El ransomware ha sido una amenaza importante de ciberseguridad durante más de una década, y la inteligencia de blockchain se ha vuelto dramáticamente más sofisticada en ese mismo período, hasta el punto de que una gran parte de los pagos importantes de ransomware eventualmente se rastrean en algún grado. Dado esto, una pregunta razonable es por qué los operadores de ransomware todavía insisten en el pago en criptomoneda en absoluto. La respuesta es una mezcla de necesidad práctica y una carrera armamentista genuina y continua entre atacantes e investigadores.
La razón central: velocidad y alcance, no verdadero anonimato
Es un concepto erróneo común que los grupos de ransomware exigen criptomoneda porque es irrastreable. Como se cubre en nuestra guía sobre cómo rastrear Bitcoin robado, las transacciones en una blockchain pública como Bitcoin quedan registradas de forma permanente y a menudo pueden rastrearse con verdadera precisión. Lo que la criptomoneda realmente ofrece a los operadores de ransomware es algo más práctico: un método de pago que funciona instantáneamente a través de fronteras, no requiere una relación bancaria ni aprobación de un intermediario, no puede revertirse una vez confirmado, y puede recibirse en una billetera anónima o seudónima sin la verificación de identidad que exigiría una cuenta bancaria. Para un atacante que opera internacionalmente contra víctimas que necesitan pagar rápidamente para restablecer sus operaciones, esa combinación es difícil de reemplazar con cualquier vía de pago tradicional.
Qué muestran los datos recientes sobre los pagos de ransomware
La investigación de análisis de blockchain muestra un cambio notable en la dinámica de los pagos de ransomware durante los últimos dos años. Según investigación de Chainalysis, el total de pagos en criptomoneda a operadores de ransomware cayó sustancialmente desde el máximo de 2023 de aproximadamente 1,100 millones de dólares, y continuó disminuyendo hasta 2025, incluso cuando el número de ataques de ransomware reclamados públicamente siguió aumentando. La proporción de organizaciones atacadas que realmente pagan también ha caído a un mínimo histórico, una tendencia ampliamente atribuida a mejores prácticas de respaldo, una disrupción más fuerte de las fuerzas del orden contra los principales grupos de ransomware, y una creciente reticencia organizacional a pagar tras años de orientación de agencias como CISA desaconsejándolo.
Al mismo tiempo, las exigencias de rescate individuales han crecido marcadamente, con la exigencia mediana aumentando considerablemente año tras año incluso cuando menos víctimas aceptan pagar, y los pagos reales asentándose en solo una fracción del monto originalmente exigido. Esto apunta a un mercado en el que los grupos de ransomware piden más por ataque mientras tienen éxito con menos frecuencia, una dinámica consistente con un ecosistema criminal bajo presión creciente pero que aún no está cerca de desaparecer.
Por qué el panorama del ransomware sigue cambiando de forma
En lugar de un único grupo dominante, el panorama del ransomware se ha fragmentado en un número mucho mayor de operadores independientes y más pequeños, en parte una consecuencia directa de los desmantelamientos de las fuerzas del orden y las sanciones contra operaciones de ransomware como servicio previamente dominantes. Esta fragmentación hace que la amenaza general sea más difícil de rastrear como un todo, incluso cuando los grupos individuales dentro de ella se vuelven más identificables, ya que los operadores más pequeños son más numerosos pero cada uno mantiene menos sofisticación operativa y menos recursos para invertir en evadir la detección que las operaciones más grandes que los precedieron.
El giro hacia las monedas de privacidad
Bitcoin sigue siendo la moneda de pago de ransomware más comúnmente reportada, pero los operadores de ransomware han mostrado un interés creciente en criptomonedas centradas en la privacidad como Monero, que no exponen los detalles de la transacción en un libro contable totalmente público de la manera en que lo hace Bitcoin. Este giro es una respuesta directa a la eficacia del rastreo en blockchain contra Bitcoin específicamente, y representa una de las complicaciones emergentes más significativas para los investigadores que trabajan en casos de ransomware, ya que las técnicas estándar de agrupamiento y punto de estrangulamiento descritas en nuestras guías de rastreo son mucho menos eficaces contra el diseño de una moneda de privacidad.
Por qué las agencias continúan desaconsejando el pago
CISA, el FBI, y las agencias internacionales equivalentes han mantenido una postura consistente de que las organizaciones no deben pagar las exigencias de ransomware, por varias razones concretas más allá de un simple principio.
- Pagar no garantiza que los archivos realmente se descifren, funcionen, o estén completos, y una parte significativa de las víctimas que pagan reporta una recuperación de datos incompleta o corrupta
- El pago proporciona financiamiento directo para más operaciones criminales, incluyendo herramientas, infraestructura, y pagos a operadores afiliados en un modelo de ransomware como servicio
- Las organizaciones que se sabe que pagaron una vez son frecuentemente atacadas de nuevo, ya sea por el mismo grupo o por otros que obtienen una reputación de pago a través de datos filtrados de víctimas
- Pagar puede crear una exposición legal separada en algunas jurisdicciones, particularmente cuando una exigencia proviene de, o está vinculada a, un individuo u organización sancionados
Sin importar si una organización finalmente decide pagar, las agencias recomiendan consistentemente denunciar el incidente a una oficina local del FBI o a través de IC3, ya que los incidentes denunciados alimentan tanto la respuesta investigativa inmediata como la imagen de inteligencia más amplia usada para desmantelar la infraestructura del ransomware.
El papel de la asesoría legal y las firmas de respuesta a incidentes
En la práctica, pocas organizaciones toman una decisión de pago de ransomware sin involucrar a asesoría legal externa y a una firma especializada de respuesta a incidentes, y por buenas razones más allá de la respuesta puramente técnica. La asesoría legal típicamente lidera un proceso de verificación de sanciones antes de considerar cualquier pago, ya que la Oficina de Control de Activos Extranjeros mantiene una lista de individuos y organizaciones sancionados, y varios grupos importantes de ransomware o sus afiliados conocidos han sido formalmente sancionados. Pagar un rescate a una entidad sancionada puede exponer a la organización pagadora a responsabilidad civil separada sin importar las circunstancias del ataque, razón por la cual la asesoría legal generalmente insiste en al menos intentar verificar las direcciones de billetera conocidas de un grupo de ransomware contra las listas de sanciones antes de autorizar el pago, incluso bajo una presión de tiempo significativa.
Las firmas de respuesta a incidentes manejan la vía técnica paralela: contener la intrusión, evaluar qué se cifró o exfiltró realmente, y en muchos casos negociar directamente con el operador de ransomware en nombre de la víctima, ya que el contacto directo por parte de personal inexperto puede revelar inadvertidamente información que aumenta la exigencia de rescate. El seguro cibernético, cuando existe una póliza, frecuentemente juega un papel coordinador aquí, ya que muchas pólizas requieren usar un panel de firmas legales y de respuesta a incidentes aprobadas de antemano como condición de cobertura.
Concepto erróneo común: el seguro cibernético hace que el pago sea libre de riesgo
Una suposición común entre las organizaciones que tienen una póliza de seguro cibernético que cubre el ransomware es que la existencia de la cobertura elimina la mayor parte del riesgo de la decisión de pagar. Esto no es exacto. El seguro puede reembolsar el pago del rescate en sí y los costos asociados de respuesta a incidentes hasta los límites de la póliza, pero no elimina la exposición a sanciones descrita anteriormente, no garantiza que pagar realmente resulte en claves de descifrado utilizables o que los datos exfiltrados no se filtren de todos modos, y no revierte las consecuencias reputacionales y regulatorias de la brecha subyacente, que en muchas industrias conlleva obligaciones de notificación separadas sin importar si finalmente se pagó un rescate. Las aseguradoras mismas también se han vuelto más selectivas, en algunos casos exigiendo prueba de que ciertos controles de seguridad estaban implementados antes de aceptar cubrir en absoluto una pérdida relacionada con ransomware.
Un ejemplo desarrollado: qué sucede después de pagar un rescate
Considere una empresa mediana que paga un rescate de seis cifras en bitcoin después de que un ataque de ransomware cifra sus sistemas de producción, siguiendo la orientación legal y de respuesta a incidentes y una verificación de sanciones que autoriza la dirección de billetera conocida. El pago en sí no termina la exposición de la organización. La transacción ahora es un registro permanente y público, y las firmas de inteligencia de blockchain y las fuerzas del orden monitorean rutinariamente los grupos de billeteras de ransomware conocidos de forma continua, no solo en respuesta a la denuncia de una sola víctima.
Meses después, la billetera que recibió el pago consolida fondos con los ingresos de varias otras víctimas y los mueve a través de una cadena de direcciones intermediarias antes de llegar a un depósito en un exchange con controles de cumplimiento débiles en una jurisdicción con cooperación limitada. En algunos casos documentados, aquí es donde el rastro efectivamente termina para fines prácticos de recuperación, aunque permanece completamente visible en la cadena. En otros casos, particularmente cuando un grupo de ransomware ha atraído una atención significativa de las fuerzas del orden, ese mismo depósito en el exchange, combinado con depósitos rastreados de otras víctimas del mismo grupo, ha contribuido a una acción más amplia de las fuerzas del orden que resulta en incautaciones de billeteras y, en un número menor de casos, restitución parcial a víctimas identificadas a través de la misma investigación.
El ángulo del rastreo: qué sucede con los pagos de rescate después de pagarse
Incluso cuando se paga un rescate, el pago en sí se convierte en un nuevo hilo investigativo. Los pagos de ransomware se mueven a través de la misma infraestructura de blockchain que cualquier otra transacción de criptomoneda, y están sujetos al mismo análisis de agrupamiento y punto de estrangulamiento descrito en nuestra guía sobre cómo rastrean realmente los investigadores de blockchain los fondos robados. Un número significativo de operadores de ransomware y su infraestructura de blanqueo han sido identificados, sancionados, o en algunos casos han tenido fondos incautados específicamente porque un rescate pagado eventualmente tocó un exchange o servicio de blanqueo identificable. Esto es parte de por qué algunos rescates pagados, en casos raros pero documentados, han sido parcialmente recuperados por las fuerzas del orden mucho después del hecho, aunque esto sigue siendo la excepción y no algo con lo que ninguna organización víctima deba planificar o presupuestar.
La utilidad de la criptomoneda para los operadores de ransomware proviene de la velocidad, el alcance, y la irreversibilidad, no de una verdadera irrastreabilidad. El análisis de blockchain se ha vuelto lo bastante sofisticado como para que una parte significativa de los pagos de ransomware eventualmente se conecten con infraestructura identificable, aunque ese rastreo rara vez ocurre lo bastante rápido como para prevenir el pago inicial o garantizar su devolución.
Qué significa esto de cara al futuro
El ransomware no está desapareciendo, y el giro hacia exigencias más altas, operadores más pequeños y numerosos, y un mayor uso de monedas de privacidad sugiere que los grupos detrás de estos ataques se están adaptando a la presión que el rastreo y la disrupción de las fuerzas del orden han creado, en lugar de dejarse disuadir por completo. Para las organizaciones que enfrentan un incidente activo de ransomware, la orientación práctica de CISA y el FBI se mantiene consistente: evite pagar cuando sea posible, denuncie el incidente con prontitud, e involucre experiencia en respuesta a incidentes y, cuando ya se haya pagado en criptomoneda, en rastreo de blockchain lo antes posible en la respuesta.
- Involucre a asesoría legal y a una firma de respuesta a incidentes antes de tomar cualquier decisión de pago, no después
- Verifique cualquier dirección de billetera o identidad de grupo de ransomware conocida contra las listas de sanciones vigentes antes de autorizar el pago
- Preserve la evidencia forense de la intrusión en sí, por separado de la nota de rescate y la exigencia de pago, ya que esto respalda tanto los reclamos de seguro como cualquier remisión posterior a las fuerzas del orden
- Denuncie el incidente a una oficina local del FBI o a través de IC3 sin importar la decisión de pago
- Documente cada hash de transacción y dirección de billetera involucrados si se realiza un pago, ya que esto se convierte en el punto de partida para cualquier esfuerzo de rastreo
Preguntas frecuentes
Las transferencias bancarias requieren una cuenta en una institución regulada, son reversibles en algunas circunstancias, y están sujetas a controles de verificación de identidad y prevención de lavado de dinero que expondrían rápidamente al receptor. La criptomoneda permite pagos instantáneos, irreversibles, y transfronterizos sin esas mismas barreras, razón por la cual sigue siendo la exigencia casi universal a pesar de la creciente rastreabilidad.
CISA y el FBI desaconsejan consistentemente el pago, ya que no garantiza la recuperación de datos, financia más actividad criminal, e invita a que se vuelva a atacar. Las organizaciones que enfrentan un incidente activo deben sopesar esa orientación contra su situación operativa específica, idealmente con experiencia en respuesta a incidentes y asesoría legal, en lugar de recurrir al pago por defecto bajo presión.
A menudo, en algún grado, sí. Los pagos de ransomware se mueven a través de la misma infraestructura de blockchain pública que cualquier transacción de criptomoneda y pueden analizarse usando técnicas de agrupamiento para identificar billeteras y, en algunos casos, conectarlas con cuentas de exchange o infraestructura criminal conocida, aunque las monedas de privacidad y el blanqueo sofisticado pueden limitar significativamente lo que el rastreo puede establecer.
Los grupos de ransomware parecen estar compensando una tasa de pago decreciente exigiendo montos mayores por ataque exitoso, y apuntando a organizaciones que evalúan como más propensas a pagar o más capaces de pagar una suma mayor, en lugar de depender de un alto volumen de pagos más pequeños y confiables.
Sí puede, principalmente cuando la billetera receptora o el grupo de ransomware detrás de ella está en una lista de sanciones mantenida por la Oficina de Control de Activos Extranjeros. Por eso la asesoría legal típicamente insiste en verificar las direcciones de billetera conocidas contra las listas de sanciones antes de autorizar cualquier pago, sin importar cuán urgente se sienta la presión operativa por pagar.
Fuentes y lecturas adicionales
- Crypto Ransomware: 2026 Crypto Crime Report · Chainalysis
- #StopRansomware: Play Ransomware · Cybersecurity and Infrastructure Security Agency
- #StopRansomware · Cybersecurity and Infrastructure Security Agency