Las identidades comprometidas se han convertido en la principal puerta de entrada del ransomware en España. El 82 % de los ataques analizados por Sophos comenzó con el uso de cuentas válidas robadas o manipuladas, por encima de la media global del 79 %. El dato desplaza el foco desde las vulnerabilidades de software hacia las credenciales, los permisos y las sesiones que permiten a un atacante entrar en una organización aparentando ser un usuario legítimo.
Las claves del ransomware en España en 30 segundos
- El 82 % de los ataques analizados en España comenzó con una identidad comprometida, frente al 79 % global.
- El correo electrónico malicioso y el phishing superaron a las vulnerabilidades explotadas como causas principales.
- El 56 % de las organizaciones españolas afectadas sufrió cifrado de datos y un 18 % padeció también su robo.
- La demanda media alcanzó los 1,8 millones de dólares y el coste de recuperación se situó en 2,3 millones.
- El 92 % de los incidentes basados en credenciales afectó a organizaciones que tenían algún tipo de autenticación multifactor.
Los resultados proceden de la séptima edición de The State of Ransomware, elaborada a partir de una encuesta independiente realizada por Vanson Bourne durante el primer trimestre de 2026. El estudio recoge las respuestas de 2.158 responsables de tecnologías de la información (TI) y ciberseguridad de organizaciones atacadas por ransomware en 17 países.
En España participaron 164 responsables de compañías que habían sufrido uno de estos incidentes, seleccionados entre 300 encuestados. Todas las organizaciones incluidas en el estudio tenían entre 100 y 5.000 empleados.
La muestra no permite calcular qué porcentaje del conjunto de empresas españolas ha sufrido ransomware. Sus resultados describen lo ocurrido entre las organizaciones atacadas que participaron en la encuesta y ofrecen una fotografía de sus vías de entrada, daños y procesos de recuperación.
El ransomware ya no necesita explotar una vulnerabilidad
Durante años, gran parte de la defensa contra el ransomware se ha apoyado en corregir vulnerabilidades y mantener actualizados sistemas, aplicaciones y dispositivos expuestos a Internet. Esa tarea sigue siendo necesaria, pero los datos de Sophos indican que ya no cubre por sí sola la vía más utilizada por los atacantes.
Las vulnerabilidades explotadas fueron identificadas como causa principal del 17 % de los incidentes españoles. Por delante quedaron el correo electrónico malicioso, con un 29 %, y el phishing, con un 24 %.
Ambas técnicas suelen perseguir el mismo objetivo: obtener una identidad que permita entrar en los sistemas sin tener que romper directamente sus defensas. El atacante puede robar una contraseña, capturar una cookie de sesión, convencer al usuario para que apruebe una notificación o utilizar credenciales expuestas previamente en otra brecha.
Una vez dentro, la actividad puede confundirse durante algún tiempo con el comportamiento de una persona autorizada. El intruso trata de aumentar privilegios, localizar copias de seguridad, acceder a servidores internos y extenderse por la red antes de cifrar o extraer la información.
Esta evolución explica por qué el 73 % de las víctimas españolas afirmó que el incidente de ransomware también había sido el ataque de identidad más grave sufrido por su organización.
El dato global apunta en la misma dirección: el 79 % de los ataques analizados comenzó con una técnica vinculada a identidades comprometidas. El ransomware no ha dejado de aprovechar errores de software, pero cada vez depende más del abuso de accesos legítimos.
Tener MFA no significa que todas las entradas estén protegidas
Uno de los resultados más llamativos del informe es que la autenticación multifactor (MFA) estaba implementada de alguna forma en el 92 % de los incidentes españoles cuya causa principal fueron unas credenciales comprometidas.
La cifra no demuestra que la MFA sea ineficaz. Indica que su mera presencia no garantiza que cubra todas las cuentas, aplicaciones, protocolos y procesos de recuperación disponibles dentro de una organización.
Puede existir MFA en el correo electrónico y no en una red privada virtual, una consola de administración, una aplicación antigua o una cuenta técnica. También hay métodos que ofrecen menos resistencia frente al phishing, como los códigos de un solo uso o las notificaciones que el usuario puede aprobar sin comprobar su origen.
Los atacantes también pueden intentar robar sesiones ya autenticadas, abusar de mecanismos de recuperación, utilizar aplicaciones autorizadas o aprovechar identidades no humanas, como cuentas de servicio, claves de programación y credenciales empleadas por procesos automatizados.
Por eso Sophos recomienda utilizar mecanismos resistentes al phishing, revisar periódicamente las identidades humanas y técnicas y desplegar capacidades de detección y respuesta ante amenazas de identidad, conocidas como ITDR.
La identidad debe tratarse como una capa de seguridad propia. No basta con activar una función y asumir que todas las rutas de acceso han quedado protegidas.
Más cifrado y menos ataques detenidos a tiempo
El 56 % de las organizaciones españolas afectadas vio cómo los atacantes cifraban sus datos, frente al 47 % registrado en el estudio de 2025. El aumento rompe la tendencia descendente observada el año anterior.
Dentro de ese grupo, un 18 % sufrió una doble acción: los delincuentes cifraron la información y también la robaron. Esta combinación permite mantener la presión incluso cuando la víctima dispone de copias de seguridad y puede restaurar sus sistemas sin pagar.
Solo el 40 % de las empresas españolas logró detener el ataque antes de que se produjera el cifrado o comenzara la extorsión. En 2025 lo había conseguido el 45 %.
Cuando los datos quedaron cifrados, el 70 % de las víctimas españolas utilizó copias de seguridad para recuperarlos. El porcentaje permanece igual que el año anterior y confirma que el backup continúa siendo una pieza central de la recuperación.
Sin embargo, disponer de una copia no elimina el impacto operativo. La empresa debe comprobar que el entorno está limpio, reconstruir sistemas, cambiar credenciales, investigar el alcance de la intrusión y restaurar los servicios en un orden seguro.
Sophos recomienda que las copias se prueben con regularidad y se almacenen fuera de línea o mediante formatos inmutables. También deben formar parte de un plan documentado, porque descubrir durante el incidente que una copia está incompleta o comparte las mismas credenciales que la infraestructura comprometida puede dejarla inutilizable.
Un tercio de las víctimas españolas pagó el rescate
El 33 % de las organizaciones españolas cuyos datos fueron cifrados pagó para recuperarlos. El porcentaje ha bajado frente al 36 % de 2025 y queda lejos del 56 % recogido en el informe de 2024.
Entre las compañías que aceptaron pagar, el 46 % negoció una cantidad inferior a la exigida inicialmente. Un 36 % abonó la suma solicitada y un 18 % terminó pagando más.
La demanda media de rescate en España alcanzó los 1,8 millones de dólares, casi el doble de los 911.600 dólares comunicados en 2025. No obstante, continúa por debajo de los 4,24 millones registrados dos años antes.
Dentro de Europa, solo Reino Unido presentó en esta edición una demanda media superior, de 2,5 millones de dólares.
A escala global, Sophos señala que las demandas medias han caído un 65 % durante los dos últimos años. La proporción de organizaciones que pagó para recuperar sus datos se situó en el 48 %, la segunda más baja desde que se elabora la serie, después del 46 % de 2023.
Pagar no garantiza que todos los archivos puedan restaurarse ni que los datos robados sean eliminados. También puede exponer a la organización a problemas regulatorios y a nuevas extorsiones, además de financiar la actividad delictiva.
Recuperarse antes no significa que el incidente sea más barato
La mitad de las organizaciones españolas logró recuperarse completamente en una semana y el 18 % lo hizo en menos de un día. En 2025, el 49 % había completado la recuperación durante la primera semana.
La mejora apunta a una mayor preparación de los equipos y a inversiones en copias de seguridad, respuesta a incidentes y herramientas de detección. Pero el coste económico ha seguido el recorrido contrario.
El gasto medio de recuperación en España alcanzó los 2,3 millones de dólares por incidente, sin incluir el pago del rescate. En 2025 fue de 1,15 millones, mientras que el informe de 2024 lo había situado en 3,43 millones.
La media global ascendió a 1,7 millones de dólares, frente a los 1,5 millones del año anterior.
Estos costes pueden incluir investigación forense, reconstrucción de sistemas, interrupción de la actividad, contratación de especialistas, sustitución de equipos, comunicaciones, asesoramiento jurídico y medidas posteriores para cerrar las vías utilizadas por los atacantes.
El informe muestra así una aparente contradicción: las organizaciones son capaces de recuperarse con mayor rapidez y pagan con menos frecuencia, pero cada incidente continúa generando una factura elevada.
Las recomendaciones que se desprenden de los datos no sustituyen unas defensas por otras. Aplicar parches sigue siendo necesario, al igual que reducir los servicios expuestos, proteger los terminales, revisar el cortafuegos y vigilar la red durante las 24 horas. La diferencia es que la identidad ya no puede considerarse únicamente un componente del acceso. Se ha convertido en uno de los principales frentes del ransomware.
Preguntas frecuentes
¿Qué porcentaje de ataques de ransomware empieza con identidades comprometidas?
En España, el 82 % de los ataques incluidos en el informe de Sophos comenzó con identidades comprometidas. La media global se situó en el 79 %.
¿Por qué la autenticación multifactor no detuvo todos los ataques?
Porque su despliegue puede ser parcial o utilizar métodos vulnerables al phishing y al robo de sesiones. Tener MFA en algún punto no significa que todas las cuentas, aplicaciones y vías de recuperación estén protegidas.
¿Cuántas empresas españolas pagaron el rescate?
El 33 % de las organizaciones españolas cuyos datos fueron cifrados pagó para recuperarlos. La cifra fue inferior al 36 % de 2025 y al 56 % registrado en el informe de 2024.
¿Cuánto cuesta recuperarse de un ataque de ransomware en España?
El coste medio de recuperación comunicado por las empresas españolas fue de 2,3 millones de dólares por incidente, sin incluir el posible pago del rescate.
