Un reporte de Black Kite registró 1.183 nuevos incidentes en los primeros siete meses de 2026, un 40% más que el año anterior, con Alemania como el principal blanco europeo. (Fuente: SecurityWeek)
La manufactura sigue siendo un objetivo primario para el ransomware, posiblemente debido a la larga cola de efectos que genera cada ataque. Los incidentes de este año están un 40% por encima del mismo período del año pasado.
A lo largo de septiembre de 2025, Jaguar Land Rover había cerrado sus plantas en el Reino Unido por un ataque, deteniendo la producción diaria de unos 1.000 vehículos de lujo. Más de 5.000 empresas adicionales se vieron afectadas por el cierre, y el Banco de Inglaterra sugirió que fue un factor que contribuyó a una desaceleración en las cifras de crecimiento nacional. Las repercusiones a largo plazo todavía se sienten: Jaguar Land Rover dijo que va a recortar 4.000 empleos, culpando al ciberataque. El Centro de Monitoreo Cibernético del Reino Unido estimó un impacto financiero de 1.900 millones de libras, y describió el incidente como el ciberataque más dañino económicamente en la historia del Reino Unido, superando al brote de WannaCry de 2017.
El reporte de Ransomware de Manufactura y Distribución 2026 de Black Kite cree que esta larga cola de consecuencias severas es una razón primaria por la que la manufactura sigue siendo un objetivo primario de ransomware. Según el reporte, los fabricantes de tamaño medio, que absorben la mayoría de estos ataques, son la capa de proveedores desde la que las grandes empresas ensamblan sus productos: cuando el mercado medio es el objetivo primario, la lista de proveedores de un gran fabricante es su superficie de ataque. Desde enero de 2023 hasta julio de 2026, la firma identificó 5.237 víctimas de ransomware divulgadas en los dos grupos asociados.
Ferhat Dikbiyik, director de investigación e inteligencia de Black Kite, dijo que lo que hace tan atractivos a la manufactura y la distribución para los operadores de ransomware es el impacto operativo inmediato: un solo ataque exitoso puede detener líneas de producción y alterar compromisos de entrega, y cada hora de inactividad fortalece la posición negociadora del atacante. Pero los atacantes no operan a ciegas: su reconocimiento depende de señales visibles externamente, desde sistemas sin parchear y servicios explotables hasta credenciales filtradas y defensas mal configuradas.
Los primeros siete meses de 2026 registraron 1.183 nuevos incidentes, un aumento del 40% sobre el mismo período de 2025. La cantidad de grupos de ransomware también está creciendo: la mitad de estos ataques fueron realizados por grupos que no existían hace dos años. Un solo grupo nuevo, The Gentlemen, fue responsable del 12% de los ataques de este año. La jerarquía actual de actores de ransomware es Qilin, The Gentlemen, Akira, DragonForce e INC Ransom.
Europa está siendo cada vez más blanco de ataques. Mientras la cantidad de ataques en Estados Unidos este año fue casi idéntica a la de 2025, hubo un crecimiento del 85% en objetivos europeos. Como resultado, el volumen de ataques en Estados Unidos bajó del 52% anterior a un 35% actual. Pese al cambio en los porcentajes, Estados Unidos sigue siendo la región más atacada con 412 ataques. Europa totalizó 369 ataques, y los ataques contra el resto del mundo casi se duplicaron, a 402.
El aumento en los ataques europeos se enfocó en Alemania (77 ataques), donde la manufactura representó el 20% de la economía nacional en 2024. El grupo SafePay representó el 22% de los ataques de 2025 y sigue siendo uno de los grupos más activos del país en 2026. Otras naciones europeas víctimas primarias de ransomware incluyen a Italia (57), Reino Unido (43) y Francia (40).
El sector de distribución es distinto al de manufactura, con compañías de transporte, agentes de carga y operadores de almacén que ocupan una posición particular en la cadena de suministro: son la capa donde se concentran las mercaderías de muchas empresas en un solo lugar, lo que los hace consecuentes más allá de su tamaño. Río abajo, el incidente de Jaguar Land Rover afectó a otras 5.000 organizaciones. Río arriba, el ataque de Clop contra Cleo terminó produciendo casi 400 víctimas divulgadas. Pero las víctimas de la cadena de suministro son inocentes: no son dueñas ni pueden parchear las vulnerabilidades que llevan a su victimización.
El problema subyacente persiste, y queda ilustrado con fuerza en el reporte de Black Kite: los ataques de ransomware aumentan de forma constante en volumen, y la cantidad de atacantes sigue creciendo. Al mismo tiempo, la interconectividad cada vez más compleja de economías en expansión amplía la superficie de ataque y aumenta el riesgo.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.