Un día, de repente, todos los datos de una empresa quedan secuestrados. "Paguen el rescate y se los devolveremos", dicen los criminales. Pero las empresas japonesas tienen una respuesta clara: "No". Entre 15 países, Japón es el que menos paga rescates. Y esa postura está resultando, de forma inesperada, un factor de disuasión de los ciberataques.

¿Qué es el ransomware? Una era en la que tus datos se vuelven "rehenes"

El ransomware es un tipo de ciberataque en el que los atacantes se infiltran en los ordenadores de una empresa, cifran los archivos y exigen un pago para restaurarlos. "Ransom" significa "rescate" en inglés, lo que convierte esto en un secuestro de la era digital.

En los últimos años, más que limitarse a cifrar los datos, los atacantes han hecho de la "doble extorsión", que amenaza además con publicar los datos robados, el método dominante. El daño crece año tras año, y se prevé que el daño global por ransomware alcance unos 275.000 millones de dólares anuales para 2031 (alrededor de 41 billones de yenes).

Japón: "el país que menos paga rescates del mundo"

Según una encuesta de 15 países realizada por la firma de seguridad Proofpoint, las empresas japonesas han registrado la tasa de pago de rescate más baja entre los países encuestados durante tres años consecutivos.

La tasa de pago de Japón fue del 33 % en 2020 (promedio global del 58 %), del 20 % en 2021 (58 %) y del 18 % en 2022 (64 %). Mientras que más de la mitad de las empresas de Estados Unidos y el Reino Unido pagan rescates, solo una de cada cinco empresas japonesas lo hace. ¿Por qué es tan grande la diferencia?

Por qué las empresas japonesas no pagan

Una cultura de no entregar dinero a las fuerzas antisociales

En Japón, la idea de "excluir a las fuerzas antisociales" está arraigada en toda la sociedad. Además de leyes como la Ley Antimafia, los códigos de conducta corporativos y las directrices de cumplimiento prohíben expresamente las relaciones con el crimen organizado. Esta forma de pensar se aplica también al pago de rescates a los cibercriminales, y una fuerte norma social según la cual "no se debe entregar dinero a organizaciones criminales" influye en las decisiones de las empresas.

Una cultura de copias de seguridad nacida en un país propenso a los desastres

Japón es un país donde ocurren con frecuencia desastres naturales como terremotos, tifones e inundaciones. Por ello, el hábito de hacer copias de seguridad de los datos de forma rutinaria está muy arraigado en muchas empresas. El espíritu de "más vale prevenir que lamentar" da frutos también en la defensa contra el ransomware, porque si los datos pueden restaurarse desde una copia de seguridad, no hace falta pagar un rescate.

El seguro cibernético no cubre los pagos de rescate

En Occidente, el seguro cibernético a veces cubre los pagos de rescate, pero el seguro cibernético japonés, en la mayoría de los casos, excluye de su cobertura el pago de rescates. Como resultado, la propia opción de pagar un rescate resulta económicamente difícil de asumir. Últimamente, también en Occidente se avanza hacia restringir la cobertura del pago de rescates por parte del seguro, lo que sugiere que la política de Japón se adelantó a su tiempo.

La realidad de que pagar no lo resuelve

Aunque se pague un rescate, no hay garantía de que los datos se restauren por completo. Según la encuesta de Proofpoint, solo el 17 % de los casos en Japón en que se pagó un rescate lograron restaurar los datos al primer intento. Además, hay datos que muestran que el 80 % de las empresas que pagaron volvieron a ser atacadas. Más que "pagar y se acabó", la realidad es "pagar y quedar marcado como presa fácil".

El efecto de negarse a pagar: los atacantes deciden que "Japón no vale la pena"

La postura de "no pagar" de las empresas japonesas ha producido en realidad una caída de las tasas de infección por ransomware.

La tasa de infección por ransomware de Japón en 2023 fue del 38 %, una caída de 30 puntos desde el 68 % del año anterior. Teniendo en cuenta que el promedio global, en cambio, subió 5 puntos hasta el 69 %, la caída de Japón destaca.

Yukimi Sohta, evangelista jefe de Proofpoint, analiza que "al no pagar rescates durante muchos años, las empresas japonesas hicieron surgir entre los atacantes la reputación de que 'atacar a Japón no vale la pena', lo que tuvo el efecto de frenar los ataques con motivación económica".

Aun así, no hay lugar para la complacencia: nuevas amenazas se acercan

Pero no hay motivo para relajarse. En los últimos años, el entorno de amenazas cibernéticas que rodea a las empresas japonesas ha cambiado con rapidez.

La IA ha roto la barrera del idioma

Las empresas japonesas estuvieron en su día relativamente protegidas de los hackers extranjeros por la barrera del idioma japonés. Si el japonés de un correo de phishing era poco natural, muchos empleados notaban que algo iba mal. Pero la llegada de la IA generativa está derribando ese muro defensivo. Los atacantes ya pueden usar la IA para redactar correos de phishing en un japonés fluido, y los expertos advierten de que la barrera del idioma ya no existe.

Una sucesión de incidentes de gran escala

En 2025, empresas japonesas de primer nivel sufrieron ataques de ransomware uno tras otro. Asahi Group Holdings, el mayor fabricante de cerveza, fue atacado el 29 de septiembre por el grupo de hackers vinculado a Rusia "Qilin", que paralizó sus sistemas de pedidos y envíos. La empresa comunicó que unos 1,91 millones de registros personales podían haberse filtrado, y las ventas de cerveza de octubre cayeron algo menos de un 10 % interanual. Asahi no llegó a contactar con los atacantes y no pagó rescate alguno.

Actualización: en los resultados finales de su investigación, el 18 de febrero de 2026, Asahi cifró la filtración efectivamente confirmada en unos 115.000 registros de proveedores y empleados. Los envíos no se normalizaron del todo hasta abril de 2026 y, en junio, la compañía recortó su previsión anual para el ejercicio cerrado en diciembre de 2025 alegando el fallo de sistemas de su negocio japonés. Los intrusos habían entrado unos diez días antes del incidente por un equipo de red de una sede del grupo y se hicieron con privilegios de administrador aprovechando una contraseña débil en el centro de datos. El plan de Asahi para evitar una repetición pasa por eliminar las VPN y adoptar un modelo de confianza cero.

Askul, una importante empresa de comercio electrónico de material de oficina, también fue atacada, lo que derivó en el cierre de las tiendas en línea de Muji y de la cadena de grandes almacenes Sogo & Seibu.

Los casos de ransomware notificados en el país en el primer semestre de 2025 alcanzaron un récord de 116. En una encuesta de la firma de seguridad Sophos, el número de víctimas de ransomware en Japón durante el último año aumentó un 35 % interanual.

Desafíos estructurales

Los expertos en ciberseguridad señalan desafíos estructurales en las empresas japonesas. El primero es una escasez crónica de talento en TI; la falta de habilidades técnicas es la mayor preocupación de las empresas (53 %). El segundo es una dependencia excesiva de los integradores de sistemas. El profesor Tetsutaro Uehara, de la Universidad Ritsumeikan, señala que "las empresas japonesas tienden a externalizar toda su TI a los integradores de sistemas", y advierte de que esto dificulta acumular experiencia interna en seguridad. El tercero es la ausencia de directores de información (CIO); en muchas empresas japonesas el CIO es una mera formalidad o no existe, de modo que la TI no se integra en la estrategia de gestión.

Reforzar la defensa a nivel nacional: la Ley de Ciberdefensa Activa

Ante esta situación, el 16 de mayo de 2025 el Gobierno japonés aprobó la "Ley de Ciberdefensa Activa". Su título formal es Ley de prevención de daños por actos no autorizados contra ordenadores críticos; se la conoce como Ley de Refuerzo de la Capacidad de Respuesta Cibernética y se promulgó el 23 de ese mes.

Hasta ahora, la ciberseguridad de Japón se centraba en una defensa "pasiva" que dependía de cortafuegos y antivirus, una "defensa de asedio" que consistía en atrincherarse en un castillo y esperar a ser atacado. La nueva ley da un giro hacia una "defensa activa" que golpea primero cuando detecta señales de un ataque, y se estructura en cuatro pilares.

Primero, reforzar la colaboración público-privada: se obliga a las empresas de infraestructuras críticas a informar al Gobierno, construyendo un sistema para compartir la información sobre amenazas en todo el país. Segundo, el uso de información de comunicaciones: bajo ciertas condiciones, el Gobierno puede obtener y analizar datos de comunicación para analizar los ciberataques. Tercero, acceso y neutralización: en circunstancias definidas, se otorga al Gobierno la autoridad para acceder a los sistemas de los atacantes y neutralizar los ataques. Cuarto, la organización y la estructura: la "Oficina Nacional de Operaciones Cibernéticas (NCO)", creada en julio de 2025, actúa como centro de mando de la ciberdefensa.

La entrada en vigor es escalonada desde abril de 2026, y las piezas centrales, el análisis de información de comunicaciones y el acceso y neutralización, empiezan a operar ese mismo año. El segundo y el tercer pilar exigen la autorización previa de una comisión independiente como freno al uso de esas facultades.

Una tendencia global: "no pagar" se convierte en el estándar internacional

La postura de "no pagar" de Japón se está convirtiendo en el estándar mundial.

En la encuesta de Sophos de 2025, la proporción de organizaciones de todo el mundo que pagaron rescates cayó al 37 %, por debajo del 41 % del año anterior. En una conferencia internacional que reunió a representantes de unos 50 países y regiones de Estados Unidos, Europa y Asia, acordaron no pagar rescates y decidieron una política de instar a las empresas privadas a seguir el ejemplo.

La policía de Japón también muestra su presencia en la cooperación internacional de las fuerzas del orden, participando en el desmantelamiento del grupo de ransomware LockBit.

Lo que hace falta para proteger una empresa

Negarse a pagar solo protege frente a atacantes movidos por el dinero. Como mostraron los cinco meses de Asahi, el coste que asume quien se niega no desaparece.

Lo que necesitan las empresas es que la dirección trate el riesgo cibernético como un asunto de gestión. A partir de ahí: copias de seguridad y simulacros de recuperación periódicos, formación de los empleados, seguridad elevada en toda la cadena de suministro y un plan de continuidad del negocio para el día en que llegue el incidente. Solo con capacidad de recuperación se convierte el "no pagamos" en una opción real.

¿Cómo responden las empresas de su país a los ataques de ransomware? ¿Deberían pagar el rescate o negarse rotundamente? Nos encantaría conocer la forma de pensar y las experiencias de su país.

Referencias