El ransomware alcanza un récord en 2025 con ataques más sofisticados y presión creciente

El panorama de la ciberseguridad en 2025 está definido por una tendencia clara y alarmante: el ransomware ha regresado con fuerza, batiendo récords anteriores y evolucionando hacia una amenaza más destructiva y generalizada que nunca. No se trata solo de un pico de actividad; representa un cambio fundamental en las tácticas, técnicas y procedimientos (TTP) de los sindicatos cibercriminales, ejerciendo una presión sin precedentes sobre organizaciones globales, desde multinacionales hasta proveedores de infraestructura crítica nacional.

Anatomía de una oleada récord

Los datos del primer semestre de 2025 indican un aumento dramático interanual en los incidentes de ransomware, estimado en más del 60% respecto al mismo período de 2024. Esta oleada no se trata solo de volumen; se trata de impacto. La demanda de rescate promedio se ha disparado, y las exigencias de siete y ocho cifras se han vuelto comunes para empresas medianas y grandes. El modelo de ransomware como servicio (RaaS) ha madurado, reduciendo la barrera de entrada para criminales menos cualificados y permitiendo la proliferación de grupos afiliados que llevan a cabo ataques utilizando kits de herramientas sofisticados desarrollados por equipos centrales de actores de amenazas.

La evolución en las tácticas es especialmente preocupante. El modelo de doble extorsión—cifrar datos y amenazar con filtrarlos—ha sido superado por la triple extorsión. Los atacantes ahora añaden rutinariamente una tercera capa: ataques de denegación de servicio distribuido (DDoS). Tras comprometer una red, no solo cifran archivos y roban datos sensibles, sino que también lanzan ataques DDoS contra los sitios web y servicios públicos de la víctima. Este asalto de tres frentes busca paralizar las operaciones por completo, aplicando la máxima presión para forzar un pago rápido. Además, se observa un aumento marcado en los ataques dirigidos a las cadenas de suministro de software y a la explotación de vulnerabilidades de día cero en software empresarial de uso común, lo que permite una infiltración rápida y generalizada.

Ejemplo ilustrativo: El ataque a Thai Solar Energy

El reciente ciberataque a Thai Solar Energy (TSE) sirve como un caso de estudio potente de esta nueva era. Como actor importante en el sector de las energías renovables en el sudeste asiático, las operaciones de TSE son críticas para la estabilidad energética regional. Los informes confirman que la empresa fue víctima de un sofisticado ataque de ransomware que interrumpió sus sistemas de tecnología operacional (OT)—las computadoras y redes que controlan los procesos industriales físicos.

El ataque provocó importantes disrupciones operativas, afectando a los sistemas de monitorización y gestión de las granjas solares. Si bien los detalles técnicos completos y la variante específica de ransomware utilizada permanecen bajo investigación, el incidente subraya una escalada peligrosa: el objetivo directo de la infraestructura energética. Los actores de amenazas comprenden que atacar infraestructuras críticas no solo garantiza un alto pago potencial por parte de organizaciones desesperadas, sino que también crea una presión social que puede forzar a los gobiernos a intervenir o aconsejar el pago. El ataque a TSE pone de relieve la vulnerabilidad del sector y el potencial catastrófico de tales interrupciones, que pueden extenderse más allá de la pérdida financiera hasta afectar a la seguridad pública.

Presión creciente y el camino a seguir

La presión sobre los Directores de Seguridad de la Información (CISO) y los equipos de TI está en su punto más alto. El proceso de toma de decisiones durante un ataque está plagado de dilemas legales, financieros y éticos. Si bien las agencias de aplicación de la ley a nivel mundial continúan aconsejando no pagar rescates, argumentando que alimenta el ecosistema criminal, muchas organizaciones sienten que no tienen otra opción cuando se enfrentan a una parálisis operativa total y a la inminente exposición de datos confidenciales de clientes o propiedad intelectual.

En respuesta, la comunidad de ciberseguridad está enfatizando un cambio de paradigma de la defensa reactiva a la proactiva. Las recomendaciones clave incluyen:

• Resiliencia mejorada: Implementar sistemas de copia de seguridad inmutables y air-gapped que se prueben regularmente para su restauración. Una copia de seguridad confiable es la defensa más efectiva contra la extorsión basada en cifrado.
• Arquitectura de Confianza Cero: Ir más allá del modelo de seguridad tradicional del "castillo y foso" hacia un enfoque de "nunca confíes, verifica siempre" para cada solicitud de acceso, independientemente de su origen.
• Detección y Respuesta Extendidas (XDR): Desplegar soluciones que proporcionen una visibilidad más profunda en endpoints, redes, nubes y correo electrónico para detectar y correlacionar amenazas sigilosas que evaden las herramientas tradicionales basadas en firmas.
• Parcheo riguroso y Gestión de Vulnerabilidades: Acelerar el ciclo de parches tanto para sistemas de TI como de OT, con un enfoque en las vulnerabilidades críticas que son explotadas activamente.
• Formación integral de la fuerza laboral: Ir más allá de la formación anual de cumplimiento hacia programas continuos y atractivos de concienciación en seguridad que enseñen a los empleados a reconocer intentos de phishing e ingeniería social avanzados.

Conclusión

La oleada récord de ransomware de 2025 señala que la extorsión digital ha entrado en una fase más peligrosa y disruptiva. El ataque a Thai Solar Energy es un aviso para todos los operadores de infraestructura crítica en todo el mundo. A medida que los actores de amenazas perfeccionan sus métodos y amplían sus objetivos, la defensa colectiva debe evolucionar más rápido. El éxito dependerá de la cooperación internacional, las asociaciones público-privadas y de que las organizaciones interioricen que la ciberseguridad no es solo un coste de TI, sino un componente fundamental de la continuidad del negocio y la supervivencia corporativa. La era de esperar evitar un ataque ha terminado; el nuevo imperativo es construir la resiliencia para resistirlo.