La IA acelera algunas fases del ransomware, pero los ataques siguen dirigidos por personas
La inteligencia artificial está ayudando a algunos ciberdelincuentes a preparar campañas de ransomware y a operar con menos experiencia, pero los ataques totalmente automatizados todavía no se han generalizado. Los investigadores citados por Wired describen un uso parcial de estas herramientas: mejoran tareas como redactar mensajes de phishing, revisar código o negociar con las víctimas, mientras que los grupos más exitosos siguen estando dirigidos principalmente por personas.
La distinción importa para las empresas: la IA no sustituye por sí sola las fases necesarias para entrar en una red, obtener acceso y presionar a la víctima. Sí puede reducir el esfuerzo necesario para algunas de ellas y facilitar que actores con menos recursos intenten lanzar sus propias operaciones.
Más actividad declarada y un ecosistema más fragmentado
Medir el volumen real de ransomware es difícil. Algunas víctimas no comunican los incidentes y los atacantes pueden exagerar sus resultados en los sitios donde publican supuestas víctimas. Aun con esas limitaciones, los investigadores consultados por Wired señalan que las reclamaciones de ataques han aumentado en los últimos meses y que la actividad se mantiene elevada desde hace años.
Algunas estimaciones sitúan cerca de 3.000 las supuestas víctimas publicadas en sitios de filtraciones durante el verano, lo que equivaldría a un aumento del 20 al 40 % respecto a la primavera, según el cálculo utilizado. No son incidentes verificados uno por uno. Cynthia Kaiser, antigua responsable adjunta de ciberseguridad del FBI y ahora investigadora en Halcyon, señaló que el incremento reciente se percibía sobre todo en ataques internacionales; en Estados Unidos, la actividad se mantenía alta, aunque más estable.
También se observa una mayor fragmentación. El análisis de Halcyon citado en el artículo contabilizó alrededor de 111 grupos que reclamaron ataques entre julio y septiembre. Esa cifra describe reclamaciones, no una confirmación de que cada grupo o víctima sean auténticos. Entre los ejemplos recogidos por ReliaQuest, Global Secret Group afirmó haber atacado a 48 víctimas y Storm publicó 71 en 20 días. La rapidez con la que aparecieron esas listas generó incertidumbre para las empresas, pero no demuestra que todas las intrusiones se produjeran.
En qué partes del ataque puede ayudar la IA
Los modelos de lenguaje pueden producir mensajes de phishing más convincentes y adaptarlos a distintos idiomas. La utilidad no se limita al correo: el engaño y la ingeniería social también se emplean para conseguir el acceso inicial que después puede desembocar en un ataque de ransomware. Kaiser relacionó este tipo de capacidad con un aumento reciente de estafas en Japón, donde los atacantes extranjeros podían generar contenido convincente en japonés. El ejemplo se refiere a estafas; no implica que cada campaña de ese tipo termine en ransomware.
Los investigadores también describen usos para revisar código, intentar explotar vulnerabilidades y buscar vías de acceso alternativas, incluidas herramientas de acceso remoto de otros grupos. Son capacidades que pueden ayudar a operadores menos experimentados, pero no prueban que la IA ejecute de forma autónoma una intrusión completa. Allan Liska, analista de inteligencia de amenazas de Recorded Future, afirma que los grupos de ransomware que han tenido éxito continúan siendo, en gran medida, operaciones humanas.
La IA puede reducir la barrera de entrada y favorecer la aparición de operadores independientes, sin que eso garantice que puedan mantener una actividad duradera. Kaiser advierte de que algunos actores nuevos podrían crecer al principio y después desaparecer por carecer del conocimiento y los recursos de grupos establecidos. La fragmentación, por tanto, puede multiplicar las reclamaciones y complicar la atribución sin que todas correspondan a organizaciones sólidas.
El cifrado no es la única forma de extorsión
Los grupos consolidados suelen combinar el cifrado de sistemas con la extracción de datos y la amenaza de publicarlos: una práctica conocida como doble extorsión. Operadores individuales podrían optar por extorsionar únicamente con la amenaza de divulgar información, una vía que simplifica la operación y no requiere cifrar los equipos de la víctima.
Liska señala que Recorded Future ha observado este año más ataques que en todo 2025, pero que los casos con cifrado podrían incluso disminuir en la comparación anual. Esto ayuda a entender por qué contar solo sistemas cifrados puede dejar fuera incidentes en los que el objetivo principal es robar datos y presionar a la organización. Para los responsables de IT, la respuesta debe contemplar ambos escenarios: proteger los sistemas y limitar la exposición de información.
En la práctica, el phishing sigue siendo una vía relevante que las empresas deben incluir en sus medidas de seguridad informática. La alerta no apunta a un cambio hacia ataques autónomos, sino a una mejora de tareas concretas y a más actores que experimentan con ellas. Las afirmaciones de grupos en sitios de filtraciones deben tratarse como indicios, no como confirmación de una brecha; y una estrategia frente al ransomware no debería centrarse únicamente en evitar el cifrado.
