Google Threat Intelligence Group (GTIG) ha publicado un informe global sobre la evolución del ransomware en 2025.
El estudio detalla las tácticas, técnicas y procedimientos específicos observados a lo largo del año pasado y, específicamente, sugiere que la rentabilidad general de las operaciones de ransomware ha disminuido y marca indicios de que algunos actores de ransomware están desplazando su objetivo fuera de las grandes corporaciones para centrarse en extorsiones basadas puramente en el robo de datos (sin necesidad de cifrado).
Estos datos extraídos por Google se basan en la experiencia directa de los equipos de respuesta a incidentes de Mandiant Consulting durante el último año.
A continuación, se presentan algunos de los aspectos y tendencias clave:
Índice de temas
Caída de ingresos y nuevos objetivos
- Menor rentabilidad: A pesar de un número récord de víctimas publicadas en sitios de filtración de datos (DLS) en 2025, la rentabilidad general de las operaciones de ransomware parece estar disminuyendo, probablemente debido a la mejora de las prácticas de ciberseguridad y la mayor capacidad de recuperación de las víctimas.
- Foco en la pequeña empresa: Al ser las grandes corporaciones objetivos más difíciles, los atacantes están optando por un mayor volumen de ataques contra organizaciones más pequeñas, cuyos sistemas de seguridad suelen ser menos robustos.
- El auge del robo de datos: El 77% de las intrusiones analizadas en 2025 incluyeron robo de datos (frente al 57% de 2024). Esto indica que los adversarios pueden ver la extorsión por robo de datos como un método más fiable para asegurar los pagos.
Los atacantes están optando por un mayor volumen de ataques contra organizaciones más pequeñas, cuyos sistemas de seguridad suelen ser menos robustos
La familia de ransomware REDBIKE ha sido la más detectada en las intervenciones de Mandiant, estando presente en casi un 30% de los casos
Evolución de los procedimientos de ataque
- Vector de acceso inicial: Los actores de ransomware confiaron más fuertemente en la explotación de vulnerabilidades en infraestructuras expuestas para obtener acceso inicial, un cambio respecto al uso extensivo del año pasado de ataques de fuerza bruta y credenciales robadas.
- Uso de herramientas legítimas: Los actores de amenazas continuaron confiando fuertemente en utilidades nativas y herramientas disponibles públicamente; sin embargo, hubo algunas categorías donde se observa una disminución, incluyendo herramientas de gestión remota y ciertos marcos de postexplotación como CobaltStrike.
- Familia más prevalente: La familia de ransomware REDBIKE ha sido la más detectada en las intervenciones de Mandiant, estando presente en casi un 30% de los casos.
