Las empresas en España sufrieron una media de 2.068 ciberataques por semana durante el mes de julio de 2026, según el informe que Check Point Research publicó el 13 de agosto. Para que quede claro: no son ataques al año, ni al mes. Son 2.068 intentos semanales por organización. Poco más de 295 al día. Y el dato de contexto global es aún más incómodo: el ransomware creció un 87% en todo el mundo en el último año.

Si esto te suena a problema de grandes corporaciones, hay otra cifra que cambia la perspectiva: el 31% de las pymes españolas sufrió un ataque de ransomware en los últimos doce meses. Uno de cada tres negocios pequeños o medianos. No es una amenaza futura. Ya pasó.

Qué tiene que ver la IA con todo esto

El ransomware no es nuevo. Lo que sí es nuevo es la velocidad, la precisión y la escala a la que opera desde que los grupos criminales empezaron a integrar IA generativa en sus cadenas de ataque.

Antes, un ataque de phishing requería cierto trabajo artesanal: redactar un correo creíble, personalizar el anzuelo para la víctima, encontrar el momento adecuado. Ahora, la IA hace todo eso en segundos y en paralelo para miles de objetivos. El resultado: el 65% de las empresas víctimas de ransomware en 2026 asegura que la inteligencia artificial hizo el ataque más efectivo, según datos de Proofpoint.

Los grupos que lideran este negocio criminal —The Gentlemen y Qilin concentran el 14% de los ataques cada uno, seguidos de DeadLock con el 10%— no son bandas desorganizadas. Funcionan como empresas: tienen departamentos de desarrollo, testean sus herramientas, ajustan sus mensajes de rescate y ofrecen soporte técnico a sus víctimas para que puedan pagar en criptomonedas. El ransom-as-a-service lleva años existiendo, pero la IA lo ha escalado a un nivel que hace tres años era impensable.

La mitad paga. Y casi la mitad de los que pagan no recuperan sus datos

Aquí viene la parte que más cuesta procesar: la mitad de las empresas españolas atacadas acaba pagando el rescate. La lógica es comprensible —el tiempo de inactividad cuesta dinero, los clientes se impacientan, los sistemas bloqueados generan caos— pero los números no cuadran con esa decisión.

Sólo el 57% de las organizaciones que pagan recupera alguno de sus datos. El resto paga y se queda sin el dinero y sin los archivos. Y esto sin contar que pagar el rescate financia directamente la siguiente oleada de ataques y, en algunos países, puede tener implicaciones legales si el grupo receptor está en listas de sanciones internacionales.

El coste medio de un incidente de ransomware en España ha llegado a 1,8 millones de euros, sumando el importe del rescate (cuando se paga), el tiempo de parálisis operativa, la recuperación de sistemas y el daño reputacional. No es una cifra para gigantes: una pyme con 20 empleados que se queda sin sistemas durante dos semanas puede no recuperarse.

Inditex y Endesa no son tus vecinos, pero sus problemas sí

En julio, el ransomware en España alcanzó titulares con incidentes que afectaron a nombres conocidos. El ransomware se duplicó en España en 2026, golpeando a empresas de todos los tamaños y sectores. Las grandes corporaciones siguen funcionando gracias a sus departamentos de IT y sus protocolos de crisis. Las pymes, en cambio, no tienen ese colchón.

España concentra el 2% de los ataques de ransomware globales. No suena a mucho hasta que lo miras en absolutos: España registró 2.473 víctimas de ransomware reconocidas sólo en el cuarto trimestre de 2025. Reconocidas, que es la palabra clave: muchos ataques no se reportan por vergüenza, por miedo a las consecuencias regulatorias, o simplemente porque la empresa no tiene claro qué obligación de notificación tiene.

Los sectores más expuestos: gobierno, consumo y finanzas

Los tres sectores más atacados en España durante julio fueron gobierno y administración pública, bienes y servicios de consumo, y servicios financieros. Telecomunicaciones y servicios empresariales quedan muy cerca en el ranking.

Para el sector consumo, la implicación práctica es directa: tiendas online, plataformas de ecommerce, empresas de distribución. Justo el tipo de negocio que más ha crecido en digitalización en los últimos tres años, y que muchas veces ha invertido en canales de venta antes que en proteger lo que hay detrás. Es la consecuencia predecible de un mercado que premió el crecimiento rápido por encima de la infraestructura sólida.

Lo que funciona (y lo que no)

La respuesta habitual al problema de ciberseguridad en una pyme sigue siendo la misma de hace una década: comprar un antivirus un poco mejor y esperar que no toque. Eso ya no funciona. Decirlo no es alarmismo, es aritmética.

Monitorización continua. Los ataques de ransomware rara vez son instantáneos. Existe un período de infiltración —a veces de semanas— antes del cifrado masivo de datos. Las organizaciones que detectan comportamientos anómalos en sus sistemas (accesos inusuales, transferencias de datos fuera de horario, movimiento lateral entre equipos) tienen una ventana de respuesta real. Las que no monitorizan nada, no la tienen.

Segmentación de redes y backups desconectados. Si todo está conectado a todo, un punto de entrada compromete el sistema entero. La segmentación limita el daño. Y los backups sólo sirven si están en algún sitio al que el ransomware no pueda llegar: una unidad desconectada, un sistema con credenciales distintas, una copia en frío. El backup que vive en la misma red que el servidor principal no es un backup, es una copia del rehén.

Formación real, no un PDF en la carpeta de RRHH. El 52% de los ataques potenciados por IA tiene éxito en parte porque alguien hace clic donde no debe. Los filtros técnicos ayudan, pero el eslabón más débil sigue siendo el humano que no reconoce un correo de phishing generado por IA y personalizado con su nombre, su cargo y el nombre de su jefe directo. Simular ataques internamente —mandar correos de phishing falsos al equipo y medir quién pica— es incómodo, efectivo y barato.

Plan de respuesta escrito antes de que ocurra. No improvisado en el momento del pánico. Con roles definidos, protocolos de comunicación, contactos de proveedores de confianza y criterios claros sobre si se paga o no el rescate. Las empresas que toman esa decisión con los sistemas caídos siempre lo hacen peor que las que la tomaron en frío, con tiempo y sin presión.

Automatizar procesos es también reducir superficie de ataque

Hay un ángulo de la ciberseguridad que se menciona poco: las empresas con procesos más automatizados y datos más centralizados tienen mejor visibilidad sobre lo que ocurre en su organización. No porque la automatización sea un antivirus, sino porque cuando tienes claridad sobre tus flujos de datos —qué entra, qué sale, quién accede a qué y cuándo— la anomalía se detecta antes y con menos ruido.

Una empresa donde cada empleado guarda información en herramientas distintas, donde los procesos dependen de correos sueltos y hojas de cálculo compartidas por Dropbox, tiene una superficie de ataque enorme y casi imposible de auditar. Ordenar eso no es lujo; es higiene digital básica.

En DAVMAC trabajamos con pymes y equipos que quieren automatizar sus procesos de datos, ventas y marketing. No somos una empresa de ciberseguridad, pero sí sabemos que las organizaciones con procesos bien integrados y datos en orden tienen menos puntos ciegos y más capacidad de respuesta cuando algo falla. Si estás pensando en poner ese orden, nuestros servicios de automatización e inteligencia de datos son un buen punto de partida.

Los 2.068 ataques semanales no son un número que vaya a bajar el próximo año. El ransomware con IA es rentable, escalable, y los grupos criminales que lo operan reinvierten sus ganancias en mejorarlo. La pregunta ya no es si tu empresa va a ser un objetivo. La pregunta es qué tan preparada está para cuando lo sea.