La IA facilita ataques de ransomware a delincuentes sin experiencia

La inteligencia artificial está transformando el negocio del cibercrimen y permite que delincuentes con conocimientos técnicos limitados desarrollen ataques informáticos que hasta hace poco exigían experiencia en programación y seguridad. Las herramientas de IA generativa pueden ayudar a identificar vulnerabilidades, crear programas maliciosos, robar información y organizar operaciones de extorsión mediante el secuestro de datos.

La amenaza ha dejado de ser una posibilidad teórica. Los informes de ciberseguridad publicados durante 2026 documentan operaciones en las que los atacantes delegan tareas complejas en sistemas de inteligencia artificial. El resultado es un escenario en el que determinados grupos pueden actuar con mayor rapidez, automatizar parte de sus operaciones y atacar a varias organizaciones sin disponer de grandes equipos especializados.

El fenómeno preocupa especialmente por su capacidad para ampliar el número de posibles atacantes. No significa que cualquiera pueda comprometer una empresa con unas pocas instrucciones, pero sí que la falta de conocimientos técnicos está dejando de ser una barrera tan importante como antes. Las consecuencias afectan tanto a grandes compañías como a pequeñas empresas, administraciones y particulares.

La inteligencia artificial cambia las reglas del ransomware

El ransomware es un tipo de programa malicioso que bloquea dispositivos o cifra archivos para exigir un rescate económico a cambio de recuperar el acceso. En otras operaciones, los delincuentes roban información confidencial y amenazan con publicarla si la víctima no paga. Ambas prácticas pueden combinarse.

Tradicionalmente, organizar un ataque de estas características requería diferentes capacidades: encontrar una vía de entrada, comprender el funcionamiento de los sistemas de la víctima, desarrollar o adaptar herramientas maliciosas y gestionar las exigencias económicas posteriores.

La IA generativa permite automatizar o simplificar parte de ese trabajo. Un atacante puede utilizar asistentes de programación para producir código, interpretar errores técnicos o analizar grandes cantidades de información en menos tiempo.

Los sistemas más avanzados también pueden intervenir en distintas fases de una intrusión, aunque su autonomía depende de las herramientas disponibles y de las condiciones de cada operación.

En septiembre de 2026, Anthropic publicó una investigación sobre el uso malicioso de su asistente Claude. La compañía documentó casos en los que operadores individuales y grupos criminales habían empleado inteligencia artificial para desarrollar campañas que anteriormente habrían requerido varios especialistas.

La novedad no está únicamente en generar programas informáticos. Los investigadores observaron que determinados sistemas podían asumir funciones de reconocimiento, análisis de datos y ejecución de tareas, mientras los responsables humanos mantenían decisiones como seleccionar objetivos o valorar la información robada.

El caso N0n: delincuentes que utilizan IA para preparar ataques

Uno de los ejemplos más recientes es el grupo de ransomware N0n, cuya actividad comenzó a detectarse en septiembre de 2026.

Un informe publicado por Bitdefender el 10 de noviembre revela que este grupo recurrió a herramientas de inteligencia artificial para preparar tareas relacionadas con sus operaciones. Sin embargo, también pone de manifiesto las limitaciones y los errores de quienes intentan aprovechar esta tecnología sin dominar completamente la seguridad informática.

N0n llegó a presentar una relación de más de un centenar de supuestas víctimas en su plataforma de filtraciones. La exposición accidental de uno de sus servidores permitió a los investigadores examinar parte de su actividad y cuestionar la dimensión que el propio grupo atribuía a sus operaciones.

Según los datos analizados por Bitdefender, N0n había señalado como objetivos a poco más de 20 víctimas, una cifra muy inferior a la que sugería su escaparate criminal.

La investigación también descubrió que sus operadores habían invertido más de 7.000 dólares en inteligencia artificial generativa y utilizaban OpenCode, una plataforma de código abierto que facilita el trabajo con diferentes modelos de IA.

Estas herramientas les ayudaban a crear programas para tareas de búsqueda y reconocimiento de posibles objetivos. Los investigadores encontraron asimismo un programa de cifrado, aunque no pudieron determinar que el grupo lo utilizara sistemáticamente en sus ataques.

Los fallos de seguridad del propio N0n, incluida la reutilización de claves de cifrado, revelaron una paradoja: la inteligencia artificial puede ampliar las capacidades de un delincuente, pero no elimina necesariamente sus errores.

La tecnología facilita determinadas operaciones, aunque no convierte automáticamente a un atacante inexperto en un especialista.

Los ciberataques aumentan y aparecen nuevos grupos criminales

La expansión de estas herramientas coincide con una mayor fragmentación del mercado del ransomware.

El informe sobre ciberamenazas de Trellix correspondiente a noviembre de 2026 contabiliza 5.505 publicaciones de supuestas víctimas en plataformas utilizadas por grupos de ransomware entre abril y septiembre. La cifra representa un aumento del 67 % respecto al mismo periodo del año anterior.

Durante esos seis meses, 55 grupos aparecieron por primera vez en los registros analizados y concentraron 1.213 publicaciones, equivalentes al 22 % del total.

Estas cifras proceden de anuncios realizados por los propios delincuentes. No deben interpretarse como un recuento de ataques confirmados, puesto que pueden existir duplicidades, afirmaciones falsas o incidentes que no hayan sido verificados.

Tampoco permiten atribuir todo el incremento a la inteligencia artificial. La comercialización de programas maliciosos, la reutilización de vulnerabilidades y los servicios criminales de alquiler también contribuyen a facilitar la entrada de nuevos operadores.

Lo que sí muestran las investigaciones es que la IA está acelerando determinadas actividades.

El robo de información gana importancia frente al bloqueo de archivos

El secuestro de datos ya no depende exclusivamente de inutilizar un ordenador o paralizar los sistemas de una compañía.

Cada vez adquieren mayor importancia las operaciones en las que los atacantes extraen documentos confidenciales y amenazan con difundirlos. Esta modalidad permite ejercer presión incluso cuando la organización dispone de copias de seguridad y puede recuperar sus sistemas.

En este terreno, la inteligencia artificial ofrece nuevas posibilidades a los delincuentes: clasificar grandes cantidades de archivos robados, identificar información sensible o elaborar mensajes de extorsión adaptados a las características de cada víctima.

Trellix también ha identificado ofertas criminales como TITAN AI, promocionadas para automatizar el análisis de documentación sustraída y preparar amenazas de comunicación a autoridades y organismos reguladores. No obstante, algunas capacidades anunciadas por sus vendedores no han podido verificarse de manera independiente.

El riesgo es evidente: la extorsión puede volverse más rápida y personalizada, incluso cuando la infraestructura técnica del atacante es relativamente modesta.

Cómo proteger los datos frente a los ataques impulsados por IA

La incorporación de inteligencia artificial al cibercrimen no implica que las medidas tradicionales de protección hayan dejado de funcionar. De hecho, muchas de las intrusiones continúan aprovechando problemas conocidos: contraseñas robadas, sistemas desactualizados, accesos remotos mal protegidos y errores humanos.

Para empresas y particulares, las copias de seguridad siguen siendo una defensa esencial. Deben realizarse periódicamente, almacenarse de forma segura y mantenerse separadas de los equipos que podrían resultar comprometidos. También es importante comprobar que pueden restaurarse.

La autenticación multifactor añade una segunda barrera cuando alguien intenta acceder a una cuenta utilizando una contraseña sustraída. Conviene activarla especialmente en el correo electrónico, los servicios en la nube, las cuentas de administración y los sistemas de acceso remoto.

Actualizar programas y sistemas operativos reduce la exposición a vulnerabilidades conocidas. No es una garantía absoluta, pero evita que los atacantes puedan aprovechar fallos para los que ya existen correcciones.

Las organizaciones necesitan además controlar qué usuarios pueden consultar información confidencial. Limitar los permisos disminuye el alcance potencial de una intrusión y dificulta que una única cuenta comprometida abra las puertas de toda la infraestructura.

También resulta fundamental formar a los trabajadores para identificar mensajes fraudulentos, archivos sospechosos y peticiones inusuales de acceso. La inteligencia artificial puede producir comunicaciones convincentes, pero muchas campañas siguen necesitando que alguien facilite una contraseña, ejecute un archivo o autorice una operación.

Qué hacer si un delincuente bloquea o roba los archivos

Cuando se detecta una posible infección por ransomware, la prioridad consiste en aislar los dispositivos afectados para impedir que el ataque se extienda a otros equipos.

El Instituto Nacional de Ciberseguridad (INCIBE) recomienda desconectarlos de las redes internas y de internet. Si es posible aislarlos, conviene evitar apagarlos sin valorar antes la conservación de pruebas y la respuesta técnica al incidente.

Tampoco se recomienda pagar el rescate. Entregar dinero a los delincuentes no garantiza la recuperación de los archivos ni impide que posteriormente publiquen la información robada o formulen nuevas exigencias económicas.

En una empresa, es necesario activar el procedimiento de respuesta a incidentes, identificar los sistemas comprometidos y preservar las pruebas disponibles. La restauración de copias de seguridad debe realizarse después de comprobar que los sistemas utilizados para recuperar los datos son seguros.

En España, los afectados pueden solicitar asesoramiento a INCIBE mediante el teléfono gratuito 017 y denunciar los hechos ante las Fuerzas y Cuerpos de Seguridad. Si se han comprometido datos personales, también habrá que evaluar las obligaciones legales de notificación correspondientes.

Una amenaza más accesible que obliga a reforzar la seguridad

La evolución del ransomware demuestra que el peligro no procede únicamente de organizaciones criminales con grandes recursos. La disponibilidad de herramientas automatizadas permite a operadores menos preparados asumir tareas que antes requerían conocimientos especializados.

La inteligencia artificial no ha inventado el secuestro de datos, pero está modificando la velocidad, el coste y la complejidad de determinadas operaciones. También amplía las posibilidades de analizar información robada y ejercer presión económica sobre las víctimas.

Los errores descubiertos en grupos como N0n recuerdan que estas herramientas tienen limitaciones y que sus usuarios pueden cometer fallos graves. Eso no reduce la importancia de un cambio que los investigadores de seguridad ya observan en operaciones reales.

Para empresas, instituciones y ciudadanos, la respuesta continúa pasando por proteger los accesos, mantener sistemas actualizados, controlar la información sensible y disponer de procedimientos de recuperación eficaces.

El problema no es que todos los delincuentes se hayan convertido en expertos informáticos. Es que algunos necesitan cada vez menos conocimientos para provocar daños importantes.