En marzo de 2024, un afiliado del grupo de ransomware BlackCat llevó su queja a un foro de cibercrimen: había ejecutado el ataque contra Change Healthcare, una de las mayores filtraciones de datos sanitarios en la historia de Estados Unidos, pero nunca recibió su parte del rescate de 22 millones de dólares. Los operadores de BlackCat se habían quedado con el dinero y habían desaparecido, simulando incluso un aviso de incautación del FBI en su sitio de filtraciones para encubrir la huida. La disputa, despojada de su componente criminal y de la aparente traición, revela algo que cualquier ejecutivo reconocería: una estructura de negocio con cadenas de suministro, precios, competencia y clientes que exigen resultados. El ransomware de hoy opera precisamente bajo esa lógica.
Para el observador externo, sin embargo, esto no es evidente. El ataque se percibe como un allanamiento con una nota de rescate: alguien entra, bloquea (y roba) los archivos críticos, deja una exigencia burda y espera el pago. Un esquema simple, pero casi con seguridad incompleto. El estallido y su impacto acaparan los titulares, mientras que todo lo que alimentó el ataque permanece fuera de cámara. Gran parte de lo que hizo posible y exitoso el ataque ocurrió donde nadie miraba.
Demasiado barato para fracasar: el ransomware como franquicia
Detrás de la fachada del ransomware se encuentra una operación de franquicia, o quizás una economía colaborativa, completa con mercados de mano de obra y herramientas, servicios por suscripción, proveedores, socios e incluso acuerdos de nivel de servicio entre las partes implicadas. La industria está diseñada para que cada participante solo necesite ser competente en su función específica. El desarrollador que mantiene la plataforma de ransomware y la marca nunca tiene que tocar el entorno de una víctima para ganar su recompensa. El afiliado paga una comisión o una tarifa por acceder usando credenciales que él mismo no obtuvo. El corredor de acceso inicial que vende una puerta de entrada a una red corporativa ni siquiera necesita saber qué planea hacer el comprador con esas credenciales. En conjunto, todos allanan el camino para la intrusión mucho antes de que llegue la nota de rescate.
Por lo tanto, si una organización ve un incidente de ransomware solo como una intrusión casi aleatoria que ocurrió de la nada, sus defensas no lograrán tener en cuenta lo bien provista e iterativa que es la amenaza. Y cuando una industria se estructura de esta manera, el volumen es la consecuencia inevitable. Los datos de detección de ESET muestran que el ransomware aumentó un 13 por ciento en la segunda mitad de 2025 en comparación con los seis meses anteriores, tras un incremento del 30 por ciento en la primera mitad de 2025. Mientras tanto, el Informe de Investigaciones de Violaciones de Datos (DBIR) de Verizon registró un salto del 32% al 44% en la proporción de violaciones que involucran ransomware, mientras que el pago medio de rescate cayó de 150.000 a 115.000 dólares. Los objetivos también están cambiando. El análisis de Mandiant muestra un movimiento hacia organizaciones más pequeñas con defensas menos maduras. Más objetivos (y más blandos) combinados con mordiscos más pequeños constituyen una jugada de volumen de libro de texto.
figurefigurefigurefigure
El ransomware no es aleatorio: el mercado se autorregula
Los actores del ransomware han aplicado la lógica de la franquicia al antiguo arte de la extorsión, repartiendo la culpa por el camino. El funcionamiento interno de lo que se conoce como ransomware como servicio (RaaS) es, ciertamente, más desordenado que el de una cadena de comida rápida: la coordinación es laxa y las guerras territoriales son reales y, en ocasiones, públicas. Aun así, la lógica subyacente se mantiene. La industria vive y muere por la confianza entre sus participantes y los incentivos que los unen. Y, como sabemos, los incentivos determinan los resultados más que cualquier otra cosa.
El campo está tan concurrido que la competencia se intensifica. La competencia entre los humanos, en general, agranda su propia forma: primero entre individuos, luego entre familias, comunidades y naciones. En el mundo digital, los hackers individuales que competían por notoriedad se transformaron en grupos organizados que competían por territorio, los cuales se convirtieron en una red interconectada de especialistas que compiten por cuota de mercado. Sin las restricciones de las fronteras o las burocracias, los ciberdelincuentes comprimieron en un par de años un arco que a las industrias legítimas les tomó décadas.
Las fuerzas de seguridad no se quedan de brazos cruzados, y las interrupciones selectivas crean incertidumbre real e imponen costos reales. Pero cerrar una empresa en un mercado competitivo no cierra el mercado. Mientras los incentivos sigan alineados, la desaparición de un grupo de ransomware desencadena la competencia entre los supervivientes para ocupar su lugar. Surgen nuevos actores, otros cambian de nombre o se asocian con pares, los clientes eligen nuevos proveedores y los manuales de ataque probados sobreviven. Incluso las disputas internas entre grupos de ciberdelincuencia equivalen a que el mercado depura a sus actores más débiles: la competencia funcionando como se espera.
Por ejemplo, cuando LockBit y BlackCat fueron desarticulados por las fuerzas de seguridad en 2024, sus afiliados se trasladaron principalmente a RansomHub. En 2025, DragonForce, un actor relativamente menor en ese momento, desfiguró los sitios de filtraciones de varios rivales y derribó el sitio de RansomHub, la operación líder de entonces. Cuando RansomHub se quedó en silencio, Akira y Qilin absorbieron su cuota de mercado. El patrón se mantiene porque la barrera de entrada sigue siendo baja, las herramientas están disponibles como servicio y la mano de obra es tan desechable que no se puede privar de participantes a la oferta. Las operaciones de ransomware están diseñadas para escalar independientemente de si algún participante individual posee habilidades formidables.
La carrera de la Reina Roja: adaptación constante entre defensas y antiherramientas
Con el tiempo, el manual de ataque del ransomware de antaño —bloquear los archivos y exigir un rescate— ha dado paso a la doble extorsión, donde los atacantes roban datos corporativos antes de cifrarlos y publican al menos muestras del botín en sitios de filtraciones dedicados. El FBI y la CISA describen ahora el ransomware como un problema de «robo y extorsión de datos». Pero los peligros específicos también cambian rápidamente. Hace apenas dos años, ClickFix, una técnica de ingeniería social donde un mensaje de error falso engaña a los usuarios para que copien, peguen y ejecuten comandos maliciosos, estaba fuera del radar de casi todos. Ahora está generalizada y es utilizada tanto por grupos respaldados por estados como por grupos de ciberdelincuencia.
Esta velocidad de adaptación no es sorprendente una vez que se comprende que una versión de ella se ha estado desarrollando en la naturaleza desde siempre. Las especies atrapadas en la competencia deben adaptarse continuamente solo para mantener su posición. Los depredadores se vuelven más rápidos, por lo que las presas se vuelven más rápidas. Las presas desarrollan camuflaje, por lo que los depredadores desarrollan una visión más aguda. La biología llama a esto el efecto Reina Roja, en honor a un personaje de A través del espejo de Lewis Carroll que debe seguir corriendo para permanecer en el mismo lugar. Los profesionales de la seguridad reconocerán la dinámica, aunque los nombres más familiares —como carrera armamentista y juego del gato y el ratón— pueden quedarse cortos. El efecto Reina Roja describe algo más específico: una adaptación que no produce ninguna ventaja neta porque el otro bando se adapta casi en paralelo.
Su manifestación más clara habita en el espacio entre las herramientas de los defensores y las antiherramientas de los atacantes. Los productos de detección y respuesta en endpoints (y detección y respuesta extendida, o EDR/XDR) son clave para detectar el tipo de actividad que los afiliados al ransomware llevan a cabo dentro de las redes comprometidas. A medida que los productos han mejorado, los delincuentes respondieron construyendo un mercado clandestino de herramientas diseñadas para desactivarlos. Y donde hay un mercado, hay un producto, generalmente en abundancia. Los investigadores de ESET rastrean casi 90 asesinos de EDR en uso activo. Cincuenta y cuatro explotan la misma técnica subyacente: cargar un controlador legítimo pero vulnerable en la máquina objetivo y usarlo para obtener los privilegios a nivel de kernel necesarios para apagar el producto de seguridad. La técnica se llama «Trae tu propio controlador vulnerable» (BYOVD), y los controladores vulnerables son un producto básico: el mismo controlador aparece en herramientas no relacionadas, y la misma herramienta migra entre controladores a lo largo de las campañas.
El mercado de asesinos de EDR refleja la economía del ransomware a la que sirve. Estas antiherramientas vienen empaquetadas con servicios de ofuscación basados en suscripción que se actualizan regularmente para mantenerse por delante de la detección. Los afiliados, no los operadores de ransomware, suelen elegir qué asesino desplegar: la decisión de compra se toma a nivel de franquicia. Cuando el producto defensivo se actualiza, el servicio de ofuscación le sigue. Reina Roja, de nuevo. La inversión masiva en asesinos de EDR es, perversamente, la medida más clara del daño que las herramientas de detección infligen al modelo de negocio criminal. Después de todo, no se construye una categoría de producto completa en torno a la desactivación de algo que no está perjudicando los resultados.
El papel de la IA en la nueva economía del ransomware
Las antiherramientas podrían escalar aún más a medida que la IA facilita la entrada al mercado, y no solo a la economía del cibercrimen en general. Los investigadores de ESET sospechan que la IA ayudó en el desarrollo de algunos asesinos de EDR; los productos de la banda Warlock son solo un ejemplo. De hecho, el año pasado, los expertos de ESET también detectaron el primer ransomware impulsado por IA, aunque no en ataques reales. Por separado, otros investigadores han documentado lo que llaman «vibeware»: malware asistido por IA producido en volumen y destinado a inundar el entorno objetivo con código desechable con la esperanza de que algo logre atravesar las defensas. La barrera para producir malware ha caído hasta un punto en que la restricción es la intención, no las habilidades formidables, algo muy similar a lo que hemos presenciado en la escena del cibercrimen en general.
Leer el mercado: preguntas que toda organización debe hacerse
Ver el ransomware solo como un ataque produce defensas construidas contra ataques. Pero si se piensa en el ransomware como una industria, surgen prioridades adicionales. Las preguntas que vale la pena hacerse incluyen: ¿cómo está evolucionando la dinámica de la Reina Roja entre los productos defensivos y las antiherramientas? ¿Qué herramientas, técnicas y procedimientos maliciosos están circulando ahora? ¿Puede nuestra pila de seguridad defenderse de un ataque BYOVD que utilice los controladores actualmente en circulación? ¿Qué sucede con nuestro entorno si un proveedor de servicios gestionados (MSP) en nuestra cadena de suministro se ve comprometido? ¿Qué actores de ransomware están atacando activamente nuestro sector y qué asesinos de EDR están comprando?
Si no se pueden responder estas y otras preguntas pertinentes, es posible que, para cuando el producto de la industria llegue al objetivo, gran parte de la cadena ya se haya ejecutado. No se puede predecir qué grupo atacará, cuándo o a través de qué vector. Pero se puede mantener un mapa actualizado de hacia dónde se dirigen los grupos activos y si alguno de esos caminos podría llevar a la propia puerta.
figurefigurefigurefigure
