Un día, de repente, todos los datos de una empresa quedan secuestrados. "Paguen el rescate y se los devolveremos", dicen los criminales. Pero las empresas japonesas tienen una respuesta clara: "No". Entre 15 países, Japón es el que menos paga rescates. Y esa postura está resultando, de forma inesperada, un factor de disuasión de los ciberataques.

¿Qué es el ransomware? Una era en la que tus datos se vuelven "rehenes"

El ransomware es un tipo de ciberataque en el que los atacantes se infiltran en los ordenadores de una empresa, cifran los archivos y exigen un pago para restaurarlos. "Ransom" significa "rescate" en inglés, lo que convierte esto en un secuestro de la era digital.

En los últimos años, más que limitarse a cifrar los datos, los atacantes han hecho de la "doble extorsión", que amenaza además con publicar los datos robados, el método dominante. El daño crece año tras año, y se prevé que el daño global por ransomware alcance unos 275.000 millones de dólares anuales para 2031 (alrededor de 41 billones de yenes).

Japón: "el país que menos paga rescates del mundo"

Según una encuesta de 15 países realizada por la firma de seguridad Proofpoint, las empresas japonesas han registrado la tasa de pago de rescate más baja entre los países encuestados durante tres años consecutivos.

La tasa de pago de Japón fue del 33 % en 2020 (promedio global del 58 %), del 20 % en 2021 (58 %) y del 18 % en 2022 (64 %). Mientras que más de la mitad de las empresas de Estados Unidos y el Reino Unido pagan rescates, solo una de cada cinco empresas japonesas lo hace. ¿Por qué es tan grande la diferencia?

Por qué las empresas japonesas no pagan

Una cultura de no entregar dinero a las fuerzas antisociales

En Japón, la idea de "excluir a las fuerzas antisociales" está arraigada en toda la sociedad. Además de leyes como la Ley Antimafia, los códigos de conducta corporativos y las directrices de cumplimiento prohíben expresamente las relaciones con el crimen organizado. Esta forma de pensar se aplica también al pago de rescates a los cibercriminales, y una fuerte norma social según la cual "no se debe entregar dinero a organizaciones criminales" influye en las decisiones de las empresas.

Una cultura de copias de seguridad nacida en un país propenso a los desastres

Japón es un país donde ocurren con frecuencia desastres naturales como terremotos, tifones e inundaciones. Por ello, el hábito de hacer copias de seguridad de los datos de forma rutinaria está muy arraigado en muchas empresas. El espíritu de "más vale prevenir que lamentar" da frutos también en la defensa contra el ransomware, porque si los datos pueden restaurarse desde una copia de seguridad, no hace falta pagar un rescate.

El seguro cibernético no cubre los pagos de rescate

En Occidente, el seguro cibernético a veces cubre los pagos de rescate, pero el seguro cibernético japonés, en la mayoría de los casos, excluye de su cobertura el pago de rescates. Como resultado, la propia opción de pagar un rescate resulta económicamente difícil de asumir. Últimamente, también en Occidente se avanza hacia restringir la cobertura del pago de rescates por parte del seguro, lo que sugiere que la política de Japón se adelantó a su tiempo.

La realidad de que pagar no lo resuelve

Aunque se pague un rescate, no hay garantía de que los datos se restauren por completo. Según la encuesta de Proofpoint, solo el 17 % de los casos en Japón en que se pagó un rescate lograron restaurar los datos al primer intento. Además, hay datos que muestran que el 80 % de las empresas que pagaron volvieron a ser atacadas. Más que "pagar y se acabó", la realidad es "pagar y quedar marcado como presa fácil".

El efecto de negarse a pagar: los atacantes deciden que "Japón no vale la pena"

Curiosamente, la postura de "no pagar" de las empresas japonesas ha producido en realidad una caída de las tasas de infección por ransomware.

La tasa de infección por ransomware de Japón en 2023 fue del 38 %, una caída de 30 puntos desde el 68 % del año anterior. Teniendo en cuenta que el promedio global, en cambio, subió 5 puntos hasta el 69 %, la caída de Japón destaca.

Yukimi Sohta, evangelista jefe de Proofpoint, analiza que "al no pagar rescates durante muchos años, las empresas japonesas hicieron surgir entre los atacantes la reputación de que 'atacar a Japón no vale la pena', lo que tuvo el efecto de frenar los ataques con motivación económica".

Aun así, no hay lugar para la complacencia: nuevas amenazas se acercan

Pero no hay motivo para relajarse. En los últimos años, el entorno de amenazas cibernéticas que rodea a las empresas japonesas ha cambiado con rapidez.

La IA ha roto la barrera del idioma

Las empresas japonesas estuvieron en su día relativamente protegidas de los hackers extranjeros por la barrera del idioma japonés. Si el japonés de un correo de phishing era poco natural, muchos empleados notaban que algo iba mal. Pero la llegada de la IA generativa está derribando ese muro defensivo. Los atacantes ya pueden usar la IA para redactar correos de phishing en un japonés fluido, y los expertos advierten de que la barrera del idioma ya no existe.

Una sucesión de incidentes de gran escala

En 2025, empresas japonesas de primer nivel sufrieron ataques de ransomware uno tras otro. Asahi Group Holdings, el mayor fabricante de cerveza, fue atacado en septiembre por el grupo de hackers vinculado a Rusia "Qilin", que paralizó sus sistemas de pedidos y envíos. Se supo que unos 1,914 millones de registros personales podían haberse filtrado, y las ventas de cerveza de octubre cayeron algo menos de un 10 % interanual. La empresa se negó a pagar el rescate, pero necesitó unos cinco meses para normalizar su logística.

Askul, una importante empresa de comercio electrónico de material de oficina, también fue atacada, lo que derivó en el cierre de las tiendas en línea de Muji y de la cadena de grandes almacenes Sogo & Seibu.

Los casos de ransomware notificados en el país en el primer semestre de 2025 alcanzaron un récord de 116. En una encuesta de la firma de seguridad Sophos, el número de víctimas de ransomware en Japón durante el último año aumentó un 35 % interanual.

Desafíos estructurales

Los expertos en ciberseguridad señalan desafíos estructurales en las empresas japonesas. El primero es una escasez crónica de talento en TI; la falta de habilidades técnicas es la mayor preocupación de las empresas (53 %). El segundo es una dependencia excesiva de los integradores de sistemas. El profesor Tetsutaro Uehara, de la Universidad Ritsumeikan, señala que "las empresas japonesas tienden a externalizar toda su TI a los integradores de sistemas", y advierte de que esto dificulta acumular experiencia interna en seguridad. El tercero es la ausencia de directores de información (CIO); en muchas empresas japonesas el CIO es una mera formalidad o no existe, de modo que la TI no se integra en la estrategia de gestión.

Reforzar la defensa a nivel nacional: la Ley de Ciberdefensa Activa

Ante esta situación, en mayo de 2025 el Gobierno japonés promulgó una ley histórica: la Ley de Ciberdefensa Activa (denominación oficial: Ley de Mejora de la Capacidad de Respuesta Cibernética).

Hasta ahora, la ciberseguridad de Japón se centraba en una defensa "pasiva" que dependía de cortafuegos y antivirus, una "defensa de asedio" que consistía en atrincherarse en un castillo y esperar a ser atacado. La nueva ley da un giro hacia una "defensa activa" que golpea primero cuando detecta señales de un ataque, y se estructura en cuatro pilares.

Primero, reforzar la colaboración público-privada: se obliga a las empresas de infraestructuras críticas a informar al Gobierno, construyendo un sistema para compartir la información sobre amenazas en todo el país. Segundo, el uso de información de comunicaciones: bajo ciertas condiciones, el Gobierno puede obtener y analizar datos de comunicación para analizar los ciberataques. Tercero, acceso y neutralización: en circunstancias definidas, se otorga al Gobierno la autoridad para acceder a los sistemas de los atacantes y neutralizar los ataques. Cuarto, la organización y la estructura: la "Oficina Nacional de Operaciones Cibernéticas (NCO)", creada en julio de 2025, actúa como centro de mando de la ciberdefensa.

Está previsto que la ley entre plenamente en vigor durante 2026, y la ciberseguridad de Japón entra en una nueva etapa.

Una tendencia global: "no pagar" se convierte en el estándar internacional

La postura de "no pagar" de Japón se está convirtiendo en el estándar mundial.

En la encuesta de Sophos de 2025, la proporción de organizaciones de todo el mundo que pagaron rescates cayó al 37 %, por debajo del 41 % del año anterior. En una conferencia internacional que reunió a representantes de unos 50 países y regiones de Estados Unidos, Europa y Asia, acordaron no pagar rescates y decidieron una política de instar a las empresas privadas a seguir el ejemplo.

La policía de Japón también muestra su presencia en la cooperación internacional de las fuerzas del orden, participando en el desmantelamiento del grupo de ransomware LockBit.

Lo que hace falta para proteger una empresa

La postura de "no pagar" de las empresas japonesas conlleva el dolor a corto plazo de una recuperación más lenta, pero a largo plazo mina la motivación de los atacantes y ha producido una menor tasa de infección. Al mismo tiempo, con la evolución de la tecnología de IA y unos ataques cada vez más sofisticados, las amenazas que rodean a las empresas japonesas van en aumento.

De cara a la entrada en vigor de la Ley de Ciberdefensa Activa, se pide a las empresas que la dirección reconozca el riesgo cibernético como un asunto de gestión, que realicen copias de seguridad y simulacros de recuperación periódicos, que formen a fondo a los empleados en seguridad, que eleven el nivel de seguridad en toda la cadena de suministro y que preparen planes de continuidad del negocio (BCP) para cuando ocurran incidentes.

¿Cómo responden las empresas de su país a los ataques de ransomware? ¿Deberían pagar el rescate o negarse rotundamente? Nos encantaría conocer la forma de pensar y las experiencias de su país.

Referencias