Los Grupos de Ransomware Más Activos en Latinoamérica en 2026

Nombrar grupos específicos de ransomware tiene un problema incómodo: para cuando este artículo se publique, es probable que alguno de los nombres más conocidos ya haya sido desmantelado por una operación policial internacional — y que dos grupos nuevos hayan surgido para ocupar el espacio que dejó. Es, literalmente, un juego de whack-a-mole a escala global. Aun así, entender cómo operan estos grupos como categoría, más que memorizar una lista de nombres que caduca rápido, es lo que realmente ayuda a una empresa a anticipar el tipo de amenaza que enfrenta.

El modelo de ransomware-as-a-service, que explicamos en detalle en nuestra guía sobre el tema, hace que los "grupos" no sean organizaciones monolíticas y estables, sino marcas criminales que pueden disolverse, reagruparse bajo otro nombre, o fragmentarse cuando sus operadores centrales son arrestados. Cuando las autoridades logran desmantelar la infraestructura de un grupo importante, es común ver que sus afiliados simplemente migran a otro kit de ransomware disponible en el mercado clandestino, en cuestión de semanas.

Aunque los nombres cambian, ciertos patrones de comportamiento se repiten consistentemente entre los grupos que más han afectado a la región:

Preferencia por sectores con alta presión operativa. Salud, manufactura y servicios financieros aparecen recurrentemente entre los sectores más atacados, precisamente porque la interrupción de sus operaciones genera una presión de pago más rápida que en otros tipos de negocio.

Doble extorsión como estándar, no como excepción. La gran mayoría de los grupos activos hoy combinan cifrado con exfiltración previa de datos, siguiendo el patrón que describimos en nuestra guía sobre doble extorsión.

Explotación de accesos comprados, no descubiertos. Buena parte de los ataques exitosos no empiezan con un hallazgo técnico sofisticado del atacante, sino con la compra de credenciales o accesos ya comprometidos en mercados clandestinos — a menudo obtenidos originalmente mediante phishing simple.

Horarios de ataque fuera del horario laboral local. Los cifrados suelen activarse de noche o en fines de semana, cuando la probabilidad de detección y respuesta inmediata es menor.

Presión psicológica adicional más allá de la técnica. Contactar directamente a clientes o socios de la víctima para presionar el pago, o fijar plazos con incrementos automáticos del monto exigido, son tácticas cada vez más comunes.

Varios factores explican por qué Latinoamérica, y Colombia específicamente, aparecen consistentemente en el radar de estos grupos: una digitalización acelerada de servicios financieros y gubernamentales que no siempre viene acompañada de la misma velocidad en madurez de ciberseguridad, un ecosistema empresarial con una alta proporción de pymes con recursos de seguridad limitados, y una percepción — no siempre correcta, pero persistente entre los atacantes — de que las empresas de la región tienen mayor probabilidad de negociar un pago que en mercados con regulaciones más estrictas sobre pagos de rescate.

Memorizar nombres de grupos específicos aporta poco valor real a una empresa — lo que sí aporta valor es entender el patrón de comportamiento y ajustar las defensas en consecuencia: