Profundización en la categoría: Las demandas de Ransomware alcanzaron su máximo histórico en 2024

Nota de la Redacción: El siguiente post es un extracto de nuestro Informe sobre delitos informáticos 2025que iremos desglosando por categorías de amenazas en las próximas semanas. En entradas anteriores, echamos un vistazo a los volúmenes totales de transacciones de criptomonedas, cómo las entidades sancionadas impulsaron el volumen ilícito de cripto en 2024y las tendencias en el uso de cripto en la financiación del terrorismo durante el año pasado.

Para leer el Informe sobre la Criptodelincuencia 2025 en su totalidad y descargar su ejemplar, haga clic aquí.

{{horizontal-line}}

Ransomware siguió siendo una amenaza prolífica y creciente en 2024, con 5.635 ataques denunciados públicamente (el análisis se basa en los datos de sitios de filtración de ransomware disponibles a 6 de enero de 2025; excluye los incidentes no denunciados) , superando los 5.223 de 2023. 

Las exigencias económicas de los autores de ransomware también han alcanzado niveles sin precedentes, como demuestra el pago récord de 75 millones de dólares realizado al grupo de ransomware Dark Angels en marzo de 2024. Esta escalada de peticiones de rescate pone de manifiesto la creciente audacia y sofisticación de los actores de amenazas, que están aprovechando herramientas y técnicas avanzadas para maximizar sus esfuerzos de extorsión.

El panorama del ransomware y los delitos relacionados con las criptomonedas es muy fluido, y las normas actuales están sujetas a una rápida evolución. Una tendencia notable identificada por el equipo de inteligencia de amenazas de TRM en 2024 fue la disminución del uso de mezcladores de criptomonedas para blanquear los ingresos del ransomware . En su lugar, las amenazas aprovechan cada vez más los puentes entre cadenas para ocultar las transacciones y permitir conversiones de criptomoneda sin problemas antes de cobrar.

Aunque el bitcoin sigue siendo la moneda principal para los pagos de ransomware , una parte sustancial de estos fondos se convierte a otras criptomonedas. El uso de puentes proporciona un medio más rápido y eficiente de convertir fondos ilícitos, al tiempo que crea una ilusión de mayor anonimato para los ciberdelincuentes.

Nuevos grupos de ransomware entraron en el campo, mientras que otros grupos existentes cambiaron de marca.

En 2024 aparecieron varios grupos nuevos de ransomware , como Brain Cipher, dAn0n, DragonForce, Fog, Funksec, RansomHub, Sarcoma y Trinity. Estos grupos no han tardado en ganar notoriedad por sus sofisticadas tácticas y el éxito de sus ataques en diversos sectores. Por ejemplo, Trinity se ha asociado a ataques contra infraestructuras críticas, como organizaciones sanitarias y gubernamentales, incluidos dos proveedores de atención sanitaria con sede en el Reino Unido y Estados Unidos.

Además de los nuevos participantes, varios grupos importantes de ransomware cambiaron de marca o de nombre para eludir el escrutinio de las fuerzas de seguridad. Algunos ejemplos notables son el resurgimiento de grupos como Lynx (alias INC), DennistheHitman (alias GlobeImposter) y Qilin (alias Agenda), que han adoptado métodos de extorsión innovadores para aumentar su eficacia. 

El modelo Ransomware(RaaS) sigue dominando el ecosistema, permitiendo a los actores menos cualificados llevar a cabo ataques de gran impacto. Los afiliados se han vuelto cada vez más adaptables, cambiando a menudo entre plataformas y grupos, como demuestra la actividad en la cadena. 

Aunque el panorama del ransomware ha estado tradicionalmente muy asociado a actores de habla rusa, especialmente a nivel de administradores, se ha diversificado con los años. Los grupos incorporan ahora afiliados de todo el mundo con un amplio espectro de conocimientos lingüísticos. Por ejemplo, el ransomware DragonForce demuestra este cambio, con vínculos con el norte o centro de Asia, como sugieren las grabaciones de audio de sus actores asociados en su sitio TOR.

A pesar de este cambio, los grupos de ransomware de habla rusa siguen siendo muy activos, con algunos de los actores más sofisticados del panorama cibercriminal. Muchos de estos grupos están vinculados a ataques de gran repercusión y utilizan técnicas de cifrado avanzadas, tácticas de extorsión innovadoras y modelos RaaS para ampliar sus operaciones.

Los ataques más destacados de 2024 se dirigieron principalmente a los sectores de la tecnología, el comercio minorista y los servicios financieros.

Los sitios de filtración de datos han proliferado, sirviendo como plataformas para la vergüenza pública y la extorsión. Estos sitios se utilizan cada vez más en estrategias de extorsión de varios niveles, añadiendo presión a las víctimas para que paguen rescates mediante la publicación de los nombres de las víctimas y los datos de las empresas.

En 2024, los ataques Ransomware siguieron dirigiéndose a sectores críticos, causando trastornos generalizados, y los tres sectores principales fueron el tecnológico, el manufacturero y el de servicios profesionales (el análisis se basa en los datos de sitios de filtración de ransomware disponibles a 6 de enero de 2025; excluye los incidentes no notificados). Las tendencias de cara a 2025 sugieren que los grupos de ransomware seguirán centrándose en la sanidad y las infraestructuras críticas, las vulnerabilidades de la cadena de suministro y los proveedores de servicios en la nube para maximizar su eficacia e impacto.

• Sanidad e infraestructuras críticas: Los sistemas sanitarios siguen siendo un objetivo prioritario, con ataques que causan importantes interrupciones en la atención a los pacientes y en las operaciones. Los ataques contra organizaciones como Change Healthcare y PIH Health ponen de manifiesto la vulnerabilidad de los servicios críticos ante las ciberamenazas.

• Compromiso de la cadena de suministro: Los atacantes se han centrado cada vez más en vendedores y proveedores de servicios como CDK Global y Blue Yonder para maximizar los impactos descendentes. Esta táctica ha sido especialmente perjudicial en los sectores tecnológico y manufacturero, donde las dependencias son elevadas.

• Proveedores de servicios en la nube: Los proveedores de servicios en la nube han sido objeto de ataques de gran repercusión, que han dado lugar a la exposición de datos confidenciales y a la interrupción de servicios en todo el mundo. En junio de 2024, los ataques de robo de datos se dirigieron a clientes de la plataforma de datos en la nube Snowflake, lo que provocó brechas en empresas como AT&T, Ticketmaster y el Banco Santander. Los atacantes obtuvieron credenciales de inicio de sesión a través de malware infostealer, poniendo en peligro datos sensibles de los clientes.

La colaboración internacional es fundamental para desarticular a los autores de ransomware

En 2024, los esfuerzos mundiales para combatir el ransomware incluyeron importantes colaboraciones internacionales como la Operación Cronos, que desbarató la infraestructura de LockBit, y la Operación Endgame, dirigida contra redes de ransomware en toda Europa. La Counter Ransomware Initiative (CRI) reunió a 68 naciones para mejorar las estrategias contra el ransomware, mientras que las sanciones se dirigieron a figuras clave de grupos como Evil Corp. El aumento de la colaboración entre entidades públicas y privadas ha sido decisivo para estos éxitos. El intercambio de inteligencia en tiempo real y las operaciones conjuntas han ampliado los recursos y han permitido la interrupción oportuna de los ataques en curso, poniendo de relieve la importancia de las asociaciones sólidas en la lucha contra el ransomware.

{{horizontal-line}}

Siguiente entrega de esta serie: Echamos un vistazo más de cerca a las pérdidas de criptomonedas por hackeos y exploits en 2024 - y detallamos los ataques clave llevados a cabo por Corea del Norte el año pasado.

¿Preparado para sumergirte en el informe completo 2025 Crypto Crime Report? Consiga su copia aquí.