A principios de 2026, una empresa de manufactura en México recibió la misma notificación que han visto cientos de organizaciones latinoamericanas en los últimos doce meses: sus servidores estaban cifrados, sus archivos inaccesibles, y en la pantalla aparecía un mensaje exigiendo un rescate en criptomonedas. El grupo detrás del ataque era Akira. La puerta de entrada fue una VPN sin autenticación multifactor. El tiempo entre la primera intrusión y el cifrado completo de los sistemas fue de menos de 48 horas.
No fue un caso aislado. Durante el primer semestre de 2026 se registraron 4,699 ataques de ransomware confirmados a escala global, un 16.5% más que en el mismo período de 2025. Latinoamérica no es una víctima colateral de esta ola. Es uno de los objetivos principales.
Este artículo explica qué está pasando, por qué las empresas latinoamericanas están siendo atacadas con mayor frecuencia que hace dos años, y qué controles específicos marcan la diferencia entre las organizaciones que sobreviven un ataque y las que no.
El 68% de las empresas latinoamericanas sufrió al menos un incidente de ciberseguridad en 2025, según el Compromise Report 2026. No es una estadística de grandes corporaciones. La mayoría de las organizaciones afectadas eran medianas y pequeñas, con entre 20 y 200 empleados, exactamente el perfil de empresa que asume que los atacantes van por objetivos más grandes.
Check Point Research documentó un promedio de 3,065 ciberataques semanales por organización en América Latina durante el cierre de 2025, la tasa más alta a nivel global. El incremento interanual en la región fue del 26%, mientras que el promedio mundial se mantuvo por debajo del 15%. Latinoamérica no está siguiendo la tendencia global. La está liderando en la dirección equivocada.
La razón no es que las empresas latinoamericanas sean descuidadas. Es que la digitalización acelerada de los últimos cinco años creó una superficie de ataque enorme sin que los controles de seguridad crecieran al mismo ritmo. Más dispositivos conectados. Más empleados trabajando desde casa. Más plataformas en la nube. Y en muchos casos, las mismas políticas de seguridad de 2019.
El ecosistema de ransomware en 2026 funciona como una industria de servicios. Los grupos desarrollan el software y la infraestructura, reclutan afiliados que ejecutan los ataques, y reparten las ganancias. El modelo se llama Ransomware como Servicio, y ha reducido la barrera técnica para atacar una empresa mediana en Ciudad de México, Bogotá o Santiago al mismo nivel que atacar una en cualquier otra parte del mundo.
Tres grupos concentraron el 33.5% de todos los ataques de ransomware confirmados en el primer semestre de 2026.
Qilin lidera el ranking con 722 ataques confirmados. Su diferencial dentro del ecosistema criminal es organizacional: ofrece servicios de asesoría legal a sus afiliados para gestionar negociaciones de rescate, una señal de cuánto se han profesionalizado estos grupos. Sus sectores preferidos son salud, educación y servicios empresariales.
The Gentlemen llegó al segundo puesto con cerca de 550 ataques. Lo que hace a este grupo particularmente peligroso es su método: analiza las defensas de cada objetivo antes de modificar sus herramientas para superar los controles de seguridad existentes. No llega con el mismo malware para todos. Llega con el malware diseñado para las defensas específicas de cada víctima.
Akira completó el podio con más de 300 ataques confirmados en el semestre, muchos de ellos en Latinoamérica. El FBI y la CISA emitieron alertas específicas sobre este grupo. Sus víctimas confirmadas en la región incluyen empresas en Brasil, México, Argentina, Colombia, Chile, Perú, Ecuador, Venezuela, Panamá, Nicaragua, Uruguay y Guatemala. El rango de rescate que exige va desde $200,000 USD hasta varios millones.
Akira no necesita explotar una vulnerabilidad técnica sofisticada para entrar a la mayoría de sus víctimas. El caso de la empresa de manufactura mexicana es el patrón más común: una VPN sin autenticación multifactor. Un usuario, una contraseña. Sin segundo factor. Sin alertas de inicio de sesión desde ubicaciones inusuales. El atacante prueba credenciales hasta encontrar una que funcione, y una vez dentro, tiene acceso a la red interna como si fuera un empleado legítimo.
El caso del sector salud que documentó NetProvider en Chile es aún más directo: un usuario y contraseña idénticos en una VPN dieron acceso a 250 GB de datos de pacientes. La misma credencial en dos sistemas, ninguno con MFA. El análisis de ESET encontró que las credenciales comprometidas son la puerta de entrada en la gran mayoría de los ataques confirmados en la región durante 2026.
La segunda puerta es la nube mal configurada. Varios de los ataques documentados en Chile, México y Brasil durante el primer semestre de 2026 aprovecharon plataformas Microsoft 365 y entornos cloud con configuraciones incorrectas: permisos demasiado amplios, autenticación legacy habilitada, políticas de acceso condicional ausentes. La migración a la nube que aceleró la pandemia se hizo con prisa. Las configuraciones de seguridad quedaron en segundo plano y en muchos casos nunca se revisaron.
La tercera es el phishing adaptado. El uso de inteligencia artificial por parte de grupos criminales latinoamericanos está produciendo correos de phishing en español impecable, con referencias a proveedores reales, nombres de ejecutivos reales, y contexto de negocios específico de cada industria objetivo. El correo que llega del proveedor de nómina, del banco, o del cliente más importante ya no tiene los errores ortográficos que lo delataban hace tres años.
En 2026, la mayoría de los ataques de ransomware en Latinoamérica no son solo ataques de cifrado. Son ataques de doble extorsión. El atacante primero exfiltra los datos, luego cifra los sistemas. El rescate tiene dos componentes: uno para recuperar el acceso a los sistemas, otro para que los datos no se publiquen en la dark web o no se envíen a los clientes, proveedores o reguladores de la empresa víctima.
Para una empresa de servicios profesionales en Colombia con contratos de clientes confidenciales, la amenaza de publicación puede ser más costosa que el cifrado. Para una clínica en Argentina con historial médico de pacientes, la notificación a los afectados y las sanciones regulatorias pueden superar con creces el monto del rescate. Los atacantes conocen esta aritmética mejor que sus víctimas.
El tiempo promedio de inactividad después de un ataque de ransomware en construcción es de 24 días, según QBE Canada. Para manufactura, los números son similares. Para servicios profesionales, donde el acceso a archivos de clientes es inmediato y constante, incluso una semana de inactividad puede ser suficiente para perder contratos y romper relaciones comerciales que tomaron años construir.
Hay una creencia extendida en las empresas medianas de la región de que los atacantes van por objetivos más grandes y más visibles. Los datos de 2026 desmienten esta suposición con claridad.
Las PyMEs latinoamericanas forman parte de cadenas de suministro de empresas más grandes. Tienen acceso a sistemas de clientes corporativos, manejo de datos financieros, y en muchos casos credenciales que abren puertas a organizaciones con las que trabajan. Para un grupo como Akira o The Gentlemen, comprometer a un proveedor mediano es muchas veces el camino más eficiente para llegar a la empresa grande que es el objetivo real.
El otro factor es económico. Las empresas medianas tienen suficiente capacidad de pago para que el rescate sea rentable, pero generalmente no tienen el equipo de seguridad interno para detectar y responder a un ataque antes de que el cifrado esté completo. Lumu Technologies encontró que cerca del 38% de las amenazas detectadas a nivel global ya no se identifican como malware tradicional. Los sistemas de detección que muchas PyMEs instalaron hace tres años no reconocen las variantes actuales.
Y la velocidad del ataque deja poco margen. Akira ha demostrado que puede ir desde el primer acceso hasta el cifrado completo de la red en menos de 48 horas. Sin monitoreo activo, esa ventana se cierra antes de que nadie se dé cuenta de que el ataque ya comenzó.
La buena noticia que los datos también muestran es que los ataques más comunes en Latinoamérica no son sofisticados. Son oportunistas. Explotan las mismas brechas básicas que llevan años sin cerrarse. Lo que distingue a las empresas que detectan y contienen un intento de intrusión de las que terminan pagando rescate no es tecnología de punta. Son cinco controles que más importan.
No todas las medidas requieren un proyecto. Hay tres acciones que cualquier empresa puede tomar esta semana sin inversión significativa y que reducen el riesgo de forma material.
Primero, auditar qué sistemas tienen acceso remoto y si todos tienen MFA habilitado. VPNs, escritorios remotos, correo corporativo, plataformas de gestión de proyectos, accesos de proveedores externos. Si alguno permite entrar solo con usuario y contraseña, esa es la prioridad número uno.
Segundo, verificar cuándo fue la última restauración de prueba del backup. No si el backup corrió, sino si alguien restauró algo desde él y confirmó que los archivos estaban íntegros. Si la respuesta es “no lo sabemos” o “hace más de seis meses”, ese backup no es confiable bajo presión.
Tercero, revisar si los sistemas con acceso a internet tienen las actualizaciones de seguridad del último mes aplicadas. Firewalls, VPNs, servidores de correo. Akira y los grupos que operan en Latinoamérica escanean activamente estas vulnerabilidades. El parche no aplicado esta semana puede ser la entrada el próximo mes.
El ransomware en Latinoamérica en 2026 no distingue por tamaño de empresa ni por sector. Distingue por nivel de preparación. Los grupos que operan en la región han demostrado que pueden comprometer una PyME de servicios en México con la misma eficiencia con la que atacan una corporación en Brasil. La diferencia no está en si van a intentarlo. Está en si van a encontrar las puertas abiertas cuando lo hagan.
Los controles que detienen la mayoría de estos ataques no son caros ni complejos. Son los mismos que llevan años recomendando los organismos de ciberseguridad. La brecha no es de conocimiento. Es de implementación. Y en un entorno donde el 68% de las empresas de la región ya sufrió un incidente, esperar para cerrarla es una decisión que tiene un costo concreto.
Tecbound apoya a empresas canadienses con presencia en Latinoamérica con servicios de TI gestionados, ciberseguridad y respuesta a incidentes. Si su empresa opera en ambas regiones y quiere revisar su postura de seguridad actual, contáctenos aquí.
La combinación de digitalización acelerada y madurez de seguridad variable crea un perfil de riesgo alto. Muchas empresas latinoamericanas migraron a la nube y adoptaron trabajo remoto sin actualizar sus controles de seguridad al mismo ritmo. Los grupos de ransomware como Akira y Qilin identifican esta brecha y la explotan sistemáticamente. A esto se suma que las PyMEs de la región forman parte de cadenas de suministro de empresas más grandes, lo que las convierte en puntos de entrada atractivos para ataques más ambiciosos.
Akira es un grupo de ransomware que opera bajo el modelo de servicio: desarrolla el malware y la infraestructura, y recluta afiliados que ejecutan los ataques y comparten las ganancias. El FBI, la CISA y organismos de ciberseguridad europeos emitieron alertas conjuntas sobre Akira porque su actividad creció de forma sostenida desde 2023 y sus víctimas confirmadas abarcan más de una docena de países en Latinoamérica. Su método de entrada más frecuente es el aprovechamiento de VPNs sin autenticación multifactor.
La doble extorsión es la práctica en la que el atacante primero copia los datos de la empresa y luego los cifra. El rescate tiene dos componentes: uno para recuperar el acceso a los sistemas y otro para que los datos no se publiquen en foros de la dark web ni se envíen a clientes o reguladores. Para empresas que manejan información confidencial de clientes, la amenaza de publicación puede ser más costosa que la interrupción operativa. La mayoría de los grupos activos en Latinoamérica en 2026, incluyendo Akira, Qilin y The Gentlemen, utilizan este modelo.
El punto de partida es responder tres preguntas. ¿Todos los accesos remotos a la red y a las plataformas corporativas requieren autenticación multifactor? ¿Existe un backup reciente que haya sido restaurado exitosamente en los últimos 90 días y que esté almacenado en un entorno separado de la red principal? ¿Los sistemas con acceso a internet tienen aplicadas las actualizaciones de seguridad del último mes? Si alguna de estas respuestas es negativa o incierta, esa es la brecha que más probablemente explotaría un atacante hoy.
El FBI y la mayoría de organismos de ciberseguridad recomiendan no pagar. Las razones son prácticas además de éticas: pagar no garantiza que se reciban las claves de descifrado, no garantiza que los datos no se publiquen de todas formas, y confirma al atacante que la empresa tiene capacidad de pago, lo que aumenta la probabilidad de un ataque futuro. Las empresas que cuentan con backups probados y un plan de respuesta documentado no necesitan tomar esa decisión. Las que no los tienen, a menudo no ven otra salida.
Varios de los ataques documentados en Chile, México y Brasil durante 2026 aprovecharon configuraciones incorrectas en Microsoft 365. La plataforma tiene controles de seguridad robustos disponibles, pero la configuración predeterminada no los activa todos. Autenticación heredada habilitada, ausencia de políticas de acceso condicional, y cuentas de administrador sin MFA son las brechas más comunes que los atacantes explotan. Una revisión de seguridad de M365 toma entre dos y cuatro horas e identifica los ajustes específicos que reducen el riesgo de forma significativa.
Get A FREE Subscription To Weekly Cybersecurity Tips So Your Company Doesn’t Become The Next Victim.
