su personal y sus controles técnicos están preparados para el mismo modelo de amenaza.
6. Pase de una evaluación anual a una validación continua. El ecosistema de ransomware sumó 61 nuevos grupos en un solo período de registro y comprimió su velocidad de ataque promedio aproximadamente cuatro veces año tras año. Un ritmo de evaluación construido en torno a una fecha anual en el calendario no puede mantenerse al ritmo de un panorama de adversarios que cambia tan rápido. Las pruebas de penetración continuas y la gestión continua de vulnerabilidades cierran la brecha entre lo que encontró su última evaluación y lo que realmente es cierto en su entorno hoy.

El hilo conductor

Cada punto de esta lista tiene la misma forma: un control que su organización casi con certeza tiene en alguna forma, y una pregunta sobre si alguien realmente ha intentado derrotarlo en condiciones adversariales realistas. Esa es la brecha entre un programa de seguridad que luce completo sobre el papel y uno que ha sido puesto a prueba contra la forma en que realmente opera el ransomware en 2026, donde la identidad, los sistemas sin parchear, el phishing y las plataformas de proveedores son todas rutas de entrada activas, y donde el tiempo entre un punto de apoyo y un daño real puede medirse en horas.

Este es el trabajo que realizamos para nuestros clientes a través de nuestros ejercicios de equipo rojo y simulación adversarial: poner sus defensas frente a personas cuyo trabajo es realmente intentar vulnerarlas, de la misma manera que lo haría un atacante real, en lugar de dar por válida la presencia de un control en un diagrama como prueba de que funciona. Si no puede decir con confianza cuándo se probó por última vez cada punto de esta lista bajo esas condiciones, ese es el punto de partida honesto para la conversación sobre preparación ante ransomware de este año. Si no puede decir con confianza cuándo se probó por última vez cada punto de esta lista, ese es el punto de partida honesto para la conversación sobre preparación ante ransomware de este año.