Un tercio de las organizaciones de ANZ sigue optando por pagar

Una nueva investigación de Commvault ha confirmado lo que muchos profesionales de la seguridad sospechaban desde hace tiempo: pagar un rescate de ransomware está lejos de ser una solución fiable. El informe State of Data Resilience ANZ 2026 de la compañía reveló que el 34% de las organizaciones de Australia y Nueva Zelanda que sufrieron un ataque de ransomware siguieron adelante y pagaron el rescate, a pesar de no tener ninguna garantía real de que sus datos serían devueltos o sus sistemas restaurados a su funcionamiento normal.

Este hallazgo llega en un momento en que el ransomware se ha convertido menos en un evento de crisis poco frecuente y más en una realidad operativa para las empresas de la región. Sin embargo, la decisión de pagar sigue tomándose, en muchos casos, bajo una presión extrema, en medio de un incidente activo, en lugar de formar parte de una estrategia de respuesta tranquila y planificada de antemano.

Por qué pagar rara vez resuelve el problema real

El detalle más importante de los hallazgos de Commvault no es que las organizaciones estén pagando, sino lo que ocurre después de que lo hacen. Entregar un rescate no significa automáticamente que los datos robados o cifrados se recuperen intactos, ni que el atacante elimine las copias que realizó antes de bloquear los sistemas. Esta distinción es enormemente importante desde el punto de vista de la privacidad. Hoy en día, muchos incidentes de ransomware implican tanto el robo de datos como el cifrado, lo que significa que los registros de clientes, los datos de empleados o la información financiera podrían haber salido ya de la red de la organización antes de que comience cualquier conversación sobre el rescate.

Una encuesta relacionada que cubre la misma región refuerza esta idea. Esa investigación reveló que el 36% de los pagos de rescate no logran restaurar los datos, lo que significa que más de un tercio de las organizaciones que pagaron terminaron igualmente sin que sus sistemas o archivos funcionaran correctamente. En otras palabras, pagar no es una transacción con un resultado garantizado. Es una apuesta hecha ante un adversario que no tiene ninguna obligación legal ni reputacional de cumplir.

Para las organizaciones que manejan datos personales sensibles, ya sean registros de salud, datos financieros o información de identidad de clientes, esto crea un riesgo de privacidad acumulativo. Incluso un pago exitoso no deshace la exposición que ya se ha producido. Los datos que los atacantes copiaron antes del cifrado pueden seguir filtrándose, vendiéndose o utilizándose para extorsiones posteriores, independientemente de si se pagó un rescate. La investigación de Commvault sugiere que demasiadas organizaciones de ANZ están tratando el pago del rescate como una estrategia de recuperación, cuando en realidad funciona más como una apuesta realizada después de que el daño ya está hecho.

La presión de decidir en medio de una crisis

Parte de lo que hace persistente este patrón es el entorno en el que se toman estas decisiones. Los ataques de ransomware tienden a escalar rápidamente y, a menudo, dejan al personal fuera de los sistemas críticos en cuestión de horas. Bajo ese tipo de presión, con las operaciones paralizadas y los clientes o socios haciendo preguntas, pagar puede parecer la vía más rápida para volver a la normalidad. El informe de Commvault lo plantea como organizaciones que toman decisiones de alto riesgo sobre ransomware en medio de una crisis, en lugar de como parte de un plan probado y preexistente.

Esa toma de decisiones impulsada por la crisis es precisamente la razón por la que la preparación importa mucho más que la reacción. Las organizaciones con sistemas de respaldo probados, planes claros de respuesta a incidentes y criterios preacordados sobre si interactuar con los atacantes están en una posición mucho más sólida que aquellas que improvisan en tiempo real. Los datos sugieren que muchas empresas de ANZ aún no han alcanzado ese nivel de preparación y, en cambio, recurren al pago por defecto porque parece ser la única palanca disponible en el momento.

Qué significa esto para ti

Si eres consumidor, empleado o cliente de cualquier organización, esta investigación es un recordatorio de que el pago de un rescate por parte de una empresa no significa que tus datos estén seguros. Incluso si una empresa anuncia que ha resuelto un incidente, la información que quedó expuesta durante el ataque puede seguir circulando. Vale la pena prestar atención a las notificaciones de violación de datos de cualquier servicio que utilices y tomarlas en serio incluso si la organización afirma que se pagó un rescate o que se restauraron los sistemas.

Si trabajas en una empresa, especialmente una que maneja datos de clientes o empleados, la conclusión es más directa: no permitas que la decisión de pagar un rescate se tome por primera vez durante un ataque real. Las organizaciones que planifican con antelación, prueban sus copias de seguridad y tienen un protocolo de respuesta claro son mucho menos propensas a enfrentarse al tipo de escenario sin salida que describe Commvault, en el que el pago no garantiza la devolución de los datos y la exposición de la privacidad a menudo ya ha ocurrido cuando llega la nota de rescate.

Puntos clave

  • Pagar una demanda de ransomware no garantiza que los datos o sistemas se restauren, y no deshace el robo de datos que ya se haya producido.
  • La exposición de datos y el riesgo de privacidad pueden existir independientemente de si se paga un rescate, ya que los atacantes suelen robar la información antes de cifrarla.
  • Las organizaciones deben crear planes de respuesta ante ransomware y probar las copias de seguridad antes de que ocurra un incidente, no durante él.
  • Las personas deben mantenerse alerta ante las notificaciones de violación de datos, incluso cuando una empresa informe que un incidente se ha resuelto.

El ransomware no va a desaparecer, y la investigación de Commvault deja claro que las organizaciones de ANZ siguen manejando estas decisiones de forma reactiva en lugar de estratégica. Desarrollar resiliencia antes de que ocurra un ataque sigue siendo la forma más fiable de proteger tanto las operaciones comerciales como los datos personales que las organizaciones tienen la responsabilidad de salvaguardar.