El ransomware ha recuperado intensidad durante 2026 y cada vez aprovecha más la cadena de suministro para comprometer a múltiples organizaciones a partir de un único incidente. Así lo recoge el informe 2026 Ransomware Report de Black Kite, que identifica un crecimiento del 55,1 % en los ataques registrados en Europa durante los cuatro primeros meses del año respecto al mismo periodo de 2025.
Entre enero de 2025 y abril de 2026 se contabilizaron 2.066 incidentes públicos de ransomware en Europa. Mientras durante la primera mitad de 2025 se registraba una media de 108 ataques mensuales, en los primeros meses de 2026 la cifra ascendió hasta 171 incidentes al mes, reflejando una clara aceleración de la actividad.
Cinco países concentran casi siete de cada diez ataques
El estudio muestra además una elevada concentración geográfica. Alemania, Reino Unido, Francia, Italia y España acumulan el 68,5 % de todos los ataques registrados durante el periodo analizado y más del 71 % de los ocurridos en 2026. Alemania continúa siendo el país más afectado, seguido por Reino Unido, Francia, Italia y España.
Por sectores, la industria manufacturera sigue siendo el principal objetivo de los grupos de ransomware y concentra cerca del 28 % de todos los incidentes. Le siguen los servicios empresariales, la construcción, el comercio minorista y la sanidad, sectores donde la interrupción de la actividad tiene un elevado impacto económico.
Los proveedores se convierten en un multiplicador del riesgo
Uno de los aspectos más destacados del informe es el crecimiento de los ataques contra proveedores tecnológicos. Durante el periodo analizado, 64 organizaciones europeas sufrieron incidentes cuyo origen estuvo en terceros. Más de la mitad de esos casos estuvieron relacionados con el ataque al proveedor sueco Miljödata, utilizado por cerca del 80 % de los municipios del país. El incidente afectó a unos 250 clientes y expuso información de más de un millón de personas, convirtiéndose en uno de los mayores ejemplos recientes del efecto dominó que puede provocar una brecha en la cadena de suministro.
Black Kite también analiza la evolución de los principales grupos de ransomware. Mientras Qilin mantiene una presencia muy extendida, con actividad en 26 de los 31 países europeos analizados, otros actores como SafePay concentran más de la mitad de sus ataques en Alemania, una muestra de la creciente especialización geográfica de estas campañas.
Como respuesta, la compañía defiende que las organizaciones deben ampliar la gestión del riesgo más allá de su propio perímetro. En un contexto marcado por regulaciones como NIS2 y DORA, la monitorización continua de proveedores y la priorización de aquellos con mayor probabilidad de sufrir un ataque de ransomware se convierten en elementos clave para reducir el riesgo operativo.
