El ransomware se dispara en España: de Endesa a Inditex, los grandes nombres ya no son inmunes

El ransomware se ha convertido en una de las mayores amenazas para las empresas españolas, y las cifras confirman su avance. Según datos de INCIBE recogidos por la prensa especializada, los ataques registrados en España pasaron de 176 en 2024 a 392 en 2025, más que duplicándose en apenas un año. La tendencia no da señales de frenarse en 2026.

Lo más llamativo es que ya no se trata solo de pequeñas empresas. Entre las víctimas confirmadas de 2026 figuran nombres tan conocidos como la eléctrica Endesa y el gigante textil Inditex, con sede en Arteixo. Que compañías de este tamaño aparezcan en la lista muestra que ninguna organización, por grande que sea, puede considerarse inmune.

Los casos de Endesa e Inditex se han convertido en objeto de estudio por un motivo concreto. Los ataques no se originaron por un fallo interno, sino a través de proveedores tecnológicos externos que tenían acceso a sus sistemas. Este vector, conocido como ataque a la cadena de suministro, convierte a los socios y contratistas en un punto débil difícil de controlar.

Doble extorsión y ataques más rápidos

Las tácticas de los atacantes también han cambiado de forma notable. Hoy los delincuentes practican la llamada doble extorsión, es decir, roban los datos sensibles antes de cifrarlos y los usan como arma de presión aunque la empresa pague el rescate. Así, la amenaza de publicar la información filtrada se mantiene incluso después del pago.

A esta presión se suma la velocidad. El tiempo que un atacante permanece oculto dentro de una red antes de activar el cifrado se ha reducido a menos de cinco días en muchos casos. Ese margen tan estrecho deja a los equipos de seguridad con muy poco tiempo para detectar la intrusión y reaccionar antes de que el daño sea irreversible.

El coste económico es considerable. Para una empresa española de tamaño medio, el rescate medio se sitúa entre 80.000 y 150.000 euros, mientras que el coste total de un incidente en Europa alcanza de media 1,6 millones de euros. A esas cifras se añaden la interrupción del negocio y un daño reputacional difícil de reparar.

Quién está detrás de los ataques

Detrás de esta ofensiva hay un grupo reducido pero muy activo de bandas criminales. En España operan grupos como Qilin, Akira, RansomHub y 8Base, especializados en la extorsión digital. A nivel global, los diez grupos más importantes concentran ya el 71 por ciento de todas las víctimas, según datos de Check Point Research.

Qilin destaca por encima del resto. El grupo se ha mantenido en la primera posición mundial durante tres trimestres consecutivos, con 338 víctimas contabilizadas. Entre los casos atribuidos a esta banda figura, según distintos informes, el ataque a la cadena de supermercados Ahorramás, con acceso a documentación interna de su red de más de 290 tiendas.

El fenómeno no es exclusivo de España. Solo en el primer trimestre de 2026, cerca de 2.122 organizaciones aparecieron expuestas en las páginas de filtración de datos a nivel mundial, el segundo peor arranque de año del que se tiene registro. Estados Unidos concentra casi la mitad de las víctimas, pero Europa gana peso de forma constante.

España, un objetivo cada vez más atractivo

España concentra alrededor del 2 por ciento de los ataques de ransomware en 2026. Puede parecer poco, pero se traduce en decenas de organizaciones afectadas cada trimestre. Sectores como la industria, los servicios a empresas y la sanidad figuran entre los más golpeados, en parte por su baja tolerancia a la interrupción operativa.

El impacto también se refleja en las notificaciones oficiales. La Agencia Española de Protección de Datos recibió 1.737 comunicaciones de brechas en los primeros cuatro meses de 2026, frente a las 2.600 de todo 2025, lo que apunta a un ritmo claramente superior. El ransomware sigue siendo la principal causa de incidentes graves notificados bajo la normativa europea.

La conclusión para las empresas españolas es clara, aunque incómoda. La defensa ya no puede limitarse al perímetro propio, sino que debe extenderse a toda la cadena de proveedores con acceso a los sistemas. Con ataques más rápidos, más sofisticados y con doble extorsión, la ciberseguridad ha dejado de ser un asunto puramente técnico para convertirse en una cuestión estratégica.