El ransomware a Espanya s'ha duplicat el 2026: què ha canviat i què fer
El ransomware a Espanya no sols no s'ha contingut — s'ha accelerat de forma alarmant. Segons les dades publicades per l'INCIBE el febrer de 2026, l'any anterior va tancar amb 392 atacs de ransomware registrats a Espanya, més del doble que els 176 de l'any anterior. Un creixement del 123% en un sol any, en el tipus d'atac amb major impacte econòmic per incident.
Els casos de 2026 ja confirmats ho il·lustren amb noms coneguts: Ahorramás va ser atacada pel grup ransomware Qilin en els primers mesos de l'any, amb accés a documentació interna i dades operatives de la seva xarxa de més de 290 supermercats. Inditex va reportar una bretxa originada en un proveïdor extern. Endesa va confirmar el compromís de dades de milions de clients — DNI, números IBAN, dades contractuals — a través d'un antic proveïdor tecnològic.
Aquests no són casos excepcionals. Són la norma del que està passant a Espanya el 2026. I la majoria d'atacs que afecten PIMEs ni tan sols arriben als mitjans.
Què ha canviat en el ransomware el 2026
El ransomware ha evolucionat considerablement des dels primers casos que xifraven arxius i demanaven Bitcoin. El 2026, la cadena d'atac habitual té quatre fases ben definides:
Accés inicial. La via d'entrada més freqüent a Espanya el 2026 són les credencials vàlides compromeses — obtingudes mitjançant infostealers (Lumma, RedLine, Stealc), phishing personalitzat amb IA o comprades directament en mercats d'accessos a la dark web. Les VPN i els escriptoris remots (RDP) sense autenticació multifactor són el punt d'entrada més explotat. El grup Akira, un dels més actius a Espanya, té un patró conegut: ataca específicament concentradors VPN Cisco sense MFA.
Permanència i moviment lateral. Un cop dins, l'atacant no actua immediatament. Segons dades de l'INCIBE-CERT i Mandiant, el temps mitjà de permanència abans del xifrat s'ha reduït a menys de cinc dies el 2026 — cosa que deixa molt poc marge per detectar la intrusió abans que el dany sigui irreversible. Durant aquest temps, l'atacant mapeja la xarxa, escala privilegis i es mou lateralment cap als sistemes més crítics.
Exfiltració. Abans de xifrar, copien. Tot el que té valor — bases de dades de clients, contractes, informació financera, dades d'empleats — s'envia a servidors controlats pels atacants. Això converteix l'incident en una doble amenaça: recuperar els arxius xifrats no elimina el risc que les dades es publiquin o es venguin.
Xifrat i extorsió. El xifrat és l'últim pas, no el primer. La nota de rescat arriba després que el dany ja s'ha fet. L'import mitjà exigit a empreses mitjanes espanyoles se situa entre 80.000 i 150.000 euros, però el cost real de l'incident — incloent-hi inactivitat, recuperació, sancions regulatòries i dany reputacional — sol multiplicar aquesta xifra.
Els grups més actius contra empreses espanyoles el 2026
Qilin. El grup responsable de l'atac a Ahorramás. Opera com a RaaS (ransomware com a servei) amb afiliats. Focus ampli: indústria, retail, serveis.
Akira. Conegut per atacar empreses mitjanes amb un perfil tècnic reconeixible: VPN Cisco sense MFA, credencials robades. Xifra tant entorns Windows com servidors ESXi. Ha tingut víctimes documentades en múltiples sectors a Espanya.
RansomHub. Ha sorgit el 2024 absorbint afiliats d'ALPHV i LockBit. És actualment un dels grups amb major volum de víctimes publicades a nivell global, amb presència creixent a Espanya.
8Base. Més oportunista, opera principalment contra PIMEs amb superfície d'atac exposada. El seu vector d'entrada més freqüent són sistemes amb accés remot mal configurat.
Per què les PIMEs espanyoles són l'objectiu prioritari
L'anàlisi del DBIR de Verizon confirma que les PIMEs són objectiu gairebé quatre vegades més freqüent que les grans organitzacions. La lògica dels atacants és purament econòmica: una PIME de 40 empleats rarament té un equip de resposta a incidents, rarament té còpies de seguretat provades i freqüentment té accessos remots mal controlats.
El cost d'aturar l'activitat empresarial per un atac de ransomware s'estima entre 4.000 i 7.500 euros per minut, segons dades d'ESED. Per a una PIME amb marge ajustat, cada hora d'inactivitat pot ser crítica.
Què has de fer ara: les mesures amb major impacte
MFA en tot accés remot sense excepció
El vector d'entrada més explotat a Espanya és la VPN o l'escriptori remot sense MFA. Activar l'autenticació multifactor en tots els accessos remots és la mesura individual que més redueix la probabilitat d'accés inicial.
Eliminar l'accés ampli de xarxa — adoptar privilegis mínims
El ransomware es propaga lateralment perquè l'accés inicial dona accés a massa. Limitar cada usuari al recurs concret que necessita — el principi de Zero Trust — converteix un compromís de credencials en un incident menor en lloc d'una crisi total.
Còpies de seguretat offline provades, no sols configurades
El ransomware xifra també les còpies connectades a la xarxa. L'única còpia de seguretat útil en un atac és la que està aïllada i la restauració de la qual s'ha provat recentment.
Visibilitat d'accessos en temps real
Amb un temps de permanència de menys de cinc dies abans del xifrat, la finestra de detecció és estreta. Tenir logs actius de qui accedeix a què i quan permet detectar comportaments anòmals abans que el dany sigui irreversible.
Controlar l'accés de proveïdors externs
Els atacs a Endesa i Inditex el 2026 van tenir el seu origen en proveïdors tecnològics. Accés puntual, limitat al recurs necessari i amb caducitat automàtica — no comptes permanents obertes indefinidament.
Preguntes freqüents
He de pagar el rescat si m'ataquen?
La recomanació oficial de l'INCIBE i de totes les agències de ciberseguretat és no pagar. Pagar no garanteix recuperar les dades — els atacants poden no enviar la clau de desxifrat. A més, financies futurs atacs i et converteixes en objectiu de noves extorsions en demostrar que estàs disposat a pagar.
L'assegurança de ciberriscos cobreix un atac de ransomware?
Depèn de la pòlissa i de si l'empresa pot demostrar que tenia mesures de seguretat bàsiques actives. Cada vegada més asseguradores exigeixen MFA, còpies de seguretat i auditories de seguretat com a requisit per cobrir incidents de ransomware.
Com entren els atacants si tinc antivirus i firewall?
L'antivirus i el firewall protegeixen el perímetre, però no les credencials. El vector d'entrada més usat a Espanya és la credencial vàlida compromesa: l'atacant no trenca la porta, entra amb una clau legítima obtinguda per phishing o infostealer. Un cop dins amb credencials vàlides, l'antivirus no veu res d'anòmal.
Què he de notificar si pateixo un atac de ransomware?
Si hi ha dades personals compromeses, el RGPD obliga a notificar a l'AEPD en un màxim de 72 hores des de la detecció. Si la teva empresa està en l'àmbit de NIS2, l'obligació de notificació a l'INCIBE-CERT és en 24 hores per a incidents significatius.
En resum
→ El ransomware a Espanya s'ha més que duplicat en un any: de 176 casos el 2024 a 392 el 2025, amb Ahorramás, Endesa i Inditex entre les víctimes confirmades del 2026.
→ El model actual és doble extorsió: primer roben les dades, després les xifren. Pagar no garanteix recuperar la informació.
→ El vector d'entrada més freqüent és la credencial vàlida compromesa usada contra VPN o RDP sense MFA.
→ Amb menys de cinc dies de permanència abans del xifrat, la finestra de detecció és molt estreta.
→ MFA en accessos remots, privilegis mínims, còpies offline provades i control d'accés de tercers són les quatre mesures amb major impacte per a una PIME espanyola.
El teu accés remot té MFA activat en tots els punts?
En 30 minuts revisem el teu model d'accés actual i et mostrem com tancar els vectors d'entrada que més exploten els grups de ransomware actius a Espanya.
Sol·licitar anàlisi gratuïta →