¿Por qué el ransomware es la ciberamenaza que más golpea a la UE?

El ransomware sigue siendo la ciberamenaza capaz de provocar el mayor impacto inmediato en la Unión Europea. No es necesariamente el ataque que más veces aparece en las estadísticas, pero sí uno de los que puede hacer más daño cuando entra: cifra sistemas, roba información, interrumpe servicios y convierte los datos sustraídos en una herramienta de extorsión. Un cóctel bastante menos abstracto de lo que sugiere la palabra «ciberseguridad».

La Agencia de la Unión Europea para la Ciberseguridad, ENISA, lo confirma en su Threat Landscape 2026, publicado el 22 de septiembre y construido a partir de los incidentes y acontecimientos observados entre enero y diciembre de 2025. El dato esencial es nítido: mientras los ataques de denegación de servicio o DDoS acaparan buena parte del volumen, el ransomware permanece como el tipo de incidente con mayor impacto a corto plazo.

Hay una diferencia importante. Un ataque puede ser frecuente y relativamente limitado; otro, menos habitual, puede dejar durante días una empresa sin facturar, un servicio público bloqueado o miles de archivos internos en manos de delincuentes. Contar ataques sin medir sus consecuencias sería como contar tormentas sin preguntar cuántas casas han quedado bajo el agua.

Ransomware: menos ruido, mucho más daño

Los DDoS representan el 51% de los casos registrados por ENISA. Su funcionamiento consiste, de forma simplificada, en inundar un servicio digital con tráfico hasta volverlo inaccesible. Son muy visibles y especialmente populares entre grupos hacktivistas, aunque muchos tienen un efecto limitado o de corta duración.

El ransomware juega otra partida. El atacante consigue entrar en la red de una organización y puede cifrar archivos, sustraer datos o combinar ambas técnicas. Después llega la extorsión: dinero a cambio de recuperar los sistemas, evitar una filtración o, simplemente, intentar contener el desastre.

De ahí que el volumen engañe. Una web institucional caída durante una hora genera titulares y molestias; un ataque que paraliza la contabilidad, la producción, los historiales internos o la infraestructura informática de una compañía puede convertirse en una crisis empresarial de primer orden. Recuperar servidores es solo una parte del problema. También aparecen costes legales, pérdida de información, interrupciones comerciales, investigaciones forenses y daños reputacionales difíciles de colocar en una hoja de Excel.

El informe europeo sitúa el cibercrimen en el 36% de los eventos analizados. Dentro de las actividades con motivación económica registradas durante 2025, el despliegue de ransomware supuso el 40%, por delante de las filtraciones de datos, con un 31%, y del fraude y la suplantación, con un 19%.

No estamos, pues, ante aquel virus rudimentario que bloqueaba un ordenador doméstico y mostraba una ventana pidiendo dinero. El ransomware moderno funciona como una operación de extorsión digital con objetivos empresariales, acceso inicial, movimientos dentro de la red, robo de información y presión sobre la víctima.

La Administración pública está en primera línea

El sector más atacado en la Unión Europea sigue siendo la Administración pública, que concentra el 32% de los incidentes contabilizados por ENISA. Por detrás aparecen los servicios empresariales y el transporte, ambos con un 8%; la industria manufacturera, con un 7%, y las finanzas y la banca, con un 6%.

Ahora bien, tampoco aquí todos los ataques tienen la misma naturaleza. Buena parte de la enorme exposición de las administraciones procede del hacktivismo y de los DDoS. Estos últimos representan el 82% de los eventos registrados contra organismos públicos, según el análisis europeo.

Es el paisaje digital de estos años: ministerios, ayuntamientos, transportes, bancos, fábricas y empresas privadas comparten sistemas, proveedores y servicios que antes vivían mucho más separados. La comodidad de esa interconexión tiene reverso. Cuando falla una pieza común, el golpe puede viajar por la cadena casi sin llamar a la puerta.

ENISA señala que el 73% de las organizaciones afectadas pertenecían a las categorías de entidades esenciales o importantes contempladas por la directiva europea NIS2. Es un detalle que cambia bastante la fotografía. No hablamos únicamente del ordenador de una oficina: detrás puede haber transporte, agua, servicios digitales, sanidad, finanzas o administraciones de las que dependen millones de personas.

El ransomware es el desenlace visible. La entrada suele producirse bastante antes, mediante técnicas menos cinematográficas: un correo convincente, unas credenciales robadas, un servicio expuesto a internet o una vulnerabilidad que nadie había corregido.

La ingeniería social continúa funcionando porque explota algo que ningún parche puede eliminar por completo: la confianza humana. El phishing sigue siendo una herramienta habitual y el ecosistema criminal ha reducido incluso la dificultad técnica necesaria para lanzar campañas. Existen kits preparados, infraestructuras alquiladas y servicios clandestinos que permiten automatizar buena parte del fraude.

ENISA también detecta un crecimiento de ClickFix, una técnica que presenta al usuario una falsa incidencia, verificación o instrucción técnica y trata de convencerle para que ejecute acciones que terminan comprometiendo su dispositivo. El atacante, en cierto modo, consigue que sea la propia víctima quien abra la cerradura.

Las vulnerabilidades siguen siendo una puerta muy rentable

Durante 2025 se publicaron más de 48.000 nuevas vulnerabilidades identificadas como CVE, un 22% más que el año anterior. No significa que las 48.000 sean explotadas ni que tengan la misma gravedad, pero ilustra el tamaño del terreno que empresas y administraciones deben vigilar.

El informe añade un matiz importante para no retorcer la estadística. ENISA pudo identificar el vector de entrada solo en una pequeña parte, alrededor del 5%, de los incidentes de acceso no autorizado considerados; dentro de ese subconjunto, el 60% aprovechó alguna vulnerabilidad. Es decir, el dato es significativo, pero no debe extrapolarse alegremente al conjunto de todos los ataques.

Ahí aparece uno de los problemas estructurales de la seguridad digital. Una actualización pendiente puede parecer una tarea menor hasta que la vulnerabilidad se convierte en una puerta. Y no siempre se trata de sistemas olvidados durante años: también existen fallos recién descubiertos, incluidos los llamados zero-day, para los que el margen de reacción puede ser muy pequeño.

Los datos españoles permiten entender bien por qué «más frecuente» y «más peligroso» no significan lo mismo. El balance de INCIBE correspondiente a 2025 contabilizó 122.223 incidentes de ciberseguridad en España, un 26% más que en 2024. Entre ellos hubo 55.411 relacionados con malware, 25.133 casos de phishing y 45.445 episodios de fraude online.

Los incidentes clasificados específicamente como ransomware fueron 392. Una cifra pequeña al lado del conjunto, aunque las metodologías y universos estadísticos de INCIBE y ENISA no son directamente comparables. Precisamente por eso conviene no convertir una tabla de frecuencias en una tabla de gravedad.

Un solo ransomware exitoso puede afectar servidores, copias de trabajo, datos personales, proveedores y operaciones durante semanas. El número bruto explica cuánto ocurre una amenaza; el impacto explica cuánto duele.

España tampoco vive aislada de la dependencia tecnológica que preocupa a ENISA. Empresas y organismos utilizan proveedores de software, plataformas en la nube, servicios de gestión y cadenas digitales cada vez más largas. El perímetro tradicional —aquella idea de proteger «los ordenadores de la empresa»— se ha quedado pequeño.

La cadena de suministro agranda el radio de la explosión

Uno de los avisos más relevantes del informe europeo está precisamente en las dependencias digitales. Los atacantes buscan proveedores y terceros cuya posición les permita alcanzar a varias organizaciones desde un único punto comprometido.

La lógica criminal es sencilla. Atacar individualmente diez empresas exige diez puertas; infiltrarse en un proveedor compartido puede abrir varias de golpe. Es una economía de escala aplicada al delito, nada sofisticada en su filosofía aunque sí pueda serlo en la ejecución.

Los ataques contra la cadena de suministro preocupan especialmente porque multiplican el área afectada y complican la respuesta. Una organización puede proteger razonablemente su propia infraestructura y, aun así, quedar expuesta por un software externo, un servicio contratado o una empresa que posee acceso privilegiado a sus sistemas.

Este es uno de los cambios de fondo que dibuja ENISA: las fronteras entre organizaciones son cada vez más porosas. La seguridad de una compañía empieza a depender también de cómo trabajan sus proveedores, sus plataformas y los proveedores de esos proveedores. Una fila de fichas de dominó, pero conectadas por API, contraseñas y servidores.

La inteligencia artificial acelera ataques que ya existían

La inteligencia artificial aparece también en el panorama europeo, aunque el informe evita convertirla en una criatura de ciencia ficción. Los grupos maliciosos la utilizan principalmente para facilitar o mejorar actividades que ya conocíamos: generar textos, traducir mensajes, producir contenidos sintéticos y aumentar la escala de determinadas operaciones.

Esto importa especialmente en el phishing y la manipulación de información. Un correo fraudulento mal redactado era, durante años, casi un género literario propio. Con sistemas capaces de producir textos naturales en numerosos idiomas, esa pista pierde valor.

ENISA advierte igualmente de que la incorporación de modelos de IA a empresas y administraciones crea nuevas superficies de ataque. La tecnología desempeña así un doble papel: sirve como herramienta para los atacantes y, al mismo tiempo, se convierte en otra infraestructura que puede ser atacada.

No significa que la IA haya sustituido las técnicas tradicionales. Al contrario. Las vulnerabilidades conocidas, las credenciales comprometidas, el engaño al usuario y los servicios mal configurados continúan haciendo buena parte del trabajo sucio. Lo nuevo se coloca encima de lo viejo; rara vez lo elimina.

Hacktivismo, dinero y geopolítica se m

Newsletter

Suscribirme