La extorsión digital está experimentando una transformación significativa. Aunque el ransomware continúa siendo una de las herramientas preferidas por los ciberdelincuentes, cada vez ganan más protagonismo las campañas centradas en el robo de información y la amenaza de hacerla pública. Esta estrategia busca explotar las consecuencias económicas, reputacionales y regulatorias que una filtración de datos puede ocasionar a las organizaciones afectadas.

Esta tendencia queda reflejada en un reciente estudio elaborado por Unit 42, la división de inteligencia de amenazas de Palo Alto Networks, que advierte de un cambio relevante en el escenario global de la ciberseguridad. Según recoge el informe 2026 Global Incident Response Report, durante 2025 el porcentaje de incidentes de extorsión que incluyeron el cifrado de sistemas se redujo hasta el 78 %, una cifra inferior a los niveles superiores al 90 % registrados de forma continuada en los cuatro años anteriores.

Entre los grupos analizados por Unit 42 que han evolucionado desde los ataques tradicionales de ransomware hacia modelos basados principalmente en la sustracción de datos y la extorsión se encuentran Bling Libra, también conocido como ShinyHunters, especializado en entornos de software como servicio (SaaS), y Hazy Scorpius, identificado igualmente como CLOP, que ha aprovechado una vulnerabilidad detectada en Oracle EBS.

El informe también destaca el papel creciente de la inteligencia artificial en este tipo de amenazas. Esta tecnología está permitiendo a los atacantes localizar vulnerabilidades con mayor rapidez, automatizar parte de sus campañas y acelerar los procesos de extracción de información, aumentando tanto la velocidad como la escala de las operaciones de extorsión digital.

Al analizar esta pronunciada caída en el uso del cifrado, la unidad de inteligencia de amenazas de Palo Alto Networks ha identificado que viene promovida por cuatro factores principales:

• La mejora de las capacidades de copia de seguridad y recuperación, que permite restaurar sistemas de forma rutinaria y eficiente.
• La mayor madurez de las soluciones de protección de endpoints y la eficacia de los mecanismos automatizados de interrupción de ataques.
• La creciente velocidad de exfiltración de datos: Según datos de Unit 42, los atacantes pueden pasar del acceso inicial al robo completo de información en apenas 72 minutos.
• El aumento de la presión regulatoria, donde las multas por incumplimiento, las demandas colectivas y el daño reputacional sistémico representan una herramienta de presión más poderosa para los atacantes que la propia interrupción operativa.

Por sectores, en 2025, las campañas centradas exclusivamente en la exfiltración de datos se dirigieron principalmente a empresas de servicios profesionales, sanidad y servicios al consumidor, con un especial foco en organizaciones medianas, que representaron el 64% de las víctimas.

Aunque la industria manufacturera sigue siendo el sector más afectado en términos generales, el sector de la construcción registró un incremento interanual del 44% como objetivo de operaciones de extorsión basadas únicamente en el robo de datos. Estas compañías resultan especialmente atractivas para los atacantes debido al valor de sus planes financieros, información de licitaciones y otros datos sensibles.

El coste medio asociado a los incidentes de extorsión basados en el robo de datos alcanza ya los 5,08 millones de dólares (4,4 millones de euros), una cifra que puede superar los 10 millones de dólares (8,6 millones de euros) en los casos de brechas de gran alcance.

Reforzar la protección del dato, prioridad estratégica

Ante esta evolución del panorama de amenazas, los expertos de Palo Alto Networks recomiendan a las organizaciones reforzar sus capacidades de prevención y detección de filtraciones de información, revisar los accesos a aplicaciones SaaS, adoptar mecanismos de autenticación resistentes al phishing y acelerar los procesos de respuesta ante incidentes.

La convergencia entre extorsión digital, presión regulatoria e inteligencia artificial marcará la evolución de la ciberdelincuencia durante los próximos meses, obligando a las organizaciones a replantear sus estrategias de protección más allá del modelo tradicional de ransomware.