Proofpoint, compañía especializada en ciberseguridad centrada en la protección de personas y agentes, ha dado a conocer su informe «Ransomware en la era de la IA 2026», en el que pone de manifiesto el papel cada vez más relevante de la inteligencia artificial en la evolución de este tipo de amenazas. El estudio señala que la IA está permitiendo a los ciberdelincuentes desarrollar campañas de phishing, suplantación de identidad y robo de credenciales mucho más sofisticadas y creíbles, incrementando así la eficacia de los ataques. De hecho, el 65 % de las organizaciones que han sufrido un incidente de ransomware considera que el uso de la inteligencia artificial ha contribuido a hacer estos ataques más efectivos, reflejando una tendencia en la que los delincuentes explotan cada vez más el factor humano, las identidades digitales y las comunicaciones de confianza.
La investigación, elaborada a partir de una encuesta realizada a 953 profesionales de la ciberseguridad de 12 países, concluye que el ransomware ha dejado de ser una simple amenaza basada en el cifrado de archivos para convertirse en una estrategia de extorsión mucho más prolongada y compleja. En la actualidad, los atacantes suelen obtener primero credenciales y datos sensibles, aprovechando canales de comunicación fiables para infiltrarse en las organizaciones, antes de desplegar el ransomware. Posteriormente, mantienen la presión sobre las víctimas mediante sucesivas demandas de extorsión con el objetivo de maximizar el impacto del ataque.
“La IA no ha cambiado los fundamentos del ransomware, pero ha mejorado sustancialmente los ataques que conducen al ransomware”, asegura Ryan Kalember, director de estrategia de Proofpoint. “Hoy en día, los atacantes emplean la IA para crear correos electrónicos de phishing altamente convincentes, componentes de malware como scripts y campañas de robo de credenciales que explotan la confianza humana a gran escala. Las organizaciones que siguen tratando el ransomware y la extorsión de datos como problemas de endpoints o de recuperación pierden de vista aquello con lo que estos ataques comienzan con más frecuencia: las personas, las identidades y las comunicaciones de confianza”.
Entre las conclusiones del informe Ransomware en la era de la IA 2026 de Proofpoint se incluyen los siguientes datos sobre España:
- Las personas son la principal superficie de ataque del ransomware, y la IA lo empeora. Con la IA, los atacantes pueden crear señuelos de phishing más convincentes, redactar mensajes de suplantación de identidad más dirigidos y realizar un reconocimiento más rápido de las estructuras organizativas y los patrones de mensajes. Entre las organizaciones españolas que han sufrido un ataque de ransomware, el 27% dice que la IA ha aumentado significativamente la efectividad del ataque. Otro 25% señala que la efectividad se ha incrementado en cierta medida. En conjunto, el 52% cree que la IA ha hecho los ataques más efectivos. El 8% declara no tener ninguna evidencia del uso de IA.
- Los principales métodos de entrada dependen todos del factor humano. Cuando las organizaciones españolas identifican el punto de entrada principal de su incidente de ransomware, los resultados apuntan de forma abrumadora a la interacción humana. Los correos electrónicos de phishing y otros ataques de ingeniería social basados en el correo electrónico han sido el vector de entrada inicial en el 38% de los incidentes. Los enlaces maliciosos (40%) han sido identificados como la amenaza inicial más común, seguidos por la recolección de credenciales (39%) y los archivos adjuntos maliciosos (33%). Esto demuestra que las campañas de ransomware más exitosas actualmente siguen dependiendo de las comunicaciones de confianza y de la interacción del usuario a lo largo de todo el ciclo de vida del ataque.
- El pago conduce a la escalada, no a la resolución. A pesar de los años de recomendaciones de no pagar por parte de las fuerzas del orden y las agencias de seguridad, la mitad (50%) de las organizaciones en España afectadas ha pagado un rescate. Sin embargo, más de un tercio (35%) de las que han pagado se han enfrentado a una segunda demanda de extorsión, lo que destaca la evolución del ransomware desde un evento de pago único a una negociación continua en la que los atacantes ejercen múltiples formas de presión al mismo tiempo, como el cifrado persistente, los datos robados y la amenaza de difusión pública.
- El cifrado ya no es el objetivo final. Poco más de la mitad (58%) de las organizaciones españolas confirma el robo de datos durante el incidente. Las campañas de ransomware actuales consisten menos en bloquear sistemas y más en adquirir datos, identidades y acceso persistente. Estos elementos pueden monetizarse mediante demandas repetidas, venderse en mercados criminales o usarse como plataformas de lanzamiento para ataques secundarios.
- Los ataques tienen éxito a través de la manipulación. Entre los encuestados españoles, ante la pregunta de por qué el ataque de ransomware había eludido sus controles existentes, el 42% de las organizaciones dice que los empleados no han sospechado del ataque porque parecía auténtico, mientras que el 30% atribuye el incidente a que los usuarios han interactuado con contenido malicioso. Esto evidencia que la IA hace que la ingeniería social sea cada vez más difícil de distinguir de las comunicaciones comerciales legítimas.
- El impacto del ransomware varía según el país. Los encuestados en España han reportado las tasas más bajas de efectividad de ataques mejorados por IA (52%) y de pagos de rescate (50%), pero una mayor tasa confirmada de robo de datos confidenciales (58%). Mientras tanto, la interacción directa del usuario como factor de evasión de controles ha sido del 30% en España, pero todavía ha sido mayor en Japón (49%), India (49%) y Singapur (48%). En estos mercados, el fallo más común ha sido que los usuarios han interactuado directamente con contenido malicioso en lugar de ser engañados por una suplantación de identidad.
Los resultados refuerzan la idea de que las organizaciones ya no pueden tratar el ransomware como un problema de malware. A medida que la IA hace que el phishing, la suplantación de identidad y el robo de credenciales sean cada vez más convincentes, prevenir el ransomware significa proteger a las personas, las identidades y las comunicaciones de confianza antes de que los atacantes lleguen al endpoint.
