La ciberseguridad empresarial se enfrenta a un escenario en el que los ataques combinan cada vez más técnicas de engaño, explotación de software vulnerable, robo de credenciales y extorsión. Los informes de la Agencia de Ciberseguridad de la Unión Europea (ENISA), Verizon y Microsoft muestran que proteger una organización exige mucho más que instalar un antivirus: hay que vigilar las identidades, mantener los sistemas actualizados, controlar las aplicaciones externas y preparar la recuperación ante incidentes. Los datos recopilados por OpenSecurity.es a partir de estos estudios permiten identificar los riesgos que deben ocupar un lugar prioritario en las empresas y los equipos de TI.
Las claves de la ciberseguridad empresarial en 30 segundos
- ENISA identificó el phishing como vía inicial en aproximadamente el 60 % de los casos de su análisis de amenazas de 2025, seguido de la explotación de vulnerabilidades, con un 21,3 %.
- Verizon sitúa la explotación de fallos de software en el 31 % de las brechas analizadas en su informe de 2026.
- El ransomware continúa entre las amenazas de mayor impacto, por el cifrado de datos, el robo de información y la extorsión.
- La inteligencia artificial permite acelerar determinadas tareas ofensivas, pero también amplía la superficie de ataque cuando se integra sin controles.
- La defensa requiere autenticación resistente al phishing, gestión de parches, copias verificadas, vigilancia y planes de recuperación.
Las cifras proceden de estudios con muestras y metodologías distintas, por lo que no deben sumarse ni interpretarse como una medición única de todos los ataques. Sí ofrecen una fotografía útil de las prioridades actuales: los ciberdelincuentes aprovechan tanto las debilidades técnicas como la confianza de las personas y la dependencia de servicios digitales externos.
Del phishing al ransomware: las amenazas que debe vigilar el equipo de TI
El phishing sigue siendo una técnica habitual para conseguir credenciales, distribuir malware o iniciar una intrusión. Los mensajes pueden suplantar a proveedores, plataformas de colaboración, servicios de almacenamiento o responsables de una empresa. También existen campañas que utilizan SMS, llamadas telefónicas y páginas falsas para convencer a las víctimas de que revelen información o autoricen operaciones.
ENISA, en su Threat Landscape 2025, analizó 4.875 incidentes registrados entre julio de 2024 y junio de 2025. En el conjunto de casos en los que identificó un vector inicial, el phishing representó aproximadamente el 60 %, mientras que la explotación de vulnerabilidades alcanzó el 21,3 %. El informe también advierte de la industrialización de estas campañas mediante servicios y herramientas que permiten lanzar ataques sin desarrollar toda la infraestructura desde cero.
El panorama de 2026 añade una advertencia técnica. Verizon señala que la explotación de vulnerabilidades fue el punto de entrada en el 31 % de las brechas de su DBIR de 2026, por delante de los métodos basados en credenciales robadas. El dato refuerza la necesidad de reducir el tiempo que transcurre entre la publicación de una corrección de seguridad y su instalación en los sistemas expuestos.
El ransomware representa otro de los riesgos de mayor impacto. Estas operaciones pueden cifrar servidores y estaciones de trabajo, robar documentos para amenazar con publicarlos o combinar ambas técnicas para aumentar la presión sobre la víctima. Pagar no garantiza recuperar todos los archivos ni evita necesariamente que los datos sustraídos se divulguen.
La estrategia de defensa debe cubrir tanto la entrada como las consecuencias del ataque. Los filtros de correo y la protección de los equipos ayudan a detener amenazas, mientras que la segmentación de redes, los permisos limitados y las copias de seguridad independientes reducen el alcance de una intrusión.
La inteligencia artificial cambia el ritmo de los ataques
La IA generativa permite producir textos más naturales, traducir mensajes y adaptar señuelos a distintos destinatarios. También puede ayudar a automatizar tareas de reconocimiento, análisis y desarrollo de herramientas ofensivas. Eso reduce ciertas barreras de entrada para los atacantes, aunque no significa que todos los grupos utilicen estas capacidades ni que cualquier ataque automatizado tenga éxito.
El Microsoft Digital Defense Report 2025 recoge un aumento de la escala y la eficiencia de las campañas de phishing apoyadas por IA. Microsoft informó de una tasa de clics del 54 % en los correos de phishing automatizados mediante IA analizados en el estudio, frente al 12 % en los intentos convencionales comparados. Son resultados de la muestra estudiada, no una tasa universal aplicable a todas las campañas o empresas.
La IA también genera riesgos dentro de las propias organizaciones. Los empleados pueden introducir información de clientes, contratos o código fuente en herramientas externas sin conocer sus condiciones de tratamiento de datos. A esta práctica se la suele denominar shadow AI cuando se utilizan aplicaciones de inteligencia artificial sin la autorización o supervisión de la organización.
La respuesta no consiste necesariamente en prohibir toda herramienta de IA. Es más útil establecer qué servicios están autorizados, qué datos pueden introducirse, qué permisos tienen las aplicaciones conectadas y cómo se registran sus acciones. Los sistemas que permiten a un agente de IA ejecutar comandos, consultar bases de datos o utilizar credenciales requieren controles adicionales, porque un error o una instrucción maliciosa podría tener consecuencias operativas.
Vulnerabilidades, cadena de suministro y ataques contra servicios
Los sistemas sin actualizar siguen siendo un objetivo atractivo. Una vulnerabilidad conocida puede permitir el acceso inicial a una red, la elevación de privilegios o la ejecución de código. Por eso, el inventario de activos y la gestión de parches deben formar parte de las operaciones habituales, no depender de revisiones ocasionales.
El reto es especialmente complejo en organizaciones que mantienen aplicaciones heredadas, equipos que no pueden interrumpirse con facilidad o servicios expuestos a Internet. No basta con instalar actualizaciones sin planificación: conviene priorizar los sistemas críticos, evaluar la exposición real, probar las correcciones cuando sea necesario y establecer medidas temporales para los equipos que no puedan actualizarse inmediatamente.
La cadena de suministro constituye otra vía de propagación. Una empresa puede mantener sus propios sistemas razonablemente protegidos y sufrir, aun así, las consecuencias de un proveedor comprometido, una dependencia de software manipulada o una plataforma externa que gestione datos esenciales.
ENISA ha advertido en sus análisis de 2026 de que las dependencias digitales amplían la superficie de ataque y pueden multiplicar los efectos de un incidente. Por ello, la evaluación de proveedores debe incluir los accesos que mantienen, los datos que procesan, sus procedimientos de notificación y las opciones disponibles si dejan de prestar servicio.
Los ataques de denegación de servicio distribuido (DDoS) también siguen afectando a organizaciones públicas y privadas. En ellos, múltiples sistemas generan tráfico para saturar una web o un servicio. No siempre implican una intrusión ni el robo de información, pero pueden interrumpir operaciones, afectar a la reputación y dificultar el acceso de clientes legítimos.
| Riesgo | Objetivo habitual | Controles prioritarios |
|---|---|---|
| Phishing y suplantación | Robar credenciales, obtener pagos o iniciar una intrusión. | Filtros de correo, formación y autenticación resistente al phishing. |
| Ransomware | Cifrar sistemas, robar datos y extorsionar. | Copias aisladas, segmentación, detección y procedimientos de recuperación. |
| Vulnerabilidades | Acceder a sistemas o ejecutar código. | Inventario de activos, gestión de parches y reducción de servicios expuestos. |
| Robo de credenciales | Tomar el control de cuentas y sesiones. | MFA, passkeys, gestión de sesiones y mínimos privilegios. |
| Riesgos de proveedores | Aprovechar dependencias o accesos externos. | Evaluación de terceros, control de permisos y planes de salida. |
| Ataques DDoS | Saturar aplicaciones y redes. | Protección frente a tráfico malicioso, redundancia y coordinación con el proveedor. |
| Uso inseguro de IA | Exponer datos o conceder permisos excesivos a agentes. | Políticas de uso, controles de acceso, registro de actividad y revisión humana. |
Qué medidas debería priorizar una empresa
No todas las organizaciones tienen el mismo presupuesto ni la misma exposición. Una pequeña empresa puede empezar por proteger el correo corporativo, activar la autenticación multifactor, actualizar sus equipos y establecer copias de seguridad verificadas. Una organización con servicios críticos deberá añadir monitorización continua, segmentación, procedimientos de respuesta y pruebas de recuperación más exigentes.
Las medidas más útiles son las que reducen riesgos concretos y se mantienen operativas con el paso del tiempo:
- Proteger las identidades. Activar MFA en correo, administración, almacenamiento y acceso remoto. Siempre que sea posible, priorizar passkeys o llaves de seguridad resistentes al phishing.
- Controlar los privilegios. Separar las cuentas administrativas de las de uso diario, retirar accesos innecesarios y revisar periódicamente los permisos.
- Actualizar con prioridades. Mantener un inventario de sistemas y aplicar primero las correcciones que afectan a activos expuestos o vulnerabilidades explotadas activamente.
- Centralizar registros y alertas. Conservar registros de autenticación, cambios administrativos y actividad sospechosa para poder investigar incidentes.
- Preparar copias recuperables. Mantener versiones independientes de los datos, limitar su modificación y realizar pruebas de restauración.
- Definir un plan de respuesta. Determinar quién puede aislar equipos, revocar credenciales, contactar con proveedores y comunicar una brecha.
- Revisar las dependencias externas. Identificar qué ocurre si una plataforma de identidad, un proveedor de nube o un servicio de seguridad deja de funcionar.
- Regular el uso de IA. Establecer qué información puede compartirse con herramientas externas y limitar las acciones autónomas de los agentes según el riesgo.
La respuesta a incidentes también debe ensayarse. Una simulación de ransomware, una caída de la plataforma de identidad o la pérdida de acceso al proveedor principal permite detectar problemas antes de que se produzca una emergencia real. El objetivo es comprobar si la organización puede identificar el incidente, limitar su alcance y recuperar los servicios prioritarios dentro de los tiempos previstos.
La seguridad no se mide únicamente por el número de herramientas contratadas o por las alertas que generan. También importa el tiempo que tarda el equipo en detectar una intrusión, la rapidez con la que revoca un acceso comprometido y la capacidad de recuperar datos sin depender del atacante.
Preguntas frecuentes
¿Cuál es la principal amenaza de ciberseguridad para las empresas en 2026?
No existe una única amenaza para todos los sectores. ENISA destaca el phishing y otras formas de ingeniería social, mientras que Verizon sitúa la explotación de vulnerabilidades en el 31 % de las brechas analizadas en su informe de 2026.
¿Cómo puede una empresa protegerse frente al ransomware?
Debe mantener copias independientes y probar su restauración, actualizar los sistemas, limitar los privilegios y segmentar la red. También necesita un procedimiento para aislar equipos afectados y recuperar primero los servicios críticos.
¿Qué riesgos añade la inteligencia artificial a la ciberseguridad?
La IA puede ayudar a crear mensajes fraudulentos más convincentes y acelerar algunas tareas ofensivas. Dentro de las empresas, el uso de herramientas no autorizadas o de agentes con permisos excesivos puede exponer información y ampliar la superficie de ataque.
¿Qué debería priorizar una pyme si dispone de poco presupuesto?
Las primeras medidas deberían ser proteger el correo y las cuentas con MFA, actualizar los sistemas, utilizar contraseñas únicas, limitar los accesos y mantener copias de seguridad comprobadas. Después conviene establecer un plan de respuesta y revisar los riesgos de los proveedores.
