El panorama de la ciberseguridad ha cruzado un umbral histórico en el segundo semestre de 2025. Por primera vez, la inteligencia artificial ha sido empleada de forma demostrable y operativa en el núcleo de un ataque de ransomware. ESET, una de las firmas de seguridad más reconocidas a nivel global, ha documentado y bautizado esta amenaza como PromptLock, el primer ransomware conocido con capacidades de IA generativa. Este hallazgo, detallado en el informe de amenazas H2 2025 de la compañía, no representa un experimento de laboratorio, sino una herramienta de ataque real, capaz de generar scripts maliciosos sobre la marcha y evadir defensas tradicionales.
¿Qué es PromptLock y por qué marca un punto de inflexión en el ransomware?
PromptLock es, hasta la fecha, la primera muestra confirmada de ransomware que integra inteligencia artificial para automatizar la creación de su propio código malicioso. A diferencia de las variantes tradicionales, que utilizan un código estático y predefinido, PromptLock puede generar scripts dañinos en tiempo real durante su ejecución. Esto lo convierte en una amenaza dinámica, difícil de detectar mediante firmas fijas o análisis de comportamiento basados en patrones conocidos. Se trata de un salto cualitativo que traslada la IA del campo de la ingeniería social —donde ya se usa para crear estafas y phishing convincentes— al corazón técnico del ataque.
Este desarrollo confirma los temores que la comunidad de seguridad venía expresando desde la explosión de la IA generativa a finales de 2023. No se trata de que la IA haya inventado una nueva forma de cifrar archivos, sino de que ha automatizado la fase de personalización y evasión del ataque. Un ransomware operado por humanos puede ahora delegar en un modelo de lenguaje la tarea de escribir el código necesario para sortear un antivirus concreto o para adaptar el ataque a un entorno de red específico, acelerando el ciclo de explotación y reduciendo la barrera técnica para los ciberdelincuentes.
El auge de las amenazas impulsadas por IA: del engaño al código malicioso
Durante los primeros meses de 2025, el uso de la IA en el cibercrimen se concentró casi exclusivamente en la creación de contenido fraudulento de alta calidad: redes de phishing más verosímiles, deepfakes de audio y vídeo para suplantación de identidad y campañas de desinformación automatizadas. ESET confirma que esta tendencia no solo continúa, sino que se refina. En el segundo semestre, los investigadores observaron estafas de inversión Nomani con deepfakes de mayor calidad y señales de sitios de phishing generados íntegramente por IA. Sin embargo, la aparición de PromptLock y de un puñado de otras amenazas basadas en IA señalan el inicio de una nueva era donde el código mismo es generado por algoritmos.
Este cambio de paradigma plantea preguntas críticas para los equipos de seguridad. Si el código malicioso ya no es estático, ¿cómo se protegen los sistemas? La respuesta está en la evolución de la detección basada en comportamiento (EDR) y en la inteligencia de amenazas proactiva. Las defensas deben pasar de buscar «la cosa mala» a identificar «el comportamiento malicioso», incluso si la herramienta utilizada es nueva cada vez.
¿Cómo funciona realmente un ransomware con IA en 2025?
Para entender el salto que supone PromptLock, es útil compararlo con el ransomware tradicional. Un ataque convencional despliega un binario compilado que contiene todo su repertorio: rutinas de cifrado, comandos de comunicación con el servidor de control (C2) y métodos de propagación. Este binario puede ser analizado y firmado. PromptLock, en cambio, funciona de manera diferente. Según el análisis de ESET, el ransomware utiliza un modelo de lenguaje (LLM) para generar scripts en tiempo real. Esto significa que el código malicioso no está predefinido; se escribe en el momento del ataque, adaptándose a las condiciones del entorno o a las instrucciones del atacante.
Este enfoque presenta una ventaja táctica enorme para los delincuentes: la capacidad de evadir la detección basada en firmas. Cada ejecución de PromptLock puede generar un código ligeramente diferente, haciendo que las bases de datos de amenazas conocidas sean ineficaces. La investigación de ESET indica que, aunque la IA se utiliza principalmente para la creación de scripts maliciosos, este es el primer caso confirmado en un ransomware de producción, validando los escenarios de mayor riesgo que se habían teorizado.
Lumma Stealer: el ocaso de un gigante del robo de información
Mientras la IA irrumpe en la escena, uno de los actores más prolíficos de 2024 y principios de 2025 ha sufrido un colapso. Lumma Stealer, un infostealer muy popular entre los ciberdelincuentes, experimentó una caída drástica en su actividad tras una interrupción global ocurrida en mayo de 2025. Los datos de telemetría de ESET muestran que las detecciones de Lumma Stealer se desplomaron un 86% en la segunda mitad del año en comparación con la primera.
El principal vector de distribución de Lumma, un troyano conocido como HTML/FakeCaptcha utilizado en los ataques ClickFix, prácticamente ha desaparecido de la telemetría global. Aunque Lumma intentó resurgir en un par de ocasiones, las evidencias apuntan a que sus días de gloria han terminado. La infraestructura que sostenía su operación masiva fue desmantelada, y la confianza de los criminales en el servicio parece haberse evaporado. Este caso demuestra que, aunque el ecosistema de malware es resiliente, las operaciones a gran escala no son inmunes a los golpes policiales y técnicos.
CloudEyE (GuLoader) escala posiciones: el nuevo rey de los descargadores
El vacío dejado por Lumma Stealer no ha permanecido vacío. CloudEyE, también conocido como GuLoader, ha emergido como la amenaza dominante en la categoría de descargadores y criptores de malware como servicio (MaaS). Según ESET, la actividad de GuLoader se ha disparado casi treinta veces en su telemetría durante el H2 2025. Este aumento explosivo se debe a su eficacia como vehículo de entrega para otras cargas maliciosas.
Distribuido principalmente a través de campañas de correo electrónico malicioso, GuLoader actúa como un polivalente «dropper». No roba datos ni cifra archivos por sí mismo, sino que se encarga de evadir las defensas iniciales de la víctima y descargar la carga útil final. Los investigadores de ESET han observado que GuLoader se utiliza para desplegar ransomware y algunos de los infostealers más peligrosos del mercado, como Rescoms, Formbook y Agent Tesla. Su éxito radica en su capacidad para ofuscar el código y dificultar su análisis, convirtiéndose en la navaja suiza del ciberdelincuente moderno.
El resurgir del ransomware: cifras récord y viejos conocidos
El negocio del ransomware no solo no se ha debilitado, sino que ha alcanzado nuevas cotas. A finales de 2025, el número de víctimas ya había superado el total de 2024, y las proyecciones de ESET Research apuntan a un incremento interanual del 40%. El mercado de ransomware como servicio (RaaS) está dominado por dos pesos pesados: Akira y Qilin, que han consolidado su infraestructura y su red de afiliados. Pero la innovación no se detiene.
Un nuevo actor de perfil bajo, llamado Warlock, ha llamado la atención de los analistas por sus técnicas de evasión novedosas. Aunque no ha alcanzado el volumen de ataques de Akira o Qilin, su aparición indica que los desarrolladores de ransomware están invirtiendo constantemente en nuevas formas de eludir las defensas.
HybridPetya: el regreso de un fantasma del pasado en la era UEFI
El H2 2025 trajo consigo un sobresalto para los investigadores de seguridad: el regreso de una vieja pesadilla. El ransomware Petya/NotPetya, que causó estragos globales en 2017, ha resurgido en una nueva variante bautizada como HybridPetya. El hallazgo de ESET es particularmente grave porque HybridPetya es capaz de comprometer sistemas modernos basados en UEFI (Unified Extensible Firmware Interface), el firmware que reemplaza al antiguo BIOS y que controla el arranque del sistema.
Atacar el UEFI es el santo grial de la persistencia. Un malware que logra infectar este nivel puede sobrevivir a un formateo del disco duro y a la reinstalación del sistema operativo. HybridPetya demuestra que los atacantes están invirtiendo en sofisticación técnica para lograr un impacto máximo, reviviendo técnicas que se creían superadas y adaptándolas a las plataformas de hardware más recientes.
La proliferación de los asesinos de EDR: la defensa bajo ataque directo
El informe de ESET dedica una atención especial a un fenómeno en crecimiento: la proliferación de herramientas diseñadas para desactivar o eludir los sistemas de detección y respuesta en endpoints (EDR). Los llamados «EDR killers» se han convertido en un accesorio casi obligatorio en los kits de herramientas de los operadores de ransomware. Esto subraya una verdad incómoda: los atacantes perciben los EDR como el principal obstáculo para el éxito de sus operaciones. No buscan solo ser invisibles antes del ataque; buscan dejar ciegas a las defensas en el momento crítico. Esta tendencia obliga a las organizaciones a adoptar un enfoque de seguridad en capas, donde la monitorización del comportamiento del sistema no dependa únicamente del software de endpoint.
Amenazas móviles: el auge del fraude NFC en Android
El ecosistema de amenazas móviles, especialmente en Android, ha experimentado una transformación significativa. El fraude mediante Near Field Communication (NFC) ha crecido un 87% en la telemetría de ESET durante el H2 2025, y las técnicas se han vuelto más refinadas.
NGate y RatOn: la evolución del robo de contacto y el malware híbrido
NGate, un pionero en el mundo de las amenazas NFC que fue descrito por primera vez por ESET en 2024, ha recibido una actualización peligrosa. Los investigadores han observado que ahora es capaz de robar contactos de la agenda telefónica de la víctima, una funcionalidad que probablemente sienta las bases para ataques de ingeniería social más dirigidos en el futuro.
Pero la verdadera novedad es RatOn, un malware completamente nuevo en la escena del fraude NFC. RatOn combina, de forma inusual, capacidades completas de acceso remoto (RAT, por sus siglas en inglés) con ataques de relay NFC. Esta fusión híbrida permite a los atacantes no solo interceptar comunicaciones NFC (como las de pagos sin contacto), sino también tomar el control del dispositivo Android de la víctima para realizar otras acciones maliciosas. La aparición de RatOn demuestra la determinación de los ciberdelincuentes por explorar y monetizar nuevas vías de ataque en el mundo móvil.
Estafas de inversión Nomani: deepfakes y campañas ultrarrápidas
El fraude financiero sigue siendo uno de los motores principales del cibercrimen. Las estafas de inversión bajo la marca Nomani han evolucionado para esquivar a las autoridades y a las plataformas de verificación. ESET ha observado un refinamiento notable en sus tácticas. Ahora utilizan deepfakes de mayor calidad para suplantar a figuras públicas y anuncios generados por IA con una vida útil cada vez más corta.
Esta estrategia de campañas «ultrashort» (muy cortas) dificulta la detección por parte de las plataformas publicitarias y las fuerzas de seguridad. Aunque las detecciones de estafas Nomani crecieron un 62% interanual, la tendencia mostró un ligero descenso en el H2 2025, lo que sugiere que los estafadores podrían estar moviéndose hacia métodos aún más efímeros y difíciles de rastrear.
Cómo prepararse para un 2026 dominado por la IA adversarial
El informe de ESET para el H2 2025 pinta un panorama de un sector en ebullición. La confirmación de PromptLock como el primer ransomware con IA en producción es el titular más impactante, pero no es el único punto de preocupación. La convergencia de la IA generativa con el malware tradicional, el resurgimiento de técnicas de persistencia profunda como atacar el UEFI, la explosión de descargadores como GuLoader y la sofisticación del fraude móvil configuran un escenario de alta complejidad.
Para las organizaciones, la conclusión es clara: la ciberseguridad basada únicamente en la detección de firmas o en la perimetral ha quedado obsoleta. La capacidad de los atacantes para generar código único sobre la marcha exige un modelo de defensa basado en la prevención, la segmentación de redes, la monitorización continua del comportamiento (XDR), la higiene de parches y, sobre todo, en una inteligencia de amenazas que anticipe los movimientos del adversario. La era del ransomware artesanal ha dado paso a la era del ransomware industrializado por la IA. Quien no haya empezado a adaptar sus defensas, ya está rezagado.
