Índice de temas
Cibercrimen en 2025
En 2025, los ciberataques y fraudes más frecuentes contra las empresas y particulares han seguido siendo el phishing, el robo de credenciales y el fraude del CEO o BEC (Business Email Compromise). Siendo los más habituales desde hace años, estos se vuelven continuamente más sofisticados, personalizados y difíciles de detectar.
Los cibercriminales operan en estructuras cada vez más organizadas con jerarquías similares a las de empresas tecnológicas, con departamentos financieros, de investigación y expertos en negociación para cobrar las extorsiones
JUAN JOSÉ NOMBELA, UNIE
El ransomware continúa siendo el más dañino un año más por sus nefastas consecuencias. Según algunos estudios, los ataques de ransomware han aumentado más de un 30% este año a nivel global, consolidándose como la amenaza cibernética con mayores beneficios para los ciberdelincuentes. En los últimos meses del año, hay que destacar el caso de Jaguar Land Rover, que sufrió el paro total de su cadena de producción durante semanas con pérdidas millonarias y un daño importante a la reputación de la marca de coches de lujo. También debemos recordar el ciberataque a Collins Aerospace que paralizó los sistemas de facturación y embarque en múltiples aeropuertos de Europa, con miles de pasajeros afectados.
Al estar cada vez más protegidas las empresas que se toman en serio la ciberseguridad y lo consideran una prioridad estratégica, los ciberdelincuentes han encontrado en su cadena de suministro el eslabón más débil. Es por ello que se ha convertido en uno de los mayores riesgos para las grandes empresas y en lo que se está poniendo especial foco. En los últimos años, hemos visto cómo proveedores de grandes corporaciones han sufrido graves ataques, como bancos, operadores de telecomunicaciones o empresas de suministro eléctrico.
Réplicas de las empresas tecnológicas
Los cibercriminales operan en estructuras cada vez más organizadas con jerarquías similares a las de empresas tecnológicas, con departamentos financieros, de investigación y expertos en negociación para cobrar las extorsiones. El crimen como servicio sigue reportando ingentes beneficios y el coste económico del cibercrimen en 2025 sigue alcanzando cifras de récord año tras año, superando los 10 billones de dólares.
Por su parte, España se mantiene como uno de los países más afectados por los ciberataques a pesar de las exigencias regulatorias y el trabajo de apoyo y difusión de instituciones como INCIBE. Un rápido repaso a 2025 nos lleva a recordar los ciberataques a empresas reconocidas, a veces perpetrados contra su cadena de suministro, como son El Corte Inglés, Mango, Telefónica, DKV, Madrileña de Gas, etc. además de a varias entidades públicas.
Cómo está evolucionando la ciberdelincuencia debido a la inteligencia artificial
En los últimos años, los ciberdelincuentes han pasado de dedicar muchas horas diarias a encontrar las vulnerabilidades que les permiten lanzar sus ciberataques con éxito a emplear sistemas automatizados, adaptativos e incluso autónomos que trabajan para ellos las 24 horas los 365 días del año.
El trabajo conjunto de sujetos con grandes habilidades técnicas y un conocimiento profundo de los sistemas que, combinando el uso de complejas herramientas manuales, podían dedicar meses de trabajo perfectamente planificado y minucioso para atacar a una organización, se simplifica de forma notable mediante el uso de la inteligencia artificial, que se consolida como la mejor ayuda para las campañas ofensivas del cibercrimen.
Los atacantes pueden ahora automatizar tareas repetitivas, probando una y otra vez diferentes vías de entrada a los sistemas de una organización a través de la búsqueda de vulnerabilidades y su explotación evitando dejar huellas o dar señales de su actividad maliciosa.
El phishing es ahora mucho más dirigido gracias a la IA, que también facilita la recopilación de información sobre la víctima y su entorno para crear mensajes más convincentes, lo que incrementa significativamente las probabilidades de que el usuario caiga en la trampa al ser más difícil distinguir los mensajes reales de los generados artificialmente, que pueden combinar texto, audio e incluso vídeos que parecen ser reales como los utilizados en las noticias falsas o deepfakes.
La inteligencia artificial también facilita a los ciberdelincuentes la tarea de crear malware, que ya no es un software malicioso genérico que se comporta del mismo modo en todos los entornos, sino que se adapta a las tecnologías, características y sistemas de protección y defensa de cada organización en particular.
Los ciberdelincuentes están usando la IA para identificar aquellas organizaciones que pueden ser más rentables de atacar con un ransomware, identificando los momentos que pueden ser más críticos para una organización y así incrementar las probabilidades de que esta acabe pagando el rescate ante la desesperación por solucionar la situación cuanto antes.
La dark web es el mercado donde se puede encontrar la amplia oferta de herramientas y servicios basados en IA orientados al cibercrimen, que casi cualquiera puede adquirir o contratar para lanzar un ciberataque dirigido.
Afortunadamente, en la batalla entre el bien y el mal, la IA no solo es un arma en manos de los ciberdelincuentes, sino que también es una herramienta defensiva imprescindible que se extiende rápidamente para anticipar y predecir amenazas, detectar anomalías y reducir los tiempos de respuesta cuando no se ha podido evitar el ciberataque.
Cómo establecer una buena estrategia de ciberseguridad
La ciberseguridad debe considerarse como un eje estratégico dentro de las organizaciones. Ya no es solo cuestión de tecnología o medidas técnicas como antaño, sino que cobran cada vez más importancia las medidas organizativas y la involucración de la alta dirección, que debe considerar la ciberseguridad como una cuestión estratégica. Se hace imprescindible que los directivos y consejeros entiendan los riesgos y que todos los empleados cuenten con la formación adecuada, haciéndose imprescindible la implantación de una cultura de ciberseguridad en la organización.
En aquellas organizaciones con un grado alto de madurez tecnológico, la ciberseguridad ya está integrada en la estrategia de la organización y está perfectamente alineada con el negocio. Sin embargo, son muchas en las que esto todavía no ocurre, a menudo por la falta de entendimiento del riesgo por parte de la alta dirección y por su bajo nivel de involucración.
Figura del CISO, imprescindible
Todavía sorprende que en empresas de cierto tamaño no cuenten con la figura de un CISO dedicado, o un responsable de seguridad de la información (RSI). Algunas de las que lo tienen, lo hacen solo para cumplir con la regulación o el expediente, pero no tiene reporte al máximo nivel ni le dotan del presupuesto requerido en base a los riesgos identificados.
Además de implantar las medidas técnicas y organizativas adecuadas en base a los análisis de riesgos, las organizaciones deben adoptar una combinación adecuada de capacitación continua de los empleados. Para ello, debe implantarse una cultura de ciberseguridad a todos los niveles, empezando por supuesto por la alta dirección. Tanto la directiva europea NIS2 en su artículo 20.2 como su transposición en la Ley de coordinación y gobernanza de la ciberseguridad en su artículo 14.2 (provisional) obliga a los órganos de dirección a formarse y a asegurar que los empleados también reciban formación periódica en ciberseguridad.
Uno de los aspectos clave de la futura Ley de coordinación y gobernanza de la ciberseguridad es la creación del nuevo Centro Nacional de Ciberseguridad anunciado por el Gobierno y que estará adscrito directamente a Presidencia. Según el Presidente del Gobierno, el objetivo del nuevo organismo será “reforzar la coordinación y fortaleza de nuestro sistema” de ciberseguridad, con la finalidad última de “proteger nuestra democracia y la seguridad de nuestros países en un contexto geopolítico tan complejo como el actual”.
Solo las organizaciones que sean conscientes de los riesgos están preparadas y entrenadas para enfrentar las amenazas y cuenten con la capacidad de recuperarse ante los incidentes cibernéticos asegurando su resiliencia, podrán sobrevivir en un escenario cada vez más complejo y desafiante.
