El ransomware se vuelve personal: amenazas físicas en la puerta de casa

Este es un análisis de información publicada por terceros. Las cifras siguientes proceden del Ransomware Risk Report anual de Semperis tal como lo recogió The Register (Jessica Lyons, 14 de octubre de 2026). No hicimos la encuesta; lee las cifras como datos autodeclarados por organizaciones que ya habían sufrido una brecha, recogidos por un proveedor.

La versión corta

El centro de gravedad del ransomware se ha desplazado. El modelo inicial era técnico: cifrar los datos y vender la clave. Después llegaron la doble extorsión (robar primero, cifrar después) y el sitio de filtraciones. La información de 2026 describe un tercer giro: coaccionar a las personas. Según la encuesta de Semperis a 1.200 organizaciones atacadas por ransomware en el primer semestre de 2026, el 37 % de los ataques incluyeron amenazas psicológicas o físicas contra el personal: un 23 % intimidación psicológica y un 17 % amenazas físicas explícitas.

Lo que recoge la encuesta

• El 25 % sufrió doxxing: se publicaron sus datos personales (domicilio y dirección del trabajo, números de teléfono).
• El 23 % sufrió swatting: una llamada de emergencia falsa (aviso de bomba o de tirador activo) hecha para provocar una respuesta policial armada en un domicilio.
• El 24 % contrató equipos de seguridad personal como respuesta.
• El 25 % buscó tratamiento psicológico o médico después de un incidente.
• El 53 % dijo que los atacantes cumplieron sus amenazas en el último año. Cumplimientos declarados: mensajes, cartas o paquetes amenazantes (57 %), amenazas contra familiares o amigos (37 %), intrusión física (19 %), secuestro (17 %), daños físicos (13 %) y acoso (6 %).

El responsable de respuesta a incidentes citado, Tim Beasley, de Semperis (antes investigador principal del Detection and Response Team de Microsoft), describe un paquete de regalo que apareció en su casa en mitad de una investigación («cosas del tipo sabemos dónde estás»), directivos a los que enviaron fotografías de los colegios de sus hijos y lo que él llama «violencia como servicio». Atribuye estas tácticas a grupos conocidos como Scattered Spider, ShinyHunters y Lapsus$. ShinyHunters, por su parte, dijo a The Register que «no atacan a seres humanos», aunque admitió que a veces «llevan a la empresa al límite absoluto».

Lee las cifras con cuidado

Es la encuesta autodeclarada de un único proveedor a una población que, por definición, ya estaba comprometida. Te dice lo que vivieron las víctimas del ransomware, no la tasa de base en todas las organizaciones, y las caracterizaciones son de los propios encuestados. El valor está en la dirección coherente de muchas de las cifras, no en un porcentaje concreto. Visto así, la señal es difícil de descartar: la coacción de personas es ya una parte habitual del negocio del ransomware, no una rareza.

Por qué esto cambia el manual

Si la extorsión se dirige ahora a las personas, el plan de respuesta también tiene que hacerlo. La mayoría de los manuales de ransomware se construyen en torno a los sistemas: aislar, erradicar, restaurar, notificar. El giro hacia la coacción humana añade una segunda vía que la mayoría de los planes apenas menciona:

• El deber de cuidado es ahora un requisito de la respuesta a incidentes, no una cortesía de RR. HH. Si una cuarta parte de las víctimas buscó tratamiento médico o psicológico y otra cuarta parte contrató seguridad personal, «apoyar al personal afectado» necesita un responsable con nombre, una partida presupuestaria y un procedimiento, antes de un incidente y no durante.
• Decide de antemano la postura de pagar o no pagar. La información es tajante: el 69 % de las víctimas volvió a ser atacado en 12 meses y el 31 % pagó más de una vez. Pagar bajo coacción, cuando están amenazando a la familia de un directivo, es el peor momento posible para decidir la política. Decídela en el consejo, por escrito, con asesoría jurídica y con calma.
• Planifica específicamente para el doxxing y el swatting. Avisa de antemano a la policía local de que podría usarse una llamada de swatting contra directivos concretos; ten preparada una vía de retirada de contenidos y de protección de la identidad para el personal que sufra doxxing; y mantén baja, como control permanente, la exposición de los domicilios de las personas clave.
• Implica pronto a las fuerzas del orden. El consejo que recoge la información es llamar al FBI (o a su equivalente local) cuanto antes, y no negociar en solitario bajo amenaza.
• Incluye escenarios de coacción humana en los ejercicios de simulación. Ensaya la llamada en la que una amenaza menciona al hijo de alguien, no solo aquella en la que un servidor está caído. Las decisiones son distintas, y la primera vez que tu dirección se enfrente a ellas no debería ser en directo.

Dónde encaja PlayCISO

Dos de nuestras herramientas en el navegador encajan directamente con esto (el IR Playbook Lab es gratuito; Ransomware Readiness es una herramienta Pro que puedes probar gratis: una cuenta gratuita incluye 3 usos de herramientas Pro):

• Ransomware Readiness: puntúa tu preparación en prevención, detección, respuesta y recuperación, incluidas las brechas de toma de decisiones y de comunicación que aprovechan los ataques de coacción humana.
• IR Playbook Lab: ordena correctamente una respuesta a incidentes (crear la imagen antes de borrar, erradicar antes de restaurar) y practica el orden de las operaciones bajo presión.

Y para recordar que ninguna organización está exenta, incluidas las firmas que venden seguridad, consulta el Consultancy Cyber Breach Index, que sigue el historial documentado de ransomware y extorsión de las diez mayores firmas de consultoría.

Fuente: The Register, 14 de octubre de 2026, sobre el Ransomware Risk Report anual de Semperis (encuesta global a 1.200 organizaciones afectadas por ransomware, primer semestre de 2026). Las cifras las declaran las propias víctimas encuestadas. Nada de esto es asesoramiento legal; las decisiones de pago de un rescate tienen implicaciones legales y de cumplimiento de sanciones y corresponden a la asesoría jurídica y a las fuerzas del orden.