El ransomware ya no cifra de golpe: lleva meses en tus sistemas antes de activarse y así lo detectas

Imagínate que llevas cuatro meses respaldando tus datos todos los días. Backups impecables, todo automatizado, te sientes seguro. Y un martes en la mañana el ransomware se activa y resulta que todos tus backups ya estaban envenenados desde enero. Eso no es ciencia ficción: es la táctica que están documentando los investigadores en 2026 y ya está llegando a empresas mexicanas.

El ataque que no parece ataque

El ransomware clásico entraba, cifraba todo y pedía la lana. Era brutal pero al menos rápido: lo notabas de inmediato. El problema con las variantes modernas potenciadas con IA es exactamente lo contrario: la lentitud es el arma.

En lugar de cifrar de golpe, estos sistemas autónomos pasan semanas o meses haciendo modificaciones sutiles: corrompen registros de bases de datos de manera gradual, alteran archivos de configuración por pequeñas fracciones, manipulan transacciones financieras con errores mínimos que no levantan alertas. Para cuando el ataque final se ejecuta, los backups ya no son confiables porque también contienen los datos corruptos.

Mandiant reportó en su M-Trends 2026 que en operaciones de espionaje el tiempo de permanencia (dwell time) promedio está alcanzando los 122 días. Y los grupos de ransomware están adoptando exactamente ese mismo playbook.

La parte más preocupante: el AI no solo se esconde, también razona. Variantes como la familia “Gentlemen” cifran archivos sin cambiarles el nombre ni modificar los timestamps, haciendo que los sistemas de detección por comportamiento no noten nada raro. El acceso inicial se consigue automatizado: escaneo de vulnerabilidades, generación de exploits, escalación de privilegios, todo sin que un humano toque el teclado.

México está en el ojo del huracán

Esto no es un problema “de allá”. México superó los 40,600 millones de intentos de ciberataque solo en la primera mitad de 2025, y sigue siendo el segundo país más atacado en Latinoamérica. IQSEC documentó que el número de organizaciones mexicanas con datos expuestos en portales de filtraciones se duplicó en 2025 vs 2024, llegando a 74 casos confirmados.

Para las PYMEs el panorama es peor: solo 4 de cada 10 empresas pequeñas en México tienen protocolos activos de seguridad o un plan de respuesta a incidentes. Y un ataque de ransomware exitoso puede costarle a una PYME más de 2 millones de pesos, con un tiempo de recuperación promedio de tres semanas. 3 de cada 5 pequeñas empresas podrían cerrar definitivamente si no fortalecen su seguridad en los próximos cuatro años, según los datos más recientes.

La migración a la nube que aceleró pandemia fue perfecta, pero también abrió vectores que muchas empresas no taparon. El 80% de los ataques exitosos en nube ocurren por vulnerabilidades conocidas o mal configuradas, no por técnicas sofisticadas de día cero. AWS, Azure y GCP son seguros si los configuras bien. El problema es que casi nadie los configura bien.

Lo que los atacantes saben y tú no

En 2025-2026, los grupos de ransomware cambiaron su prioridad: ya no van primero a los datos del usuario. Van primero a la infraestructura de recuperación. Servidor de backups, snapshots en la nube, hipervisores, sistemas de gestión de identidad. Si logran comprometer eso antes de activar el ataque, literalmente te quitan las opciones de respuesta.

Recorded Future documentó para 2026 que aproximadamente el 50% de los ataques rastreados ya involucran extorsión por robo de datos en lugar de solo cifrado. O sea, ni siquiera necesitan cifrar nada: con tener tus datos ya tienen palanca. Y casi el 50% de las empresas que son atacadas terminan pagando, lo que retroalimenta el modelo de negocio criminal.

Otra táctica que está creciendo como la espuma: reclutamiento de insiders. Los grupos de ransomware están contratando a empleados descontentos para que entreguen accesos o instalen herramientas desde adentro. Esto aplica muchísimo para startups mexicanas donde la rotación de personal es alta y los controles de offboarding son flojos.

Y hablando de IA aplicada a ataques, si no leíste sobre cómo Claude Mythos encontró miles de zero-days en Windows, Chrome y macOS sin intervención humana, date una vuelta porque ese artículo te va a bajar los humos respecto a qué tan rápido está acelerando la ofensiva automatizada.

Qué hacer hoy: guía al chile

Nada de teoría. Estas son las acciones concretas que una PYME o startup mexicana puede empezar a implementar ahora mismo:

1. La regla 3-2-1-1 para backups

Tres copias de tus datos, en dos medios distintos, una offsite, y una offline completamente aislada de la red. Esa última copia es la que sobrevive aunque los atacantes comprometan todo lo demás. Si tus backups están en el mismo tenant de Azure que el resto de tu infraestructura, ya los comprometieron contigo.

2. Monitoreo de integridad de archivos (FIM)

Wazuh es open source, gratuito y funciona muy bien para esto. Configura alertas cuando archivos críticos sean modificados fuera de ventanas de mantenimiento programadas. No detecta ransomware sofisticado al instante, pero sí patrones anómalos de modificación gradual que podrían indicar manipulación silenciosa.

3. Zero Trust en credenciales de nube

El 80% de compromisos en nube empieza por credenciales expuestas o con permisos excesivos. Audita tus IAM roles ahora mismo: elimina permisos que no se usan, activa MFA en todas las cuentas privilegiadas, y rota claves cada 90 días mínimo. En AWS usa AWS Config + Security Hub para tener visibilidad continua sin gastar un chingo.

4. Microsegmentación de red

No dejes que una máquina comprometida pueda hablar libremente con todo lo demás. En entornos cloud esto se logra con security groups bien configurados y VPC con subredes aisladas. Suena básico pero la mayoría de las empresas medianas en México tienen una red plana donde un solo punto de entrada puede moverse lateralmente a todo.

5. Simulacros de recuperación

¿Cuándo fue la última vez que tu empresa realmente restauró datos desde backup en un entorno limpio? Si la respuesta es “nunca” o “no sé”, tienes un problema. Programa un ejercicio de recuperación cada trimestre. La diferencia entre sobrevivir un ataque y cerrar es exactamente ese músculo.

Herramientas que puedes usar ahorita

Herramienta	Para qué sirve	Precio
Wazuh	SIEM/XDR open source, monitoreo de integridad	Gratis
Microsoft Defender for Cloud	Protección nativa en Azure, detección de amenazas	Desde $0 (tier gratuito)
AWS Security Hub	Visibilidad centralizada en AWS, conformidad	Desde $0.001/check
Malwarebytes for Teams	Endpoint protection PYMEs	~$49 USD/año por endpoint
Have I Been Pwned for Domains	Monitorea si tus emails corporativos están en leaks	Gratis

El factor humano que nadie menciona

Toda la tecnología del mundo no sirve si tu equipo abre el adjunto equivocado. El phishing potenciado con IA genera correos indistinguibles de comunicaciones reales de tu banco, de tu proveedor de nube, de tu contador. Infosecurity México 2026 (2-4 de junio en Centro Banamex) va a tener sesiones específicas sobre esto para el mercado local, por si quieres ir con tu equipo de IT.

La capacitación anti-phishing trimestral no es opcional en 2026. Es literalmente más efectiva en costo-beneficio que cualquier herramienta de detección avanzada si tu punto de entrada más vulnerable es el humano que revisa correos.

Y esto aplica igual para los controles de acceso de ex-empleados. Cuando alguien sale de tu empresa, sus credenciales de Google Workspace, AWS, GitHub y cualquier SaaS que usaba deben revocarse en las primeras horas. No en la siguiente semana cuando alguien se acuerde. Ahí es exactamente donde los grupos de ransomware están metiendo a sus insiders. Es una chimba de método de entrada porque parece actividad legítima hasta que no lo es.

El panorama para lo que queda de 2026

Trend Micro advirtió desde finales de 2025 que 2026 sería el año en que los ataques de ransomware totalmente autónomos dejarían de ser laboratorio y se volverían operacional. Ya lo estamos viendo. Los ataques globales aumentaron 32% en 2025, llegando a 7,419 incidentes según Comparitech (5,631 en 2024 vs 7,419 en 2025), y los grupos están presionando porque ganaron menos dinero a pesar de atacar más.

La buena noticia: 66% de las organizaciones en México planean aumentar su presupuesto de seguridad en 2026 según PwC’s Digital Trust Insights 2026. La mala: para la mayoría de las PYMEs ese presupuesto sigue siendo insuficiente para contratar equipos especializados. Por eso las herramientas open source y los servicios gratuitos de los grandes providers de nube son tu primer línea de defensa real, no la última opción.

Si migraste a la nube pensando que AWS o Azure ya se encargan de todo, despierta. Ellos cuidan la infraestructura. Lo que corre encima es tu responsabilidad.

¿Tu empresa ya tiene un plan de respuesta documentado para cuando les llegue un ransomware? Porque no es cuestión de si va a pasar, sino de cuándo. Cuéntanos en los comentarios cómo está el nivel de seguridad en tu empresa o startup, la neta vale mucho escuchar cómo están navegando esto desde México.

Fuentes

• Mandiant M-Trends 2026: Attackers handing off access in 22 seconds
• Recorded Future: New ransomware tactics to watch out for in 2026
• Cyber Strategy Institute: 2026 Ransomware Reality Report
• eSemanal: México supera 40,600 millones de ciberataques en Infosecurity México 2026
• Trend Micro: The AI-fication of Cyberthreats, Predictions 2026
• Mexico Business News: 2026, Rise of AI-Powered Cybercrime
• PasionMóvil: Infosecurity México 2026, ransomware en Latinoamérica
• VIRMAR: Estadísticas de ciberseguridad y ciberataques en México 2026