En 2025, el ransomware (un tipo de programa malicioso que bloquea o cifra los archivos de una computadora o dispositivo) tuvo una fuerte suba a nivel mundial. En un solo año se registraron algo más de 50% en incidentes registrados vinculados al mismo tipo de crimen y casi 45% fue el crecimiento de organizaciones que reportaron ser víctimas. Grupos criminales como la banda conocida como “The Gentlemen” se han especializado en la modalidad de Ransomware as a Service, convirtiéndose en una rutilante protagonista de la escena criminal en poquísimo tiempo. Irrumpió a mediados de 2025 y, como la mayoría de los grupos RaaS, operan desde la dark web y son de naturaleza transnacional. Se constituyeron como uno de los grupos más activos a nivel global en 2026.

Características clave: usan el método de la doble extorsión, encriptan archivos y roban datos para amenazar con publicarlos. Forman parte de la saga innovativa de esta nueva industria, ofrecen su ransomware como “suscripción”. Le dan 90% de las ganancias al afiliado y 10% se lo quedan ellos.

En solo un trimestre de 2025 atacaron a más de 30 víctimas de 17 países. Para lo que va de 2026, ya superaban las 350 organizaciones violentadas, que luego fueron expuestas.

En general, emplean técnicas para subvertir VPNs y firewalls. Pero ¿por qué subió tanto? Una de las razones parece estar emparentada con la “IA generativa”: los ataques son más rápidos y automatizados. La capacidad operativa adquirida por las organizaciones de ciberdelincuentes profesionales nunca fue tan ágil, veloz y efectiva.

Otro fenómeno muy probablemente atribuible a esta evolución es la “fragmentación”. Aparecieron 34 familias nuevas como RansomHub, Akira y Clop, con una particular actividad propia del narcotráfico. De facto, se han cartelizado.

El contexto se ha tornado borrascoso, entre otras cosas, pero fundamentalmente por la falta de reacción e inversión de los candidatos a víctima, justificada ella por el método de “explotación exprés”. Los equipos de ciberdelincuentes, apoyados por agentes de IA, pasaron de requerir un mínimo de 8 horas en 2022 a 22 segundos en 2025 para moverse dentro de la infraestructura de organizaciones que se reparten el triste mote de “hackeado”. Versa de la siguiente forma: industria 36%, consultoría 12%, energía, petróleo y gas subió 900%. Pese a ello, son cada vez más las empresas que deciden no pagar.

Claramente, la industria de energía está en la mira. La crisis del estrecho de Ormuz y los tironeos entre Irán y sus vecinos árabes y el presidente Trump hablan de un interés geopolítico cada vez más ligado a estrategias globales. La energía es y será un talón de Aquiles para la industria tech.

Tanto así que América Latina no está exenta y los incidentes se repiten en la industria de energía en nuestra región. Algoritmos dañinos inoculados por ciberdelincuentes profesionales, encriptando servidores y sistemas, reclamando rescate en criptomonedas para liberar los datos y desplegando amenazas sobre plataformas de bombeo de petróleo gestionadas por sistemas operativos/OT serán cada vez más frecuentes.

Todo remite al incidente de Colonial Pipeline del 7 de mayo de 2021. El grupo de ransomware DarkSide atacó los sistemas de Colonial Pipeline. La empresa tuvo que cerrar el oleoducto que lleva producto desde Texas hasta Nueva York. Una banda de ransomware que demandó 4,4 millones de dólares en bitcoin. Colonial Pipeline transporta unos 378,5 millones de litros por día, el 45% del combustible de la costa Este de los EE.UU., causando escasez, suba de precios y corridas.

El FBI declaró que el ataque fue ejecutado por un consorcio conocido como DarkSide, hoy ya desarticulado. Es considerado “el mayor ciberataque exitoso a la infraestructura petrolera en la historia de ese país”.

En aquella ocasión, DarkSide usó una contraseña de VPN de un empleado de Colonial que ya estaba filtrada en la dark web, sin doble autenticación. Con solo la contraseña pudieron entrar directo a la red interna. Una vez allí, instalaron malware y, el 6-7 de mayo de 2021, congelaron los sistemas de facturación y administración.

Colonial decidió cerrar todo el oleoducto por temor a efectos colaterales sobre el resto de los componentes de la red. A pesar de ello, la operación se detuvo por algo más de 5 días, provocando desabastecimiento en 17 estados, filas y precios por las nubes. DarkSide cerró, desapareció y el grupo anunció que se disolvía.

Los países más atacados en 2025 fueron Estados Unidos, representando el 45% de todas las víctimas mundiales. Pagan más rescates. Las industrias de salud, finanzas y energía fueron las más golpeadas. Le siguen Reino Unido, Alemania, Canadá y Francia.