Las estadísticas de ataques de ransomware muestran un panorama de amenazas que ha evolucionado de ataques molestos a una disrupción empresarial estratégica. Los atacantes modernos no solo cifran archivos: roban tus datos y amenazan con venderlos o publicarlos en línea, extorsionando a las víctimas múltiples veces.

Ransomware-as-a-Service (RaaS) ha democratizado el cibercrimen al permitir que atacantes novatos compren ransomware ya elaborado. Miles de ciberdelincuentes sin experiencia ahora lanzan ataques con herramientas preempaquetadas.

Las estadísticas de ransomware revelan información clave sobre el panorama de amenazas en evolución. Veamos las tendencias principales en frecuencia, costos y tiempo de impacto para ayudarte a entender los riesgos crecientes.

Mayor frecuencia

Los costos al sufrir un ataque de ransomware son altos. El Informe del costo de una filtración de datos 2025 de IBM ubica el costo promedio de un incidente de ransomware en $4.4 millones, más de 38 veces el monto promedio del rescate exigido, que es de $115.000.  A pesar de estos costos de recuperación tan altos, el 64% de las víctimas de filtraciones se negó a pagar el rescate en 2025.

Tiempo de impacto

Ahora los ciberdelincuentes solo necesitan horas (en lugar de días) para pasar de la infiltración inicial al cifrado total de la red. Muchas estadísticas de ransomware anticipan que esta tendencia se acelerará, y algunos operadores de ransomware ya logran el cifrado total del dominio en menos de cuatro horas.

Mayores costos

El costo total de recuperarse de un ataque de ransomware es astronómico. No se trata solo del rescate: también hay que considerar el estrés del ataque, los costos del tiempo de inactividad, la pérdida de productividad, la respuesta a incidentes, los servicios de terceros como forenses y legales, y el daño reputacional.

Incluso cuando una empresa paga el rescate y restaura desde copias de seguridad, muchas no logran una recuperación completa. Mastercard encuestó a más de 5.000 propietarios de SMB en 2025 y descubrió que casi uno de cada cinco que sufrió un ciberataque quebró o cerró su negocio. El 80% dedicó una cantidad de tiempo considerable a reconstruir la confianza con sus clientes y socios.

Las empresas más pequeñas se han convertido en el objetivo número uno del ransomware. Como dijimos antes, el ransomware representó el 88% de las brechas en las SMB. 

Los cibercriminales priorizan a las SMB porque suelen tener controles de seguridad más débiles, carecen de equipos de seguridad dedicados y enfrentan recuperaciones más difíciles. Mientras que un rescate de $50.000 puede no parecer mucho para una empresa Fortune 500, representa un mes de ingresos para un fabricante de 30 empleados. Las estadísticas de ransomware en pequeñas empresas pintan un panorama aún más preocupante si se consideran las tasas de supervivencia a largo plazo.

Aunque las estadísticas de ransomware en SMB varían, el tiempo de inactividad promedio tras un ataque de ransomware es de 24 días. Eso es más de tres semanas sin poder acceder a tu software de contabilidad, tomar nuevos pedidos o proteger los datos de tus clientes. Cada minuto te cuesta dinero y clientes,

La doble extorsión (robar datos antes de cifrarlos) ahora es algo estándar en los ataques de ransomware. La doble extorsión significa que los actores de amenazas dicen que filtrarán o venderán los datos robados sensibles si no pagas un rescate, además del cifrado.

Los humanos siguen siendo el eslabón más débil. Verizon descubrió que el factor humano, incluyendo el phishing y la ingeniería social, contribuyó al 68% de las brechas. Los ciberdelincuentes se han vuelto muy buenos para hacer que los correos falsos parezcan reales ante nuestros ojos y ante nuestros filtros de correo.

Los humanos también son rápidos. El Informe de investigaciones de brechas de datos de Verizon de 2024 encontró que los usuarios hacen clic en enlaces de phishing en solo 21 segundos, y luego ingresan sus credenciales 28 segundos después. Esto significa que caen víctimas en menos de 60 segundos en total. 

Windows puede ser el sistema operativo más común que infecta el ransomware, pero los actores de amenazas también están desarrollando variantes para Linux y macOS. Hemos visto amenazas como la puerta trasera de Linux Peerblight comprometer servidores Linux mediante exploits discretos. El ransomware está apuntando a hipervisores ESXi y servicios en la cloud.

Además, los atacantes están apuntando a los proveedores de servicios administrados (MSP) y a los proveedores de software para atacar a sus clientes.

Muchas empresas operan bajo la falsa suposición de que sus datos estarán a salvo del ransomware siempre que tengan una buena solución de copias de seguridad. Si bien la regla de copias de seguridad 3/2/1 (3 copias, 2 medios diferentes, 1 fuera del sitio) es un gran comienzo, las copias de seguridad ya no son una solución infalible. 

Los grupos de ransomware atacan activamente la infraestructura de copias de seguridad. Si un atacante puede llegar a tus copias de seguridad, las posibilidades de recuperarte de un ataque disminuyen considerablemente.

En su lugar, enfócate en la detección temprana. Cuanto antes detectes los ataques antes del cifrado, más tiempo tendrás para responder. Esto implica identificar actividades de reconocimiento, movimiento lateral y comportamientos anómalos de los usuarios.