Ransomware: amenazas a empleados y familias para forzar el pago

Cifrar los sistemas y amenazar con publicar los datos ya no basta: para empujar a una empresa a pagar, algunos grupos de extorsión trasladan la presión a las personas, es decir, empleados, directivos y sus familiares. Es el dato que cinco medios recogieron entre el 14 y el 15 de octubre de 2026 del 2026 Ransomware Risk Report de Semperis, una encuesta realizada en el primer semestre de 2026 a 1.200 profesionales de TI y seguridad de organizaciones afectadas por ransomware, en nueve países y ocho sectores, entre ellos finanzas, sanidad, industria, infraestructuras críticas y administración pública.

Una advertencia necesaria: son respuestas declaradas en una encuesta de un proveedor de seguridad, no incidentes verificados uno a uno. Dark Reading lo subraya de forma explícita: los informes de amenazas, acoso y violencia son alarmantes, pero difíciles de verificar.

Qué dice la encuesta

Los porcentajes que publican los medios no coinciden del todo. Según The Register, el 37 % de los ataques incluyó amenazas psicológicas o físicas contra el personal (23 % intimidación psicológica, 17 % amenazas físicas). CSO Online, en cambio, habla de un 41 % de intimidación física o psicológica y da el 37 % como la proporción de casos en los que se amenazó a amigos o familiares de los empleados, un dato que DataBreaches.net también atribuye a las amenazas contra familiares.

En el resto, las fuentes coinciden:

• doxxing de empleados o familiares (datos personales como domicilios y números de teléfono publicados en internet): 25 %;
• swatting, es decir, falsos avisos de emergencia para que la policía acuda al domicilio de la víctima: 23 %;
• empleados o familiares que necesitaron atención médica o psicológica: 25 %;
• empresas que contrataron personal de seguridad adicional: 24 %.

Solo CSO Online indica que alrededor del 14 % tuvo que cambiar de trabajo, de oficina o de casa. Solo The Register indica que el 53 % de los encuestados afirma que las amenazas se cumplieron en el último año, con este desglose: mensajes, cartas o paquetes amenazantes 57 %, amenazas a familiares o amigos 37 %, intrusión física 19 %, secuestro 17 %, lesiones 13 %, acecho 6 %. También según The Register, el 69 % de los encuestados sufrió más de un ataque en los últimos 12 meses y el 31 % pagó más de una vez.

Cómo actúan los atacantes

El mecanismo que describen las fuentes es un reconocimiento de la vida privada de las personas clave, que se suma a la doble extorsión clásica. Según un experto citado por CSO Online, los atacantes cruzan perfiles sociales y profesionales, bases de datos de data brokers, datos ya filtrados en brechas anteriores e información encontrada en la red de la empresa atacada; la inteligencia artificial acelera la correlación y la personalización de las amenazas.

Un consultor de respuesta a incidentes de Semperis entrevistado por The Register cuenta casos en los que directivos recibieron directamente de los delincuentes fotos de los colegios de sus hijos durante la negociación, y habla de «violencia como servicio». Según él, estas tácticas las usan los grupos más conocidos, y menciona a Scattered Spider, ShinyHunters y Lapsus$; ShinyHunters, en una entrevista con el mismo medio, niega atacar a personas. The Register recuerda también el contexto: en el verano de 2026 Europol y sus socios señalaron para su retirada 4.340 URL en el marco de las investigaciones sobre The Com, una red de grupos en línea cuyos miembros, a menudo muy jóvenes, pasan del hacking al swatting y a la violencia física.

Según nuestra lectura, la fase preparatoria corresponde a estas entradas de MITRE ATT&CK: Gather Victim Identity Information (T1589), Gather Victim Org Information: Identify Roles (T1591.004), Search Open Websites/Domains: Social Media (T1593.001) y Search Closed Sources (T1597); el objetivo final es Financial Theft (T1657). No hay CVE ni malware específico que detectar.

La encuesta también trata la inteligencia artificial y las identidades: según CSO Online, el 84 % de los encuestados sufrió ataques en los que intervenía la IA, el 87 % ataques a la infraestructura de identidades y el 44 % la manipulación de sus propios agentes o sistemas de IA.

Impacto para las empresas europeas e italianas

Las fuentes no dan el desglose por país, así que no es posible decir en qué medida el fenómeno afecta a Italia. Para quien gestiona la seguridad, la cuestión es otra: el plan de respuesta a incidentes suele cubrir sistemas y datos, no la protección de las personas.

Con NIS2 (en Italia, el decreto legislativo 138/2024), la gestión de incidentes, la continuidad de negocio, la gestión de crisis y la seguridad de los recursos humanos están entre las medidas obligatorias para las entidades esenciales e importantes: las amenazas personales ligadas a un ataque forman parte del escenario de crisis. Para el RGPD, los datos de los empleados sustraídos de la red corporativa (fichas, domicilios, familiares) son una violación de datos personales que hay que evaluar para notificarla a la autoridad de control en un plazo de 72 horas, y son precisamente el material que hace posibles estas amenazas. En sanidad, donde la presión por restablecer los servicios ya es enorme, la carga sobre las personas agrava aún más la crisis.

Qué hacer ya

1. Incluye las amenazas personales en el plan de respuesta: quién las recibe, cómo se documentan, cuándo y cómo RR. HH., el área legal, la seguridad TI y la seguridad física implican a las autoridades. Las amenazas, el acoso y la extorsión son delitos: denúncialos de inmediato.
2. Un canal confidencial para los empleados que reciban mensajes, paquetes o llamadas intimidatorias, también en casa.
3. Reduce los datos personales de los empleados guardados y accesibles en la red: carpetas de RR. HH., hojas con domicilios y familiares, exportaciones olvidadas. Limita el acceso y vigila quién los consulta.
4. Protege las identidades: autenticación resistente al phishing para las cuentas privilegiadas, mínimo privilegio, copias de seguridad de la infraestructura de identidades con pruebas de restauración.
5. Agentes de IA con un responsable, permisos limitados y aprobación humana para las acciones de alto impacto, como sugieren los expertos citados por CSO Online.
6. Simulacros que incluyan el escenario: identidades comprometidas, amenaza de publicar datos y amenazas a los familiares de los directivos.
7. Reduce la exposición pública de los puestos clave: organigramas detallados, contactos directos e información personal fácil de relacionar.

Cómo ayuda ARXDOME

Las amenazas a las personas se gestionan con procesos y con las autoridades, pero casi siempre empiezan con una intrusión. ARX Expose señala las cuentas corporativas expuestas en brechas y los dominios parecidos al tuyo, material típico del reconocimiento. ARX Sentry, en las páginas del SOC dedicadas a las identidades, muestra accesos privilegiados, accesos nocturnos y cambios en las cuentas, y con el control de integridad de archivos señala los cambios en las carpetas elegidas, como las que contienen datos del personal. ARX Shield aísla un equipo sospechoso con un clic y ARX Trace recoge las pruebas para reconstruir qué se ha sustraído.

Última actualización: 15 de octubre de 2026