La ciberdelincuencia mueve tanto dinero que ya equivale a la 'tercera economía' del planeta

La ciberdelincuencia ha alcanzado una dimensión económica que ya permite al Centro Criptológico Nacional (CCN-CERT) hablar de ella como la “tercera economía mundial”, sólo por detrás de Estados Unidos y China. Así lo recoge su informe Ciberamenazas y Tendencias 2025, que analiza la evolución de las amenazas digitales durante 2024 y alerta de la expansión de un fenómeno cada vez más profesionalizado.

El dato afecta directamente a España ya que durante 2024, el país experimentó un aumento del 72% de los ataques de cibercrimen respecto al año anterior, según el informe. Un incremento que se produce en un escenario internacional en el que los grupos criminales han desarrollado modelos de negocio propios para distribuir sus herramientas, captar colaboradores y multiplicar el número de víctimas.

El CCN-CERT identifica a RansomHub y LockBit como los grupos de ciberdelincuentes más activos a escala global durante 2024, con más de 500 ataques cada uno. Los dos están vinculados al ransomware y operan bajo un modelo denominado Ransomware-as-a-Service (RaaS).

Los programas maliciosos al servicio de otros criminales

El informe identifica que el ransomware es un tipo de virus o software malicioso que secuestra los datos de un ordenador o red entera bloqueando el acceso a ellos, generalmente cifrándolos (encriptándolos), y exige un rescate económico a cambio de la clave para liberarlos.

Este nuevo modelo implica que, en lugar de que cada delincuente tenga que desarrollar su propio programa malicioso, los creadores del ransomware ponen sus herramientas a disposición de otros criminales. Estos últimos, conocidos como afiliados, las utilizan para atacar a las víctimas. El beneficio se reparte entre quienes proporcionan la tecnología y quienes ejecutan los ataques.

Es decir, el cibercrimen funciona también a través de una división del trabajo. Unos desarrollan el software y otros lo emplean para acceder a los sistemas de las víctimas. El informe del CCN-CERT apunta precisamente a esta estructura cuando explica que los desarrolladores del malware lo alquilan a afiliados que posteriormente lo utilizan contra sus objetivos.

Más de 500 ataques de los grupos más activos

El ransomware es una modalidad de ataque informático en la que los delincuentes bloquean o cifran los sistemas o archivos de una víctima y buscan obtener un beneficio económico a cambio de devolver el acceso. Su impacto puede ser especialmente elevado cuando afecta a organizaciones cuya actividad depende de sus sistemas informáticos.

En 2024, Estados Unidos fue el país que registró el mayor número de ataques de ransomware, mientras que Suecia experimentó un incremento del 350% entre abril de 2023 y abril de 2024, según los datos recogidos por el CCN-CERT. Entre los grupos que protagonizaron estos ataques destaca LockBit, que surgió en 2019 y que el informe describe como uno de los grupos más activos y sofisticados. Sus raíces se sitúan en foros de habla rusa y contaba con una estructura organizativa definida.

Su actividad sufrió un importante golpe en febrero de 2024, cuando fue objeto de la Operación Cronos, una operación conjunta en la que participaron más de once países y que permitió desmantelar el grupo. Pese a ello, LockBit aparece en la segunda posición entre los grupos más activos durante todo 2024, según el balance recogido por el CCN-CERT. El otro gran protagonista es RansomHub, un grupo más reciente, activo desde 2024. El informe señala que ganó notoriedad al incorporar a antiguos afiliados de otros grupos que habían desaparecido, entre ellos uno conocido como 'ALPHV/BlackCat'.

La evolución de RansomHub muestra además cómo el ecosistema criminal puede adaptarse a la desaparición de algunos de sus principales actores. Los antiguos integrantes de grupos que dejan de operar pueden incorporarse a nuevas estructuras.

El ‘Malware as a Service’: alquilar las herramientas para delinquir

El modelo no se limita al ransomware. El CCN-CERT alerta también del crecimiento del denominado Malware-as-a-Service (MaaS), es decir, la utilización de programas maliciosos como un servicio que puede ponerse a disposición de terceros. El organismo sitúa esta modalidad entre las principales amenazas y señala que llegó a representar hasta el 57% de las amenazas detectadas durante el segundo semestre de 2024, un 17% más que durante los seis primeros meses del año.

La diferencia entre estos términos puede resultar difícil de entender para quien no esté familiarizado con la ciberseguridad. La clave está en que el delincuente no tiene necesariamente que crear desde cero la herramienta que utilizará en un ataque. Puede acceder a servicios o programas desarrollados por otros actores y utilizarlos para sus propios objetivos. Esta profesionalización permite que el fenómeno se extienda y que aparezcan diferentes actores especializados dentro de la misma actividad criminal.

Sanidad y fábricas, entre los principales objetivos

Los ataques tampoco se concentran únicamente en empresas tecnológicas. Los sectores manufacturero y sanitario fueron los más atacados a nivel mundial durante 2024, según el informe del CCN-CERT. El organismo apunta a una razón: ambos sectores dependen especialmente de que sus sistemas funcionen de manera continua y de poder acceder inmediatamente a información crítica.

En el caso de la sanidad, un ataque informático puede afectar a información sensible y personal y, además, poner en riesgo la vida de los pacientes. En la industria, una interrupción de los sistemas puede llegar a detener líneas de producción completas y provocar pérdidas económicas por cada hora de inactividad. El problema, por tanto, no se limita al robo de datos. La paralización de los sistemas puede convertirse en el propio objetivo del ataque y tener consecuencias directas sobre la actividad de una empresa o sobre la prestación de un servicio.