El ransomware sigue una trayectoria que obliga a hacer balance. Los ataques reclamados aumentaron un 50 % en 2025, el año más activo registrado, con más de 8.000 organizaciones nombradas públicamente en sitios de filtraciones. La demanda mediana de rescate saltó de aproximadamente 12.700 dólares estadounidenses en 2024 a casi 60.000 dólares en 2025. Y sin embargo, la proporción de víctimas que pagan ha caído a un mínimo histórico del 28 %, según el Informe de Criptocrimen 2026 de Chainalysis.
La paradoja está en el centro de un debate que se desarrolla tanto en las salas de juntas como en las cámaras legislativas: ¿prohibir los pagos de rescate ayuda, o deja a las víctimas desprevenidas sin una salida?
El argumento a favor de una prohibición se basa en una economía simple. El ransomware existe porque paga. Corta los pagos y el modelo se derrumba. Una alianza de 48 países se ha comprometido a no pagar rescates, aunque la mayoría carece de legislación vinculante. El Reino Unido ha confirmado una prohibición de pagos en el sector público, y varios estados de EE. UU., entre ellos Carolina del Norte, Florida y Tennessee, han aprobado o considerado restricciones similares para las agencias gubernamentales.
Pero los argumentos en contra de una prohibición generalizada son obstinadamente prácticos. El Grupo de Trabajo sobre Ransomware del Institute for Security and Technology argumentó que una prohibición en el momento actual empeoraría el daño a las víctimas. Las pequeñas empresas no pueden soportar interrupciones prolongadas; los hospitales, las escuelas y los gobiernos locales son los menos preparados para restaurar operaciones solo a partir de copias de seguridad. El grupo de trabajo recomendó un enfoque gradual y plurianual: preparar el ecosistema, la disuasión, las capacidades de interrupción y el apoyo a las víctimas antes de ilegalizar los pagos.
“La pregunta más importante es cómo hacer que el ransomware sea menos rentable en primer lugar”, dijo Gavin Millard, vicepresidente de producto de una empresa de ciberseguridad, citado por el Financial Times.
Los datos sugieren que la presión ya está cambiando el comportamiento. Los pagos totales por ransomware cayeron por segundo año consecutivo en 2025, situándose en aproximadamente 820 millones de dólares, un 8 % menos que en 2024. Más víctimas están restaurando desde copias de seguridad en lugar de pagar. Pero los atacantes están compensando con mayor volumen y demandas más altas por víctima. Un solo ataque contra Jaguar Land Rover a finales de 2025 causó daños estimados en 2.500 millones de dólares.
Para los responsables políticos, la cuestión es si acelerar la disminución de las tasas de pago mediante legislación o dejar que las fuerzas del mercado y las defensas mejoradas continúen la tendencia, y si los gobiernos pueden permitirse esperar.
Sources: Pay up or not? Ransomware surge has victims facing tough choices (Ars Technica/Financial Times, July 2026); Should Ransomware Payments Be Banned? What the Laws Say in 2026 (STACK Cybersecurity, May 2026)
Traducido por Alessandra