El 2026 viene siendo el año más agresivo en términos de ransomware contra empresas peruanas que hemos visto en la última década. Hospitales, ministerios, universidades y empresas privadas han sido víctimas con un patrón cada vez más claro: ataques dirigidos, profesionalizados y con rescates que superan los seis dígitos.
En este artículo te detallamos los 5 grupos de ransomware más activos contra Perú durante 2026, sus tácticas específicas, casos conocidos públicamente, y — lo más importante — cómo proteger a tu empresa antes de que seas la próxima víctima.
¿Por qué Perú es un objetivo atractivo?
Antes de entrar al ranking, es importante entender el contexto. Perú se ha vuelto un blanco preferido por 3 razones:
- Madurez digital media-alta con inversión en seguridad media-baja → mucha superficie expuesta sin defensas robustas
- Capacidad de pago percibida (empresas establecidas pueden pagar rescates de 6-7 cifras en USD)
- Marco legal limitado para la persecución de estos crímenes — los atacantes operan con bajísimo riesgo
Ahora sí, el ranking 2026.
1. LockBit (variante 4.0) — El más activo
Origen: Operación Rusia / Europa del Este Modelo: Ransomware-as-a-Service (RaaS) Víctimas conocidas en Perú durante 2026: 12+ (sectores público y privado)
LockBit sigue siendo el grupo más prolífico a nivel global, y Perú no es la excepción. Su variante 4.0 incorpora:
- Cifrado más rápido (terabytes en minutos)
- Exfiltración paralela al cifrado (doble extorsión)
- Targeting específico de copias de seguridad antes del ataque principal
- Negociaciones más agresivas con presión mediática
Cómo entran: principalmente por VPNs sin MFA y RDPs expuestos a internet. Cada vez más con phishing dirigido al área financiera.
Rescate promedio en Perú: US$ 250,000 – US$ 800,000
2. BlackCat / ALPHV — Sofisticación técnica
Origen: Comunidad ciberdelincuente rusa Modelo: RaaS premium (afiliados selectos) Víctimas conocidas en Perú durante 2026: 6+ (sectores financiero y manufacturero)
BlackCat es uno de los más sofisticados técnicamente. Escrito en Rust (lo que dificulta la ingeniería reversa), incluye una versión Linux para atacar VMware ESXi — el hipervisor que muchas empresas peruanas usan.
Característica distintiva: publican un sitio público con la lista de víctimas que NO pagaron, generando presión adicional.
Cómo entran: vulnerabilidades en aplicaciones expuestas, especialmente VPN sin parchear (Fortinet, Citrix) y Exchange Server sin actualizar.
Rescate promedio en Perú: US$ 400,000 – US$ 1,200,000
3. Akira — El nuevo dolor de cabeza
Origen: Grupo joven (2023), operación internacional Modelo: RaaS con reclutamiento activo Víctimas conocidas en Perú durante 2026: 8+ (sectores salud y educación)
Akira es relativamente nuevo pero rápidamente escaló al top 5. Su modus operandi tiene varios rasgos preocupantes:
- Específicamente targetea organizaciones del sector salud y educación
- Cifra archivos en backups en cinta (cosa rara, pocos ransomwares lo hacen)
- Negocia agresivamente: la oferta inicial siempre es 30-50% más alta que el "objetivo real"
Cómo entran: principalmente por VPNs sin MFA. También han usado credenciales filtradas en el dark web por infostealers (otra amenaza creciente).
Rescate promedio en Perú: US$ 150,000 – US$ 600,000
4. Play — Especialista en sector público
Origen: Probable origen ruso Modelo: Operación cerrada (no es RaaS) Víctimas conocidas en Perú durante 2026: 5+ (principalmente entidades del Estado)
Play se ha especializado en atacar gobiernos locales, ministerios y entidades educativas públicas en América Latina. En Perú, varias municipalidades y entidades del Estado han sido golpeadas.
Característica distintiva: dejan notas extremadamente cortas — solo el email para contactarlos. Sin presión pública, sin sitio de leaks. La negociación es 100% privada.
Cómo entran: vulnerabilidades de FortiOS y archivos office maliciosos en correos.
Rescate promedio en Perú: US$ 80,000 – US$ 300,000
5. RansomHub — El nuevo rey
Origen: Sucesor de ALPHV/BlackCat tras desmantelamiento parcial del FBI Modelo: RaaS muy abierto (cualquiera puede ser afiliado) Víctimas conocidas en Perú durante 2026: 4+ (sectores varios)
RansomHub está creciendo rápido. Al ser muy abierto (reclutan cualquier afiliado con un mínimo de habilidad), su volumen está disparándose. Lo veremos probablemente en el top 1 o 2 a fin de año.
Característica distintiva: ofrecen 90% del rescate a los afiliados (vs. el 70-80% típico), atrayendo a los mejores atacantes.
Cómo entran: mayormente phishing dirigido + escalamiento de privilegios con herramientas legítimas (Living off the Land).
Rescate promedio en Perú: US$ 100,000 – US$ 500,000
Patrones comunes que vemos en TODOS los ataques
Después de analizar decenas de incidentes en Perú, los 5 vectores de entrada son siempre los mismos:
- VPN sin MFA (60% de los casos)
- RDP expuesto a internet (15%)
- Phishing dirigido al área financiera/RRHH (15%)
- Vulnerabilidades sin parchear en software perimetral (Fortinet, Citrix, Exchange) (8%)
- Credenciales filtradas en dark web (2%)
Cómo proteger tu empresa: las 7 reglas no negociables
Si pudiéramos resumir años de experiencia en una receta:
1. MFA en TODO
- VPN
- Correo (especialmente Office 365 / Google Workspace)
- RDP / acceso remoto
- Aplicaciones críticas
Esto solo bloquea el 85% de los ataques. Es la inversión con mejor ROI.
2. Backups inmutables + offline
3-2-1: 3 copias, 2 medios distintos, 1 offline. Los ransomwares modernos buscan y cifran backups primero.
3. EDR / Antivirus de nueva generación
Un antivirus tradicional NO detiene ransomware moderno. Necesitas ciberseguridad para endpoint con containment — como Xcitium.
4. Parches al día
El 80% de las vulnerabilidades explotadas tienen parches disponibles hace más de 6 meses. Tener un proceso de patching es crítico.
5. Filtros web + antispam avanzado
Bloquear el phishing antes de llegar al usuario. Antispam en la nube + filtros web.
6. Concienciación del usuario
Capacitación trimestral + phishing simulado. Tu usuario es la última línea de defensa.
7. Plan de respuesta a incidentes
Si te pasa (y estadísticamente, va a pasarte alguna vez), tener un plan reduce el daño 10x. Quién llama a quién, qué se desconecta primero, cómo se restauran los backups.
Si fuiste víctima: ¿pagar o no pagar?
La recomendación oficial del FBI, INTERPOL y CERTs del mundo es NO pagar. Por tres razones:
- No garantiza la recuperación. ~25% de las víctimas que pagan NO reciben llave de descifrado válida.
- Financia más ataques. Cada pago entrena el modelo de negocio para que sigan atacando.
- Te marca como objetivo recurrente. ~80% de empresas que pagan son atacadas nuevamente en menos de 12 meses.
Si te pasa, contáctanos antes de tomar cualquier decisión. Hemos asistido a varias empresas en Perú en respuesta a incidentes de ransomware y la diferencia entre actuar con plan vs. improvisar es enorme.
Conclusión
El ransomware no es una amenaza teórica — es una realidad operativa en Perú durante 2026. Las empresas que sobreviven no son las "más afortunadas", sino las que invirtieron en defensa antes de ser objetivo.
Si tu organización no tiene los 7 controles que mencionamos arriba, estás en riesgo. Es así de simple.