El primer semestre de 2026 quedará registrado en los libros de historia de la ciberseguridad como un punto de inflexión. Con 5.275 ataques de ransomware documentados, un ataque cada 63 minutos, y grupos criminales que operan con la estructura y la eficiencia de corporaciones multinacionales, las organizaciones de América Latina —incluida Colombia— ya no pueden ignorar que la pregunta no es si serán atacadas, sino cuándo.
1. Las cifras que definen el H1 2026
Según el informe de NordStellar publicado en julio de 2026, los ataques de ransomware aumentaron un 20% interanual en los primeros seis meses del año, con 5.275 incidentes registrados. Solo el segundo trimestre concentró 2.581 casos. Comparitech, por su parte, documentó 4.217 ataques confirmados o reportados en el mismo período — el índice histórico más alto de su rastreador — lo que equivale a un promedio de 23 ataques diarios.
En Europa, el panorama fue aún más alarmante: los ataques de ransomware crecieron un 55,1% interanual en los primeros cuatro meses del año, según el Informe de Riesgo Cibernético Europeo 2026 de Black Kite. Solo cinco países —Alemania, Reino Unido, Francia, Italia y España— concentraron el 70% de todos los incidentes en el continente.
En el contexto latinoamericano, el informe de NTT DATA señala que el primer semestre de 2026 estuvo marcado por la convergencia entre geopolítica, cibercrimen profesionalizado e inteligencia artificial ofensiva. En Colombia, el sector financiero, salud y manufactura reportaron el mayor número de intentos de compromiso.
Datos clave H1 2026
Ataques de ransomware registrados: +20% frente a H1 2025
NordStellarFrecuencia promedio global de un nuevo ataque de ransomware.
ComparitechVíctimas publicadas solamente durante el primer trimestre de 2026.
NTT DATADe todas las brechas analizadas presentaron ransomware.
NTT DATADe las víctimas se concentraron en los diez grupos más activos.
NTT DATADemanda récord exigida a un hospital japonés en febrero.
Comparitech2. Los grupos que dominaron el semestre: Qilin y The Gentlemen
Si el H1 2026 tuviera protagonistas, serían dos grupos de ransomware-as-a-service (RaaS) que reconfiguraron el ecosistema criminal: Qilin y The Gentlemen.
Qilin cerró el Q2 2026 como el grupo de ransomware más activo del mundo, con al menos 295 incidentes confirmados en el trimestre y completando 12 meses consecutivos como líder de la amenaza global. Atacó organizaciones en 26 de los 31 países europeos analizados y fue responsable de 372 incidentes documentados en el continente. Su objetivo favorito: el sector salud, con demandas medias de $310.000 USD por ataque a proveedores.
The Gentlemen emergió en septiembre de 2025 y en solo seis meses se convirtió en una fuerza disruptiva. Sus ataques a agencias gubernamentales pasaron de un solo incidente en H2 2025 a 22 en H1 2026. Su patrón de ataque es geográficamente más diverso que el de otros grupos —menos concentrado en EE.UU.— lo que sugiere una estrategia deliberada de fragmentación del riesgo para evadir respuestas coordinadas de las autoridades.
DragonForce también consolidó su posición con 147 incidentes y alcanzó su mayor volumen histórico. La competencia entre Qilin y The Gentlemen está acelerando el ritmo del ecosistema criminal: según NordStellar, cada grupo está ampliando operaciones para superar al otro, estableciendo un nuevo piso de actividad de aproximadamente 2.500 ataques por trimestre.
3. Los sectores más golpeados: manufactura, salud y gobierno
Manufactura: el blanco preferido.
El sector manufacturero absorbió 822 ataques en H1 2026, representando el 22% de todos los incidentes en el segmento empresarial. Los atacantes apuntan a manufactura por tres razones: alta dependencia de la continuidad operativa, sistemas OT y SCADA a menudo desactualizados, y la presión sobre la cadena de suministro que maximiza la probabilidad de pago del rescate.
Salud: el sector más vulnerable.
Las organizaciones de salud experimentaron 410 ataques de ransomware en los primeros seis meses de 2026, un aumento del 14% respecto al H2 2025, según Comparitech. 247 ataques afectaron directamente a hospitales, clínicas y proveedores de atención médica. El caso más grave fue el del Nippon Medical School Musashi Kosugi Hospital en Japón, al que el grupo NetRunner exigió $100 millones de dólares en febrero de 2026 — la demanda más alta documentada en la historia. La firma legal Weil, Gotshal & Manges LLP pagó entre $18M y $20M al grupo Silent Ransom Group para que eliminara datos robados.
Transporte: el mayor crecimiento.
Las empresas de transporte registraron el mayor incremento porcentual del semestre: +52% respecto al H2 2025. Este aumento refleja la creciente dependencia digital de la logística global y la proliferación de sistemas conectados en flotas y centros de distribución, muchos de ellos con controles de seguridad mínimos.
4. La IA ofensiva cambia las reglas del juego
Quizás el cambio más inquietante del H1 2026 no es el volumen de ataques, sino cómo se están ejecutando. El informe de NTT DATA sobre el primer semestre documenta que la inteligencia artificial ofensiva ya está impulsando ataques más rápidos, sigilosos y de mayor impacto. Tres tendencias son especialmente preocupantes:
Phishing hiperpersonalizado con IA. Los modelos de lenguaje permiten generar correos de phishing perfectamente redactados, culturalmente adaptados y sin los errores ortográficos que tradicionalmente alertaban a los usuarios. En Colombia, esto es especialmente relevante dado el uso del español local con modismos específicos que antes eran difíciles de falsificar.
Deepfakes en ingeniería social. Varios incidentes documentados en el primer semestre involucran el uso de audio y video sintético para impersonar directivos en llamadas de autorización de transferencias financieras (ataques BEC avanzados). INCIBE reporta que más de 28 millones de ciberataques globales en 2025 estuvieron impulsados por IA.
IA agéntica en el reconocimiento. Los atacantes están utilizando agentes de IA para automatizar la fase de reconocimiento: escaneo de superficies de ataque, identificación de vulnerabilidades expuestas y selección de vectores de entrada, todo sin intervención humana. Esto comprime dramáticamente el tiempo entre el primer acceso y el despliegue del ransomware.
5. Las tácticas de extorsión evolucionan: más allá del cifrado
Los datos de NordStellar sobre tácticas de negociación revelan una sofisticación alarmante: el 76,8% de las negociaciones incluyen amenaza de publicación de datos robados, y el 45,5% ofrecen un descuento por tiempo limitado para presionar el pago. Esta combinación de presión temporal y amenaza reputacional es deliberada y efectiva.
La extorsión múltiple se ha convertido en el estándar. Los grupos ya no simplemente cifran datos — los exfiltran primero, amenazan con publicarlos en sitios de leak en la dark web, notifican a los reguladores sobre posibles brechas de datos para generar presión regulatoria adicional, y en algunos casos contactan directamente a los clientes y socios de la víctima para maximizar la presión. Es una estrategia de 360 grados diseñada para que el pago parezca la opción menos costosa.
6. ¿Qué significa esto para las empresas en Colombia y Latinoamérica?
La geografía del ransomware está cambiando. Aunque históricamente América del Norte concentraba el mayor volumen de ataques, su participación proporcional está disminuyendo mientras que Europa y Asia-Pacífico absorben cuotas crecientes. América Latina, con una adopción tecnológica acelerada pero controles de seguridad que frecuentemente no han seguido el mismo ritmo, representa un objetivo de creciente interés para los grupos criminales.
Para las organizaciones colombianas, el H1 2026 plantea cinco prioridades urgentes:
1. Adoptar EDR/XDR. El antivirus tradicional no detecta las técnicas de evasión que emplean Qilin y The Gentlemen. La detección basada en comportamiento es no negociable.
2. Implementar MFA en todos los accesos. El robo de credenciales sigue siendo el vector de entrada principal. MFA elimina el 99% de los ataques basados en credenciales comprometidas.
3. Probar los backups. Tener backups no es suficiente — muchas organizaciones descubren durante el incidente que sus copias de seguridad también fueron cifradas o que no pueden restaurarlas en el tiempo requerido.
4. Capacitar al equipo contra deepfakes y phishing con IA. Los ataques son ahora convincentes en español colombiano. La sensibilización debe actualizarse con escenarios realistas y simulaciones periódicas.
5. Tener un plan de respuesta a incidentes. El 63% de las organizaciones que sufren ransomware no tenían un IRP documentado y probado. El tiempo de respuesta en las primeras horas determina si el impacto es contenido o catastrófico.
Conclusión: el tiempo de las buenas intenciones terminó
El H1 2026 confirma lo que los analistas llevan años advirtiendo: los ciberataques ya no son eventos aislados, sino operaciones continuas, automatizadas y altamente dirigidas ejecutadas por organizaciones criminales con recursos, estructura y objetivos definidos. La pregunta ya no es si su organización será atacada — es si estará lista cuando suceda.
En XCyberShields monitoreamos el panorama de amenazas en tiempo real para proteger a nuestros clientes en Colombia y Latinoamérica. Si quiere evaluar el nivel de exposición de su organización frente a las amenazas documentadas en este informe, contáctenos para un diagnóstico gratuito de 30 minutos.
www.xcybershields.com | info@xcybershields.com | +57 321 4353358