El ransomware golpea Europa a ritmo récord
Europa se ha convertido ya en el segundo mayor objetivo global de esta ciberamenaza.
CrowdStrike ha hecho pública la última edición de su informe sobre el panorama de amenazas en Europa 2025, que revela que las organizaciones europeas representaron casi el 22 % de las víctimas globales de ransomware y extorsión, sólo por detrás de Norteamérica.
Las operaciones de ransomware se están acelerando como nunca antes: CrowdStrike ha observado que grupos de ciberdelincuentes como SCATTERED SPIDER aumentaron su velocidad de despliegue de ransomware en un 48 %, con ataques que ahora tardan solo 24 horas en promedio.
Los adversarios que operan en Europa, o la tienen como objetivo, se han beneficiado de mercados clandestinos que han convertido en productos comerciales servicios como Malware como Servicio (MaaS), intermediación para conseguir accesos iniciales y kits de phishing. En paralelo, los actores patrocinados por los estados de Rusia, China, Corea del Norte e Irán han ampliado su actividad en la región, y afectan ya a múltiples sectores, lo que refleja la creciente convergencia entre la ciberdelincuencia y las amenazas geopolíticas.
Aspectos destacados del informe sobre el panorama de amenazas en Europa
Basado en la inteligencia de primera línea del equipo de operaciones contra ciberdelincuentes de CrowdStrike, que rastrea más de 265 actores adversarios identificados, el informe revela:
• Los ataques de ransomware alcanzan niveles históricos: desde el 1 de enero de 2024, se han encontrado 2.100 víctimas europeas en sitios de extorsión tras filtración de datos. Reino Unido, Alemania, Francia, Italia y España fueron los países más atacados, con un 92% de los casos que involucraron cifrado de archivos y robo de datos. Impulsando las operaciones de Big Game Hunting, se han encontrado 260 intermediadores de acceso inicial que ofrecían acceso a más de 1.400 organizaciones europeas.
• Rusia y Corea del Norte intensifican las amenazas: los actores vinculados a Rusia continúan atacando a Ucrania mediante phishing de credenciales, recolección de inteligencia y operaciones destructivas dirigidas a los sectores gubernamental, militar, energético, de telecomunicaciones y servicios públicos. Los actores asociados a Corea del Norte han ampliado sus ataques contra instituciones europeas de defensa, diplomacia y finanzas, combinando espionaje con robos de criptomonedas para avanzar en sus intereses estratégicos.
• Ecosistemas clandestinos en evolución: los foros en inglés y ruso, como BreachForums, sucesor de RaidForums, cuyos administradores estaban vinculados a actores en Francia y el Reino Unido, siguen siendo el núcleo del ecosistema del eCrime en Europa, facilitando el intercambio de datos robados, malware y servicios criminales. Plataformas como Telegram, Tox y Jabber permiten la colaboración, el reclutamiento y la monetización entre los actores de amenazas.
• El crimen físico se digitaliza: el fenómeno "Violencia como Servicio" (Violence-as-a-Service) ha surgido como una amenaza creciente en Europa, donde actores maliciosos usan redes basadas en Telegram para coordinar ataques físicos, secuestros y extorsiones vinculadas a robos de criptomonedas. Grupos relacionados con el ecosistema "The Com" y adversarios híbridos como RENAISSANCE SPIDER están fusionando operaciones cibernéticas y físicas, ofreciendo pagos por sabotaje, incendios provocados y violencia dirigida.
• China consolida su modus operandi: los adversarios patrocinados por el Estado chino han atacado industrias en 11 países, explotando infraestructuras en la nube y cadenas de suministro de software para robar elementos de propiedad intelectual. Se han observado campañas persistentes centradas en salud y biotecnología, con VIXEN PANDA como la amenaza más prolífica contra entidades gubernamentales y de defensa europeas.
• Operaciones iraníes se expanden hacia Europa: los actores vinculados a la Guardia Revolucionaria Islámica de Irán (IRGC) han intensificado campañas de phishing, hack-and-leak y ataques DDoS contra el Reino Unido, Alemania y los Países Bajos. HAYWIRE KITTEN se atribuyó la autoría de un ataque DDoS contra un medio de comunicación neerlandés, mientras que múltiples actores iraníes se hicieron pasar por hacktivistas para encubrir sus esfuerzos de espionaje estatal.
"El campo de batalla en Europa está más concurrido y es más complejo que nunca", afirma Adam Meyers, jefe de operaciones contra ciberdelincuentes en CrowdStrike. "Estamos viendo una peligrosa convergencia entre la innovación criminal y la ambición geopolítica: los grupos de ransomware utilizan herramientas corporativas, y los actores respaldados por Estados aprovechan las crisis globales para interrumpir, persistir y realizar espionaje. En este entorno de alto riesgo, una defensa basada en inteligencia, potenciada por IA y guiada por la experiencia humana, es la única combinación capaz de detener las ciberamenazas".
