España concentra el 2% de ataques de ransomware en 2026, según Check Point Research
Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point Software, ha desvelado en su ‘State of Ransomware Q1 2026’ que España concentra el 2% de ataques de ransomware en 2026, en un momento en el que el panorama de la ciberseguridad está experimentando un cambio estructural profundo. Tras años de fragmentación, la actividad se está concentrando en menos grupos, pero con más capacidad, lo que aumenta el impacto potencial de cada incidente.
Durante el primer trimestre de 2026, un total de 2.122 organizaciones se vieron expuestas en páginas de filtración de datos (DLS) a nivel global, lo que supone el segundo inicio de año con mayor actividad registrado hasta la fecha. Aunque las cifras interanuales podrían sugerir un ligero descenso respecto a 2025, CPR advierte que esta comparativa es engañosa: al eliminar las anomalías de campañas de explotación masiva del año pasado, la actividad base del ransomware ha mostrado un incremento real.
El dato más alarmante es la consolidación del mercado: los diez grupos de ransomware más importantes ahora concentran el 71% de todas las víctimas. Esta tendencia indica que los actores más fuertes están absorbiendo a afiliados de grupos menores. Es decir, ahora son más organizados, consistentes y resilientes ante las acciones de las fuerzas del orden.
Check Point Research ha identificado tres grandes actores que definieron el periodo:
- Qilin: se mantiene como la operación más activa por tercer trimestre consecutivo, con 338 víctimas registradas.
- The Gentlemen: el grupo revelación del trimestre, que pasó de 40 víctimas a finales de 2025 a 166 en el Q1 de 2026, alcanzando el tercer puesto global en pocos meses gracias a un vasto inventario de accesos de red ya comprometidos.
- LockBit: tras las interrupciones sufridas en 2024, el grupo ha confirmado su regreso al ‘top tier’ global con 163 víctimas. Curiosamente, LockBit ha diversificado su alcance geográfico hacia Europa y Latinoamérica para reducir su exposición en jurisdicciones con leyes de cumplimiento más agresivas, como Estados Unidos.
El informe también ha revelado que los ataques no siempre buscan objetivos lucrativos, sino a los más vulnerables o fáciles de alcanzar. Estados Unidos sigue liderando la lista de víctimas con casi el 50% del total. Sin embargo, el aumento de ataques en Tailandia (10,8% de las víctimas de un solo grupo) demuestra cómo las infraestructuras vulnerables o VPN expuestas influyen directamente en el mapa de riesgo. Los sectores más afectados siguen siendo la manufactura, los servicios empresariales, la salud y la industria, especialmente por su baja tolerancia a las interrupciones.
Recomendaciones
Ante un panorama donde los atacantes son más capaces y cuentan con mejores recursos, Check Point Software recomienda evolucionar la estrategia de seguridad hacia tres pilares fundamentales:
- Seguridad de red y nube híbrida: implementar firewalls impulsados por IA y soluciones SASE para bloquear amenazas antes de que lleguen al dispositivo, utilizando controles Zero Trust para limitar el movimiento lateral.
- Gestión de la exposición: identificar y cerrar preventivamente los vectores de ataque más probables mediante la correlación de inteligencia de amenazas en tiempo real con las vulnerabilidades internas.
- Seguridad del espacio de trabajo: proteger los puntos de entrada principales (correo electrónico y navegadores) para prevenir el phishing y el abuso de credenciales antes de que se inicie el cifrado de sistemas críticos.
Por sectores, a nivel global
Ya en marzo, los trackings de CPR revelaban que las empresas de todo el mundo enfrentaron 1.995 ciberataques a la semana, lo que supone un descenso del 5% con respecto al mismo mes del año pasado. Este descenso sugiere una estabilización a corto plazo, más que una señal de que la capacidad de los atacantes se haya reducido.
Por el contrario, refleja cómo la actividad de las amenazas puede desplazarse entre distintos objetivos y técnicas a medida que los adversarios reajustan sus campañas, prueban nuevas vías de intrusión y aprovechan la creciente huella digital de las organizaciones modernas.
Por sectores, la Educación volvió a ser el más atacado a nivel mundial, con una media de 4.632 ciberataques semanales en marzo, lo que supone un descenso interanual del 6%. Las instituciones gubernamentales les siguieron con 2.582 ataques semanales (-12% interanual), mientras que las telecomunicaciones quedaron en tercer lugar al promediar 2.554 ataques a la semana (-10% interanual).
El sector de Hostelería, Viajes y Ocio registró un aumento interanual del 30%, coincidiendo con el incremento hacia la temporada de primavera y verano. Este cambio estacional suele ampliar la superficie de ataque debido al aumento de transacciones digitales, mayor dependencia de terceros y un ritmo operativo más rápido, condiciones que los ciberdelincuentes suelen aprovechar.
“Los resultados de marzo pueden parecer un respiro, pero los atacantes no han dado un paso atrás: simplemente han cambiado de marcha”, afirma Eusebio Nieva, director técnico de Check Point Software para España y Portugal. “A medida que la GenAI se convierte en una herramienta de trabajo por defecto y los grupos de ransomware mantienen un ritmo operativo constante, las organizaciones deben prepararse para un futuro en el que el riesgo sea continuo, dinámico y cada vez más moldeado por la automatización. Las organizaciones más resilientes serán aquellas que traten la prevención como un sistema: reduciendo la exposición, aplicando gobernanza y utilizando protección impulsada por IA capaz de detener las amenazas antes de que se propaguen”.
Por sectores, a nivel nacional
En España, las organizaciones registraron una media de 1.823 ataques semanales de media en marzo, lo que supone un descenso del 13% respecto al mismo mes de 2025. Los sectores más afectados fueron Gobierno, Bienes y Servicios de Consumo, y telecomunicaciones, entre otros.
- Gobierno.
- Bienes y Servicios de Consumo.
- Telecomunicaciones.
- Industria Manufacturera.
- Servicios Financieros.
- Servicios Empresariales.
- Energía y Utilities.
Por regiones, Latinoamérica registró el mayor volumen de ataques, con una media de 3.054 ataques por organización semanalmente, lo que supone un aumento interanual del +9%. APAC ocupó el segundo lugar con una media de 3.026 ataques semanales (-4% interanual), seguida de África con 2.722 (-22% interanual). Después se situaron Europa con 1.647 ataques semanales (-7% interanual) y América del Norte con 1.384 (-8% interanual).
Riesgos de exposición de datos por IA generativa
La rápida adopción de herramientas de Inteligencia Artificial Generativa en entornos empresariales sigue introduciendo nuevos desafíos de ciberseguridad y protección de datos. En marzo de 2026:
- Una de cada 28 solicitudes a GenAI suponía un alto riesgo de filtración de datos sensibles.
- El 91% de las organizaciones que utilizan herramientas de GenAI experimentaron actividad de solicitudes de alto riesgo.
- Un 17% de los prompts contenía información potencialmente sensible.
- Cada empresa utilizó una media de 9 herramientas diferentes de GenAI.
- Cada usuario generó 78 prompts al mes, lo que subraya la rapidez con la que la IA se ha integrado en los flujos de trabajo diarios.
En conjunto, estas cifras muestran que el riesgo está pasando del volumen de ataques al impacto, con datos sensibles cada vez más expuestos a través de interacciones cotidianas con GenAI que a menudo quedan fuera de los controles tradicionales de seguridad y gobernanza. En la práctica, las organizaciones están creando nuevas vías de exposición silenciosa a gran escala, aumentando la probabilidad de filtraciones de datos y explotación posterior incluso sin una brecha convencional.
Ataques de ransomware
El ransomware siguió siendo una de las amenazas más disruptivas en marzo, con 672 ataques reportados públicamente. Aunque esto representa una disminución del 8% en comparación con marzo de 2025, supone un aumento del 7% respecto a febrero de 2026, lo que indica un nuevo impulso mes a mes.
En cuanto a los ataques por región, América del Norte fue la más afectada, con el 55% de los incidentes de ransomware reportados, seguida de Europa con el 24% y APAC con el 12%. Aunque Norteamérica sigue siendo la región más afectada, Europa mostró un aumento notable, pasando del 17% en febrero de 2026 al 24% este mes. En cuanto a países, Estados Unidos fue el más impactado, con el 52% de los ataques de ransomware reportados, seguido de Alemania con un 5% y Francia con un 4%.
Por sectores, el de los Servicios Empresariales fue el más atacado, representando el 35% de los incidentes de ransomware, seguido de Bienes y Servicios de Consumo (14%) y Manufactura Industrial (13%), que en conjunto representan el 61% de las víctimas reportadas.
Los principales grupos de ransomware en marzo fueron Qilin representando el 20% de los ataques públicos, seguido de Akira (12%) y DragonForce (8%). Aunque estos tres grupos fueron responsables del 40% de los incidentes reportados, el panorama general es más preocupante: 47 grupos de ransomware diferentes afectaron públicamente a organizaciones en todo el mundo durante el mes.
