El ransomware solía tener un manual simple: bloquear los archivos de la víctima, exigir un pago y esperar. Si el objetivo tenía copias de seguridad sólidas, a menudo podía restaurar sus sistemas y seguir adelante sin pagar. Esa red de seguridad ha desaparecido en gran medida. En 2025, los operadores de ransomware han adoptado lo que se conoce como doble extorsión, una táctica que combina el cifrado de archivos con la amenaza de filtrar públicamente los datos robados, incluso si la víctima nunca llega a responder a la demanda de rescate.

Este cambio es importante mucho más allá de los departamentos de TI. Cambia lo que realmente significa “estar preparado” para un ataque de ransomware, tanto para empresas como para particulares.

Qué significa la doble extorsión y por qué las copias de seguridad ya no te salvan

La estrategia tradicional de defensa contra el ransomware siempre se ha centrado en las copias de seguridad: si tus archivos están cifrados, restauras desde una copia limpia y sigues adelante. Ese consejo no ha desaparecido, pero ya no es suficiente por sí solo.

El ransomware de doble extorsión añade una segunda capa de presión. Antes de cifrar los sistemas de la víctima, los atacantes primero copian discretamente los archivos confidenciales de la red. Luego, incluso si la víctima recupera todo a partir de las copias de seguridad sin pagar ni un céntimo, los atacantes siguen teniendo una copia de esos datos robados. Su nuevo chantaje no es “paga o pierdes tus archivos”, sino “paga o publicamos en línea los registros de tus clientes, documentos financieros o comunicaciones internas”.

Esto cambia por completo el cálculo de la respuesta al ransomware. Una empresa con copias de seguridad impecables y un proceso de recuperación rápido aún puede ser extorsionada, porque la amenaza ha pasado de la disponibilidad (poder acceder a los datos) a la confidencialidad (mantener los datos privados). Para las organizaciones que manejan información personal sensible, esa distinción puede marcar la diferencia entre un incidente de TI contenido y una crisis reputacional y legal en toda regla.

Qué sectores y tipos de datos están siendo atacados

Los grupos de ransomware suelen gravitar hacia organizaciones que poseen datos lo suficientemente valiosos como para que las amenazas de filtración sean creíbles y dolorosas. Los sectores que manejan grandes volúmenes de información personal sensible, registros financieros o datos operativos son objetivos constantemente atractivos, precisamente porque la amenaza de exposición conlleva consecuencias reales: sanciones regulatorias, demandas y pérdida de confianza de los clientes.

La atención sanitaria ha sido un ejemplo particularmente visible de lo que está en juego cuando la doble extorsión tiene éxito. Los registros de pacientes combinan algunos de los tipos de datos más sensibles que existen —historias clínicas, datos del seguro, números de la Seguridad Social— todo en un solo lugar. En parte, por eso una brecha de seguridad centrada en la atención sanitaria que afectó a decenas de millones de pacientes se convirtió en un caso de estudio tan claro de lo que ocurre cuando los datos robados acaban en manos criminales en lugar de permanecer simplemente cifrados en un servidor.

El patrón más amplio para 2025 no es una reducción de los operadores de ransomware que buscan menos objetivos pero más grandes. Es lo contrario: un ecosistema criminal más fragmentado y competitivo, con múltiples grupos ejecutando campañas de doble extorsión simultáneamente en diferentes sectores. Esa diversificación se analiza con más profundidad en la cobertura sobre cómo las bandas de ransomware se están multiplicando de cara a 2026, sin señales de que la tendencia general esté disminuyendo.

Cómo encajan el cifrado y las VPN en una defensa por capas

Ninguna herramienta por sí sola detiene la doble extorsión, pero un enfoque por capas reduce tanto las probabilidades de una brecha como el daño si esta ocurre.

Cifrar los datos sensibles en reposo, es decir, mientras están almacenados en servidores o dispositivos, significa que incluso si los atacantes exfiltran archivos, lo que roban puede resultar ilegible sin las claves adecuadas. Esto no evita una brecha, pero puede neutralizar la amenaza de filtración que da fuerza a la doble extorsión.

Cifrar los datos en tránsito es igualmente importante. Una VPN crea un túnel cifrado para los datos que se mueven entre dispositivos y redes, lo que ayuda a evitar que los atacantes intercepten credenciales o archivos mientras viajan a través de conexiones menos seguras, como redes wifi públicas o configuraciones de acceso remoto. Para las plantillas remotas e híbridas, esto cierra uno de los puntos de entrada habituales que los grupos de ransomware utilizan para obtener acceso inicial antes de desplegar sus cargas de cifrado.

Ni el cifrado ni el uso de VPN sustituyen la seguridad de los endpoints, la segmentación de la red o la formación de los empleados en materia de phishing, que sigue siendo uno de los principales métodos de distribución del ransomware. Pero juntas, estas capas reducen la superficie de ataque y limitan lo que los delincuentes pueden hacer realmente con los datos que logran robar.

Lo que esto significa para ti

Si diriges un negocio, la conclusión es clara: la estrategia de copias de seguridad por sí sola ya no es un plan completo de defensa contra el ransomware. También debes pensar en lo que sucede si tus datos son robados, no solo cifrados. Eso significa cifrar los archivos sensibles en reposo, proteger el acceso remoto con VPN, limitar quién puede acceder a los datos sensibles en primer lugar, y tener un plan de respuesta a incidentes que contemple las amenazas de filtración pública, no solo el tiempo de inactividad del sistema.

Si eres un particular, el riesgo es más indirecto pero sigue siendo real. Tus datos personales, registros médicos, datos financieros, credenciales de inicio de sesión, pueden estar en los sistemas de empresas o proveedores que se convierten en objetivos de doble extorsión. Usar contraseñas seguras y únicas, activar la autenticación multifactor y ser prudente con las organizaciones con las que compartes información sensible reduce tu exposición cuando se produce una brecha en otro lugar.

Medidas prácticas que puedes tomar

  • Considera las copias de seguridad como un seguro de recuperación, no como una defensa completa contra el ransomware; no detienen las amenazas de filtración de datos.
  • Cifra los datos sensibles tanto en reposo como en tránsito, y utiliza una VPN para el acceso remoto a fin de reducir el riesgo de interceptación.
  • Asume que cualquier organización que almacene tus datos personales podría convertirse en un objetivo, y supervisa tus cuentas en busca de actividad inusual después de cualquier brecha notificada.
  • Las empresas deben crear planes de respuesta a incidentes que aborden explícitamente los escenarios de filtración de datos, no solo la restauración del sistema.

El ransomware de doble extorsión en 2025 refleja una verdad más amplia sobre las ciberamenazas modernas: los atacantes se adaptan más rápido de lo que las defensas estáticas pueden seguir. Mantenerse informado sobre cómo evolucionan estas tácticas, y superponer capas de cifrado, controles de acceso y conexiones seguras en consecuencia, sigue siendo la forma más práctica de reducir el riesgo en un entorno en el que las copias de seguridad por sí solas ya no son suficientes.