Índice de contenidos
Claves de la noticia
- Comparitech registra 2.627 ataques y reivindicaciones de ransomware en el tercer trimestre de 2026; 247 están confirmados por las organizaciones afectadas.
- Un cálculo sobre su desglose sitúa la proporción confirmada en el 9,4 %, con diferencias importantes entre sectores.
- El balance sirve para observar actividad criminal, pero no mide la probabilidad de que una empresa española sufra un ataque.
El nuevo balance de Comparitech sobre ransomware entre julio y septiembre, publicado este 6 de octubre, exige leer dos cifras juntas: el total registrado y los casos confirmados. Separarlas cambia la interpretación del repunte y ayuda a decidir qué información resulta útil para proteger un negocio.
El 9,4 % describe confirmación, no una tasa de fraude
El informe de Rebecca Moody, responsable de investigación de datos de Comparitech, distingue 247 incidentes confirmados y 2.380 sin confirmación. Un cálculo propio, dividiendo 247 entre 2.627 y multiplicando por cien, obtiene un 9,4 % de registros confirmados. La operación inversa deja un 90,6 % pendiente de reconocimiento público según los criterios del estudio.
Eso no permite afirmar que nueve de cada diez anuncios criminales sean falsos. La falta de confirmación puede reflejar silencio de la víctima o una reivindicación falsa; el registro no permite asignar una causa a cada caso. Tampoco convierte los 247 en el número completo de ataques reales del trimestre: otros incidentes pueden no haber llegado a esta recopilación.
La distinción importa al reutilizar un titular, preparar un presupuesto o comparar proveedores de seguridad. Un registro de actividad observada reúne evidencias de distinta fuerza. Presentarlo como un censo homogéneo de víctimas elimina precisamente la información que el lector necesita para valorar sus límites. La cifra mide lo que esta investigación ha podido registrar, no todos los sistemas comprometidos del mundo.
Dos rankings distintos dentro del mismo trimestre
El desglose sectorial permite otra comprobación reproducible: dividir los confirmados de cada sector por su total, sin mezclar las categorías. Los porcentajes siguientes están redondeados a una decimal; conservan el denominador publicado y no representan el riesgo individual de una organización.
| Sector | Total registrado | Confirmados | Proporción |
|---|---|---|---|
| Empresas | 2.234 | 138 | 6,2 % |
| Administraciones | 124 | 53 | 42,7 % |
| Sanidad | 188 | 36 | 19,1 % |
| Educación | 75 | 20 | 26,7 % |
Las empresas encabezan el volumen, mientras las administraciones presentan la mayor proporción de confirmación. La diferencia entre ambos porcentajes es de 36,6 puntos porcentuales, calculada antes de redondear. No demuestra que una administración tenga siete veces más probabilidades de ser atacada: faltan el número de organizaciones expuestas, su tamaño y una medida comparable de sus obligaciones de divulgación.
Además, los cuatro totales sectoriales suman 2.621, seis menos que el registro completo. El informe identifica esos seis como casos sin confirmación que no pudo clasificar por falta de información. Conservar esa diferencia evita forzar el reparto o asignar por intuición entidades desconocidas al bloque empresarial.
Una fotografía que puede cambiar después del cierre
Comparitech cuenta como confirmado un ataque reconocido públicamente por la entidad, o un ciberataque reconocido que coincide con una reivindicación de ransomware. Si posteriormente aparecen detalles, la clasificación y el trimestre asignado pueden cambiar. Por eso, una comparación temporal necesita preservar la fecha de consulta y las definiciones de cada edición.
Este artículo utiliza la versión consultada el 6 de octubre. No extrapola sus porcentajes a España ni transforma un aumento del registro en una medición independiente de toda la delincuencia. La conclusión defendible es más concreta: el volumen observado y la confirmación pública ordenan los sectores de manera diferente. Confundir ambos rankings puede llevar a priorizar recursos con una precisión que los datos no ofrecen.
De la estadística a una restauración comprobable
Para un responsable informático, la pregunta operativa es cuánto tardaría en recuperar un servicio crítico. La guía StopRansomware de CISA recomienda mantener copias cifradas fuera de línea y probar regularmente su disponibilidad e integridad. Una copia accesible desde los sistemas atacados puede ser borrada o cifrada durante el incidente.
Probar la restauración permite descubrir dependencias: no basta recuperar archivos si faltan las aplicaciones, configuraciones o equipos capaces de utilizarlos. CISA también contempla imágenes preparadas de sistemas, documentación de activos y un plan de respuesta ensayado. Son controles verificables por la organización; no dependen de que un atacante publique su nombre en una web de extorsión.
El caso del contratista del FBI y el parche omitido aporta un antecedente distinto sobre responsabilidades de mantenimiento. No se suma al balance como ejemplo de ransomware: enlaza una pregunta común, quién comprueba que una medida de protección se ha ejecutado realmente.
En España, la guía de INCIBE para empresas aconseja restaurar una copia anterior a la infección sobre un entorno limpio y recomienda no pagar el rescate. El pago no garantiza recuperar el acceso y puede alimentar nuevas exigencias. La utilidad del balance trimestral está en acompañar esa preparación con una lectura rigurosa de las evidencias, sin vender sus totales como una predicción particular.
Imagen: Chenspec / Wikimedia Commons, fotografía de archivo de un disco externo (2024), CC BY-SA 4.0. Conversión y compresión a WebP, sin recorte. Ilustra almacenamiento; no documenta un ataque ni garantiza una copia segura.
