LockBit 5.0 vuelve al top 5 del ransomware en Europa

LockBit 5.0 vuelve a estar activo y ha regresado al nivel superior de actividad de ransomware en Europa. Una investigación publicada en agosto de 2026 contabilizó 1,115 ataques de ransomware en Europa durante el primer semestre del año, un 29 por ciento más que en el mismo período de 2025, situando de nuevo a LockBit 5.0 entre los cinco grupos más activos.

Esa tendencia verificada importa más que cualquier repunte aislado en los sitios de filtración. Las páginas de víctimas de ransomware muestran afirmaciones de los atacantes, las cuales no constituyen registros de incidentes auditados, por lo que las cifras semanales fluctúan rápido y deben interpretarse con cautela. El dato más sólido es que una operación de ransomware sometida a una de las ofensivas policiales internacionales más visibles de los últimos años ha logrado reconstruir actividad suficiente para volver a ser relevante.

Para los equipos de infraestructura, esto modifica los supuestos de planificación. Una operación policial puede golpear el ecosistema del ransomware sin erradicar el modelo de negocio subyacente, los afiliados, los intermediarios de acceso (access brokers), los conocimientos de malware o los incentivos financieros que lo hicieron prosperar.

¿Qué nivel de actividad tiene LockBit 5.0 en Europa en 2026?

El informe actualizado sobre ransomware europeo de TicTac Cyber Security registró 1,115 ataques en el primer semestre de 2026, lo que representa un aumento del 29 por ciento respecto al mismo período de 2025. Alemania encabezó el recuento por países con 229 ataques registrados, seguida por el Reino Unido con 202, Francia con 133, Italia con 126 y España con 98.

Dentro de ese mercado más amplio, LockBit 5.0 regresó al grupo de los cinco más activos tras una caída drástica de su actividad después de los golpes previos. Esa posición aporta más certeza que una cifra llamativa de una sola semana, ya que evidencia persistencia a lo largo de un período de medición más extenso.

Un canal de monitorización en directo publicado por Proven Data mostraba cientos de reclamaciones públicas de víctimas por parte de LockBit hacia el 17 de agosto de 2026. Dichas reclamaciones van por separado de los cifrados que hayan tenido éxito de forma confirmada. Los sitios de filtración forman parte de la infraestructura de extorsión, y una mención puede corresponder a datos robados, una intrusión de impacto limitado, una táctica de negociación o un incidente en disputa.

Para planificar la gestión de riesgos, lo decisivo es la dirección: LockBit conserva suficiente actividad actual, herramientas y participación de afiliados para continuar siendo una amenaza real para los defensores europeos.

¿No había acabado la Operación Cronos con LockBit en 2024?

La Operación Cronos dañó seriamente a LockBit, aunque la organización sobrevivió al golpe. En febrero de 2024, un esfuerzo policial internacional coordinado por la National Crime Agency del Reino Unido tomó el control de los servicios e infraestructura de LockBit. Europol calificó la acción como una desarticulación de gran alcance contra una de las organizaciones de ransomware más destructivas del mundo.

Aquella intervención expuso infraestructuras, facilitó detenciones y sanciones, y proporcionó a las fuerzas de seguridad claves y material de descifrado para ayudar a las víctimas. La NCA declaró que LockBit había sido responsable de una cuarta parte de los ataques de ransomware del año anterior, lo que explica por qué recibió una respuesta internacional tan contundente.

Sin embargo, el ransomware como servicio (RaaS) está diseñado para ser descentralizado. Los desarrolladores principales mantienen el malware y la infraestructura, mientras que los afiliados obtienen acceso a las víctimas y ejecutan las intrusiones. Los intermediarios de acceso inicial, las credenciales robadas, los equipos de phishing y otros servicios clandestinos pueden seguir operando incluso cuando se incautan los servidores centrales de una marca.

Eso hace que los golpes policiales resulten valiosos pero incompletos. Incrementan los costes operativos, destruyen la confianza, queman infraestructuras, exponen identidades y pueden ahuyentar afiliados, pero no garantizan que todos los operadores experimentados, clientes, proveedores de credenciales y bases de código desaparezcan al unísono.

¿Qué ha cambiado con LockBit 5.0?

LockBit 5.0 representa un nuevo intento de reconstruir la plataforma de ransomware en torno a herramientas más modernas y una compatibilidad de sistemas operativos más amplia. Los análisis técnicos actuales describen variantes específicas para Windows, Linux y VMware ESXi, lo que proporciona a los afiliados opciones tanto en puestos de trabajo convencionales como en infraestructura virtual.

La capacidad multiplataforma resulta decisiva porque los centros de datos modernos rara vez presentan un límite limpio de sistema operativo. Un dominio de Windows puede autenticar usuarios, los hosts de Linux pueden ejecutar aplicaciones y ESXi puede sostener las máquinas virtuales por debajo de ambos. Un malware capaz de operar a través de esas capas brinda al atacante más vías para transformar el compromiso de una sola identidad en una interrupción operativa generalizada.

Los informes técnicos también describen funciones de evasión diseñadas para reducir la visibilidad e interferir con las herramientas de seguridad. Los detalles específicos continuarán evolucionando, motivo por el cual los defensores deben evitar construir sus planes en torno a una firma estática de malware. Para cuando una carga útil de ransomware empieza a cifrar datos, las oportunidades defensivas más valiosas a menudo ya habrán quedado atrás.

Una estrategia más efectiva consiste en detectar las fases previas: accesos remotos sospechosos, creación de cuentas privilegiadas, extracción de credenciales, movimiento lateral, creación anómala de archivos comprimidos, manipulación de copias de seguridad, acceso masivo a archivos y conexiones inesperadas entre sistemas de administración.

¿Por qué importa el ransomware multiplataforma a los equipos de virtualización?

La virtualización concentra el riesgo. Un solo hipervisor o plano de gestión puede alojar decenas o cientos de cargas de trabajo, por lo que un atacante que alcance esa capa puede provocar un radio de impacto mucho mayor que comprometiendo un servidor común.

Una intrusión de LockBit 5.0 no necesariamente alcanzará el hipervisor, pero el diseño de la recuperación debe asumir que el atacante lo intentará. Las credenciales de virtualización, las claves de backup, la administración del almacenamiento y los privilegios de directorio no deben concentrarse en una única identidad administrativa compartida.

La separación resulta especialmente crítica durante migraciones y consolidaciones de plataforma. Los equipos que migran fuera de VMware, expanden Proxmox o combinan múltiples hipervisores suelen crear cuentas temporales y reglas de red permisivas para agilizar la transición. El acceso temporal tiene la costumbre de volverse permanente, y los operadores de ransomware se benefician con frecuencia de esa confianza olvidada.

La comparativa de backup en Proxmox de Mr.PlanB resulta muy útil en este punto, porque la arquitectura de backup debe definirse teniendo siempre presente el dominio de fallo del hipervisor. Un servidor de backup que comparte las mismas credenciales y la misma vía administrativa que producción puede ser más cómodo de gestionar, pero también resulta más fácil de perder durante el mismo compromiso.

¿Qué deben asumir los equipos de backup ante una intrusión de LockBit?

Debes asumir que el atacante buscará la infraestructura de recuperación antes de la fase de cifrado. Las operaciones modernas de ransomware obtienen mayores beneficios cuando la víctima se queda sin opciones limpias, por lo que las consolas de backup, los gestores de hipervisores, las cabinas de almacenamiento, los administradores de dominio y los sistemas de replicación son objetivos preferentes.

Esto implica que los controles de recuperación deben ser deliberadamente incómodos para un intruso. Credenciales separadas, rutas de gestión aisladas, copias inmutables o fuera de línea (offline), retención protegida, autenticación multifactor y derechos restringidos de borrado reducen drásticamente la probabilidad de que una sola sesión administrativa robada destruya todo el plan de recuperación.

El análisis de recuperación frente a DeadLock llega a la misma conclusión práctica con otra familia de ransomware: las copias de seguridad son útiles cuando se mantienen independientes del fallo que destruye la producción, y la marca del producto importa mucho menos que ese aislamiento.

Las pruebas periódicas son igualmente esenciales. Restaura una carga de trabajo representativa en una red aislada y mide cuánto tiempo tarda el proceso. Comprueba la coherencia de las aplicaciones además de verificar si la VM arranca, y confirma que el DNS, los certificados, los secretos y las bases de datos pueden reconstruirse sin necesidad de conectarse a un entorno de producción comprometido.

¿Qué revela el crecimiento del ransomware en Europa sobre las prioridades defensivas?

Las cifras del primer semestre de 2026 indican que las organizaciones deben contemplar el ransomware como un riesgo operativo recurrente y no como un hecho excepcional. El sector manufacturero se mantuvo como uno de los más atacados en el estudio europeo, seguido de cerca por los servicios profesionales. Son entornos donde el tiempo de inactividad se vuelve muy costoso con rapidez y donde los atacantes pueden presionar a las víctimas combinando el cifrado con la extorsión por datos robados.

La concentración en las principales economías europeas también afecta a la cadena de suministro, ya que una empresa no necesita ser una multinacional famosa para situarse dentro del radio de alcance del ataque. Pequeñas firmas de ingeniería, proveedores logísticos, MSP, desarrolladores de software y consultoras pueden disponer de accesos privilegiados o información confidencial perteneciente a clientes de mayor tamaño.

Por ello, las revisiones de seguridad deben abarcar los accesos remotos y las cuentas de servicio de terceros. Una plataforma de backup puede estar perfectamente protegida mientras la credencial de un proveedor externo sigue ofreciendo una puerta de entrada hacia la producción. La planificación de la recuperación debe contemplar las relaciones de identidad y de red que interconectan a las organizaciones, además del inventario local de servidores.

¿Qué cambiaría tras constatar el regreso de LockBit?

No rediseñaría un entorno en función exclusiva de LockBit 5.0. Utilizaría su reaparición como prueba de que las marcas de ransomware y los ecosistemas de afiliados logran recuperarse tras grandes intervenciones, reforzando los controles para hacer frente a esa realidad.

La primera prioridad sería la segregación administrativa. Los hipervisores, los backups, los sistemas de identidad y el almacenamiento no deben confiar en la misma ruta de cuentas. La segunda sería disponer de recuperaciones comprobadas a partir de una copia que un atacante no pueda eliminar fácilmente. La tercera sería tener visibilidad sobre el comportamiento previo al cifrado del que dependen los afiliados de ransomware, en especial el abuso de credenciales y el movimiento lateral.

Si esos controles ya están en marcha, continúa poniéndolos a prueba; y si aún no lo están, el resurgimiento de LockBit marca una fecha límite oportuna. La policía puede intervenir infraestructuras criminales, los proveedores de seguridad pueden detectar cargas maliciosas y los parches pueden corregir vulnerabilidades concretas. Tu arquitectura de recuperación todavía tiene que funcionar el día en que un atacante consiga burlar las tres barreras.