Durante años el ransomware fue noticia por las grandes organizaciones. Hospitales, aerolíneas, administraciones. Los datos de 2026 cuentan otra historia y tienen una lectura directa para cualquier equipo de auditoría. Cuando Verizon analizó más de 22.000 brechas confirmadas en 145 países para su informe anual, el ransomware aparecía en el 48 % de todas ellas, cuatro puntos más que el año anterior.
Hay una segunda cifra que coincide en el número y amplía el alcance del trabajo. Las brechas en las que participa un tercero son ya el 48 %, y las de cadena de suministro crecieron un 60 % en un año. El incidente ocurre en el proveedor y el impacto llega a la organización que lo contrató.
En España, INCIBE gestionó 122.223 incidentes en 2025, un 26 % más que el año anterior, y 392 de ellos fueron casos de ransomware.
Por dónde entra
No por donde se suponía. Por primera vez en diecinueve años de informe, la explotación de vulnerabilidades desbanca a las credenciales como primer vector de entrada, con el 31 % de las brechas frente al 13 % del abuso de credenciales. Un tercio de los ataques entra por algo publicado, con parche disponible y sin aplicar.
Eso mueve el foco de la revisión. No es un asunto de concienciación, es la ventana de parcheo de lo que da a internet, y se prueba con evidencia dentro de la organización y en los proveedores críticos.
El daño ya no es parar
El ataque actual añade una capa. Antes de cifrar, los atacantes copian los datos y amenazan con publicarlos o con contactar a los clientes. Restaurar las copias ya no cierra el incidente, porque queda lo que se llevaron, y con ello la notificación a la autoridad de protección de datos y la conversación con los afectados.
El 69 % de las víctimas no pagó el rescate. Cada vez más organizaciones pueden decir que no. Se dice que no con copias que funcionan.
Cuatro pruebas que dan evidencia
- Parcheo de lo que da a internet. Ventana comprometida para VPN, firewall, correo y cualquier servicio expuesto, con evidencia del último ciclo. Ahí entra uno de cada tres ataques.
- Segundo factor en todo acceso remoto y en el correo. La prueba es la cobertura sobre el censo completo de usuarios, incluidas las cuentas de proveedor, no la política escrita.
- Copias separadas de la red y probadas. Pide la fecha de la última restauración probada, quién la hizo y cuánto tardó. Sin esa fecha, el control no está demostrado.
- Inventario y accesos de proveedores. Qué sostiene cada proveedor crítico, quién entra desde fuera y con qué privilegios. No se protege lo que no está en el inventario.
Las tres primeras se prueban dentro de casa. La cuarta cruza la frontera del contrato, que es donde la obligación llega por la vía que describimos en NIS2 y la cadena de proveedores.
La conclusión para el plan anual es sencilla. Ransomware no es un trabajo de seguridad que auditoría mira de lejos. Son cuatro controles concretos, dentro y fuera de la organización, y todos dejan evidencia.
