WORLD THREAT LANDSCAPE

Panorama mundial de amenazas

Muchas de las filtraciones divulgadas en Japón están ligadas a una economía del cibercrimen sin fronteras. ¿Qué ocurre en el mundo, cómo se organizan los atacantes y adónde van los datos robados? Lo resumimos con los últimos informes de organismos públicos y firmas de investigación.

ONION ROUTING

La «cebolla» detrás de la dark web

Tor envuelve su tráfico en tres capas de cifrado y lo hace pasar por tres relés gestionados por voluntarios. Cada relé quita solo una capa, así que ninguno sabe a la vez quién es usted y adónde va: por eso se llama «enrutamiento cebolla».

Las conexiones a sitios «.onion» nunca salen de la red Tor, así que no usan relé de salida.[12]

01Las ciberamenazas mundiales en cifras

4,99 M$
Coste medio mundial de una brecha de datos (récord)[2]
31%
Explotación de vulnerabilidades: principal vía de acceso inicial[1]
48%
Brechas con ransomware[1]
48%
Brechas con participación de terceros[1]
20.900 M$
Pérdidas por cibercrimen denunciadas al FBI (2025)[6]
+1 M
Denuncias recibidas (1.008.597, récord)[6]

Pagos de rescate por ransomware en el mundo (cripto)[3][4][5]

567 M$2022

1,25 mil M$2023

892 M$2024

820 M$+2025

Estimaciones de Chainalysis. 2025 supera los 820 M$ y se espera una revisión al alza hacia unos 900 M$. Solo pagó el 28% de las víctimas, probablemente un mínimo histórico.

Denuncias de ransomware en Japón (por semestre)[9]

114’22 S1

116’22 S2

103’23 S1

94’23 S2

114’24 S1

108’24 S2

116’25 S1

110’25 S2

123’26 S1

Denuncias ante la Agencia Nacional de Policía. El 1.er semestre de 2026 llegó a 123, el máximo semestral desde 2022.

Delitos en internet con más pérdidas en EE. UU. (2025)[6]

Fraude de inversión8,65 mil M$
Compromiso de correo empresarial3,05 mil M$
Estafas de soporte técnico2,13 mil M$
Brecha de datos personales1,31 mil M$
Estafas románticas0,93 mil M$

Informe anual del Centro de Denuncias de Delitos en Internet del FBI (IC3). Encabezan el fraude de inversión y el BEC.

02Tipos de atacantes

«Hacker» significaba originalmente alguien con gran destreza técnica, e incluye a los defensores. Aquí agrupamos a quienes atacan (actores de amenaza) en cuatro tipos según su motivo.

Los más comunes
Grupos de cibercrimen
Motivo: Dinero
Organizaciones que se lucran con ransomware y fraude. El trabajo se reparte entre desarrolladores, intrusos y blanqueadores, y el alquiler de ransomware como servicio (RaaS) es ya lo habitual.
Avanzados
Grupos estatales (APT)
Motivo: Espionaje, sabotaje
Grupos que atacan en silencio y durante mucho tiempo a gobiernos, infraestructuras críticas y tecnología avanzada, con spear-phishing y vulnerabilidades desconocidas.
Sobre todo DDoS
Hacktivistas
Motivo: Política, causas
Activistas que atacan por causas políticas o sociales, sobre todo con DDoS que tumban sitios web. Su actividad crece con la geopolítica.
Cercana
Amenaza interna
Motivo: Rencor, dinero
Empleados o contratistas que abusan de accesos legítimos. La IPA la sitúa en el 7.º puesto de sus amenazas de 2026 para organizaciones.

En el informe 2026 de ENISA, el 36% de los eventos registrados fue cibercrimen, y más del 89% de las 4.709 reivindicaciones hacktivistas fueron DDoS.[7]

03Tendencias de los grupos de ransomware

GuidePoint Security contó 2.760 víctimas publicadas en sitios de filtración en el 3.er trimestre de 2026 (+21% trimestral, +75% interanual), con 112 grupos activos. El 42% de las víctimas estaba en EE. UU.; la industria manufacturera fue el sector más afectado.[8]Los sitios de filtración solo muestran a quienes no pagaron, así que las cifras reales son mayores.[11]

#1TheGentlemen12,9% de las víctimas
#2Qilin12,6% de las víctimas
GuidePoint GRIT Q3 2026

04Dentro de la dark web

Internet se suele comparar con un iceberg. Los buscadores solo ven la punta; debajo está el contenido tras un inicio de sesión y, más al fondo, la «dark web», accesible solo con software especial.[12]

1Web superficial
Los sitios que indexan los buscadores: noticias, webs de empresas, etc.
2Web profunda
Todo lo no indexado: banca en línea, correo, áreas de socios. Casi todo lo que usa a diario está aquí y es totalmente legal.
3Dark web
Una parte oculta a propósito, accesible solo con herramientas de anonimato como Tor. Allí hay foros y mercados de malware y credenciales robadas.

Así circulan los datos robados

STEP 1
Intrusión
Exploits de vulnerabilidades, phishing o malware infostealer secuestran credenciales y equipos.
STEP 2
Venta del acceso
Los intermediarios de acceso inicial venden puertas de entrada a redes corporativas en mercados clandestinos.
STEP 3
El ataque
Los afiliados de un RaaS usan el acceso comprado, roban datos y después cifran los sistemas.
STEP 4
Filtración y reventa
Las víctimas que no pagan aparecen en sitios de filtración; los datos personales se reutilizan para más fraudes y suplantaciones.

Chainalysis informa de al menos 14 M$ pagados a intermediarios de acceso inicial en 2025. El precio medio de un acceso bajó de unos 1.427 $ (T1 2023) a 439 $ (T1 2026), según Darkweb IQ: entrar es cada vez más barato.[3]

05Operaciones policiales

Policías, fiscales y empresas privadas siguen coordinando operaciones internacionales contra la infraestructura del cibercrimen.

2024-02-20
Operation Cronos[13]
La NCA británica, el FBI y socios de 10 países tomaron la infraestructura de LockBit, uno de los mayores grupos de ransomware, y obtuvieron más de 1.000 claves de descifrado.
2024-05
Operation Endgame[15]
La mayor acción contra botnets: más de 100 servidores de cinco familias de droppers desactivados y 4 detenidos.
2024-10-01
Nueva ofensiva contra LockBit[14]
La tercera fase de Cronos trajo cuatro nuevas detenciones y sanciones financieras a afiliados.
2025-05-21
Lumma Stealer[16]
Microsoft, el Departamento de Justicia de EE. UU., Europol y el JC3 de Japón desactivaron unos 2.300 dominios del infostealer Lumma; se hallaron más de 394.000 PCs infectados en dos meses.
2025-06
Archetyp Market[17]
Se cerró en cinco países europeos el mercado de drogas más longevo de la dark web, con más de 600.000 usuarios.
2025-11
Operation Endgame (3.ª fase)[18]
Se desactivaron 1.025 servidores del infostealer Rhadamanthys, VenomRAT y otros.
2026-03-04
Tycoon 2FA[19]
Microsoft, Europol y socios desmantelaron una plataforma de phishing como servicio que eludía el MFA e incautaron 330 dominios.
2026-04
Operation PowerOFF[20]
21 países actuaron contra servicios de DDoS por encargo: más de 75.000 usuarios identificados y 53 dominios desactivados.

06La situación en Japón

123

Denuncias de ransomware en Japón, S1 2026

La Agencia Nacional de Policía recibió 123 denuncias de ransomware en el 1.er semestre de 2026, más 9 casos de «ransom sin cifrado» (robo y extorsión sin cifrar). En 2025 hubo 226, con la industria manufacturera (91) como la más afectada.[9]

IPA «10 principales amenazas 2026» — organizaciones[10]

1Ataques de ransomware
2Ataques a la cadena de suministro y contratistas
3Riesgos cibernéticos del uso de la IANueva
4Explotación de vulnerabilidades
5Ataques dirigidos a información confidencial
6Ciberataques de origen geopolítico (incl. guerra informativa)
7Filtraciones por amenaza interna
8Ataques al teletrabajo
9Ataques DDoS
10Compromiso de correo empresarial

La lista para particulares no tiene orden: diez elementos, como el phishing y las estafas de soporte, en orden silábico japonés.

Qué puede hacer cada persona

Deje de reutilizar contraseñas y active passkeys o MFA (evita el reúso de credenciales robadas)
Active las actualizaciones automáticas del sistema, el navegador y el router (frena la principal vía de intrusión)
Guarde contraseñas en el navegador solo en equipos de confianza y evite software dudoso (contra infostealers)
Ante un «aviso de filtración», verifique en la web oficial en lugar de usar enlaces del correo

Ver la guía de protección →Buscar incidentes en Japón (japonés) →

Fuentes

Cifras verificadas el 20 de octubre de 2026. Cada informe difiere en alcance, periodo y método, por lo que las cifras no son directamente comparables. Consulte cada fuente para la información más reciente.