Industria del cibercrimen: la economía de la delincuencia digital
Paper 65
29 Septiembre 2026
Rebeca Radío Armindo
Ingeniera en Ciberseguridad y Analista de Inteligencia
Durante años, la representación del ciberdelincuente ha estado asociada a la figura del hacker que, desde un ordenador y prácticamente en solitario, consigue acceder de manera ilícita a los sistemas informáticos de una organización. No obstante, aunque esta representación continúa teniendo cabida en determinadas formas de delincuencia digital, resulta cada vez menos adecuada para explicar la complejidad que caracteriza al cibercrimen contemporáneo. La evolución tecnológica, la globalización del ciberespacio y, especialmente, la progresiva profesionalización de determinadas actividades delictivas han favorecido la aparición de estructuras criminales mucho más complejas, en las que diferentes actores desempeñan funciones específicas dentro de un mismo proceso delictivo.
En otras palabras, el cibercrimen puede ser entendido actualmente, en determinados segmentos, como un auténtico ecosistema económico criminal. No obstante, si bien no puede hablarse aún de una industria homogénea y centralizada, determinadas actividades desarrolladas en el ciberespacio con fines ilícitos sí presentan dinámicas que guardan similitudes con las existentes en sectores económicos convencionales y legales.
Cybercrime-as-a-Service
Entre ellas destacan la especialización, la división del trabajo, la externalización de determinadas funciones, la existencia de proveedores de servicios, la aparición de mercados e intermediarios, así como el establecimiento de mecanismos de financiación y diferentes modelos de monetización. De este modo, la actividad delictiva deja de depender exclusivamente de las capacidades técnicas de un único individuo o grupo y pasa a sustentarse, en determinados casos, sobre una red de actores especializados que intercambian recursos, conocimientos y servicios.
Así, tal y como lleva advirtiendo Europol más de diez años, el ciberdelincuente ya no necesita disponer de todas las capacidades y conocimientos requeridos para ejecutar una operación delictiva a través del ciberespacio, sino que, puede contratar determinadas capacidades técnicas a terceros (Europol, 2014). Es decir, se subcontratan ciberdelincuentes por otros ciberdelincuentes.
En este sentido, durante los últimos años han adquirido especial relevancia los modelos conocidos como Cybercrime-as-a-Service (CaaS), mediante los cuales diferentes recursos, herramientas y capacidades necesarias para la comisión de actividades ilícitas son ofrecidos como servicios dentro de mercados clandestinos. Desde una perspectiva económica, este fenómeno permite identificar la existencia de una auténtica cadena de valor criminal en la que intervienen diferentes actores especializados. En una primera fase se sitúan aquellos encargados del desarrollo de herramientas, la explotación de vulnerabilidades o la obtención de accesos a sistemas y organizaciones. A continuación, intervienen intermediarios y proveedores especializados que facilitan infraestructuras, comercializan accesos y recursos comprometidos o proporcionan determinadas capacidades técnicas. Finalmente, otros actores se encargan de explotar los accesos adquiridos, ejecutar actividades de extorsión, sustraer información o transformar los beneficios obtenidos mediante estas actividades en recursos susceptibles de ser transferidos, reinvertidos o utilizados para financiar nuevas operaciones.
Una economía de escala
Así, la dimensión económica alcanzada por estas estructuras permite comprender con mayor precisión la magnitud del fenómeno. Si bien resulta necesario diferenciar entre los ingresos obtenidos por una organización criminal, los pagos realizados por las víctimas fruto de un engaño y el impacto económico total derivado de un ciberataque, las cifras disponibles permiten observar que determinadas actividades vinculadas al cibercrimen han alcanzado una escala económica difícilmente compatible con la imagen tradicional del delincuente que actúa de manera aislada.
Un ejemplo especialmente significativo de esta dimensión económica se encuentra en el ransomware, término empleado para designar un tipo de software malicioso diseñado para impedir el acceso de los usuarios a sus sistemas o información, generalmente mediante el cifrado de los archivos, con el objetivo de exigir posteriormente un pago a cambio de restablecer dicho acceso. Incluso, la Agencia de la Unión Europea para la Ciberseguridad (European Union Agency for Cybersecurity, ENISA) refleja en su informe «ENISA Threat Landscape del año 2025» que del conjunto de actividades de ciberdelincuencia dirigidas contra la UE analizadas durante ese año, el 81,1 % estuvieron relacionadas con ransomware y el 15,2 % restante corresponde a filtraciones de datos producidas específicamente como consecuencia de los ataques de ransomware mencionados (ENISA, 2025, p.28).
Un ejemplo ilustrativo es reflejado por Chainalysis. Según sus datos, los pagos realizados a operadores de ransomware alcanzaron aproximadamente los 1.250 millones de dólares durante 2023, convirtiendo ese año en un máximo histórico. Aunque en 2024 esta cifra descendió hasta aproximadamente 813,6 millones de dólares, la magnitud continúa siendo significativa.
Para contextualizar esta cantidad, el Producto Interior Bruto (PIB) nominal de Samoa se situó en aproximadamente 1.044 millones de dólares en 2023 (World Bank, s.f), mientras que el de Tonga alcanzó alrededor de 591 millones de dólares (World Bank, s.f). En términos de orden de magnitud, por tanto, los pagos efectuados a operadores de ransomware durante 2023 superaron el PIB anual de Samoa y duplicaron el de Tonga.
Perfil de las organizaciones
Además, la magnitud de este fenómeno también puede observarse cuando se analizan organizaciones criminales concretas. El Departamento de Justicia de Estados Unidos estima que LockBit, uno de los grupos de ransomware más relevantes de los últimos años, obtuvo al menos 500 millones de dólares en pagos de rescate durante el periodo en el que desarrolló sus actividades (aproximadamente desde 2020 hasta 2024) (U.S. Department of Justice, s. f.). La organización habría atacado a más de 2.500 víctimas en al menos 120 países y, además de los pagos efectuados directamente a sus responsables, habría generado pérdidas adicionales de miles de millones de dólares relacionadas con la interrupción de la actividad, la respuesta ante incidentes y la recuperación de los sistemas afectados.
La cifra resulta especialmente significativa cuando se contextualiza con indicadores económicos convencionales. Los 500 millones de dólares atribuidos a LockBit equivaldrían aproximadamente a un tercio del Producto Interior Bruto (PIB) de Comoras, situado en torno a los 1.610 millones de dólares en 2024 (World Bank, s.f.), y representarían aproximadamente una décima parte del PIB de Liberia, situado en torno a los 4.780 millones de dólares durante el mismo año (World Bank, s.f).
Así, aunque estas comparaciones no implican equiparar ambas magnitudes desde el punto de vista económico —puesto que los pagos ilícitos constituyen flujos financieros y el PIB representa el valor de los bienes y servicios finales producidos en una economía durante un periodo determinado—, sí permiten dimensionar la escala económica que pueden alcanzar determinadas modalidades de cibercrimen.
En el caso español, la operación desarrollada contra Ransom Cartel constituye otro ejemplo de esta dimensión económica. Según la Guardia Civil, la organización habría llegado a generar aproximadamente 34 millones de dólares anuales mediante sus actividades relacionadas con ransomware, malvertising y exploit kits (Guardia Civil, 2024). Aunque esta cantidad resulta considerablemente inferior a los volúmenes asociados a los grandes grupos internacionales de ransomware, permite nuevamente observar cómo una única estructura criminal puede generar ingresos millonarios mediante la comercialización de capacidades y servicios ilícitos.
Por ello, la relevancia de estas cifras no reside únicamente en el dinero obtenido. Su verdadera importancia radica en que evidencian la existencia de incentivos económicos capaces de sostener estructuras criminales especializadas, financiar nuevas operaciones y favorecer la aparición de mercados secundarios. Cuando una determinada actividad genera ingresos suficientemente elevados, resulta posible reinvertir parte de esos beneficios en infraestructura, desarrollo tecnológico, adquisición de nuevos accesos o contratación de servicios especializados.
De esta manera, se establece un ciclo económico en el que los beneficios obtenidos mediante una operación pueden contribuir a financiar las capacidades necesarias para desarrollar las siguientes.
Conclusión
Con todo lo expuesto, se observa que el análisis del cibercrimen exclusivamente desde la perspectiva del atacante final resulta insuficiente para comprender la totalidad del fenómeno. El actor que interviene en la fase final de una operación puede constituir únicamente uno de los elementos de una estructura mucho más amplia. Y de esta forma, la lucha contra el cibercrimen no debe limitarse únicamente a la identificación y detención del responsable directo de una operación, sino que debe incorporar también el análisis de las estructuras que permiten su ejecución.
Referencias
World Bank. (2025). GDP (current US$) — World Development Indicators. World Bank. https://data.worldbank.org/indicator/NY.GDP.MKTP.CD?end=2024&start=1960
European Union Agency for Cybersecurity (ENISA). (2025). ENISA Threat Landscape 2025. European Union Agency for Cybersecurity. https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025#contentList
Guardia Civil. (2024, 17 de agosto). Detenido en España el líder de una importante red internacional de ciberdelincuencia. Ministerio del Interior, Gobierno de España. https://web.guardiacivil.es/eu/destacados/noticias/Detenido-en-Espana-el-lider-de-una-importante-red-internacional-de-ciberdelincuencia/
U.S. Department of Justice. (s. f.). LockBit. U.S. Attorney’s Office, District of New Jersey. https://www.justice.gov/usao-nj/lockbit
Europol. (2014). The Internet Organised Crime Threat Assessment (iOCTA) 2014: Key findings. https://www.europol.europa.eu/iocta/2014/keyfindings.html
Las opiniones de este análisis son de exclusiva responsabilidad de su autor.