La economía de la extorsión digital está evolucionando. Los cibercriminales siguen utilizando ransomware, pero cada vez con más frecuencia apuestan por campañas basadas en la exfiltración de datos y la amenaza de su publicación, aprovechando el impacto reputacional, financiero y regulatorio que puede generar en las organizaciones.
Así lo refleja un nuevo análisis de Unit 42, la unidad de inteligencia de amenazas de Palo Alto Networks, que identifica un cambio significativo en el panorama global de ciberamenazas. Durante 2025, como se detalla en el informe 2026 Global Incident Response Report, el porcentaje total de incidentes de extorsión que incluyeron cifrado de sistemas descendió hasta el 78%, frente a niveles superiores al 90% registrados durante los cuatro años anteriores.
Entre los actores de amenazas monitorizados por Unit 42 que han demostrado una clara transición desde el ransomware tradicional hacia el robo de datos y la extorsión pura se encuentran: Bling Libra (también conocido como ShinyHunters), centrado en aplicaciones software as a service (SaaS), y Hazy Scorpius (también conocido como CLOP), que ha explotado una vulnerabilidad en Oracle EBS.
La inteligencia artificial está acelerando la capacidad de los atacantes para identificar vulnerabilidades, automatizar campañas y reducir los tiempos de exfiltración, incrementando la velocidad y escala de las operaciones de extorsión digital.
Al analizar esta pronunciada caída en el uso del cifrado, la unidad de inteligencia de amenazas de Palo Alto Networks ha identificado que viene promovida por cuatro factores principales: La mejora de las capacidades de copia de seguridad y recuperación, que permite restaurar sistemas de forma rutinaria y eficiente; la mayor madurez de las soluciones de protección de endpoints y la eficacia de los mecanismos automatizados de interrupción de ataques; la creciente velocidad de exfiltración de datos (según datos de Unit 42, los atacantes pueden pasar del acceso inicial al robo completo de información en apenas 72 minutos), y el aumento de la presión regulatoria, donde las multas por incumplimiento, las demandas colectivas y el daño reputacional sistémico representan una herramienta de presión más poderosa para los atacantes que la propia interrupción operativa.
Por sectores, en 2025, las campañas centradas exclusivamente en la exfiltración de datos se dirigieron principalmente a empresas de servicios profesionales, sanidad y servicios al consumidor, con un especial foco en organizaciones medianas, que representaron el 64% de las víctimas.
Aunque la industria manufacturera sigue siendo el sector más afectado en términos generales, el sector de la construcción registró un incremento interanual del 44% como objetivo de operaciones de extorsión basadas únicamente en el robo de datos. Estas compañías resultan especialmente atractivas para los atacantes debido al valor de sus planes financieros, información de licitaciones y otros datos sensibles.
El coste medio asociado a los incidentes de extorsión basados en el robo de datos alcanza ya los 5,08 millones de dólares (4,4 millones de euros), una cifra que puede superar los 10 millones de dólares (8,6 millones de euros) en los casos de brechas de gran alcance.
