El ransomware rompe todos los récords: casi 1.000 ataques en un solo mes disparan la alerta mundial en empresas y hospitales

El ransomware acaba de cruzar una línea alarmante: casi 1.000 ataques registrados en un solo mes. Según el informe de Comparitech, agosto de 2026 alcanzó un máximo histórico con 997 ataques de ransomware, un aumento del 23% frente a julio y por encima del récord anterior de febrero de 2025, cuando se registraron 988 ataques.

La cifra no debe leerse como un simple número estadístico. Detrás de ese récord hay empresas paralizadas, hospitales bajo presión, gobiernos afectados, proveedores tecnológicos comprometidos, datos robados y operaciones críticas interrumpidas. Breachsense también registró un volumen extremo en agosto de 2026: 964 víctimas publicadas por grupos de ransomware, con 83 grupos activos y 78 países afectados.

1. El récord: 997 ataques en agosto de 2026

Comparitech reportó que agosto de 2026 registró 997 ataques de ransomware, equivalentes a unos 32 ataques por día. De ese total, 77 fueron confirmados por las entidades afectadas y 920 quedaron como ataques no confirmados, usualmente basados en reclamos de grupos de ransomware o filtraciones en sitios de extorsión.

El dato es preocupante porque supera el récord mensual anterior de 988 ataques registrado en febrero de 2025. Además, muestra una aceleración frente a julio de 2026, cuando Comparitech había registrado 809 ataques.

2. Por qué las cifras no siempre coinciden

Una dificultad al medir ransomware es que no todos los informes cuentan lo mismo. Comparitech registró 997 ataques en agosto de 2026; Breachsense contó 964 víctimas listadas por grupos de ransomware; ThreatVectr reportó 1.098 ataques reclamados por grupos en el mismo mes. Las diferencias se explican por metodología, fuentes, criterios de confirmación, duplicados, fechas de publicación y reclamos en sitios de filtración.

Ransomnews, por ejemplo, usa un criterio mucho más estricto: solo cuenta incidentes confirmados mediante comunicados, reportes regulatorios, declaraciones oficiales o prensa confiable. Por eso su cifra de ataques confirmados en 2026 es mucho menor que la de los rastreadores basados en sitios de filtración.

3. Empresas: el blanco principal del mes

Comparitech registró 861 ataques contra empresas en agosto de 2026, un aumento del 24% frente a julio. En los casos confirmados, 49 afectaron a negocios; en los no confirmados, 812 correspondieron a empresas.

El ransomware se ha vuelto especialmente rentable contra empresas porque combina tres presiones: interrupción operativa, robo de datos y amenaza reputacional. Ya no se trata solo de cifrar archivos; muchos grupos extraen información, presionan con filtraciones y atacan proveedores para multiplicar el impacto.

4. Hospitales y salud: cuando el ransomware deja de ser solo TI

El sector salud volvió a aparecer como uno de los más sensibles. Comparitech informó que los ataques contra proveedores de salud aumentaron 30% en agosto de 2026, de 53 a 69. Breachsense, con otra metodología, ubicó a salud como la industria más atacada del mes, con 91 víctimas.

En hospitales, el impacto no se limita a computadoras bloqueadas. Un ataque puede afectar citas, historias clínicas, laboratorios, imágenes médicas, farmacias, ambulancias, quirófanos, facturación, sistemas administrativos y comunicación interna. Por eso HHS advierte que los ataques ransomware dirigidos a hospitales son una amenaza creciente y desproporcionada para las operaciones clínicas.

5. Qilin y The Gentlemen dominan el panorama

Según Comparitech, Qilin y The Gentlemen dominaron agosto de 2026 y juntos representaron más del 26% de todos los ataques registrados. Qilin fue atribuido con 157 ataques y The Gentlemen con 107. Breachsense también ubicó a Qilin en primer lugar con 157 víctimas y a The Gentlemen con 127.

La concentración en pocos grupos no significa que el ecosistema sea pequeño. Breachsense observó 83 grupos activos en agosto, y ThreatVectr también reportó 83 grupos con actividad durante el mes. Esto indica un mercado criminal muy fragmentado, donde conviven operaciones grandes, afiliados, grupos nuevos, reapariciones y marcas de extorsión que cambian de nombre.

Comparitech:
  - 997 ataques totales
  - 77 confirmados
  - 920 no confirmados
  - Qilin: 157
  - The Gentlemen: 107

Breachsense:

* 964 víctimas listadas
* 83 grupos activos
* 78 países afectados
* Salud: 91 víctimas

ThreatVectr:

* 1.098 ataques reclamados
* 83 grupos activos
* 80 países afectados

6. Estados Unidos concentra buena parte del impacto

Comparitech informó que Estados Unidos fue el país con más ataques en agosto de 2026, con 417 casos, seguido por Alemania e Italia con 48 cada uno, Reino Unido con 36 y Canadá con 35. Breachsense también encontró que Estados Unidos concentró 417 de las 964 víctimas registradas en su informe.

Esta concentración tiene varias explicaciones: alta digitalización, mayor cantidad de empresas, obligación de reportar incidentes en ciertos sectores, alto valor de datos, dependencia de servicios críticos y mayor visibilidad pública de filtraciones. Sin embargo, el problema es global: Breachsense habla de 78 países afectados y ThreatVectr de 80 países con reclamos de ransomware durante agosto.

7. Por qué el ransomware está creciendo tanto

El ransomware crece porque el modelo de negocio criminal se ha profesionalizado. Los grupos operan con afiliados, paneles de extorsión, filtración de datos, negociación, presión mediática, compra de accesos iniciales, abuso de credenciales y explotación de servicios expuestos.

Sophos, en su informe State of Ransomware 2026, encontró que 67% de las causas raíz en 661 casos de respuesta a incidentes y MDR fueron relacionadas con identidad, y que MFA faltaba donde importaba en 59% de los casos. Ese dato ayuda a explicar por qué los ataques siguen entrando: cuentas débiles, credenciales robadas y accesos mal protegidos siguen siendo puertas principales.

8. El gran error: creer que backup equivale a recuperación

Muchas organizaciones dicen tener backups, pero descubren demasiado tarde que no eran inmutables, no estaban probados, no cubrían todos los sistemas o también fueron cifrados por el atacante. Sophos reportó que la recuperación basada en backups subió a 66% en casos con datos cifrados, lo que confirma su importancia, pero también recuerda que backup sin prueba real no garantiza continuidad.

CISA recomienda asegurar que los backups estén cifrados, sean inmutables y cubran toda la infraestructura de datos de la organización. También recomienda segmentación, MFA, cierre de puertos RDP innecesarios, registros, bloqueo de intentos y preparación de respuesta.

3 copias de los datos:
  - producción
  - backup local
  - backup externo

2 tipos de medios:

* disco local / NAS
* almacenamiento externo / nube / cinta

1 copia fuera de línea o fuera del sitio:

* desconectada
* inmutable
* probada mediante restauración real

9. Señales tempranas de ransomware en servidores Linux

Aunque muchas campañas de ransomware se enfocan en Windows, los servidores Linux también son objetivos: hipervisores, NAS, servidores de archivos, contenedores, bases de datos, paneles web, copias de seguridad y sistemas de virtualización. En empresas modernas, atacar Linux puede significar cifrar backups, exfiltrar bases de datos o detener aplicaciones críticas.

# Revisar sesiones y usuarios conectados
who
w
last -a | head -50

# Ver procesos con alto consumo

ps aux --sort=-%cpu | head -20
ps aux --sort=-%mem | head -20

# Ver conexiones de red activas

ss -tulpn
ss -tunap | head -50

# Revisar servicios modificados recientemente

find /etc/systemd/system -type f -mtime -7 -ls

# Buscar archivos modificados recientemente en rutas críticas

sudo find /etc /usr/local/bin /opt -type f -mtime -3 -ls 2>/dev/null

# Revisar logs de autenticación

sudo journalctl -u ssh --since "24 hours ago" --no-pager || 
sudo journalctl -u sshd --since "24 hours ago" --no-pager

# Ver trabajos programados

systemctl list-timers --all
crontab -l
sudo ls -la /etc/cron.* /var/spool/cron 2>/dev/null

10. Qué hacer en las primeras 2 horas de un incidente

La primera reacción define el impacto. CISA recomienda preparar acciones de detección, prevención, respuesta y recuperación, incluyendo contacto con autoridades, revisión de posibles descifradores, aislamiento, preservación de evidencias y restauración segura.

11. Checklist de defensa para empresas y hospitales

CISA insiste en medidas como MFA, segmentación, cierre de RDP innecesario, registro de intentos de acceso, backups cifrados e inmutables, parches y preparación de respuesta. Estas prácticas no eliminan el riesgo, pero reducen la probabilidad de compromiso y la magnitud del daño.

12. Por qué pagar no resuelve el problema

Pagar un rescate puede parecer una salida rápida, pero no garantiza recuperación completa, borrado real de datos ni ausencia de nuevos ataques. Además, financia a grupos criminales y mantiene vivo el modelo de extorsión. El debate es complejo, especialmente en hospitales y servicios críticos, pero la defensa real empieza antes del ataque: continuidad, backups, segmentación y respuesta preparada.

El crecimiento de ataques también ha intensificado el debate sobre prohibiciones o límites al pago de rescates. Financial Times reportó que el aumento de ransomware profundiza la discusión sobre si pagar ayuda a sobrevivir a una crisis o si alimenta el negocio criminal.

13. La IA también está entrando en la ecuación

El ransomware no crece solo por más grupos criminales. También crece porque las herramientas de automatización, phishing, reconocimiento, explotación y evasión son más accesibles. Business Insider reportó que empresas están usando IA para combatir amenazas de cadena de suministro, mientras atacantes también aprovechan tecnologías avanzadas para encontrar debilidades y escalar campañas.

Reuters también reportó casos de criminales que habrían abusado de herramientas de IA para apoyar intrusiones, lo que refuerza una tendencia preocupante: la ciberseguridad está entrando en una carrera donde atacantes y defensores usan automatización avanzada.

14. América Latina: una alerta que no debe ignorarse

Aunque las cifras globales suelen concentrarse en Estados Unidos y Europa, América Latina no está fuera del radar. Empresas medianas, municipalidades, universidades, clínicas, proveedores tecnológicos, estudios legales y organizaciones públicas suelen tener brechas similares: contraseñas débiles, sistemas sin parche, backups incompletos, redes planas y poca respuesta ante incidentes.

El riesgo para la región no es solo tecnológico. Un ataque puede detener atención ciudadana, clases, historias clínicas, pagos, trámites, servicios municipales, operaciones logísticas o sistemas administrativos. La pregunta no es si una organización pequeña “interesa” a un atacante, sino si tiene una puerta expuesta y datos valiosos.

15. Errores comunes que facilitan ransomware

16. Preguntas clave

Recomendamos

En resumen

El ransomware alcanzó un nivel récord en agosto de 2026. Comparitech registró 997 ataques en un solo mes, mientras Breachsense contó 964 víctimas listadas por grupos de ransomware y ThreatVectr reportó 1.098 ataques reclamados. Aunque las metodologías varían, el mensaje es inequívoco: la extorsión digital está operando a escala global.

La alerta es especialmente fuerte para empresas y hospitales. Los atacantes ya no buscan solo cifrar archivos: roban datos, presionan con filtraciones, paralizan operaciones y golpean sectores donde el tiempo de recuperación puede costar millones o afectar vidas humanas. La defensa no puede depender de improvisación: requiere identidad protegida, backups inmutables, segmentación, monitoreo, parches y planes de respuesta probados.