El panorama de la ciberseguridad cierra 2025 con una cifra que redefine la magnitud del problema del ransomware en Estados Unidos. Según los datos recopilados por la Red de Control de Delitos Financieros de EE.UU. (FinCEN), las organizaciones estadounidenses desembolsaron más de $2.1 mil millones en pagos por ransomware entre 2022 y 2024. La cifra, por sí sola impresionante, representa apenas una fracción del verdadero costo que estos ataques imponen a la economía, ya que los pagos de rescate no incluyen los gastos por interrupción operativa, recuperación de sistemas, pérdida de productividad o daños reputacionales. El hallazgo, revelado durante el balance de fin de año del Chief Security Evangelist de ESET, Tony Anscombe, pone en perspectiva no solo el auge de una industria criminal, sino también la urgente necesidad de repensar las defensas corporativas.
Pagos por ransomware superan los $2.1 mil millones en EE.UU.: el informe de FinCEN que redefine la amenaza
El dato central que domina el análisis de Tony Anscombe en su repaso de diciembre y del conjunto de 2025 proviene de un informe de FinCEN, la agencia del Departamento del Tesoro de Estados Unidos encargada de rastrear operaciones financieras sospechosas y combatir el lavado de dinero. Entre 2022 y 2024, las organizaciones con sede en EE.UU. pagaron más de $2.1 mil millones a bandas de ransomware. Esta cifra, aunque colosal, es descrita por Anscombe como «la punta del iceberg», una metáfora que cobra especial relevancia cuando se analizan las limitaciones inherentes a cualquier medición de pagos ilícitos.
El registro de FinCEN se basa en los Reportes de Actividades Sospechosas (SAR, por sus siglas en inglés) que las instituciones financieras están obligadas a presentar cuando detectan transacciones vinculadas a delitos financieros. Sin embargo, no todos los pagos de ransomware se realizan a través de canales que puedan ser fácilmente detectados o reportados. Muchas organizaciones, por temor a represalias regulatorias o al daño reputacional, optan por no denunciar estos incidentes, y otras recurren a métodos de pago que dificultan el rastreo. Por esta razón, los $2.1 mil millones deben entenderse como un mínimo verificable, no como una cifra exhaustiva.
¿Qué es FinCEN y por qué monitorea los pagos de ransomware?
FinCEN es la agencia de la red financiera de Estados Unidos que recopila, analiza y difunde información sobre transacciones financieras para combatir el lavado de dinero, el financiamiento del terrorismo y otros delitos financieros, incluido el ransomware. Su monitoreo es clave porque los pagos de rescate representan una fuente de ingresos central para las organizaciones criminales, y rastrear esos flujos permite a las autoridades identificar, sancionar y desarticular a los actores de amenaza.
La relevancia de estos datos trasciende la mera estadística. Los pagos de ransomware no solo financian futuros ataques, sino que también incentivan la profesionalización del cibercrimen. Las bandas modernas operan con estructuras empresariales complejas, con departamentos de soporte al cliente, negociación automatizada, servicios de afiliación y hasta acuerdos de «franquicia» del malware. Cada dólar pagado por una víctima contribuye a mantener y expandir esa infraestructura delictiva.
Una cifra que oculta una realidad más amplia
El análisis de ESET subraya que los $2.1 mil millones pagados entre 2022 y 2024 constituyen una subestimación considerable. Diversos factores explican esta brecha. En primer lugar, la obligación de reportar recae en las instituciones financieras, pero no todas las transacciones relacionadas con ransomware son identificadas como tales en el momento en que ocurren. En segundo lugar, muchas empresas afectadas pagan rescates con criptomonedas a través de mezcladores o servicios de privacidad que oscurecen el origen y destino de los fondos. En tercer lugar, existe un número desconocido de organizaciones que resuelven los ataques de manera silenciosa, sin reportar el incidente a las autoridades.
A ello se suma que el costo total de un ataque de ransomware va mucho más allá del pago del rescate. Los gastos asociados incluyen los honorarios de negociadores forenses, la restauración de sistemas desde copias de seguridad, la pérdida de ingresos durante el tiempo de inactividad, las multas regulatorias por filtración de datos personales y el daño a la marca. Estudios sectoriales han estimado que el costo promedio de un incidente de este tipo puede ser varias veces superior al rescate mismo, lo que sugiere que el impacto económico real del ransomware en EE.UU. durante el período 2022-2024 podría situarse en decenas de miles de millones de dólares.
La punta del iceberg: por qué el ransomware sigue siendo un negocio lucrativo
La expresión utilizada por Tony Anscombe no es casual. El comportamiento de las bandas de ransomware ha evolucionado hacia modelos de doble y triple extorsión. Ya no basta con cifrar los datos de la víctima; los atacantes ahora exfiltran información sensible antes de activar el cifrado, y amenazan con publicarla si no se paga el rescate. Algunos grupos añaden una tercera capa de presión al contactar directamente a clientes, socios o empleados de la víctima, amplificando el daño reputacional y la urgencia de resolver el conflicto.
Este refinamiento táctico explica por qué muchas organizaciones, pese a contar con políticas que desaconsejan el pago de rescates, terminan cediendo ante las demandas. La presión no siempre es puramente monetaria: el temor a la exposición pública de datos confidenciales, especialmente en sectores como la salud, las finanzas o los servicios legales, suele inclinar la balanza hacia el pago. Es una dinámica que los ciberdelincuentes conocen perfectamente, y que explotan con una sofisticación creciente.
Los datos de FinCEN correspondientes al período 2022-2024 muestran también una concentración geográfica y sectorial de los pagos. Las organizaciones estadounidenses son un objetivo prioritario por la percepción de que tienen mayor capacidad financiera y una cultura corporativa menos tolerante a la interrupción de servicios. Los sectores críticos —hospitales, infraestructura energética, instituciones educativas y gobiernos locales— aparecen con frecuencia entre las víctimas que recurren al pago, dado que una interrupción prolongada de sus servicios puede tener consecuencias graves para la salud pública o la seguridad ciudadana.
La tendencia no muestra signos de desaceleración. A lo largo de 2025, el ransomware continuó siendo uno de los vectores de ataque más rentables para el crimen organizado, con una profesionalización que incluye el uso de programas de afiliados, la explotación de vulnerabilidades de día cero y la adopción de técnicas de evasión cada vez más sofisticadas. La combinación de estos factores convierte a la prevención proactiva y a la preparación ante incidentes en elementos más críticos que nunca.
Texas demanda a cinco grandes fabricantes de televisores por espiar a los usuarios
En el repaso de fin de año, Tony Anscombe también destacó una acción legal con implicaciones profundas para la privacidad de los consumidores. La Fiscalía General de Texas presentó una demanda contra cinco importantes fabricantes de televisores, acusándolos de recopilar ilegalmente los datos de sus usuarios mediante la captura encubierta de los contenidos que las personas ven en sus pantallas. La demanda sostiene que estos fabricantes implementaron mecanismos de seguimiento en sus dispositivos sin el consentimiento informado de los consumidores, y que posteriormente vendieron esa información a terceros con fines publicitarios o de otro tipo.
La práctica conocida como «recopilación automática de contenido de visualización» (ACR, por sus siglas en inglés) permite a los fabricantes identificar qué programas, películas o anuncios se muestran en el televisor. A través de la tecnología de reconocimiento de contenido, los dispositivos capturan fragmentos de audio e imágenes que luego comparan con una base de datos para determinar el material que se está reproduciendo. Esto ofrece a los anunciantes información precisa sobre los hábitos de consumo audiovisual de cada hogar, pero también convierte a los televisores en dispositivos de vigilancia permanente si los usuarios no son debidamente informados de su funcionamiento.
La acción legal de Texas responde a la creciente preocupación por la falta de transparencia en el ecosistema de los televisores inteligentes. Muchos usuarios desconocen que su televisor puede estar escuchando y visualizando lo que ocurre frente a la pantalla, y aunque no se trate de una escucha activa de conversaciones, la captación discreta de contenidos audiovisuales supone una invasión significativa de la privacidad. El hecho de que sean cinco fabricantes simultáneamente sugiere que la práctica podría estar generalizada en la industria, lo que la convierte en un problema estructural más que en un caso aislado de mala conducta corporativa.
¿Cuál es el fundamento legal de la demanda?
La demanda de la Fiscalía de Texas se apoya en leyes estatales de protección al consumidor y en la normativa sobre interceptación de comunicaciones electrónicas. La captura encubierta de contenido audiovisual sin consentimiento puede constituir una violación de esas leyes, especialmente si la información recopilada se transmite a servidores de terceros sin que el usuario tenga la oportunidad de negarse. La clave de la controversia radica en el consentimiento: si los fabricantes incluyeron cláusulas sobre la recopilación de datos en los términos y condiciones de sus dispositivos, pero de manera poco visible o en un lenguaje técnico incomprensible, el consentimiento difícilmente puede considerarse informado y voluntario.
Para los consumidores, esta demanda tiene implicaciones prácticas inmediatas. Los televisores inteligentes son, hoy por hoy, uno de los dispositivos más comunes en los hogares, y su vida útil suele ser de varios años. La posibilidad de que estén transmitiendo datos de visualización de sus propietarios sin un consentimiento claro plantea dudas sobre cómo proteger la privacidad en el salón de casa. Desactivar las funciones de reconocimiento de contenido, revisar los permisos de las aplicaciones y desconectar el televisor de Internet cuando no se utiliza son medidas que los expertos recomiendan para limitar esta exposición.
La acción de Texas podría sentar un precedente para otros estados y otros países. En un contexto global donde la privacidad de datos se ha convertido en una preocupación central para los usuarios, y donde la normativa europea como el Reglamento General de Protección de Datos (RGPD) impone estándares estrictos de transparencia, el caso evidencia la brecha entre la letra de las leyes y las prácticas reales de la industria tecnológica. Si los tribunales dan la razón a Texas, es probable que los fabricantes de televisores se vean obligados a rediseñar sus sistemas de recopilación de datos y a ofrecer a los usuarios un control real sobre su información.
El balance de 2025: tácticas y técnicas que marcaron el año
Más allá de los dos grandes titulares, Tony Anscombe repasa en su análisis algunos de los incidentes cibernéticos más notables del año, con un énfasis especial en las tácticas y técnicas más perniciosas empleadas por los actores de amenaza. El repaso no se limita a enumerar ataques, sino que busca identificar patrones y tendencias que ayudan a las organizaciones a anticipar la próxima generación de amenazas.
Uno de los patrones más preocupantes observados a lo largo de 2025 es la creciente explotación de vulnerabilidades en equipos perimetrales. Los atacantes concentran sus esfuerzos en identificar fallos en dispositivos de conectividad como VPN, firewalls y plataformas de acceso remoto, que actúan como puerta de entrada a las redes corporativas. Apenas una vulnerabilidad es descubierta, las bandas de ransomware compiten por explotarla antes de que las organizaciones apliquen los parches correspondientes. La colaboración entre fabricantes, equipos de respuesta a incidentes e investigadores independientes ha sido clave para mitigar esta amenaza, pero la velocidad de explotación por parte de los atacantes sigue superando la capacidad de respuesta de muchas organizaciones.
Otra técnica que Anandó al frente de las tendencias de 2025 es el abuso de credenciales válidas. En lugar de forzar el acceso a los sistemas mediante la explotación de vulnerabilidades técnicas, los ciberdelincuentes cada vez recurren más al robo de credenciales legítimas obtenidas a través de campañas de phishing, malware de robo de información o la compra de datos en foros de la darknet. Una vez en posesión de esas credenciales, los atacantes pueden moverse lateralmente por la red de la víctima sin levantar sospechas, ya que sus acciones son indistinguibles de las de un usuario autorizado. Esta tendencia subraya la importancia de la autenticación multifactor y del monitoreo continuo de la actividad de los usuarios como medidas defensivas esenciales.
El año también ha consolidado el uso de la inteligencia artificial por parte de los ciberdelincuentes. Aunque la IA lleva años utilizándose en el ámbito del phishing, 2025 ha visto una mejora cualitativa en la capacidad de generar mensajes fraudulentos altamente personalizados, replicar el tono y estilo de comunicación de ejecutivos, e incluso crear deepfakes de audio y video utilizados en fraudes financieros. Esta evolución eleva el listón de la concienciación y la formación de los empleados, que ya no pueden confiarse en detectar los errores gramaticales o las incoherencias típicas de los correos fraudulentos tradicionales.
El repaso de Anscombe también destaca el impacto del ransomware en el sector de la salud. Los hospitales y centros sanitarios continuaron siendo uno de los blancos preferidos de los atacantes debido a la criticidad de sus servicios. La interrupción de los sistemas informáticos de un hospital puede derivar en la cancelación de cirugías, la pérdida de registros médicos o la imposibilidad de acceder a historiales clínicos, situaciones de riesgo vital que llevan a muchas instituciones a pagar rescates de manera inmediata. Las consecuencias de estos ataques van más allá de lo económico, afectando directamente la calidad de la atención a los pacientes y la confianza en el sistema sanitario.
Mecanismos de ataque: cómo operan los ciberdelincuentes en 2025
Para comprender la dimensión de la amenaza, conviene examinar los mecanismos concretos que utilizan los actores de ransomware. El ciclo típico de un ataque comienza con el acceso inicial, obtenido a través de un correo de phishing, una vulnerabilidad no parcheada o una credencial comprometida. Una vez en el sistema, el atacante establece persistencia, eleva privilegios y se desplaza lateralmente para identificar y exfiltrar los datos más valiosos. Solo después de completar la exfiltración se despliega el cifrado, maximizando el impacto sobre la víctima, que se enfrenta simultáneamente a la inaccesibilidad de sus archivos y a la amenaza de filtración de información sensible.
Este enfoque metódico explica por qué el pago de los rescates no garantiza la resolución del problema. Existen casos documentados de organizaciones que abonaron el rescate y aun así vieron publicados sus datos, así como de víctimas que recibieron claves de descifrado defectuosas que no restablecían por completo el acceso a los sistemas. La confianza en los criminales es, en el mejor de los casos, un riesgo adicional, lo que refuerza la recomendación de no pagar y de invertir en medidas de prevención y respuesta ante incidentes.
En el plano táctico, 2025 también ha sido testigo de una mayor especialización dentro de los ecosistemas delictivos. Ya no son solo grupos organizados de ciberdelincuentes; han surgido proveedores de servicios específicos, como especialistas en evasión de defensas, operadores de infraestructura de alojamiento y redes de intermediarios que facilitan el blanqueo de los pagos. Esta economía del delito, estructurada en torno a modelos de afiliación, multiplica la capacidad operativa de los grupos más pequeños y dificulta la acción policial, que debe enfrentarse a una red descentralizada y global.
Qué aprenden las empresas de los datos de FinCEN y la demanda de Texas
La conjunción de estos dos acontecimientos —el informe sobre pagos de ransomware y la demanda contra fabricantes de televisores— ofrece lecciones complementarias para las organizaciones. Del fenómeno del ransomware se desprende la imperiosa necesidad de priorizar la seguridad en el diseño de las operaciones digitales. Las empresas que disponen de copias de seguridad actualizadas y probadas regularmente, un plan de respuesta ante incidentes bien definido y un programa de formación continua para sus empleados reducen drásticamente su exposición a pagar un rescate. La protección de credenciales, la segmentación de redes y la aplicación rigurosa de parches de seguridad siguen siendo las defensas más efectivas frente a las tácticas actuales.
De la demanda de Texas y la cuestión de la privacidad en los televisores inteligentes se extrae otra lección esencial: la confianza del usuario es un activo que no debe vulnerarse. La recopilación de datos sin consentimiento transparente no solo acarrea riesgos legales y sanciones económicas, sino que erosiona la confianza del público en todos los actores de la industria tecnológica. Para las empresas, el caso subraya la importancia de auditar los productos y servicios que adquieren o despliegan, en particular todo aquello que tenga capacidad de captación de datos audiovisuales o de comportamiento.
La combinación de ciberseguridad y privacidad constituye el eje sobre el que se articulará la confianza digital en los próximos años. Los incidentes de ransomware demuestran que los datos son un activo crítico cuya pérdida puede paralizar una organización. Las prácticas de vigilancia encubierta demuestran que los datos sean también una mercancía en un mercado opaco donde el consentimiento deliberado es a menudo ignorado. Las organizaciones que adopten una postura proactiva frente a ambos desafíos no solo cumplirán con las obligaciones regulatorias, sino que ganarán la ventaja competitiva de ser percibidas como actores confiables y responsables.
La evolución de las normativas, tanto en Estados Unidos como en la Unión Europea y otras regiones, apunta hacia una mayor exigencia de transparencia y responsabilidad en el tratamiento de datos. Las empresas que operan en múltiples jurisdicciones deben prepararse para un entorno regulatorio cada vez más fragmentado pero convergente en torno a principios como la privacidad por diseño, la minimización de datos y la notificación obligatoria de incidentes. Estar a la vanguardia de ese cumplimiento es una inversión estratégica que reduce riesgos y fortalece la posición de la organización ante clientes, socios y reguladores.
El análisis de ESET, personificado en Tony Anscombe, no se limita a diagnosticar los problemas de seguridad del año que termina. Invita a las organizaciones a internalizar estas lecciones y a convertirlas en políticas concretas antes de que el próximo ciclo de amenazas se manifieste. La historia reciente demuestra que los ciberdelincuentes no descansan, y que la única estrategia viable es la anticipación. Mientras las cifras de pagos de ransomware sigan aumentando, y mientras los fabricantes de dispositivos continúen explorando los límites de la privacidad, la función de los responsables de seguridad será, más que nunca, la de proteger no solo los sistemas, sino la confianza sobre la cual se sustentan las relaciones digitales.
