Las bandas de ransomware han evolucionado más allá del bloqueo de archivos y el robo de datos, comenzando a amenazar directamente a empleados, ejecutivos y sus familias para forzar los pagos. Según el Informe de Riesgos de Ransomware 2026 de Semperis, el 37% de los ataques exitosos incluyeron amenazas contra amigos o familiares de los trabajadores, lo que demuestra que el ransomware ya no es solo una crisis técnica, sino un ataque personal.

Las bandas de ransomware están yendo más allá de los archivos bloqueados y los datos robados. Ahora, los criminales amenazan a empleados, ejecutivos y a sus familias para obligar a las empresas a pagar.

Según el Informe de Riesgos de Ransomware 2026 de Semperis, el 37% de los ataques exitosos incluyeron amenazas contra amigos o familiares de los trabajadores.

Los hallazgos muestran que el ransomware ya no es solo una crisis técnica. Puede convertirse en una verdadera emergencia de seguridad y salud mental.

Los ataques de ransomware se dirigen a los empleados y sus familias

Semperis encuestó a 1,200 profesionales de TI y seguridad de organizaciones afectadas por ataques de ransomware exitosos durante los últimos 12 meses. El estudio abarcó nueve países y ocho sectores durante la primera mitad de 2026.

Entre los encuestados, el 57% informó haber recibido textos, cartas o paquetes amenazantes. Otro 19% enfrentó amenazas de intrusión física, el 17% informó amenazas de secuestro y el 13% vio amenazas de daño corporal.

Los atacantes llevaron a cabo sus amenazas en el 53% de los casos reportados, según la encuesta. El impacto personal fue grave. Una cuarta parte de las organizaciones afectadas dijo que los empleados o familiares fueron víctimas de doxxing, lo que significa que sus detalles privados fueron expuestos en línea.

Alrededor del 23% reportó swatting, donde los criminales realizan una llamada de emergencia falsa que puede enviar a la policía armada al hogar de una víctima. Otro 25% dijo que las personas necesitaron atención médica o de salud mental, mientras que el 24% contrató seguridad personal.

En el 14% de los casos, el personal o sus familiares cambiaron de trabajo, de oficina o de hogar. Esta presión marca la siguiente etapa de la extorsión. Los grupos de ransomware primero dependieron del cifrado de archivos. Muchos luego añadieron el robo de datos y las amenazas de filtrarlos.

Ahora, los criminales pueden estudiar las redes sociales, datos filtrados, registros públicos y páginas de la empresa para identificar familiares, direcciones, escuelas y rutinas diarias. Tales detalles les permiten construir mensajes que se sienten directos y creíbles. El objetivo es simple: hacer que resistirse al rescate parezca más costoso que pagarlo.

La inteligencia artificial también está cambiando la forma en que funcionan las operaciones de ransomware. El informe indica que el 84% de las víctimas encuestadas experimentaron ataques que utilizaron la IA de alguna manera.

Esto incluyó un 40% que enfrentó ataques basados en IA y un 44% donde los criminales abusaron de los propios agentes o sistemas de IA de la víctima. La IA puede ayudar a los criminales a escribir mensajes convincentes, investigar objetivos, modificar el malware y ejecutar trabajos a mayor escala.

Sin embargo, los datos de la encuesta reflejan lo que las víctimas reportaron. No prueban exactamente cómo se utilizó la IA en cada incidente. Los equipos de seguridad deben tratar estas cifras como una fuerte advertencia, mientras siguen revisando los registros, las muestras de malware, los eventos de identidad y las comunicaciones del atacante antes de vincular la actividad a la IA.

La presión personal está creciendo, pero los sistemas de identidad siguen siendo centrales para el ransomware. Semperis encontró que el 87% de los ataques se dirigieron a Active Directory, Entra ID u Okta. Active Directory fue el objetivo en el 51% de los casos.

Sin embargo, solo el 50% de las organizaciones encuestadas tenían copias de seguridad de identidad dedicadas, y el 42% contaba con herramientas automatizadas de recuperación de identidad. Esta brecha es importante porque el control de la identidad puede dar a los criminales un acceso amplio, ayudarlos a moverse a través de una red y permitirles interrumpir la recuperación.

Una investigación reciente sobre el ransomware Qilin mostró cómo los atacantes abusaron de la replicación de Active Directory para recopilar credenciales de dominio. Otro caso de ransomware PAYLOAD mostró a criminales utilizando Directivas de Grupo para interrumpir un dominio de Windows sin cifrar archivos.

Debes actualizar los planes contra el ransomware para cubrir amenazas fuera de la red. El plan debe designar quién contacta a las fuerzas del orden, quién apoya al personal afectado, quién maneja los mensajes públicos y cómo protege la empresa los datos personales.

Las firmas también necesitan un canal de comunicación confiable fuera de los sistemas normales de correo electrónico y chat, ya que los atacantes podrían vigilarlos o desactivarlos. Los ejercicios realistas deben incluir doxxing, swatting, amenazas a niños y contacto con familiares.

Los empleados también necesitan una forma segura y libre de culpas para reportar contactos sospechosos. Las empresas deben ofrecer revisiones de privacidad, asesoramiento y consejos claros para los miembros de la familia, evitando comentarios públicos que puedan exponer a las víctimas o interrumpir una investigación criminal.

Los pasos técnicos siguen siendo fundamentales. Los equipos de seguridad deben aplicar la autenticación multifactor, limitar el acceso privilegiado, segmentar las redes, parchear los sistemas expuestos, mantener copias de seguridad offline probadas y preparar una recuperación limpia para los servicios de identidad.

La Guía StopRansomware de CISA también aconseja a las organizaciones aislar los sistemas afectados, preservar las pruebas, mantener informados a los líderes y reportar los incidentes a CISA o a las autoridades.

Pagar no garantiza la seguridad, la recuperación de los datos ni el fin de la presión. El FBI afirma que no apoya los pagos de rescate porque las víctimas podrían no recibir nada y los pagos financian más delitos.

Semperis encontró que el 59% de las víctimas pagó al menos una vez, mientras que el 69% sufrió múltiples ataques exitosos. Ese patrón hace que la contención rápida, la recuperación confiable de la identidad, el cuidado del personal y el contacto temprano con la policía sean tan importantes como restaurar los servidores.

Fuentes:
https://cybersecuritynews.com/ransomware-attacks-get-personal/