Una brecha cada vez mayor entre los ataques de ransomware y la divulgación pública
La empresa de prevención de ransomware BlackFog ha publicado su informe del segundo trimestre sobre la actividad global de ransomware, y la cifra principal es impactante: los ataques de ransomware no divulgados aumentaron un 40 % interanual. En otras palabras, una proporción creciente de incidentes de ransomware está ocurriendo sin que el público, los reguladores o incluso los clientes afectados lleguen a enterarse a través de canales oficiales.
Esa distinción es importante. Los ataques de ransomware que acaparan titulares suelen ser aquellos en los que los atacantes se atribuyen públicamente el mérito, filtran datos robados u obligan a una organización a divulgarlos porque los clientes, socios o medios notan la interrupción. Los ataques no divulgados son diferentes. Se trata de incidentes que las organizaciones víctimas resuelven silenciosamente, pagan o gestionan de otro modo sin desencadenar un informe público, aunque en el proceso se haya accedido, cifrado o exfiltrado datos.
Los datos de BlackFog sugieren que esta categoría más silenciosa de ataques está creciendo ahora más rápido que los más visibles y denunciados públicamente. Para una industria que ha pasado años tratando de mejorar la transparencia sobre las brechas, se trata de un cambio notable y con consecuencias reales para cualquiera cuya información personal pueda estar en los sistemas de una empresa.
Por qué "no divulgado" no significa "contenido"
Es tentador suponer que, si un ataque nunca sale en las noticias, debe haber sido menor o contenido con éxito. Los hallazgos de BlackFog ponen en entredicho esa suposición. Un incidente de ransomware puede implicar una exfiltración significativa de datos —los atacantes copian archivos confidenciales antes o en lugar de cifrar los sistemas— sin que la organización reconozca formalmente que ocurrió.
Hay varias razones por las que una empresa podría evitar la divulgación pública: incertidumbre sobre si una brecha cumple los umbrales legales de notificación, deseo de evitar daños reputacionales o, simplemente, una negociación y un pago silenciosos que resuelven la situación antes de que los reguladores se involucren. Ninguna de estas razones hace desaparecer el riesgo de privacidad subyacente. Si los registros de clientes, datos de empleados o información financiera y de salud quedaron expuestos durante un ataque no divulgado, las personas cuyos datos fueron sustraídos siguen enfrentándose a los mismos riesgos posteriores —robo de identidad, fraude, phishing dirigido—, independientemente de si se emitió algún comunicado de prensa.
Aquí es donde la conversación sobre el ransomware se solapa cada vez más con la de la gestión de vulnerabilidades. Muchos operadores de ransomware consiguen su punto de apoyo inicial a través de fallos de software sin parchear o explotados activamente. Agencias como CISA siguen señalando vulnerabilidades que los atacantes están utilizando activamente para obtener acceso elevado a los sistemas, incluidos problemas como CVE-2026-31431, un fallo de acceso root en Linux explotado en entornos reales. Cuando las organizaciones no parchean rápidamente las vulnerabilidades conocidas que están siendo explotadas, crean exactamente el tipo de puerta de entrada que da lugar a los incidentes de ransomware que BlackFog está rastreando, divulgados o no.
La escala del problema no descubierto
Una razón por la que los ataques no divulgados se están volviendo más comunes podría ser simplemente el enorme volumen de debilidades explotables en el software moderno. Investigadores que utilizan herramientas de análisis asistidas por IA han demostrado recientemente cuán grande puede ser esa superficie de ataque. El Project Glasswing de Anthropic, por ejemplo, mostró que su modelo Claude Mythos fue capaz de identificar más de 10.000 vulnerabilidades de severidad alta o crítica en importantes infraestructuras de software. Cuando hay tantos puntos de entrada potenciales, resulta mucho más fácil entender por qué los grupos de ransomware siguen encontrando nuevas organizaciones a las que atacar, y por qué tantas de esas intrusiones nunca salen a la luz pública.
El informe de BlackFog refuerza un patrón sobre el que los investigadores de privacidad y seguridad han advertido durante años: el registro público de la actividad de ransomware probablemente es solo una imagen parcial. Cada ataque visible que sale en las noticias probablemente tiene equivalentes que se resolvieron de forma privada, ya sea mediante la restauración de copias de seguridad, acuerdos negociados o equipos de respuesta a incidentes trabajando fuera de la vista pública.
Qué significa esto para usted
Para los consumidores comunes, el aumento de los ataques de ransomware no divulgados es un recordatorio de que las notificaciones de brechas no son un sistema de alerta temprana completo. Es posible que nunca reciba un aviso oficial de que sus datos estuvieron involucrados en un incidente, incluso si lo estuvieron. Eso no significa que su información esté automáticamente segura; significa que las señales habituales en las que la gente confía, como los correos electrónicos de notificación de brechas o la cobertura de noticias, se están convirtiendo en indicadores menos fiables del riesgo real.
Para las empresas y los equipos de TI, el informe es un sólido argumento para cerrar la brecha entre las vulnerabilidades conocidas y los plazos de aplicación de parches, ya que el retraso en la aplicación de parches es con frecuencia el punto de entrada para el tipo de intrusiones silenciosas que nunca llegan a los titulares. También es una razón para invertir en la monitorización de la exfiltración de datos específicamente, no solo del cifrado por ransomware, ya que los atacantes cada vez más roban datos incluso cuando no bloquean los sistemas.
Adelantarse al ransomware del que quizá nunca oiga hablar
Los resultados del segundo trimestre de BlackFog dejan claro que las estadísticas de notificación de ransomware probablemente subestiman el alcance real del problema, dada la cantidad de ataques que no se divulgan. En lugar de esperar a un titular o una carta de notificación, vale la pena tratar la higiene rutinaria de la privacidad como un hábito continuo, en lugar de una reacción a los eventos.
Algunos pasos prácticos que conviene dar ahora: use contraseñas únicas y seguras con un gestor de contraseñas para que una brecha en una empresa no comprometa sus otras cuentas; habilite la autenticación multifactor siempre que se ofrezca; supervise regularmente las cuentas financieras y de crédito en busca de actividad desconocida; y considere congelar su crédito si sospecha que su información pudo haber sido expuesta en algún incidente, divulgado o no. Para las organizaciones, priorizar la gestión de parches para las vulnerabilidades explotadas activamente e invertir en herramientas que detecten la exfiltración de datos, no solo el cifrado, puede ayudar a cerrar la brecha que los ataques de ransomware no divulgados están explotando actualmente.
