Las organizaciones del sector Retail pagaron menos dinero a los atacantes que cualquier otro sector y registraron los tiempos de recuperación más rápidos de toda la historia de la encuesta. Sin embargo, las tasas de cifrado por Ransomware aumentaron 14 puntos porcentuales en comparación con el año pasado. Además, el costo promedio de recuperación del sector también se incrementó este año, alcanzando los 1.76 millones de dólares.
La sexta edición anual del informe Sophos State of Ransomware in Retail ya está disponible y presenta los hallazgos de 217 líderes de TI y ciberseguridad de organizaciones del sector Retail que sufrieron ataques de Ransomware durante los últimos 12 meses. La encuesta se realizó entre enero y marzo de 2026.
Las vulnerabilidades explotadas afectaron al Retail más que a cualquier otro sector
En 2026, las vulnerabilidades explotadas disminuyeron como causa técnica de origen de los ciberataques en todos los sectores. Sin embargo, fueron el punto de entrada del 26% de los ataques contra organizaciones del Retail. Esta fue la tasa más alta y superó ampliamente el promedio intersectorial del 18%.
El phishing fue la principal causa técnica de los ataques contra el Retail, con un 29%, seguido de las vulnerabilidades explotadas (26%) y los correos electrónicos maliciosos (22%).
Los vectores de ataque basados en identidad, incluidos los correos electrónicos maliciosos, el phishing, las credenciales comprometidas y los ataques de fuerza bruta, fueron el punto de entrada del 69% de los ataques en el sector minorista. Aunque esta fue la tasa más baja entre todos los sectores, se mantuvo por encima de la mitad de los encuestados.
El 66% de las organizaciones afectadas del sector afirmó que su ataque de Ransomware también había sido su incidente de seguridad de identidad más significativo, una cifra cercana al promedio intersectorial del 67% presentado a principios de año en el informe Sophos State of Identity Security 2026.
Las brechas de seguridad conocidas fueron la principal debilidad del Retail por encima del promedio
El 38% de las organizaciones afectadas atribuyó su brecha de seguridad a una vulnerabilidad conocida; es decir, una debilidad de la que ya tenían conocimiento, pero que no habían corregido.
Esta fue la causa operativa de origen más común en Retail y la única que registró una proporción superior al promedio intersectorial del 36%.
Todas las demás causas operativas de origen se situaron por debajo del promedio intersectorial.
El cifrado aumentó después de dos años de descenso
El 62% de los ataques contra el Retail logró cifrar los datos, frente al 48% registrado en 2025 y por encima del promedio intersectorial del 56%. Los ataques que, además de cifrar los datos, también los robaron aumentaron al 19%, frente al 14% del año pasado. Este segundo mecanismo de presión representa un riesgo considerable para los minoristas que almacenan información personal y datos de pago de sus clientes.
Las copias de seguridad fueron el principal recurso para la recuperación: el 71% de las organizaciones del sector Retail restauró sus datos a partir de respaldos, frente al 62% del año pasado y por encima del promedio intersectorial del 66%.
Por otro lado, muchos menos minoristas pagaron el rescate para recuperar sus datos en comparación con 2025. El informe completo muestra cómo se posiciona la tasa de pago del sector Retail frente a otros sectores.
Montos de rescate habitualmente bajos, pero con demandas de cantidades muy elevadas
La demanda de rescate mediana para el sector Retail fue de USD $225.000, la segunda más baja entre todos los sectores y muy por debajo de la mediana intersectorial de USD $698.000.
Sin embargo, la demanda promedio (media) alcanzó los USD $4,32 millones, la más alta de todos los sectores. Este promedio no incluye las demandas de rescate atípicas de USD $40 millones o más. Estas cantidades extraordinariamente elevadas fueron excluidas de los resultados del informe para evitar distorsionar los promedios.
El pago mediano de rescate en el sector minorista también fue bajo: USD $57.500, la cifra más baja entre todos los sectores y considerablemente inferior a la mediana intersectorial de USD $769.000.
El informe explica qué factores llevaron a que la demanda promedio de rescate en Retail se ubicara en el primer lugar entre los sectores y cuánto lograron negociar los minoristas para reducir las exigencias económicas de los atacantes.
La recuperación fue más rápida, pero los costos aumentaron
El costo promedio (media) de recuperación de un ataque, sin incluir ningún pago de rescate, aumentó a USD $1,76 millones, frente a los USD $1,65 millones registrados el año pasado. Esta cifra se situó ligeramente por encima del promedio intersectorial de USD $1,70 millones, que también aumentó este año.
Sin embargo, un aspecto positivo es que el tiempo promedio necesario para recuperarse por completo de un ataque en Retail disminuyó a 2,54 semanas, frente a las 3,16 semanas del año pasado.
El 56% de las organizaciones logró recuperarse en menos de una semana, la proporción más alta registrada en los cinco años de datos disponibles sobre el sector Retail.
Además, el promedio de 2,54 semanas se ubicó por debajo de las 2,80 semanas del promedio intersectorial, lo que convierte a 2026 en un año destacado en términos de rapidez de recuperación.
Las defensas detectaron los ataques, pero no lograron detenerlos
Casi todas las organizaciones del sector Retail afectadas por ataques basados en el robo o compromiso de credenciales tenían habilitada la autenticación multifactor (MFA), con una adopción del 97%. Sin embargo, más de la mitad sufrió el cifrado de sus datos por parte de los atacantes.
Los firewalls detectaron el 59% de los ataques antes de que se desplegara el Ransomware. No obstante, incluso cuando existían indicadores tempranos de actividad maliciosa, los datos de las organizaciones afectadas terminaron cifrados en el 60% de los casos, frente al 50% registrado en todos los sectores.
Los controles de seguridad del sector Retail están recopilando las señales correctas, pero todavía no se integran lo suficiente con otras herramientas ni responden de manera coordinada. El informe incluye varias recomendaciones clave basadas en los datos de este año. Una de ellas es adoptar una postura de defensa integrada, en la que los controles de identidad, correo electrónico, endpoints y redes trabajen de manera coordinada y respondan como un solo sistema.
El sector Retail está pagando menos a los atacantes que cualquier otro sector y recuperándose más rápido que en cualquier otro año del que se tienen datos. Sin embargo, cada vez más ataques logran cifrar la información y los costos de recuperación han aumentado. Cerrar las brechas de seguridad conocidas e integrar las defensas existentes son las áreas de mayor impacto en las que las organizaciones minoristas deben enfocar sus inversiones.
Descarga el informe aquí para conocer los hallazgos completos, las comparaciones entre sectores y las recomendaciones de Sophos.
