El Informe sobre el Coste de una Filtración de Datos 2025 de IBM ha puesto una cifra concreta a algo que los profesionales de la seguridad llevan años advirtiendo: la exigencia de rescate nunca es el coste real de un ataque de ransomware. Según el informe, el coste total medio de un incidente de ransomware alcanzó los 4,4 millones de dólares, más de 38 veces superior a la demanda media de rescate de 115.000 dólares. Cuando el análisis se reduce a las filtraciones que implican específicamente ransomware o extorsión, el coste medio se eleva aún más, hasta los 5,08 millones de dólares.

Para las pequeñas y medianas empresas (pymes), estas cifras no son abstractas. Representan la diferencia entre lo que las empresas presupuestan (un pago de rescate que esperan no tener que hacer nunca) y lo que un ataque drena realmente de la organización una vez que se tienen en cuenta la recuperación, el tiempo de inactividad, la exposición legal y el daño a la reputación.

Las cifras detrás del titular

El multiplicador de 38 veces entre la demanda de rescate y el coste total del incidente es la cifra más importante del informe de IBM, y merece más atención de la que suele recibir. La mayoría de las conversaciones sobre ransomware se centran en el rescate en sí: cuánto piden los atacantes, si hay que pagar y cómo negociar. Pero los datos de IBM sugieren que la fijación en la cifra del rescate oculta la verdadera amenaza financiera.

Una demanda de rescate de 115.000 dólares suena como un gasto empresarial manejable, aunque doloroso. Un coste total de 4,4 millones de dólares es una conversación completamente distinta, que afecta a las nóminas, los contratos con proveedores, la confianza de los clientes y, en algunos casos, la propia supervivencia de la empresa. La cifra de 5,08 millones de dólares para las filtraciones con ransomware y extorsión confirma específicamente que esta categoría de incidentes se encuentra sistemáticamente entre los tipos de filtración de datos más caros a los que puede enfrentarse una organización.

Por qué la demanda de rescate es la parte más pequeña de la factura

La diferencia entre el rescate y el coste total existe porque el ransomware no solo cifra archivos, sino que interrumpe las operaciones. Los sistemas se desconectan. Los empleados no pueden acceder a las herramientas que necesitan para hacer su trabajo. Los servicios de cara al cliente dejan de funcionar. Hay que contratar equipos de recuperación, a menudo con carácter de emergencia, para reconstruir la infraestructura desde cero en lugar de confiar simplemente en una clave de descifrado del atacante.

Además de la interrupción operativa, están los costes que se acumulan mucho después de que se restauren los sistemas: notificaciones regulatorias, posibles multas, pérdida de clientes, honorarios legales y el golpe reputacional que puede seguir a la divulgación pública de una filtración. La investigación más amplia sobre el Coste de una Filtración de Datos de IBM ha demostrado sistemáticamente que estos costes posteriores, en lugar de la demanda inicial de extorsión, constituyen la mayor parte de lo que una organización gasta en última instancia. El ransomware simplemente concentra todos estos costes en un período de tiempo más corto y caótico.

Por qué las pequeñas y medianas empresas son el objetivo número 1

Las pymes son objetivos atractivos precisamente porque suelen tener presupuestos de seguridad más reducidos y equipos de TI más ajustados que las grandes empresas, al tiempo que a menudo poseen valiosos datos financieros o de clientes. Los atacantes saben que es menos probable que una organización más pequeña disponga de sistemas redundantes, personal dedicado a la respuesta a incidentes o reservas de efectivo para absorber una interrupción prolongada sin graves consecuencias.

Esta dinámica se ha manifestado de forma visible en las recientes campañas de ransomware. Grupos como Qilin y The Gentlemen han estado intensificando los ataques específicamente contra pequeñas y medianas empresas, compitiendo por el dominio en el espacio del ransomware como servicio al centrarse en organizaciones menos preparadas para defenderse. Las cifras de costes de IBM ayudan a explicar por qué: para los atacantes, las pymes representan una combinación de potencial real de pago y defensas comparativamente débiles, una combinación que mantiene a este segmento directamente en el punto de mira.

Lo que esto significa para usted

Si dirige o trabaja en una pequeña o mediana empresa, estas cifras deberían replantear su forma de pensar sobre el riesgo del ransomware. La pregunta relevante no es "¿podemos permitirnos pagar un rescate si se da el caso?", sino "¿podemos sobrevivir al coste total de un incidente, incluidas semanas de inactividad, gastos de recuperación y las secuelas?". Ese coste total, según los datos de IBM, se mide en millones, no en decenas de miles.

Esto también tiene implicaciones directas para la privacidad. Los incidentes de ransomware implican con frecuencia el robo de datos junto con el cifrado, lo que significa que la información personal de clientes y empleados puede acabar expuesta aunque se pague el rescate. Las empresas que tratan el ransomware únicamente como un riesgo de interrupción de TI subestiman las obligaciones de privacidad y cumplimiento que conlleva una filtración con datos robados.

Conclusiones prácticas

Dada la magnitud de estos costes, la prevención y la preparación importan mucho más que la estrategia de negociación. Algunos pasos concretos que vale la pena priorizar:

  • Mantenga copias de seguridad periódicas y probadas, almacenadas fuera de línea o de forma que los atacantes no puedan acceder a ellas y cifrarlas junto con sus sistemas principales.
  • Elabore un plan de respuesta a incidentes antes de que se produzca un ataque, no durante el mismo, que incluya funciones claras sobre quién toma las decisiones relativas al tiempo de inactividad, la divulgación y el contacto con las fuerzas del orden.
  • Invierta en una higiene de seguridad básica: autenticación multifactor, aplicación oportuna de parches y concienciación de los empleados sobre el phishing, ya que muchas infecciones de ransomware comienzan con una única credencial comprometida o un clic en un correo electrónico.
  • Comprenda de antemano sus obligaciones de notificación de filtraciones de datos, ya que el ransomware que implica robo de datos puede desencadenar requisitos legales independientemente de si se paga un rescate.

Las conclusiones de IBM para 2025 dejan clara una cosa: la demanda de rescate es una distracción de la verdadera amenaza financiera que supone el ransomware. Para las pymes, cerrar la brecha entre una demanda de 115.000 dólares y una factura de 4,4 millones comienza mucho antes de que un atacante envíe el primer mensaje.