La inteligencia artificial aumentó la efectividad de los ataques de ransomware para 65% de las organizaciones que sufrieron este tipo de incidentes, al facilitar campañas de phishing, suplantación de identidad y robo de credenciales más convincentes, de acuerdo con el Reporte sobre Ransomware en la Era de la IA 2026 de Proofpoint.
El estudio se basó en una encuesta a 953 profesionales de ciberseguridad de 12 países. De los participantes, 84%, que equivalente a 803 personas, reportó haber experimentado un incidente de ransomware entre marzo de 2025 y abril de 2026.
Entre las organizaciones afectadas, 28% señalaron que la IA incrementó la efectividad del ataque, mientras que 37% indicaron que el aumento fue moderado. Solo 9% no encontró evidencia del uso de IA durante el incidente.
Proofpoint detalló que los ciberdelincuentes utilizan estas herramientas para crear señuelos de phishing más convincentes, redactar mensajes de suplantación de identidad dirigidos a personas específicas y acelerar el reconocimiento de las estructuras organizacionales y los patrones de comunicación. La IA también puede facilitar la creación de scripts y otros componentes utilizados durante las diferentes etapas de un ataque.
Correo electrónico, principal puerta de entrada
La interacción humana continúa teniendo un papel relevante en el inicio de los ataques. El phishing y otros métodos de ingeniería social basados en correo electrónico fueron el punto de entrada inicial en 34% de los incidentes.
La explotación de vulnerabilidades representó 20% de los accesos iniciales, mientras que 18% comenzó con credenciales comprometidas y 15% mediante accesos remotos.
Al revisar las tácticas específicas empleadas al inicio de los ataques, los enlaces maliciosos fueron identificados en 47% de los casos y los archivos adjuntos maliciosos en 46%. Les siguieron el robo de credenciales, con 36%, y el correo electrónico empresarial (BEC), con 35%.
Para Proopoint, estos datos muestran que el ransomware no depende exclusivamente de vulnerabilidades técnicas: las comunicaciones empresariales, las credenciales y la interacción de los usuarios continúan formando parte importante de la cadena de ataque.
El ransomware evoluciona hacia la extorsión
El cifrado de sistemas tampoco constituye el punto final del ataque en todas las ocasiones. El reporte encontró que 54% de las organizaciones afectadas pagó un rescate, y 37% de quienes realizaron el pago recibió una segunda demanda de extorsión posteriormente. Además, 2% de las organizaciones pagó el rescate y aun así no recuperó el acceso a sus sistemas.
Respecto a la información sustraída, el 36% de los encuestados confirmó que se robaron datos sensibles durante el incidente, mientras que 29% sufrió exfiltración de datos, aunque no pudo determinar su sensibilidad. En conjunto, alrededor de 65% experimentó alguna forma de robo de datos.
Proofpoint advirtió que la información sustraída puede utilizarse para mantener la presión sobre la víctima mediante nuevas demandas de pago, venderse en mercados criminales o servir como punto de partida para ataques posteriores.
En ese sentido la empresa también encontró que, entre las organizaciones que sufrieron la toma de control de una cuenta, 88% registró actividad posterior al acceso. En 83% de los casos, los atacantes realizaron movimientos sospechosos dentro de los buzones de correo, mientras que en 53% se observó actividad anómala sobre archivos.
Estos datos subrayan que, una vez dentro, los atacantes utilizan el acceso para mapear relaciones internas, identificar objetivos valiosos y preparar el terreno para la exfiltración de datos o la implantación del rescate.
Controles de seguridad fallaron
Entre las razones por las que los controles de seguridad no evitaron el ataque, 40% de las organizaciones señaló que el contenido parecía suficientemente legítimo para que los empleados no sospecharan de él. Otro 38% atribuyó el incidente a que un usuario interactuó con contenido malicioso, por ejemplo, mediante un clic o la apertura de un archivo.
El 33% indicó que sus controles de seguridad de correo electrónico no detectaron el ataque, mientras que 26% identificó problemas de configuración o brechas en sus controles.
Además, 30% señaló que las herramientas de seguridad generaron alertas, pero no hubo tiempo suficiente para responder; 29% reportó visibilidad insuficiente sobre el comportamiento de los usuarios y 32% indicó que el ataque involucró técnicas avanzadas o una combinación de varias etapas.
Un ejemplo de esta evolución es la técnica conocida como ClickFix, documentada en el estudio. En lugar de utilizar un archivo adjunto malicioso, el atacante muestra al usuario un mensaje de error falso, una verificación CAPTCHA o una actualización del navegador, e instruye a la víctima a «solucionar» el problema copiando y ejecutando un comando en PowerShell o en el cuadro de diálogo Ejecutar de Windows.
Al no haber un archivo malicioso que escanear, esta técnica sortea los filtros tradicionales y convierte al usuario en parte activa de la cadena de ejecución del ataque.
Proofpoint concluyó que lo que revelan los datos es que el ransomware ha evolucionado más allá de un único evento transaccional en el que pagar a los atacantes restaura las operaciones normales. Ahora funciona como una negociación continua en la que los atacantes tienen múltiples formas de presión al mismo tiempo: cifrado continuo, datos robados y la amenaza de divulgación pública.
