Los ataques de ransomware han entrado en una nueva fase. Investigadores han documentado una campaña llamada JADEPUFFER, en la cual un agente de IA planificó, ejecutó y escaló una operación de extorsión sin evidencia de supervisión humana. El agente utilizó un servidor de flujo de trabajo de IA expuesto para robar credenciales, acceder a bases de datos, cifrar registros y exigir un pago.

El grupo Feral Wolf está comprometiendo redes corporativas aprovechando software empresarial expuesto y configuraciones de servidor deficientes para desplegar ransomware. Entre mayo y agosto de 2026, el grupo atacó organizaciones rusas de los sectores de retail, construcción, fabricación y tecnologías de la información, demostrando que un único sistema mal configurado puede ser la puerta de entrada para un incidente mayor.

El ransomware Settra está surgiendo como una amenaza grave para las redes de Windows. Según las investigaciones, este malware utiliza software de gestión remota y técnicas para bloquear la recuperación de datos. Su operación consiste en cifrar archivos y dejar notas de rescate, dificultando tanto la investigación como la restauración de los sistemas afectados.

Los atacantes de Windows están aprovechando el servicio de copias de sombra de volumen (VSS) para causar interrupciones. Mediante el abuso de esta función, los intrusos pueden copiar datos protegidos, acceder a la base de datos de Active Directory y eliminar las copias de recuperación tras un ataque de ransomware, camuflándose así entre la actividad normal del sistema.

El grupo de ransomware CL0P ha incluido presuntamente al fabricante de motocicletas Harley-Davidson en su sitio de filtraciones públicas, afirmando haber comprometido a la empresa. Hasta el momento, Harley-Davidson no ha confirmado el ataque, por lo que se desconocen el alcance, la fecha y el impacto del incidente. La noticia fue difundida el 10 de septiembre de 2026 por la cuenta de monitoreo de amenazas ransomNews.

Se ha descubierto una nueva amenaza para Android llamada Mantax Otax, un malware que combina el ransomware con el espionaje. Este programa infecta a los usuarios que instalan aplicaciones desde enlaces no confiables, permitiéndole bloquear archivos, grabar la pantalla, interceptar códigos de verificación y utilizar las cámaras del dispositivo sin consentimiento, provocando una crisis tanto de extorsión como de privacidad.

Oleksii Lytvynenko, un ciudadano ucraniano, fue condenado a cuatro años de prisión por su participación en la banda de ransomware Conti. El imputado actuó como desarrollador e intruso, ayudando a extorsionar a diversas empresas mediante el robo de datos y el cifrado de dispositivos. Se estima que Conti afectó a miles de víctimas en todo el mundo, recaudando más de 150 millones de dólares en pagos de rescate.

Ciberdelincuentes están manipulando Node.js, el entorno de ejecución de JavaScript, para introducir código malicioso evitando las defensas de seguridad. Según el equipo de Symantec Threat Hunter, desde febrero de 2026, diversos atacantes han abusado de esta herramienta firmada digitalmente para ejecutar malware, afectando a empresas tecnológicas, hoteles y departamentos gubernamentales.

La operación de ransomware The Gentlemen está cifrando redes empresariales a una velocidad sorprendente, logrando desactivar las defensas y los servicios de recuperación en menos de 24 horas. Funcionan bajo un modelo de ransomware como servicio (RaaS) y utilizan un enfoque de doble extorsión para presionar a las organizaciones víctimas.

El gobierno de Berlín sufrió un ataque cibernético y un intento de extorsión, resultando en la filtración de terabytes de datos, aunque las autoridades se niegan a pagar el rescate. Paralelamente, el grupo Manchester Airports Group confirmó el robo de datos personales de millones de clientes en sus servicios de estacionamiento y WiFi. Ambos casos están bajo investigación y se recomienda precaución ante posibles fraudes.

El ransomware TITAN está combinando el cifrado de archivos con el uso de inteligencia artificial, la cual supuestamente puede analizar hasta 700GB de datos corporativos robados por hora. Según el grupo, este sistema les permite localizar rápidamente información sensible, como secretos comerciales o registros personales, para aumentar la presión sobre sus víctimas. Esta operación surgió en abril de 2026.

Las víctimas de ransomware están siendo blanco de una nueva táctica de presión. En lugar de recibir demandas directas de los atacantes, algunas empresas están siendo contactadas por una supuesta firma de recuperación llamada Ransom Busters. Esta entidad afirma poder recuperar los archivos y eliminar las copias robadas, pero en realidad se trata de los mismos hackers que, haciéndose pasar por rescatistas, exigen pagos de hasta 60,000 dólares.

El ransomware Medusa ha atacado a más de 500 organizaciones críticas y autoridades como el FBI y la CISA alertan que España podría ser el próximo objetivo.

Se ha detectado a un grupo llamado Ransom Busters que engaña a víctimas de ransomware ofreciendo borrar sus datos robados a cambio de pagos entre 20,000 y 60,000 dólares. Expertos advierten que es una estafa orquestada por afiliados criminales y no una ayuda legítima. Además, el panorama del ransomware sigue evolucionando con nuevas bandas y tácticas de extorsión más fragmentadas y agresivas.

La CISA, el FBI y el Departamento de Salud y Servicios Humanos (HHS) de EE. UU. han emitido una alerta de seguridad actualizada advirtiendo que los atacantes del ransomware Medusa están infiltrándose activamente en entornos empresariales para desactivar herramientas de seguridad, exfiltrar archivos confidenciales y cifrar redes completas.

Una campaña acelerada está aprovechando el fallo CVE-2026-59310 en el servidor Syslog de VMware vCenter. Este error crítico de salto de directorio (path traversal) permite a los atacantes ejecutar comandos como root sin necesidad de iniciar sesión, otorgándoles el control total de la infraestructura virtual. La explotación se extendió rápidamente tras la divulgación, habiéndose identificado ya 361 direcciones IP afectadas.

Un nuevo informe de inteligencia de Gambit Security ha documentado uno de los ejemplos más claros de cómo la inteligencia artificial puede ser utilizada como arma en una campaña de ransomware activa. Investigadores descubrieron que un presunto afiliado de la operación The Gentlemen utilizó Claude Code de Anthropic para ejecutar casi todas las etapas de una intrusión, incluyendo la vulneración de dispositivos VPN expuestos a internet.

El grupo de ransomware Clop afirma haber robado datos sensibles de gigantes como GE, Philips y Shell, explotando una vulnerabilidad crítica en el software de PTC. Mientras Philips confirmó que el incidente fue contenido sin afectar a clientes, GE y Shell continúan investigando los ataques. Esta campaña forma parte de una serie de ofensivas globales de Clop contra plataformas empresariales, lo que ha llevado al gobierno de EE. UU. a ofrecer una recompensa de 10 millones de dólares por información sobre la banda.

Investigadores atribuyen a un grupo vinculado a China la explotación de fallos críticos en VMware vCenter para ejecutar código arbitrario y saltar la autenticación. El ataque afectó a 361 direcciones IP en 47 países, permitiendo a los atacantes obtener acceso root y crear cuentas administrativas. El objetivo final fue el despliegue de un ransomware derivado de Babuk para cifrar archivos en hosts ESXi.

Se ha detectado un nuevo servicio de IA criminal llamado MessiahGPT, el cual se promociona abiertamente en BreachForums. Según el Centro de Investigación Avanzada de Trellix, se trata de un modelo ofensivo diseñado específicamente para crear ransomware, kits de phishing, stealers, crypters y rootkits bajo demanda. El servicio opera a través de una plataforma web y una comunidad activa en Telegram.