El 3% de las víctimas de ransomware del segundo trimestre ya están en España, y eso no es una anécdota

El dato parece modesto. Un 3%. Casi decorativo. Hasta que se mira bien: España concentra el 3% de las empresas víctimas de ransomware registradas en el segundo trimestre de 2026, según el informe The State of Ransomware Q2 2026 de Check Point Research. Y en un ecosistema criminal cada vez más fragmentado, ese porcentaje no describe una rareza local, sino una exposición estructural.

La lectura fácil sería esta: España aparece en la estadística global, mala suerte, otro trimestre complicado. La lectura útil es otra. El ransomware ya no depende de dos o tres grandes marcas criminales capaces de paralizar medio planeta. Ahora se dispersa entre más actores, más campañas, más afiliados y más especialización. Traducido a términos operativos: menos señales tempranas obvias, más ruido, más variación táctica y más probabilidades de que una empresa mediana española, no solo una multinacional, acabe en la lista de víctimas.

Ahí está la parte incómoda. Muchas organizaciones siguen midiendo el riesgo con una lógica de 2023: “si no somos críticos, si no tenemos mucha visibilidad, si no cotizamos, quizá no seamos objetivo prioritario”. Ese argumento cada vez vale menos. El ransomware de 2026 no necesita una presa glamourosa; necesita una superficie de ataque utilizable, una cadena de suministro con un hueco y una capacidad de pago razonable. Con eso le basta.

El informe de Check Point apunta, precisamente, a que el fenómeno no pierde fuerza, sino que se reparte entre un número creciente de actores. No es un matiz estadístico. Es un cambio de mercado. Y cuando cambia el mercado criminal, cambia lo que deberían hacer los defensores, cambia lo que preguntan los consejos de administración y cambia lo que un regulador espera encontrar cuando revise si la entidad gestionaba de verdad sus riesgos o solo acumulaba diapositivas.

El 3% no impresiona hasta que entiendes qué está midiendo

Conviene poner el dato en contexto. Decir que el 3% de las víctimas del segundo trimestre de 2026 son españolas no significa que el 3% de las empresas españolas haya sufrido ransomware. Significa que, dentro del universo de víctimas recogidas por la inteligencia de amenazas del informe, la porción correspondiente a España alcanza ese peso. Es una cifra de presencia relativa en una muestra global de víctimas observadas, normalmente derivada de filtraciones de grupos, sitios de extorsión, investigación de campañas y otras fuentes de threat intel.

Eso tiene dos implicaciones.

La primera: el dato no se debe leer como prevalencia total de ransomware en España, sino como indicador de visibilidad y presión comparada. La segunda: si España aparece con ese 3% en un trimestre en el que el ransomware se atomiza, la estadística probablemente refleja algo más profundo que un pico puntual. Refleja que las empresas españolas están suficientemente expuestas como para sostener una presencia estable en el radar del ecosistema criminal.

Y ese ecosistema ha dejado de comportarse como una industria con pocos gigantes dominantes. Ahora se parece más a una economía de franquicias, subcontratas y oportunistas. Unos desarrollan cifradores, otros compran accesos, otros negocian rescates, otros publican datos robados, otros monetizan credenciales obtenidas en campañas paralelas. Cuando esa cadena se trocea, la barrera de entrada cae. Mal negocio para los defensores.

La ironía regulatoria es evidente: justo cuando Europa endurece las expectativas de gobernanza, gestión de incidentes y resiliencia operativa, los atacantes se vuelven más modulares y más ágiles. Los supervisores están pidiendo trazabilidad, pruebas y responsabilidad ejecutiva. Los criminales responden con descentralización. No es la clase de sincronía que uno celebraría.

Lo que realmente dice el informe: el ransomware no cae, se democratiza

La frase clave del informe de Check Point no es que haya más o menos incidentes en términos absolutos, sino que el ransomware “no está perdiendo fuerza, sino que se está repartiendo entre un número cada vez mayor de actores”. Esto importa más que la cifra española por sí sola.

Durante los últimos años, gran parte de la conversación pública se ha centrado en las marcas criminales: LockBit, ALPHV/BlackCat, Clop y compañía. Esa narrativa era comprensible. Los grandes grupos concentraban volumen, notoriedad y sofisticación. Pero también generaba un sesgo defensivo: si tumbas o sancionas a un actor importante, parece que has degradado el problema entero. En la práctica, muchas veces solo has redistribuido cuota de mercado.

Eso ya se ha visto varias veces. Operaciones policiales, filtraciones internas, arrestos o caídas de infraestructura no eliminan el modelo de negocio. Lo fragmentan temporalmente, empujan talento a otros grupos y abren espacio a imitadores. En 2026, el patrón es más claro: menos dependencia de marcas hegemónicas, más operadores pequeños y medianos, más volatilidad en los nombres, más persistencia del riesgo.

Para una empresa española, esto tiene consecuencias muy concretas:

• Las reglas de detección basadas en TTPs históricamente asociadas a pocos grupos pierden valor más rápido.

• Los plazos de reacción se estrechan porque muchos afiliados explotan accesos ya comprados en mercados criminales, sin necesidad de desarrollar campañas largas.

• La negociación se vuelve más impredecible: no todos los actores tienen la misma disciplina, ni la misma lógica económica, ni la misma capacidad técnica para descifrar o borrar huellas.

• La extorsión múltiple gana peso frente al cifrado puro. Si los datos ya se han exfiltrado, restaurar copias no resuelve el problema reputacional ni regulatorio.

Ese último punto merece subrayado. El ransomware moderno es cada vez menos una historia de disponibilidad y cada vez más una historia de confidencialidad, integridad, presión psicológica y exposición pública. Y cuando los datos personales, los secretos comerciales o la documentación contractual salen de la red, la conversación deja de ser solo técnica. Entra de lleno en GDPR, NIS2, DORA, notificaciones a clientes, deberes frente a supervisores y, en algunos sectores, impacto material para mercado y auditoría.

España: por qué el dato encaja con la realidad del tejido empresarial

No hace falta inventar una singularidad española para explicar el 3%. Basta con mirar la mezcla de factores que convierten a muchas empresas del país en objetivos razonables.

Primero, el tamaño medio empresarial. España tiene un tejido dominado por pymes y medianas compañías que, en muchos casos, han mejorado su seguridad perimetral pero siguen arrastrando problemas de fondo: inventario incompleto de activos, segmentación pobre, autenticación multifactor parcial, dependencias heredadas y una gestión de terceros más documental que real.

Segundo, la dependencia de proveedores tecnológicos y servicios gestionados. Cuanto más externalizado está el ecosistema, más relevante se vuelve la seguridad del tercero. Y aquí aparece uno de los agujeros clásicos: la empresa principal exige cláusulas de seguridad al proveedor, pero no tiene visibilidad suficiente sobre sus accesos privilegiados, sus controles de monitorización o su capacidad real para detectar exfiltración. En términos de ataque, eso es oro.

Tercero, la exposición sectorial. España tiene sectores intensivos en operaciones distribuidas —retail, industria, logística, salud privada, administración local, educación, turismo— donde la presión por continuidad del servicio es alta y las redes son heterogéneas. Justo el terreno donde el ransomware prospera: entornos complejos, ventanas de mantenimiento estrechas y equipos de seguridad que no siempre controlan todos los rincones.

Cuarto, una falsa sensación de “madurez razonable”. Algunas organizaciones cumplen con auditorías, certificaciones o marcos internos, pero siguen tardando demasiado en revocar accesos, parchear sistemas expuestos o clasificar datos sensibles. Ese desajuste entre cumplimiento formal y resiliencia real es una de las grietas favoritas del ransomware. La checklist está verde; la red, bastante menos.

No hay nada exclusivamente español en esto. Pero la combinación explica por qué el país aparece de forma recurrente en estadísticas de amenazas, y por qué un 3% en el segundo trimestre de 2026 no se debe despachar como un pie de página.

Ransomware en 2026: ya no basta con hablar de copias de seguridad

Si todavía hay comités de dirección que reducen la conversación a “tenemos backup, estamos cubiertos”, conviene darles una mala noticia cuanto antes. El backup sigue siendo indispensable, pero dejó hace tiempo de ser suficiente.

El esquema actual suele combinar varias capas de presión:

• Exfiltración previa de datos.

• Cifrado selectivo o masivo.

• Amenaza de publicación en sitios de filtración.

• Contactos directos a clientes, empleados o socios para aumentar el daño reputacional.

• En algunos casos, denegación de servicio o sabotaje adicional.

Esto cambia por completo la ecuación. Puedes restaurar sistemas y volver a operar. Perfecto. Pero si antes del cifrado han salido expedientes de clientes, credenciales, contratos o correo sensible, el incidente sigue vivo. Y en términos regulatorios, probablemente ya estés dentro de obligaciones de notificación y registro, incluso aunque no pagues y aunque recuperes operaciones en horas.

La referencia obvia aquí es el GDPR. El artículo 33 obliga a notificar a la autoridad de control las violaciones de seguridad de los datos personales sin dilación indebida y, cuando sea posible, a más tardar 72 horas después de haber tenido constancia de ella, salvo que sea improbable que la violación constituya un riesgo para los derechos y libertades de las personas físicas. El artículo 34 añade la comunicación a los interesados cuando ese riesgo sea alto. El ransomware con exfiltración suele empujar precisamente hacia ese terreno.

Muchas empresas siguen tropezando en el mismo punto: tardan en determinar si hubo salida efectiva de datos. Y ese retraso no es solo técnico. Suele ser organizativo. Falta telemetría, faltan registros centralizados, faltan criterios de escalado, o el proveedor forense llega tarde porque la contratación estaba sin cerrar. Cuando el reloj de 72 horas corre, la improvisación sale muy cara.

Además, si la entidad está dentro del ámbito de NIS2, el problema escala. La Directiva (UE) 2022/2555 introdujo un régimen más exigente de gestión de riesgos y notificación de incidentes. El artículo 21 fija medidas de ciberseguridad y gestión de riesgos, desde políticas de análisis de riesgos e higiene básica hasta gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro y uso de autenticación multifactor o comunicaciones seguras cuando proceda. El artículo 23 establece un calendario de notificación escalonado: alerta temprana en un plazo de 24 horas desde que se tenga conocimiento del incidente significativo, notificación del incidente en 72 horas y, después, informe final en el plazo de un mes. No es precisamente una invitación a pensárselo con calma.

Y si hablamos de entidades financieras, DORA aprieta todavía más la disciplina de gestión. El Reglamento (UE) 2022/2554 exige un marco interno sólido de gestión de riesgos TIC en su artículo 6, clasificación y notificación de incidentes relacionados con las TIC en los artículos 17 a 23, y una atención muy seria a los terceros proveedores TIC en los artículos 28 a 30. El mensaje de DORA nunca fue sutil: si tu dependencia tecnológica es crítica, tu resiliencia no se subcontrata por arte de magia.

La gran grieta: accesos remotos, identidades y terceros

Si uno tuviera que elegir el punto de entrada más mal gestionado en demasiadas organizaciones españolas, la identidad competiría muy fuerte por el primer puesto. No porque todo ataque empiece por ahí, sino porque demasiados acaban triunfando por ahí.

Credenciales comprometidas, reutilización de contraseñas, MFA mal desplegado, cuentas de servicio sin gobernanza, privilegios persistentes, accesos de proveedores que nadie revisa desde hace 18 meses. Suena prosaico. Lo es. También es exactamente el tipo de desorden operativo del que se alimenta el ransomware.

Desde una perspectiva de defensa, 2026 exige mirar menos al malware como objeto y más al abuso de identidad como proceso. Un atacante que compra acceso inicial en un mercado clandestino no necesita una hazaña técnica memorable. Necesita una VPN sin MFA resistente, una cuenta con privilegios laterales útiles, un servidor expuesto sin parchear o un tercero con conectividad excesiva. El resto suele ser oficio.

Aquí es donde muchas empresas confunden cumplimiento documental con control efectivo. Tienen políticas de gestión de accesos. Tienen matrices RACI. Tienen incluso revisiones trimestrales formalmente firmadas. Pero si preguntas cuántas cuentas de proveedor tienen privilegios persistentes en producción, cuántas sesiones privilegiadas se graban, o cuántos secretos de servicio se rotan de forma automática, la sala se queda de repente muy silenciosa.

DORA y NIS2, cada una a su manera, empujan justo contra esa complacencia. DORA art. 28 obliga a gestionar el riesgo derivado de terceros proveedores de servicios TIC, incluyendo estrategia, registro de información, supervisión contractual y consideración de concentración de riesgo. NIS2 art. 21.2.d incorpora la seguridad de la cadena de suministro y la relación entre cada entidad y sus proveedores directos. El regulador ya ha entendido que un proveedor con acceso deficiente puede ser, en la práctica, una puerta trasera con SLA.

Si tu organización sufre ransomware a través de un tercero, nadie te va a premiar por tener un anexo contractual de 40 páginas que nadie verificó. Lo que importará es si reducías privilegios, limitabas accesos, monitorizabas actividad y podías aislar rápido la dependencia afectada.

Lo que un consejo de administración debería preguntar hoy, no cuando llegue el incidente

El ransomware ha pasado hace tiempo de ser un asunto exclusivo del CISO. En 2026 es un riesgo de negocio, de continuidad, de privacidad, de cumplimiento y, en algunos sectores, de estabilidad operativa crítica. Por eso las preguntas al equipo técnico no pueden seguir ancladas en métricas cosméticas.

Un consejo serio debería estar pidiendo al menos cinco respuestas concretas.

Primera: cuánto tarda la organización en detectar exfiltración con un grado razonable de confianza. No “cuánto tarda en abrir un ticket”. Cuánto tarda en saber si han salido datos, cuáles y desde qué sistemas.

Segunda: qué porcentaje de activos expuestos a Internet tiene MFA fuerte, EDR activo y un responsable nominal de parcheo. No vale contestar con cobertura aproximada.

Tercera: cuántos proveedores tienen acceso remoto persistente a entornos de producción, y bajo qué controles se revisan sus privilegios. Si la respuesta requiere una semana de trabajo manual, ya tienes un indicador de riesgo.

Cuarta: en cuánto tiempo se puede aislar un segmento crítico o revocar credenciales comprometidas a escala. La capacidad de contención vale más que muchas presentaciones estratégicas.

Quinta: si la empresa ha ensayado un incidente de ransomware con participación de legal, privacidad, comunicación, operaciones y dirección. No una prueba técnica aislada, sino un ejercicio de decisión realista con presión temporal, filtración de datos y conflictos de criterio. Porque eso es lo que ocurre de verdad.

La diferencia entre las empresas que sufren un incidente grave y sobreviven con daños acotados y las que pasan semanas arrastrándose no siempre está en haber evitado la intrusión inicial. A menudo está en la calidad del mando durante las primeras 24 horas.

El error más caro: gestionar ransomware como si fuera solo un problema de TI

Hay una escena que se repite con demasiada frecuencia. Seguridad detecta actividad anómala. TI intenta contener. Legal pregunta qué se sabe. Comunicación pide un mensaje. Negocio quiere reabrir servicios. Privacidad necesita determinar si hay datos personales afectados. Dirección exige estimaciones. Y nadie tiene claro quién decide qué ni con qué umbral.

Esa descoordinación cuesta horas. Y en ransomware, las horas importan doble: por el impacto operativo y por los plazos regulatorios.

GDPR art. 33, NIS2 art. 23 y, en el sector financiero, los marcos de notificación de incidentes bajo DORA, obligan a una disciplina de evaluación que no se improvisa. La empresa tiene que ser capaz de clasificar el incidente, activar evidencias, decidir comunicaciones y sostener un relato coherente frente a autoridad, clientes, socios y, a veces, mercado. Si el comité de crisis se monta sobre la marcha, el resultado suele ser una mezcla de exceso de silencio y mensajes prematuros que luego hay que corregir. Nada transmite control como rectificar tres veces en 48 horas. Nótese la ironía.

Por eso las organizaciones maduras están dejando de hablar de “playbooks” como documentos y empiezan a tratarlos como capacidades. Un playbook útil no es un PDF con casillas. Es una combinación de decisiones preautorizadas, contactos cerrados, umbrales definidos y líneas de mando ensayadas. Incluye quién autoriza la desconexión de un entorno crítico. Quién valida si un indicador apunta a exfiltración. Quién informa al regulador. Quién habla con la aseguradora. Quién conserva evidencias forenses sin contaminar la cadena de custodia. Y quién tiene la autoridad para decir “no pagamos” o “esa decisión sube al consejo”.

La cuestión del pago merece otro apunte. Pagar o no pagar no es solo un dilema ético; es una decisión con consecuencias de sanciones, reputación, recuperación y, dependiendo de la contraparte, riesgo legal adicional. Muchas pólizas cyber han endurecido condiciones, y muchos asesores legales exigen análisis cuidadoso de listas de sanciones antes de cualquier transferencia. Pretender resolverlo en mitad del caos es una receta bastante torpe.

Qué cambia para las entidades financieras españolas

Aunque la noticia no se limita al sector financiero, las entidades españolas reguladas tienen menos margen para tratar el ransomware como un incidente más. Este año, DORA ya no es un proyecto de implementación futura, sino un régimen plenamente operativo que los supervisores utilizan para calibrar si la resiliencia digital está gobernada o maquillada.

La presión cae en varias capas.

La primera es la gobernanza. DORA art. 5 y art. 6 colocan la responsabilidad del marco de gestión de riesgos TIC en el órgano de dirección. Eso no significa que el consejo configure el EDR, obviamente. Significa que debe aprobar, supervisar y responder por la estrategia y por la tolerancia al riesgo. Si una entidad sufre ransomware a través de una dependencia conocida y mal vigilada, el problema ya no se queda en operaciones.

La segunda es la clasificación y notificación de incidentes. Los artículos 17 a 23 de DORA obligan a gestionar, registrar y reportar incidentes relacionados con las TIC siguiendo criterios armonizados. En la práctica, un ataque de ransomware con afectación a servicios críticos, datos o terceros relevantes puede desencadenar una secuencia de escalado supervisora que exige bastante más precisión de la que muchas entidades manejaban hace tres años.

La tercera es el riesgo de terceros. DORA art. 28 a 30 convierte a proveedores TIC, incluidos servicios cloud, MSP, MSSP y otros actores con acceso operativo, en una prioridad de supervisión interna. Aquí el ransomware suele hacer estragos: accesos remotos persistentes, concentraciones tecnológicas, dependencias de un único proveedor y contratos que prometen resiliencia casi mística pero no garantizan visibilidad técnica suficiente.

La cuarta es la prueba. DORA no quiere promesas. Quiere evidencias. Inventarios, registros de incidentes, resultados de pruebas, trazas de supervisión, lecciones aprendidas, remediación y seguimiento. Una entidad que hoy no pueda demostrar cómo detecta, contiene y comunica un incidente de ransomware está entregando al supervisor una señal bastante clara: no controla de verdad su resiliencia.

NIS2 y la incómoda realidad de las medianas empresas: ya no están fuera de foco

Uno de los cambios culturales más relevantes de los últimos años es que la ciberseguridad regulada ha dejado de ser patrimonio casi exclusivo de los gigantes. NIS2 amplía significativamente el perímetro respecto a la vieja NIS. Sectores esenciales e importantes, entidades medianas de ámbitos antes menos presionados y una cadena de suministro más observada hacen que muchas organizaciones españolas ya no puedan refugiarse en el argumento de “esto va para los grandes”.

Si una empresa mediana española figura entre ese 3% de víctimas del trimestre, el impacto puede ser desproporcionado. No solo por el daño operativo, sino porque sus estructuras legales y de cumplimiento suelen ser más ligeras. Traducido: menos personal dedicado, menos automatización en clasificación de datos, menos músculo forense, más dependencia de proveedores externos y, por tanto, más fricción para cumplir con notificaciones y remediación bajo presión.

La obligación práctica bajo NIS2 no es tener un presupuesto de multinacional. Es demostrar medidas apropiadas y proporcionadas conforme al riesgo, como exige el art. 21. Pero “proporcionado” no equivale a “básico”. Si la entidad presta servicios relevantes y gestiona información crítica, la expectativa de medidas mínimas ya incluye control de accesos, gestión de vulnerabilidades, continuidad, seguridad de la cadena de suministro y manejo serio del incidente.

Aquí aparece una paradoja interesante. El ransomware se ha democratizado justo cuando el cumplimiento también se ha extendido. Resultado: más empresas medianas están simultáneamente más expuestas al modelo criminal y más obligadas a justificar que sus controles eran razonables. No es una buena época para seguir posponiendo inventarios, segmentación o MFA en privilegios.

Las señales que de verdad separan a una empresa preparada de una vulnerable

Hablar de “madurez” en abstracto sirve de poco. Hay señales operativas mucho más honestas. Si quieres saber si una organización está razonablemente preparada frente al ransomware de 2026, mira esto.

Una: si tiene un inventario vivo de activos críticos, no un Excel arqueológico. Sin inventario fiable no hay contención rápida, ni priorización de parches, ni comprensión del impacto.

Dos: si puede aislar segmentos, cortar accesos de terceros y revocar privilegios sin depender de cuatro llamadas improvisadas. La velocidad de contención es decisiva.

Tres: si registra y correlaciona eventos suficientes para detectar exfiltración y movimiento lateral. Sin telemetría, la organización debate a ciegas mientras el atacante ya monetiza.

Cuatro: si las copias de seguridad están segregadas, probadas y protegidas frente a borrado o cifrado. Tener backups no probados es la versión corporativa de confiar en un paracaídas sin revisar las costuras.

Cinco: si ha ensayado decisiones no técnicas: cuándo notificar, cómo hablar con clientes, cómo preservar privilegio legal, cómo gestionar una reclamación por privacidad, cómo coordinarse con aseguradora y forense.

Seis: si conoce su dependencia real de terceros. No el organigrama comercial, sino quién tiene acceso, desde dónde, con qué privilegios y cómo se monitoriza.

Siete: si el comité de dirección entiende que pagar un rescate no “cierra” necesariamente la crisis. Puede reducir presión a corto plazo o no. Lo que no hace es borrar obligación regulatoria, riesgo reputacional ni exposición futura.

El mercado del ransomware se ha vuelto más caótico. Tu defensa no puede seguir siendo artesanal

La principal consecuencia del informe de Check Point es esta: la dispersión de actores criminales obliga a las empresas a responder con más sistematización, no con más heroicidad. Cuando el adversario se atomiza, confiar en el olfato del analista estrella o en la reacción brillante del día no escala.

Hace falta disciplina industrial. Gestión de identidades con controles reales. Segmentación de red con capacidad de aislamiento. Telemetría útil. Contratos con terceros que se traduzcan en controles verificables. Ensayos de crisis. Registro de decisiones. Clasificación rápida de impacto sobre datos y servicios. Integración entre seguridad, legal, privacidad y negocio.

No suena épico. Suena administrativo. Y, sin embargo, esa es precisamente la clase de aburrimiento que reduce daños. El ransomware prospera en organizaciones donde las piezas críticas dependen de conocimiento tácito, favores internos y procesos no escritos. Cuando llega el incidente, todo lo que era “ya veremos” se convierte en tiempo perdido.

También conviene abandonar otra ilusión: la de que el ransomware se resuelve solo con más tecnología. La tecnología importa, mucho. EDR, XDR, PAM, SIEM, segmentación, control de correo, protección de identidades, backups inmutables. Pero si la organización no tiene criterios de decisión, autoridad clara y un mapa fiable de dependencias, la pila tecnológica acaba actuando como un escaparate muy caro para un proceso desordenado.

Lo que viene después de este 3%: más presión, menos excusas

El dato del segundo trimestre de 2026 no predice por sí solo el resto del año. Sería aventurado venderlo así. Pero sí marca una dirección plausible: España sigue siendo un mercado suficientemente expuesto, suficientemente digitalizado y suficientemente dependiente de terceros como para figurar de manera significativa en la cartografía del ransomware global.

La cuestión ya no es si las empresas españolas deben tomarse el ransomware en serio. Esa pantalla se superó hace tiempo. La cuestión es si lo están tratando con la mezcla correcta de realismo operativo y disciplina regulatoria. Porque en 2026 ambas cosas van juntas.

Si tu empresa entra mañana en una estadística como ese 3%, nadie va a juzgarte solo por haber sido atacada. Lo que sí se va a juzgar —por clientes, supervisores, consejo, aseguradora y, a veces, por un juez— es algo más incómodo: si sabías dónde estaban tus riesgos, si podías demostrar que gestionabas los accesos, si entendías tu cadena de suministro, si detectaste a tiempo, si clasificaste bien el incidente y si tomaste decisiones defendibles bajo presión.

Ese es el verdadero significado del dato. No que España aparezca en la foto. Sino que, a estas alturas, seguir sorprendiéndose por ello sería casi peor que el propio porcentaje.