Ransomware 2026: Nuevas Tacticas de Doble y Triple Extorsion

El panorama del ransomware ha evolucionado de una forma que, sinceramente, muchos equipos de seguridad en España aún no están preparados para asimilar. Ya no se trata solo de cifrar datos y pedir un rescate por la clave. En 2026, la sofisticación táctica y operacional de los grupos de ransomware, especialmente aquellos con presunta base en estados-nación o con tolerancia estatal, ha convertido cada ataque en una campaña de presión psicológica y reputacional multi-vector. La doble extorsión, donde se amenaza con filtrar los datos robados, se ha quedado obsoleta para los jugadores más peligrosos. Ahora estamos en la era de la triple e incluso cuádruple extorsión, donde el impacto se amplifica sistemáticamente para maximizar la probabilidad de pago, explotando cada eslabón débil de la cadena: tecnológico, legal y humano. En mi experiencia con clientes del sector financiero y energía en el último año, he visto de primera mano cómo estas tácticas no solo paralizan operaciones, sino que destrozan la confianza de accionistas y clientes durante años.

La realidad es que la mayoría de las empresas españolas siguen enfocando sus defensas en prevenir el cifrado, con soluciones EDR robustas como CrowdStrike Falcon 7.12 o Microsoft Defender for Endpoint, y eso está bien, pero es insuficiente. El problema gordo aquí es que el atacante ya no necesita que su ransomware se ejecute con éxito para ganar. Su modelo de negocio ahora se sustenta en la exfiltración silenciosa de terabytes de datos mucho antes de que suelte la carga de cifrado. Si no tienes una visibilidad exquisita sobre los flujos de datos salientes, especialmente hacia servicios de almacenamiento en la nube poco comunes o direcciones IP en países que no tienen relación con tu negocio, ya has perdido la primera y más crítica batalla.

¿Cómo ha evolucionado el modelo de extorsión más allá del cifrado?

La doble extorsión, que irrumpió con fuerza alrededor de 2020 con grupos como Maze y REvil, sentó las bases. Robamos tus datos, los ciframos, y si no pagas, los publicamos en un blog de leaks. Para 2026, esto es el nivel básico. Los grupos más avanzados, como los herederos de LockBit o los nuevos jugadores hiper-especializados como "CrimsonVoid" (un grupo que hemos rastreado en varios incidentes y que parece operar en husos horarios de Europa del Este), han industrializado el proceso. Ahora realizan un análisis previo de los datos exfiltrados. No se limitan a subir un ZIP a Mega.nz. Clasifican la información, identifican secretos comerciales, correspondencia sensible con clientes, datos personales de ciudadanos (especialmente crítico para administraciones públicas) y, lo más peligroso, información que puede tener implicaciones regulatorias.

¿Qué es la triple extorsión y por qué es tan efectiva?

La triple extorsión añade una capa de presión dirigida a terceros relacionados con la víctima. El atacante, tras haber cifrado sistemas y robado datos, lanza su ultimátum. Si la organización se niega a pagar, no solo publicarán los datos, sino que contactarán directamente a los clientes, socios o pacientes afectados para informarles de la brecha, o incluso enviarán extractos de sus datos personales por correo electrónico. Imagina el caos. En un pentest que simulaba esta táctica para una aseguradora el mes pasado, el mero ejercicio de tabletop donde planteamos "y si empezamos a enviar emails a vuestros asegurados con sus pólizas y datos médicos" hizo palidecer al comité de dirección. La presión reputacional se multiplica exponencialmente, y el cliente se ve forzado a gestionar no solo un incidente interno, sino una crisis de comunicación masiva y potenciales demandas colectivas.

Pero esto no es moco de pavo, hay una cuarta capa que está ganando tracción en 2026: la extorsión regulatoria y a inversores. Grupos como ALPHV/BlackCat ya lo esbozaron, pero ahora es sistemático. El atacante, tras analizar los datos, identifica posibles incumplimientos de regulaciones como el GDPR, la LOPDGDD en España, HIPAA en el sector salud, o normativas sectoriales específicas. Su mensaje es claro: "Si no pagas, no solo filtraremos los datos, sino que enviaremos un informe detallado a la autoridad de protección de datos (AEPD) y a la CNMV, adjuntando evidencias de vuestro incumplimiento". El coste potencial de las multas regulatorias, que pueden ser del 4% de la facturación global, hace que el rescate parezca un mal menor. Es un cálculo perverso y diabólicamente efectivo.

¿Qué nuevas técnicas de infiltración y movimiento lateral estamos viendo?

La puerta de entrada clásica, el phishing con documento Office malicioso, sigue funcionando, pero la tendencia en 2026 es hacia la explotación de vulnerabilidades en servicios expuestos a internet, especialmente en dispositivos de la IoT operacional (OT) y en aplicaciones web con componentes críticos. El CVE-2024-6387, el "RegreSSHion" en OpenSSH, fue un festín durante meses para los actores de ransomware. Pero ahora veo un patrón recurrente: el ataque a la cadena de suministro de software. No me refiero solo a SolarWinds. En un incidente que investigamos para un cliente del sector energético a finales de 2025, el compromiso comenzó a través de una actualización comprometida de un software de monitorización de redes muy nicho, cuya empresa desarrolladora había sido previamente infectada. El ransomware se desplegó semanas después, pero la backdoor llevaba meses instalada.

El movimiento lateral ha refinado el uso de herramientas nativas y técnicas living off the land (LotL). Ya no es solo PsExec y WMI. Ahora utilizan de forma masiva servicios en la nube legítimos pero mal configurados. Por ejemplo, hemos detectado scripts de atacantes que utilizan la API de Google Drive o AWS S3 para exfiltrar datos, camuflando el tráfico como normal. También abusan de herramientas de administración legítimas como:

• Atera Agent o Syncro MSP: Software RMM (Remote Monitoring and Management) utilizado por MSPs, que si es comprometido, da un control total sobre los endpoints.
• Terraform o Ansible en entornos DevOps: Para desplegar recursos maliciosos en la nube o modificar configuraciones de seguridad.
• BloodHound 4.3 y SharpHound: Para mapear relaciones en Active Directory de forma más eficiente que los propios administradores.

Aquí tienes un ejemplo de un script de PowerShell simplificado que hemos visto en artefactos de incidentes, diseñado para recopilar y comprimir datos antes de la exfiltración, evitando detecciones basadas en herramientas ofensivas conocidas:

# Script de recolección silenciosa (simplificado a partir de artefactos reales)
# Usa componentes nativos para evitar flags de EDR
$stageDir = "$env:APPDATA\Microsoft\Windows\Recent\Temp" # Directorio camuflado
New-Item -ItemType Directory -Path $stageDir -Force | Out-Null

# Busca documentos recientes y de directorios específicos
$targetExtensions = @("*.pdf", "*.docx", "*.xlsx", "*.sql", "*.config")
$sourcePaths = @("\\fileserver\departments$\Finanzas\", "C:\Users\*\Documents\")

foreach ($path in $sourcePaths) {
    Get-ChildItem -Path $path -Include $targetExtensions -Recurse -ErrorAction SilentlyContinue | 
    Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-30) } | # Solo archivos recientes
    Copy-Item -Destination $stageDir -Force
}

# Comprime usando COM, no 7zip (menos sospechoso)
$zipFile = "$env:TEMP\logs_backup.zip"
if (Test-Path $zipFile) { Remove-Item $zipFile }
$shell = New-Object -ComObject Shell.Application
$zipFolder = $shell.NameSpace($zipFile)
$stageFolder = $shell.NameSpace($stageDir)
$zipFolder.CopyHere($stageFolder.Items())

# Limpia rastros (los comandos de exfiltración variaban)
Start-Sleep -Seconds 2
Remove-Item $stageDir -Recurse -Force -ErrorAction SilentlyContinue

El código anterior es una versión básica, pero ilustra el principio: ofuscación, uso de rutas comunes, y aprovechamiento de objetos COM para tareas que normalmente requerirían herramientas externas. Los atacantes reales añaden capas de ofuscación, ejecución en memoria y mecanismos de exfiltración mucho más sofisticados.

¿Cómo debe cambiar tu estrategia de defensa y respuesta en 2026?

Ojo con esto: centrarse únicamente en la prevención es una estrategia condenada al fracaso. Asume que, tarde o temprano, un atacante conseguirá entrar. Tu arquitectura de seguridad debe estar diseñada para aumentar el coste y el tiempo del atacante, detectar la exfiltración masiva y contener el impacto operacional y reputacional. Esto requiere un cambio de mentalidad.

Detección proactiva: Más allá del comportamiento endpoint

Necesitas reglas de detección que busquen patrones de preparación para la exfiltración, no solo el cifrado masivo. Tu SIEM (ya sea Splunk ES, Microsoft Sentinel, o Elastic SIEM) debe correlacionar eventos aparentemente inconexos:

1. Volúmenes de datos anómalos salientes: Un servidor de base de datos que de repente inicia conexiones SSL a un IP en un país extraño, enviando 50 GB de datos.
2. Uso de herramientas de compresión nativas en servidores críticos: RAR, 7z, o el propio compact.exe de Windows ejecutándose en un servidor de archivos donde no es habitual.
3. Reconocimiento de AD masivo: Consultas a los grupos "Domain Admins", "Enterprise Admins" o "Account Operators" desde estaciones de trabajo de usuarios normales, detectables con herramientas como BloodHound o con reglas Sigma.

Hablando de Sigma, es fundamental que priorices el uso de este lenguaje abierto de reglas por encima de las reglas nativas de tu SIEM. ¿Por qué? Porque la comunidad actualiza reglas para nuevas tácticas en cuestión de días, mientras que los proveedores comerciales pueden tardar semanas. Una regla Sigma para detectar el uso sospechoso de rclone (una herramienta legítima muy usada para exfiltración a la nube) estará disponible en GitHub mucho antes de que tu proveedor la integre.

title: Suspicious Rclone Execution on Network Server
id: a5b3c7d1-8e2f-4a6d-9c0b-123456789abc
status: experimental
description: Detects execution of rclone.exe on a Windows server, which is unusual and may indicate data exfiltration preparation.
author: David Moya / Riskitera CTI Team
date: 2026/02/15
tags:
    - attack.exfiltration
    - attack.t1567
logsource:
    product: windows
    service: sysmon
detection:
    selection:
        EventID: 1 # Process creation
        Image|endswith: '\rclone.exe'
        CommandLine|contains|all:
            - 'copy'
            - 'http'
            - '--progress' # Common flag in automated scripts
    filter:
        Image|endswith: '\rclone.exe'
        CommandLine|contains: '--help' # Filter out benign help commands
    condition: selection and not filter
falsepositives:
    - Legitimate administrative use of rclone for backups (should be rare on standard servers)
level: high

Esta regla Sigma, que puedes convertir a tu SIEM con sigmac, es un ejemplo de cómo cazar comportamientos específicos de preparación. La clave está en la combinación del binario (rclone.exe) con indicadores de automatización y transferencia (--progress, copy).

Respuesta y contención: El plan que necesitas pero no tienes

Tu plan de respuesta a incidentes no puede ser un PDF de 100 páginas que nadie ha leído. Debe ser un playbook ejecutable, idealmente orquestado en tu plataforma SOAR (como TheHive 5.x, Splunk SOAR o incluso scripts automatizados). Cuando se detecta una posible exfiltración masiva, el tiempo es cerebro. La respuesta automática debe incluir, como mínimo:

1. Aislamiento inmediato de los sistemas identificados como origen de la exfiltración (no solo apagar, sino segmentar de red).
2. Invalidación de todas las sesiones de usuario y tokens de servicio en la nube (OAuth, IAM keys) para cortar el acceso del atacante, incluso si robaron credenciales.
3. Activación de un equipo de comunicación de crisis que incluya no solo a marketing, sino a asesores legales y un experto en regulación de datos.

Recuerdo un incidente en 2024 donde un cliente, tras detectar el ransomware, se centró en restaurar backups mientras el atacante, que aún tenía acceso, inició la campaña de triple extorsión contactando a clientes. Habían ganado la batalla técnica (restauración en 48h) pero perdieron la guerra reputacional, con una fuga de clientes del 15%. La lección es clara: la contención técnica y la comunicación de crisis deben ir en paralelo desde el minuto cero.

¿Merece la pena pagar el rescate? La perspectiva legal y operativa en 2026

Esta es la pregunta del millón, y mi opinión personal, tras asesorar en más de una decena de estos casos, es firme: No, casi nunca. Y no lo digo solo por una cuestión ética, sino práctica y legal. En primer lugar, pagar no garantiza nada. Un estudio de Trend Micro a finales de 2025 mostró que solo el 65% de las organizaciones que pagaron recibieron un descifrador funcional, y de esas, menos del 30% recuperaron todos sus datos. Además, pagar te marca. Tu organización será catalogada como "pagadora" y es muy probable que seas atacado de nuevo por el mismo u otro grupo en menos de un año.

Pero el argumento más potente en 2026 es el legal. La Unión Europea, a través de la propuesta de Reglamento de Resiliencia Operativa Digital (DORA) y directivas asociadas, está endureciendo enormemente la postura contra los pagos de rescate. En varios estados miembros, pagar un rescate a un grupo sancionado (y muchos lo están) puede conllevar multas severas para la empresa y responsabilidad penal para los directivos que autoricen el pago. Asesorar a un cliente a pagar hoy es, potencialmente, exponerlo a un procedimiento sancionador mañana. La estrategia debe ser: backups inmutables y aislados, segmentación de red micros egmentada, y capacidades de detección y respuesta que permitan actuar antes de la fase de extorsión.

La realidad es que la mayoría de empresas españolas con las que hablo aún no han implementado controles básicos como almacenamiento de backups offline (en cintas o discos duros físicos desconectados) o segmentación estricta entre la red corporativa y los entornos de producción críticos. Sin estos cimientos, todas las herramientas avanzadas del mundo serán un parche costoso sobre una estructura podrida. El ransomware de 2026 no es un problema técnico únicamente; es un riesgo empresarial existencial que requiere una gobernanza desde el comité de dirección, inversión sostenida en capacidades básicas y avanzadas, y un ejercicio constante de preparación. La pregunta no es si tu empresa será objetivo, sino cuándo, y si para entonces habrás construido la resiliencia necesaria para decir "no" y sobrevivir.

Recursos y referencias

1. Sigma HQ - Repositorio oficial de reglas Sigma: https://github.com/SigmaHQ/sigma - La fuente primaria para reglas de detección de tácticas ofensivas actualizadas por la comunidad.
2. MITRE ATT&CK - Tácticas de Exfiltración (TA0010): https://attack.mitre.org/tactics/TA0010/ - Marco de referencia esencial para entender y mapear las técnicas de exfiltración de datos.
3. CISA - StopRansomware Guide (Actualizado 2025): https://www.cisa.gov/stopransomware - Guía práctica y detallada con checklist de mitigaciones, desde básicas a avanzadas.
4. Paper de investigación: "The Evolution of Ransomware: From Encryption to Multi-Layered Extortion" (UNIT42 - Palo Alto Networks, 2026): https://unit42.paloaltonetworks.com/ransomware-evolution-2026/ - Análisis en profundidad de las tácticas y grupos observados en el último año.