Una fabricante de bebidas de Toyama sufrió un ataque de ransomware en enero de 2026 y recuperó sus datos sin pagar ni un yen. Lo que rompió el cifrado fue una herramienta que la Agencia Nacional de Policía de Japón construyó por su cuenta.

La policía llamó para decir que los archivos volvían

Tombow Beverage tiene unos 180 empleados. Shigeru Funaki, de 56 años, jefe del área de sistemas de la empresa, notó que algo iba mal la mañana del 15 de enero de 2026. El fondo de pantalla estaba alterado y el sistema que administra todos los equipos del personal no arrancaba.

Llegaron agentes de la policía de Toyama y abrieron juntos uno de los archivos que aparecían en la pantalla. Sus datos están cifrados, decía; pague y se restaurarán, y evitaremos la filtración. Era la reivindicación de LockBit, el grupo internacional de ransomware.

Nueve meses de datos de compras se habían apagado. El personal sacó las facturas en papel y volvió a teclear los movimientos de materias primas en el programa de contabilidad, noche tras noche. A finales de febrero llegó la llamada de la policía: los archivos se podían recuperar. Funaki declaró al diario Yomiuri Shimbun que se alegra de haber acudido a la policía.

La vía de entrada se supo después. Según el informe final que Tombow Beverage publicó en marzo, los atacantes entraron por un software de escritorio remoto accesible desde internet. En la propia encuesta de la NPA, la mayoría de las intrusiones entra por equipos de acceso remoto accesibles desde fuera de la empresa.

La policía había construido un descifrador

Todo empezó cuando la NPA se sumó a la investigación internacional sobre LockBit. Un investigador del departamento de investigación especial cibernética de la agencia identificó la herramienta que generaba el ransomware, la desmontó y descifró cómo estaban construidos los archivos cifrados.

En diciembre de 2023 la agencia entregó a Europol la herramienta que había desarrollado. El uso dentro de Japón arrancó en febrero de 2024. Desde entonces han vuelto los datos de 41 empresas japonesas, de la industria, el comercio minorista y otros sectores: unos 20 millones de archivos, entre ellos listas de clientes y registros de personal. Usarla no cuesta nada y hoy se emplea en más de 100 países.

El otro extremo de ese trabajo se conoce mejor fuera de Japón. En febrero de 2024, la Operación Cronos, dirigida por la Agencia Nacional contra el Crimen (NCA) del Reino Unido, incautó los servidores de LockBit. La herramienta de descifrado para LockBit 3.0 Black que se publicó entonces en No More Ransom, el portal para víctimas, la desarrollaron la policía japonesa junto con la NCA y el FBI, con apoyo de Europol.

Ese mismo departamento consiguió después recuperar archivos cifrados por Phobos y 8Base, a partir de información obtenida por el FBI. Esa herramienta se publicó en la web de la propia NPA en julio de 2025 y se ha descargado más de 10.000 veces. No hay solicitud ni número de expediente. Se baja de la página.

Pero esto no lo cura todo

Solo en 2025 la policía japonesa registró 226 casos de ransomware. Las 41 recuperaciones son un total acumulado desde que la herramienta entró en uso dentro del país, es decir, una parte pequeña del daño.

Lo que puede abrir también tiene límite. La recuperación funciona cuando los investigadores consiguieron la herramienta generadora y entendieron cómo estaba implementado el cifrado. Muchas familias de ransomware nunca les dan esa rendija.

Y recuperar los datos no es lo mismo que recuperar la empresa. Según las propias cifras de la NPA, más de la mitad de las organizaciones afectadas gastó al menos 10 millones de yenes (unos 65.000 dólares) en la recuperación, y solo algo más de la mitad volvió a operar en menos de un mes. Cerrar la vía de entrada, cambiar equipos y dar explicaciones a los clientes viene todo después del descifrado.

El otro lado tampoco se ha detenido. LockBit no desapareció con la operación de 2024. Según Check Point, su sucesor LockBit 5.0 reapareció en un foro clandestino en septiembre de 2025 y publicó 163 víctimas entre enero y marzo de 2026. Qilin fue el grupo con más víctimas publicadas en ese trimestre, 338, y el total de todos los grupos fue de 2.122. Quienes rompen el cifrado y quienes lo reescriben avanzan a la misma velocidad.

Lo que hay detrás de un país que no paga

Que las empresas japonesas paguen rescates mucho menos que sus pares del extranjero es algo que ya tratamos antes. Suele explicarse como política de empresa o como cultura: la decisión, asumida por toda la compañía, de no financiar a delincuentes.

Pero que una empresa pueda permitirse decir que no depende de lo que queda después de decirlo. Que acudir a la policía pueda terminar de verdad en un descifrado forma parte de ese cálculo, y se puede leer como una de las cosas que sostienen esa negativa. Cuarenta y una empresas no explican la tasa de pago de todo un país. En Tombow Beverage, sí resolvió la cuestión.

Si te toca, llama primero a la policía

Lo que pide la NPA es sencillo: hable con la policía antes de pagar a nadie. Si la familia de ransomware es de las que saben romper, los archivos vuelven. Si no lo es, al menos el dinero no llega al atacante.

¿A quién llamaría una empresa de tu país después de un ataque así? ¿La policía allí solo investiga, o también se sienta del lado de quien rompe el cifrado?

Referencias