Esta página se revisa una vez al año y se queda en la misma dirección, para que se pueda comparar con lo que decía antes. No es una lista de titulares: es lo que estamos viendo entrar de verdad en empresas españolas, por dónde entra, y qué ha cambiado en la parte que ya no es opcional porque la exige una norma.
La versión anterior de esta página se escribió a principios de 2024 y describía seis amenazas: ransomware, phishing, ataques a infraestructuras críticas, fuga de datos, cadena de suministro e IoT poco seguro. Ese diagnóstico no era falso, pero le faltaban tres cosas y una de ellas era grande.
Lo que se mantiene igual, porque sigue siendo cierto: el ransomware manda, la vía de entrada más frecuente sigue siendo una persona, y la cadena de suministro ha dejado de ser un caso raro.
Si el ransomware fuese solo cifrado, una copia de seguridad buena lo resolvería. Hace tiempo que no lo es.
El patrón que vemos es de doble palanca: primero se llevan los datos y después cifran. La copia te devuelve la operación, no la confidencialidad, y la negociación pasa a ser sobre la publicación. Por eso existen los sitios donde se publica a las víctimas que no pagan, que además sirven de escaparate para la siguiente.
El otro cambio es de estructura: el que entra y el que cifra ya no suelen ser el mismo. Un intermediario de acceso vende la entrada, y el ransomware como servicio pone el resto. Eso baja el nivel técnico necesario para atacarte y sube el número de gente que puede hacerlo.
Lo que de verdad cambia el resultado, por orden: copias que el atacante no pueda borrar (una copia inmutable o fuera de línea), una restauración que alguien haya probado de principio a fin, y segmentación para que un equipo comprometido no alcance a todos los demás. Los tres se comprueban desde dentro, que es lo que hace un pentest de red interna.
El ransomware sale en los periódicos y el fraude por correo se lleva el dinero sin ruido. No necesita malware: necesita una factura verdadera y un número de cuenta cambiado.
Las tres formas que más se repiten son el fraude del CEO, el cambio de cuenta bancaria de un proveedor en un hilo de correo auténtico, y el desvío de nómina. Todas caben dentro del business email compromise, y ninguna dispara una alerta técnica porque el correo suele salir de una cuenta legítima.
Lo nuevo del último periodo es que la verificación por voz ha dejado de valer: clonar una voz reconocible ya es barato. El control que sigue funcionando es de proceso y no de tecnología: ningún cambio de datos bancarios se acepta por el mismo canal por el que llegó, y sin excepción por jerarquía, que es justo lo que este fraude explota. Está desarrollado en la guía de suplantación de identidad.
Es el cambio de fondo más importante respecto a la versión anterior de esta página, y afecta especialmente a la empresa mediana española, que suele ser proveedora de otras más grandes.
Pasa por dos caminos distintos que conviene no confundir:
La consecuencia práctica es que ahora te lo van a preguntar a ti. Las cláusulas de seguridad en contratos han dejado de ser un anexo que nadie leía, y cada vez más empresas piden a sus proveedores evidencia concreta: un informe de pruebas, un certificado, o las dos cosas.
La mayoría de las intrusiones que vemos no empiezan con un exploit, empiezan con una credencial válida. Y eso cambia dónde hay que mirar.
En entornos de Microsoft 365, que es donde está media empresa española, esto es una revisión de configuración concreta y acotada: bastionado de M365.
Conviene separar el ruido de lo que se está viendo.
Lo que ha cambiado de verdad es el coste del engaño. Un correo en español impecable, adaptado a tu sector y a tu interlocutor, ya no requiere tiempo ni idioma. Las faltas de ortografía como señal de alarma se han acabado, y hay que dejar de enseñarlo así en la formación interna.
Lo que ha aparecido nuevo es superficie propia. Las empresas están conectando asistentes a sus datos y a sus herramientas, y eso crea un tipo de fallo que no existía: entradas que el modelo interpreta como instrucciones, agentes con más permisos de los que necesitan, y datos que salen por un canal que nadie consideró un canal. Se prueba, y es lo que hacemos en el pentest de IA.
Lo que no ha cambiado es la parte aburrida: se sigue entrando por una credencial, por un sistema sin actualizar y por alguien que hace clic.
Está desarrollado en ciberseguridad e inteligencia artificial, incluido por qué la inyección de prompts que sale en los titulares no es la que importa.
Es el bloque que faltaba entero en la versión anterior, y para muchas empresas es el motivo real por el que están leyendo esto.
La pregunta útil no es cuál se te aplica en abstracto, sino qué evidencia concreta vas a tener que poner delante de un auditor o de un cliente, y si hoy la tienes.
Esta página da criterio, no estadística. Si necesitas cifras para un comité, conviene ir a la fuente y citarla con su fecha, en lugar de repetir un porcentaje sin año, que es exactamente lo que hacía la versión anterior de esta misma página.
Y por dónde empezar, si hay que elegir: identidad y segundo factor que no se pueda reenviar, actualizar lo que da a internet sabiendo primero qué da a internet, copias que el atacante no pueda borrar y que alguien haya restaurado, y después comprobarlo atacándolo. El orden completo está en la guía de ciberseguridad para empresas, cómo elegir a quién se lo encargas en esta otra, y en contacto se puede plantear un caso concreto.
Qué es el ciclo de vida de desarrollo seguro, qué se hace en cada fase, qué aportan SAST, DAST y SCA, y por dónde empezar si hoy no tenéis nada montado.
Qué riesgos trae la IA generativa en empresa, por qué la inyección de prompts no es el problema real y qué se prueba en un pentest de IA.
Qué es un pentest, qué fases tiene, qué recibes al final, cuánto dura y en qué se diferencia de un análisis de vulnerabilidades.
Si algo de aquí se parece a un problema que llevas encima, media hora de llamada para acotarlo con un pentester senior vale más que leer otro artículo.
Hablar con un pentester seniorElige la hora que mejor te venga. Nos cuentas qué necesitas y en qué punto estás, y te explicamos cómo trabajamos y de qué forma podemos ayudarte.
