Redacción
En los últimos años, el panorama de las amenazas informáticas ha experimentado transformaciones significativas. Si se observa la evolución desde periodos anteriores, los datos muestran cambios sustanciales en la motivación, los tiempos y las tácticas de los atacantes. Durante el año 2022, el tiempo medio que transcurría entre una infección inicial y la entrega del acceso a un grupo secundario superaba las 8 horas. Posteriormente, en 2024, el tiempo medio de permanencia de los atacantes en las redes corporativas sin ser detectados se situaba en 11 días, al tiempo que las motivaciones financieras representaban el 55% de los incidentes y el espionaje el 8%. En ese mismo ejercicio, el método del engaño a través del correo electrónico representaba el 14% de las incursiones. Mientras que las detecciones internas y las notificaciones por parte de entidades externas se encontraban igualadas en un 43%.
La situación ha variado de manera notable según los datos recopilados durante el año 2025 para la edición de 2026 del estudio sobre tendencias de seguridad elaborado por Mandiant y Google Cloud Security, basado en más de medio millón de horas de investigación. En este periodo más reciente, la motivación financiera ha descendido al 41%. Mientras que los grupos dedicados al ciberespionaje han duplicado su presencia hasta alcanzar el 16% de los casos. El tiempo de permanencia global en los sistemas ha aumentado hasta los catorce días, impulsado por operaciones prolongadas de trabajadores informáticos norcoreanos y grupos de espionaje que pueden llegar a mantener su acceso oculto durante una media de 122 días. Un dato especialmente crítico para los equipos de respuesta es que el tiempo de entrega de accesos preconfigurados entre distintos grupos criminales se ha desplomado a tan solo veintidós segundos. Así mismo, la detección interna de las amenazas ha mejorado hasta alcanzar el 52%, disminuyendo los avisos provenientes de entidades externas al 34%.
En cuanto a los vectores de entrada, la explotación de vulnerabilidades se ha mantenido como la vía principal por sexto año consecutivo, aglutinando el 32% de los incidentes. Sin embargo, el fraude telefónico interactivo ha escalado hasta la segunda posición con un 11%, desplazando al tradicional engaño por correo electrónico que cae al 6%. Las herramientas de IA están siendo adoptadas activamente por los atacantes para mejorar el desarrollo de código malicioso y la ingeniería social, llegando a integrarse en los sistemas comprometidos para ejecutar comandos y buscar de manera automatizada credenciales en los entornos de desarrollo. A nivel sectorial, el ámbito tecnológico ha superado al financiero como la industria con mayor volumen de incidentes investigados. Entre el código malicioso más utilizado, las puertas traseras dominan con un 36%, destacando el programa de descarga GOLDVEIN.JAVA y el código de secuestro de datos REDBIKE. Mientras que el conocido Cobalt Strike BEACON ha descendido a la cuarta posición.
El secuestro de datos y la protección de la infraestructura crítica
La estrategia detrás de los ataques de secuestro de datos ha evolucionado desde la simple sustracción de información hacia la negación absoluta de la recuperación. Los atacantes dirigen ahora sus esfuerzos contra los servicios de identidad, las arquitecturas de copias de seguridad y los paneles de gestión de las plataformas de virtualización para forzar el pago de los rescates. Los sistemas de virtualización y los dispositivos de red periféricos se han convertido en objetivos prioritarios. Ya que los delincuentes buscan evadir las herramientas de seguridad tradicionales instalando persistencias profundas que sobreviven a los reinicios y a los procesos de limpieza estándar. Al mismo tiempo, la adopción masiva del software como servicio ha generado nuevas vías de ataque en la cadena de suministro, donde la sustracción de los identificadores de sesión prolongados permite eludir los sistemas de autenticación de múltiples factores y comprometer a los proveedores externos.
Ante este escenario de rápida evolución, los responsables de tecnología se enfrentan al reto de adaptar de forma estructural sus arquitecturas de defensa. Se requiere ampliar la visibilidad más allá de los terminales tradicionales, reteniendo los registros de los dispositivos de red e hipervisores durante periodos superiores a los noventa días habituales para facilitar el dimensionamiento real de las investigaciones. La protección de la infraestructura exige aislar las plataformas de virtualización y las copias de seguridad de los sistemas de identidad corporativos, estableciendo entornos de recuperación independientes y verificando continuamente el comportamiento de los usuarios y contratistas. Además, resulta imperativo gestionar estrictamente el riesgo asociado a las integraciones en la nube y establecer un conjunto de herramientas informáticas preaprobadas. Permitiendo reducir el ruido de las instalaciones oportunistas que, en cuestión de segundos, pueden derivar en incidentes graves que comprometan la viabilidad operativa de la empresa.
