Lo m\u00e1s importante en resumen<\/h2>\n\n- La disposici\u00f3n a pagar rescates de ransomware ha ca\u00eddo a un m\u00ednimo hist\u00f3rico: solo el 25 por ciento de las v\u00edctimas pag\u00f3 en el cuarto trimestre de 2024 (Coveware).<\/li>\n
- El pago promedio de rescate cay\u00f3 de 2 millones de d\u00f3lares estadounidenses en 2024 a unos 592.000 d\u00f3lares estadounidenses a finales de 2025 (Coveware Q4 2025).<\/li>\n
- El 80 por ciento de las v\u00edctimas de ransomware en Alemania son peque\u00f1as y medianas empresas (BKA Bundeslagebild Cybercrime 2024).<\/li>\n
- El da\u00f1o total por ciberataques en Alemania aument\u00f3 a 266.600 millones de euros en 2024, un incremento del 29 por ciento (Bitkom).<\/li>\n
- Las empresas que pagan recuperan en promedio solo el 60 por ciento de sus datos. La restauraci\u00f3n completa es la excepci\u00f3n.<\/li>\n<\/ul>\n\n
Advertencia: el pago no es ninguna garant\u00eda<\/p>\n
Aunque una empresa pague el rescate, no hay garant\u00eda de recuperaci\u00f3n total de los datos. Seg\u00fan el informe Sophos State of Ransomware 2025, las empresas que pagaron recuperaron en promedio solo el 60 por ciento de sus datos. Las herramientas de descifrado de los atacantes suelen ser defectuosas, lentas o incompletas. Y el pago se\u00f1ala disponibilidad para pagar, lo que aumenta el riesgo de un nuevo ataque.<\/p>\n<\/div>\n
Los n\u00fameros detr\u00e1s del dilema<\/h2>\n
La evoluci\u00f3n de los dos \u00faltimos a\u00f1os muestra una tendencia clara: cada vez menos empresas pagan. Seg\u00fan los informes trimestrales de Coveware, especialista en negociaciones de ransomware, la tasa de pago cay\u00f3 en el cuarto trimestre de 2024 a un m\u00ednimo hist\u00f3rico del 25 por ciento. En 2025 subi\u00f3 levemente al 28 por ciento, pero se mantiene muy por debajo del 62,8 por ciento que a\u00fan pagaba en 2023.<\/p>\n
Al mismo tiempo, los importes medios de pago disminuyen. Mientras que en 2024 las empresas pagaban en promedio 2 millones de d\u00f3lares estadounidenses, la media en el cuarto trimestre de 2025 fue de 592.000 d\u00f3lares estadounidenses. La mediana se situ\u00f3 en 325.000 d\u00f3lares estadounidenses. En el tercer trimestre de 2025 la media hab\u00eda ca\u00eddo incluso a 377.000 d\u00f3lares estadounidenses, un descenso del 66 por ciento respecto al trimestre anterior.<\/p>\n
\n25 %<\/p>\n
de las v\u00edctimas de ransomware pagaron el rescate en el Q4 2024. Un m\u00ednimo hist\u00f3rico que confirma la tendencia hacia el no pago.<\/p>\n
813,55 millones de d\u00f3lares estadounidenses<\/p>\n
Suma total de todos los pagos de ransomware en 2024, un descenso del 35 por ciento respecto al a\u00f1o r\u00e9cord 2023.<\/p>\n
266.600 millones de euros<\/p>\n
Da\u00f1o total por ciberataques en Alemania en 2024, del que una parte considerable proviene de ransomware e interrupciones operativas.<\/p>\n
Fuentes: Coveware Q4 2024, Chainalysis Crypto Crime Report 2025, Bitkom Wirtschaftsschutz 2024<\/p>\n<\/div>\n
Estas cifras cuentan dos historias al mismo tiempo. La buena: las empresas aprenden a no pagar. La mala: los da\u00f1os totales siguen aumentando, porque los costes por interrupci\u00f3n de operaciones, restauraci\u00f3n y da\u00f1o reputacional superan con creces la demanda de rescate. Seg\u00fan el IBM Cost of a Data Breach Report 2025, el coste total promedio de un incidente de ransomware fue de 5,13 millones de d\u00f3lares estadounidenses, independientemente de si se pag\u00f3 o no.<\/p>\n
Qu\u00e9 ocurre cuando las empresas pagan<\/h2>\n
La idea de que un pago restaura la normalidad es la ilusi\u00f3n m\u00e1s peligrosa en la defensa contra el ransomware. La realidad es diferente.<\/p>\n
En primer lugar, la restauraci\u00f3n de datos es incompleta. En promedio, las empresas que pagan recuperan solo alrededor del 60 por ciento de sus datos. Las herramientas de descifrado que proporcionan los atacantes suelen ser lentas y defectuosas. Algunos tipos de archivos no se descifran en absoluto. Las bases de datos que estaban activas durante el cifrado suelen estar corruptas y de todas formas deben restaurarse desde copias de seguridad.<\/p>\n
En segundo lugar, el pago convierte a la empresa en objetivo recurrente. Los grupos de ransomware intercambian informaci\u00f3n sobre v\u00edctimas que pagan. Quien ha pagado una vez env\u00eda una se\u00f1al: aqu\u00ed hay dinero, y probablemente las vulnerabilidades de seguridad siguen abiertas. Estudios de varios proveedores de seguridad muestran que las empresas que han pagado una vez tienen una probabilidad significativamente mayor de ser atacadas de nuevo.<\/p>\n
En tercer lugar, los costes secundarios son considerables. Al pago del rescate se suman costes de investigaci\u00f3n forense, asesor\u00eda legal, comunicaci\u00f3n de crisis, notificaci\u00f3n a clientes afectados seg\u00fan el RGPD, primas de seguro m\u00e1s elevadas y, con frecuencia, p\u00e9rdida de productividad durante meses. Estos costes superan t\u00edpicamente el rescate entre tres y cinco veces.<\/p>\n
En cuarto lugar, existen riesgos regulatorios. En la UE, el pago de rescates no es ilegal, pero puede vulnerar la normativa de sanciones si los destinatarios figuran en listas de sanciones. La Oficina de Control de Activos Extranjeros (OFAC) de Estados Unidos y los organismos equivalentes de la UE mantienen dichas listas. Una empresa que sin saberlo paga a un grupo sancionado se expone a consecuencias penales. El BSI y las autoridades policiales de la UE desaconsejan expresamente los pagos. Las empresas sujetas a NIS2 deben notificar los incidentes en un plazo de 24 horas y se arriesgan a inspecciones adicionales de las autoridades si han pagado.<\/p>\n
En quinto lugar, cada pago financia el ecosistema criminal. Los grupos de ransomware operan como empresas profesionales con desarrolladores, afiliados y personal de soporte. Los ingresos de los rescates se destinan al desarrollo de nuevas herramientas de ataque, la captaci\u00f3n de nuevos afiliados y, en algunos casos, la financiaci\u00f3n de operaciones respaldadas por estados. Seg\u00fan Chainalysis, los pagos totales a grupos de ransomware en 2024 ascendieron a 813,55 millones de d\u00f3lares estadounidenses. Cada pago individual fortalece este ecosistema.<\/p>\n
Qu\u00e9 ocurre cuando las empresas no pagan<\/h2>\n
No pagar no es un salvoconducto. Significa: la reconstrucci\u00f3n lleva m\u00e1s tiempo y consume m\u00e1s recursos operativos. Pero los resultados son mejores a largo plazo.<\/p>\n
El proceso de restauraci\u00f3n sin pago dura seg\u00fan Sophos entre 14 y 30 d\u00edas de mediana, en funci\u00f3n de la complejidad del entorno IT y de la calidad de las copias de seguridad disponibles. Durante ese tiempo se activan procesos de emergencia: los flujos de trabajo manuales sustituyen a los digitales, los sistemas cr\u00edticos se restauran con prioridad y el an\u00e1lisis forense identifica el vector de ataque. Es doloroso y supone p\u00e9rdida de ingresos. Pero resuelve el problema real en lugar de limitarse a puentear sus s\u00edntomas.<\/p>\n
Una ventaja frecuentemente subestimada de no pagar: el an\u00e1lisis forense sin presi\u00f3n de tiempo. Las empresas que pagan se ven presionadas a volver a poner en producci\u00f3n los sistemas descifrados lo antes posible, a menudo sin entender completamente la causa ra\u00edz. Las empresas que no pagan y reconstruyen desde cero tienen la oportunidad de mejorar fundamentalmente su arquitectura de seguridad. Muchos responsables de IT reconocen en retrospectiva que la reconstrucci\u00f3n forzada fortaleci\u00f3 su postura de seguridad a largo plazo.<\/p>\n
Las empresas que no pagan se encuentran en mejor posici\u00f3n a largo plazo porque se ven obligadas a cerrar realmente sus brechas de seguridad. El pago alivia el dolor pero no elimina la causa. Quien paga y deja abierta la misma vulnerabilidad volver\u00e1 a ser atacado. Quien no paga y cierra la vulnerabilidad ha elevado permanentemente su nivel de seguridad.<\/p>\n
La clave est\u00e1 en la preparaci\u00f3n. Las empresas con estrategias de copia de seguridad probadas, un plan de respuesta a incidentes documentado y un seguro cibern\u00e9tico con cobertura de respuesta a incidentes est\u00e1n en condiciones de sobrevivir a un incidente de ransomware sin pagar. El 36 por ciento que en 2025 no tuvo que pagar hab\u00eda establecido por lo general estas bases con anterioridad.<\/p>\n
La empresa mediana alemana como principal objetivo<\/h2>\n
En Alemania, el ransomware afecta de forma desproporcionada a las medianas empresas. Seg\u00fan el informe BKA Bundeslagebild Cybercrime 2024, el 80 por ciento de todas las v\u00edctimas de ransomware son peque\u00f1as y medianas empresas. El BSI notifica 950 ataques de ransomware registrados, aunque la cifra real no declarada es significativamente mayor. Muchas pymes no reportan los incidentes para evitar da\u00f1os reputacionales. El n\u00famero real de ataques es, por tanto, considerablemente mayor.<\/p>\n
La vulnerabilidad tiene causas estructurales. Las pymes cumplen en promedio solo el 56 por ciento de los requisitos b\u00e1sicos de seguridad IT y suelen sobreestimar su propio nivel de protecci\u00f3n. El 83 por ciento de las pymes lidia con una grave escasez de personal especializado en IT. Un equipo de seguridad dedicado capaz de gestionar profesionalmente un incidente de ransomware no existe en la mayor\u00eda de las medianas empresas.<\/p>\n
El BSI recomienda la verificaci\u00f3n CyberRisiko seg\u00fan DIN SPEC 27076 como punto de entrada para las pymes. Esta auditor\u00eda estandarizada identifica las principales brechas y cuesta unos pocos miles de euros. Adicionalmente, la administraci\u00f3n federal y los estados ofrecen programas de ayuda para consultor\u00eda de seguridad IT en medianas empresas.<\/p>\n
La posici\u00f3n contraria: cu\u00e1ndo pagar puede ser racional<\/h2>\n
Existen escenarios en los que no pagar pone en riesgo existencial a la empresa. Un hospital con datos de pacientes cifrados y sin copias de seguridad actualizadas se enfrenta a una ponderaci\u00f3n diferente que una empresa de software con sistemas redundantes. Una empresa manufacturera que pierde ingresos de seis cifras por cada d\u00eda de parada calcula el punto de equilibrio de otra manera.<\/p>\n
En estos casos extremos, el pago puede ser la decisi\u00f3n pragm\u00e1tica si se cumplen tres condiciones: las copias de seguridad son realmente inutilizables, la interrupci\u00f3n operativa genera da\u00f1os mayores que el rescate y se contrata a un proveedor profesional de negociaci\u00f3n. Este \u00faltimo puede reducir la demanda en un 47 por ciento de media seg\u00fan Coveware.<\/p>\n
Pero incluso entonces: el pago nunca debe realizarse sin una respuesta a incidentes en paralelo. El vector de ataque debe identificarse y cerrarse. De lo contrario, el siguiente cifrado es solo cuesti\u00f3n de tiempo.<\/p>\n
Lista de verificaci\u00f3n: preparaci\u00f3n ante un ataque de ransomware<\/h2>\n
Prevenci\u00f3n<\/strong><\/p>\n\n- Implementar la estrategia de copias de seguridad 3-2-1: 3 copias, 2 soportes, 1 copia fuera de las instalaciones, con pruebas regulares<\/li>\n
- Implementar segmentaci\u00f3n de red: separar las redes de producci\u00f3n, oficina y copias de seguridad<\/li>\n
- Activar autenticaci\u00f3n multifactor para todos los accesos remotos y cuentas privilegiadas<\/li>\n
- Establecer una gesti\u00f3n de parches con una ventana m\u00e1xima de 72 horas para vulnerabilidades cr\u00edticas<\/li>\n<\/ul>\n
Preparaci\u00f3n para el caso de emergencia<\/strong><\/p>\n\n- Documentar el plan de respuesta a incidentes: qui\u00e9n decide, qui\u00e9n comunica, qui\u00e9n dirige el an\u00e1lisis forense<\/li>\n
- Mantener fuera de l\u00ednea los datos de contacto del proveedor de respuesta a incidentes y del abogado<\/li>\n
- Revisar y mantener actualizado el seguro cibern\u00e9tico con cobertura de respuesta a incidentes<\/li>\n
- Realizar ejercicios de simulaci\u00f3n al menos una vez al a\u00f1o: practicar el escenario de ransomware<\/li>\n<\/ul>\n
En caso de emergencia<\/strong><\/p>\n\n- Aislar de inmediato los sistemas afectados, no apagarlos (preservar datos forenses)<\/li>\n
- Notificar al BKA y al BSI (cumplir con la obligaci\u00f3n de notificaci\u00f3n seg\u00fan NIS2)<\/li>\n
- Contratar a un proveedor profesional de respuesta a incidentes<\/li>\n
- No comunicarse de forma independiente con los atacantes<\/li>\n<\/ul>\n
Conclusi\u00f3n: la decisi\u00f3n se toma antes del ataque<\/h2>\n
La pregunta de si una empresa debe pagar en un ataque de ransomware no puede responderse en la sala de crisis. Se decide meses antes: por la calidad de las copias de seguridad, la existencia de un plan de respuesta a incidentes documentado y probado, y si alguien en la empresa sabe qu\u00e9 hacer cuando llegue el momento.<\/p>\n
Los datos son inequ\u00edvocos: la disposici\u00f3n a pagar disminuye, los costes totales aumentan y las empresas preparadas se encuentran en una posici\u00f3n notablemente mejor. La verificaci\u00f3n CyberRisiko del BSI es un buen punto de partida. Un ejercicio de simulaci\u00f3n anual en el que se practique un escenario de ransomware cuesta un d\u00eda de trabajo y puede ahorrar millones en caso de emergencia. Quien haya hecho los deberes nunca tendr\u00e1 que plantearse seriamente el pago. Quien no los haya hecho pagar\u00e1 un precio elevado de todas formas, con o sin rescate.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n\n\u00bfDeben las empresas pagar en caso de ransomware?<\/strong><\/summary>\nEl BSI, el BKA y las autoridades policiales de la UE desaconsejan expresamente el pago. Los datos muestran que las empresas que pagan recuperan en promedio solo el 60 por ciento de sus datos y tienen un mayor riesgo de ataques posteriores. En casos extremos excepcionales, cuando las copias de seguridad son inutilizables y la interrupci\u00f3n operativa es existencialmente amenazante, el pago a trav\u00e9s de un proveedor profesional de negociaci\u00f3n puede considerarse.<\/p>\n<\/details>\n\n\u00bfCu\u00e1l es la demanda promedio de ransomware?<\/strong><\/summary>\nEl pago promedio de rescate en el cuarto trimestre de 2025 fue de unos 592.000 d\u00f3lares estadounidenses con una mediana de 325.000 d\u00f3lares estadounidenses (Coveware). Las demandas var\u00edan considerablemente seg\u00fan el tama\u00f1o de la empresa y el sector. Los negociadores profesionales pueden reducir la demanda en un 47 por ciento de media.<\/p>\n<\/details>\n\n\u00bfCu\u00e1nto tiempo tarda la restauraci\u00f3n sin pago?<\/strong><\/summary>\nLa restauraci\u00f3n desde copias de seguridad dura seg\u00fan Sophos entre 14 y 30 d\u00edas de mediana, dependiendo de la complejidad del entorno IT y de la calidad de las copias de seguridad. Durante ese tiempo se activan procesos de emergencia para la operaci\u00f3n del negocio. Las empresas con estrategias de copia de seguridad probadas y un plan de respuesta a incidentes documentado reducen considerablemente este tiempo.<\/p>\n<\/details>\n\n\u00bfCu\u00e1nto cuesta en total un ataque de ransomware?<\/strong><\/summary>\nSeg\u00fan el IBM Cost of a Data Breach Report 2025, el coste total promedio de un incidente de ransomware es de 5,13 millones de d\u00f3lares estadounidenses. Esto incluye investigaci\u00f3n forense, asesor\u00eda legal, comunicaci\u00f3n de crisis, notificaciones seg\u00fan el RGPD, p\u00e9rdida de productividad y primas de seguro m\u00e1s elevadas. Estos costes se producen independientemente de si se pag\u00f3 el rescate.<\/p>\n<\/details>\n\n\u00bfEs ilegal pagar un rescate de ransomware?<\/strong><\/summary>\nEn la UE, el pago de rescates de ransomware no es fundamentalmente ilegal. Sin embargo, puede vulnerar la normativa de sanciones si los destinatarios figuran en listas de sanciones de la UE o de Estados Unidos. Las empresas deben realizar una verificaci\u00f3n de sanciones antes de cualquier pago. El BSI y las autoridades policiales desaconsejan los pagos por razones de pol\u00edtica criminal, ya que financian el modelo de negocio de los atacantes.<\/p>\n<\/details>\n
\nLecturas recomendadas<\/h2>\n\n- Seguro cibern\u00e9tico 2026: qu\u00e9 comprueba realmente el asegurador y qu\u00e9 deben preparar los CISO<\/a> (SecurityToday)<\/li>\n
- Gesti\u00f3n de accesos privilegiados: por qu\u00e9 las cuentas de administrador son la mayor puerta de entrada para los ataques<\/a> (SecurityToday)<\/li>\n
- OWASP Agentic AI Top 10: cuando los agentes de IA se convierten en la mayor superficie de ataque<\/a> (SecurityToday)<\/li>\n
- Threat Intelligence para medianas empresas: detectar amenazas antes de que golpeen<\/a> (SecurityToday)<\/li>\n<\/ul>\n<\/div>\n\n<\/p>\n
Selecci\u00f3n de la redacci\u00f3n<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/pexels-279810-privileged-access-management-250x167.jpg\")
<\/span>Recomendado<\/span>Privileged Access Management: Por qu\u00e9 las cuentas de administrador son la mayor puerta de entrada para los atacantes<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/owasp-agentic-ai-sicherheitsrisiken-250x167.jpg\")
<\/span>Recomendado<\/span>OWASP Agentic AI Top 10: Cuando los agentes de IA se convierten en la superficie de ataque m\u00e1s grande<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/pexels-5380682-threat-intelligence-250x167.jpg\")
<\/span>Recomendado<\/span>Inteligencia de amenazas para la mediana empresa: detectar amenazas antes de que golpeen<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-kommission-breach-aws-350gb-nis2-souv-67613923.jpg\")
<\/span>cloudmagazin<\/span>Comisi\u00f3n Europea hackeada: 350 GB AWS filtrados \u2013 segundo\u2026<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-servicios-de-seguridad-gestionados-cumpl-34413303-250x143.jpg\")
<\/span>Digital Chiefs<\/span>Servicios de Ciberseguridad Gestionados: El CISO no asume la responsabilidad exclusiva<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-cloud-kosten-chefsache-cfo-cio-finops-mi-45391877-250x139.jpg\")
<\/span>MyBusinessFuture<\/span>Costos de la nube: CFO y CIO alineados<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Solo el 25 % de las v\u00edctimas de ransomware pagan. Qu\u00e9 ocurre al pagar y por qu\u00e9 la preparaci\u00f3n es la \u00fanica soluci\u00f3n real.","protected":false},"author":10,"featured_media":11325,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"ransomware pago","_yoast_wpseo_title":"Ransomware 2026: qu\u00e9 sucede cuando las empresas pagan - y qu\u00e9 sucede cuando no","_yoast_wpseo_metadesc":"Ransomware: \u00bfpagar o no? Tasa de pago del 25 %, 5,13 M USD de coste total por incidente. Datos, riesgos y checklist.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[261],"tags":[235],"class_list":["post-11068","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-es","tag-ransomware"],"evm_reading_time_minutes":14,"wpml_language":"es","wpml_translation_of":11063,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/11068","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=11068"}],"version-history":[{"count":5,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/11068\/revisions"}],"predecessor-version":[{"id":21622,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/11068\/revisions\/21622"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/11325"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=11068"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=11068"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=11068"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
Advertencia: el pago no es ninguna garant\u00eda<\/p>\n
Aunque una empresa pague el rescate, no hay garant\u00eda de recuperaci\u00f3n total de los datos. Seg\u00fan el informe Sophos State of Ransomware 2025, las empresas que pagaron recuperaron en promedio solo el 60 por ciento de sus datos. Las herramientas de descifrado de los atacantes suelen ser defectuosas, lentas o incompletas. Y el pago se\u00f1ala disponibilidad para pagar, lo que aumenta el riesgo de un nuevo ataque.<\/p>\n<\/div>\n
Los n\u00fameros detr\u00e1s del dilema<\/h2>\n
La evoluci\u00f3n de los dos \u00faltimos a\u00f1os muestra una tendencia clara: cada vez menos empresas pagan. Seg\u00fan los informes trimestrales de Coveware, especialista en negociaciones de ransomware, la tasa de pago cay\u00f3 en el cuarto trimestre de 2024 a un m\u00ednimo hist\u00f3rico del 25 por ciento. En 2025 subi\u00f3 levemente al 28 por ciento, pero se mantiene muy por debajo del 62,8 por ciento que a\u00fan pagaba en 2023.<\/p>\n
Al mismo tiempo, los importes medios de pago disminuyen. Mientras que en 2024 las empresas pagaban en promedio 2 millones de d\u00f3lares estadounidenses, la media en el cuarto trimestre de 2025 fue de 592.000 d\u00f3lares estadounidenses. La mediana se situ\u00f3 en 325.000 d\u00f3lares estadounidenses. En el tercer trimestre de 2025 la media hab\u00eda ca\u00eddo incluso a 377.000 d\u00f3lares estadounidenses, un descenso del 66 por ciento respecto al trimestre anterior.<\/p>\n
25 %<\/p>\n
de las v\u00edctimas de ransomware pagaron el rescate en el Q4 2024. Un m\u00ednimo hist\u00f3rico que confirma la tendencia hacia el no pago.<\/p>\n
813,55 millones de d\u00f3lares estadounidenses<\/p>\n
Suma total de todos los pagos de ransomware en 2024, un descenso del 35 por ciento respecto al a\u00f1o r\u00e9cord 2023.<\/p>\n
266.600 millones de euros<\/p>\n
Da\u00f1o total por ciberataques en Alemania en 2024, del que una parte considerable proviene de ransomware e interrupciones operativas.<\/p>\n
Fuentes: Coveware Q4 2024, Chainalysis Crypto Crime Report 2025, Bitkom Wirtschaftsschutz 2024<\/p>\n<\/div>\n
Estas cifras cuentan dos historias al mismo tiempo. La buena: las empresas aprenden a no pagar. La mala: los da\u00f1os totales siguen aumentando, porque los costes por interrupci\u00f3n de operaciones, restauraci\u00f3n y da\u00f1o reputacional superan con creces la demanda de rescate. Seg\u00fan el IBM Cost of a Data Breach Report 2025, el coste total promedio de un incidente de ransomware fue de 5,13 millones de d\u00f3lares estadounidenses, independientemente de si se pag\u00f3 o no.<\/p>\n
Qu\u00e9 ocurre cuando las empresas pagan<\/h2>\n
La idea de que un pago restaura la normalidad es la ilusi\u00f3n m\u00e1s peligrosa en la defensa contra el ransomware. La realidad es diferente.<\/p>\n
En primer lugar, la restauraci\u00f3n de datos es incompleta. En promedio, las empresas que pagan recuperan solo alrededor del 60 por ciento de sus datos. Las herramientas de descifrado que proporcionan los atacantes suelen ser lentas y defectuosas. Algunos tipos de archivos no se descifran en absoluto. Las bases de datos que estaban activas durante el cifrado suelen estar corruptas y de todas formas deben restaurarse desde copias de seguridad.<\/p>\n
En segundo lugar, el pago convierte a la empresa en objetivo recurrente. Los grupos de ransomware intercambian informaci\u00f3n sobre v\u00edctimas que pagan. Quien ha pagado una vez env\u00eda una se\u00f1al: aqu\u00ed hay dinero, y probablemente las vulnerabilidades de seguridad siguen abiertas. Estudios de varios proveedores de seguridad muestran que las empresas que han pagado una vez tienen una probabilidad significativamente mayor de ser atacadas de nuevo.<\/p>\n
En tercer lugar, los costes secundarios son considerables. Al pago del rescate se suman costes de investigaci\u00f3n forense, asesor\u00eda legal, comunicaci\u00f3n de crisis, notificaci\u00f3n a clientes afectados seg\u00fan el RGPD, primas de seguro m\u00e1s elevadas y, con frecuencia, p\u00e9rdida de productividad durante meses. Estos costes superan t\u00edpicamente el rescate entre tres y cinco veces.<\/p>\n
En cuarto lugar, existen riesgos regulatorios. En la UE, el pago de rescates no es ilegal, pero puede vulnerar la normativa de sanciones si los destinatarios figuran en listas de sanciones. La Oficina de Control de Activos Extranjeros (OFAC) de Estados Unidos y los organismos equivalentes de la UE mantienen dichas listas. Una empresa que sin saberlo paga a un grupo sancionado se expone a consecuencias penales. El BSI y las autoridades policiales de la UE desaconsejan expresamente los pagos. Las empresas sujetas a NIS2 deben notificar los incidentes en un plazo de 24 horas y se arriesgan a inspecciones adicionales de las autoridades si han pagado.<\/p>\n
En quinto lugar, cada pago financia el ecosistema criminal. Los grupos de ransomware operan como empresas profesionales con desarrolladores, afiliados y personal de soporte. Los ingresos de los rescates se destinan al desarrollo de nuevas herramientas de ataque, la captaci\u00f3n de nuevos afiliados y, en algunos casos, la financiaci\u00f3n de operaciones respaldadas por estados. Seg\u00fan Chainalysis, los pagos totales a grupos de ransomware en 2024 ascendieron a 813,55 millones de d\u00f3lares estadounidenses. Cada pago individual fortalece este ecosistema.<\/p>\n
Qu\u00e9 ocurre cuando las empresas no pagan<\/h2>\n
No pagar no es un salvoconducto. Significa: la reconstrucci\u00f3n lleva m\u00e1s tiempo y consume m\u00e1s recursos operativos. Pero los resultados son mejores a largo plazo.<\/p>\n
El proceso de restauraci\u00f3n sin pago dura seg\u00fan Sophos entre 14 y 30 d\u00edas de mediana, en funci\u00f3n de la complejidad del entorno IT y de la calidad de las copias de seguridad disponibles. Durante ese tiempo se activan procesos de emergencia: los flujos de trabajo manuales sustituyen a los digitales, los sistemas cr\u00edticos se restauran con prioridad y el an\u00e1lisis forense identifica el vector de ataque. Es doloroso y supone p\u00e9rdida de ingresos. Pero resuelve el problema real en lugar de limitarse a puentear sus s\u00edntomas.<\/p>\n
Una ventaja frecuentemente subestimada de no pagar: el an\u00e1lisis forense sin presi\u00f3n de tiempo. Las empresas que pagan se ven presionadas a volver a poner en producci\u00f3n los sistemas descifrados lo antes posible, a menudo sin entender completamente la causa ra\u00edz. Las empresas que no pagan y reconstruyen desde cero tienen la oportunidad de mejorar fundamentalmente su arquitectura de seguridad. Muchos responsables de IT reconocen en retrospectiva que la reconstrucci\u00f3n forzada fortaleci\u00f3 su postura de seguridad a largo plazo.<\/p>\n
Las empresas que no pagan se encuentran en mejor posici\u00f3n a largo plazo porque se ven obligadas a cerrar realmente sus brechas de seguridad. El pago alivia el dolor pero no elimina la causa. Quien paga y deja abierta la misma vulnerabilidad volver\u00e1 a ser atacado. Quien no paga y cierra la vulnerabilidad ha elevado permanentemente su nivel de seguridad.<\/p>\n
La clave est\u00e1 en la preparaci\u00f3n. Las empresas con estrategias de copia de seguridad probadas, un plan de respuesta a incidentes documentado y un seguro cibern\u00e9tico con cobertura de respuesta a incidentes est\u00e1n en condiciones de sobrevivir a un incidente de ransomware sin pagar. El 36 por ciento que en 2025 no tuvo que pagar hab\u00eda establecido por lo general estas bases con anterioridad.<\/p>\n
La empresa mediana alemana como principal objetivo<\/h2>\n
En Alemania, el ransomware afecta de forma desproporcionada a las medianas empresas. Seg\u00fan el informe BKA Bundeslagebild Cybercrime 2024, el 80 por ciento de todas las v\u00edctimas de ransomware son peque\u00f1as y medianas empresas. El BSI notifica 950 ataques de ransomware registrados, aunque la cifra real no declarada es significativamente mayor. Muchas pymes no reportan los incidentes para evitar da\u00f1os reputacionales. El n\u00famero real de ataques es, por tanto, considerablemente mayor.<\/p>\n
La vulnerabilidad tiene causas estructurales. Las pymes cumplen en promedio solo el 56 por ciento de los requisitos b\u00e1sicos de seguridad IT y suelen sobreestimar su propio nivel de protecci\u00f3n. El 83 por ciento de las pymes lidia con una grave escasez de personal especializado en IT. Un equipo de seguridad dedicado capaz de gestionar profesionalmente un incidente de ransomware no existe en la mayor\u00eda de las medianas empresas.<\/p>\n
El BSI recomienda la verificaci\u00f3n CyberRisiko seg\u00fan DIN SPEC 27076 como punto de entrada para las pymes. Esta auditor\u00eda estandarizada identifica las principales brechas y cuesta unos pocos miles de euros. Adicionalmente, la administraci\u00f3n federal y los estados ofrecen programas de ayuda para consultor\u00eda de seguridad IT en medianas empresas.<\/p>\n
La posici\u00f3n contraria: cu\u00e1ndo pagar puede ser racional<\/h2>\n
Existen escenarios en los que no pagar pone en riesgo existencial a la empresa. Un hospital con datos de pacientes cifrados y sin copias de seguridad actualizadas se enfrenta a una ponderaci\u00f3n diferente que una empresa de software con sistemas redundantes. Una empresa manufacturera que pierde ingresos de seis cifras por cada d\u00eda de parada calcula el punto de equilibrio de otra manera.<\/p>\n
En estos casos extremos, el pago puede ser la decisi\u00f3n pragm\u00e1tica si se cumplen tres condiciones: las copias de seguridad son realmente inutilizables, la interrupci\u00f3n operativa genera da\u00f1os mayores que el rescate y se contrata a un proveedor profesional de negociaci\u00f3n. Este \u00faltimo puede reducir la demanda en un 47 por ciento de media seg\u00fan Coveware.<\/p>\n
Pero incluso entonces: el pago nunca debe realizarse sin una respuesta a incidentes en paralelo. El vector de ataque debe identificarse y cerrarse. De lo contrario, el siguiente cifrado es solo cuesti\u00f3n de tiempo.<\/p>\n
Lista de verificaci\u00f3n: preparaci\u00f3n ante un ataque de ransomware<\/h2>\n
Prevenci\u00f3n<\/strong><\/p>\n Preparaci\u00f3n para el caso de emergencia<\/strong><\/p>\n En caso de emergencia<\/strong><\/p>\n La pregunta de si una empresa debe pagar en un ataque de ransomware no puede responderse en la sala de crisis. Se decide meses antes: por la calidad de las copias de seguridad, la existencia de un plan de respuesta a incidentes documentado y probado, y si alguien en la empresa sabe qu\u00e9 hacer cuando llegue el momento.<\/p>\n Los datos son inequ\u00edvocos: la disposici\u00f3n a pagar disminuye, los costes totales aumentan y las empresas preparadas se encuentran en una posici\u00f3n notablemente mejor. La verificaci\u00f3n CyberRisiko del BSI es un buen punto de partida. Un ejercicio de simulaci\u00f3n anual en el que se practique un escenario de ransomware cuesta un d\u00eda de trabajo y puede ahorrar millones en caso de emergencia. Quien haya hecho los deberes nunca tendr\u00e1 que plantearse seriamente el pago. Quien no los haya hecho pagar\u00e1 un precio elevado de todas formas, con o sin rescate.<\/p>\n Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n El BSI, el BKA y las autoridades policiales de la UE desaconsejan expresamente el pago. Los datos muestran que las empresas que pagan recuperan en promedio solo el 60 por ciento de sus datos y tienen un mayor riesgo de ataques posteriores. En casos extremos excepcionales, cuando las copias de seguridad son inutilizables y la interrupci\u00f3n operativa es existencialmente amenazante, el pago a trav\u00e9s de un proveedor profesional de negociaci\u00f3n puede considerarse.<\/p>\n<\/details>\n El pago promedio de rescate en el cuarto trimestre de 2025 fue de unos 592.000 d\u00f3lares estadounidenses con una mediana de 325.000 d\u00f3lares estadounidenses (Coveware). Las demandas var\u00edan considerablemente seg\u00fan el tama\u00f1o de la empresa y el sector. Los negociadores profesionales pueden reducir la demanda en un 47 por ciento de media.<\/p>\n<\/details>\n La restauraci\u00f3n desde copias de seguridad dura seg\u00fan Sophos entre 14 y 30 d\u00edas de mediana, dependiendo de la complejidad del entorno IT y de la calidad de las copias de seguridad. Durante ese tiempo se activan procesos de emergencia para la operaci\u00f3n del negocio. Las empresas con estrategias de copia de seguridad probadas y un plan de respuesta a incidentes documentado reducen considerablemente este tiempo.<\/p>\n<\/details>\n Seg\u00fan el IBM Cost of a Data Breach Report 2025, el coste total promedio de un incidente de ransomware es de 5,13 millones de d\u00f3lares estadounidenses. Esto incluye investigaci\u00f3n forense, asesor\u00eda legal, comunicaci\u00f3n de crisis, notificaciones seg\u00fan el RGPD, p\u00e9rdida de productividad y primas de seguro m\u00e1s elevadas. Estos costes se producen independientemente de si se pag\u00f3 el rescate.<\/p>\n<\/details>\n En la UE, el pago de rescates de ransomware no es fundamentalmente ilegal. Sin embargo, puede vulnerar la normativa de sanciones si los destinatarios figuran en listas de sanciones de la UE o de Estados Unidos. Las empresas deben realizar una verificaci\u00f3n de sanciones antes de cualquier pago. El BSI y las autoridades policiales desaconsejan los pagos por razones de pol\u00edtica criminal, ya que financian el modelo de negocio de los atacantes.<\/p>\n<\/details>\n\n
\n
\n
Conclusi\u00f3n: la decisi\u00f3n se toma antes del ataque<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfDeben las empresas pagar en caso de ransomware?<\/strong><\/summary>\n
\u00bfCu\u00e1l es la demanda promedio de ransomware?<\/strong><\/summary>\n
\u00bfCu\u00e1nto tiempo tarda la restauraci\u00f3n sin pago?<\/strong><\/summary>\n
\u00bfCu\u00e1nto cuesta en total un ataque de ransomware?<\/strong><\/summary>\n
\u00bfEs ilegal pagar un rescate de ransomware?<\/strong><\/summary>\n
Lecturas recomendadas<\/h2>\n
\n
Selecci\u00f3n de la redacci\u00f3n<\/h3>\n
<\/span>Recomendado<\/span>Privileged Access Management: Por qu\u00e9 las cuentas de administrador son la mayor puerta de entrada para los atacantes<\/span><\/span><\/a><\/span>Recomendado<\/span>OWASP Agentic AI Top 10: Cuando los agentes de IA se convierten en la superficie de ataque m\u00e1s grande<\/span><\/span><\/a><\/span>Recomendado<\/span>Inteligencia de amenazas para la mediana empresa: detectar amenazas antes de que golpeen<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
<\/span>cloudmagazin<\/span>Comisi\u00f3n Europea hackeada: 350 GB AWS filtrados \u2013 segundo\u2026<\/span><\/span><\/a><\/span>Digital Chiefs<\/span>Servicios de Ciberseguridad Gestionados: El CISO no asume la responsabilidad exclusiva<\/span><\/span><\/a><\/span>MyBusinessFuture<\/span>Costos de la nube: CFO y CIO alineados<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Solo el 25 % de las v\u00edctimas de ransomware pagan. Qu\u00e9 ocurre al pagar y por qu\u00e9 la preparaci\u00f3n es la \u00fanica soluci\u00f3n real.","protected":false},"author":10,"featured_media":11325,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"ransomware pago","_yoast_wpseo_title":"Ransomware 2026: qu\u00e9 sucede cuando las empresas pagan - y qu\u00e9 sucede cuando no","_yoast_wpseo_metadesc":"Ransomware: \u00bfpagar o no? Tasa de pago del 25 %, 5,13 M USD de coste total por incidente. Datos, riesgos y checklist.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[261],"tags":[235],"class_list":["post-11068","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-es","tag-ransomware"],"evm_reading_time_minutes":14,"wpml_language":"es","wpml_translation_of":11063,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/11068","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=11068"}],"version-history":[{"count":5,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/11068\/revisions"}],"predecessor-version":[{"id":21622,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/11068\/revisions\/21622"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/11325"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=11068"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=11068"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=11068"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}