--- title: "Ransomware en retail 2025: cae el cifrado, sube la extorsión y se duplica la mediana del rescate — claves técnicas para reducir el MTTR" description: "El comercio minorista entra en la campaña navideña con un diagnóstico dual: mejora la capacidad de frenar el cifrado , pero la presión económica y operativa del cibercrimen no afloja . El informe Stat..." url: https://revistacloud.com/ransomware-en-retail-2025/ date: 2025-11-12 modified: 2025-11-12 author: "Antonio" image: https://revistacloud.com/wp-content/uploads/2025/05/Foto_NetApp_ciberseguridad-en-almacenamiento.jpg categories: ["Noticias", "Seguridad"] tags: ["ciberseguridad", "Sophos"] type: post lang: es --- # Ransomware en retail 2025: cae el cifrado, sube la extorsión y se duplica la mediana del rescate — claves técnicas para reducir el MTTR El comercio minorista entra en la campaña navideña con un diagnóstico dual: **mejora la capacidad de frenar el cifrado**, pero **la presión económica y operativa del cibercrimen no afloja**. El informe *State of Ransomware in Retail 2025* sitúa a los equipos de TI y ciberseguridad ante un escenario de **visibilidad insuficiente**, **tácticas de extorsión sin cifrado al alza** y **exigencias de rescate más agresivas**, todo ello en un sector con márgenes ajustados y operaciones altamente distribuidas. La fotografía, extraída de una encuesta independiente a **361 responsables de TI y ciberseguridad** de compañías del retail en **16 países** (todas afectadas por ransomware en los últimos 12 meses), deja cifras para tomar decisiones: **el 46 %** de los ataques comenzó por **una brecha de seguridad desconocida**; **el 30 %** explotó **vulnerabilidades conocidas** (tercer año seguido como causa técnica principal); y **solo el 48 %** acabó en **cifrado de datos**, el **mínimo de cinco años**. En el reverso de la moneda, **la extorsión “sin cifrado”** —chantaje con publicar información robada— **se triplica** en el retail, del **2 %** al **6 %**, y la **mediana de la demanda** de rescate **se duplica** hasta **2,0 millones de dólares**, mientras que el **pago medio** sube un **5 %** hasta **1,0 millón**. ## Un perímetro con puntos ciegos: lo que no se ve sigue abriendo la puerta El dato más inquietante del informe es operativo, no técnico: **casi la mitad de los incidentes (46 %) arrancan en una brecha desconocida para la propia organización**. En un entorno con tiendas, logística, comercio electrónico, terminales de punto de venta (TPV) y proveedores, la **dispersión de activos** y la **rotación de servicios** generan “esquinas oscuras”: dispositivos sin inventariar, credenciales heredadas, accesos remotos con políticas dispares o equipos de red sin telemetría. El **30 %** de los ataques que sí tienen raíz técnica clara explotó **vulnerabilidades conocidas**, señal de que la **gestión de parches y exposición** —sobre todo en **accesos remotos**, **servicios en Internet** y **equipos de red**— sigue siendo un talón de Aquiles. A este caldo de cultivo se suma la **compra de accesos** y el **abuso de identidades**: tras el ransomware, el **compromiso de cuentas** es el segundo incidente más común en retail, y el **BEC** (fraude por correo para desviar pagos) ocupa el tercer lugar. ## Menos cifrado, más presión: el giro de los adversarios La **tasa de cifrado** cae al **48 %**, un hito que sugiere mejores **detección y contención** tempranas. Pero los adversarios **no abandonan**: **pivotan**. Cuando el cifrado fracasa, **roban datos** y **extorsionan** (amenazan con publicarlos), una táctica que se **triplica** hasta el **6 %** en dos años. El objetivo es el mismo —forzar pago— por una vía distinta, con “relojes” de presión (contadores de publicación en portales de fugas) y mensajes diseñados para obligar a una **decisión en caliente**. En paralelo, el **mercado criminal** aprieta: la **mediana de la demanda** sube a **2,0 millones de dólares**; el **pago medio**, a **1,0 millón** (un **5 %** más que en 2024). La “buena noticia” es que **solo el 29 %** de las víctimas que pagaron abonaron exactamente lo pedido; **el 59 %** pagó **menos** y **el 11 %** **más**, un recordatorio de que **negociar** sin una base sólida (copia de seguridad fiable, soporte legal y forense, seguro cibernético con protocolo) **incrementa el riesgo** y el coste. ## Indicadores de resiliencia: avances medibles… y deberes pendientes - **Detección antes del cifrado, máximo de cinco años.** Las organizaciones soportan mejor la **“primera mordida”** del ataque: hay más comportamientos anómalos detectados y **respuestas automáticas** que aíslan endpoints a tiempo. - **Recuperación más barata y rápida.** El **coste medio** de recuperación (sin contar rescate) **baja un 40 %** hasta **1,65 millones de dólares**, **mínimo de tres años**; el **51 %** se recupera en **≤ 1 semana**. - **Backups: mejor con pruebas reales.** Solo el **62 %** restauró desde copias, **mínimo de cuatro años**. La lección es conocida: **copias 3-2-1**, **versionadas**, **offline/immutables** y **ensayos con cronómetro**. ## La cara humana del ataque: presión, rotación y desgaste del equipo Más allá del balance técnico-financiero, el informe cuantifica el impacto en personas y estructuras. Tras un incidente con cifrado, **el 47 %** de los equipos de TI/ciberseguridad sufre **aumento de presión**, y en **uno de cada cuatro casos (26 %)** se **releva al liderazgo** del área. El estrés y la carga sostenida se traducen en **bajas**, **rotación** y, lo más delicado, en **pérdida de memoria operativa**: justo lo que se necesita para **aprender** y **mejorar** tras un ataque. ## El tablero de amenazas 2025: casi 90 grupos y TTP mezcladas Los equipos de inteligencia de amenazas y MDR han observado **casi 90** grupos distintos apuntando a uno o más minoristas en el último año. En primera línea aparecen nombres sobradamente conocidos —**Akira, Cl0p, Qilin, PLAY, Lynx**—, pero la lista rota con rapidez: “nuevas marcas” y **campañas multimodales** (ransom + exfiltración + BEC) conviven con cadenas de infección que **reciclan** vulnerabilidades en **accesos remotos** o **dispositivos perimetrales** no parcheados. La consecuencia directa es que **el perímetro** de retail no es ya el “muro” de la tienda: es la **suma** de tiendas, *e-commerce*, integraciones con proveedores, **API** y **SaaS**. --- ## Hoja técnica para un medio tech: de la detección a la reducción del MTTR **1) Asset & Exposure First: inventariar, priorizar, parchear** - **Inventario real** (no solo CMDB): endpoints, servidores, TPV, dispositivos de red/seguridad, SaaS críticos, accesos remotos y APIs. - **Mapa de exposición**: qué está **en Internet** (VPN, paneles, *edge*, *reverse proxies*, dispositivos de red), con **parches/cambios** pendientes y **configuraciones “por defecto”**. - **Priorización por explotación**: ante decenas de boletines, escalar lo **explotado activamente** y lo **expuesto**; automatizar donde sea posible (WSUS/Intune, Ansible, etc.). - **Telemetría de superficie**: *external attack surface management* y *config drift* en tiendas y sedes. **2) Identidad y correo: el 80/20 de muchos incidentes** - **MFA por defecto** y **acceso condicional**; higiene de credenciales (rotación, almacenar fuera de código, PAM para privilegios). - **Correo**: **DMARC, SPF, DKIM** y reglas anti-BEC en áreas de pagos/finanzas; simulacros de **vishing/email bombing** (técnicas que reaparecen). **3) Endpoints “en serio”: EDR/XDR y control de aplicaciones** - **EDR/XDR** con **aislamiento automático** y **rollback** ante comportamiento de cifrado. - **Allow-listing** y **modo kiosco** en TPV, quioscos y equipos de tienda; matar la **superficie de ejecución** evita la “mordida” inicial. **4) Segmentación y control de movimiento** - **Microsegmentación** o, como mínimo, **VLANS** y **ACL** entre tienda–backoffice–servicios centrales; evitar que un TPV “vea” la joyería de datos. - **DLP/monitoreo de exfiltración** en repositorios sensibles y *e-commerce*; frena la **extorsión sin cifrado**. **5) Backups con pruebas (y reloj)** - **3-2-1** con **inmutabilidad** y **offline**; automatizar **verificación**. - **Restauraciones cronometradas** de sistemas críticos (ERP, *e-commerce*, inventario). Documentar **RTO/RPO** real y huecos. **6) 24/7 o MDR: porque el ransomware no descansa** - Equipos sin turnos permanentes deberían contratar **MDR** con **SLA de respuesta** y **caza de amenazas** proactiva; medir la **caída de MTTD** en semanas. - **Tablero de crisis**: roles (técnico, legal, negocio), guías de decisión (cuándo involucrar forense/autoridades/PR) y plantillas. --- ## Métricas que importan (y que el comité entiende) - **MTTD/MTTR** por dominio (tiendas, logística, *e-commerce*, pagos). - **Tasa de cifrado** frente a **tasa de contención temprana**; objetivo: que el **48 %** sea solo el principio. - **Tasa de restauración** de copias (con pruebas reales). - **Coste de recuperación** (sin rescate) frente a la referencia sectorial (**1,65 millones de dólares**). - **Semana 1**: porcentaje de servicios críticos operativos en **≤ 7 días** (objetivo: **≥ 51 %**). - **Exposición**: activos críticos con vulnerabilidades explotables y **días de exposición**. --- ## Preguntas frecuentes **¿Por qué baja el cifrado pero sube la presión económica?** Porque los atacantes **se adaptan**: cuando el cifrado no cuaja (mejor detección/contención), **exfiltran** y **extorsionan** con publicar datos. El **cifrado cae al 48 %**, pero la **extorsión sin cifrado** sube al **6 %** y la **mediana** del rescate se **duplica** a **2,0 millones de dólares**. El objetivo es forzar un pago por otra vía. **¿Tiene sentido pagar un rescate si tengo backups?** El informe muestra que **el 58 %** de quienes sufrieron **cifrado** **pagaron**, y **solo el 62 %** restauró con copia (mínimo de cuatro años). Si tus copias **no están probadas** o tu **ventana RTO** es inviable, la presión de negocio empuja a pagar. La salida sostenible es **backups 3-2-1** con pruebas reales, **EDR/XDR** y **MDR 24/7** para no llegar a ese punto. **¿Qué TTP debo priorizar en la defensa de una cadena minorista?** **Exposición y acceso remoto**, **identidad** (MFA/condicional), **correo** (anti-BEC), **EDR/XDR** con aislamiento, **segmentación** entre tienda–backoffice–corporativo, y **telemetría** unificada. Son las palancas que más **bajan MTTD/MTTR** y reducen el radio de explosión. **¿Cómo medir el retorno de invertir en MDR y en parches “que no se ven”?** Con **datos comparables**: **coste medio de recuperación** (objetivo: ≤ **1,65 M$** sector retail), **tiempo hasta detección** y **resolución**, **días de exposición** por activo, **tasa de contención temprana** y **semana 1** de recuperación operativa. La inversión en “lo invisible” se justifica cuando **bajan minutos** y **baja la factura**. vía: [Ramsonware in retail](https://www.opensecurity.es/ransomware-en-retail-menos-cifrado-mas-extorsion-y-rescates-millonarios-radiografia-2025-y-la-hoja-de-ruta-para-resistir/)