Ransom Canyon golpea a empresas españolas y desencadena nueva alerta

Ransom Canyon, el grupo de ransomware identificado por el Instituto Nacional de Ciberseguridad (INCIBE), lanzó ataques contra empresas españolas el 12 de junio de 2026, cifrando datos críticos y exigiendo rescates en criptomonedas.

Los primeros indicios del ataque se detectaron en una compañía de logística de Valencia que informó la imposibilidad de acceder a sus bases de clientes. La amenaza incluyó una nota de ayuda con instrucciones para pagar 0,5 BTC, equivalente a más de 200 000 euros al tipo de cambio de junio de 2026. La empresa optó por restaurar su infraestructura a partir de copias de seguridad, evitando el pago, pero sufrió una interrupción de tres días que repercutió en su facturación.

Perfil de los objetivos y sectores más vulnerables

El análisis posterior mostró que el 40 % de los incidentes afectaron al sector logístico, mientras que el 25 % correspondió a pequeñas y medianas empresas de la zona mediterránea. En el resto de casos, hospitales y firmas de consultoría fueron también blancos. El patrón revela una preferencia por organizaciones con sistemas de gestión de datos expuestos y sin segmentación adecuada de redes.

En comparación con campañas anteriores, la velocidad de cifrado fue notablemente mayor: los archivos fueron encriptados en menos de diez minutos desde la infiltración inicial. La técnica empleada se basa en una variante de ransomware conocido como “Sodinokibi”, pero con un módulo de eliminación de copias de seguridad que destruye instantáneamente los snapshots de máquinas virtuales.

Metodología de infiltración y vectores de ataque

Los atacantes accedieron a los sistemas a través de credenciales comprometidas en correos de phishing enviados a empleados de recursos humanos. Los mensajes simulaban notificaciones de la Seguridad Social y contenían enlaces a documentos PDF maliciosos. Al abrir el archivo, se descargó un segundo payload que estableció una puerta trasera con privilegios de administrador.

Una vez dentro, el malware desactivó herramientas de detección de anomalías y migró lateralmente mediante protocolos SMB. La combinación de técnicas de movimiento lateral y uso de herramientas legítimas, como PowerShell, dificultó la identificación temprana del ataque.

Respuesta institucional y medidas preventivas recomendadas

Tras el brote, el INCIBE emitió una alerta nacional que detalló indicadores de compromiso y pasos de mitigación. Se recomendó revisar la configuración de copias de seguridad, aplicar parches de seguridad en sistemas operativos antes del 30 de junio, y reforzar la autenticación multifactor para accesos remotos.

Las organizaciones que ya habían adoptado políticas de segmentación de red y pruebas de penetración regulares reportaron menores impactos. La experiencia subraya la necesidad de planes de respuesta a incidentes que incluyan ejercicios de restauración de datos bajo presión.

El caso de Ransom Canyon ha reavivado el debate sobre la legislación de ciberseguridad en España. Las autoridades están considerando la ampliación de sanciones para empresas que no mantengan medidas de protección mínimas, aunque la normativa aún está en proceso de revisión.

En los próximos días, se espera que el equipo de respuesta a emergencias informáticas del Gobierno de España emita directrices adicionales, mientras que el sector privado evalúa la contratación de servicios gestionados de detección y respuesta (MDR) para reducir la exposición a futuros ataques.