MÉTODO DE ATAQUE
Ransomware — récord en Japón, 29 minutos en el mundo
Doble extorsión, destrucción de copias, LOLBins y manipulación de EDR. Estadísticas de la ANP (123 casos en el 1.er semestre de 2026), los 29 minutos de CrowdStrike y contramedidas.
El ransomware retiene datos a cambio de dinero y en 2026 sigue siendo el ciberdelito más costoso de Japón y del mundo. La ANP confirmó 123 casos en el primer semestre de 2026, el medio año más alto desde que empezó a contabilizar en 2020. De ellos, 31 golpearon a grandes empresas; más de la mitad tardó más de un mes en recuperarse; 9 provocaron paradas totales; y el 60% superó los 10 millones de yenes en daños.
A nivel mundial, el ransomware participa en el 48% de todas las brechas de datos (DBIR 2026). El GTR 2026 de CrowdStrike sitúa el tiempo medio de «breakout» —de la intrusión al movimiento lateral— en 29 minutos, el más rápido registrado. «Reaccionar tras darse cuenta» ya no sirve: el diseño en tiempos de paz y la detección automática deciden la supervivencia.
Las técnicas siguen evolucionando: la doble extorsión (robar y amenazar con publicar) es estándar; primero se destruyen las copias de seguridad; se desactiva el antivirus; se abusan herramientas legítimas de administración (LOLBins) para frustrar la recuperación y la investigación.
Los números
123
Casos confirmados en Japón, 1.er semestre de 2026 (ANP; récord semestral)
48%
Cuota de brechas mundiales con ransomware involucrado (DBIR 2026)
29 min
Breakout medio, el más rápido registrado (CrowdStrike GTR 2026)
Técnicas explicadas
Doble extorsión (robo + cifrado)
Los datos se extraen antes del cifrado y se exige el pago dos veces: por el descifro y por la no publicación. Es la configuración estándar del ransomware moderno; pagar no garantiza nada. Los datos personales robados alimentan además el fraude secundario.
Borrado o cifrado de copias de seguridad
El salvavidas de la recuperación se localiza y destruye antes del cifrado principal. Las copias en la misma red se neutralizan con facilidad — la regla 3-2-1 (3 copias, 2 soportes, 1 externa) sigue vigente.
LOLBins (abuso de herramientas legítimas)
Sin descargar malware, los atacantes usan herramientas de administración incluidas en Windows (PowerShell, etc.) para moverse y desactivar. El antivirus rara vez las marca: hay que detectar el uso anómalo en los registros.
Desactivación de EDR / antivirus
Justo tras la intrusión, los atacantes detienen la detección de endpoints y el antivirus antes de cifrar. Tratar la propia detención de herramientas de seguridad como alerta de máxima prioridad funciona bien.
Portales de negociación
Cada víctima recibe una página de negociación con chat, importes y plazos — prueba del ransomware como servicio (RaaS) con afiliados. Algunos grupos negocian en japonés; consulte primero a la policía y a especialistas.
Flujo del ataque (kill chain)
- Acceso inicial mediante vulnerabilidades, credenciales robadas o correo
- Robar credenciales y moverse lateralmente; desactivar copias de seguridad
- Extraer datos, cifrarlos y exigir el pago (doble extorsión)
Datos objetivo: Datos de clientes y finanzas; filtrados y revendidos tras el robo
Tendencias y debate
En octubre de 2026, la ley japonesa de defensa cibernética activa dio al gobierno la capacidad de neutralizar infraestructura de atacantes. Las empresas cuentan con la ventanilla especial de la IPA para consultas. No se aísle: el contacto temprano con especialistas decide la velocidad de recuperación.
Las entradas del ransomware son continuación de otros métodos (vulnerabilidades, credenciales, phishing). Los controles de entrada (parches, autenticación fuerte, defensa del correo) y de salida (copias, segmentación, simulacros) son la defensa del ransomware. Haga un ejercicio de mesa al menos una vez al año: decida quién llama a quién y cuándo.
Contramedidas
Para particulares y pymes
- Guarde los datos críticos en sincronía en la nube y en soporte externo (3-2-1 personal)
- Si llega una demanda de rescate inesperada, no pague: consulte a la policía o a la línea del consumidor
- Al ver noticias de una brecha, deje de reutilizar la contraseña que usaba en ese servicio
Para organizaciones (TI)
- Copias 3-2-1 (3 copias, 2 soportes, 1 sin conexión/externa) con simulacros periódicos de recuperación
- MFA universal y gestión de cuentas privilegiadas (PAM) para frenar el movimiento lateral
- Despliegue EDR; convierta la detención de herramientas de seguridad y el cifrado masivo en alertas de máxima prioridad
- Documente las primeras horas (dirección, legal, RR. PP., policía, IPA) y ensaye roles y contactos
Los pasos concretos por nivel están en la guía →
Incidentes de Ransomware recogidos (46, por impacto)
| Empresa / organización | Divulgado | Escala | Gravedad |
|---|---|---|---|
| ライドオンエクスプレス（『銀のさら・釜寅・すし上等』公式サイト・公式アプリ） | 12 de octubre de 2026 | 6.500.000 registros | SS |
| アフラック生命保険 | 29 de junio de 2026 | 4.400.000 personas | S |
| アサヒグループホールディングス | 16 de julio de 2026 | 1.525.000 registros | S |
| CKCネットワーク株式会社、株式会社学参 | 9 de junio de 2026 | 664.000 registros | B |
| イズミ（ゆめオンライン・ゆめデリバリー） | 13 de octubre de 2026 | 400.000 registros | A |
| エネサンスグループ | 10 de mayo de 2026 | 365.000 registros | A |
| あなぶきハウジンググループ | 20 de mayo de 2026 | 207.773 registros | S |
| エフワン | 7 de abril de 2026 | 170.000 registros | B |
| ロジックベイン | 16 de agosto de 2026 | 97.338 personas | A |
| ジェックス | 18 de agosto de 2026 | 77.619 registros | S |
| 教育ソフトウェア | 16 de agosto de 2026 | 4627 registros | B |
| 生活協同組合コープいしかわ | 23 de abril de 2026 | 1756 registros | B |
Los otros 34 incidentes, en la base de datos →
Métodos relacionados
Métodos de ataque y tendencias (Verizon DBIR 2026, CrowdStrike GTR 2026, ANP / Kyodo, Palo Alto Networks Unit 42, entre otros). Para incidentes concretos, consulte los enlaces de fuente de cada página de incidente.