Mayoría de empresas afectadas por ransomware asegura que la IA ha hecho los ataques más efectivos

Según el informe Ransomware en la era de la IA 2026, de Proofpoint, la IA ha hecho que el ransomware sea mucho más efectivo al facilitar a los atacantes la creación más convincente de campañas de phishing, suplantación de identidad y robo de credenciales. Como consecuencia, un 65% de las empresas aseguran que la IA ha aumentado la efectividad de los ataques.

El informe, basado en una encuesta entre 953 profesionales de ciberseguridad de 12 países, muestra que el ransomware actual ha pasado de ser un evento de cifrado a una campaña de extorsión sostenida. Los atacantes roban cada vez más credenciales y datos confidenciales antes de desplegar el ransomware. Para conseguir un primer acceso usan comunicaciones de confianza, y ejercen una presión continua a través de demandas de extorsión repetidas.

En España, según el texto, las personas son la superficie de ataque principal del ransomware, y la IA lo empeora. Con esta tecnología, los atacantes pueden crear señuelos de phishing más convincentes, redactar mensajes de suplantación de identidad más dirigidos y realizar un reconocimiento más rápido de estructuras organizativas y patrones de mensajes.

Entre las empresas españolas que han sufrido un ataque de ransomware, el 27% señala que la IA ha aumentado de forma notable la efectividad del ataque, y otro 25% que ha aumentado en cierta medida. Asimismo, un 52% cree que la IA ha hecho los ataques más efectivos, mientras que un 8% no tienen ninguna evidencia de que en su ataque se usase IA.

En cuanto al punto de entrada principal de los incidentes de ransomware en las empresas españolas, los resultados apuntan de manera mayoritaria a la interacción humana. Los emails de phishing y otros ataques de ingeniería social basados en el email han sido el vector de inicio del ataque en el 38% de los casos.

Un 40% apunta a los enlaces maliciosos como la amenaza inicial más común. Le siguen la recogida de credenciales (39%) y los archivos adjuntos maliciosos (33%). Esto demuestra que las campañas de ransomware de mayor éxito en la actualidad siguen dependiendo de las comunicaciones de confianza y de la interacción del usuarios durante el ciclo de vida del ataque.

El pago del rescate, por otro lado, conduce a la escalada el ataque, y no a su resolución. A pesar de las recomendaciones de no pagar, la mitad de empresas en España afectadas ha pagado un rescate. Pero un 35% de las que han pagado han tenido una segunda demanda de extorsión, lo que muestra la evolución del ransomware desde un evento de pago único a una negociación continua con múltiples formas de presión al mismo tiempo. Como el cifrado persistente, los datos robados y la amenaza de difusión pública.

Un 58% de las empresas españolas confirma que les han robado datos durante el incidente. En la actualidad, las campañas de ransomware no van tanto de bloquear sistemas, sino que conseguir datos, identidades y acceso persistemte. Estos elementos pueden monetizarse a través de demandas repetidas, venta en mercados criminales o como plataformas de lanzamiento para ataques secundarios.

Además, un 42% de empresas asegura que los empleados no han sospechado del ataque porque parecía auténtico, y un 30% atribuye el incidente a que los usuarios han interactuado con contenido malicioso. Esto señala que la IA hace que la ingeniería social sea cada vez más difícil de distinguir de las comunicaciones legítimas.

A pesar de esto, en España se ha dado la tasa de efectividad de ataques mejorados por IA (52%) y de pagos de rescate (50%). No obstante, la tasa de tobo de datos confidenciales en los ataques ha dido mayor: un 58%. En cuanto a la interacción directa del usuario como factor de evasión de controles en España ha alcanzado un 30% en España, por detrás de Japón (49%), India (49%) y Singapur (48%). Enm estos países, el fallo más común fue que los usuarios han interactuado de manera directa con contenido malicioso en vez de ser engañados por una suplantación de identidad.

Estos resultados apuntalan la idea de que las empresas ya no pueden tratar el ransomware como un problema de malware. A medida que la IA hace que el phishing, la suplantación de identidad y el robo de credenciales sean más convincentes, prevenir el ransomware significa desplegar la protección de personas, identidades y comunicaciones antes de que los atacantes lleguen al endpoint.

Ryan Kalember, Director de Estrategia de Proofpoint, ha comentado que «la IA no ha cambiado los fundamentos del ransomware, pero ha mejorado sustancialmente los ataques que conducen al ransomware. Hoy en día, los atacantes emplean la IA para crear correos electrónicos de phishing altamente convincentes, componentes de malware como scripts y campañas de robo de credenciales que explotan la confianza humana a gran escala. Las organizaciones que siguen tratando el ransomware y la extorsión de datos como problemas de endpoints o de recuperación pierden de vista aquello con lo que estos ataques comienzan con más frecuencia: las personas, las identidades y las comunicaciones de confianza».