En los últimos tres años, el ecosistema de ransomware ha experimentado una reconfiguración profunda. Mientras grupos históricos como LockBit y BlackCat fueron golpeados por operaciones internacionales de aplicación de la ley, surgieron nuevos actores que buscaban ocupar el espacio dejado vacant. Entre ellos, INC (también conocido como INC Ransomware) ha pasado de ser una operación nascente de ransomware‑as‑a‑service (RaaS) a convertirse en uno de los grupos más prolíficos de 2026, según los investigadores de Acronis. Desde su primera aparición en agosto de 2023, INC reclama haber comprometido a más de 830 víctimas en todo el mundo, una cifra que lo coloca entre los principales amenazas del año.
El modelo RaaS de INC se caracteriza por una afiliación altamente estructurada: los desarrolladores del malware proporcionan el código, la infraestructura de pago y el panel de gestión, mientras que los afiliados se encargan de la distribución, la negociación y el pago de rescates. Esta división de trabajo permite una rápida escalabilidad y una mayor resiliencia frente a los esfuerzos de desmantelamiento. Tras la caída de LockBit y la inactivación parcial de BlackCat, muchos afiliados experimentados migraron a INC, trayendo consigo conocimientos de técnicas de evasión, lateral movement y exfiltración de datos que han elevado el nivel de sofisticación del grupo.
Las víctimas de INC abarcan una amplia gama de sectores, incluyendo salud, manufactura, servicios financieros y administración pública. Los atacantes suelen emplear tácticas de doble extorsión: además de cifrar los archivos críticos, roban datos sensibles y amenazan con publicarlos en sitios de leak si no se paga el rescate. Los informes de incidentes indican que el grupo utiliza variantes de ransomware basadas en código abierto, modificadas para evadir detecciones por firma y comportamiento, y emplea herramientas de living‑off‑the‑land como PowerShell, WMI y PsExec para moverse dentro de la red comprometida antes de detonar el cifrado.
Desde una perspectiva de impacto, los ataques de INC han generado pérdidas económicas que superan los cientos de millones de dólares anuales, considerando tanto los rescates pagados como los costos de recuperación, pérdida de productividad y daño reputacional. Además, la exposición de datos confidenciales ha desencadenado sanciones regulatorias bajo marcos como el GDPR y la Ley de Protección de Datos Personales de diversos países latinoamericanos, incrementando la presión sobre las organizaciones afectadas.
Ante esta amenaza, empresas de ciberseguridad como Acronis han intensificado sus esfuerzos de detección y respuesta. Soluciones basadas en comportamiento, inteligencia de amenazas en tiempo real y segmentación de red se presentan como medidas clave para reducir la superficie de ataque. Asimismo, la adopción de políticas de copia de seguridad inmutable y de pruebas periódicas de restauración se ha vuelto esencial para minimizar el impacto del cifrado. Los equipos de seguridad también se benefician de compartir indicadores de compromiso (IOC) a través de plataformas de intercambio como MISP y AlienVault OTX, lo que permite una detección más temprana de las campañas de INC.
Mirando hacia el futuro, la evolución de INC dependerá de cómo responda el ecosistema de defensa y de las posibles acciones de las autoridades internacionales. La tendencia hacia la consolidación de grupos RaaS bajo un número menor de actores más eficientes sugiere que la amenaza persistirá, aunque quizás con un cambio en las tácticas de extorsión y en los objetivos seleccionados. Para los profesionales de tecnología y seguridad, la lección clara es mantener una postura proactiva: actualizar continuamente los sistemas, aplicar el principio de menor privilegio, invertir en capacitación de concientización y probar regularmente los planes de respuesta a incidentes. Solo mediante una combinación de tecnología avanzada, procesos robustos y colaboración internacional se podrá contener la expansión de grupos como INC y proteger la integridad de las infraestructuras digitales críticas.
