El panorama de amenazas de ransomware entró en una nueva fase en 2025. Lo que alguna vez fue un modelo de negocio delictivo altamente confiable, basado en cifrar los archivos de las víctimas y cobrar pagos de rescate, ahora enfrenta una presión financiera significativa. Las tasas de pago de rescates han alcanzado mínimos históricos, las demandas promedio han caído drásticamente y las organizaciones se están recuperando de los ataques de manera más efectiva

El panorama de amenazas de ransomware entró en una nueva fase en 2025. Lo que alguna vez fue un modelo de negocio criminal altamente confiable, basado en cifrar los archivos de las víctimas y cobrar pagos de rescate, ahora enfrenta una presión financiera significativa.

Las tasas de pago de rescates han alcanzado mínimos históricos, las demandas promedio han caído drásticamente y las organizaciones se están recuperando de los ataques de manera más efectiva que en años recientes. A pesar de esto, los actores de amenazas no están retrocediendo.

En cambio, están adaptando sus métodos de formas que hacen que sus operaciones sean más difíciles de interrumpir y sus estrategias de extorsión más complicadas de desviar.

El declive financiero es difícil de ignorar. En el cuarto trimestre de 2025, las tasas de pago de rescates alcanzaron un mínimo histórico, según informes de CoveWare.

Sophos reportó por separado que las demandas promedio de rescate cayeron en un tercio, pasando de 2 millones de dólares en 2024 a 1.34 millones en 2025.

Casi la mitad de las víctimas de ransomware pudieron restaurar sus datos desde copias de seguridad en 2024, en comparación con solo el 11% en 2022. Esta creciente capacidad de recuperación ha debilitado directamente la influencia que los operadores de ransomware dependen para cobrar pagos.

Analistas de Google Cloud del Google Threat Intelligence Group (GTIG), liderados por los investigadores Bavi Sadayappan, Zach Riddle, Ioana Teaca, Kimberly Goody y Genevieve Stark, identificaron estos patrones en evolución a través de investigaciones de respuesta a incidentes de Mandiant realizadas en organizaciones de Asia Pacífico, Europa, América del Norte y América del Sur durante 2025.

El análisis de los expertos de Google Cloud encontró que REDBIKE fue la familia de ransomware más prevalente, representando casi el 30% de todos los incidentes observados —un nuevo máximo que superó los picos anteriores establecidos por LOCKBIT y ALPHV, que alcanzaron el 17% cada uno en 2023.

El ecosistema del ransomware también experimentó una gran disrupción durante 2025.

Operaciones prominentes de RaaS (Ransomware-as-a-Service), como LockBit, ALPHV, Basta y RansomHub, fueron significativamente debilitadas o desmanteladas debido a la presión de las fuerzas del orden y conflictos internos.

Sin embargo, Qilin y Akira surgieron para llenar el vacío, y el número total de publicaciones de víctimas en sitios de filtración de datos superó las cifras de 2024 en casi un 50%.

Los actores de amenazas también han comenzado a atacar con más fuerza a organizaciones más pequeñas, alejándose de grandes empresas con defensas maduras para enfocarse en negocios con programas de seguridad menos robustos.

GTIG advierte que la disminución de las ganancias por rescates podría llevar a algunos actores a adoptar estrategias alternativas de ingresos, como ejecutar campañas de phishing a través de infraestructuras comprometidas o monetizar el acceso a entornos de víctimas de formas secundarias.

Se recomienda a las organizaciones seguir las directrices del documento Ransomware Protection and Containment Strategies, que describe pasos prácticos para el endurecimiento de endpoints, contención y preparación para la recuperación.

El auge del robo de datos como método de extorsión

Uno de los cambios más llamativos documentados en las investigaciones de incidentes de 2025 fue el aumento sustancial de la exfiltración de datos como palanca principal de extorsión.

GTIG observó robo de datos confirmado o sospechado en aproximadamente el 77% de las intrusiones de ransomware —un salto significativo desde el 57% del año anterior.

Ahora, los atacantes suelen robar archivos sensibles antes de desplegar el cifrado, amenazando con publicar los datos robados en sitios de filtración incluso si las víctimas logran restaurar sus sistemas desde copias de seguridad.

Para extraer datos de entornos comprometidos, los actores de amenazas recurrieron a una mezcla de herramientas conocidas y ampliamente disponibles. Rclone apareció en aproximadamente el 28% de los incidentes de robo de datos para transferir archivos a infraestructuras controladas por los atacantes.

Tanto Rclone como WinRAR se observaron en alrededor del 23% de todos los incidentes de 2025, un aumento notable respecto a 2024. FileZilla, WinSCP y plataformas en la nube como MEGA, OneDrive y Azure también se utilizaron como destinos de exfiltración.

Los atacantes apuntaron específicamente a documentos legales, registros de RRHH, datos contables y archivos de desarrollo empresarial —contenido elegido para maximizar la influencia durante las negociaciones.

Las organizaciones deberían implementar controles sólidos de prevención de pérdida de datos (DLP), monitorear el tráfico saliente en busca de transferencias de archivos inusuales o grandes, y restringir el uso de herramientas no aprobadas como Rclone y AzCopy.

Mantener registros detallados del acceso al almacenamiento en la nube y la visibilidad de la actividad en los endpoints puede proporcionar una alerta temprana de intentos de exfiltración antes de que los datos sensibles lleguen a infraestructuras controladas por los atacantes.