Why are ransomware payment rates at a record low?

Organizations are increasingly willing to absorb the operational pain of an attack rather than fund criminals, and the criminal ecosystem is fragmenting into smaller, less coordinated groups that have less negotiating leverage.

How are ransomware groups responding to lower payment rates?

Some are escalating from digital coercion to threats that spill into the physical world, using more direct forms of intimidation aimed at people connected to target organizations.

Are ransomware payments decreasing overall?

No, while the percentage of victims paying has dropped, the average payment jumped 176% to $1.88 million in a single quarter, so fewer victims are paying but those who do pay much more.

Which sector is being aggressively targeted by a large extortion group?

The legal sector is being aggressively targeted by one of the largest remaining payout groups.

What does this shift mean for ransomware defense?

It means ransomware defense is no longer just about backups, patching, and endpoint protection; extortion is becoming a human problem as much as a technical one.

Pagos de rescate en mínimo histórico impulsan tácticas de extorsión físicas

Los grupos de ransomware lo están teniendo más difícil para cobrar. Nuevos informes muestran que la proporción de víctimas que aceptan pagar un rescate ha caído a su punto más bajo registrado, una tendencia que está reconfigurando cómo los grupos criminales presionan a sus objetivos. En lugar de dar marcha atrás, algunos de los pagos más grandes que aún quedan están ahora vinculados a un solo grupo que ataca agresivamente al sector legal, y otros operadores parecen estar compensando las tasas de pago más bajas escalando de la coerción digital a amenazas que se extienden al mundo físico.

Este cambio es importante para cualquiera que sea responsable de proteger los datos de una organización, porque significa que el antiguo cálculo de la defensa contra ransomware (copias de seguridad, parches, protección de endpoints) ya no es toda la historia. La extorsión se está convirtiendo en un problema humano tanto como técnico.

Por qué las tasas de pago de ransomware están en mínimos históricos

Durante años, los grupos de ransomware pudieron contar con un porcentaje predecible de víctimas que pagaban para recuperar sus datos o para evitar filtraciones. Esa ecuación se está rompiendo. Las tasas de pago ahora han caído a un mínimo histórico, según los últimos informes, lo que sugiere que las organizaciones están cada vez más dispuestas a absorber el dolor operativo de un ataque en lugar de financiar a los criminales que están detrás.

Esto coincide con cambios más amplios en el panorama del ransomware. Como se cubrió en el análisis de vpn.social sobre cómo el ecosistema del ransomware se fractura, el inframundo criminal mismo se está dividiendo en docenas de grupos más pequeños y menos coordinados. La fragmentación dificulta que cualquier operador individual construya el tipo de reputación y poder de negociación que antes animaba a las víctimas a pagar rápidamente. Al mismo tiempo, acuerdos de alto perfil como el pago de $18 millones de 23andMe muestran que las organizaciones están canalizando cada vez más dinero hacia la resolución legal y regulatoria en lugar de recompensar directamente a los atacantes.

Curiosamente, incluso cuando menos víctimas pagan, los pagos que sí se realizan pueden ser enormes. Un informe separado de vpn.social sobre pagos de rescate del Q2 2026 encontró que el pago promedio saltó un 176% hasta $1.88 millones en un solo trimestre, incluso cuando el porcentaje general de víctimas que pagan disminuyó. Menos personas pagan, pero las que lo hacen pagan mucho más, a menudo porque los atacantes detrás de esos casos están aplicando una presión inusualmente intensa.

Cómo la extorsión se está volviendo física: amenazas más allá de la red

Con menos víctimas dispuestas a pagar simplemente para evitar una filtración de datos, algunos grupos de extorsión parecen estar subiendo la apuesta más allá de la red misma. En lugar de depender únicamente de archivos cifrados o de la amenaza de publicar datos robados, estos grupos están recurriendo, según informes, a formas más directas de intimidación dirigidas a las personas conectadas con la organización objetivo, no solo a sus sistemas.

Esto es una escalada significativa. Una negociación de ransomware solía ser, en esencia, una decisión técnica y financiera: restaurar desde la copia de seguridad, pagar el rescate o aceptar la pérdida de datos. Cuando las amenazas se trasladan al ámbito físico, la toma de decisiones se desplaza a los equipos de seguridad y legales de la organización, y potencialmente a las fuerzas del orden, de maneras que los cortafuegos y las VPN nunca fueron diseñados para abordar. Es un recordatorio de que los grupos cibercriminales adaptan sus tácticas según lo que funciona financieramente, y cuando el apalancamiento digital deja de producir pagos, algunos están dispuestos a buscar otros puntos de presión.

La exposición desproporcionada del sector legal a pagos dirigidos

Si bien las tasas de pago en general están cayendo, los informes señalan que una parte desproporcionada de los grandes pagos que aún ocurren se puede rastrear hasta un grupo centrado específicamente en el sector legal. Los despachos de abogados son objetivos atractivos por una razón: poseen información sensible de clientes, comunicaciones privilegiadas y materiales de casos que pueden ser profesional y legalmente devastadores si se exponen. Esa combinación de alto riesgo y obligaciones sensibles al tiempo puede hacer que las organizaciones legales sean más propensas a pagar, incluso cuando la tendencia general se mueve en la dirección opuesta.

Esta concentración también ilustra cómo el ransomware ha pasado de ataques oportunistas de "disparar y rezar" hacia un enfoque más deliberado en industrias donde el costo de decir no es especialmente alto.

Qué significa esto para ti

Para la mayoría de las personas, esta tendencia no se traducirá en una amenaza directa, pero sí subraya cuán sofisticadas y dirigidas se han vuelto las operaciones de ransomware. Si trabajas en un despacho legal, un proveedor de salud o cualquier organización que posea datos sensibles de clientes o pacientes, el cálculo de riesgo ha cambiado. Ya no se trata solo de si tus archivos serán cifrados; se trata de quién podría ser amenazado, contactado o intimidado como parte de un intento de extorsión.

Reducción de riesgos en un entorno de amenazas híbrido ciber-físico

Las defensas técnicas siguen importando, pero ya no son suficientes por sí solas. Las organizaciones deben mantener copias de seguridad probadas y fuera de línea, implementar autenticación multifactor y mantener el software actualizado. Igual de importante ahora es tener un plan claro de respuesta a incidentes que contemple amenazas a empleados, ejecutivos o clientes, no solo a servidores. Como vpn.social ha informado anteriormente, las tácticas de doble extorsión ya demostraron que las copias de seguridad no son suficientes para garantizar la seguridad una vez que los datos han sido robados; la aparición de tácticas de intimidación física extiende esa lección aún más. Los empleados deben ser capacitados para reconocer y reportar contactos sospechosos, y los equipos legales y de seguridad deben coordinarse de antemano sobre cómo manejar amenazas que van más allá de una nota de rescate.

Conclusiones clave

Las tasas de pago de rescate han caído a un mínimo histórico, reduciendo el incentivo financiero para ataques oportunistas.
Algunos grupos están compensando escalando a amenazas físicas, una táctica que las VPN y las herramientas de endpoints no pueden abordar por sí solas.
El sector legal sigue estando desproporcionadamente expuesto a pagos grandes y dirigidos.
Las copias de seguridad sólidas y la seguridad de red siguen siendo esenciales, pero las organizaciones también necesitan planes de respuesta a incidentes que contemplen la coerción dirigida a personas, no solo a datos.

A medida que la economía del ransomware cambia, mantenerse informado sobre cómo evolucionan las tácticas de extorsión es uno de los pasos más prácticos que cualquier organización puede tomar para prepararse.