Durante 2026, el sector de manufactura se consolidó como la industria más atacada por ransomware a nivel global, una tendencia que —lejos de ser pasajera— se ha acelerado de forma alarmante.
Según datos de Black Kite, manufactura representó más del 21% de todas las víctimas de ransomware entre abril de 2025 y marzo de 2026, lo que la convirtió en el sector más atacado por quinto año consecutivo. Pero lo más preocupante no es que se mantenga en el primer lugar, sino la velocidad con la que está creciendo: el volumen de incidentes en manufactura aumentó cerca de 40% interanual entre enero y julio de 2026, pasando de 847 a 1,183 casos.
📊 En números:
- 1,560 ataques a manufactura en los últimos 12 meses — 27.1% del total global (Bitsight)
- +40% de incidentes interanuales en 2026 (Black Kite)
- Manufactura, el sector #1 en ransomware por 5 años consecutivos
Otras firmas de inteligencia de amenazas confirman el mismo patrón. GuidePoint Security documentó que manufactura se mantuvo como la industria más impactada durante el primer trimestre de 2026. Datos de Ransomware.live, la herramienta de threat intelligence más consultada por la comunidad, también ubican a manufactura entre los sectores con mayor número de víctimas publicadas en 2026, solo detrás de tecnología.
El caso que puso el problema sobre la mesa: Jaguar Land Rover
Si hay un incidente que ilustra perfectamente el riesgo que enfrenta hoy la manufactura, es el ciberataque sufrido por Jaguar Land Rover (JLR) a finales de agosto de 2025.
El ataque, atribuido al colectivo Scattered Lapsus$ Hunters (una alianza de los grupos Scattered Spider, Lapsus$ y ShinyHunters), obligó a la compañía a apagar por completo sus sistemas de TI a nivel global para contener la intrusión.
El resultado fue devastador:
- Producción detenida durante 5 semanas
- Costo directo de 196 millones de libras solo en el segundo trimestre
- Impacto económico total estimado en 1.9 mil millones de libras
- Caída de 43% en la producción del cuarto trimestre de 2025
"El ciberataque más económicamente dañino en la historia del Reino Unido, superando incluso al brote de WannaCry de 2017." — Cyber Monitoring Centre (CMC)
JLR no fue un caso aislado, sino la muestra más visible de un problema estructural que está golpeando a toda la cadena de suministro manufacturera.
¿Qué está cambiando? Tres factores detrás del auge
La convergencia IT/OT trasladó los riesgos digitales al piso de producción
Durante años, los entornos de tecnología operativa (OT) —las redes que controlan maquinaria, líneas de ensamblaje y sistemas industriales— estuvieron relativamente aislados de las redes corporativas de TI. Esa separación ha desaparecido.
Como resumió Robert Lee, CEO de Dragos, en febrero de 2026:
Las organizaciones industriales subestiman constantemente hasta qué punto el ransomware puede llegar a sus entornos OT porque asumen que el riesgo es exclusivamente de TI.
Los datos de Dragos respaldan esta advertencia:
| Tipo de organización | Tiempo promedio de contención |
|---|---|
| Con visibilidad completa de OT | 5 días |
| Promedio de la industria | 42 días |
Esa brecha de casi 40 días es, literalmente, el tiempo extra que los atacantes tienen para moverse lateralmente, exfiltrar datos y presionar a la víctima antes de ser descubiertos.
Los sistemas legacy dejaron a buena parte del sector obsoleta y sin parches
Muchas plantas de manufactura operan con sistemas de control industrial (SCADA/ICS) instalados hace más de una década, diseñados para durar décadas en operación —no para recibir actualizaciones constantes de seguridad—.
Actualizar o reemplazar esta infraestructura implica detener líneas de producción completas, algo que muchas compañías han evitado postergando la modernización. El resultado: un parque tecnológico con vulnerabilidades conocidas, expuesto y difícil de proteger con herramientas modernas.
La presión operativa hace más probable el pago del rescate
A diferencia de un ataque a una base de datos, un ransomware que detiene una línea de producción genera pérdidas inmediatas y medibles: en el caso de JLR, se estimaron pérdidas de entre 5 y 10 millones de libras diarias durante la interrupción.
Black Kite señala que esta certeza de impacto inmediato es precisamente lo que hace tan atractiva a la manufactura para los operadores de ransomware. Además, el perfil de víctima se está desplazando hacia la capa de proveedores medianos, que ensamblan las cadenas de suministro de las grandes armadoras:
"Cuando el mercado medio es el blanco principal, la lista de proveedores de un gran fabricante se convierte en su propia superficie de ataque." — Black Kite, Manufacturing & Distribution Ransomware Report 2026
Los grupos de ransomware detrás de la ola
| Grupo | Perfil |
|---|---|
| Qilin | El más activo contra manufactura en 2026 — 178 víctimas en 7 meses |
| The Gentlemen | Grupo nuevo (sept. 2025) — ya 142 víctimas, 23% de su actividad total |
| SafePay | Fuerte concentración en objetivos europeos, especialmente Alemania |
| Akira / Play / INC Ransom | Veteranos con impacto transversal en múltiples industrias |
| DragonForce | Activo contra manufactura en Norteamérica desde inicios de 2026 |
| Scattered Lapsus$ Hunters | Coalición responsable del ataque a JLR |
La conclusión
Manufactura no es un blanco casual: es un sector donde conviven sistemas obsoletos, una convergencia IT/OT que multiplica la superficie de ataque, y un nivel de presión operativa que convierte cada minuto de inactividad en pérdidas millonarias.
Mientras esa combinación de factores no cambie, es probable que la industria siga encabezando las listas de víctimas de ransomware en los próximos años.
Referencias
Manufacturing Accounts for 22% of all Ransomware Victims – Infosecurity Magazine
Autor: Edu Quijano