Las víctimas de ransomware están siendo blanco de una nueva táctica de presión. En lugar de recibir demandas directas de los atacantes, algunas empresas están siendo contactadas por una supuesta firma de recuperación llamada Ransom Busters. Esta entidad afirma poder recuperar los archivos y eliminar las copias robadas, pero en realidad se trata de los mismos hackers que, haciéndose pasar por rescatistas, exigen pagos de hasta 60,000 dólares.

El ransomware Medusa ha atacado a más de 500 organizaciones críticas y autoridades como el FBI y la CISA alertan que España podría ser el próximo objetivo.

Se ha detectado a un grupo llamado Ransom Busters que engaña a víctimas de ransomware ofreciendo borrar sus datos robados a cambio de pagos entre 20,000 y 60,000 dólares. Expertos advierten que es una estafa orquestada por afiliados criminales y no una ayuda legítima. Además, el panorama del ransomware sigue evolucionando con nuevas bandas y tácticas de extorsión más fragmentadas y agresivas.

La CISA, el FBI y el Departamento de Salud y Servicios Humanos (HHS) de EE. UU. han emitido una alerta de seguridad actualizada advirtiendo que los atacantes del ransomware Medusa están infiltrándose activamente en entornos empresariales para desactivar herramientas de seguridad, exfiltrar archivos confidenciales y cifrar redes completas.

Una campaña acelerada está aprovechando el fallo CVE-2026-59310 en el servidor Syslog de VMware vCenter. Este error crítico de salto de directorio (path traversal) permite a los atacantes ejecutar comandos como root sin necesidad de iniciar sesión, otorgándoles el control total de la infraestructura virtual. La explotación se extendió rápidamente tras la divulgación, habiéndose identificado ya 361 direcciones IP afectadas.

Un nuevo informe de inteligencia de Gambit Security ha documentado uno de los ejemplos más claros de cómo la inteligencia artificial puede ser utilizada como arma en una campaña de ransomware activa. Investigadores descubrieron que un presunto afiliado de la operación The Gentlemen utilizó Claude Code de Anthropic para ejecutar casi todas las etapas de una intrusión, incluyendo la vulneración de dispositivos VPN expuestos a internet.

El grupo de ransomware Clop afirma haber robado datos sensibles de gigantes como GE, Philips y Shell, explotando una vulnerabilidad crítica en el software de PTC. Mientras Philips confirmó que el incidente fue contenido sin afectar a clientes, GE y Shell continúan investigando los ataques. Esta campaña forma parte de una serie de ofensivas globales de Clop contra plataformas empresariales, lo que ha llevado al gobierno de EE. UU. a ofrecer una recompensa de 10 millones de dólares por información sobre la banda.

Investigadores atribuyen a un grupo vinculado a China la explotación de fallos críticos en VMware vCenter para ejecutar código arbitrario y saltar la autenticación. El ataque afectó a 361 direcciones IP en 47 países, permitiendo a los atacantes obtener acceso root y crear cuentas administrativas. El objetivo final fue el despliegue de un ransomware derivado de Babuk para cifrar archivos en hosts ESXi.

Se ha detectado un nuevo servicio de IA criminal llamado MessiahGPT, el cual se promociona abiertamente en BreachForums. Según el Centro de Investigación Avanzada de Trellix, se trata de un modelo ofensivo diseñado específicamente para crear ransomware, kits de phishing, stealers, crypters y rootkits bajo demanda. El servicio opera a través de una plataforma web y una comunidad activa en Telegram.

El gigante energético multinacional Shell ha iniciado una investigación activa después de que el conocido sindicato de ransomware Cl0p afirmara haber exfiltrado datos internos confidenciales. Actualmente, investigadores de seguridad y equipos forenses analizan la legitimidad y el alcance del ciberataque, mientras el colectivo de extorsión ha incluido a la compañía en su lista de la dark web.

El ransomware Akira ha implementado una nueva táctica para vulnerar la seguridad de Windows: reiniciar los sistemas comprometidos en modo seguro con funciones de red. Este método permite que el dispositivo permanezca conectado mientras la mayoría de las protecciones de terceros (EDR) permanecen desactivadas. En el caso analizado, el ataque se inició mediante una técnica de credential-spraying dirigida a una VPN SSL de SonicWall expuesta.

Agencias de ciberseguridad de EE. UU. y Corea del Sur advierten sobre el ransomware Gunra, que ataca infraestructuras críticas mediante el robo y cifrado de datos. El grupo utiliza vulnerabilidades en dispositivos de red y phishing, afectando principalmente a organizaciones en Asia, Europa y Australia. Se sospecha que podrían colaborar con grupos estatales como Lazarus para ejecutar sus ataques.

El ransomware DeadLock es una amenaza con fines lucrativos que bloquea archivos y amenaza con filtrar información robada. Detectado por primera vez en julio de 2025, para julio de 2026 ya contaba con más de 80 presuntas víctimas, la mayoría de ellas situadas en Europa, lo que demuestra un impacto constante en diversos sectores.

Las campañas de ransomware están centrándose cada vez más en gestores y directivos, ya que poseen acceso a contratos, pagos y datos de clientes. Los atacantes utilizan estos perfiles porque sus cargos aportan mayor credibilidad a las solicitudes fraudulentas, facilitando el robo de información y la penetración profunda en las redes corporativas.

EtherRAT ha sido detectado en una intrusión de dominios Windows vinculada a un afiliado de la operación de ransomware Gentlemen. La campaña demuestra cómo un único punto de acceso puede escalar a un problema en toda la red cuando los atacantes obtienen privilegios. Los operadores utilizaron tareas programadas remotas para distribuir paquetes de instalación maliciosos que desplegaron el troyano de acceso remoto EtherRAT en otros sistemas.

Un incidente en QNET demuestra cómo un solo clic descuidado puede escalar rápidamente a una emergencia empresarial. El ataque comenzó cuando un usuario abrió un archivo malicioso, probablemente recibido por correo electrónico o descarga, lo que permitió a los atacantes utilizar herramientas confiables de Windows para ejecutar una segunda fase de intrusión. No obstante, Microsoft Defender detuvo el ataque de ransomware en tan solo 128 segundos gracias a la aislación automática del dispositivo.

Maksim Silnikau, creador de la operación de ransomware "Ransom Cartel", fue condenado a 16 años de prisión en Estados Unidos por atacar al menos a 18 empresas globales. El bielorruso reclutó criminales y suministró herramientas para extorsionar a sus víctimas, intentando obtener más de 5,2 millones de dólares. Tras intentar huir de España y Polonia, fue finalmente extraditado para enfrentar cargos de fraude y robo de identidad.

Una breve llamada de Microsoft Teams puede ser ahora el primer paso de un ataque de ransomware. Los atacantes, haciéndose pasar por personal de soporte técnico, convencen a los empleados para que concedan acceso remoto, utilizando ese punto de entrada para propagarse por las redes y desplegar el ransomware Chaos. Esta campaña, denominada STAC4749, afectó a decenas de organizaciones en Norteamérica entre febrero y junio.

GenieLocker es un nuevo ransomware vinculado al grupo Toy Ghouls (también conocido como Bearlyfy, Labubu y Laboo.boo), cuyos objetivos son sistemas Windows, Linux y VMware ESXi. Desde marzo de 2026, este grupo, motivado financieramente, se ha centrado principalmente en atacar el sector manufacturero de Rusia, dejando atrás el uso de otras familias de ransomware como LockBit, Babuk y RedAlert.

La empresa de facturación médica MCBS sufrió una brecha de seguridad que expuso datos sensibles de más de 1.2 millones de personas, incluyendo historiales médicos y números de seguridad social. El ataque fue atribuido al grupo de ransomware PEAR, quienes presuntamente filtraron 3.3 terabytes de información en línea. MCBS recomienda a los afectados activar alertas de fraude y contactar a sus proveedores de salud para verificar el impacto.