El dato es contundente: el 54% de las víctimas de ransomware tenían credenciales filtradas antes de que se produjera el ataque. La cifra, extraída del informe 2025 de Verizon sobre investigaciones de brechas de datos, no revela únicamente una falla de higiene digital, sino una crisis más profunda en la manera en que las organizaciones perciben su propia seguridad. Cuando los sistemas funcionan sin incidentes durante largos períodos, es fácil confundir la ausencia de señales de alarma con una protección real. Pero el silencio de los sistemas puede ser engañoso, y a menudo lo es.
La estabilidad como enemiga silenciosa de la ciberseguridad
Existe un patrón recurrente en la historia de los fracasos organizacionales que se repite con demasiada frecuencia para ser producto del azar. Un sistema funciona correctamente durante un largo periodo, todos depositan su confianza en él y, casi invariablemente, esa misma confianza erosiona la vigilancia que lo mantenía en marcha. Entonces el sistema falla, justo en el momento en que las personas involucradas habrían afirmado que se encontraba en excelente estado.
Por paradójico que resulte, la estabilidad misma puede desestabilizar. Los períodos de calma generan complacencia, y la complacencia reduce las inversiones en preparación y amplía la distancia entre el riesgo real y el riesgo percibido. El autor Morgan Housel condensó este patrón en seis palabras: la calma siembra las semillas del caos. Esta dinámica se manifiesta de forma visible y casi clínica en los mercados financieros, donde los momentos de mayor confianza suelen preceder a las crisis más severas. Pero dado que este comportamiento está tejido en la psicología humana, el mundo de la ciberseguridad no está exento.
Así, una empresa que jamás ha sufrido una brecha tiende a considerar que su postura de seguridad es adecuada. La calma parece la evidencia de que el peligro ha pasado, lo que altera el comportamiento de las personas y reintroduce el peligro que se creía superado. La suposición se instala de manera silenciosa, incluso si nadie la expresa en voz alta: si nada ha salido mal, entonces nuestros controles deben ser excelentes. Pero en muchos casos, esto equivale a confundir la ausencia de evidencia con la evidencia de ausencia.
Visto desde otro ángulo, la ausencia de un incidente visible es solo silencio, y el silencio puede significar varias cosas. Una empresa con un historial impecable puede tener efectivamente defensas de primer nivel. Pero también puede haber evitado la atención de personas malintencionadas lo suficientemente dedicadas como para intentarlo; conviene recordar que hay muchos peces en el mar.
Esto plantea al menos dos preguntas que merecen una respuesta honesta: ¿sabe la organización que su entorno es tan seguro como es posible contra las amenazas actuales? ¿O solo sabe que sus controles básicos están en su lugar? Muchas organizaciones responden la segunda pregunta mientras creen que han respondido la primera. Recurren a marcos de cumplimiento normativo, aunque estos no verifican necesariamente si las medidas son adecuadas frente a las amenazas que circulan hoy. Una empresa puede ser cumplidora y estar expuesta al mismo tiempo.
54% de víctimas de ransomware con credenciales filtradas: la brecha invisible
El estado formal de la seguridad de una organización es fácil de medir y, cuando los resultados son buenos, también fácil de celebrar. Que las credenciales de acceso de un empleado estén circulando en los mercados de la dark web o que una herramienta de detección y respuesta de endpoints pueda ser neutralizada por una contramedida disponible en Internet: eso es mucho más difícil de evaluar sin mirar en lugares donde muchas organizaciones no piensan en mirar.
La tendencia humana, cuando no existe una corrección deliberada, es apoyarse en la información fácilmente disponible para construir una historia coherente. Esto ocurre a expensas de la información difícil de obtener y con un desprecio absoluto por cuál de las dos categorías es más instructiva. Lo más peligroso es que la mente no señala lo que falta: la imagen parece completa y la confianza se siente justificada, independientemente de su base real. El psicólogo Daniel Kahneman bautizó este hábito con un acrónimo: WYSIATI, por sus siglas en inglés, que significa «lo que ves es todo lo que hay».
El problema se agrava cuando se considera cuántos tomadores de decisiones piensan sobre el riesgo. Si algo no se puede medir, no importa. En la práctica, suele ocurrir lo contrario, hasta el punto de que este enfoque ha recibido el estatus de falacia: la falacia de McNamara, que consiste en otorgar mayor importancia a las cifras cuantificables que a los factores que no admiten una medición sencilla. Una vez que se reconocen estas trampas cognitivas, resulta imposible no verlas.
¿Qué significa que una organización tenga credenciales filtradas antes de un ataque?
Significa que los datos de acceso de algunos de sus empleados —nombres de usuario, contraseñas, tokens de sesión— ya están en manos de terceros no autorizados, generalmente a través de registros de malware infostealer o publicaciones en foros ilícitos. Esa exposición es un fuerte indicador de que los atacantes ya poseían una vía legítima de entrada al entorno corporativo, incluso antes de desplegar el ransomware. En algunos casos, la brecha ya se había consumado mucho antes de que se hiciera visible el daño.
El informe de Verizon y la brecha entre percepción y realidad
El Informe de Investigaciones de Brechas de Datos de Verizon de 2025 puso una cifra concreta a la distancia que puede existir entre la seguridad percibida y la exposición real. El estudio determinó que el 54% de las víctimas de ransomware tenían sus dominios presentes en al menos un registro de infostealer o en una publicación de un mercado ilícito antes del ataque. Los datos de acceso ya circulaban y, en algunos casos, la intrusión ya podía haber ocurrido, incluso cuando todo parecía estar en orden desde una perspectiva superficial.
Este tipo de punto ciego golpea con mayor fuerza a las empresas cuyo conjunto de herramientas de seguridad no logra detectar las huellas de comportamiento de los atacantes, como los intentos de desactivar procesos de seguridad. La solución pasa por cambiar lo que es visible y utilizar las herramientas adecuadas, aquellas que no se limitan a confirmar que los controles están implementados, sino que señalan cuándo algo dentro del entorno se está comportando de manera sospechosa.
La pregunta que todas las organizaciones deberían hacerse no es «¿tenemos firewalls y antivirus?», sino «¿estamos detectando los movimientos laterales, la exfiltración de datos o la ejecución de herramientas de administración legítima utilizadas con fines maliciosos?». La diferencia entre ambas preguntas es la diferencia entre tener una póliza de seguro y saber que la póliza cubre el riesgo real.
Cuando la confianza se derrumba: Change Healthcare y Jaguar Land Rover
Una intrusión de ransomware no es un incidente técnico menor; es un evento de continuidad de negocio cuyos efectos se propagan mucho más allá del perímetro de la red. El caso de Change Healthcare en 2024 es ilustrativo. El centro de procesamiento de reclamaciones de salud sufrió un ataque de ransomware cuyo impacto en hospitales y farmacias se prolongó durante meses. Los servicios de facturación y procesamiento de recetas se vieron gravemente interrumpidos, afectando a una parte significativa de los pacientes del sistema de salud de Estados Unidos. El costo total del incidente se estimó en aproximadamente 3.000 millones de dólares, una cifra que incluye tanto los gastos directos de remediación como las pérdidas derivadas de la interrupción y las reclamaciones.
En 2025, el fabricante de automóviles Jaguar Land Rover sufrió un ataque de ransomware que provocó pérdidas financieras comparables. Estos casos demuestran que ningún sector está exento, y que el daño no se limita a la organización atacada: los clientes, los proveedores, los socios y, en general, el ecosistema completo que depende de la continuidad operativa de la empresa se ven arrastrados por la crisis.
El costo real de una brecha va mucho más allá del rescate
La firma IBM sitúa el costo promedio de una brecha de datos en torno a los 5 millones de dólares, una cifra que engloba el tiempo de inactividad, los gastos de recuperación y los daños colaterales. En el caso específico de las organizaciones de salud, el promedio asciende a casi 10 millones de dólares. Pero las cifras no capturan la cola larga del impacto: contratos de clientes que no se renuevan, primas de seguros que se disparan, costos legales y regulatorios que se acumulan durante años.
El daño se agrava con el tiempo, especialmente cuando los datos robados terminan publicados en un sitio de filtraciones dedicado, un fenómeno cada vez más común en el ecosistema del ransomware. La exposición pública de datos corporativos genera una crisis en sí misma, ya que los contratos, correos electrónicos y datos personales filtrados se convierten en munición para ataques posteriores, como el phishing dirigido y el fraude por compromiso de correo electrónico corporativo.
Las obligaciones regulatorias también se activan pronto. Mientras tanto, los clientes y socios comienzan a hacer preguntas que la compañía afectada a menudo ni siquiera puede responder. Y existe una advertencia adicional que los defensores deben tener presente: los datos que se publican solo reflejan lo que los delincuentes eligen «anunciar». Se estima que solo una pequeña porción de las víctimas de ransomware termina con sus datos expuestos en estos sitios, lo que significa que el problema real es considerablemente mayor que el que sugieren las filtraciones visibles.
La psicología del riesgo: WYSIATI y la falacia de McNamara
¿Por qué las organizaciones confunden el cumplimiento normativo con una seguridad real? La respuesta tiene raíces psicológicas profundas. La mente humana tiende a construir relatos coherentes a partir de la información disponible, sin molestarse en verificar si esa información es representativa o si existen datos relevantes que no se están considerando. Este sesgo, descrito por Daniel Kahneman, lleva a los responsables de seguridad a sentirse confiados simplemente porque no ven amenazas inminentes, aunque las amenazas estén operando en silencio dentro de sus redes.
La falacia de McNamara agrava el problema. Lleva el nombre del exsecretario de Defensa estadounidense Robert McNamara y describe el error de tomar decisiones basándose únicamente en métricas cuantificables, ignorando factores que no se pueden medir fácilmente. En ciberseguridad, la adopción de marcos de cumplimiento ofrece una ilusión de control: las organizaciones completan auditorías, marcan casillas y obtienen certificaciones, mientras que los atacantes evolucionan tácticas y técnicas que ningún formulario de cumplimiento puede anticipar.
La calma que precede a un ataque de ransomware no es un fenómeno técnico, sino humano. Es la tendencia natural a bajar la guardia cuando no hay estímulos visibles de amenaza. Los seres humanos están mal equipados para mantenerse alerta ante eventos que no perciben como inminentes, y el deslizamiento hacia la complacencia es tan gradual que casi nunca se registra como una decisión consciente.
La disciplina de la vigilancia como ventaja estratégica
En un entorno donde el lado de la amenaza nunca permanece quieto, el lado de la defensa tampoco puede hacerlo. La inteligencia de amenazas, especialmente la que ofrece una gran cantidad de señales sobre campañas activas, constituye la columna vertebral de esa conciencia situacional. Es lo que permite que las herramientas de seguridad conviertan los datos crudos en detecciones y alertas que los equipos de seguridad pueden actuar a tiempo para detener un ataque antes de que cause daño.
Las organizaciones que sobreviven a la era del ransomware no son necesariamente las que tienen los presupuestos más altos, sino las que han integrado la vigilancia como una disciplina permanente. Esto implica monitorear los registros de accesos, buscar en los mercados ilícitos las credenciales de sus empleados y desplegar herramientas que detecten comportamientos anómalos, no solo configuraciones incorrectas. Requiere, además, una cultura que no castigue las señales de alerta, sino que las celebre como oportunidades para evitar un desastre mayor.
La seguridad efectiva es, ante todo, un ejercicio de humildad. Las organizaciones que reconocen que no pueden verlo todo, que el cumplimiento no equivale a estar protegidas y que la calma es una señal de alerta en lugar de una confirmación, se posicionan mucho mejor para sobrevivir a un panorama de amenazas que sigue refinando sus métodos sin descanso.
La inversión en detección y respuesta, en inteligencia de amenazas y en personas capacitadas para interpretar las señales no es un gasto, sino un seguro de continuidad. Las herramientas de detección y respuesta extendida (XDR) están diseñadas precisamente para superar la limitación de las soluciones tradicionales que solo verifican la presencia de controles. Hacen una pregunta más útil: ¿está pasando algo aquí que requiera atención?
El dato del 54% de víctimas con credenciales filtradas no debe leerse como una sentencia, sino como una hoja de ruta. Esa cifra indica que la ventaja de los atacantes se construye en la oscuridad, en los registros que nadie consulta, en los mercados que nadie monitorea, en las credenciales que nadie rota. La buena noticia es que la oscuridad se puede iluminar con las herramientas y los procesos adecuados. La ventaja de los atacantes existe porque las organizaciones miran hacia otro lado, no porque sea imposible ver. Y una vez que se elige mirar, la ecuación cambia de forma significativa.
