Hackers sin experiencia usan IA para armar bandas de secuestro de datos y los ataques reclamados subieron hasta 40%

Los grupos de ransomware, que bloquean los archivos de una organización y piden dinero para liberarlos, reclamaron cerca de 3.000 ataques durante el verano, entre el 20% y el 40% más que en primavera según algunas estimaciones. Investigadores atribuyen parte del salto al uso de inteligencia artificial por parte de atacantes novatos.

El dato sale del boletín Kernel Panic de Wired, escrito por Lily Hay Newman y Matt Burgess. Contar los ataques es difícil: las víctimas no siempre lo admiten y los delincuentes exageran sus cifras. Por eso los especialistas se basan en los sitios donde los propios grupos publican a quienes dicen haber atacado.

Cynthia Kaiser, exsubdirectora de ciberseguridad del FBI y hoy jefa de investigación de la plataforma antirransomware Halcyon, ubicó el aumento fuera de Estados Unidos. “A nivel internacional vemos muchos más ataques. Eso es lo realmente nuevo, y creo que en parte lo impulsa la IA”, dijo.

Novatos que fundan su propia banda

Halcyon contó unos 111 grupos que reclamaron ataques entre julio y septiembre. Uno nuevo, Global Secret Group, se atribuyó 48 víctimas, más de la mitad publicadas el mismo día, según la firma de seguridad ReliaQuest. Otro, llamado Storm, listó 71 en 20 días. No todos los casos son legítimos.

Brandon Tirado, director de investigación de amenazas de ReliaQuest, sostuvo que ese crecimiento se debe a la aceleración que la IA dio a los atacantes, que ahora pueden armar sus propios grupos. Su equipo identificó a quien dirige una de las bandas nuevas: un adolescente sin experiencia que reunió más de USD 800.000 en menos de dos semanas.

Kaiser agregó que estos actores usan IA para engañar a sus objetivos, aprovechar fallas, revisar su código e incluso vulnerar herramientas de acceso remoto de otros grupos. Sospecha que muchos brillarán y se apagarán, porque no tienen la experiencia ni los recursos de las bandas establecidas.

Los que trabajan solos suelen limitarse a robar información y amenazar con publicarla, sin cifrar los sistemas, lo que simplifica la operación. Allan Liska, analista de la firma Recorded Future, dijo que los ataques de este año ya superan el total de 2025, aunque los que incluyen cifrado podrían disminuir.

Lo que la IA hace hoy en un ataque

Todavía no existe un ransomware totalmente automatizado, según los investigadores consultados por Wired, quizá porque el negocio ya funciona bien. Liska señaló que la IA pesa más en los correos de engaño y en la negociación del rescate, y que los grupos exitosos “siguen siendo en gran parte operados por humanos”.

Un estudio difundido el 21 de octubre, que resume la firma Paubox, muestra cómo trabajan. Investigadores hallaron siete servidores expuestos de afiliados de los grupos INC y The Gentlemen, con 8.257 mensajes de IA en 133 sesiones y datos sobre 62 organizaciones, 36 de ellas en Estados Unidos. Las de salud y farmacia eran el 14,5%.

Los delincuentes usaron un asistente de programación conectado a modelos comerciales, entre ellos Claude Opus 4.6 y Kimi K3, y gastaron más de USD 23.920 en esos servicios. Cuando un modelo rechazaba un pedido, reformulaban la solicitud como una prueba de seguridad autorizada. Los registros indican que una persona aprobaba cada paso.

El mismo informe halló 46 programas de cifrado listos para seis víctimas y previstos para el 1 de octubre, aunque no confirma que los seis ataques ocurrieran. Otro análisis, de Cato Networks, contó que cuatro de las 11 operaciones nuevas de ransomware de 2026 ofrecen IA como atractivo a sus socios.

Mientras tanto, The Gentlemen, Qilin y Akira siguen como las operaciones más estables del último tiempo, según Wired, con una sombra de grupos pequeños y fragmentados a su alrededor.