Las dos firmas que más siguen el ransomware publicaron esta semana sus números de julio a septiembre de 2026, y llegan a la misma conclusión: es el trimestre con más víctimas que tienen registrado.
- Comparitech publicó el 7 de octubre su conteo: 2,627 ataques reclamados, 27% más que el segundo trimestre y 61% más que el mismo periodo de 2025. Infosecurity Magazine lo retomó el 9 de octubre.
- GuidePoint Security, a través de su equipo de inteligencia GRIT, publicó el 8 de octubre su informe: 2,760 víctimas atribuidas a 112 grupos distintos, un alza de 75.3% contra las 1,574 del tercer trimestre de 2025.
La diferencia entre 2,627 y 2,760 no es un error: cada firma limpia de forma distinta los reclamos que los delincuentes publican en sus sitios de filtración. Lo importante es que ambas cifras son un piso. Las empresas que pagan antes de ser exhibidas no aparecen en ninguna lista.
Los números que importan
| Dato | Cifra | Fuente |
|---|---|---|
| Ataques reclamados (jul–sep 2026) | 2,627 | Comparitech |
| Víctimas publicadas (jul–sep 2026) | 2,760 | GuidePoint GRIT |
| Ataques confirmados por la víctima | 247 | Comparitech |
| Grupos activos | 112 (eran 76 hace un año) | GuidePoint GRIT |
| Grupos más activos | Qilin (357) y The Gentlemen (342) | Comparitech |
| Rescate promedio exigido | 602,400 dólares | Comparitech |
| Pago promedio de quien sí pagó | 321,000 dólares (antes 240,000, +34%) | GuidePoint GRIT |
| Proporción de víctimas que paga | Poco menos de 21% (antes 50%) | GuidePoint GRIT |
| Industria más golpeada | Manufactura | GuidePoint GRIT |
En el conteo de GuidePoint, The Gentlemen (12.9% de las víctimas) desplazó por poco a Qilin (12.6%); en el de Comparitech, Qilin sigue arriba. Entre los dos se llevan una de cada cuatro víctimas. Estados Unidos concentra 41% de los ataques, según Comparitech, que también destaca a Argentina como uno de los países con mayor crecimiento (+150%).
Dos tendencias que sí le pegan a una PyME
1. Menos empresas pagan, pero el castigo sube. La caída en la tasa de pago es una buena noticia a medias: los grupos responden con triple extorsión, que Comparitech ve en aumento. Ya no solo cifran y roban; también contactan a los clientes, empleados o pacientes cuyos datos se llevaron, para presionar a la empresa. GuidePoint lo resume en una frase: no hay que confundir una tasa de pago a la baja con una amenaza a la baja.
2. La IA ya hace parte del trabajo del atacante. GuidePoint documenta un caso en el que un agente de IA pasó de un espacio de trabajo vacío a ejecutar código en un servidor en menos de cuatro horas, y dos horas después ya era administrador del dominio. Eso acorta el margen de respuesta de una empresa de días a horas.
¿Y México?
Los informes del trimestre no desglosan México. El dato público más reciente es de ESET para el primer trimestre de 2026: México fue el segundo país más atacado de Latinoamérica, con unos 30 ataques, detrás de Brasil. Y el tema no es lejano: el 21 de agosto, el Ayuntamiento de San Luis Potosí informó que le robaron información —los medios locales hablan de 2.9 a 3 GB, principalmente declaraciones patrimoniales de funcionarios— y que el atacante pidió dinero a cambio de no publicarla. El municipio se negó a pagar y presentó denuncia.
Qué hacer esta semana
Los controles que funcionan no cambiaron; lo que cambió es la velocidad a la que hay que tenerlos. Por orden de impacto:
- Cierra las puertas de entrada conocidas. Firewalls, VPN y consolas expuestas a internet sin parchar siguen siendo la vía favorita. Si tienes FortiGate, revisa lo que publicamos sobre la alerta del FBI por FortiBleed; si tienes servidores propios, el caso de Warlock entrando por SharePoint sin parchar es el mismo patrón.
- Doble factor en todo acceso remoto y en el correo. Sin excepciones para "el contador" o "el proveedor". El paso a paso para activar 2FA toma una tarde.
- Revisa si ya hay contraseñas de tu empresa filtradas. Muchos ataques empiezan con una credencial comprada, no con un exploit. Aquí explicamos cómo saber si tus contraseñas ya se filtraron.
- Una copia de respaldo que el atacante no pueda borrar. Inmutable o desconectada, y probada restaurando. La guía de respaldos que sobreviven al ransomware tiene la receta.
- Detección que funcione en horas, no en días. Si el agente de IA de un atacante llega a administrador en seis horas, un antivirus que nadie mira no alcanza. Compara opciones en EDR vs. antivirus.
- Decide hoy quién hace qué. A quién se llama, quién desconecta, quién habla con clientes y con el abogado. La triple extorsión obliga a tener lista la comunicación con los afectados, porque el delincuente les va a escribir antes que tú.
La lectura de fondo
Más grupos, más víctimas y ataques más rápidos: el panorama de ransomware de 2026 para PyMEs que describimos a principios de mes se confirmó con números. La buena noticia es que el remedio sigue siendo el mismo y está al alcance de cualquier empresa: parches en lo que está expuesto, doble factor, respaldos que no se puedan borrar y alguien que mire las alertas.
Ransomware
¿Cuánto tardarías en volver a operar después de un ataque?
Hacemos una revisión de accesos expuestos, respaldos y detección, y te entregamos la lista priorizada de lo que hay que corregir primero.
