Durante años el ransomware fue noticia por las grandes organizaciones: hospitales, aerolíneas, administraciones. Los datos de 2026 cuentan otra historia. Cuando Verizon analizó 22.000 brechas confirmadas para su informe anual, el ransomware aparecía en el 48% de todas ellas, y el 96% de las víctimas eran pymes. En España, INCIBE gestionó 122.223 incidentes en 2025, un 26% más que el año anterior: seis de cada diez afectaron a pymes y autónomos, y los casos de ransomware se duplicaron en un año, de 176 a 392. Los sectores más golpeados no son tecnológicos: comercio, hostelería, despachos profesionales y clínicas.
Por qué una pyme
No porque alguien la elija. Porque está abierta. Los atacantes ya no seleccionan empresas interesantes: seleccionan puertas. Las dos más frecuentes, según el mismo informe, son credenciales robadas (el 38% de los ataques) y equipos de borde sin actualizar (el 29%): el firewall, la VPN o el servidor de correo que dan a internet. Una gran empresa tiene un equipo dedicado a cerrar esas puertas. Una pyme, casi nunca.
El modelo de negocio del atacante también se ha adaptado: menos rescates millonarios a una multinacional y más rescates medianos a cientos de empresas que no pueden permitirse parar una semana.
El daño ya no es solo parar
El ataque actual añade una capa: antes de cifrar los sistemas, los atacantes copian los datos y amenazan con publicarlos o con contactar directamente a tus clientes. Restaurar las copias ya no cierra el incidente: queda lo que se llevaron, y con ello la conversación con clientes, empleados y la agencia de protección de datos.
Lo que de verdad reduce el riesgo
No es un gran proyecto ni una lista de veinte herramientas. En los datos, cuatro cosas separan a las empresas que sufren un mal día de las que sufren un mal trimestre:
- Un segundo factor en todo acceso remoto y en el correo. Las credenciales robadas son la puerta de entrada número uno, y el segundo factor la cierra casi siempre.
- Copias de seguridad separadas de la red y probadas. No "se hacen copias": alguien ha restaurado una y sabe cuánto tarda. Es la diferencia entre pagar y no pagar.
- Parches en lo que da a internet. VPN, firewall y correo se actualizan en días, no en meses. Es donde entra uno de cada tres ataques.
- Saber qué tienes. Inventario de sistemas y de quién accede a qué. No se protege lo que no se sabe que existe.
Solo el 31% de las víctimas pagó el año pasado, y la mediana de pago bajó de 140.000 dólares: cada vez más empresas pueden decir que no. Se dice que no con copias que funcionan.
Lo que yo haría este mes
Tres tardes, no un trimestre. Primera: preguntar quién puede entrar a tus sistemas desde fuera y si todos esos accesos piden un segundo factor. Segunda: pedir la fecha y el resultado de la última prueba de restauración de copias; si la respuesta es que "las copias se hacen solas", no hay prueba. Tercera: una lista de los equipos expuestos a internet con la fecha de su última actualización.
Con esas tres respuestas sobre la mesa sabrás más de tu exposición real que con cualquier informe genérico de amenazas. Y si quieres ver cómo se lee un incidente real de principio a fin, con lo que exige a quien lo revisa, lo hicimos con la brecha de Hugging Face.
