Pagos de ransomware 2025: Menos dinero a pesar de un número récord de ataques

El panorama de ciberseguridad en 2025 presenta una imagen paradójica: mientras los ataques de ransomware alcanzaron su nivel más alto de la historia, las cantidades realmente pagadas en rescates disminuyeron. Según Chainalysis, en el último año se transfirieron en total 820 millones de dólares en pagos en cadena a los atacantes de ransomware, lo que representa una caída del 8% respecto a los aproximadamente 892 millones de dólares del año anterior.

El juego de cifras: más víctimas, menos ganancias

Lo realmente sorprendente de los datos de 2025 es la discrepancia entre la frecuencia de los ataques y los ingresos reales para los criminales. El número de víctimas reportadas de ransomware aumentó un 50%, un incremento que hace de este año el de mayor número de incidentes. Sin embargo, los pagos de rescate quedaron muy por debajo de las expectativas.

Esto llevó a que la proporción promedio entre el rescate pagado y el número de víctimas en 2025 alcanzara solo un 28%, un mínimo histórico. Sin embargo, el informe de Chainalysis señala que las cifras finales de pagos podrían llegar hasta 900 millones de dólares, una vez que se documenten y asignen más casos. Incluso en ese escenario, la diferencia con 2024 sería mínima, reflejando una estancación.

Un fenómeno particularmente interesante es la mediana del monto del rescate solicitado: en 2025 se disparó un 368%, pasando de 12,738 dólares en el año anterior a 59,556 dólares. Esto indica que, aunque en general menos víctimas pagaron, quienes sí lo hicieron transfirieron sumas mucho mayores. Este desarrollo revela un cambio en las tácticas de ransomware.

¿Por qué cambiaron los atacantes su estrategia?

Los expertos atribuyen esta tendencia a varios factores superpuestos. Primero, las medidas contra las infraestructuras y operadores de ransomware se intensificaron considerablemente a nivel global. Segundo, el mercado de ransomware se ha descentralizado: en lugar de unas pocas variantes dominantes y grupos centralizados, surgieron numerosos colectivos pequeños e independientes. Esta fragmentación dificulta tanto el rastreo como la atribución confiable de los flujos de pago a grupos específicos.

Los cibercriminales respondieron a esta presión cambiando su estrategia: ahora se enfocan más en organizaciones pequeñas y medianas en lugar de grandes empresas. La lógica es simple: objetivos menores suelen ser más cooperativos en las demandas de rescate y generan menos atención pública. La consecuencia es menos ataques espectaculares, pero una superficie de ataque más amplia.

Distribución geográfica y sectorial de las amenazas

El análisis geográfico muestra que Estados Unidos sigue siendo la principal región objetivo, seguido por Canadá, Alemania y el Reino Unido. En estos países, los sectores de manufactura y finanzas/servicios son los más frecuentemente atacados. Sin embargo, Chainalysis advierte que los actores de ransomware actúan de manera oportunista: no se concentran tanto en sectores específicos o temporadas del año, sino que aprovechan vulnerabilidades, configuraciones incorrectas y brechas de seguridad recién descubiertas.

A pesar de esta tendencia hacia objetivos menores, en 2025 ocurrieron varios incidentes de gran escala. El ataque a Jaguar Land Rover causó daños económicos estimados en 2.5 mil millones de dólares. También, el grupo Scattered Spider llevó a cabo un ataque contra la cadena minorista británica Marks & Spencer, que paralizó sus operaciones y le generó pérdidas millonarias. Estos incidentes muestran que grupos organizados de mayor tamaño aún tienen la capacidad e interés de atacar objetivos de alto valor.

Perspectivas: el panorama cambiante del ransomware

Los datos de 2025 muestran un panorama de amenazas cada vez más diversificado. Con más ataques, pero pagos promedio más bajos y medianas de rescate más altas, la lucha contra el ransomware se vuelve aún más compleja. Las organizaciones de todos los tamaños deben fortalecer sus mecanismos de defensa, ya que la naturaleza descentralizada del mercado moderno de ransomware significa que las amenazas pueden provenir de cualquier parte, no solo de actores establecidos y grandes.